Firesheep ser dig - vad gäller nu?

1: nej det hjälper inte.
2: nej det är inte säkert att surfa på wlan där det finns andra användare du inte har kontroll över.

Det räcker ju dessutom inte att inloggningssidan har https. ALLA sidor du kommer till efter inloggningssidan måste ha https oxå annars skickas ju cookien helt i klartext över http och kan avlyssnas och användas av andra!

Men om anslutningen är krypterad med wpa eller liknande? Same shit då med?

Javisst de andra ligger ju på samma nätverk (och kör samma WPA).
WPA skyddar bara mot de som inte finns på WLANet.

Ett tips är att skaffa en billig VPN som du använder när du t.ex är på ett hotell, det hjälper mot just detta "hack".

Tja, det är bara att vänta på att siterna uppgraderas. Kan redan nu lova dig att det finns folk som har uppgraderat Firesheep så att de kan sno folks inloggningar på mer riskabla och värdefulla sidor som Amazon, eBay, PayPal etc. Antagligen kommer de mest kritiska sidorna uppgraderas snart, men det är svårt att undvika att cookien blir kidnappad.

Grejen är, för ett par år sen byggde jag ett eget inloggningssystem till en site där cookien ändrades efter varje sidvisning. Skickade du en gammal cookie så blev du automatiskt utloggad, just för att förhindra session hijacking. Ska jag vara helt ärlig är jag väldigt förvånad att ingen använder ett liknande system idag?

Tips på något som håller koll på vad datorn gör.

Dåligt. Du är ju på ett "öppet" trådlöst nätverk.
Kör VPN!

Little Snitch är inte till någon hjälp i det här sammanhanget. Att din webbläsare eller mejlklient kommunicerar med nätet är ju verkligen inget som höjer ögonbrynen.

Jag har en liten undran: "drabbas" jag även om jag inte kör Firefox?

Kör VPN eller håll er från öppna trådlösa nätverk, det är det enda som funkar.

Jag har testat firesheep på olika hotell och sett ett 20 tal olika konton snurra förbi min dator.

Eller när ni kör på öppet trådlöst så håll er från att surfa på något med inloggning. (så har det iofs alltid varit och enda skillanden nu är att det är enkelt för vem som helst att se vad ni gör)

Jag måste säga att Firesheep är genialt för det sätter verkligen fingret på hur sårbart det varit under en lång tid. För precis som du skriver så har kunskapen funnits där ute länge men inte varit lättillgänglig.

Det är förstås inte så trevligt att bli drabbad av att någon använder detta, men jag tror det är något liknande som behövs för att lyfta upp frågan. Illassinnande datakunniga personer har redan kunnat göra detta mot dig länge och folk har varnat för det men det har inte nått ut. Men Firesheep blev förstasidesnyhet och nådde ut på ett helt annat sätt. Det hör inte till vanligheterna att man hör "ett tillägg till webbläsaren Firefox" i TV4:s morgonprogram

Kanske kan detta också lyfta fram VPN-lösningar för massorna på ett annat sätt än tidigare, eftersom någon typ av VPN-tunnel är den säkra lösning som alla borde köra när de använder ett publikt nät.

För 12 år sedan kunde man lika enkelt kolla någons hotmail när de var inloggade på samma ip.

Det är ju oerhört "kul" att se att säkerhetstänkandet på stora siter idag inte blivit bättre.

Är policyn damage control eller jobbas det i förebyggande syfte någonstans?

Själv har jag inte Facebook

Google har SSL på alla sina tjänster, men de är i minoritet. Ett problem, speciellt med gratistjänster är ju att SSL kostar mer datorkraft att driva.

En idé även fast den är något krånglig hade ju varit att ha en central för sina lösenord till forum/communitys och andra webtjänster.
Man har sitt lösenord till sin central och när du fyller i ditt lösenord på Facebook/Ginza/nåt så hämtas ett tillfälligt lösenord till den specifika sidan.
Detta skulle ju förstås kräva att centralen hade tillgång till webtjänsten och med jämna mellanrum kunde skapa/ändra lösenord till tillfälliga som du i sin tur då inte behöver kunna...

Här är en liten tabell över några populära siter och tjänsters sårbarhet.

Finns ett vertyg för att motverka Firesheep nu:

Slashdot News Story | Firesheep Countermeasure Tool BlackSheep

Lite sent i diskussionen, men gör ett inlägg ifall någon får nytta av det.
Kör själv med VPN mot jobbet, men vad jag förstått från nätverkskillarna så beror det på hur du ställt in vpn:en.
I vårt fall kör vi nog så att enbart trafiken mot företaget är genom tunneln. All annan kör via klientens egen uppkoppling.
Anledningen till detta är att annars riskerar det bli hög belastning när folk surfar via arbetets pipa. Där anses det bara behöva gå kontorstrafik, inte all annan.
Är 90% säker på detta. Kan någon verifiera?
Detta borde ju innebära att åtminstone i vårt fall, och andras som är konfade på samma sätt, är det sårbart för firesheep, ÄVEN om jag kör vpn.

Jo det är möjligt: Split tunneling - Wikipedia, the free encyclopedia

Och ja, om den trafiken du vill ha skyddad faller utanför VPN-tunneln så är den lika osäker som vanligt.