Frage zu Firesheep

[Nina]

Wie in den vergangenen Wochen mehrere Newsportale berichteten, demonstriert die Firefox-Erweiterung Firesheep ein Problem mit leichter "kaperbaren" Sessions für Twitter, Facebook und Co.

Dazu habe ich mal eine Frage an unsere Sicherheitsspezis hier: Tritt das nur bei ungeschützten WLANs bzw. wenn man sich halt mit anderen Personen im gleichen WLAN befindet, auf?

Oder funktioniert das auch, wenn eine Person mit diesen bekannten "Online-Sticks" (von Vodafone, O2, Telekom, etc.) online geht? Da ich letzteres gerne nutze, würde ich nur gerne wissen, ob diese Sticks auch einen ähnlichen Zugriff von außen zulassen und wenn ja, wie ich mich davor schützen kann.

[tril]

Wie in den vergangenen Wochen mehrere Newsportale berichteten, demonstriert die Firefox-Erweiterung Firesheep ein Problem mit leichter "kaperbaren" Sessions für Twitter, Facebook und Co.

Glücklicherweise betrifft das nicht Contao, solange die IP Überprüfung aktiviert ist

Dazu habe ich mal eine Frage an unsere Sicherheitsspezis hier: Tritt das nur bei ungeschützten WLANs bzw. wenn man sich halt mit anderen Personen im gleichen WLAN befindet, auf?

Grundsätzlich betrifft das nur ungeschützte WLANs. Befindest du dich mit anderen in einem gesichertem WLAN, kann man das nicht so pauschal sagen, weil die Fähigkeiten der Access Points und WLAN Teilnehmer extrem schwanken. Die meisten Access Points arbeiten wie ein alter HUB, alles rein geht, geht auch über den Funk wieder raus. Aber es gibt auch Access Points, die sich wie ein Switch verhalten und die Pakete ordentlich Routen können. Vor allem die High-Speed Access Points können das idR.
Für den Großteil der WLAN Netze gilt: Hast du den Netzwerkschlüssel (egal ob gehacked oder weil man Teilnehmer des WLAN ist), kannst du auch alles mithören, was übertragen wird.
Ausnahmen bilden Access Points mit internem VPN, weil dann ein Client-Server Tunnel zwischen dem mobilen Teilnehmer und dem Access Point aufgebaut wird. (Aber diese APs gibt es üblicherweise nicht im MediaMarkt zu kaufen)

Oder funktioniert das auch, wenn eine Person mit diesen bekannten "Online-Sticks" (von Vodafone, O2, Telekom, etc.) online geht? Da ich letzteres gerne nutze, würde ich nur gerne wissen, ob diese Sticks auch einen ähnlichen Zugriff von außen zulassen und wenn ja, wie ich mich davor schützen kann.

Abstrahiert gibt es zwischen einem verschlüsselten WLAN Netzwerk und dem uns bekannten Handynetzwerk (GSM) keinen Unterschied. Einzig das Protokoll und die Verschlüsselung sind anders. Aber wie du vielleicht schon seit einiger Zeit mitbekommen hast, ist auch GSM nicht mehr sicher. Vor kurzem (~1/2 Jahr) hat irgendein Techniker vorgestellt, wie er mit einem kleinen, mobilen Computer (Zwischending zwischen Netbook und Smartphone) innerhalb von 5 Sekunden in eine GSM Verbindung eindringen kann.

Man muss also leider sagen: Hast du keine Verschlüsselung zwischen dir und dem Server oder zumindest eine VPN Verbindung zu einem Security Gateway auf der Funkstrecke, ist weder WLAN noch GSM sicher. Du kannst es den anderen nur schwieriger machen (WLAN mit Verschlüsselung).
Deshalb aktivieren die von dir benannten Dienste jetzt alle SSL (https), weil SSL sogar wenn du die Kommunikation von Anfang an mithören kannst, eine sichere Verbindung garantiert
Ich glaub, was Übertragungsverschlüsselung angeht ist einzig VPN noch sicherer als SSL.

Grüße
Tristan

[Toffa]

Das Problem tritt auf sobald Du Dich mit mehreren Personen in einem WLAN / LAN befindest bzw. in einem Netzwerksegment. Bei einem UMTS Stick solltest Du keine Probleme haben, wenn Du über UMTS ins Internet gehst.