Man In The Middle, nyní ještě prímovější (diskuse)

[Vantomas]

Víte o tom, že Vás zavřou? :)

<hint>1999-04-16 Čtvrtníček, Šteindler a Vávra na Hrad!</hint>

[petr_p]

Ne, vás zavřou.

[hikikomori82]

Pekne. Blbé je že tlačítko (input submit) narozdiel od html odkazu (a href) v stavovom riadku nezobrazuje adresu (form action) takze si to clovek nema moc sancu skontrolovat pred potvrdenim.

[Jendа]

Web developer toolbar → Formuláře → Zobrazit detaily formuláře .

[Luk]

V Opeře se URL zobrazuje v bublině u kurzoru, čili to zkontrolovat lze.

[v6ak]

Omlouvám se za příspěvek do staré diskuze, ale myslím, že mám co říct. Zjištění, kam směřuje input, je při zapnutém JS celkem na nic. Pro Firefox tu kdysi bylo (možná stále je) rozšíření FormFox, které umožňovalo ze submitu zjistit action. Poté, co jsem napsal autorovi několik způsobů, jak to jde obejít, přidal varování při onclick, tuším. Druhá věc ale je, že jiných způsobů obejítí tu zůstalo stále mnoho. A i kdyby tu zůstal jediný, i ten stačí na to, aby se na to nedalo spolehnout. Možná proti podvrhu pomůže vypnutý Javascript. V každém případě je to řešení na špatném místě: problém pramení z pobytu na jiné stránce, jiný formulář je až důsledek.

[Jendа]

Já bych si nejradši zapnul upozorňování, že „tento formulář bude odeslán nezabezpečeně, blablabla“. Jenže by mě to nebavilo odklikávat při každém hledání někde . Nejlepší by bylo, kdyby prohlížeč kromě „už nikdy nevarovat“ měl ještě možnost „už nikdy nevarovat pro tuto doménu“.

[v6ak]

Jenže to neřeší ten problém. Útočník může třeba taky použít SSL. Nebo může použít jiný kanál, třeba XmlHttpRequest..

[pasmen]

Jako popis hezký, ale být tebou bych si nedělal iluze, že jsi objevil něco bombastického a že tě čeká nehynoucí sláva.

[Jendа]

Doplnil jsem na příslušná místa smajlíky, aby to bylo zřejmější.

[Luk]

Jde spíš o to, aby se to případně upravilo. I u abíčka

[xkucf03]

V tomhle si nedělej žádné iluze, např. náš studijní systém trpí podobnou chybou – přijdeš na úvodní stránku, ta je nešifrovaná, klikneš na „Přihlásit se“ a to tě hodí na stránku s HTTPS basic autentizací (tzn. generické okno webového prohlížeče) a tam už zadáváš heslo – obávám se, že většina uživatelů by jméno a heslo vyplnila, i kdyby útočník-uprostřed upravil titulní stránku, aby odkaz vedl na nešifrovanou podvodnou stránku. Když jsem upozorňoval autory toho systému, že by bylo lepší, kdyby se šifrování započalo o stránku dříve, než uživatel posílá heslo, případně se použila formulářová autentizace (místo basic), přišlo jim to moc práce.

[Kvakor]

Některé weby, které potřebují nějaké zabezpečení, ale nechtějí cpát veškerý provoz přes HTTPS, používají normální HTTP formulář pro přihlášení, přilášení samotné provedou přes HTTPS a pokud proběhne v pořádku, vrátí se zpátky do HTTP, hlavně z důvůdů výkonnosti (hardwarová podpra SSL není levná záležitost). Například seznamí mail to dělá práve takto. Běžný uživatel by si nejspíš vůbec ničeho nevšiml, pokud by se HTTPS část přeskočila - většina lidí prý ani nekontroluje adresní řádek ...

[David Jaša]

Na toto téma mě už dávno napadlo - proč neexistuje "něco mezi" HTTP a HTTPS, co by zajišťovalo pouze integritu dat, ale už ne jejich důvěrnost.

[finn]

Integrita dat je zajištěna na úrovni TCP. Pokud bys chtěl zajistit integritu v tom smyslu, že nikdo nezmění data (samozřejmě včetně kontrolního součtu) mezi serverem a klientem, musel bys zprávu

• doplnit hashem (SHA1, SHA256, ...)
• digitálně podepsat

. Je zřejmé, že by to oproti šifrování nic nepřineslo (třeba vyšší rychlost).

[David Jaša]

Opravdu není vytvoření hashe a jeho podepsání rychlejší než šifrování?

[xkucf03]

Ona ta integrita bez identifikace druhé strany nemá moc smysl – pak máš jen jistotu, že s někým komunikuješ a nikdo není mezi vámi, kdo by tu komunikaci narušoval, ale už nevíš, jestli ten někdo je skutečný server, kam se chceš připojit nebo útočník.

Něco mezi HTTP a HTTPS může být, když hesla hashuješ na straně klienta. Ovšem je to jen ochrana proti odposlechnutí (např. po nechráněném wifi), ale ne proti pozměnění (MIM), protože když může někdo pozměňit ty stránky, tak vypne hashování, uživatel nic nepozná (za HTML zdroják se nedívá) a heslo se odešle v čistém tvaru. Případně to jde zkombinovat s HTTPS a mít to jako druhou úroveň zabezpečení (někdo např. podvrhne certifikáty, odposlouchává a nakonec zjistí, že odposlechl jen náhodné hashe hesel).

[kkaarreell]

Pletu se, nebo jsi spojil man-in-the-middle s phishingem? To mi moc prevratne zrovna neprijde.

[Jendа]

Pomocí man-in-the-middle udělám z oficiální nezabezpečené stránky phishingovou.

Ano, není to převratné. To z toho odstavce není cítit nadsázka a humor?

[Ja]

Je citit, akurat niektori maju vysoky prah vnimavosti nadsazky...

[kkaarreell]

tak to pardon, moc jsem toho nenaspal, tak mi do asi nedoslo.. vlastne jsem to jen prolit ocima.

[xkucf03]

 

Příprava takovéhoto útoku je složitější

Kdybys tam vrazil jako proxy třeba takový nginx, tak je to přepisování snadné (https → http).

 

[Jendа]

No tak ta Privoxy dělá v podstatě to samé.

Mimochodem, nějak jsem si při procházení té jejich wiki vzpomněl na hymnu Gazpromu :)

[xkucf03]

 

it's very beautiful and encouraging song!
Down with Exxon Mobil,Total,Chevron,BP and
Royal Dutch Shell!!!
Russia i Gazprom,ypa!

 

[limit_false]

Je to podobné sslsniff-u. Jenom sslsniff navíc umí podvrhovat falešné SSL certifikáty, které ale projdou ověřením SSL certificate chain. Má na to několik metod:

• znásilnění CA basic constraints - již dnes ve většině prohlížečů nefunguje
• IDN - doména může obsahovat znak co vypadá jak lomítko, tím pádem browser ověří úplně jinou doménu než co člověk vidí v address baru (nebo si myslí že vidí)
• null-prefix attack (nedávný útok předveden na BlackHatu)

[Filip Jirsák]

Každý webový formulář lze považovat za zabezpečený jedině v případě, že je zabezpečená jak stránka s formulářem tak cílová stránka. Pokud nějaký web používá HTTPS jen pro přihlášení, a samotný přihlašovací formulář není na HTTPS, je to celé skoro k ničemu.