Die Nachricht wurde kürzlich von a . veröffentlicht Forschergruppe verschiedener Universitäten in Deutschland, die einens hat eine neue MITM-Angriffsmethode gegen HTTPS entwickelt, die es ermöglicht, Cookies mit Sitzungs-IDs und anderen sensiblen Daten zu extrahieren sowie beliebigen JavaScript-Code im Kontext einer anderen Website auszuführen.
Der Angriff heißt ALPACA und kann auf TLS-Server angewendet werden Sie implementieren verschiedene Protokolle der Anwendungsschicht (HTTPS, SFTP, SMTP, IMAP, POP3), verwenden jedoch gängige TLS-Zertifikate.
Der Kern des Angriffs besteht darin, dass bei Kontrolle über ein Gateway Netzwerk oder drahtloser Zugangspunkt, ein Angreifer kann den Datenverkehr an einen anderen Netzwerkport umleiten und stellen Sie eine Verbindung nicht zu einem HTTP-Server her, sondern zu einem FTP- oder Mailserver, der TLS-Verschlüsselung unterstützt.
Da das Protokoll TLS ist universell und nicht an Protokolle auf Anwendungsebene gebunden, ist der Aufbau einer verschlüsselten Verbindung für alle Dienste identisch und ein Fehler beim Senden einer Anfrage an den falschen Dienst kann erst nach dem Aufbau einer verschlüsselten Sitzung während der Verarbeitung erkannt werden. aus den Befehlen der übermittelten Anfrage.
Dementsprechend wenn zum Beispiel die Verbindung eines Benutzers umleiten, zunächst an HTTPS gerichtet, an einen Mailserver, der ein gemeinsames Zertifikat mit dem HTTPS-Server verwendet, wird die TLS-Verbindung erfolgreich hergestellt, aber der Mailserver kann die übertragenen HTTP-Befehle nicht verarbeiten und gibt eine Antwort mit einem Fehlercode zurück . Diese Antwort wird vom Browser als Antwort von der angeforderten Site verarbeitet und innerhalb eines ordnungsgemäß eingerichteten verschlüsselten Kommunikationskanals übertragen.
Drei Angriffsmöglichkeiten werden vorgeschlagen:
- «Upload» um das Cookie mit Authentifizierungsparametern abzurufen: Die Methode ist anwendbar, wenn der vom TLS-Zertifikat abgedeckte FTP-Server das Herunterladen und Abrufen Ihrer Daten ermöglicht. Bei dieser Variante des Angriffs kann ein Angreifer die Beibehaltung von Teilen der ursprünglichen HTTP-Anfrage des Benutzers erreichen, wie zum Beispiel den Inhalt des Cookie-Headers, wenn der FTP-Server die Anfrage als Datei zum Speichern interpretiert oder registriert, indem voll. eingehende Anfragen. Für einen erfolgreichen Angriff muss ein Angreifer den gespeicherten Inhalt irgendwie abrufen. Der Angriff ist auf Proftpd, Microsoft IIS, vsftpd, filezilla und serv-u anwendbar.
- Download für Cross-Site-Scripting (XSS): Die Methode impliziert, dass ein Angreifer als Ergebnis einiger unabhängiger Manipulationen Daten mit einem gemeinsamen TLS-Zertifikat in einen Dienst eingeben kann, das dann als Reaktion auf eine Anfrage des Benutzers ausgestellt werden kann. Der Angriff ist auf die oben genannten FTP-Server, IMAP-Server und POP3-Server (Kurier, Cyrus, Kerio-Connect und Zimbra) anwendbar.
- Überlegung zum Ausführen von JavaScript im Kontext einer anderen Site: Die Methode basiert auf der Rückgabe eines Teils der Anfrage an den Client, der den vom Angreifer gesendeten JavaScript-Code enthält. Der Angriff ist auf die oben genannten FTP-Server, die IMAP-Server cyrus, kerio-connect und zimbra sowie den SMTP-Server sendmail anwendbar.
Zum Beispiel Wenn ein Benutzer eine von einem Angreifer kontrollierte Seite öffnet, kann eine Anfrage nach einer Ressource initiiert werden von einer Site, auf der der Benutzer ein aktives Konto von dieser Seite hat. Bei einem MITM-Angriff Diese Anfrage an die Website kann an einen Mailserver umgeleitet werden, der ein TLS-Zertifikat teilt.
Da sich der Mailserver nach dem ersten Fehler nicht abmeldet, werden die Dienstheader und Befehle als unbekannte Befehle verarbeitet.
Der Mailserver parst die Details des HTTP-Protokolls nicht und dafür werden die Service-Header und der Datenblock der POST-Anfrage auf die gleiche Weise verarbeitet, daher können Sie im Hauptteil der POST-Anfrage eine Zeile mit dem Befehl to angeben specify der Mailserver.
Quelle: https://alpaca-attack.com/