En el pasado, he escuchado acerca de ssl strip que permitía que los ataques de hombre en el medio se produjeran contra los navegadores, pero esas vulnerabilidades estaban parcheadas hace mucho tiempo. Entonces, mi pregunta es ... ¿todavía hay algún tipo de ataque que pueda usarse para evitar el cifrado SSL en los sitios y realizar ataques de hombre en el medio?
¿También cuáles son las precauciones o medidas preventivas que podemos tomar para protegernos contra este tipo de ataques?
Sslstrip no es un ataque contra SSL . Nunca ha sido Es un ataque contra HTTP (no HTTPS): busca puntos donde algún sitio web HTTP (por lo tanto, no protegido) intenta cambiar a HTTPS, y evita que esto suceda. Por lo tanto, no hay SSL para empezar.
Para contrarrestar sslstrip (que aún funciona, por definición), los sitios web deben:
https:// en la barra de URL de su navegador, con el ícono del candado y así sucesivamente; No se conocen ataques MitM contra utilizados correctamente SSL . El "uso adecuado" incluye, en particular, a un usuario que no hace clic en las advertencias sobre certificados de servidor no válidos. Siempre se trata del usuario.
Hay otros vectores para MITM en SSL. Por ejemplo:
Usar un cifrado débil con una función de hashing débil (piense DES con MD2, jadeo ...)
Usando una versión SSL desactualizada (por ejemplo, SSL 2.0, que por alguna extraña razón algunos sitios admiten incluso ahora).
Usar un cliente o servidor que no hace 1 o 2, pero permite hacerlo (el atacante puede causar ataques de baja calificación y obligar a las partes a usar un algoritmo de cifrado / SSL más débil, luego craquearse desde allí)
Esto permite que un atacante realice MITM descifrando el cifrado o el protocolo en sí mismo, mientras permanece transparente para el usuario o el servidor.
Y luego, hay ataques de suplantación de identidad con un certificado SSL validado por una CA válida. El atacante obtiene una CA para firmar su certificado para el sitio de destino (que no posee), y luego se sienta en medio del cliente y el servidor, haciéndose pasar por el servidor al cliente). Sin embargo, este ataque es raro y requiere un poco de recursos, como un estado nacional que obliga a una CA a firmar su certificado MITM, o al comprometer a la CA (consulte el incidente de DigiNotar).
Lea otras preguntas en las etiquetas tls man-in-the-middle