| Starije izmjene na obje strane
Starija izmjena
Novija izmjena
|
Starija izmjena
|
racfor_wiki:mrezna_forenzika:man_in_the_middle_napad [2022/01/03 14:43]
lkramaric [Vrste man in the middle napada] |
racfor_wiki:mrezna_forenzika:man_in_the_middle_napad [2023/06/19 18:17] (trenutno)
|
| Kako bi napadač došao u priliku čitati podatke iz komunikacijskog on se prvo treba neopaženo priključiti na kanal. Ako napadač samo promatra komunikaciju između žrtve i poslužitelja to je pasivni man in the middle napad, a ako napadač preusmjeri promet na drugi poslužitelj prije nego li se žrtva spoji to je aktivni man in the middle napad. Kako bi napadač uspješno izveo man in the middle napad prvo mora doći do toka podataka. Napadač to može napraviti na više načina. Slika 1. prikazuje kako općenito izgleda komunikacijski kanal pod napadom. | Kako bi napadač došao u priliku čitati podatke iz komunikacijskog on se prvo treba neopaženo priključiti na kanal. Ako napadač samo promatra komunikaciju između žrtve i poslužitelja to je pasivni man in the middle napad, a ako napadač preusmjeri promet na drugi poslužitelj prije nego li se žrtva spoji to je aktivni man in the middle napad. Kako bi napadač uspješno izveo man in the middle napad prvo mora doći do toka podataka. Napadač to može napraviti na više načina. Slika 1. prikazuje kako općenito izgleda komunikacijski kanal pod napadom. |
| {{:racfor_wiki:mrezna_forenzika:basic_mitm.png?600}} | {{:racfor_wiki:mrezna_forenzika:basic_mitm.png?600}} |
| | |
| *Lažna pristupna točka: najjednostavniji način za neovlašteno čitanje podataka. U ovakvom napadu napadač napravi pristupnu točku na javnom mjestu te joj da uvjerljivo ime, pristupna točka imena "Maksimir" pokraj stadiona Maksimir. Ostavljajući priključivanje mreži bez zaporke napadač čeka da se žrtva pomoću njegove pristupne točke spoji na Internet. Napadač pomoću alata za praćenje mrežnog prometa može čitati podatke koje žrtva šalje i prima preko Interneta. Ovakvi napadi ciljaju ljude na javnim mjestima kao što su kafići, restorani i hoteli. Teško je ciljanu žrtvu napasti jer se ona sama dobrovoljno mora spojiti na pristupnu točku. | *Lažna pristupna točka: najjednostavniji način za neovlašteno čitanje podataka. U ovakvom napadu napadač napravi pristupnu točku na javnom mjestu te joj da uvjerljivo ime, pristupna točka imena "Maksimir" pokraj stadiona Maksimir. Ostavljajući priključivanje mreži bez zaporke napadač čeka da se žrtva pomoću njegove pristupne točke spoji na Internet. Napadač pomoću alata za praćenje mrežnog prometa može čitati podatke koje žrtva šalje i prima preko Interneta. Ovakvi napadi ciljaju ljude na javnim mjestima kao što su kafići, restorani i hoteli. Teško je ciljanu žrtvu napasti jer se ona sama dobrovoljno mora spojiti na pristupnu točku. |
| | |
| *DNS spoofing: U Internetu svaki poslužitelj ima vlastitu IP adresu, ali mu se može pristupiti pomoću imena poslužitelja. To omogućava DNS koji na korisnikov zahtjev za IP adresom poslužitelja dan njegovim imenom daje odgovor u kojem se nalazi njegova IP adresa. Nakon primitka IP adrese ona je zapisana u cache memoriju računala. Napadač izvodi DNS spoofing tako što se predstavi kao autoritativni poslužitelj(authoritative nameserver). Nakon što korisnikov zahtjev dođe do DNS poslužitelja on proslijedi zahtjev stvarnom autoritativnom poslužitelju i čeka odgovor. Tada napadač šalje svoju IP adresu DNS poslužitelju praveći se da odgovara na zahtjev koji onda tu adresu proslijedi korisniku. To je moguće jer se paketi između DNS poslužitelja i autoritativnog poslužitelja šalju User Datagram Protocolom(UDP). Slika 2. prikazuje proces ubacivanja napadača u komunikacijski kanal. | *DNS spoofing: U Internetu svaki poslužitelj ima vlastitu IP adresu, ali mu se može pristupiti pomoću imena poslužitelja. To omogućava DNS koji na korisnikov zahtjev za IP adresom poslužitelja dan njegovim imenom daje odgovor u kojem se nalazi njegova IP adresa. Nakon primitka IP adrese ona je zapisana u cache memoriju računala. Napadač izvodi DNS spoofing tako što se predstavi kao autoritativni poslužitelj(authoritative nameserver). Nakon što korisnikov zahtjev dođe do DNS poslužitelja on proslijedi zahtjev stvarnom autoritativnom poslužitelju i čeka odgovor. Tada napadač šalje svoju IP adresu DNS poslužitelju praveći se da odgovara na zahtjev koji onda tu adresu proslijedi korisniku. To je moguće jer se paketi između DNS poslužitelja i autoritativnog poslužitelja šalju User Datagram Protocolom(UDP). Slika 2. prikazuje proces ubacivanja napadača u komunikacijski kanal. |
