Izvedba popolnega MITM napada

Kot na svojem blogu poroča Eddy Nigg, je tokrat Božiček hekerjem prinesel odlično darilo - popoln napad s posrednikom.

Napad s posrednikom, znan tudi pod imenom MITM (man-in-the-middle) napad, je posebna oblika napada, kjer napadalec skuša "prisluškovati" šifriranemu prometu med žrtvijo in spletnim (ali drugim) strežnikom. Deluje tako, da napadalec preko sebe preusmeri ves promet do nekega https strežnika, žrtvi podtakne lažen SSL certifikat, promet pa nato dešifrira in pošilja dalje do pravega strežnika.

Vendar pa se je do sedaj napade s posrednikom dalo zaznati na relativno enostaven način. Ker naj bi izdajatelji SSL certifikatov preverili identiteto oseb, ki se predstavljajo za upravitelje varnih spletnih strani, napadalec ne more dobiti s strani zaupanja vredne strani (tim. Certificate Authority) podpisanega certifikata. Zato je prisiljen izdati samopodpisan certifikat, kar pa sodobni spletni brskalniki zaznajo in o tem izpišejo ustrezno opozorilo.

A kot je ugotovil Eddy Nigg, je mogoče zaobiti tudi to prepreko. Nekateri ponudniki SSL certifikatov, npr. podjetje Comodo, namreč v želji po pridobivanju novih strank izdajajo začasne, 90-dnevne brezplačne certifikate, pri tem pa ne preverjajo identitete prosilca certifikata.

Ker Comodo ne preverja identitete prosilca certifikata, je postopek za pridobitev lažnega certifikata otročje preprost. Najprej je potrebno zgenerirati lažno CRS (Certificate Request) datoteko, vsebino datoteke pa nato preko spletne strani pošljemo izdajatelju certifikatov Comodo in v naslednjem koraku že brezplačno dobimo lažni certifikat.

Pri tem seveda lahko napadalec vpiše celo lažen oziroma neobstoječ (preverjeno!) e-naslov, paziti mora le, da s pomočjo posrednika (proxya) ali anonimizacijskega omrežja Tor zakrije svoj pravi IP naslov.

V primeru, da bo sedaj napadalec pri napadu s posrednikom uporabil takšen certifikat, spletni brskalnik žrtvi ne bo izpisal nikakršnega opozorila glede (ne)veljavnosti SSL certifikata.

Ker sistem podpisovanja certifikatov predvideva zaupanje v tim. zaupanja vredno tretjo stranko (Certificate Authority - CA), enostavne obrambe pred zlonamerno ali malomarno zaupanja vredno tretjo stranko ni. Ena možnost je, da razvijalci spletnih brskalnikov ob naslednjem paketu varnostnih popravkov takšno organizacijo odstranijo iz seznama zaupanja vrednih CA-jev, druga možnost pa je, da uporabimo dodatek za Firefox Petname Tool, ki uporabnikom omogoča, da za vsako SSL šifrirano spletno stran sami določijo ali ji zaupajo ali ne.