A hírt nemrég adta ki a kutatócsoport különböző németországi egyetemekről, azoks kifejlesztett egy új MITM támadási módszert a HTTPS ellen, amely lehetővé teszi a cookie-k kibontását munkamenet-azonosítókkal és más érzékeny adatokkal, valamint tetszőleges JavaScript-kód futtatását egy másik webhely kontextusában.
A támadást hívják ALPACA és alkalmazható a TLS szerverekre Különböző alkalmazásréteg protokollokat valósítanak meg (HTTPS, SFTP, SMTP, IMAP, POP3), de közös TLS tanúsítványokat használnak.
A támadás lényege, hogy ha van irányítás egy átjáró felett hálózati vagy vezeték nélküli hozzáférési pont, a támadó átirányíthatja a forgalmat egy másik hálózati portra és gondoskodjon a kapcsolat létrehozásáról nem egy HTTP kiszolgálóhoz, hanem egy olyan FTP vagy levelező szerverhez, amely támogatja a TLS titkosítást.
A protokoll óta A TLS univerzális és nem kötődik alkalmazásszintű protokollokhoz, az összes szolgáltatás titkosított kapcsolatának létrehozása megegyezik, és egy hibát, amikor kérelmet küldünk rossz szolgáltatásnak, csak a titkosított munkamenet létrehozása után lehet észlelni. a beküldött kérés parancsaiból.
Ennek megfelelően, ha például átirányítja a felhasználó kapcsolatát, eredetileg HTTPS-re irányítva, a HTTPS-kiszolgálóval közös tanúsítványt használó levelezőszerverre, a TLS-kapcsolat sikeresen létrejön, de a levélkiszolgáló nem tudja feldolgozni az átvitt HTTP-parancsokat, és hibakóddal ad vissza választ . Ezt a választ a böngésző a kért webhely válaszaként dolgozza fel, megfelelően továbbított titkosított kommunikációs csatornán továbbítva.
Három támadási lehetőséget javasolnak:
- «Feltöltés» a cookie hitelesítési paraméterekkel történő letöltéséhez: A módszer akkor alkalmazható, ha a TLS tanúsítvány által lefedett FTP-kiszolgáló lehetővé teszi az adatok letöltését és visszakeresését. A támadásnak ebben a változatában a támadó elérheti a felhasználó eredeti HTTP-kérésének egyes részeit, például a Cookie fejléc tartalmát, ha az FTP-kiszolgáló fájlként értelmezi a kérést vagy regisztrálja azt. teljes. beérkező kérések. A sikeres támadáshoz a támadónak valamilyen módon be kell szereznie a tárolt tartalmat. A támadás a Proftpd, a Microsoft IIS, a vsftpd, a filezilla és a serv-u fájlokra vonatkozik.
- Letöltés webhelyek közötti parancsfájlokhoz (XSS): A módszer azt jelenti, hogy a támadó bizonyos független manipulációk eredményeként egy közös TLS-tanúsítvánnyal helyezhet adatokat egy szolgáltatásba, amelyet aztán a felhasználó kérésére ki lehet adni. A támadás alkalmazható a fent említett FTP szerverekre, IMAP szerverekre és POP3 szerverekre (futár, cyrus, kerio-connect és zimbra).
- Tükröződés a JavaScript futtatásához egy másik webhely környezetében: A módszer azon alapul, hogy a kérelem egy részét visszaküldi az ügyfélnek, amely tartalmazza a támadó által elküldött JavaScript-kódot. A támadás alkalmazható a fent említett FTP szerverekre, a cyrus, a kerio-connect és a zimbra IMAP szerverekre, valamint a sendmail SMTP szerverre.
Pl. amikor a felhasználó egy támadó által ellenőrzött oldalt nyit meg, erőforrás iránti kérelem kezdeményezhető olyan webhelyről, ahol a felhasználónak aktív fiókja van ezen az oldalon. MITM támadásban Ez a webhelyre irányuló kérelem átirányítható egy olyan TLS-tanúsítvánnyal rendelkező levelezőszerverre.
Mivel az e-mail szerver az első hiba után nem jelentkezik ki, a szolgáltatás fejlécei és parancsai ismeretlen parancsként kerülnek feldolgozásra.
A levelező szerver nem elemzi a HTTP protokoll adatait, és ehhez a szolgáltatás fejlécei és a POST kérés adatblokkja ugyanúgy kerül feldolgozásra, ezért a POST kérelem törzsében megadhat egy sort a következő paranccsal: a levelező szervert.
forrás: https://alpaca-attack.com/