На хакерской конференции Defcon был показана программа The Middler (с открытыми исходниками, написана на Ruby) для автоматического сбора аккаунтов у пользователей Gmail, которые не включили у себя в настройках функцию всегда использовать защищённое соединение (“Always use https”).



Кстати, программа подходит не только для Gmail, но и для других сервисов, которые используют HTTPS только для аутентификации, а потом не защищают сессию. На хакерской конференции был успешно произведён демонстрационный взлом одного из онлайн-банков, сервисов LinkedIn, LiveJournal и Facebook, вмешательство в процесс апдейта программного обеспечения на ПК и iPhone и внедрение вредоносного Javascript прямо в сессии браузера во время сёрфинга по безопасным сайтам.

The Middler не только автоматически анализирует сетевой трафик и находит в нём кукисы, но и самостоятельно запрашивает кукисы со стороны клиента, то есть процесс автоматизирован по максимуму. Программа гарантирует сбор всех незащищённых аккаунтов в компьютерной сети (или публичном хотспоте), к трафику которой она имеет доступ.

Опция постоянного соединения по SSL (на скриншоте) появилась в Gmail всего несколько недель назад. Если вы до сих пор не активировали её, то теперь у вас появилась серьёзная причина сделать это.

Дело в том, что SSL всегда используется в Gmail и других сервисах только во время аутентификации. Если вышеупомянутая опция (“Always use https”) не активирована, то после аутентификации SSL отключается, а информация идёт по незащищённому каналу, в том числе передаётся кукис, завладев которым постороннее лицо может легко войти в ваш ящик. После получения session ID можно проникнуть в аккаунт даже без знания пароля.

Очевидно, что наибольшей угрозе подвергаются пользователи, которые пользуются публичными хот-спотами. Им в первую очередь рекомендуется активировать опцию постоянного использования https.

Защита соединения вызывает небольшое подтормаживание при работе с Gmail. Если вам нужно использовать защищённое соединение только изредка, то в этих редких случаях можете заходить в ящик с адреса http://mail.google.com, и тогда SSL работает в течение всей сессии, даже если опция не активирована.