Firesheep a été créé par Eric Butler, un développeur de logiciels de Seattle qui souhaite mettre en évidence les risques de sécurité associés aux détournements de session, aussi connu sous le nom sidejacking. Le service cible 26 services en ligne dont les plus populaires tels qu'Amazon, Facebook, Foursquare, Google, le New York Times, Twitter, Windows Live, Wordpress et Yahoo. L'extension est également personnalisable permettant à un pirate de cibler d'autres sites non répertoriés par le programme.

Comment fonctionne Firesheep

Firesheep est essentiellement un « sniffeur » (renifleur) de paquets qui permet d'analyser tout le trafic web sur une connexion WiFi ouvert entre le routeur sans fil et les PC avoisinant. L'extension attend que quelqu'un se connecte à l'un des 26 sites répertoriés dans la base de Firesheep. Lorsque vous vous connectez à Amazon, par exemple, votre navigateur communique avec le cookie spécifique du site de e-commerce. Ce cookie comprend des informations d'identification personnelle telles que votre nom d'utilisateur et le numéro de session.

Comme le navigateur transmet et reçoit des informations du site web via le cookie, un tiers peut détourner ce dialogue et capturer des données comme le nom d'utilisateur et le numéro de session. Normalement, le cookie ne contient  pas de mot de passe. Mais même sans ce dernier, le fait que Firesheep capte le cookie de session signifie qu'un pirate peut, du moins en théorie, accéder à ce compte et disposer d'un accès pratiquement illimité dessus. Si le pirate a obtenu un cookie Yahoo Mail, il pourrait envoyer un e-mail. Toutes les opérations qui requièrent votre mot de passe, cependant, comme l'accès à vos informations de carte de crédit sur Amazon ne devrait pas être possible en utilisant Firesheep.

Les limites de l'exercice

Il ne fait aucun doute que Firesheep met en évidence une importante faille de sécurité de navigation sur le web qui pourrait exposer ses comptes à un hacker malveillant. Mais il est également important de garder à l'esprit que le sidejacking a ses limites. L'utilisation du logiciel n'est pas susceptible d'exposer les mots de passe utilisateur. Ainsi, un pirate peut être en mesure d'utiliser Firesheep pour prendre des mesures en votre nom, comme envoyer un e-mail, mettre à jour son statut ou envoyer un tweet. Mais il est peu probable que ce service soit utilisé pour voler de l'argent à partir d'un mot de passe.

Firesheep est aussi inefficace contre les accès sécurisés aux différents sites cités précédemment. Il suffit d'y accéder en insérant HTTPS dans l'adresse. Firefox gère ce type d'extension notamment pour les sites comme Facebook ou Yahoo. Le développeur du programme milite d'ailleurs dans cette direction.