L’extension qui permet à n’importe qui de pirater des comptes sous Firefox, Firesheep fait peur !

Firesheep est une extension Firefox qui fait peur. Elle permet d’accéder aux sessions HTTP non chiffrées sur un réseau local. Les malins peuvent l’utiliser dans les universités ou les réseaux d’entreprises pour pirater les comptes Facebook, Google, Twitter, Yahoo, WordPress… d’autres personnes. Firesheep affiche un panneau latéral (figure ci-dessus) dans Firefox avec les avatars de toutes les personnes connectées, il suffit de double cliquer sur l’avatar pour se logger automatiquement sur le compte personnel de la victime…

Ce qui est vraiment effrayant est que cette extension peut être utilisée par n’importe qui et ne nécessite aucune connaissance particulière en matière de sniffing réseau, elle fait tout pour vous. Firesheep est librement téléchargeable sur cette adresse. Notez qu’il faudra installer WinPcap pour la version Windows.

L’explication de la faille est très simple. Les sites utilisent le chiffrement pour les parties login. Ensuite vous êtes en HTTP non chiffrés durant toute la session, et vos cookies de restent en accès non chiffré. La solution est d’utiliser le HTTPS forcé. Heureusement, des extensions comme Force-TLS ou HTTPS Everywhere le font brillement sous Firefox. Il suffit d’indiquer la liste des sites sur lesquels la connexion sera entièrement chiffrée. Vous serez alors protégés.