HTTP označava Hyper Text Transfer Protocol i široko se koristi na Internetu. Bilo je dobro tijekom početnih godina interneta za ovaj protokol za postavljanje vjerodajnica za prijavu itd. Jer nije bilo mnogo opasnosti da ljudi njuškaju vaše pakete podataka kako bi ukrali vaše vjerodajnice za prijavu za različite web stranice. Kada su ljudi osjetili opasnost, izumio je HTTPS (HTTP Secure), koji šifrira razmjenu podataka između vas (klijenta) i web stranice s kojom stupite u interakciju.
Čitati: Razlika između HTTP i HTTPS.
Do prije nekoliko godina, HTTPS je smatran besprijekornom, sve dok osoba koja se zvao Moxie nije dokazala da je krivo spoofing HTTPS-a. To je učinjeno pomoću presretanja paketa podataka u sredini komunikacije od strane nekoga tko je spojeve HTTPS sigurnosnog ključa da bi vas vjerovao da je veza još uvijek kriptirana. Ovaj članak proučava HTTPS spoofing gdje su čak i poznate tvrtke zaposlile tehniku gledanja i nagovješćivanja vaših aktivnosti. Prije razumijevanja Čovjek u srednjem napadu, trebat ćete znati o ključu HTTPS certifikata koji je lažiran da bi vas uvjerio da ništa nije u redu.
Što je ključ HTTPS certifikata web-lokacije
Postoje određena tijela za izdavanje certifikata koja nude certifikate "fitness" za web stranice. Postoje mnogi čimbenici za određivanje faktora "fitness": šifrirana veza, preuzimanja od virusa i nekoliko drugih stvari. HTTPS znači da su vaši podaci sigurni prilikom transakcije. Uglavnom, HTTPS upotrebljavaju trgovine za e-trgovinu i web-lokacije koje imaju podatke / informacije koje su vam privatne - kao što su web-lokacije e-pošte. Web-lokacije društvenih mreža kao što su Facebook i Twitter također koriste HTTPS.
Svakom potvrdom postoji ključ koji je jedinstven za tu web stranicu. Ključ certifikacije web stranice možete pregledati desnim klikom na njegovu web stranicu i odabirom INFO PAGE. Na temelju preglednika dobit ćete različite tipove dijaloških okvira. Potražite CERTIFICATE a zatim THUMBPRINT ili FINGERPRINT. To će biti jedinstveni ključ certifikata web mjesta.
HTTPS sigurnost i varanje
Vraćajući se na to koliko ste sigurni u HTTPS-u, ključ za potvrdu može biti lažiran od strane trećih strana u sredini klijenta i web stranica. Ova tehnika utjecaja na vaše razgovore zove se Čovjek u sredini.
Evo kako se vaš preglednik šalje HTTPS-u: ili kliknete gumb LOGIN / vezu ili upišete URL. U prvom slučaju, vi ste izravno poslani na HTTPS stranicu. U drugom slučaju, gdje upisujete URL, osim ako ne unesete HTTPS, DNS će se riješiti na stranicu koja vas usmjerava na HTTPS stranicu pomoću automatskog preusmjeravanja (302).
Čovjek u sredini ima određene načine kako biste uhvatili svoj prvi zahtjev za pristup web stranici, čak i ako ste upisali HTTPS. Čovjek u sredini može biti vaš preglednik. Opera Mini i BlackBerry preglednici to čine kako bi uhvatili komunikaciju od početka i dešifriraju ga tako da mogu biti komprimirani za brže pregledavanje. Ta je tehnika pogrešna - po mom mišljenju - jer olakšava prisluškivanje, no onda tvrtke tvrde da ništa nije zabilježeno.
Kada unesete URL, kliknite vezu ili oznaku, zatražite od preglednika da uspostavlja vezu (po mogućnosti) sa sigurnom verzijom web stranice. Čovjek u sredini stvara lažni certifikat koji je teško identificirati kao neispravan, budući da certifikati web stranica imaju isti format bez obzira na tijelo izdavanja certifikata. Čovjek u sredini uspješno podvala certifikat i stvara THUMBPRINT koji se provjerava prema "ovlaštenjima certifikata koje vaš preglednik već vjeruje". Izgleda da je certifikat izdan od strane tvrtke koja se dodaje popisu pouzdanih ovlaštenika preglednika. To ga čini vjerom da je ključ certifikata važeći i daje podatke o enkripciji Čovjeku u sredini. Dakle, Čovjek u sredini sada ima ključ za dešifriranje informacija koje šaljete preko te veze. Imajte na umu da Čovjek u sredini također radi s druge strane slanjem vaših podataka na web stranicu - iskreno ali na način da to može pročitati.
To objašnjava spojevanje HTTPS web stranica i način na koji to funkcionira. Također pokazuje da HTTPS nije potpuno siguran. Postoji nekoliko alata koji bi nas obavijestili da postoji Čovjek u sredini osim ako je osoba visoko obučena računalna stručna osoba. Za običnog čovjeka, GRC web stranica nudi metodu za preuzimanje THUMBPRINT. Možete provjeriti certifikat THUMBPRINT na GRC-u i podudarati ga s onim koje ste preuzeli pomoću INFO PAGE. Ako se podudaraju, to je u redu. Ako ne, postoji Čovjek u sredini.
