Firesheepを利用したオープンワイヤレスネットワークに関するデモを行う
同僚と私は、FiresheepでFacebookセッションを盗むことを披露するデモを行うように依頼されました。私は自分の前にFiresheepを使用したことがありませんが、簡単な作業であると思います。
私はデモが多くの眉をひそめることを知っており、携帯電話で毎日オープンワイヤレスネットワークを使用していることを知っている多くの人が実際に怖がるでしょう（これについてこれ以上詳しくは触れませんが、事実です）。
誰かが私が答えるために準備する必要がある質問の種類について何か推奨がありますか？デモユーザーとしてログインしていることだけを表示する以外は、デモで特に表示する必要があるものはありますか？
MSNトラフィックについてはどうですか... MSN会話のスニッフィングをデモすることもできますか？
これに対する保護についてはどうですか？ユーザーは引き続きオープンワイヤレスを使用します。安全な接続にVPNを使用して自分を保護する唯一の方法はありますか？
[〜＃〜] edit [〜＃〜]：ファイアシープがMSN会話をキャプチャしないことを知っています。誰かがこれを実証できるツールについて何か提案を受け取りましたか？
ITプロフェッショナルはすでにFiresheepについて聞いて、Firesheepがどのように機能するかを理解しているはずなので、聴衆は主にエンドユーザーになると思います。そうでない場合は、とにかく私のエンドユーザーのカテゴリに分類されるでしょう。 :)
私の意見では、問題または脆弱性を実証するときは、ユーザーが利用できる回避策または緩和戦略について話すことを目指すべきです。たとえば、ユーザーがログインする前に https://facebook.com に移動することを推奨します。ユーザーがhttpsを覚えやすくする方法を作成します。 「Sは安全または安全を意味します」。
デモンストレーションは、セキュリティとWeb全般についてユーザーを教育する良い機会かもしれません。証明書のしくみ、注意点（証明書のエラーなど）、パスワードをどこに入力しているか、安全かどうかを考えさせます。さらに、他の誰かがログオンの詳細を持っていると信じ込んだ場合の対処法。アカウントのパスワードをリセットしますが、パスワードを使用した他のアカウントや、結果として侵害された可能性のあるアカウントについても考え、それらも変更します。
これらの概念の一部はエンドユーザーが理解するのが容易ではありませんが、少なくとも警告サインとリスクのいくつかを認識させることができれば、それは良いスタートです。
MSNの会話に関しては、wiresharkを引き出して会話をキャプチャすることは有益ではないと思います。 Firesheepは、Niceインターフェースを備えており、即座に結果を提供するので優れています。Firesheepがいかに簡単かをユーザーに示します。
Firesheepは、Cookieベースのセッション攻撃を表示するだけです。 MSNはCookieを使用しません。ただし、MSNは会話を（認証ではなく）クリアテキストで送信しますが、firesheepはそれを取得できません。
VPNは、接続を保護する1つの方法です。もう1つは、SSLを介して完全なセッションのみを実行するWebサイトでのみセッションを作成することです。
キャプチャするように設定されたWiFiカードでWiresharkまたは同様のアプリケーションを使用する必要がある場合、FiresheepはMSN会話をキャプチャしません。 MSNは通信を暗号化しないので、パケット内の会話テキストを見ることができます。
ファイアシープから身を守る方法をすでにカバーしている質問があります- ファイアシープの子供や他の盗聴から身を守る方法
セキュリティに関するもう1つの優れたデモは、数年前のDefConでの Wall O 'Shame です。それはettercapを使用してパスワードをキャプチャし、ログをPHPで解析して表示します。私はしばらくの間、セキュリティに関心のある高校のツアーに参加するために使用しました。
面白いことに、Firesheepを書いた人は、自分を保護する方法と、してはいけないことについての素晴らしい記事を持っています：From http://codebutler.com/firesheep-a-day-later
今すぐ身を守るためのアドバイス
企業が修正を実装している間（以下で説明）、セキュリティレベルを高めるためにいくつかのことを実行できますが、特効薬はありません（ハイジャックしたくないサービスの使用を停止することを除いて）。
HTTPS-Everywhere-これは、Electronic Frontier Foundationによって作成されたFirefoxの拡張機能で、特定のWebサイトに対してHTTPS接続のみを使用するようにします。 Firesheepと同様に、定義済みのWebサイトのリストでのみ機能するため、サポートしていないWebサイトを使用しても保護されません。ユーザーが開発経験のないサイトを追加することは、すぐに簡単に見えるわけではありません。 HTTPS-Everywhereは、安全と主張していることを行うことで高く評価されています。 Force-TLS-前述のように、一部のWebサイトはSSLをサポートしていますが、適切に実装していないため、危険にさらされています。このFirefox拡張機能はHTTPS-Everywhereと似ていますが、独自のドメイン名のリストを指定して暗号化を強制することができます。 VPN-状況によっては、VPN（またはSSHトンネルなどの類似のもの）が最適な場合があります。 VPNを介して送信されるすべてのトラフィックは、コンピューターからVPNサーバーに安全である可能性があります。ただし、これは特効薬ではなく、潜在的な問題があることに注意してください。 VPNの使用に関する警告については、以下を参照してください。
MSNをカバーするようにFiesheepを拡張できると思いますが、それは簡単な作業ではありません。
はい、フルトンネルVPNは役立ちますが、SSHトンネリングも役立ちます。私はすべてのブラウザートラフィックをSSHトンネル経由でトンネリングしているので、自宅でWebを閲覧しているように見えます。 SSHクライアントからSSHサーバーへのトラフィックは完全に暗号化されます。つまり、Cookie保護が不十分な非SSLサイトを使用するワイヤレスネットワーク上でも安全です。