Proxy Non-HTTPS effettua l'accesso tramite EC2

0

Ho pensato molto alla sicurezza delle password in questi giorni, e ho sempre più esitato a utilizzare servizi con moduli di accesso che non sono su HTTPS. Mentre stavo ricercando la sicurezza, ho giocato con Cain & Abel sulla mia rete locale per vedere quanto sarebbe facile eseguire un attacco man-in-the-middle sui siti che non usano HTTPS. Sfortunatamente, è abbastanza facile.

Quindi ho cercato di trovare dei modi per aggirare questo problema. Non è realistico aspettarsi che io - e certamente il resto del mondo che ignora la sicurezza - smetta semplicemente di usare servizi che non usano HTTPS. Ce ne sono troppi che non lo fanno.

Il piano a cui sono più interessato in questo momento utilizza un sistema proxy su un'istanza EC2 per effettuare accessi da remoto, quindi restituire la sessione protetta / i cookie. Essenzialmente, il flusso sarebbe simile a questo:

  1. L'utente invia username / password e cookie di dominio su SSL a un'istanza EC2.
  2. L'istanza EC2 utilizza i cookie per imitare la sessione dell'utente e invia una richiesta di accesso.
  3. L'istanza EC2 restituisce all'utente eventuali nuovi cookie, nonché eventuali reindirizzamenti che potrebbero essere stati richiesti dal server di login
  4. L'utente imposta i cookie per la risposta EC2 e aggiorna (se non ci sono reindirizzamenti) o reindirizza all'URL specificato.

La sicurezza qui si basa sul fatto che le istanze EC2 sono distribuite e anonime, rendendole abbastanza sicure contro gli attacchi man-in-the-middle. Certamente c'è ancora una possibilità, ma nella mia mente questo riduce notevolmente i rischi di inviare password a siti non SSL.

Ci sono dei buchi di sicurezza qui che non vedo? C'è un reale vantaggio in termini di sicurezza nel fare login in questo modo?

    
posta jwegner 16.10.2012 - 15:31
fonte

1 risposta

2

Trovo piuttosto dubbioso che l'idea che le istanze di EC2 siano "distribuite e anonime" le rende "abbastanza sicure contro gli attacchi man-in-the-middle". Ciò potrebbe rendere l'operazione più difficile per il tuo nemico nemico che ti sta seguendo specificamente , ma non farà molta differenza contro un utente malintenzionato che vuole solo raccogliere le password in modo abbastanza impersonale.

L'unico vantaggio tangibile che vedo è che rafforza il tuo collegamento di campo vicino - in genere, contro alcuni cattivi che usano lo stesso hotspot wireless di te. Tuttavia, sarebbe più semplice e più approfondito utilizzare il tuo sistema esterno (i nodi EC2) come proxy generico per tutto il tuo traffico Web: questo è molto semplice da fare con ssh (setup a Proxy SOCKS con ssh -D e configura il tuo browser per usarlo; PuTTY può anche farlo). È anche possibile installare un proxy HTTP che si contatta tramite HTTPS. Oppure, ancora più completo, tunnel tutto il tuo traffico attraverso una VPN (vedi OpenVPN ).

Tale proxy non ti proteggerà dagli attacchi su vasta scala (es. MitM attivato attraverso avvelenamento DNS ) ma darà una certa protezione contro gli stalker a bassa potenza che eseguono i loro malvagi criminali solo a livello locale. Almeno non danno .

(E anche a Amazon piacerà molto il tuo schema.)

    
risposta data 16.10.2012 - 17:17
fonte

Leggi altre domande sui tag