La scorsa settimana, per motivi di studio, mi sono ritrovato ad analizzare i pacchetti che vengono inviati tra due applicazioni che comunicano tramite il protocollo http.
Mi sono messo a dare una controllatina ai pacchetti che vengono scambiati quando accedo ad una webmail. Premetto che ho effettuato il test con diversi provider che offrono il servizio di webmail ma, ovviamente, non ho potuto controllare tutti.
Dall’analisi che ho condotto mi sono accorto che molte delle webmail più famose non criptano i dati di login (username e password) nell’invio da client a server. Questo significa che se qualcuno riesce ad intercettare il pacchetto può accedere in assoluta tranquillità alla nostra email.
Probabilmente questo era un fatto risaputo e non era necessario scomodare il protocollo http per rendersene conto, ma è giusto che ora lo sappiate.
Niente allarmismi! Ma pensateci due volte prima di accedere alla vostra webmail da postazioni pubbliche e/o condivise o tramite connessioni WiFi.
Per ovvi motivi non posso riportare il nome dei provider che non criptano la password. E per evitare accuse implicite non porterò sull’altare chi cripta i dati.
Seguici
downloadblog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, Chi siamo, Condizioni di utilizzo, Privacy.
© 2004-2012 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Downloadblog.it contattare la concessionaria esclusiva Populis Engage.
Riccardo
10 apr 2006 - 01:13 - #1ehm..
nemmeno per richieste private??
col Cyber
10 apr 2006 - 01:20 - #2ehm… già
ehm
10 apr 2006 - 07:46 - #3…se è per questo neanche il protocollo pop3.
senza scomodare sniffer, basta guardare se firefox sta usando una connessione crittata oppure no (avvisa, e comunque compare un lucchettino in basso a dx e la barra deli indirizzi mi pare diventi gialla)
Alessio
10 apr 2006 - 08:04 - #4stamattina ho letto quest’articolo e per curiosità ho provato a sniffare i pacchetti di uno dei webmail piu famosi che esistano in italia…..e guarda caso la password se la viaggia non criptata liberamente! :D
Fab
10 apr 2006 - 08:40 - #5Niente allarmismi, o per lo meno, diciamola tutta.
come già scritto, anche il protocollo pop3 viaggia non criptato, quindi anche li è possibile intercettare nome, password e tutta la corrispondenza..
Andrea - ossblog.it
10 apr 2006 - 08:50 - #6Potete scoprirlo da soli se utilizzate Firefox (ma anche IE): se una pagina usa SSL per cifrare i dati, allora la barra degli indirizzi sarà gialla (con IE compare un lucchetto da qualche parte). Se la barra rimane bianca significa che i vostri dati stanno viaggiando in chiaro.GMail utilizza SSL per cifrare i dati di login.Pop e SMTP sono, generalmente, insicuri.
Napolux
10 apr 2006 - 08:55 - #7Niente allarmismi! Ma pensateci due volte prima di accedere alla vostra webmail da postazioni pubbliche e/o condivise o tramite connessioni WiFi.
Ok per la prima affermazione, ma se la rete e’ wi-fi protetta da WPA non vedo sti grossi rischi.
Il wep e’ craccabile in poche ore, ma per ora il WPA sembra sicuro…
jena plisskin
10 apr 2006 - 09:41 - #8Oddio ma questo è risaputo. Articoli Web e sui riviste si sgolano ripetutamente riguardo alla faccenda. Limitandoci al caso della webmail assicuratevi che il vostro provider consenta l’uso dell’SSL, ve ne accorgete se appare una finestra riguardo un certificato di connessione (attenzione a controllare di chi è il certificato) e con l’apparire di un lucchetto nella barra di stato in basso del browser.
Oppure se invece del prefisso HTTP vi trovate con HTTPS (la S indica Secure).
Gmail consente il login cifrato ma di default mette il traffico in chiaro, vi consiglio di prelevare l’estensione firefox GMAIL Notifier con il quale potete forzare sempre la connessione sicura (da inserire nelle impostazioni)
Spero possa essere utile a qualcuno.
Diomizio
10 apr 2006 - 12:44 - #9Non condivido il tuo riserbo.O dai una notizia e la dai come si deve o evita di darla.
fbv
10 apr 2006 - 20:01 - #10Beh, la cosa e’ piuttosto risaputa, sarebbe utile che indicassi delle webmail che consentono accesso sicuro (gmail a quanto ne so e’ solo su invito…e io non ho nessuno che mi inviti)
Kiro
10 apr 2006 - 20:25 - #11Beh se evitavi anche di scrivere l’articolo forse era meglio visto che è del tutto inutile.
davide
10 apr 2006 - 23:27 - #12@fbv: di inviti ne è pieno il mondo… visita il mio “sito”
col Cyber
12 apr 2006 - 09:30 - #13Kiro e Diomizio….
perchè contestare per contestare inutilmente?!….
fmf
12 apr 2006 - 15:30 - #14@Cyber: perche’ quello si chiama security through obscurity e da che mondo e mondo e’ il Male. TM
fbv
12 apr 2006 - 20:01 - #15davide, qual e’ il link?
davide
13 apr 2006 - 23:04 - #16quello che trovi linkato al mio nome… ma qualcuno si è già fregato il tuo invito…
l’ho rimesso, ma cerca di essere veloce… :-)
avresti potuto usare questo fino all’anno scorso: http://isnoop.net/gmail
oppure manda un messaggio qui http://groups.google.com/group/Gmail-Invites?lnk=srgg&hl=it