| {{:racfor_wiki:mrezna_forenzika:dns_spoof.png?600}} | {{:racfor_wiki:mrezna_forenzika:dns_spoof.png?600}} |
| | Slika 2[2] |
| |
| *ARP spoofing: Address Resolution Protocol(ARP) je protokol koji zabilježava IP adresu računala i Media Access Control(MAC) adresu računala u ARP tablici. ARP tablice su pohranjene u usmjeritelju i u računalima u lokalnoj mreži. Računala koriste ARP protokol komunicirajući pomoću request(zahtjev) i response(poruka). Napadač prvo mora saznati IP i MAC adrese žrtve i usmjeritelja. Nakon što žrtvino računalo pošalje ARP request ono čeka odgovor. ARP protokol ne verificira odgovore tako da napadač može odgovoriti na žrtvinu poruku te u ARP response navesti svoju MAC adresu te tako preusmjeriti sav promet usmjeren prema lokalnoj i ostalim mrežama. Na slici 3. se vidi izgled dijela mreže koja nije pod napadom i mreže koja je pod napadom. | *ARP spoofing: Address Resolution Protocol(ARP) je protokol koji zabilježava IP adresu računala i Media Access Control(MAC) adresu računala u ARP tablici. ARP tablice su pohranjene u usmjeritelju i u računalima u lokalnoj mreži. Računala koriste ARP protokol komunicirajući pomoću request(zahtjev) i response(poruka). Napadač prvo mora saznati IP i MAC adrese žrtve i usmjeritelja. Nakon što žrtvino računalo pošalje ARP request ono čeka odgovor. ARP protokol ne verificira odgovore tako da napadač može odgovoriti na žrtvinu poruku te u ARP response navesti svoju MAC adresu te tako preusmjeriti sav promet usmjeren prema lokalnoj i ostalim mrežama. Na slici 3. se vidi izgled dijela mreže koja nije pod napadom i mreže koja je pod napadom. |
| {{:racfor_wiki:mrezna_forenzika:arp_spoof.png?600}} | {{:racfor_wiki:mrezna_forenzika:arp_spoof.png?600}} |
| | Slika 3[6] |
| |
| Nakon što se napadač uspješno "ubacio" u komunikacijski kanal između žrtve i poslužitelja on ne može čitati kriptirane podatke bez ključa. Najkorišteniji način za čitanje kriptiranih poruka u Internetu je Secure Sockets Layer(SSL) stripping. Cilj SSL strippinga je maknuti "s" iz HTTPS protokola koji stoji za SSL. SSL se koristi kao sigurnosni sloj između HTTP-a i TCP-a koji kriptira osjetljive podatke. U normalnom scenariju korisnik pošalje neosiguran HTTP zahtjev poslužitelju koji odgovara i preusmjerava korisnika na HTTPS. Korisnik tada šalje HTTPS zahtjev i postiže se sigurna komunikacija. Napadač koji se već uspješno ubacio u komunikacijski kanal prima žrtvine podatke. Napadač kada primi žrtvin HTTP zahtjev će ga proslijediti poslužitelju te dobiti odgovor za preusmjeravanje na HTTPS protokol. Napadač je uspostavio sigurnu vezu s poslužiteljem, ali prema žrtvi degradira HTTPS protokol na HTTP te je između njih nekriptirana komunikacija. Rezultat toga je da žrtva misli da je spojena sigurnom vezom s poslužiteljem dok šalje nekriptirane podatke napadaču. Poslužitelj ima sigurnu vezu, ali s napadačem, a ne žrtvom. Slika 4. prikazuje konačni prikaz protokola koji se koriste nakon SSL strippinga | Nakon što se napadač uspješno "ubacio" u komunikacijski kanal između žrtve i poslužitelja on ne može čitati kriptirane podatke bez ključa. Najkorišteniji način za čitanje kriptiranih poruka u Internetu je Secure Sockets Layer(SSL) stripping. Cilj SSL strippinga je maknuti "s" iz HTTPS protokola koji stoji za SSL. SSL se koristi kao sigurnosni sloj između HTTP-a i TCP-a koji kriptira osjetljive podatke. U normalnom scenariju korisnik pošalje neosiguran HTTP zahtjev poslužitelju koji odgovara i preusmjerava korisnika na HTTPS. Korisnik tada šalje HTTPS zahtjev i postiže se sigurna komunikacija. Napadač koji se već uspješno ubacio u komunikacijski kanal prima žrtvine podatke. Napadač kada primi žrtvin HTTP zahtjev će ga proslijediti poslužitelju te dobiti odgovor za preusmjeravanje na HTTPS protokol. Napadač je uspostavio sigurnu vezu s poslužiteljem, ali prema žrtvi degradira HTTPS protokol na HTTP te je između njih nekriptirana komunikacija. Rezultat toga je da žrtva misli da je spojena sigurnom vezom s poslužiteljem dok šalje nekriptirane podatke napadaču. Poslužitelj ima sigurnu vezu, ali s napadačem, a ne žrtvom. Slika 4. prikazuje konačni prikaz protokola koji se koriste nakon SSL strippinga |
