Impedisci al mio sito di essere sniffato e modificato da attacchi man-in-the-middle

Question

Impedisci al mio sito di essere sniffato e modificato da attacchi man-in-the-middle

#1 da (3 voti)
#2 da (3 voti)

1

Voglio proteggere il sito che è localmente utilizzato per i servizi prepagati, il sito è stato violato molte volte, per il primo passo, ho implementato SSL e ora funziona bene, tuttavia, voglio essere sicuro che l'attaccante non possa ottenere i dati dell'utente in transito perché molti utenti si connettono al sito da ristoranti o luoghi pubblici.

Uno scenario: l'utilizzo di BackTrack attacker può reindirizzare tutto il traffico HTTP su IP singolo e mostrare una pagina falsa all'utente, sapevo che il browser mostra l'errore SSL, il modo migliore per prevenire questo attacco è educare l'utente, tuttavia, voglio assicurarmi che non c'è altro modo che l'aggressore possa attaccare il sito più.

Aggiornamento: ho pianificato anche di implementare la verifica del PIN (invio di PIN casuali via SMS per ulteriori verifiche)

tls man-in-the-middle attack-prevention integrity

posta Akam 17.07.2013 - 02:44

fonte

2 risposte

Leggi altre domande sui tag tls man-in-the-middle attack-prevention integrity

Come viene garantita la sicurezza del calcolo distribuito? Come si fa un'indagine sulla rete legale forense senza alcuna conoscenza preliminare?

score 3 · Answer 1

SSL / TLS protegge solo contro i dati in volo, l'implementazione non cambierà la capacità dell'aggressore di attaccare direttamente il sito. TLS protegge da un utente malintenzionato che può vedere i dati (riservatezza) e modificare i dati (integrità). Tuttavia, come hai scoperto, è possibile che un utente malintenzionato attivi attivamente MITM e presenti un certificato non valido all'utente finale e, se l'utente finale lo accetta, tutte le scommesse sono disattivate. Sicurezza del trasporto rigoroso HTTP (HSTS) può aiutare a prevenire ciò richiedendo che tutte le visite future passino sopra HTTPS, e potrebbe (dipende da il browser) cambia il comportamento del browser quando riceve un certificato non valido. Ad esempio, Chrome non presenterà un pulsante "continua comunque" per un errore di certificato su un sito HSTS.

Tutto ciò che viene detto, gli attacchi attivi contro SSL / TLS sono relativamente rari (scusate, non ci sono numeri da tenere a portata di mano) e sono difficili da condurre su scale di grandi dimensioni (in quanto sono solitamente vicini all'utente finale, quindi solo ottenere un piccolo numero di utenti). Phishing, typo squatting o altri meccanismi simili hanno molte più probabilità di causare problemi.

Se si desidera rendere meno preziosa l'acquisizione di password (tramite SSL / TLS stripping o intercettazione, phishing o altro), implementare una strong autenticazione a due fattori, ad esempio HOTP o TOTP .

score 3 · Answer 2

SSL fa quello che stai cercando. proteggerà le connessioni contro gli attacchi sia passivi che attivi, a condizione che l'utente non faccia clic sugli avvisi del browser. Se l'utente non tiene conto di tali avvertimenti, allora è condannato, indipendentemente da ciò che fai. Se l'utente si connette senza avviso, SSL proteggerà i dati in transito. Inoltre, non c'è più nulla che tu possa fare: se SSL non ti protegge, qualsiasi cosa tu invii all'utente (ad esempio il codice Javascript) potrebbe essere alterata dall'attaccante; quindi questo è SSL, o niente lo farà. Fortunatamente, SSL è abbastanza robusto.

Si noti, tuttavia, che la maggior parte degli attacchi non riguarda l'SSL, ma piuttosto l'utilizzo di buchi nell'implementazione del proprio sito. Non è necessario provare a decifrare SSL in anticipo se un semplice attacco di SQL injection può rivelare un dump completo del database del tuo sito.