יישום נקודה חמה חשוף שתי מיליון סיסמאות Wi-Fi ברשת
עמי רוחקס דומבה
| 23/04/2019
אפליקציית Hotspot Finder פופולארית עבור Android חשפה את סיסמאות רשת ה- Wi-Fi עבור יותר משני מיליון רשתות. האפליקציה, שהורדה על ידי אלפי משתמשים, אפשרה לכל אחד לחפש רשתות Wi-Fi באזור הסמוך. האפליקציה מאפשרת למשתמש להעלות סיסמאות רשת Wi-Fi מהמכשירים שלהם למסד הנתונים שלו כדי שאחרים יוכלו להשתמש בו.
עם זאת, מסד הנתונים של יותר משני מיליון סיסמאות רשת, נותר חשוף ולא מוגן, המאפשר לכל אחד לגשת ולהוריד את התוכן בכמות גדולה. Sanyam Jain, חוקר אבטחה וחבר בקרן GDI, מצא את המאגר ודיווח על הממצאים ל- TechCrunch.
בילינו יותר משבועיים בניסיון ליצור קשר עם היזם, אשר ככל הנראה מבוסס בסין, ללא הועיל. בסופו של דבר יצרנו קשר עם המארח, DigitalOcean, שהוריד את מסד הנתונים בתוך יום. "הודענו למשתמש ולקחנו את השרת המארח את מסד הנתונים החשוף", אמר דובר החברה ל- TechCrunch. כל רשומה הכילה את שם רשת ה- Wi-Fi, את המיקום הגיאוגרפי המדויק שלה, את מזהה השירות הבסיסי שלה (BSSID) ואת סיסמת הרשת המאוחסנת בטקסט.
למרות שמפתח האפליקציה טוען שהיישום מספק סיסמאות רק עבור נקודות חמות ציבוריות, סקירת הנתונים הראתה אינספור רשתות Wi-Fi ביתיות. הנתונים החשופים לא כללו פרטים ליצירת קשר עבור כל אחד מבעלי רשת ה- Wi-Fi, אך המיקום הגיאוגרפי של כל רשת Wi-Fi בקורלציה על המפה כלל לעתים קרובות רשתות באזורי מגורים או במקומות שבהם לא קיימים עסקים ברורים.
האפליקציה אינה מחייבת משתמשים לקבל את ההרשאה מבעל הרשת, וחושפת רשתות Wi-Fi לגישה לא מורשית. עם גישה לרשת, תוקף יוכל לשנות את הגדרות הנתב כדי להפנות משתמשים תמימים לאתרים זדוניים על-ידי שינוי שרת ה- DNS, מערכת חיונית המשמשת להמרת כתובות אינטרנט לכתובות ה- IP המשמשות לאיתור שרתים באינטרנט. כאשר ברשת הביתית, תוקף גם יכול לקרוא את התנועה הלא מוצפנת ברשת האלחוטית, ומאפשרת לו לגנוב סיסמאות וסודות. עשרות אלפי סיסמאות ה- Wi-Fi שנחשפו הן לרשתות המבוססות בארה"ב.
אפליקציית Hotspot Finder פופולארית עבור Android חשפה את סיסמאות רשת ה- Wi-Fi עבור יותר משני מיליון רשתות. האפליקציה, שהורדה על ידי אלפי משתמשים, אפשרה לכל אחד לחפש רשתות Wi-Fi באזור הסמוך. האפליקציה מאפשרת למשתמש להעלות סיסמאות רשת Wi-Fi מהמכשירים שלהם למסד הנתונים שלו כדי שאחרים יוכלו להשתמש בו.
עם זאת, מסד הנתונים של יותר משני מיליון סיסמאות רשת, נותר חשוף ולא מוגן, המאפשר לכל אחד לגשת ולהוריד את התוכן בכמות גדולה. Sanyam Jain, חוקר אבטחה וחבר בקרן GDI, מצא את המאגר ודיווח על הממצאים ל- TechCrunch.
בילינו יותר משבועיים בניסיון ליצור קשר עם היזם, אשר ככל הנראה מבוסס בסין, ללא הועיל. בסופו של דבר יצרנו קשר עם המארח, DigitalOcean, שהוריד את מסד הנתונים בתוך יום. "הודענו למשתמש ולקחנו את השרת המארח את מסד הנתונים החשוף", אמר דובר החברה ל- TechCrunch. כל רשומה הכילה את שם רשת ה- Wi-Fi, את המיקום הגיאוגרפי המדויק שלה, את מזהה השירות הבסיסי שלה (BSSID) ואת סיסמת הרשת המאוחסנת בטקסט.
למרות שמפתח האפליקציה טוען שהיישום מספק סיסמאות רק עבור נקודות חמות ציבוריות, סקירת הנתונים הראתה אינספור רשתות Wi-Fi ביתיות. הנתונים החשופים לא כללו פרטים ליצירת קשר עבור כל אחד מבעלי רשת ה- Wi-Fi, אך המיקום הגיאוגרפי של כל רשת Wi-Fi בקורלציה על המפה כלל לעתים קרובות רשתות באזורי מגורים או במקומות שבהם לא קיימים עסקים ברורים.
האפליקציה אינה מחייבת משתמשים לקבל את ההרשאה מבעל הרשת, וחושפת רשתות Wi-Fi לגישה לא מורשית. עם גישה לרשת, תוקף יוכל לשנות את הגדרות הנתב כדי להפנות משתמשים תמימים לאתרים זדוניים על-ידי שינוי שרת ה- DNS, מערכת חיונית המשמשת להמרת כתובות אינטרנט לכתובות ה- IP המשמשות לאיתור שרתים באינטרנט. כאשר ברשת הביתית, תוקף גם יכול לקרוא את התנועה הלא מוצפנת ברשת האלחוטית, ומאפשרת לו לגנוב סיסמאות וסודות. עשרות אלפי סיסמאות ה- Wi-Fi שנחשפו הן לרשתות המבוססות בארה"ב.
