Come potrebbe un attaccante MITM un Joe medio?

I vettori MitM più comuni sono qualsiasi tipo di rete condivisa. Questo può variare dall'utilizzo del WiFi del tuo vicino (qui loro, o almeno il loro router, sono automaticamente in una posizione MitM), a lasciare il WiFi aperto (consente a un utente malintenzionato di connettersi e fare spoofing ARP), all'utilizzo di reti pubbliche nelle caffetterie , aeroporti, hotel, scuole, ecc. (il proprietario ha MitM automatico, altri sulla rete possono utilizzare lo spoofing ARP), alle reti aziendali / di lavoro (l'amministratore ha MitM, altri potrebbero non essere in grado di ottenerlo).

Anche la connessione accidentale a reti dannose è un rischio. È molto facile impostare un punto di accesso "falso" (utilizzando un PC) con un SSID e una password arbitrari; se il tuo laptop / tablet / telefono è impostato per connettersi automaticamente a una rete conosciuta e l'utente malintenzionato può falsificare quella rete (ad esempio, forse è quella del tuo bar preferito, anche se non ci sei tu adesso), quindi l'attaccante può usarlo per ottenere una posizione MitM quando il dispositivo si connette automaticamente. La maggior parte delle persone lascia che i propri dispositivi si connettano automaticamente a qualsiasi rete che hanno visto prima (e alcuni addirittura si collegano a reti popolari che non hanno mai visto prima), il che li mette a rischio di tali attacchi.

TUTTAVIA, tutte le minacce menzionate finora sono abbastanza ridotte fintanto che viene utilizzato HSTS (o l'applicazione evita di utilizzare sempre HTTP non sicuro). Ci sono ancora alcuni rischi. Ad esempio, Heartbleed potrebbe essere utilizzato contro i client anche se il server è stato riparato, supponendo che l'attaccante avesse una posizione MitM e alcuni client TLS sono ancora vulnerabili perché le persone non sono brave a inviare aggiornamenti al vecchio software. In generale, però, è difficile attaccare efficacemente qualcuno in questo modo.

Infine, tuttavia, c'è il rischio di interferenze a livello di ISP o di backbone. Molti paesi restringono Internet all'interno dei loro confini e in alcuni casi ciò avviene tramite una posizione MitM. Tali minacce sono tra le più pericolose, in quanto uno stato-nazione (in particolare) può semplicemente procurarsi certificati fraudolenti di cui quasi tutti i dispositivi si fidano, consentendo l'intercettazione del traffico TLS (a meno che non venga usato un buon pin cert).

Anche senza questo, tuttavia, non è quello raro che le CA rilascino certificati TLS a entità non fidate. Non è comune, ma succede. Inoltre, gli attacchi (come le letture arbitrarie dei file) ai server Web possono essere utilizzati per sottrarre le loro chiavi private TLS, consentendo agli aggressori di spoofare con successo tali server. In base alla mia esperienza, questa è una classe piuttosto comune di vulnerabilità. Tali certificati rubati non solo supereranno l'HSTS, ma supereranno anche il blocco dei certificati. Non esiste una difesa perfetta.

È una domanda interessante e penso che CBHacking abbia svolto un brillante lavoro di risposta. Detto questo, penso ancora che ci siano determinati vettori di attacco che devono essere esaminati più da vicino.

È stato detto che i wifi aperti o pubblici sono una buona fonte per gli attacchi di mitm, ma questo in generale è dovuto al modo in cui Joe medio utilizza la tecnologia in pubblico e la loro migliore conoscenza "limitata" di ciò che accade. Con molta paura e altre vere minacce, non sempre è ovvio fare la media a Joe quando qualcosa non va bene. Lasciatemi continuare con un esempio.

Un mio compagno di squadra e io stiamo ultimando il nostro ultimo progetto che ha lo scopo di affrontare o esaminare queste esatte preoccupazioni. Abbiamo alcune domande legali da risolvere prima di procedere e di certo non voglio divulgare troppo ma ...

Facendo riferimento a quanto Joe mediamente sensibile è realmente fermo, il mio team ha lo scopo di dimostrarlo trasmettendo una rete wireless aperta con un nome invitante in un luogo pubblico in cui ci aspettiamo un utilizzo. Il principio è che quando un client si connette, vengono reindirizzati a un captive portal chiedendo loro di installare una "Certificate Certificate Authority" prima di essere connessi.

Questo ci consente ovviamente di decrittografare una connessione client e vedere tutti i dettagli in formato testo mentre Joe medio usa la connessione completamente inconsapevole dato che il suo browser ora si fida dei nostri certificati on-the-fly. L'intento è quello di dimostrare che con un fraseggio intelligente, possiamo fare in modo che l'instillazione di qualcosa di orribilmente insicuro e pericoloso suoni come un altro livello di sicurezza in cima; la maggior parte delle persone non ha idea di cosa significhi e di ciò che permetterebbe a un uomo di fare il mezzo.

Mentre tu o io (mi piacerebbe almeno pensare) ci vestiremmo con qualcosa del genere molto rapidamente e non installassimo una CA casuale sul nostro dispositivo, non siamo i "medi Joe" del mondo e quelli che probabilmente non capisco e quasi certamente non interessa abbastanza se si blocca nel modo di Wifi gratuito!

Sarò sicuro di postare un link a uno dei nostri risultati in un secondo momento, ma capisco che questo è soggetto ad alcuni problemi legali affrontati per primi.