it-swarm-eu.dev

Jsou útoky „muž uprostřed“ extrémně vzácné?

V "Některé myšlenky na kontroverzní seznam kontaktů pro iPhone a zabezpečení aplikací" , cdixon blog

Chris Dixon učinil prohlášení o zabezpečení webu

Mnoho komentátorů navrhlo, že primárním bezpečnostním rizikem je skutečnost, že data jsou přenášena prostým textem. Šifrování přes drát je vždy dobrý nápad, ale ve skutečnosti jsou útoky typu „člověk uprostřed“ extrémně vzácné. mnohem běžnější případy 1) někoho (zasvěcených nebo outsiderů), kteří kradou v databázi společnosti, 2) vládní předvolání k databázi společnosti. Nejlepší ochranou před těmito riziky je šifrování dat takovým způsobem, že je hacker a společnost sama nemohou nezašifrovat (nebo je nejdřív poslat na servery).

Zajímalo by mě, jestli existují nějaká studená, tvrdá data ze skutečného světa , která toto tvrzení zálohují - jsou útoky typu „muž uprostřed“ skutečně vzácné skutečný svět založený na shromážděných datech ze skutečných narušení nebo bezpečnostních incidentů?

135
Jeff Atwood

Můj oblíbený aktuální zdroj pro studená, tvrdá data v reálném světě je Verizon 2011 Data Breach Investigations Report . Výňatek ze stránky 69 zprávy:

Akce

Tři hlavní kategorie hrozeb byly Hacking, Malware a Social. Nejběžnějšími typy používaných hackerských akcí bylo použití odcizených přihlašovacích údajů, vykořisťování zadních dveří a útoků typu člověk uprostřed.

Z toho, co jsem přečetl, usoudím, že se jedná o sekundární akci, která se používá, jakmile má někdo v systému oporu, ale údaje nizozemské jednotky High Tech Tech Crime Unit tvrdí, že je to celkem důvěryhodné. Z 32 porušení údajů, které tvořily jejich statistiky, 15 zahrnovalo akce MITM.

Rozhodně se tam ale nezastaví. Celá zpráva je zlatý důl čtení a nejlepší kus práce, na který jsem narazil, aby demonstroval, kde hrozby skutečně jsou.

Chytřejší odkazy na útoky a metody MiTM, viz také tato vynikající odpověď na útoky MITM - jak pravděpodobné jsou? Na Serverfault.

Chtěl bych dále říci, že jakákoli instance kořene SSL, která vykašle špatnou certifikaci, je známkou útoku, jinak by to byly docela zbytečné kompromisy. Nakonec, protože jsem ten chlap, rozhodně bych se pokusil spojit do vaší síťové skříňky mimo budovu, kdybych dělal váš nejraději. Člověk může dělat úžasné věci pomocí softwarového rádia i po kabelovém připojení.

103
Jeff Ferland

Jednoduchá odpověď zní ne - existuje celá řada důkazů o tom, že tento typ útoku je běžný.

Některé kontroly zavedené bankami (dvoufaktorové ověřování atd.) Byly zčásti vyžadovány v boji proti stále častějším útokům MITM na zákazníky.

I když existují jiné formy útoku (kompromis klienta je dobrý), který může být nyní snazší provést pomocí malwaru a umístit na klientského počítače trojského koně, ve většině případů je MITM stále relativně snadný.

Jádrem skutečnosti je, že zločinci mají tendenci pracovat na dobré návratnosti investic. Návratnost investic pro útočníka je velmi dobrá:

  • nízké riziko zachycení
  • nízké fyzické riziko
  • nějaké úsilí při kódování exploitu může vést k reálnému světovému peněžnímu zisku
  • kód lze poté znovu použít nebo prodat jiným zločincům

Jak řekl @CanBerk, nikdy nedostaneme žádné „zcela bezpečné“ protokoly, ale ztěžování života zločinců je částečným řešením. MITM neodejde, dokud nebude příliš obtížné, aby bylo ziskové.

