spoofing z fałszywym certyfikatem

Spoofing z fałszywym certyfikatem próbuje upozorować zaufane połączenie mimo braku ważnej weryfikacji.

Na czym polega spoofing z fałszywym certyfikatem

Spoofing z fałszywym certyfikatem to próba podszycia się pod zaufaną stronę internetową, usługę lub urządzenie przez przedstawienie certyfikatu, który nie potwierdza prawdziwej tożsamości komunikującego się systemu. Najczęściej chodzi o połączenie szyfrowane TLS, używane między innymi przez przeglądarki internetowe, aplikacje pocztowe, programy synchronizujące dane i klienty usług sieciowych. Samo szyfrowanie nie wystarcza do zapewnienia bezpieczeństwa. Połączenie może być zaszyfrowane, ale jeśli certyfikat został wystawiony dla innej domeny, jest nieważny albo pochodzi z nieznanego źródła, użytkownik może komunikować się z niewłaściwym serwerem.

Certyfikat X.509 zawiera między innymi nazwę podmiotu, nazwę wystawcy, okres ważności, klucz publiczny oraz podpis cyfrowy wystawcy. Przeglądarka sprawdza, czy podpis można zweryfikować za pomocą zaufanego łańcucha certyfikatów, czy nazwa odwiedzanej domeny znajduje się w polu Subject Alternative Name oraz czy certyfikat nie wygasł. Jeżeli te warunki nie są spełnione, aplikacja powinna wyświetlić ostrzeżenie albo przerwać połączenie.

Jak może wyglądać taki atak

Atakujący może próbować przekierować komputer na własny serwer za pomocą zmienionych wpisów DNS, złośliwego oprogramowania, przejętego routera, fałszywego punktu dostępowego Wi-Fi albo manipulacji w lokalnej konfiguracji sieci. Gdy użytkownik wpisze adres prawdziwego serwisu, żądanie trafia wtedy do systemu kontrolowanego przez napastnika. Ten system może przedstawić certyfikat skopiowany z prawdziwej strony, certyfikat wystawiony dla innej domeny albo certyfikat podpisany przez prywatny urząd certyfikacji dodany wcześniej do magazynu zaufania.

W typowym połączeniu TLS klient nie powinien ufać wyłącznie temu, że certyfikat zawiera nazwę znanej firmy. Weryfikowany jest cały łańcuch: certyfikat serwera, certyfikaty pośrednie oraz certyfikat głównego urzędu certyfikacji. Znaczenie ma także poprawne sprawdzenie nazwy hosta. Certyfikat dla przyklad.pl nie potwierdza automatycznie tożsamości przyklad.com, a certyfikat dla jednej subdomeny nie musi obejmować pozostałych nazw. Certyfikat samopodpisany może być użyteczny w kontrolowanym środowisku testowym, lecz nie stanowi publicznego potwierdzenia tożsamości serwisu.

Objawy i bezpieczna reakcja użytkownika

Do sygnałów ostrzegawczych należą komunikaty przeglądarki o niezaufanym połączeniu, niezgodności nazwy hosta, wygasłym certyfikacie lub niemożności zbudowania łańcucha zaufania. Podejrzane są także ostrzeżenia pojawiające się tylko na jednym komputerze, połączenia przez nieznaną sieć Wi-Fi oraz sytuacje, w których certyfikat serwisu nagle ma innego wystawcę niż wcześniej. Sama zmiana wystawcy nie zawsze oznacza atak, ponieważ administratorzy mogą odnowić certyfikat lub zmienić urząd certyfikacji, ale nieoczekiwanej zmiany nie należy ignorować.

Nie powinno się zatwierdzać ostrzeżenia tylko po to, aby otworzyć stronę, szczególnie gdy serwis wymaga logowania, płatności albo podania danych dostępowych. Bezpiecznym krokiem jest sprawdzenie poprawności adresu, zamknięcie strony i skontaktowanie się z właścicielem usługi innym kanałem. Warto również sprawdzić datę i godzinę systemową, ponieważ błędny zegar może powodować fałszywe komunikaty o ważności certyfikatu. Jeśli problem występuje wyłącznie w danej sieci, należy zweryfikować ustawienia DNS, router oraz konfigurację proxy, a przy podejrzeniu infekcji wykonać diagnostykę systemu i przeanalizować zainstalowane certyfikaty zaufane.

Znaczenie diagnostyki komputera i połączenia

Rozpoznanie spoofingu wymaga oddzielenia zwykłego błędu konfiguracyjnego od rzeczywistej próby podszycia się. Diagnostyka może obejmować sprawdzenie adresu strony, szczegółów certyfikatu w przeglądarce, magazynu certyfikatów systemu, ustawień serwera proxy, konfiguracji DNS oraz listy uruchomionych rozszerzeń przeglądarki. Należy także zweryfikować, czy system i przeglądarka są aktualne, ponieważ mechanizmy walidacji certyfikatów, listy zaufanych urzędów i obsługa protokołów TLS są utrzymywane przez producentów oprogramowania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzenia problemu z certyfikatami można zlecić diagnostykę systemu, ustawień sieciowych oraz oznak złośliwej ingerencji. Podczas takiej kontroli nie należy usuwać przypadkowych certyfikatów ani resetować konfiguracji bez ustalenia ich pochodzenia, ponieważ niektóre certyfikaty są wymagane przez legalne programy, firmowe sieci lub urządzenia zabezpieczające. Najważniejsze jest zachowanie ostrzeżenia, zapisanie dokładnego komunikatu i ustalenie, czy błąd powtarza się na innych urządzeniach oraz w innej sieci.