Wi-Fi uzlaušanas skaidrojums: SSL noņemšana

Šajās dienās izplatīts virsraksts ir “Kā saglabāt drošību tiešsaistē!”. Mums atkārtoti tiek teikts, ka bezmaksas publiskais Wi-Fi ir “bīstams”, ka mūsu privātie dati ir “neaizsargāti” un ka mums ir jāveic pasākumi, lai “aizsargātu” sevi. Šie termini tomēr ir neskaidri. Rezultātā draudi “uzlauzšanai” var šķist tāli un nebūtiski.

Tieši tāpēc ExpressVPN sāka filmēt ļoti reālu, specifisku uzbrukumu, kas šodien varētu notikt ar jums:

Iepriekš redzamajā videoklipā Samets nozog Natālijas Hotmail paroli, izmantojot uzbrukumu vīrietim, ko sauc par SSL noņemšanu. Skarbāk, tas pats uzbrukums var darboties tādās vietnēs kā Amazon un Citibank.

Kas ir SSL noņemšana??

Videoklipā Samet izmanto USD 20 bezvadu adapteri un bezmaksas iekļūšanas pārbaudes rīku komplektu, kas darbojas ar Kali Linux tipiskā klēpjdatorā, lai identificētu Natālijas datoru bezvadu tīklā un klausieties viņas satiksmi. Tas nozīmē, ka viņš var redzēt Natālijas lūgumu apmeklēt vietni www.hotmail.com, to pārtvert un no sava datora pārsūtīt Hotmail, izliekoties par Natāliju..

Hotmail vēlas, lai Natālija izmanto HTTPS, tāpēc tā nosūta atpakaļ pieteikšanās lapu, kas šifrēta, izmantojot SSL, bet tāpēc, ka Samet ir cilvēks-pa vidu, viņš var “noņemt” (t.i., noņemt) SSL, pirms to pārsūtīt Natālijai. Natālija to nezina, bet, ievadot paroli un noklikšķinot uz “Pierakstīties”, viņa to zina nosūtot to skaidrā tekstā taisni uz Samet. Samet pievieno SSL šifrēšanu pirms pārsūtīšanas uz Hotmail – un neviens nav gudrāks.

Ja SSL noņemšana ir tik vienkārša, kāpēc gan mēs par to nebijām dzirdējuši iepriekš?

SSL noņemšana ir diezgan labi pazīstama drošības profesionāļu vidū. Pirmoreiz to iepazīstināja 2009. gada konferencē Black Hat Vašingtonā DC Marlie Marlinspike, labāk pazīstams kā drošības ģēnijs aiz šifrētās tērzēšanas lietotnes Signal. Apbrīnojami, ka uzbrukums joprojām darbojas, neskatoties uz to, ka tas ir vairāk nekā 8 gadus vecs!

Mainījās tas, ka dažas vietnes ir ieviesušas jaunu protokolu ar nosaukumu HSTS (HTTP stingra transporta drošība) kas paredzēts, lai kavētu SSL noņemšanu. Vietnes, kurās tiek izmantota HSTS, pārlūkam ļaus veikt pieprasījumus tikai HTTPS, nevis vienkārša teksta HTTP, piemēram, tāds, kādu Samet vispirms pārtvēra no Natalie.

SSL noņemšana vairs nedarbojas ar Facebook vai Gmail, jo tie ir pilnībā pārslēgušies uz HTTPS un ieviesuši HSTS. Tomēr joprojām ir daudz populāru vietņu, piemēram Karstais pasts, Amazon, eBay, un Citibank, kas nav pilnībā atteicies no HTTP un līdz ar to vēl nav piemērots HSTS.

Kā pasargāt no SSL noņemšanas

SSL noņemšana varētu šķist grūts uzbrukums, lai aizstāvētos, jo tas darbojas daudzās ierīcēs un tīklos. Jums ir jūtīgums pret SSL noņemšanu neatkarīgi no tā, vai izmantojat mobilo vai galddatoru, Windows vai Mac, un nav nozīmes tam, vai izmantojat bezmaksas publisko Wi-Fi vai ar paroli aizsargātu privāto tīklu. Jūs pat varētu uzlauzt, ja blakus esošais kaimiņš snoop jūsu mājas Wi-Fi! (Daži uzņēmumu tīkli, piemēram, korporāciju vai skolu tīkli, ir konfigurēti, lai aizsargātu pret tādiem uzbrukumiem kā SSL izģērbšana.)

Ja esat pietiekami lietpratīgs, lai atpazītu HTTPS piekaramās atslēgas ikonu, kas trūkst jūsu pārlūkprogrammas adreses joslā, varat vienkārši notvert SSL noņēmēju. Bet, pēc Samet teiktā, ar šādu modrību bieži vien nepietiek:

“Tikai tāpēc, ka vietrādī URL ir rakstīts“ https ”un tas izskatās likumīgi, tas nenozīmē, ka esat drošs un ka kāds no šī tīkla nespēlē netīri. Tāpēc, manuprāt, ir ļoti ieteicams izmantot VPN. ”—Samats

Kā VPN novērš SSL noņemšanu

Videoklipa otrajā pusē Natālija pirms pieslēgšanās Hotmail izveido savienojumu ar drošo ExpressVPN serveri Ņujorkā. Visa viņas satiksme tagad tiek nosūtīta caur privātu, šifrētu tuneli, nevis publisko tīklu, kuru klausās Samet.

Tagad Samet nav redzams neviens no Natālijas datplūsmas, pat nav sākotnējais pieprasījums Hotmail, kuru viņš iepriekš izmantoja, lai sāktu SSL sloksni. Uzbrukums, kas notiek uz Samet mašīnas, ir iestrēdzis pie klausīšanās ekrāna, gaidot satiksmi, kas nekad nenāk. Šajā brīdī ļaunprātīgāks hakeris, iespējams, pāriet pie cita tīkla upura, kurš neizmantoja VPN!