HTTPS Sigurnost i varanje - Čovjek u srednjem napadu

HTTP označava Hyper Text Transfer Protocol i široko se koristi na Internetu. Bilo je dobro tijekom početnih godina interneta za ovaj protokol za postavljanje vjerodajnica za prijavu itd. Jer nije bilo mnogo opasnosti da ljudi njuškaju vaše pakete podataka kako bi ukrali vaše vjerodajnice za prijavu za različite web stranice. Kada su ljudi osjetili opasnost, izumio je HTTPS (HTTP Secure) koji šifrira razmjenu podataka između vas (klijenta) i web stranice s kojom stupate u interakciju.

Pročitajte : Razlika između HTTP i

Do prije nekoliko godina, HTTPS je smatran besprijekornom, sve dok osoba koja se zvao Moxie nije dokazala pogrešnim spojevima HTTPS-a. To je učinjeno pomoću presretanja paketa podataka u sredini komunikacije od strane nekoga tko je spojeve HTTPS sigurnosnog ključa da bi vas vjerovao da je veza još uvijek kriptirana. Ovaj članak proučava HTTPS spoofing gdje su čak i poznate tvrtke koristile tehniku ​​gledanja i prepoznavanja vaših aktivnosti. Prije razumijevanja Čovjek u srednjem napadu morat ćete znati o ključu HTTPS certifikata koji je lažiran da bi vas uvjerio da ništa nije u redu.

Što je ključ za sertifikat web stranica

određenih ovlaštenika certifikata koji nude certifikate "fitness" web stranicama. Postoje mnogi čimbenici za određivanje faktora "fitness": šifrirana veza, preuzimanja od virusa i nekoliko drugih stvari. HTTPS znači da su vaši podaci sigurni prilikom transakcije. Uglavnom, HTTPS upotrebljavaju trgovine za e-trgovinu i web-lokacije koje imaju podatke / informacije koje su vam privatne - kao što su web-lokacije e-pošte. Web-lokacije društvenih mreža kao što su Facebook i Twitter također koriste

Svakom potvrdom postoji ključ koji je jedinstven za tu web stranicu. Ključ certifikacije web stranice možete pregledati desnim klikom na njegovu web stranicu i odabirom INFO PAGE. Na temelju preglednika dobit ćete različite tipove dijaloških okvira. Potražite CERTIFICATE a zatim THUMBPRINT ili FINGERPRINT.

HTTPS Security and Spoofing

Vraćajući se na to koliko ste sigurni u HTTPS-u, ključ za potvrdu može biti lažiran od strane trećih strana u sredini klijenta i web stranica. Ova tehnika utjecaja na vaše razgovore naziva se Čovjek u sredini.

Evo kako se vaš preglednik šalje HTTPS-u: ili kliknete gumb LOGIN / link ili upišete URL. U prvom slučaju, vi ste izravno poslani na HTTPS stranicu. U drugom slučaju, gdje upisujete URL, osim ako unesete HTTPS, DNS će se riješiti na stranicu koja vas usmjerava na HTTPS stranicu pomoću automatskog preusmjeravanja (302).

Čovjek u sredini ima određene metode uhvatite svoj prvi zahtjev za pristup web-mjestu, čak i ako ste upisali HTTPS. Čovjek u sredini može biti vaš preglednik. Opera Mini i BlackBerry preglednici to čine kako bi uhvatili komunikaciju od početka i dešifriraju ga tako da mogu biti komprimirani za brže pregledavanje. Ova je tehnika pogrešna - po mom mišljenju - jer olakšava prisluškivanje, ali tvrtke tvrde da ništa nije zabilježeno.

Kada unesete URL, kliknite vezu ili knjižnu oznaku, zatražite od preglednika da uspostavlja vezu (po mogućnosti) uz sigurnu verziju web stranice. Čovjek u sredini stvara lažni certifikat koji je teško identificirati kao neispravan, budući da certifikati web stranica imaju isti oblik bez obzira na tijelo izdavanja certifikata. Čovjek u sredini uspješno podvala certifikat i stvara THUMBPRINT koji se provjerava prema "ovlaštenjima certifikata koje vaš preglednik već vjeruje". Izgleda da je certifikat izdan od strane tvrtke koja se dodaje popisu pouzdanih ovlaštenika preglednika. To ga čini vjerom da je ključ certifikata važeći i daje podatke o enkripciji Čovjeku u sredini. Dakle, Čovjek u sredini sada ima ključ za dešifriranje informacija koje šaljete preko te veze. Imajte na umu da Čovjek u sredini također radi s druge strane slanjem vaših podataka na web stranicu - iskreno, ali na način da to može pročitati.

To objašnjava spojevanje HTTPS web stranica i način na koji to funkcionira. Također pokazuje da HTTPS nije potpuno siguran. Postoji nekoliko alata koji bi nas obavijestili da postoji Čovjek u sredini osim ako je osoba visoko obučena računalna stručna osoba. Za običnog čovjeka, GRC web stranica nudi metodu za preuzimanje THUMBPRINT. Možete provjeriti certifikat THUMBPRINT na GRC-u i podudarati ga s onim koje ste preuzeli pomoću INFO PAGE. Ako se podudaraju, to je u redu. Ako ne, postoji Čovjek u sredini.