Présenté à la Toorcon et développé par Eric Butler, Firesheep est une extension pour Firefox qui permet de sniffer sur le réseau local, les sessions HTTP non chiffrées qui transitent sur le réseau, permettant ainsi aux petits malins d’accèder directement à vos comptes Google, Twitter, Facebook, Flickr, Amazon, bit.ly, Yahoo, WordPress,…etc sans avoir à se logger. Méfiance donc dans vos écoles et entreprises…
L’extension se présentant sous forme de panneau latéral dans Firefox, affiche l’avatar et le nom des gens qui se font « attraper ». En double cliquant sur cet avatar, vous êtes alors automatiquement loggé sur le compte de la personne, et vous pouvez accéder à ses informations personnelles. Rien de vraiment nouveau dans cette technique de sniffing, si ce n’est que maintenant c’est à la portée de n’importe qui.
Si vous voulez tester, Firesheep est disponible ici et pour l’utiliser convenablement sous Windows, notez qu’il vous faudra winpcap.
La faille ? La faute de tous ces sites qui ne sécurisent pas en HTTPS l’intégralité de leurs échanges, se contentant juste de chiffrer la partie de login, oubliant bêtement l’accès non chiffré au cookie.
Mais pas de panique !!! En attendant que tous ces sites corrigent cette faille, il est possible de vous protéger en forçant un chiffrement de A à Z de votre connexion avec ces sites web. Il suffit pour cela d’installer l’extension ForceTLS disponible chez Mozilla et pour Firefox. Après un peu de config pour spécifier quels sont les sites dont vous voulez forcer le passage en HTTPS, vous serez protégé !