Новину нещодавно опублікував a група дослідників з різних університетів Німеччини, тіs розробив новий метод атаки MITM проти HTTPS, що дозволяє отримувати файли cookie з ідентифікаторами сеансів та іншими конфіденційними даними, а також виконувати довільний код JavaScript у контексті іншого сайту.
Викликається напад ALPACA і може застосовуватися до серверів TLS Вони реалізують різні протоколи прикладного рівня (HTTPS, SFTP, SMTP, IMAP, POP3), але використовують загальні сертифікати TLS.
Суть атаки полягає в тому, що якщо є контроль над шлюзом мережева або бездротова точка доступу, зловмисник може перенаправити трафік на інший мережевий порт і домовитись про встановлення з'єднання не з HTTP-сервером, а з FTP-сервером або поштовим сервером, що підтримує шифрування TLS.
Оскільки протокол TLS універсальний і не прив'язаний до протоколів рівня додатків, встановлення зашифрованого з'єднання для всіх служб ідентично, і помилку при відправленні запиту до неправильної служби можна виявити лише після встановлення зашифрованого сеансу під час обробки. команд поданого запиту.
Отже, якщо, наприклад, перенаправити з'єднання користувача, спочатку спрямований на HTTPS, на поштовий сервер, що використовує спільний із сервером HTTPS сертифікат, TLS-з'єднання буде успішно встановлено, але поштовий сервер не зможе обробити передані команди HTTP і поверне відповідь із кодом помилки . Ця відповідь буде опрацьована браузером як відповідь із запитуваного сайту, передана в межах належним чином встановленого зашифрованого каналу зв'язку.
Запропоновано три варіанти атаки:
- «Завантажити» для отримання файлу cookie з параметрами автентифікації: Метод застосовується, якщо FTP-сервер, охоплений сертифікатом TLS, дозволяє завантажувати та отримувати дані. У цьому варіанті атаки зловмисник може досягти збереження частин оригінального HTTP-запиту користувача, наприклад вмісту заголовка Cookie, наприклад, якщо сервер FTP інтерпретує запит як файл для збереження або реєструє його за допомогою повний. вхідні запити. Для успішної атаки зловмиснику потрібно якось отримати збережений вміст. Атака стосується Proftpd, Microsoft IIS, vsftpd, filezilla та serv-u.
- Завантажити для міжсайтових сценаріїв (XSS): Метод передбачає, що зловмисник, в результаті деяких незалежних маніпуляцій, може передавати дані в службу, використовуючи загальний сертифікат TLS, який потім може бути виданий у відповідь на запит користувача. Атака застосовується до вищезазначених FTP-серверів, IMAP-серверів та POP3-серверів (кур'єр, cyrus, kerio-connect та zimbra).
- Відображення запуску JavaScript у контексті іншого сайту: Метод заснований на поверненні частини запиту клієнту, яка містить код JavaScript, надісланий зловмисником. Атака застосовується до вищезазначених серверів FTP, серверів IMAP cyrus, kerio-connect та zimbra, а також SMTP-сервера sendmail.
Наприклад, коли користувач відкриває сторінку, керовану зловмисником, може бути ініційований запит на ресурс з сайту, де користувач має активний обліковий запис на цій сторінці. В атаці MITM, Цей запит на веб-сайт може бути перенаправлений на поштовий сервер, який має спільний сертифікат TLS.
Оскільки поштовий сервер не виходить із системи після першої помилки, заголовки та команди служби оброблятимуться як невідомі команди.
Поштовий сервер не аналізує деталі протоколу HTTP, і для цього заголовки служби та блок даних запиту POST обробляються однаково, тому в тілі запиту POST ви можете вказати рядок із командою на поштовий сервер.
Фуенте: https://alpaca-attack.com/