「中間者攻撃」は非常にまれですか？
"iPhoneの連絡先リストに関する論争とアプリのセキュリティに関するいくつかの考え" 、cdixonブログ
クリス・ディクソンがウェブセキュリティについて声明を発表
多くのコメンテーターは、主要なセキュリティリスクはデータがプレーンテキストで送信されるという事実であることを示唆しています。 ネットワークを介した暗号化は常に良いアイデアですが、実際には「中間者」攻撃は非常にまれです。私は主に1）誰か（インサイダーまたはアウトサイダー）が会社のデータベースを盗む、2）政府の召喚状が会社のデータベースにあるというはるかに一般的なケース。これらのリスクに対する最良の保護は、ハッカーと会社自身が暗号化を解除できないように（または最初からサーバーにデータを送信しないように）データを暗号化することです。
そのアサーションをバックアップするための冷たくてハードな現実世界のデータがあるかどうか疑問に思っています-実際には「中間者」攻撃はまれです実際の侵入またはセキュリティインシデントから収集されたデータに基づく現実の世界？
冷たい、ハードな、実世界のデータの私のお気に入りの現在のリソースは、 Verizon 2011データ侵害調査レポート です。レポートの69ページからの抜粋：
アクション
上位3つの脅威アクションカテゴリは、ハッキング、マルウェア、ソーシャルです。使用されたハッキングアクションの最も一般的なタイプは、盗まれたログイン資格情報の使用、バックドアの悪用、および中間者攻撃でした。
それを読んで、誰かがシステムに足場を築いたときに使用される二次的なアクションであると私は推測しますが、オランダのハイテク犯罪部門のデータは、それが懸念にかなり信頼できると述べています。統計を構成した32件のデータ侵害のうち、15件がMITMアクションに関与しています。
もちろん、そこで止まらないでください。 そのレポート全体は、読書の金鉱山であり、脅威が実際にどこにあるのかを示すために私が遭遇した最高の作品です。
MiTM攻撃と方法のあいまいな参照については、 MITM攻撃に対するこの優れた回答も参照してください。 Serverfault.
さらに、SSLルートのインスタンスが不正な証明書を悪用することは攻撃の兆候であり、そうでなければ、それらはかなり役に立たない妥協となるでしょう。最後に、私はあの男なので、ペンテストを行っている場合は、建物の外にあるネットワークボックスに接続しようとします。有線接続であっても、ソフトウェアラジオで驚くべきことができます。
簡単な答えは「いいえ」です。この種の攻撃が一般的であるという証拠は多種多様です。
銀行によってもたらされた一部の制御（2要素認証など）は、顧客に対するこれまで以上に一般的なMITM攻撃に対抗するために部分的に必要でした。
マルウェアを使用してトロイの木馬をクライアントPCに配置することで実行が容易になる可能性のある他の形式の攻撃（クライアントの妥協は良いものです）がありますが、MITMは依然としてほとんどの場合比較的簡単です。
覚えておかなければならない重要な事実は、犯罪者は投資収益率の向上に取り組む傾向があるということです。攻撃者のROIは非常に優れています。
- 捕まるリスクが低い
- 物理的リスクが低い
- エクスプロイトをコード化するいくつかの努力は、現実世界の金銭的利益につながる可能性があります
- コードは再利用または他の犯罪者に販売することができます
@CanBerkが言ったように、「完全に安全な」プロトコルを取得することは決してありませんが、犯罪者の生活を困難にすることは部分的な解決策です。 MITMは、収益を上げるのが難しくなりすぎるまでは消えません。
認証局DigiNotarの 最近の妥協 により、google.com、Microsoft.com、cia.gov、および他の何百ものサイトに対して 500を超える偽の証明書の発行 が発生しました。これらの証明書はどういうわけか40の異なるイランISPに侵入し、大規模な中間者攻撃、 00,000人を超えるイランのユーザーに影響を与えた数か月にわたって.
責任のあるハッカー- 確認済み と同じ責任者 CA Comodoへの以前の攻撃 -他の5つのCAへのフルアクセス権があると主張し、彼（彼ら）だけ それらの1つと名付けられました ですが。
だから、はい、中間者攻撃は、今日でも非常に現実的な脅威です。
注：これらの種類の攻撃があなたに起こらないようにするには、プログラム/アドオンを使用して、疑わしい変更の証明書を追跡することを検討してください Certificate Patrol のようにするか、または- 認証局モデルの豪華な新しい代替品 誰もが話していることです。
この回答は、「MiTMからの攻撃の数」と回答するよりも、主にChris Dixonの発言に関するものです。
私たちが別の方法でMiTMになる可能性とその結果を主張すると、MiTM攻撃が蔓延していることに関心があるかどうかを判断できると思います。
さまざまな状況でのいくつかのリスクを見ると、次のようなものがあります。
- 誰かがWebアプリケーション自体を悪用してデータベースを盗みますか？
- 誰かがMiTM攻撃を介してユーザー/管理者を攻撃している
最初の方が（一般的に）はるかに大きな影響を及ぼし、多くの点で最も軽減され、最初に扱われるべきだと思います。
したがって、ポイント2がポイント1に勝つには、MiTMがポイント1と同じくらい高いセキュリティの障害を評価するために、本当にワイルドである必要があると思います（Chrisが引用で示しているように）。
ここで、さまざまな攻撃ベクトルを見ます。最初はMiTMです。たとえば、MiTMになるには：
- 不正なワイヤレスアクセスポイントを所有している。これは取るに足らないことですが、標的型攻撃の場合、Webアプリケーションを使用する被害者と同じ物理的な場所にいる必要があります。
- 暗号化されていないワイヤレスデータまたはHUB経由のデータをスニッフィングします（存在しますか？）
