spoofing przy braku TLS

Spoofing przy braku TLS jest łatwiejszy, ponieważ transmisja bez szyfrowania nie chroni integralności nagłówków.

Dlaczego brak TLS ułatwia podszywanie się w transmisji

Spoofing oznacza podszywanie się pod inny system, urządzenie, adres lub usługę. Gdy komunikacja odbywa się bez TLS, dane aplikacyjne są przesyłane w postaci niezaszyfrowanej albo korzystają z mechanizmu, który nie zapewnia kryptograficznej ochrony sesji. Przykładem jest zwykłe połączenie HTTP przez port 80. Sam fakt nawiązania połączenia z określonym adresem IP nie dowodzi jeszcze, że odpowiedzi pochodzą od właściwego serwera, ponieważ po drodze może działać urządzenie przekazujące, modyfikujące lub przekierowujące ruch.

TLS, używany między innymi przez HTTPS, zapewnia uwierzytelnienie serwera za pomocą certyfikatu oraz integralność danych przesyłanych w ustanowionej sesji. Integralność oznacza, że zmiana chronionych bajtów przez pośrednika powinna spowodować błąd weryfikacji, a nie ciche zaakceptowanie zmodyfikowanej odpowiedzi. Bez takiej warstwy napastnik znajdujący się na trasie transmisji może próbować podmienić treść strony, przekierować żądanie albo przedstawić użytkownikowi fałszywy formularz logowania.

Jakie elementy komunikacji mogą zostać podrobione

W transmisji bez TLS podatne są zarówno dane żądania, jak i odpowiedzi. Dotyczy to między innymi nagłówka Host, ścieżki URL, parametrów zapytania, ciasteczek przesyłanych bez atrybutu Secure oraz treści HTML i JavaScript. Jeżeli przeglądarka wysyła żądanie HTTP, pośrednik może zmienić adres docelowy, dodać własny kod do odpowiedzi albo zastąpić pobierany plik inną wersją. Przy połączeniu z usługą wymagającą logowania może to prowadzić do przejęcia danych uwierzytelniających, jeżeli aplikacja nie stosuje dodatkowych zabezpieczeń.

Nie każdy przypadek spoofingu ma jednak to samo źródło. Fałszowanie odpowiedzi DNS polega na podstawieniu nieprawidłowego powiązania nazwy z adresem IP, spoofing ARP dotyczy lokalnej sieci i mapowania adresów IP na adresy MAC, a podszywanie się pod serwer HTTP może nastąpić podczas przekierowania lub pośredniczenia w ruchu. TLS nie naprawia błędnej konfiguracji DNS ani nie eliminuje wszystkich ataków w sieci lokalnej, ale utrudnia zaakceptowanie podmienionej treści, gdy klient poprawnie sprawdza certyfikat i nazwę serwera.

Różnica między szyfrowaniem a ochroną integralności

Brak TLS nie oznacza wyłącznie tego, że każdy może odczytać przesyłane dane. Równie ważny jest brak wiarygodnego potwierdzenia, że dane nie zostały zmienione podczas transportu. Szyfrowanie zapewnia poufność, natomiast mechanizmy uwierzytelnienia i kontroli integralności wykrywają manipulację. W nowoczesnych wersjach TLS, takich jak TLS 1.2 i TLS 1.3, ochrona sesji obejmuje uwierzytelnienie komunikatów; w TLS 1.3 używane są wyłącznie mechanizmy szyfrowania uwierzytelnionego, określane jako AEAD.

Przejście z HTTP na HTTPS nie powinno być realizowane przez bezwarunkowe ignorowanie ostrzeżeń certyfikatu. Certyfikat wystawiony dla innej nazwy, nieważny czasowo albo podpisany przez niezaufany urząd certyfikacji może wskazywać na błędną konfigurację lub próbę pośredniczenia w połączeniu. HSTS pozwala przeglądarce zapamiętać, że dana domena ma być otwierana wyłącznie przez HTTPS, a lista HSTS preload może spowodować wymuszenie HTTPS już przed pierwszym połączeniem. Mechanizmy te ograniczają ryzyko obniżenia połączenia do zwykłego HTTP, ale wymagają prawidłowej konfiguracji serwera i klienta.

Rozpoznawanie problemu na laptopie lub komputerze PC

Podczas analizy podejrzanej transmisji warto sprawdzić, czy adres witryny zaczyna się od https://, czy przeglądarka pokazuje poprawny certyfikat oraz czy połączenie nie jest automatycznie przekierowywane z HTTPS do HTTP. Pomocne może być porównanie wyniku DNS z kilku zaufanych sieci, sprawdzenie ustawień proxy i obserwacja ostrzeżeń przeglądarki. W systemie Windows konfigurację serwera proxy można zweryfikować w ustawieniach sieci, a podstawowe informacje o rozwiązywaniu nazw uzyskać poleceniem nslookup nazwa-domeny. Sam wynik tego polecenia nie potwierdza jednak autentyczności serwera.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, w tym diagnostykę problemów z konfiguracją sieci, przeglądarką oraz połączeniami szyfrowanymi. W praktyce należy odróżnić usterkę komputera od problemu routera, serwera DNS, punktu dostępowego albo samej usługi internetowej. Nie powinno się omijać ostrzeżeń certyfikatu, instalować nieznanych certyfikatów głównych ani podawać haseł na stronie, której adres lub certyfikat nie odpowiada oczekiwanej domenie.