Ricercatore mette sotto scacco gli account di posta GMail

Diamo notizia di una dimostrazione pubblica tenuta da Robert Graham, CEO di “Errata Security”, azienda attiva nel campo della sicurezza informatica. Graham ha dimostrato come l’accesso ad un account di posta via web come Google GMail, ricorrendo ad una connessione Wi-Fi, possa racchiudere rischi per la privacy dell’utente ed offrire il fianco a malintenzionati che cerchino di rubare dati ed informazioni personali. L’esperto di “Errata Security” ha dapprima utilizzato un software denominato “Ferret” (da lui stesso sviluppato) che consente di “catturare” i pacchetti dati in transito sulla connessione Wi-Fi ricorrendo semplicemente ad un portatile dotato di una normale scheda. Lo strumento di Graham permette di leggere cookie e ID di sessione veicolati dal browser web. Attraverso un altro software (denominato “Hamster”), il ricercatore ha potuto esaminare e replicare cookie e sessionID raccolti. Il proxy server di Hamster ha poi permesso a Graham di “clonare” le identità (ossia i dati utilizzati per l’autenticazione) appartenenti ad utenti collegati sull’interfaccia Wi-Fi. A questo punto, il CEO di “Errata Security” ha mostrato pubblicamente di essere in grado di accedere ad account di posta GMail di altri utenti leggendo la posta elettronica privata e potendo eventualmente inviare messaggi spacciandosi per altre persone. Ma Graham ha fatto notare di poter tornare all’interno delle caselle di posta “violate” anche a distanza di giorni, utilizzando i medesimi cookie ed ID di sessione precedentemente “intercettati”.
GMail, fortunatamente, consente di forzare l’utilizzo di connessioni SSL che, di fatto, permettono di evitare rischi. Purtroppo questa possibilità non è però al momento attivata in modo predefinito. La soluzione “definitiva” consiste nell’adottare gateway VPN che permettano di crittografare tutti i dati in transito sulla connessione Wi-Fi.
L’esperimento di Graham dovrebbe aiutare ad acquisire una maggiore coscienza delle problematiche relative all’uso di connessioni non sicure.