Keselamatan dan Spoofing HTTPS - Man di Serangan Tengah

HTTP bermaksud Hyper Text Transfer Protocol dan digunakan secara meluas di Internet. Baiklah pada tahun-tahun awal Internet untuk protokol ini untuk meminta bukti kelayakan masuk dan lain-lain kerana tidak banyak bahaya orang menghidu paket data anda untuk mencuri kelayakan login anda untuk laman web yang berbeza. Apabila orang merasakan bahaya, HTTPS (HTTP Secure) dicipta, yang, menyulitkan pertukaran data antara anda (pelanggan) dan laman web yang anda berinteraksi.

Baca : Perbezaan antara HTTP dan

Sehingga beberapa tahun yang lalu, HTTPS dianggap sebagai pelindung, sehingga seseorang bernama Moxie membuktikannya salah dengan menipu HTTPS. Ini dilakukan menggunakan pemintasan paket data di tengah komunikasi oleh seseorang yang memalsukan kunci keselamatan HTTPS untuk membuat anda percaya sambungan itu masih disulitkan. Artikel ini mengkaji HTTPS spoofing di mana bahkan syarikat terkenal telah menggunakan teknik untuk menonton dan mengintip kegiatan anda. Sebelum memahami Man dalam serangan Tengah , anda perlu tahu mengenai kunci sijil HTTPS, yang dimalukan untuk membuat anda percaya tidak ada yang salah.

Apakah Kunci Sijil Laman Web

Terdapat Pihak Berkuasa Sijil tertentu yang menawarkan sijil "kecergasan" ke laman web. Terdapat banyak faktor untuk menentukan faktor "kecergasan": sambungan disulitkan, muat turun percuma virus dan beberapa perkara lain. HTTPS bermaksud data anda selamat semasa berurusniaga. Terutamanya, HTTPS digunakan oleh kedai e-dagang dan tapak yang mempunyai data / maklumat yang bersifat peribadi untuk anda - seperti tapak e-mel. Laman rangkaian sosial seperti Facebook dan Twitter juga menggunakan

Dengan setiap sijil, terdapat kunci yang unik untuk laman web tersebut. Anda boleh melihat kunci sijil laman web dengan mengklik kanan pada halaman webnya dan memilih PAGE INFO. Berdasarkan pelayar, anda akan mendapat pelbagai jenis kotak dialog. Cari SIJIL dan kemudian THUMBPRINT atau FINGERPRINT. Ini akan menjadi kunci unik sijil laman web.

Keselamatan dan Pemalsuan

Kembali kepada betapa selamatnya anda dengan HTTPS, kunci sijil boleh dimalukan oleh pihak ketiga di tengah-tengah pelanggan dan laman web. Teknik ini membongkok perbualan anda dipanggil Man di Tengah.

Berikut ialah cara penyemak imbas anda dihantar ke Sama ada anda mengklik pada butang / pautan LOGIN atau anda taip URL. Dalam kes pertama, anda dihantar terus ke halaman HTTPS. Dalam kes kedua, di mana anda menaip URL, melainkan anda mengetik di HTTPS, DNS akan menyelesaikan ke halaman yang mengarahkan anda ke laman HTTPS menggunakan peralihan auto (302).

Manusia di Tengah mempunyai kaedah tertentu untuk tangkap permintaan pertama anda untuk mengakses laman web, walaupun anda menaip HTTPS. Manusia di Tengah boleh menjadi pelayar anda sendiri. Opera Mini dan pelayar BlackBerry melakukannya untuk menangkap komunikasi dari awal dan menyahsulit supaya mereka boleh dimampatkan untuk melayari lebih cepat. Teknik ini salah - pada pendapat saya - kerana ia memudahkan pengambilan kata tapi kemudian, syarikat mengatakan apa-apa yang tidak log masuk.

Apabila anda menaip URL, klik pautan atau penanda buku, anda meminta pelayar untuk membuat sambungan (sebaiknya) dengan versi laman web yang selamat. Lelaki di Tengah mencipta sijil palsu yang sukar dikenal pasti sebagai rosak kerana sijil laman web mempunyai format yang sama tanpa mengira Pihak Berkuasa Penerbit Sijil. The Man in Middle berjaya menipu sijil dan mencipta THUMBPRINT yang diperiksa terhadap "Pihak Berkuasa Sijil yang penyemak imbas anda sudah aman". Iaitu, perakuan itu dikeluarkan oleh syarikat yang ditambahkan pada senarai pihak berkuasa sijil yang dipercayai penyemak imbas anda. Ini menjadikannya percaya kunci sijil sah dan menyediakan data penyulitan kepada Man di Tengah. Oleh itu, Man di Tengah kini mempunyai kunci untuk menyahsulit maklumat yang anda hantar melalui sambungan itu. Perhatikan bahawa Man di Tengah juga berfungsi di sisi lain dengan menghantar maklumat anda ke laman web - dengan ikhlas tetapi dengan cara ia dapat membacanya.

Ini menjelaskan spoofing Laman Web HTTPS dan bagaimana ia berfungsi. Ia juga menunjukkan bahawa HTTPS tidak selamat sepenuhnya. Terdapat beberapa alat yang akan memberitahu kami bahawa terdapat Man di Tengah kecuali seorang pakar komputer yang terlatih. Bagi lelaki biasa, laman web GRC menawarkan kaedah untuk mendapatkan THUMBPRINT. Anda boleh menyemak sijil THUMBPRINT di GRC dan kemudian padan dengan satu yang anda ambil menggunakan PAGE INFO. Jika mereka sepadan, okay. Sekiranya mereka tidak, ada seorang lelaki di tengah-tengah.