Wyjaśnienie hakowania Wi-Fi: usuwanie SSL

Zrzut ekranu z hakowaniem Wi-Fi

„Jak zachować bezpieczeństwo online!” To dziś popularny nagłówek. Wielokrotnie mówi się nam, że bezpłatne publiczne Wi-Fi jest „niebezpieczne”, że nasze prywatne dane są „podatne na zagrożenia” i że powinniśmy podjąć kroki w celu „ochrony” siebie. Warunki te są jednak niejasne. W rezultacie groźba „włamania” może wydawać się odległa i nieistotna.

Właśnie dlatego ExpressVPN postanowił sfilmować bardzo prawdziwy, konkretny atak, który może się dziś zdarzyć:

Na powyższym filmie Samet kradnie hasło Natalie Hotmail przy użyciu ataku man-in-the-środkowego zwanego strippingiem SSL. Jeszcze bardziej, ten sam atak może działać na stronach takich jak Amazon i Citibank.

Co to jest usuwanie SSL?

W filmie Samet korzysta z bezprzewodowego adaptera za 20 USD i zestawu bezpłatnych narzędzi do testowania penetracji działających w systemie Kali Linux na typowym laptopie w celu zidentyfikowania komputera Natalie w sieci bezprzewodowej i słuchaj jej ruchu. Oznacza to, że może zobaczyć prośbę Natalie o odwiedzenie strony www.hotmail.com, przechwycenie jej i przesłanie jej do Hotmaila z własnego komputera, podając się za Natalie.

Hotmail chce, aby Natalie używała HTTPS, więc odsyła stronę logowania zaszyfrowaną za pomocą SSL, ale ponieważ Samet jest człowiek w środku, może „usunąć” (tj. usunąć) SSL przed przesłaniem go do Natalie. Natalie nie wie, ale kiedy wpisuje hasło i naciska „Zaloguj się”, jest wysyłanie go w postaci zwykłego tekstu prosto do Samet. Samet dodaje szyfrowanie SSL przed przekazaniem go do Hotmaila – i nikt nie jest mądrzejszy.

Jeśli usuwanie SSL jest tak łatwe, dlaczego wcześniej o nim nie słyszeliśmy?

Usuwanie pasków SSL jest dość dobrze znane wśród specjalistów ds. Bezpieczeństwa. Po raz pierwszy został zaprezentowany na konferencji Black Hat 2009 w Waszyngtonie przez Marlie Marlinspike, lepiej znany jako geniusz bezpieczeństwa stojący za zaszyfrowaną aplikacją czatową Signal. O dziwo, atak nadal działa, mimo że ma ponad 8 lat!

Zmieniło się to, że niektóre witryny wdrożyły nowy protokół o nazwie HSTS (HTTP Strict Transport Security) zaprojektowany w celu udaremnienia usuwania SSL. Witryny, które używają HSTS, zezwalają przeglądarce tylko na wysyłanie żądań w HTTPS, a nie w postaci zwykłego tekstu HTTP, takiego jak ten, który Samet po raz pierwszy przechwycił od Natalie.

Stripowanie SSL nie działa już z Facebookiem ani Gmailem, ponieważ całkowicie przełączyły się na HTTPS i zaimplementowały HSTS. Jednak nadal istnieje wiele popularnych witryn, takich jak Hotmail, Amazonka, eBay, i Citibank, które nie całkowicie zrezygnowały z HTTP, a zatem nie kwalifikują się jeszcze do HSTS.

Jak chronić się przed usunięciem SSL

Usuwanie SSL może wydawać się trudnym atakiem, przed którym trzeba się bronić, ponieważ działa na wielu urządzeniach i sieciach. Jesteś podatny na usuwanie SSL bez względu na to, czy korzystasz z telefonu komórkowego, komputera stacjonarnego, systemu Windows lub komputera Mac, i nie ma znaczenia, czy korzystasz z bezpłatnej publicznej sieci Wi-Fi czy prywatnej sieci chronionej hasłem. Możesz nawet zostać zhakowany przez sąsiada sąsiadującego z domową siecią Wi-Fi! (Niektóre sieci korporacyjne, takie jak korporacje lub szkoły, są skonfigurowane do ochrony przed atakami, takimi jak usuwanie SSL).

Jeśli masz wystarczającą wiedzę techniczną, aby rozpoznać brakującą ikonę kłódki HTTPS na pasku adresu przeglądarki, możesz po prostu złapać narzędzie do usuwania SSL podczas działania. Ale według Sameta taka czujność często nie wystarcza:

„Tylko dlatego, że adres URL mówi„ https ”i wygląda na zgodny z prawdą, nie oznacza to, że jesteś bezpieczny i że ktoś w tej sieci nie jest brudny. Dlatego moim zdaniem zdecydowanie zaleca się korzystanie z VPN ”. —Samet

Jak VPN zapobiega usuwaniu SSL

W drugiej połowie filmu Natalie łączy się z bezpiecznym serwerem ExpressVPN w Nowym Jorku przed zalogowaniem się do usługi Hotmail. Cały jej ruch jest teraz przesyłany przez prywatny, zaszyfrowany tunel zamiast publicznej sieci, której nasłuchuje Samet.

Teraz żaden ruch Natalie nie jest widoczny dla Samet, nawet wstępna prośba do Hotmaila, którą wcześniej użył do zainicjowania paska SSL. Atak działający na maszynie Sameta utknął na ekranie odsłuchu, czekając na ruch, który nigdy nie nadejdzie. W tym momencie bardziej złośliwy haker prawdopodobnie przeniósłby się na inną ofiarę w sieci, która nie korzystała z VPN!

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me