| {{:racfor_wiki:mrezna_forenzika:ssl_strip.png?600}} | {{:racfor_wiki:mrezna_forenzika:ssl_strip.png?600}} |
| | Slika 4[9] |
| |
| |
| *National Security Agency: bivši zaposlenik CIA-e i NSA-e je pustio u javnost tajne dokumente u kojima su navedeni projekti nadziranja javnosti. Jedan od tih projekata je čitanje podataka koje korisnici izmjenjuju na Internetu. NSA je to postigla man in the middle napadom tako da korisnikove zahtjeve preusmjere na svoje poslužitelje prije nego što dođu do ciljanog poslužitelja. To je moguće jer imaju postavljene poslužitelje na velikim čvorovima u Internetu te stignu brzo reagirati na zahtjev i preusmjeriti ga. Ovaj napad najuspješnije radi na korisnicima koji koriste Firefox pretraživač. | *National Security Agency: bivši zaposlenik CIA-e i NSA-e je pustio u javnost tajne dokumente u kojima su navedeni projekti nadziranja javnosti. Jedan od tih projekata je čitanje podataka koje korisnici izmjenjuju na Internetu. NSA je to postigla man in the middle napadom tako da korisnikove zahtjeve preusmjere na svoje poslužitelje prije nego što dođu do ciljanog poslužitelja. To je moguće jer imaju postavljene poslužitelje na velikim čvorovima u Internetu te stignu brzo reagirati na zahtjev i preusmjeriti ga. Ovaj napad najuspješnije radi na korisnicima koji koriste Firefox pretraživač. |
| |
| *Superfish adware: 2015. godine Lenovo računala su imala Superfish software instaliran pri kupnji uređaja. Software je uključivao i univerzalni samopotpisujući certifikat. Taj certifikat je omogućio man in the middle napadima da prikazuju reklame i na kriptiranim stranicama. Također certifikat je koristio isti privatni ključ za sva računala što je omogućilo napadačima da čitaju podatke i obave SSL spoofing bez da ih pretraživač upozori. Nedugo nakon incidenata sa Superfishem Micorsoft je objavio update koji je izbrisao SUperfish s Lenovo računala. | *Superfish adware: 2015. godine Lenovo računala su imala Superfish software instaliran pri kupnji uređaja. Superfish je uključivao i univerzalni samopotpisujući certifikat. Taj certifikat je omogućio man in the middle napadima da prikazuju reklame i na kriptiranim stranicama. Također certifikat je koristio isti privatni ključ za sva računala što je omogućilo napadačima da čitaju podatke i obave SSL spoofing bez da ih pretraživač upozori. Nedugo nakon incidenata sa Superfishem Micorsoft je objavio update koji je izbrisao Superfish s Lenovo računala. |
| |
| *Equifax data breach: Equifax je agencija za izvještavanje potrošačkih kredita koja je 2017. godine bila žrtva cyber-napada. Ovaj napad je jedan od najpoznatijih cyber-napada u povijesti i rezultirao je iscurenim osobnim podacima 147.9 milijuna ljudi. Napad je obavljen nizom koraka, ali ključan korak je iskoristio manu u Equifaxovoj aplikaciji, a to je da su se podaci između njegovih poslužitelja slali HTTP-om, a ne HTTPS-om. Na taj način su napadači došli do korisničkih imena i zaporki zaposlenika Equifaxa koje su se slale u nekriptiranom obliku. Koristeći dobivena imena i zaporke napadači su kopirali podatke iz baze podataka i kopirali ih na drugu lokaciju. | *Equifax data breach: Equifax je agencija za izvještavanje potrošačkih kredita koja je 2017. godine bila žrtva cyber-napada. Ovaj napad je jedan od najpoznatijih cyber-napada u povijesti i rezultirao je iscurenim osobnim podacima 147.9 milijuna ljudi. Napad je obavljen nizom koraka, ali ključan korak je iskoristio manu u Equifaxovoj aplikaciji, a to je da su se podaci između njegovih poslužitelja slali HTTP-om, a ne HTTPS-om. Na taj način su napadači došli do korisničkih imena i zaporki zaposlenika Equifaxa koje su se slale u nekriptiranom obliku. Koristeći dobivena imena i zaporke napadači su kopirali podatke iz baze podataka i kopirali ih na drugu lokaciju. |
