Punto de inyección de tira SSL

Question

Punto de inyección de tira SSL

#1 de Arminius (1 votos)

1

Estoy leyendo sobre la eliminación de SSL y tengo una pregunta fundamental sobre el punto de inyección que hace que este ataque MITM sea un éxito. Entiendo el escenario típico -

A (víctima) < - plain - > M (MITM) < == SSL == > B (Servidor)

Ahora, supongamos que M y A están en la misma red wifi de la cafetería y M comienza a procesar el tráfico de A mediante envenenamiento ARP, etc. Si A está accediendo a B a través de SSL, entonces el tráfico M se intercepta. ¿Cómo puede M reemplazar el HTTPS por HTTP, eliminar los encabezados HSTS, etc. cuando todo lo que tiene que trabajar es una secuencia cifrada? Me imagino que toda la carga útil, incluida la URL (que incluiría el protocolo 'https: //'), está encriptada.

En otras palabras, ¿dónde está el punto de inyección a partir del cual es posible eliminar / manipular datos cifrados? ¿Ocurre más abajo en la pila de la red? ¿Podría M cambiar el protocolo a nivel de paquete?

Algunas publicaciones hablan de certs de captura de paquetes pero yo ' No estoy seguro de si hay una forma bien aceptada de eliminar SSL sin poder descifrar los datos.

sslstrip ssl-interception

pregunta katrix 17.11.2016 - 18:01

fuente

1 respuesta

Lea otras preguntas en las etiquetas sslstrip ssl-interception

¿Cómo garantizar la seguridad de la clave privada del certificado comodín? NIST SP 800-90A DRBG, ¿se trata de un resultado incorrecto después del algoritmo? ¿Se corrigieron los pasos correctos del algoritmo?

score 1 · Accepted Answer

¿Cómo puede M reemplazar el HTTPS por HTTP, quitar los encabezados HSTS, etc. cuando todo lo que tiene que trabajar es una secuencia cifrada?

No pueden. Un ataque de tira de SSL necesita una secuencia inicialmente sin cifrar para funcionar. Se pasa por alto SSL en lugar de atacarlo. La idea es evitar que su navegador inicie una conexión HTTPS convirtiendo las redirecciones y enlaces a páginas HTTPS en simples HTTP. Alternativamente, también pueden redirigirte a una página HTTPS real pero cambiar el nombre de dominio a uno similar que es propiedad del atacante (por ejemplo, https://faceboook.com ). Esto tiene la ventaja de que sigue mostrando el bloqueo del indicador SSL verde (pero un nombre de dominio falso).

Un punto de inyección común sería cuando un usuario escribe mybank.com en la barra de direcciones y (dado que el sitio no está en la lista de precarga de HSTS ) el navegador comienza con una solicitud HTTP regular en la que recibirían una respuesta sin cifrar, redirigiéndolos a HTTPS. Esa respuesta suele ser la última vez que puede manipular el tráfico en la capa de aplicación.

HSTS es trust-on-first-use . Si el atacante no atrapa a la víctima en su primer intento de conexión HTTP sin formato donde aún es posible quitar el encabezado HSTS, no tendrán éxito en el futuro porque el navegador evitará cualquier HTTP sin formato hasta que el encabezado HSTS caduque.