- ARPポイズニングを使用してユーザーを攻撃します。 Webアプリケーションを使用するターゲットユーザーと同じネットワーク上にいる場合を除いて、簡単ではありません。
- DNSキャッシュポイズニング。これを機能させるには、対象ユーザーが使用しているDNSを汚染する必要があります。 DNSが適切に設定されていない場合、この攻撃を実行するのは簡単ですが、これが機能するためには頼りになることがたくさんあります。
- フィッシング攻撃。これらは依然として疑いを持たない素朴なユーザーを騙しますが、多くの責任はユーザーにあります。
これはすべて、ユーザーの一部または一部を攻撃するためのものです。それでも、これらのユーザーを攻撃すると、ブラウザーで警告が表示されます（これを攻撃する方法もありますが、ここでは取り上げていません）。ルートCAを危険にさらすか、証明書の生成に使用されるアルゴリズムの欠陥を見つけることによってのみ、信頼できる証明書の発行者になりすますことができます。
一方、Webアプリケーション自体の十分なセキュリティに投資していない場合に見られる可能性のある厄介なものをすべて見ると、次のような攻撃ベクトルが見られます。
- SQLインジェクション-簡単で、悪用と発見の両方が簡単です。ダメージが非常に大きい。
- XSS（クロスサイトスクリプティング）-発見しやすく、悪用が困難。これにより、今後ますますユーザーへの影響が高まると思います。これは、私たちが昔見てきた「新しいSQLインジェクション」のトレンドになっていると思います。
- CSRF（Cross Site Request Forgery）-中程度の発見、中程度の悪用。これにより、ユーザーは既に所有しているサイトに移動し、ユーザーに代わってトランザクションを実行するWebアプリケーションへのリクエストをトリガーする必要があります。
したがって、これらのいくつかを紹介するだけで、Webアプリケーションへの攻撃とMiTMになるための一般的な方法は、ユーザーを直接防御する必要があるかどうかにかかわらず、保護しようとしている特定の組織の特定のリスク/結果分析に任せますSSLを実装するか、Webアプリケーション全体を保護する（これには、知的財産、ユーザーデータ、機密データ、他のアプリケーションに違反する可能性のある潜在的なデータなども含まれます）。
だから私の謙虚な意見では、クリス・ディクソンの発言に非常に同意します。トランスポート層の保護を検討する前に、できる限りWebアプリケーションの保護を優先してください。
編集：余談ですが、Facebook、Gmailなどのページは、Firesheepの襲来中に、MiTMによる激しい攻撃を受けていました。これは、SSLと認識によってのみ軽減できます。
ただし、考えてみれば、Firesheepでワイヤレストラフィックをスニッフィングしてセッションを乗っ取るには、接続しているワイヤレスLANに暗号化機能がないことが必要です。
今日ウォードライビングに行くと、オープンワイヤレスAPの数とWEP対応APの数が劇的に減少しました。多くの場合、十分なセキュリティを提供するWPA2暗号化APが増え続けています。
ユーザーセッションをスニッフィングしてハイジャックするための簡単で便利なツールを誰かが作成するリスクは何ですか。それらのユーザーにどのような影響がありますか？また、さまざまな方法で軽減することもできます（異なるフットプリントから同時にユーザーを再認証し、何かが間違っているように見えるときにユーザーに通知します（Gmailはこの良い例です））。
必要な実世界のデータを含む静的またはホワイトペーパーは見つかりませんでした。
ただし、企業内のMitM攻撃は毎日1回以上発生することを付け加えておきます。いくつかのセキュリティベンダーが暗号化されたトラフィックをスキャンするソリューションを持っています（たとえば、 Palo Alto Networks ）。少なくとも現在私が働いている会社がこの機能をアクティブにしています。
これを行うために、ファイアウォール/プロキシデバイスには、すべてのクライアントによって既に信頼されている内部認証局（CA）からの証明書が付与されるだけです。アプリケーションが安全な接続を要求すると、ファイアウォール/プロキシデバイスはターゲットサーバー用に新しい証明書を即座に生成し、それをクライアントに送信します。クライアントは内部CAを信頼しているため、デバイス証明書も信頼し、「安全な」接続を開始します。
ワイヤレスネットワークでパスワードを盗聴するのはごく一般的なことだと思います。単純な Google Search または Bing search から、Webにあるチュートリアルの数を見てください。
MitM攻撃に関する実世界のデータを見つけるのは非常に難しいというダラマラクに同意します。その理由の1つは、MitM攻撃は本来、通常は個人を対象としていますが、DDoSやSQLインジェクションなどの攻撃は、通常、企業や組織などを対象としています。
したがって、DDoS /インジェクション/ほぼすべてのレポートがほぼ毎日表示されますが、MitM攻撃に関する情報は通常、学術的なものです（たとえば、「TwitterはDDoSされました！」と「SSLはMitMに対して脆弱です」）。
ただし、「まれ」が必ずしも「難しい」とは限らないことに注意してください。ほとんどのMitM攻撃は、他のほとんどのタイプの攻撃よりも間違いなく引き寄せやすく、MitMに対して完全に安全なプロトコルを考案するのが非常に難しいという理由だけで、私たちが日常的に使用する多くのプロトコルは何らかの形でそのような攻撃に対して脆弱です。これは実際、ほとんどのセキュリティ問題に当てはまります。ほとんどのソリューションは、「完全かつ完全に安全」ではなく「ベストエフォート」です。
したがって、MitM攻撃があまり一般的でない主な理由は、通常、攻撃を実行する必要やインセンティブがないためだと思います。