Xfinity和AT t也让你免于被黑客攻击

2018-06-18 19

如果你旅行过并试图上网,你可能会看到一些看起来相当可疑的Wi - Fi网络,其名称像是免费Wi - Fi和完全免费的Internet。这些可能是您最好避免的接入点。但是,对你的安全威胁要比有人随便找你来连接他们大得多——你已经连接和信任的网络,比如AT & T和Xfinity。

移动宽带提供商渴望让您在外出时连接到他们基于Wi - Fi的网络。AT & T已经为数千个地方的顾客建立了一个免费热点网络,包括火车站,以及遍布全国的星巴克和麦当劳。康卡斯特也把它的Xfinity无线网络广为传播,把客户的有线调制解调器变成了可以通过Xfinity帐户登录访问的公共Wi - Fi热点。

这些免费Wi - Fi连接很受欢迎,这是有充分理由的——它们有助于减少您消耗的宽带蜂窝数据量,并且它们通常提供比您通过4G连接所能管理的更好的网络速度。但它们也为一些人提供了一个非常简单的方式,秘密地利用你的网络流量,并为不友好的目的获取你的账户信息。数以百万计的AT & T和Xfinity客户可能会让自己暴露在秘密黑客攻击他们的网络流量中,从而暴露他们的个人数据。

正如我们在NPR联合实验中报告的,AT & T将智能手机设置为自动识别并连接到“attwifi”热点。在iphone中,当Wi - Fi打开但与热点无关时,可以通过设置手机在连接到网络之前询问用户来关闭。但在许多安卓设备上,这不是一个选项。(更新:读者指出,最新的AT & T Android设置允许禁用自动连接。)

为了证明这一点,我将笔记本电脑设置为Wi - Fi热点,播放网络名称( SSID )“attwifi”(当然是在提醒邻居之后)。在关掉我在iPhone上的首选网络设置后,我打开了Wi - Fi,它在没有提示的情况下连接到假的“attwifi”热点。

几秒钟后,当我杀死“attwifi”网络时,我的iPhone立即显示了自动连接的进一步风险——它自动重新连接到我手机上可信网络列表中的另一个网络:一个名为“xfinitywifi”的热点。“前几天我在等约会的时候使用了Xfinity热点,突然我登录到邻居有线调制解调器上运行的热点。

Comcasts Xfinity无线热点提供了一个请求客户帐号ID和密码的登录网页,每次连接到新热点时,它都会重新验证您的身份。但是如果你在白天连接了一次,热点会记住你的设备,并且在没有提示的情况下重新连接你。

这意味着,如果有人要设置一个名为“xfinitywifi”的恶意Wi - Fi接入点,以前连接到xfinitywifi网络的设备可以自动连接,而无需警告用户或询问密码。或者,攻击者可以使用“蜜罐”工具(如PwnStar )欺骗“xfinitywifi”SSID和Xfinity登录页面,从而在此过程中窃取其Xfinity凭据。

PwnStar包括重定向连接到攻击系统网页的设备,记录凭据,然后将受害者传递到互联网访问,就像什么都没有发生一样,同时对客户端发起中间人攻击(正如我自己用一个名为“not xfinity”的SSID来阻止任何邻居尝试连接到它所演示的那样)。顺便问一下,那些Xfinity Wi - Fi登录凭证呢?它们是用于访问Comcast客户帐户记帐信息、网络邮件和其他服务的同一组凭据。

这并不是说AT & Ts和Xfinitys网络本身是不安全的。它们很常见,足以给心怀邪恶的人一种通过Wi - Fi为潜在受害者撒网的方式。我用来欺骗Xfinity的相同工具可以被设置为自动响应受害者电话,就像他们信任的任何Wi - Fi接入点一样。这是因为智能手机和Wi - Fi产生的探测请求——当你打开手机的Wi - Fi适配器时,它会寻找你曾经连接过的、没有被告知忘记的任何网络。当我将攻击接入点(笔记本电脑)设置为不连接设备而是响应所有探测请求时,我的iPhone依次尝试连接到我今年连接的每个Wi - Fi网络。这本身可能是一个隐私问题,因为SSIDs和其他与这些探测请求相关联的数据可以用来基本上绘制我的移动。

这种攻击可以在任何地方进行d通常连接到公共Wi - Fi网络。我测试过的工具可以被设置成主动跟踪公共网络的用户,强迫他们断开与现有Wi - Fi网络的连接,然后自己恢复连接。所有这些都可以用像安卓手机这样的小东西来完成,使用宽带蜂窝连接为受害者提供不间断的互联网接入,就像我们在PwnPhone上看到的那样。