29
Rory Alsop

Výsledkem nedávného kompromis certifikační autority DigiNotar bylo vydání více než 500 falešných certifikátů pro google.com, Microsoft.com, cia.gov a stovky dalších webů. Tyto certifikáty se nějak proměňovaly ve 40 různých íránských poskytovatelů internetových služeb, což vedlo k masivnímu útoku mezi muži , potvrzeno, že mají ovlivnilo více než 300 000 íránských uživatelů v průběhu několik měsíců.

Odpovědný hacker (s) - potvrzeno být stejný (é) odpovědný za předchozí útok na CA Comodo - tvrdí, že má plný přístup k pěti dalším CA, ačkoli on (oni) pouze pojmenovaný jeden z nich .

Takže ano, Útoky typu „uprostřed“ jsou velmi skutečnou hrozbou , a to i dnes.


Poznámka: Chcete-li těmto útokům zabránit, zvažte použití programu/addonu ke sledování certifikátů pro podezřelé změny, jako je Certificate Patrol , nebo zkuste jeden z skvělé nové náhrady za model certifikační autority , o kterém všichni mluví.

Tato odpověď se týká hlavně prohlášení Chrisa Dixona než odpovědi „Kolik útoků přichází z MiTM“.

Pokud prosazujeme odlišný způsob, jak by se člověk mohl stát MiTM a danými důsledky, domnívám se, že můžeme učinit některé závěry, zda nám záleží na tom, jak převládají útoky MiTM.

Pokud se podíváme na některá rizika pro různé situace, můžeme mít něco jako:

  • Někdo ukradl databázi prostřednictvím využití samotné webové aplikace?
  • Někdo útočí na uživatele/správce pomocí útoku MiTM

Řekl bych, že první má mnohem větší dopad (obecně) a měl by být v mnoha ohledech nejvíce zmírněn a první ošetřen.

Takže, aby bod 2 převládl nad bodem 1, myslím si, že MiTM by opravdu muselo být šílené, abychom si ho vážili tak vysoko jako bezpečnostní překážka jako bod 1 (jak Chris uvádí v citaci)!

Teď, když uvidíme různé útočné vektory. První pro MiTM. Chcete-li se stát MiTM, můžete například:

  • Vlastní nepoctivý bezdrátový přístupový bod. Toto je triviální, ale pro cílený útok byste museli být pomocí webového prohlížeče na stejném fyzickém místě oběti.
  • Čichat nezašifrovaná bezdrátová data nebo data přicházející přes HUB (již existují?)
  • Použijte ARP Poisoning k útoku na uživatele. Není triviální, pokud nejste ve stejné síti jako cíloví uživatelé používající váš webapp.
  • Otrava mezipamětí DNS. Aby to fungovalo, musíte otrávit DNS používané cílovými uživateli. Pokud DNS není správně nastaven, tento útok se stane trochu triviální, ale na to se musí hodně spolehnout.
  • Phishingové útoky. Tito stále oklamou nic netušící a naivní uživatele, ale velká část odpovědnosti leží na uživateli.

To vše jen zaútočit na jednu nebo malou podskupinu uživatelů. Dokonce i poté, když na ně tito uživatelé útočí, bude jim v jejich prohlížečích dáno varování (existují i ​​způsoby, jak na to zaútočit, ale já to zde nezabývám). Jako důvěryhodný vydavatel certifikátů byste mohli povolit pouze kompromitováním kořenové certifikační autority nebo nalezením chyby v algoritmu použitém k vygenerování certifikátů.

Pokud se na druhou stranu podíváme na všechny potenciální ošklivé věci, které uvidíme, pokud neinvestujeme do dostatečné bezpečnosti samotného webappu, uvidíme útočné vektory jako:

  • SQL Injection - triviální a snadno použitelný i objevitelný. Velmi vysoké poškození nárazem.
  • XSS (Cross Site Scripting) - snadné odhalení, těžší ho využít. Myslím, že v budoucnu z toho budeme mít větší a větší dopad na uživatele. Předpokládám, že se to stane trendem „nového SQL Injection“, který jsme za posledních dní viděli.
  • CSRF (Cross Site Request Forgery) - Mírné objevování, střední využívání. To by vyžadovalo, aby uživatelé navigovali na již vlastněný web a spustili do vašeho webového prohlížeče požadavek, který by jménem uživatele provedl transakci.

