FireSheep： ワンクリックで他人になりすませるFireFoxプラグイン

凄いfirefoxプラグインが出た： http://codebutler.com/firesheep

使い方

• 大勢の人が使っているwifiに接続する
• 「キャプチャ開始」ボタンを押す
• 待つ
• このプラグインの対象となっているサイトにログインしたユーザがいるとそのユーザのプロフィール画像と名前が出てくる。 スクリーンショットにはgoogle, facebook, twitter, flickrなどが出ている。
• ユーザをダブルクリックすると、その人としてサイトにログインした状態になる!

これはHTTPセッションハイジャックを簡易化したプラグインだ。ログインのさい、パスワードは暗号化するがそれ以降セッションはクッキーをクリアテキストで送るという広く知られた脆弱性をついたものだ。wifiなら多くのセッションクッキー簡単にみれる。この問題は前から知られていて、解決策も知られている。 HTTPS/SSLだ。Facebookが次々に出す「プライバシー機能」やTwitter APIのOAuthへの以降もアカウントがこんなに簡単に乗っ取られては無意味だ。

FireSheepは大手サイトがユーザを危険にさらしている状態に苛立ったセキュリティー研究者、Ian Gallagher氏が問題意識を高めるために作ったツールのようだ。

これがFireSheepを紹介するスライド： http://codebutler.github.com/firesheep/tc12/#1

こう締めくくっている：
Companies have a responsibility to protect you. But they don't. DEMAND SSL Everywhere!
企業には貴方を守る義務がある。しかし、彼等はそれを怠っている。全ての通信においてSSLを要求せよ!