“Een onbeveiligde verbinding is gemakkelijk te kapen”
Het stelen van cookies via een onbeveiligde http-verbinding is relatief eenvoudig. Bijvoorbeeld door gebruik te maken van tools als Wireshark en tcpdump die openbare wifi-netwerk scannen en zoeken naar gebruikers die inloggen op websites die niet het volledige inlogproces versleutelen. Zodra de juiste cookie voorbijkomt, wordt een poging gedaan om binnen te komen en de sessie over te nemen. Vaak is het slechts een kwestie van een paar drukken op de knop.
Session Fixation
Een van de hoofdmethoden van Session Hijacking is Session Fixation. Deze aanvalsmethode laat een hacker een geldige gebruikerssessie kapen. Er wordt misbruik gemaakt van het feit dat sessie-id’s ook ook in de url kunnen worden gedefinieerd. Een hacker kan zelf een sessie-id bepalen en zijn slachtoffer een mailtje sturen met daarin een malafide link waarin die sessie-id is opgenomen. Zodra het doelwit op de link klikt, neemt de aanvaller de sessie over. Bij een sessie-id in een cookie wordt gebruik gemaakt van de mogelijkheid om client-side scripting uit te voeren.
Een aanvaller kan verschillende technieken gebruiken voor Session Fixation-aanvallen. De meest voorkomende is Cross-Site Scripting (XSS). Hierbij probeert de aanvaller een Javascript-code te injecteren op een website, zodat die code uitgevoerd wordt wanneer een normale gebruiker de website opent.
Bescherm jezelf tegen session hijacking
Session Hijacking is geen nieuw verschijnsel, maar vormt wel nog altijd een grote bedreiging. We maken met z’n allen massaal gebruik van gratis openbare wifi en wie denkt dat https volledige bescherming biedt, heeft het mis. In sommige gevallen maakt een browser namelijk eerst verbinding via http, waarna de server antwoordt dat er ook een https-verbinding mogelijk is. Hoewel dan de verbinding via https wordt voorgezet, wordt een cookie al tijdens het eerste gedeelte van de verbindingsopbouw uitgewisseld. Daardoor is hij alsnog te onderscheppen. Gelukkig maken steeds meer sites volledig gebruik van https.
“Zelfs https biedt niet altijd volledige bescherming”
Wil je de risico’s beperken dat jij slachtoffer wordt van Session Hijacking? Houd dan onderstaande tips in gedachten.
- Vermijd openbare wifi-netwerken
Je smartphone of laptop verbinden met een openbaar wifi-netwerk is een uitnodiging voor hackers om je gegevens te kapen. Een aanvaller heeft genoeg aan een eenvoudige tool om het netwerkverkeer te monitoren en onderscheppen. Zo kan hij bijvoorbeeld chatberichten, e-mails, wachtwoorden en zelfs creditcardgegevens buitmaken.
- Controleer of je verbinding versleuteld is
Ga na of de verbinding waarmee je inlogt versleuteld is. Dit is te herkennen aan het slotje in de adresbalk en de url, die met https moet beginnen. Met een extensie als HTTPS Everywhere (beschikbaar voor Google Chrome, Firefox en Opera) forceer je je browser om een beveiligde https-verbinding te gebruiken. Sinds begin dit jaar markeert Chrome http-websites overigens als onveilig.
- Log uit aan het einde van elke sessie
Wanneer je uitlogt op je account, wordt de sessie beëindigd. Dit betekent dat je een aanvaller ook dwingt om uit te loggen.
- Gebruik up-to-date software
Hoewel antivirus opzichzelfstaand niet voldoende is om je veilig te houden, helpt het wel. Een antiviruspakket met een internetfilter-optie voor de browser scant in- en uitgaand verkeer en grijpt in als een dreiging zich voordoet. Daarnaast is het verstandig om direct te updaten naar de nieuwste versie van je browser en besturingssysteem.
