Ho sentito parlare di strip ssl in passato che consentiva agli attacchi man in the middle contro i browser, ma queste vulnerabilità sono state riparate molto tempo fa. Quindi la mia domanda è ... c'è ancora qualche forma di attacco che può essere usata per aggirare la crittografia ssl sui siti ed eseguire attacchi man in the middle?
Inoltre quali sono le precauzioni o le misure preventive che possiamo adottare per prevenire questa forma di attacco?
Sslstrip non è un attacco contro SSL . Non è mai stato. È un attacco contro HTTP (non HTTPS): cerca punti in cui un sito Web HTTP (quindi non protetto) tenta di passare a HTTPS e impedisce che ciò accada. Quindi non c'è SSL per cominciare.
Per contrastare sslstrip (che funziona ancora, per definizione), i siti Web devono:
https:// nella barra degli indirizzi del browser, con l'icona del lucchetto e così via; Non sono noti attacchi MitM contro utilizzati correttamente SSL . "Uso corretto" include, in particolare, un utente che fa non clic su avvisi relativi a certificati server non validi. Si riduce sempre all'utente.
Ci sono altri vettori per MITM in SSL. Ad esempio:
Utilizzo di un codice debole con funzione di hashing debole (si pensi a DES con MD2, gasp ...)
Utilizzo di una versione SSL obsoleta (ad es. SSL 2.0, che per qualche strana ragione alcuni siti supportano anche ora).
Usando un client o un server che non fa 1 o 2, ma permetti di farlo (l'attaccante può causare attacchi di downgrade e costringere le parti a usare un algoritmo di cifrario / SSL più debole, quindi scoppiare da lì)
Ciò consente a un utente malintenzionato di eseguire MITM violando la crittografia o il protocollo stesso, rimanendo comunque trasparente all'utente o al server.
E poi, ci sono attacchi di rappresentazione con un certificato SSL convalidato da una CA valida. L'attaccante ottiene una CA per firmare il suo certificato per il sito di destinazione (che non possiede), quindi si trova nel mezzo del client e del server, impersonando come server per il client). Tuttavia, questo attacco è raro e richiede un bel po 'di risorse, come uno stato nazione che obbliga una CA a firmare il suo certificato MITM, o compromettendo la CA stessa (vedi l'incidente di DigiNotar).
Leggi altre domande sui tag tls man-in-the-middle