Ataki man-in-the-middle: jak działa podsłuch

Czym jest atak man-in-the-middle?

Atak man-in-the-middle (MITM), czyli „człowiek pośrodku”, ma miejsce, gdy atakujący potajemnie umieszcza się między dwiema komunikującymi się stronami — zwykle Tobą a stroną, serwerem lub innym użytkownikiem — przechwytując, odczytując i potencjalnie modyfikując ruch tak, że żadna ze stron tego nie zauważa.

Nazwa dokładnie oddaje ideę: zamiast atakować bezpośrednio któryś z końców, atakujący wpina się w kanał komunikacji. Z Twojej perspektywy rozmawiasz z bankiem. Z perspektywy banku rozmawia z Tobą. W rzeczywistości obie rozmowy toczą się z atakującym, który przekazuje wiadomości, czytając wszystko po drodze.

Ataki MITM mogą służyć do:

• Kradzieży danych logowania i tokenów sesji
• Przechwytywania wrażliwych danych finansowych lub osobowych
• Modyfikowania danych w transmisji (np. zmiany konta docelowego płatności)
• Wstrzykiwania złośliwych treści do stron internetowych
• Przejmowania sesji

Jak działają ataki MITM

ARP spoofing w sieciach lokalnych

ARP (Address Resolution Protocol) przypisuje adresy IP do adresów MAC w sieci lokalnej. ARP nie ma uwierzytelniania — każde urządzenie może wysłać odpowiedź ARP, twierdząc, że jest dowolnym adresem IP.

W ataku ARP spoofing:

1. Atakujący rozsyła odpowiedzi ARP twierdzące, że jego adres MAC odpowiada adresowi IP bramy (np. Twojego routera)
2. Urządzenia ofiar aktualizują pamięć ARP i zaczynają wysyłać ruch do komputera atakującego
3. Atakujący przekazuje ruch do prawdziwej bramy, czytając wszystko po drodze
4. Przy połączeniach nieszyfrowanych widoczna jest cała treść; przy szyfrowanych — metadane

Ten atak działa w każdej współdzielonej sieci — Wi-Fi lub przewodowej — i można go banalnie przeprowadzić narzędziami takimi jak Ettercap czy Bettercap.

Fałszywe punkty dostępowe

Atakujący tworzy hotspot Wi-Fi o nazwie łudząco podobnej do prawdziwej sieci — „Starbucks_WiFi” zamiast „Starbucks WiFi”. Urządzenia skonfigurowane do automatycznego łączenia ze znanymi sieciami mogą połączyć się same. Cały ruch przechodzi przez komputer atakującego.

Jest to szczególnie skuteczne na lotniskach, w kawiarniach i hotelach, gdzie ludzie rutynowo łączą się z nieznanymi sieciami.

SSL stripping

SSL stripping to technika obniżania połączeń HTTPS do HTTP. Gdy użytkownik wpisuje samą nazwę domeny (bez https://), pierwsze żądanie często idzie przez HTTP. Atakujący pośrodku przechwytuje to żądanie, nawiązuje w imieniu ofiary połączenie HTTPS z prawdziwym serwerem, a ofierze serwuje treść przez HTTP — obniżając poziom bezpieczeństwa tak, że użytkownik tego nie zauważa (chyba że dokładnie sprawdzi pasek adresu).

Był to niszczycielski atak, zanim HSTS stało się powszechne.

Przejmowanie BGP

Na poziomie trasowania internetu przejmowanie BGP (Border Gateway Protocol) pozwala atakującym (zwykle działającym na zlecenie państw) przekierować ogromne części ruchu internetowego przez swoją infrastrukturę, ogłaszając fałszywe informacje o trasach. Udokumentowano takie incydenty dotyczące ruchu dużych dostawców chmury i usług kryptowalutowych.

Co naprawdę powstrzymuje ataki MITM

TLS / HTTPS

Prawidłowo wdrożony TLS to podstawowa obrona. Poprawne połączenie TLS oznacza, że:

• Ruch jest szyfrowany i nieczytelny dla przechwytującego
• Tożsamość serwera jest weryfikowana kryptograficznie przez jego certyfikat
• Każda modyfikacja zaszyfrowanych danych jest wykrywalna

TLS działa jednak tylko wtedy, gdy certyfikat jest prawidłowo weryfikowany. Atakujący z nieuczciwie uzyskanym certyfikatem dla atakowanej domeny lub taki, który przekona ofiarę do zainstalowania fałszywego certyfikatu CA, nadal może przeprowadzić atak MITM na ruch HTTPS.

HSTS (HTTP Strict Transport Security)

HSTS informuje przeglądarkę, że strona ma być dostępna wyłącznie przez HTTPS. Gdy przeglądarka otrzyma nagłówek HSTS:

• Nigdy nie nawiąże połączenia HTTP z tą domeną
• Ataki SSL stripping zawodzą, bo przeglądarka odmawia obniżenia poziomu
• Lista HSTS preload pozwala przeglądarkom mieć wbudowaną listę stron tylko-HTTPS, co chroni nawet przy pierwszej wizycie

Przypinanie certyfikatów

Aplikacje mobilne i niektóre usługi internetowe stosują przypinanie certyfikatów (certificate pinning) — aplikacja ufa tylko konkretnemu certyfikatowi lub kluczowi publicznemu i odrzuca każdy inny, nawet podpisany przez CA. To uniemożliwia ataki z użyciem nieuczciwie wydanych certyfikatów.

Zabezpieczenia na poziomie sieci

• Dynamic ARP Inspection (DAI) na przełącznikach firmowych weryfikuje pakiety ARP i odrzuca sfałszowane odpowiedzi
• Uwierzytelnianie 802.1X w firmowym Wi-Fi zapobiega atakom z fałszywymi punktami dostępowymi, wymagając uwierzytelnienia przed dostępem do sieci
• VPN szyfruje ruch, zanim opuści Twoje urządzenie, więc ARP spoofing i fałszywe punkty dostępowe widzą tylko ruch zaszyfrowany przez VPN

Praktyczna ochrona dla użytkowników

• Zawsze sprawdzaj HTTPS, zanim wpiszesz dane logowania lub płatnicze — szukaj kłódki i właściwej domeny
• Unikaj wrażliwych operacji w publicznym Wi-Fi bez zaufanego VPN
• Podchodź sceptycznie do błędów certyfikatów: ostrzeżenie przeglądarki o nieprawidłowym certyfikacie może oznaczać trwający atak MITM — nie klikaj „przejdź dalej”
• Aktualizuj oprogramowanie: narzędzia do ataków MITM często wykorzystują luki w przeglądarkach lub systemach
• Używaj VPN w niezaufanych sieciach: VPN tworzy zaszyfrowany tunel z Twojego urządzenia, uniemożliwiając odczyt ruchu przez ataki MITM w sieci lokalnej
• Unikaj sieci o ogólnych nazwach, takich jak „Darmowe WiFi” — przed połączeniem potwierdź nazwę sieci u obsługi lokalu