Takže pouhým zmínením těchto několika, ale populárních metod jak útočit na webapp a stát se MiTM, bych to nechal na konkrétní analýze rizik/důsledků konkrétní dané organizace, kterou se snažíte zabezpečit, ať už byste měli nebo neměli přímo bránit své uživatele implementace SSL nebo tím, že budete bránit webapp jako celek (mezi které patří také duševní vlastnictví, uživatelská data, citlivá data, potenciální data, která by mohla narušit jiné aplikace atd.).

Takže podle mého skromného názoru velmi souhlasím s výrokem Chrisa Dixona. Dříve, než začnete přemýšlet o zabezpečení transportní vrstvy, upřednostněte zabezpečení webappu.

pravit: Na boční poznámku: Stránky jako Facebook, Gmail a další byly během požáru v důsledku silných útoků na MiTM. To bylo možné zmírnit pouze prostřednictvím SSL a informovanosti.

Pokud však o tom přemýšlíte, šňupání bezdrátového provozu pomocí Firesheep a únos relací by vyžadovalo, aby bezdrátová síť LAN, ke které jste připojeni, neměla šifrování.

Když dnes jezdím válkou, dramaticky se snížil počet otevřených bezdrátových přístupových bodů a také počet přístupových bodů s povoleným WEP. Stále vidíme stále více šifrovaných přístupových bodů WPA2, které nám ve většině případů poskytují dostatečnou bezpečnost.

Jaká je nyní rizika, že někdo vytvoří snadný a pohodlný nástroj pro čichání a únos vašich relací uživatelů? Jaký je dopad na tyto uživatele? Může být také zmírněna různými způsoby (opětovné ověření uživatele, když přichází z různých stop současně, upozorňování uživatele, když něco vypadá špatně (gmail je toho dobrým příkladem)).

7
Chris Dale

Nenalezl žádný statický ani bílý papír, který by obsahoval skutečná data světa, která jste chtěli mít.

Chtěl bych však dodat, že k útokům na MitM ve společnostech dochází denně a vícekrát. Několik dodavatelů zabezpečení má řešení pro skenování šifrovaného přenosu (například Palo Alto Networks )) a tuto funkci aktivovala alespoň společnost, pro kterou aktuálně pracuji.

Za tímto účelem je zařízení firewall/proxy jednoduše uděleno osvědčení od interní certifikační autority (CA), které již všichni klienti důvěřují. Když aplikace požádá o zabezpečené připojení, zařízení firewall/proxy vygeneruje nový certifikát pro cílový server za běhu a pošle jej klientovi. Protože klient důvěřuje interní certifikační autoritě, také důvěřuje certifikátu zařízení a šťastně zahájí „zabezpečené“ připojení.

2
Tex Hex

Jsem si jistý, že čichání hesel v bezdrátových sítích je velmi běžné. Stačí se podívat na to, kolik výukových programů na webu je k dispozici z jednoduchého Vyhledávání Google nebo Bing vyhledávání .

0
Dare Obasanjo

Souhlasím s daramarakem, že by bylo docela těžké najít skutečná data o útocích na MitM. Jedním z důvodů je, že útoky MitM jsou ze své podstaty obvykle zaměřeny na jednotlivce, zatímco útoky jako DDoS nebo SQL injection jsou obvykle zaměřeny na společnosti, organizace atd.

Přestože téměř každý den vidíme hlášení DDoS/injekce/cokoli, informace týkající se útoků na MitM jsou obvykle akademické (např. „Twitter byl DDoS'd!“ Vs. „SSL je zranitelný vůči MitM“).

Je však třeba poznamenat, že „vzácný“ nemusí nutně znamenat „tvrdý“. Většina útoků na MitM je mnohem snazší vytáhnout než většina ostatních typů útoků a mnoho protokolů, které používáme každý den, jsou vůči takovým útokům zranitelné tak či onak, jednoduše proto, že je docela obtížné navrhnout protokol, který je proti MitM zcela bezpečný. Ve skutečnosti tomu tak je u většiny bezpečnostních problémů, většina řešení je „nejlepší snahou“ a nikoli „zcela a absolutně bezpečně“.

Proto si myslím, že hlavním důvodem, proč jsou útoky MitM méně časté, je to, že obvykle není potřeba/motivovat k jejich provedení.

0
Can Berk Güder