Hakiranje putem Wi-Fi-ja objasnilo: uklanjanje SSL-a

“Kako ostati siguran u mreži!” Ovih je dana uobičajen naslov. Nekoliko nam je puta rečeno da je besplatni javni Wi-Fi “opasan”, da su naši privatni podaci “ranjivi”, te da bismo trebali poduzeti korake da se “zaštitimo”. Ti su izrazi, međutim, nejasni. Kao rezultat toga, prijetnja “biti hakiran” može se činiti dalekom i nevažnom.

Zbog toga je ExpressVPN krenuo snimiti vrlo realan, specifičan napad koji bi vam se mogao dogoditi danas:

U gornjem videozapisu, Samet krade Natalieinu lozinku Hotmail koristeći napad čovjeka u sredini nazvan SSL stripping. Još zastrašujuće, isti napad može djelovati i na web lokacijama poput Amazona i Citibank.

Što je uklanjanje SSL-a?

U videozapisu Samet koristi bežični adapter od 20 dolara i set besplatnih alata za ispitivanje penetracije koji rade na Kali Linuxu na tipičnom prijenosnom računalu kako bi identificirali Natalijevo računalo u bežičnoj mreži i slušajte njezin promet. To znači da može vidjeti Nataliein zahtjev da posjeti www.hotmail.com, presreće ga i proslijedi Hotmailu iz vlastitog računala pretvarajući se da je Natalie.

Hotmail želi da Natalie koristi HTTPS, pa vraća stranicu za prijavu šifriranu pomoću SSL-a, ali zato je Samet čovjek-in-the-middle, on može “ukloniti” (tj. ukloniti) SSL prije nego što ga proslijedi Natalie. Natalie to ne zna, ali kad upiše svoju lozinku i pritisne “Prijavi se”, ona je slanje u jasnom tekstu ravno prema Sametu. Samet dodaje SSL enkripciju prije nego što je proslijedi na Hotmail – a nitko nije mudriji.

Ako je uklanjanje SSL-a tako jednostavno, zašto nismo ranije čuli za njega?

Skidanje SSL-a prilično je poznato među sigurnosnim stručnjacima. Prvi put je predstavljena na konferenciji Black Hat 2009. u Washingtonu, DC Marlie Marlinspike, poznatiji kao genij za sigurnost iza kriptirane aplikacije za chat signala. Iznenađujuće, napad i dalje djeluje unatoč tome što je imao više od 8 godina!

Promijenilo se to što su neke web lokacije implementirale novi protokol pod nazivom HSTS (stroga HTTP sigurnost prijevoza) dizajniran za sprečavanje skidanja SSL-a. Web-lokacije koje koriste HSTS omogućuju pregledniku samo zahtjeve na HTTPS-u, a ne nepreglednom HTTP-u poput one koju je Samet prvi presreo od Natalie.

Skidanje SSL-a više ne funkcionira s Facebookom ili Gmailom jer su se u potpunosti prebacili na HTTPS i implementirali HSTS. Međutim, još uvijek postoje mnoge popularne web stranice, poput Hotmail, Amazon, eBay, i Citibank, koji nisu potpuno napustili HTTP i stoga još ne ispunjavaju uvjete za HSTS.

Kako se zaštititi od uklanjanja SSL-a

Skidanje SSL-a može izgledati kao težak napad za obranu, jer djeluje na mnogim uređajima i mrežama. Osjetljivi ste na uklanjanje SSL-a bez obzira jeste li na mobilnom ili stolnom računalu, Windows-u ili Mac-u, i nije važno jeste li besplatni javni Wi-Fi ili privatna mreža zaštićena lozinkom. Možete čak i hakirati susjeda koji je ušao u kućni Wi-Fi! (Neke su poslovne mreže, poput mreža korporacija ili škola konfigurirane za zaštitu od napada poput skidanja SSL-a.)

Ako ste dovoljno pametni da prepoznate da ikona HTCPS lokota nedostaje na adresnoj traci preglednika, jednostavno možete uhvatiti SSL striptizete u djelu. Ali, prema Sametu, takva budnost često nije dovoljna:

“Samo zato što URL kaže” https “i izgleda legalno, ne znači da ste sigurni i da se netko na toj mreži ne igra prljavo. Zbog toga se, prema mom osobnom mišljenju, preporučuje upotreba VPN-a. “—Samet

Kako VPN sprečava uklanjanje SSL-a

U drugoj polovici videa, Natalie se povezuje na siguran ExpressVPN poslužitelj u New Yorku prije nego što se prijavila u Hotmail. Sav njezin promet sada se šalje putem privatnog, šifriranog tunela umjesto kroz javnu mrežu koju Samet osluškuje.

Sada Sametu nije vidljiv nijedan Natalijin promet, čak ni početni zahtjev Hotmail-a koji je prethodno koristio za pokretanje SSL trake. Napad koji radi na Sametovom stroju zaglavljen je na ekranu za preslušavanje, čekajući promet koji nikad neće doći. U ovom trenutku, zlonamjerniji haker vjerojatno bi prešao na drugu žrtvu na mreži koja nije koristila VPN!