Grave Vulnerabilidad en las redes Wi-Fi públicas

Se ha hecho pública una aplicación que tiene la capacidad de “capturar” las sesiones de usuario iniciadas en una red Wi-Fi pública sin contraseña.
La aplicación denominada Firesheep permite, literalmente, entrar a cuentas de Facebook, Twitter y muchos otros sitios o redes sociales (ver la lista que se adjunta). Funciona analizando el tráfico de datos que cruza a través del punto de acceso Wi-Fi hacia el que el usuario está conectado.
Es muy común que los sitios web protejan los datos del usuario encriptando la identificación al conectarse, pero es muy poco frecuente que se encripte el resto del tráfico, esto causa que la transmisión del “cookie” (donde vienen incluídos tus datos de acceso) se haga “en abierto” sin ningún tipo de protección. Permitiendo que el “secuestro” de la sesión del usuario sea sumamente sencillo.
Esto tiene un potencial altamente peligroso, especialmente en eventos públicos donde cientos (o miles) de personas se conectan al mismo punto de acceso.
Eric Butler el autor de esta aplicación, creó la extensión para exponer el serio problema de seguridad que hay en miles de sitios, que, según él, han ignorado la responsabilidad por demasiado tiempo.

Algunos de las redes sociales y sitios web que Firesheep detecta automáticamente:

• Amazon.com
  Basecamp
  bit.ly
  Cisco
  CNET
  Dropbox
  Enom
  Evernote
  Facebook
  Flickr
  Github
  Google
  HackerNews
  Harvest
  Windows Live
  NY Times
  Pivotal Tracker
  Slicehost
  Tumblr
  Twitter
  WordPress
  Yahoo
  Yelp

Pero se se pueden agregar más sitios por medio de plugins para la extensión. La pequeña aplicación ha llamado la atención de miles, y ha sido usada por muchos para comprobar la efectividad, como se puede evidenciar por una simple búsqueda en Twitter.
Hoy más que nunca es importantísimo ponerle mucha más atención a la seguridad y sobre todo la protección del tráfico entre sus respectivos equipos y el internet.
Lo escalofriante del hecho es que cualquiera que haya instalado la extensión en su navegador Firefox, solo necesita hacer un doble click para capturar las sesiones de quienes se hayan conectado a Google, Facebook, Twitter, Flickr o Windows Live (entre otros) en una red wi-fi pública.
Para funcionar, el Firesheep necesita que la víctima se haya conectado a una red Wi-Fi pública y abierta, como las que se hallan disponibles en los bares, hoteles, aeropuertos, universidades y otros edificios públicos.
¿Cómo protegerse de Firesheep?
La mejor solución es no usar las redes wi-fi públicas para conectarse a los sitios de la lista adjunta, pero si no hay otra alternativa hay que usar (siempre que sea posible) las versiones https de las páginas a las que se desea acceder.

• Evitar a toda costa utilizar redes WiFi públicas.
  Si solo se dispone de conexiones WiFi, utilizar solo conexiones SSL/TLS o bien conectarse por VPN.
  Evitar utilizar WEP y WPA TKIP en los puntos de acceso. Preferir WPA2 con RADIUS.

Afortunadamente, el navegador Mozilla Firefox dispone de herramientas que permiten forzar las conexiones seguras y el cifrado de la transmisión de datos.

• Sugerencias:
  Usar el navegador Mozilla Firefox [1]
  Instalar los complementos Force-TLS [2] o HTTPS Everywhere [3]
  En Gmail: forzar el uso de HTTPS desde la opción “Configuración”

[1] Mozilla Firefox: http://www.mozilla.com/es-AR/
[2] Force-TLS: https://addons.mozilla.org/en-US/firefox/addon/12714/
[3] HTTPS Everywhere: https://www.eff.org/https-everywhere
Referencias:
http://planh.wordpress.com/2010/10/28/tutorial-como-proteger-tu-equipo-del-hackeo-de-firesheep/
http://techtastico.com/post/como-proteger-firesheep/
http://www.uberbin.net/archivos/seguridad/firefox-firesheep-hacker-en-15-segundos.php
http://techtastico.com/post/como-proteger-firesheep/