Το προφίλ μας στο Google Plus
0

Πώς σας αποκρυπτογραφούν τις συνδέσεις HTTPS

…κι αναφερόμαστε φυσικά στους λάθος ανθρώπους. Γιατί, πράγματι, όσο ασφαλές κι αν είναι το HTTPS, τόσο εύκολα μπορεί να αποκρυπτογραφηθεί από κάποιον τρίτο — αρκεί βέβαια να πληρούνται ορισμένες προϋποθέσεις. Στο παρόν άρθρο συζητάμε γι’ αυτές, ενώ δεν αποφεύγουμε να κάνουμε και τις σχετικές δοκιμές αποκρυπτογράφησης ;)

deltaHacker 020 (τεύχος Μαΐου 2013) | Πώς σας αποκρυπτογραφούν τις συνδέσεις HTTPS

Το TLS (Transport Layer Security) είναι ένα πρωτόκολλο που έχει σχεδιαστεί για την εγκαθίδρυση ασφαλών, κρυπτογραφημένων καναλιών επικοινωνίας στο Internet. Συχνότερα απ’ όσο πρέπει γίνεται αναφορά στο SSL (Secure Sockets Layer), το οποίο στην πραγματικότητα είναι ο προκάτοχος του TLS. Σημασία πάντως έχει ότι το TLS/SSL χρησιμοποιείται κατά κόρον για να παρέχει την επιθυμητή ασφάλεια σε πληθώρα εφαρμογών, όπως, π.χ., ηλεκτρονική αλληλογραφία, instant messaging και VoIP. Επιστρατεύεται βεβαίως και στο web browsing, όπου τότε μιλάμε για το πρωτόκολλο HTTP Secure ή απλά HTTPS. Ακριβέστερα, αυτό που γίνεται είναι ότι το δημοφιλέστατο πρωτόκολλο HTTP (HyperText Transfer Protocol) υλοποιείται “πάνω” από το TLS/SSL. Έτσι, όταν η σύνδεση προς κάποιον web server είναι HTTPS, τότε τα διακινούμενα δεδομένα είναι κρυπτογραφημένα και προστατεύονται από τεχνικές όπως, π.χ., το packet sniffing, υπό την έννοια ότι δεν εκτίθενται σε τρίτους. Κάθε φορά λοιπόν που συνδεόμαστε μέσω HTTPS στο Facebook ή στην τράπεζά μας, οι μόνοι που μπορούν και αποκρυπτογραφούν τα διακινούμενα δεδομένα είναι ο web browser κι ο web server, δηλαδή μόνο τα δύο άκρα του καναλιού επικοινωνίας. Αλλά αυτό είναι κάτι που, προφανώς, το θέλουμε.

Ένα από τα καλά του HTTPS είναι ότι κάνει δυνατή και την πιστοποίηση (authentication) των απομακρυσμένων web servers. Πράγματι, όποτε επισκέπτομαι την τράπεζά μου ή το Facebook μέσω HTTPS, διαθέτω ένα άριστο εργαλείο για να βεβαιώνομαι ότι πράγματι συνδέθηκα στην τράπεζα ή στο Facebook, κι όχι σε κάποιο site-κλώνο που έχει στήσει ένας απατεώνας. Με άλλα λόγια, το HTTPS παρέχει προστασία κατά των επιθέσεων Man-in-The-Middle (MiTM attacks).

Στις επιθέσεις του είδους αναφερόμαστε συχνά στο περιοδικό — κι αυτή τη στιγμή στο μυαλό του γράφοντα έρχονται δύο σχετικά άρθρα που φιλοξενούνται στο deltaHacker 001 (βλ. εδώ κι εκεί), καθώς και το deltaCast s01e05. Το θέμα όμως με τις επιθέσεις MiTM είναι ότι υλοποιούνται μ’ ένα σωρό τρόπους. Υπό προϋποθέσεις, μάλιστα, ένας εξ αυτών είναι ικανός να ακυρώσει την όλη ασφάλεια που προσφέρει το HTTPS!

Διαβάστε ολόκληρο το άρθρο στο deltaHacker 020 (τεύχος Μαΐου 2013).

Το μηνιαίο περιοδικό deltaHacker είναι πλέον ηλεκτρονικό! Μάθετε για τις νέες, απίστευτες τιμές και κάντε τώρα την παραγγελία σας συμπληρώνοντας τη σχετική φόρμα.

Leave a Reply

You must be logged in to post a comment.

Σύνδεση

Αρχείο δημοσιεύσεων