spoofing z użyciem serwera proxy

Spoofing z użyciem serwera proxy ukrywa rzeczywisty adres atakującego za pośredniczącą infrastrukturą.

Na czym polega spoofing z użyciem serwera proxy

Spoofing z użyciem serwera proxy to sposób prowadzenia komunikacji sieciowej, w którym komputer atakującego łączy się z celem za pośrednictwem dodatkowego serwera. Serwer proxy odbiera żądanie od klienta, przekazuje je dalej i zwraca odpowiedź. Dla systemu docelowego bezpośrednim rozmówcą jest wtedy adres IP serwera proxy, a nie adres interfejsu sieciowego używanego przez atakującego. W tym sensie proxy może ukrywać rzeczywisty adres źródłowy przed aplikacją lub usługą, która widzi wyłącznie połączenie od pośrednika.

Nie oznacza to jednak pełnej anonimowości. Operator proxy może rejestrować adresy IP, znaczniki czasu, żądane adresy, identyfikatory sesji albo inne metadane. Dodatkowe informacje mogą znajdować się także w nagłówkach HTTP, na przykład X-Forwarded-For lub Forwarded, jeżeli pośrednik przekazuje je do serwera docelowego. Ich obecność i wiarygodność zależą od konfiguracji infrastruktury, dlatego sam nagłówek nie powinien być bezkrytycznie traktowany jako dowód prawdziwego adresu klienta.

Jak wygląda przepływ połączenia

W typowym scenariuszu aplikacja atakującego nawiązuje połączenie z serwerem proxy, a następnie przekazuje mu adres usługi docelowej oraz dane żądania. Przy połączeniu HTTP proxy może obsługiwać żądania wprost. Przy HTTPS klient zwykle używa metody CONNECT, aby poprosić proxy o utworzenie tunelu TCP do wskazanego hosta i portu, często 443. Po zestawieniu tunelu szyfrowanie TLS odbywa się między klientem a serwerem docelowym, więc zwykły proxy przekazujący ruch nie musi znać treści chronionej sesji.

Inny model występuje przy proxy terminującym TLS. Wtedy proxy ustanawia oddzielne połączenie TLS z klientem i oddzielne połączenie z serwerem. Taka konfiguracja pozwala pośrednikowi analizować treść ruchu, ale wymaga odpowiedniej konfiguracji zaufania po stronie klienta i zmienia właściwości bezpieczeństwa połączenia. Sama zmiana adresu IP widocznego dla serwera nie fałszuje wszystkich cech komunikacji. System może nadal analizować port źródłowy, geolokalizację adresu, profil przeglądarki, nagłówki, ciasteczka, certyfikaty klienta, wzorzec czasowy oraz zachowanie podczas sesji.

Proxy może być jawny, gdy aplikacja lub system otrzymuje jego adres w konfiguracji, albo przezroczysty, gdy ruch jest przekierowywany w sieci bez ręcznego ustawiania proxy w programie. Dla oceny źródła połączenia istotne jest również to, czy serwer docelowy zna zaufany łańcuch pośredników. Jeżeli aplikacja ufa nagłówkom dodawanym przez dowolnego klienta, atakujący może wpisać w nich dowolną wartość i doprowadzić do błędnej identyfikacji adresu.

Do czego taki mechanizm może zostać wykorzystany

Pośrednictwo może służyć do ukrywania infrastruktury używanej podczas skanowania usług, prób logowania, wysyłania żądań do formularzy albo automatyzowania ruchu. Atakujący może zmieniać serwery pośredniczące, aby pojedynczy adres nie skupiał całego ruchu. Nie usuwa to jednak śladów z innych miejsc. Rejestry proxy, zapory sieciowe, systemy DNS, dostawcy hostingu, platformy uwierzytelniania i urządzenia końcowe mogą przechowywać informacje pozwalające powiązać zdarzenia w czasie.

Spoofing przez proxy bywa także elementem szerszej próby podszywania się pod uprawnionego użytkownika. Samo proxy nie daje dostępu do konta, nie omija automatycznie uwierzytelniania wieloskładnikowego i nie zmienia kryptograficznej tożsamości serwera. Jeżeli aplikacja korzysta z tokenów sesyjnych, kluczy API, certyfikatów klienta lub innych danych uwierzytelniających, napastnik nadal musi je zdobyć albo wykorzystać inną lukę. Z tego powodu adres IP powinien być tylko jednym z sygnałów oceny ryzyka, a nie jedynym mechanizmem autoryzacji.

Warto odróżnić proxy od innych technik. VPN tworzy tunel między urządzeniem a operatorem usługi VPN, natomiast proxy może pośredniczyć tylko dla wybranej aplikacji lub protokołu. Sieć Tor kieruje ruch przez wielowarstwowy układ przekaźników i ma odmienny model operacyjny. Z kolei fałszowanie adresu IP na poziomie pakietów, określane jako IP spoofing, nie jest tym samym co korzystanie z proxy: w wielu protokołach wymagających odpowiedzi zwrotnej sfałszowany adres nie pozwala na normalne utrzymanie dwukierunkowej sesji.

Jak rozpoznać i zminimalizować zagrożenie

Administrator może wykrywać ruch pochodzący z proxy, porównując dane z wielu źródeł. Przydatne są rejestry reverse proxy, serwera aplikacyjnego, zapory i systemu uwierzytelniania, zestawione według czasu, identyfikatora sesji i konta. Sygnałami ostrzegawczymi mogą być nagłe zmiany lokalizacji między kolejnymi żądaniami, korzystanie z adresów należących do centrów danych, nietypowa liczba prób z różnych adresów, rozbieżność między nagłówkami i parametrami TLS oraz powtarzalny automatyczny wzorzec żądań.

Ochrona powinna opierać się na poprawnej autoryzacji, ograniczaniu liczby prób, kontroli sesji, rejestrowaniu zdarzeń i zasadach minimalnych uprawnień. Nagłówki wskazujące wcześniejszych pośredników należy uznawać za wiarygodne tylko wtedy, gdy zostały dodane przez znane i kontrolowane elementy infrastruktury. W przeciwnym razie klient może samodzielnie podać dowolną wartość. Pomocne są również krótkie czasy życia tokenów, ponowne uwierzytelnienie przy operacjach wysokiego ryzyka oraz alerty dotyczące jednoczesnego użycia tego samego konta z odległych sieci.

Na komputerze użytkownika warto sprawdzić ustawienia proxy w systemie, przeglądarce i narzędziach automatyzujących ruch. Nieznany serwer proxy może przekierowywać połączenia, modyfikować nieszyfrowane żądania lub powodować wyświetlanie fałszywych stron logowania. Należy również zweryfikować rozszerzenia przeglądarki, lokalne certyfikaty, zadania uruchamiane automatycznie i aktywne procesy sieciowe. W przypadku podejrzenia przejęcia sesji bezpiecznym działaniem jest odłączenie urządzenia od sieci, zmiana haseł z zaufanego sprzętu, unieważnienie aktywnych sesji i sprawdzenie logów po stronie usługi.