Mobieltjes via WiFi te hacken

Een nieuw rapport wijst op de gevaren van het gebruik van publieke WiFi-netten op mobieltjes. Onder meer e-mailwachtwoorden kunnen op straat komen te liggen.

Een onderzoeksteam van SMobile Systems heeft een rapport (PDF) uitgebracht over het kraken van de beveiliging op de iPhone 3GS, de Nokia N95, de HTC Tilt en Android-toestel T-Mobile G1. Dat deden de onderzoekers via zogeheten man-in-the-middle-aanvallen, waarbij de versleuteling van een SSL-certificaat werd gebroken.

Bij een dergelijke aanval onderschept een hacker communicatie tussen twee systemen door data naar hem te laten doorsturen. De onderzoekers gebruikten hiervoor de programma’s Arpspoof en SSLStrip. Door de SSL-encryptie te kraken met behulp van een laptop kregen ze toegang tot de gebruikersnaam en wachtwoord van het mailadres van de telefoongebruiker. Dat lukte op alle vier de geteste toestellen.

Oppassen met mobiele WiFi
Volgens SMobile Systems toont dit aan dat het gebruik van publieke WiFi-netwerken op telefoons erg risicovol kan zijn. De onderzoekers waarschuwen dat vertrouwelijke gegevens via zo’n netwerk beter moeten worden versleuteld dan nu gebeurt.

Maar applicaties die data op smartphones kunnen versleutelen zijn schaars, aldus het rapport. Smartphones die door bedrijven worden gebruikt zouden met dezelfde beveiliging moeten worden uitgerust als desktop-pc’s en laptops, adviseert SMobile Systems.

SSL kraken
De beveiligingsproblemen rond SSL-certificaten zijn al langer bekend. Dit voorjaar gaf de hacker die de nieuwe man-in-the-middle-aanval op SSL heeft ontworpen na de Black Hat-conferentie zijn exploittool vrij. Daardoor kan de omzeiling van SSL-beveiliging actief worden misbruikt.

De hackmethode maakt misbruik van de overgang van versleutelde naar onversleutelde data, waardoor SSL-verkeer op die overgang onderschept kan worden.