TG Daily revient de la conférence Black Hat du Ceasars Palace de Las Vegas avec quelques nouvelles assez inquiétantes quant à la sécurité des courriers électroniques sur les réseaux WiFi.

Robert Graham, PDG de Errata Security, a démontré que l'interception et le détournement de compte email sur les réseaux WiFi est possible, et pire encore, assez simple pour un érudit. Il a pu accéder a plusieurs compte Gmail appartenant à des membres de la presse venus assister à la conférence. Des victimes qui ont constaté que la sécurité de leur communication ne tient qu'à un fil sur les réseaux sans fil !


Graham a pu entrer et contrôler plusieurs comptes Gmail, envoyer du courrier entre les comptes, en bref, faire tout ce que l'on peut faire, mais sans aucun mot de passe. De plus, la méthode utilisée est plutôt basique : le programme Ferret a pu « renifler » le réseau WiFi ouvert de la conférence, à la recherche de paquets de données pour reconstituer et copier les cookies échangés sur les ondes.

Un autre programme baptisé Hamster a ensuite permis de copier les cookies interceptés dans le navigateur de l'expert en sécurité, lui ouvrant ainsi les comptes Gmail auxquels ces cookies faisaient référence, sans aucun besoin de mot de passe !

Gmail n'est pas seulement concerné, la démonstration a aussi touché d'autres fournisseurs de webmail. Le conseil de Graham est alors simple : crypter ses communications dès lors que l'on utilise un réseau WiFi ouvert, un chiffrement VPN ou SSL suffira.

« Vous êtes un idiot si vous utilisez un HotSpot T-Mobile. Là je vois les cookies de dix personnes sur mon écran, j'ai juste à cliquer sur une des IP affichées et je suis dedans. Et une fois dans le compte Google de quelqu'un, vous seriez surpris du contenu que l'on y trouve » explique Graham à TG Daily. Gloups !