web-dev-qa-db-ja.com

攻撃中のなりすましを防ぐには？

私は、ITのセキュリティの世界で起こっていることの基本のいくつかを理解しようとする古いDefconビデオを聞くといういつものルーチンと一緒にハミングしていました。

だから私は考え始めました。さて、あなたはそれで本当に何ができますか？それから私はそれがうまくいくかどうか疑問に思っている中間の攻撃の奇妙な男を考えました。

そのため、ルーターがパケットをどこにでも転送することは誰もが知っています。これは結構でダンディです。しかし、もう少し邪悪なものを設定するとどうなるでしょう。パケットが到着すると（その宛先は、事前にコンパイルされたサイトのリストの1つです）、その宛先になりすました場合はどうなりますか？ 「はい、私はPaypal.comです！安全な接続を確立しましょう！」次に、そのthingyを使用して安全な接続を確立します。これを実行した後、Paypalとの安全な接続を確立し、ユーザーが実行しているすべてのことを実行しながら、必要なすべての情報（つまり、兄弟のスティーブに送信する笑顔の数）を取得できます。

パケットが別のパスを取ることを決定した場合、私が実行中に考えることができる唯一の問題は、です。これについてはよくわかりませんが、blah blah blahを変更していることを他のシステムに伝えることができるので、接続する必要がありますあなたの本当の何とか何とか何とかに。

これを防ぐために何かありますか？何も考えられないけど、これができる人ってちょっと怖い….

tlsman-in-the-middlethreat-mitigation
12
Griffin Nowak

クライアントに関して誤動作し、偽のサーバーとして動作しようとするルーターと、真のサーバーに関して偽のクライアントが両方向にデータを転送することは、 manの正確な定義です-中間攻撃 。ルーター（IPレベルで動作）とは別に、MitMの従来の実用的な方法には次のものがあります。

（このリストは決して完全なものではありません。）

これらの攻撃に対抗するには、server authenticationを使用します。これは、SSL Webサイト（https://www.Paypal.comなど）の場合、 Xを使用します。 509証明書 。クライアント（Webブラウザー）がPaypalサーバーに接続するとき、それは明示的に「セキュアな接続」を必要とします（URLがhttps://ではなくhttp://で始まるため] _）サーバーが次のような証明書を使用しない限り、サーバーを拒否します。

  1. ブラウザーが信頼するルートCAの1つapriori（Verisign/Entrust/Thawte /ブラウザーベンダーに含まれるもの）によって発行され、かつ：
  2. 予想されるサーバー名が含まれています（www.Paypal.com、URLで指定）。

不一致の場合、ブラウザーはユーザーに目を見張るような警告を出します。 MitMは、CAのいずれかが失敗した場合（つまり、CAがwww.Paypal.comを含む証明書を、Paypal.comドメインの所有者ではない誰かに発行した場合）、またはユーザーが失敗した場合にのみ成功します。 （www.Paypal.com.evilhacker.comを示すURLを使用するか、ブラウザに表示される恐ろしい警告に注意を払わないことによって）、またはユーザーのマシンが既に侵害されています（たとえば、不正なルートCAをインストールしたマルウェアによって）。

一般的に言えば、SSLは、セキュリティがトランスポートメカニズムから独立して維持されるように設計されています。 SSLセキュリティは、「正直に」動作するルーターに依存しません。 SSLは、ルーターがすべて敵対的であることを前提としています。

16
Tom Leek

これがSSL証明書の目的です。ブラウザーには信頼できる証明書と証明書プロバイダーのリストがあり、サイトが「私がPaypal.comだ」と言ったとき、ブラウザーは証明書が間違っていることを認識しています。

中間の攻撃者は、証明書を偽装したり、誤った証明書を受け入れるようにあなたを説得したりする可能性があり、成功した人は実際にあなたの言うことを行い、お金を盗む可能性があります。それはよく起こります。

あなたが思っているほど怖くない。通常のガイダンスが適用されます。システムを最新の状態に保ち、ウイルス対策を使用し、オンラインで危険な動作を回避します。

5
Rory Alsop

この種の問題の防止は、使用するプロトコルのタイプによって異なります。ここでWebアクセス（HTTP）について話していると仮定すると、この種の攻撃に対する主な防御策は、適切に構成されたSSLセットアップとユーザー認識の組み合わせです。

SSLで暗号化されたWebサイトへのアクセスを傍受しようとする場合は、なりすましているサイトのふりをするユーザー（たとえばPaypal.com）に証明書を提示する必要があります。

ただし、ユーザーのブラウザーは、特定の「信頼されたルート」証明書（通常、ブラウザーまたはオペレーティングシステムベンダーによってベースで定義されています）によって署名された証明書のみを受け入れます。

したがって、攻撃者は、信頼できない証明書（www.Paypal.comであると主張して自分で生成した証明書）を使用することを試みることができます。その場合、ユーザーは証明書を信頼できないという警告を受け取るか、またはユーザーwww.Paypal.comは暗号化されておらず、気付かないことを望んでいます。つまり、SSLピン留めやHSTSなどの保護により、この種の攻撃がさらに困難になるか、実際には不可能になる可能性があります。

どちらの方法でも、MITMタイプのセットアップがある場合、かなりの程度の攻撃を実行できます。インターネット接続の場合、潜在的に最も困難なのは、中間者になるポイントに到達することです。

4
Rory McCune