Si uso WiFi gratuito en un punto de acceso, ¿se pueden rastrear fácilmente los datos?

Si uso mi dispositivo móvil en un punto de acceso Wifi, ¿puedo asumir que conlleva los mismos riesgos que usar una computadora portátil ya que los datos se pueden rastrear fácilmente y que el dispositivo móvil también está abierto a ataques de intermediarios?

wi-fi security

— CacahuetesMonkey
fuente

Vale la pena señalar que en un wifi abierto, cada usuario puede leer fácilmente todo el texto sin formato que otros usuarios envían. Sin embargo, en una red protegida por WPA , incluso si la clave de acceso es conocimiento "público", cada computadora aún tiene su propio "canal" criptográfico privado, lo que hace que las escuchas de otras computadoras conectadas sean un esfuerzo mucho mayor. Aún así, la única forma de ser realmente privado es usar solo conexiones seguras cliente-servidor ( HTTPS ), y estar realmente seguro de usar certificados remotos pre-almacenados para sitios conocidos y usar algún método para recibir alertas sobre cambios de certificados.

— Ilari Kajaste

@Ilari Kajaste - ¿Cómo obtengo acceso a certificados remotos pre-almacenados para sitios conocidos o puedo descargarlos al dispositivo móvil?

— PeanutsMonkey

Personalmente, considero que el escenario de certificado MITM falsificado es lo suficientemente raro como para ser ignorado de forma segura. Dicho esto, para el escritorio hay una extensión de Firefox llamada Certificate Patrol . Con eso, primero puede visitar todos los sitios y luego la extensión le informará si sus certificados han cambiado. Sin embargo, no sé si hay algo similar disponible para Android.

— Ilari Kajaste

No es una respuesta, pero hay una aplicación llamada WifiKill que puede redirigir el tráfico a su teléfono si está en la misma red y "matar" la conexión a Internet. Entonces, supongo que no sería más difícil simplemente "oler" los datos si no están encriptados. forum.xda-developers.com/showthread.php?t=1282900

— jadkik94

Consulte también: Riesgos de seguridad de Wifi abierto y ¿Qué datos sincronizados de Android están cifrados? que tienen mucho más sobre los riesgos de seguridad de wifi abierto

— GAThrawn

Respuestas:

Sí, está sujeto a los mismos riesgos que tendría en una computadora portátil (o cualquier dispositivo que se conecte a una red inalámbrica, para el caso); para evitarlos, se aplican los procedimientos de seguridad estándar: no use conexiones sin cifrar en las que no confíe y siempre prefiera HTTPS para navegar.

— Renan
fuente

¿Se aplicarían los mismos principios de seguridad o son diferentes?

— PeanutsMonkey

Los mismos principios se pueden aplicar para cualquier dispositivo que se conecta de forma inalámbrica: Utilice únicamente las páginas web HTTPS, no utilizan las redes inalámbricas no son de confianza, etc ...

— Renan

Sí. Hay 2 problemas diferentes:

A. Un atacante olfatea y / o redirige todo el tráfico a través de la falsificación de arp.

Dos aplicaciones diferentes de Android ya lo hacen (prohibido en el mercado, por supuesto). ¡Tenga en cuenta que puede ser ilegal instalarlos y probarlos en su país!

FaceNiff permite (no sé si aún se aplica) espiar las credenciales registradas y hacerse cargo de las cuentas de Facebook y similares.
Droidsheep hace efectivamente lo mismo

B. Un atacante que se hace pasar por el Hotspot .

El más serio, supongo. Permite secuestrar su teléfono en cualquier momento si previamente se ha conectado a un proveedor conocido de puntos críticos.

Su teléfono Android generalmente recuerda puntos de acceso conocidos solo por los puntos de acceso ESSID (su nombre) e intenta volver a conectarse a él cada vez que vuelve a ver dicho ESSID para facilitar su uso. Esto permite que un atacante configure un ESSID tan conocido y su teléfono se conectará a él con gusto. Debido a que no se involucrará la falsificación de arp, no puede detectar este comportamiento fácilmente.

Simplemente pruébelo usted mismo, configure su teléfono como un dispositivo de conexión sin cifrar utilizando un ESSID de conexión conocido y vea cuántas conexiones obtiene en poco tiempo ... Tal vez ni siquiera sea ilegal usar un ESSID de este tipo y nadie es engañado para usar su conexión tampoco.

— ce4
fuente