読書の時間： 3 分
子供の頃、実際に大人になったと思い込んで、「Man in the Middle」というゲームをプレイしたことがありますか？ これは、XNUMX人のプレーヤーが大きなボールでキャッチゲームをプレイする場所ですが、中央のXNUMX人目のプレーヤーの頭の上に投げる必要があります。 ボールをインターセプトできれば、真ん中のプレーヤーが勝ちます。
ネットワークセキュリティでは、「ミドルアタックの男」は、クライアントシステムとサーバーシステムの間の通信の途中に自分自身を挿入できるハッカーを指します。 彼はクライアントをだまして自分がサーバーであると思い込ませ、サーバーが自分がクライアントであると思い込ませる。 ハッカーが成功した場合、彼は勝ち、攻撃のターゲットは負けます。 攻撃者がどれほど悪質かによって、大きな時間を失う可能性があります。
Man in the Middle（MIM）攻撃は、ネットワークトラフィックを監視して、IDやパスワードなどの重要なデータやセキュリティ資格情報を盗むために使用できます。 ネットワーク通信の速度を低下または停止させるサービス拒否攻撃を生成するために使用できます。 犯罪計画の一環として、Webサイトの訪問者を偽のサイトにリダイレクトするために使用できます。 ファイルやメールの傍受に使用できます。 クライアントとサーバーをウイルスに感染させるために使用できます。
たとえば、ユーザーは銀行のWebサイトにアクセスして、オンラインバンキングを行います。 しかし、攻撃の真っ只中の男が、銀行のように見える偽のWebサイトにリダイレクトします。 ハッカーはユーザーのログインとアカウント情報を取得します。 彼はユーザーのトランザクションを処理して、後でハッカーが自分のアカウントを襲撃したことがわかるまで、何も問題がないことを知らせます。
ハイパーテキスト転送プロトコル（HTTP）は非同期で転送されるASCIIテキストメッセージを使用するため、Web通信は特に問題になります。 HTTPは、セキュリティに必要な継続的な接続を確立しません。 httpでは、ハッカーがメッセージを傍受、読み取り、変更することは比較的簡単です。 1994年にインターネットが商業化される前に、暗号化されたメッセージを使用して安全な接続を作成する方法が必要でした。
Netscapeは、HTTPと連携してインターネット上で安全な暗号化された接続を提供するSecure Socket Layer（SSL）プロトコルを使用して、その方法で作成しました。 アドレス行にhttpsが表示されない限り、Webサイトで個人情報を提供することはありません。 ただし、使用される暗号化戦略 SSL MIM攻撃の余地を残すことができます。 ブラウザはWebサーバーにメッセージを送信してプロセスを開始し、サーバーは情報で応答して、証明書と呼ばれるファイルに保護された接続を作成します。 これには、ブラウザがサーバーのメッセージを暗号化するために必要な「キー」と呼ばれる値が含まれます。 ハッカーがMIMプロセスを作成できる場合、ハッカーは自身のキーをWebサーバーのキーに置き換えることができます。 その後、ブラウザのメッセージを読み取って編集できます。 サーバーのメッセージでも同じことができます。
さて、ここは本当に怖い部分です。 MIMの作成方法に関するチュートリアルは、YouTubeビデオを含め、インターネット全体に公開されています。 それだけでは不十分な場合、MIMの作成プロセスを自動化および簡略化するツールがWeb上にあります。 それを可能にする力はどのようにして起こりますか？ 憲法修正第XNUMX条と呼ばれる小さなもののほかに、MIMの正当な用途があります。 会社は、会社のリソースの従業員の使用を監視することができます。 彼らはMIMを使用して、従業員が何をしているかを監視し、電子メールを読みます。 少し不気味に聞こえますが、従業員は特権を乱用することが多く、雇用主は知る権利を持っています。
幸い、別の機能が組み込まれています SSL この問題に対処します。 SSL証明書には、「署名」のフィールドが含まれています。 署名は、証明書が通信しようとしているサイトからのものであることを確認した当事者の名前です。 証明書が取り消されているか、「自己署名」されている場合でも、MIMプロセスは成功します。 自己署名証明書は、サイト自体によって署名されています。
ただし、証明書が認証局（CA）と呼ばれるサードパーティによって署名されている場合、ブラウザは、証明書が実際にサイト所有者に発行されることを保証します。
問題が解決しました？ 部分的にですが、考慮すべきことがもうXNUMXつあります。
CAによって提供される保証にはさまざまなレベルがあります。 重要な取引、特に 金融取引、あなたはあなたがあなたのサイトユーザーにあなたが正当な継続的な運営であることを保証してもらいたいです。 そのためには、 検証の強化 （EV）SSL提供される最高レベルの保証。
コモドのEVを使用すると、Webサイトのすべての訪問者が「中間者」に注意を払うことができます。
