inicio de sesión HTTPS vs MITM

Navega tus respuestas
9

enlace

Mi pregunta es, si la amenaza es que alguien controle tu conexión a Internet y pueda servir páginas de inicio de sesión incorrectas, ¿no podría el atacante simplemente servirte una página como facebook.com en lugar de https://www.facebook.com ?

Muchos sitios solo tienen un redireccionamiento 301 a su sitio seguro, así que no veo qué impide que un atacante se aproveche de la víctima que escribe facebook.com y luego sirve esa página con un formulario de inicio de sesión falso. ¿Es la idea de que el usuario notaría que no hay ningún bloqueo en la esquina superior izquierda?

Definitivamente no soy el experto en esto, así que le pido que amplíe mi conocimiento; No estoy intentando desmentir a nadie y solo quiero entender mejor la seguridad.

    
pregunta tau 03.04.2014 - 07:07
fuente

2 respuestas

4

Sí. El atacante podría simplemente servirle enlace y secuestrar todas las solicitudes y respuestas desde y hacia su computadora. En ese escenario, tiene razón: le correspondería al usuario estar atento y darse cuenta de que no están navegando de forma segura.

    
respondido por el Kevin Li 03.04.2014 - 07:33
fuente
10

Estás en lo correcto.

Algunas formas para que el sitio disminuya ese vector de ataque serían ...

Use un encabezado HSTS para evitar que se envíen datos al sitio en texto sin formato.

Anuncie solo la URL de HTTPS y no permita ninguna conexión de texto simple. Esto asegurará que la mayoría de los marcadores utilicen cifrado.

El punto es que los sitios deben forzar SSL desde el principio, lo que ayudará a prevenir MITM en el futuro. No hay mucha protección en la situación que presentaste, ya que cuando utilizas formularios de contenido mixto, eres vulnerable a sslstrip

    
respondido por el David Houde 03.04.2014 - 07:53
fuente

Lea otras preguntas en las etiquetas

La sala de servidores del edificio está desbloqueada: ¿En qué peligro está mi edificio? ¿Existe algún beneficio de seguridad adicional para los requisitos de complejidad del nombre de usuario?