Wi-Fi-hacking förklarade: SSL-strippning

[ware_item id=33][/ware_item]

Wi-Fi-skärmdump av videoklipp


"Hur man kan vara säker online!" Är en vanlig rubrik i dag. Vi får upprepade gånger att gratis offentlig Wi-Fi är "farlig", att våra privata uppgifter är "sårbara" och att vi bör vidta åtgärder för att "skydda" oss själva. Dessa villkor är dock vaga. Som ett resultat kan hotet om att "bli hackat" verka avlägset och irrelevant.

Det är därför ExpressVPN avsåg att filma en mycket riktig, specifik attack som kan hända dig idag:

I videon ovan stjäl Samet Natalies Hotmail-lösenord med en man-i-mitt-attack som heter SSL stripping. Scarier fortfarande, samma attack kan fungera på webbplatser som Amazon och Citibank.

Vad är SSL-strippning??

I videon använder Samet en trådlös adapter på 20 $ och en uppsättning gratis penetrationstestverktyg som körs på Kali Linux på en typisk bärbar dator för att identifiera Natalies dator i det trådlösa nätverket och lyssna på hennes trafik. Det betyder att han kan se Natalies begäran om att besöka www.hotmail.com, avlyssna den och vidarebefordra den till Hotmail från sin egen dator, låtsas vara Natalie.

Hotmail vill att Natalie ska använda HTTPS, så det skickar tillbaka inloggningssidan krypterad med SSL, men eftersom Samet är mannen i mitten, han kan "strippa" (dvs. ta bort) SSL innan han vidarebefordrar den till Natalie. Natalie vet inte det, men när hon skriver in sitt lösenord och trycker på "Logga in" är hon det skicka den i klar text rakt till Samet. Samet lägger tillbaka SSL-krypteringen innan den vidarebefordras till Hotmail - och ingen är klokare.

Om SSL-strippning är så lätt, varför har vi inte hört talas om det förut?

SSL-stripping är ganska välkänt bland säkerhetspersonal. Det introducerades först på 2009 Black Hat-konferensen i Washington DC av Marlie Marlinspike, bättre känd som säkerhetsgeniet bakom den krypterade chat-appen Signal. Fantastiskt nog fungerar attacken trots att den är mer än åtta år gammal!

Det som ändrade är att vissa webbplatser har implementerat ett nytt protokoll som heter HSTS (HTTP strikt transportsäkerhet) utformad för att förhindra SSL-strippning. Webbplatser som använder HSTS kommer bara att tillåta webbläsaren att göra förfrågningar i HTTPS, inte klartext HTTP som den typ som Samet först avlyssnade från Natalie.

SSL-strippning fungerar inte längre med Facebook eller Gmail eftersom de har gått över till HTTPS och implementerat HSTS. Men det finns fortfarande många populära webbplatser, som Hotmail, Amazon, eBay, och Citibank, som inte helt övergav HTTP och därmed inte är berättigade till HSTS.

Hur man skyddar mot strippning av SSL

SSL-strippning kan verka som en tuff attack att försvara sig mot, eftersom det fungerar på många enheter och nätverk. Du är mottaglig för SSL-strippning oavsett om du är på mobil eller stationär, Windows eller Mac, och det spelar ingen roll om du är på gratis offentlig Wi-Fi eller ett lösenordsskyddat privat nätverk. Du kan till och med bli hackad av din nästa granne som snuppade på ditt Wi-Fi hemma! (Vissa företagsnätverk, som företag eller skolor, är konfigurerade för att skydda mot attacker som SSL-strippning.)

Om du är tillräckligt tekniskt för att känna igen HTTPS hänglåssymbolen som saknas i webbläsarens adressfält kan du bara fånga en SSL-strippare i akten. Men enligt Samet räcker det ofta inte med den typen av vaksamhet:

"Bara för att webbadressen säger" https "och ser ut som legitim, betyder det inte att du är säker och att någon i det nätverket inte spelar smutsigt. Det är därför jag enligt min personliga åsikt rekommenderar starkt att använda VPN. ”—Samet

Hur en VPN förhindrar SSL-strippning

Under den andra halvan av videon ansluter Natalie till den säkra ExpressVPN-servern i New York innan hon loggar in på Hotmail. Hela hennes trafik skickas nu via en privat, krypterad tunnel istället för det offentliga nätverket som Samet lyssnar på.

Nu är ingen av Natalies trafik synlig för Samet, inte ens den första begäran till Hotmail som han tidigare använde för att initiera SSL-remsan. Attacken som körs på Samets maskin sitter fast vid en lyssningsskärm och väntar på trafik som aldrig kommer att komma. Vid denna punkt skulle en mer skadlig hacker förmodligen gå vidare till ett annat offer i nätverket som inte använde VPN!

Wi-Fi-hacking förklarade: SSL-strippning
admin Author
Sorry! The Author has not filled his profile.