זמן קריאה: 3 דקות
כשהיית ילד, בהנחה שאתה אכן התבגר, האם אי פעם שיחקת את המשחק "אדם באמצע"? זה המקום בו שני שחקנים משחקים משחק מלכוד בכדור גדול, אך עליהם לזרוק אותו מעל ראשו של שחקן שלישי באמצע. השחקן באמצע מנצח את המשחק אם הוא יכול ליירט את הכדור.
באבטחת רשת, "אדם במתקפה התיכונה"מתייחס להאקר שמסוגל להכניס את עצמם לאמצע התקשורת בין מערכת לקוח למערכת שרתים. הוא מתעלל מהלקוח לחשוב שהוא השרת והשרת לחשוב שהוא הלקוח. אם ההאקר מצליח הוא מנצח ויעדי ההתקפה מפסידים. תלוי עד כמה התוקף נואש, הם עלולים להפסיד בגדול.
ניתן להשתמש בתקיפות של אנשים באמצע (MIM) כדי לפקח על תנועת הרשת כדי לגנוב נתונים יקרי ערך או אישורי אבטחה כגון תעודות זהות וסיסמאות. ניתן להשתמש בו כדי ליצור התקפת מניעת שירות שמאטה או מפסיקה את התקשורת ברשת. ניתן להשתמש בו כדי להפנות מבקר באתר לאתר מזויף כחלק מתכנית פלילית. ניתן להשתמש בו כדי ליירט קבצים ודוא"ל. ניתן להשתמש בו כדי להדביק וירוס בין הלקוח והשרת.
לדוגמה, משתמש ניגש לאתר האינטרנט של הבנק שלו כדי לעשות קצת בנקאות מקוונת. עם זאת, אדם במתקפה אמצע מפנה אותו לאתר אינטרנט מזויף שנראה בדיוק כמו של הבנק. ההאקר לוכד את פרטי ההתחברות ופרטי החשבון של המשתמש. הוא יכול לעבד את העסקאות של המשתמש כדי שלא יידעו שמשהו אינו כשורה, עד שהם ימצאו את חשבונם שפשט אחר כך על ידי ההאקר.
תקשורת באינטרנט היא דאגה מיוחדת מכיוון שפרוטוקול העברת ההייפר-טקסט (HTTP) משתמש בהודעות טקסט ASCII המועברות באופן אסינכרוני. HTTP לא מקים חיבור רציף הנדרש לאבטחה. עם http, יחסית פשוט להאקר ליירט, לקרוא ולשנות הודעות. לפני שניתן יהיה למסחור את האינטרנט בשנת 1994, הייתה צריכה להיות דרך ליצור חיבורים מאובטחים עם הודעות מוצפנות.
Netscape יצרה ככה עם פרוטוקול ה- Secure Socket Layer (SSL) הפועל בשילוב עם HTTP כדי לספק חיבורים מאובטחים ומוצפנים באינטרנט. לעולם לא הייתי מספק מידע אישי באתר אינטרנט אלא אם כן אני רואה https בשורת הכתובת! עם זאת, אסטרטגיית ההצפנה בה נעשה שימוש SSL יכול להשאיר פתח להתקפה של MIM. הדפדפן שולח הודעה לשרת האינטרנט כדי להתחיל בתהליך והשרת מגיב במידע ליצירת החיבור המאובטח בקובץ שנקרא תעודה. זה כולל ערך המכונה "מפתח" שהדפדפן צריך להצפין את ההודעות שלו לשרת. אם האקר יכול ליצור תהליך MIM, הוא יכול להחליף מפתח משלו עבור שרת האינטרנט. לאחר מכן הוא יכול לקרוא ולערוך את הודעות הדפדפן. זה יכול לעשות את אותו הדבר עם הודעות השרת.
והנה, הנה החלק המפחיד באמת. הדרכות כיצד ליצור MIM הן בכל האינטרנט, כולל סרטוני YouTube. אם זה לא מספיק, ישנם כלים זמינים באינטרנט שיאפשרו אוטומציה ופישוט של תהליך יצירת MIM. כיצד יכולות הכוחות שמאפשרים לזה לקרות? מלבד דבר קטן שנקרא התיקון הראשון, ישנם שימושים לגיטימיים עבור MIM. לחברות רשאים לפקח על השימוש בעובדים במשאבי החברה. הם משתמשים ב- MIM כדי לראות מה העובדים עושים ולקרוא את המיילים שלהם. נשמע מעט מצמרר, אך לעיתים קרובות עובדים מנצלים לרעה את הפריבילגיות שלהם ולמעסיקים יש זכות לדעת.
למרבה המזל נבנה תכונה נוספת ב- SSL להתמודד עם בעיה זו. אישור SSL כולל שדה ל"חתימה ". החתימה היא שם של גורם שאימת שהתעודה מקורו באתר שהוא מנסה לתקשר איתו. תהליך MIM עדיין יכול להצליח אם האישור בוטל או שהוא "חתום על עצמו". האתר עצמו חתום על תעודת חתימה עצמית.
עם זאת, אם האישור נחתם על ידי צד ג 'המכונה רשות תעודות (CA), הדפדפן הוא הבטחה כי האישור מונפק למעשה לבעלי האתר.
הבעיה נפתרה? באופן חלקי, אך יש עוד דבר אחד שיש לקחת בחשבון.
יש רמות הבטחה שונות הניתנות על ידי רשות הפלשתינית. בעיקר לעסקאות חשובות עסקאות פיננסיות, אתה רוצה שמשתמשי האתר שלך יבטיחו שאתה מבצע פעולה לגיטימית. לשם כך עליכם להשיג אימות משופר (EV) SSL רמת הביטחון הגבוהה ביותר שניתנה.
עם EV מקומודו, אתה וכל מבקרי אתר האינטרנט יכולים לפקוח עין על "האדם באמצע" !.
