Se sfoglio un sito Web tramite HTTPS utilizzando una VPN, i dati possono essere annusati in qualche modo?

Question

Se sfoglio un sito Web tramite HTTPS utilizzando una VPN, i dati possono essere annusati in qualche modo?

#1 da (6 voti)
#2 da (1 voti)

0

Ho comprato ieri un volo da un sito americano. Nel mio paese, i biglietti sono troppo costosi. Pertanto, ho utilizzato una IPVanish VPN per esplorare il sito web della compagnia aerea. Sembra come se l'avessi visitato da New York.

Prezzi più bassi, molta felicità. Tuttavia, ho pagato con carta di credito e ho preso il volo, ma dopo 6 ore, la mia carta è stata clonata negli Stati Uniti e bloccata.

Non sono sicuro che la mia carta di credito sia stata clonata ieri. Potrebbe essere stato clonato mesi fa e per coincidenza usato ieri per la prima volta.

Quindi ti sto ponendo questa domanda:

Ho sfogliato il sito web e ho pagato tutto il tempo tramite HTTPS. Considerando che stavo usando una VPN, è possibile un attacco "man in the middle" in questo caso? I dati potrebbero essere stati annusati dal provider VPN o da chiunque altro annusando la linea?

Voglio capire se è impossibile che i dati della mia carta di credito siano stati scoperti ieri o che ci sia una piccola possibilità.

EDIT IMPORTANTE:

Si prega di evitare risposte come "sei sicuro che la carta è stata clonata?". Siamo sicuri al 100% che la carta sia stata clonata. In realtà, ciò che è sospetto non è l'acquisto del biglietto (che è andato bene e non ha allertato la banca), ma una transazione POS negli Stati Uniti di 7 USD che si è verificato 5 ore dopo. Considerando che vivo in Italia è impossibile per me pagare fisicamente con un POS negli Stati Uniti, quindi la banca ha bloccato la carta e confermo che hanno fatto bene perché non ho mai comprato nulla per 7USD a 4,00AM dall'altra parte del mondo.

credit-card tls man-in-the-middle fraud

posta Alberto Fontana 13.11.2015 - 12:52

fonte

2 risposte

1

Se la tua connessione è stata crittografata, purché non abbia affatto compromesso la tua catena di certificati SSL, e il certificato per la compagnia aerea che hai scelto non sia stato compromesso, e ti sei effettivamente collegato HTTPS, direi molto probabilmente non eri MITM su HTTPS.

Ciò che un fornitore di VPN può FARE, tuttavia, è impostare un attacco MITM togliendo HTTPS alla fine e poi facendoti completare la transazione tramite HTTP (questo è chiamato SSLstrip). Alla compagnia aerea sembrerebbe ancora che tu fossi su una connessione sicura, ma fino a quando non ti sei accorto che sei passato a HTTP durante la procedura di checkout, sarebbero stati in grado di annusarti.

Un'altra alternativa è che la tua macchina locale potrebbe essere compromessa e il numero della carta potrebbe essere stato preso tramite keylogger o plug-in del browser.

risposta data 13.11.2015 - 15:09

fonte

Leggi altre domande sui tag credit-card tls man-in-the-middle fraud

Perfetta segretezza d'inoltro usando XOR C'è un uso per GPG / PGP per le persone occasionali che sono semplicemente preoccupate per la loro privacy?

score 6 · Accepted Answer

Se hai veramente usato un vero HTTPS end-to-end, nessuno tra tra il tuo client e il server potrebbe annusarlo, non importa se VPN o meno. Ovviamente ciò significa che esiste una convalida del certificato appropriata e che non è stato saltato alcun avviso sui certificati non validi.

Quindi considererei più probabile che i dati siano stati annusati prima che venissero crittografati o dopo che sono stati decifrati, cioè al di fuori del tunnel HTTPS. Potrebbe trattarsi di attacchi del genere:

Il server del commerciante è stato violato e i dati della carta sono stati divulgati all'autore dell'attacco. Oppure la perdita di dati era nel processore della scheda.
O perdita di dati sul tuo computer, ad esempio un'estensione del browser o altro tipo di malware che raccoglie le informazioni della carta di credito prima che vengano crittografate con HTTPS.
O sei stato indotto a visitare il sito sbagliato. Se stai cercando il prezzo più economico potrebbe essere che sei stato semplicemente indotto a visitare un sito web bello e affidabile che alla fine non era così buono e sicuro. Potrebbe essere che il negozio potesse semplicemente offrire i prezzi più economici perché poi ha usato i dati delle carte anche in un altro modo.

Tieni presente che l'utilizzo di HTTPS si limita ad assicurare che nessuno in mezzo possa leggere i dati. Non dice nulla di quanto sia affidabile un sito e quanto sia buona la sicurezza a lato. Tutti possono ottenere un certificato per il sito, anche i cattivi. E non aiuta se il tuo sistema non è sicuro.