Știrea a fost lansată recent de un grup de cercetători din diverse universități din Germania, aceias a dezvoltat o nouă metodă de atac MITM împotriva HTTPS, care permite extragerea cookie-urilor cu ID-uri de sesiune și alte date sensibile, precum și executarea unui cod JavaScript arbitrar în contextul unui alt site.
Atacul este chemat ALPACA și poate fi aplicat serverelor TLS Acestea implementează diferite protocoale de nivel de aplicație (HTTPS, SFTP, SMTP, IMAP, POP3), dar utilizează certificate TLS comune.
Esența atacului este că, dacă există control asupra unei porți rețea sau punct de acces wireless, un atacator poate redirecționa traficul către un alt port de rețea și aranjați să stabiliți o conexiune nu la un server HTTP, ci la un server FTP sau mail care acceptă criptarea TLS.
De la protocol TLS este universal și nu este legat de protocoale la nivel de aplicație, stabilirea unei conexiuni criptate pentru toate serviciile este identică și o eroare la trimiterea unei cereri către serviciul greșit poate fi detectată numai după stabilirea unei sesiuni criptate în timpul procesării. din comenzile cererii depuse.
Prin urmare, dacă, de exemplu, redirecționează conexiunea unui utilizator, inițial direcționat către HTTPS, către un server de e-mail folosind un certificat comun cu serverul HTTPS, conexiunea TLS va fi stabilită cu succes, dar serverul de e-mail nu va putea procesa comenzile HTTP transmise și va returna un răspuns cu un cod de eroare . Acest răspuns va fi procesat de browser ca un răspuns de la site-ul solicitat, transmis într-un canal de comunicare criptat stabilit în mod corespunzător.
Sunt propuse trei opțiuni de atac:
- «Încărcare» pentru a prelua modulul cookie cu parametrii de autentificare: Metoda este aplicabilă dacă serverul FTP acoperit de certificatul TLS vă permite să descărcați și să preluați datele. În această variantă a atacului, un atacator poate realiza păstrarea unor părți din cererea HTTP originală a utilizatorului, cum ar fi conținutul antetului Cookie, de exemplu, dacă serverul FTP interpretează cererea ca un fișier pentru salvare sau o înregistrează prin deplin. solicitări primite. Pentru un atac reușit, un atacator trebuie să recupereze cumva conținutul stocat. Atacul este aplicabil pentru Proftpd, Microsoft IIS, vsftpd, filezilla și serv-u.
- Descărcați pentru cross-site scripting (XSS): Metoda implică faptul că un atacator, ca urmare a unor manipulări independente, poate introduce date într-un serviciu folosind un certificat TLS comun, care poate fi apoi emis ca răspuns la o cerere din partea utilizatorului. Atacul este aplicabil serverelor FTP menționate mai sus, serverelor IMAP și serverelor POP3 (curier, cyrus, kerio-connect și zimbra).
- Reflecție pentru a rula JavaScript în contextul unui alt site: Metoda se bazează pe returnarea unei părți a cererii către client, care conține codul JavaScript trimis de atacator. Atacul este aplicabil serverelor FTP menționate mai sus, serverelor cyrus, kerio-connect și zimbra IMAP, precum și serverului SMTP sendmail.
De exemplu, atunci când un utilizator deschide o pagină controlată de un atacator, poate fi inițiată o cerere pentru o resursă de pe un site unde utilizatorul are un cont activ din această pagină. Într-un atac MITM, Această solicitare către site-ul web poate fi redirecționată către un server de mail care partajează un certificat TLS.
Deoarece serverul de e-mail nu se deconectează după prima eroare, antetele și comenzile serviciului vor fi procesate ca comenzi necunoscute.
Serverul de poștă electronică nu analizează detaliile protocolului HTTP și pentru aceasta antetele serviciului și blocul de date al cererii POST sunt procesate în același mod, prin urmare, în corpul cererii POST puteți specifica o linie cu comanda către serverul de mail.
Fuente: https://alpaca-attack.com/