Что останавливает кого-то от MITM-атаки на запрос к центру сертификации на проверку сертификата? Поставляется ли браузер с предварительно загруженными открытыми ключами доверенных центров сертификации (тем самым обеспечивая аутентификацию)?
Всякий раз, когда я думаю об атаках MITM, я думаю, что любая защита требует установления «безопасного» соединения для аутентификации, и что первоначальное установление любого «безопасного» соединения всегда кажется само по себе объектом атаки MITM. Так, например, если открытые ключи вышеупомянутых доверенных центров сертификации действительно распространяются с браузером, распространение браузера будет подвержено атакам MITM. Насколько я понимаю, даже если вы физически передали кому-то открытый ключ / сертификат / что-нибудь на листе бумаги, вам лучше знать их откуда-то еще, иначе они могут быть MITM.
Я правильно понимаю?
Спасибо!
Что останавливает кого-то от MITM-атаки на запрос к центру сертификации на проверку сертификата?
Когда браузеру предоставляется сертификат, он не подключается к выдающему центру сертификации (ЦС) для проверки сертификата; он должен уже априори доверять СА. В зависимости от сертификата, ЦС и браузера он может подключитесь к URL-адресу, содержащемуся в сертификате CA, чтобы проверить, был ли сертификат, представленный сайтом, отозван (список отзыва), но это соединение защищено сертификатом CA, а не сертификатом, представленным сайтом. Насколько мне известно, большинство браузеров на самом деле этого не делают, хотя большинство из них можно настроить на. Если сертификат CA скомпрометирован, то сертификат CA необходимо будет удалить вручную или с помощью исправления или новой версии кода браузера.
Поставляется ли браузер с предварительно загруженными открытыми ключами доверенных центров сертификации (тем самым обеспечивая аутентификацию)?
Да. Однако это больше, чем просто открытые ключи, это на самом деле самозаверяющие сертификаты от центров сертификации, которые содержат открытые ключи, должны содержать URL-адреса для проверки самого сертификата в дополнение к спискам отзыва и, возможно, многое другое. По сути, каждый производитель браузеров должен решить, какие центры сертификации следует предварительно установить, а какие оставить, и это тема большого количества дискуссий и большого бизнеса. Большинство центров сертификации генерируют большие деньги, продавая сертификаты, и им выгодно быть предустановленными в каждом браузере, поэтому они настоятельно требуют от производителей браузеров их установить. Но надежность центров сертификации - это тема, которая может вызвать много споров среди специалистов по безопасности.
Всякий раз, когда я думаю об атаках MITM, я думаю, что любая защита требует, чтобы для аутентификации было установлено «безопасное» соединение, и что первоначальное установление любого «безопасного» соединения всегда кажется объектом самой атаки MITM. Так, например, если открытые ключи вышеупомянутых доверенных центров сертификации действительно распространяются с браузером, распространение браузера будет подвержено атакам MITM.
Хотя это правда, это значительно более сложный вектор атаки, чем другие подходы, и вы можете бороться с ним, проверив файл дистрибутива браузера перед его установкой (т.е. проверьте хэш SHA1 установочного файла на основе опубликованного хеш-кода веб-сайта. ). В этот момент злоумышленнику придется проникнуть либо к производителю браузера, либо в центр сертификации, что опять же является более сложным вектором атаки (хотя, конечно, это не является чем-то необычным).
Насколько я понимаю, даже если вы физически передали кому-то открытый ключ / сертификат / что-нибудь на листе бумаги, вам лучше знать их откуда-то еще, иначе они могут быть MITM.
Что ж, давать кому-то свой открытый ключ (или сертификат, содержащий открытый ключ) безвредно. Все это означает, что они могут проверить, что все, что вы подписали указанным сертификатом, действительно пришло от вас (и они могли зашифровать то, что только вы можете расшифровать).
Но в принципе вы правы. В какой-то момент нужно кому-то доверять. Это важно помнить о безопасности, работе в сети, бизнесе и жизни. Конечно, вам нужно умерить это со здоровой долей скептицизма и постоянно переоценивать свои доверительные отношения. И, конечно же, вы должны также помнить несколько мудрых советов от Гиппера: "Доверяй, но проверяй"(или, если хотите: следуйте здравому совету старой русской пословицы:" Доверяй, но проверяй "). безопасный ваш компьютер, вам нужно будет выключить его, разобрать, уничтожить компоненты, а затем уничтожить останки.
Что касается установления доверительных отношений с кем-то другим, полезно иметь общего друга, который уже им доверяет. В этом весь смысл «кольца доверия». В какой-то момент вам нужно иметь немного веры. Откуда вы знаете, что человек, выдавший вам ваши водительские права, ДЕЙСТВИТЕЛЬНО является государственным служащим. Конечно, вы можете сгенерировать свой открытый ключ, запомнить отпечаток пальца и установить ключ pub в целевой системе.
Я правильно понимаю?
Я не уверен, но подозреваю. Пожалуйста, повторите все это мне, перефразируя своими словами, и я дам вам знать.
РЕДАКТИРОВАТЬ: И действительно, как указывает GregD, все это академично, потому что большинство людей нажимают кнопку «Все равно продолжить», когда их браузер предупреждает их, что он не доверяет сертификату, и тогда игра окончена. Конечно, если вы работаете на предприятии и контролируете систему, которую выдают пользователям, вы, вероятно, можете настроить ее так, чтобы она не отображала им эту кнопку, но вам придется иметь дело с последствиями. Единственный раз, когда он когда-либо приемлемым нажать эту кнопку, когда вы не подключены к сети и имеют один провод между вами и системой, предъявившему ненадежный сертификат (и даже тогда, это спорно).
Да. Браузер поставляется с предварительно загруженными сертификатами для распространенных доверенных центров сертификации.
Это теоретически можно изменить как сертификаты, так и / или ваш браузер таким образом, чтобы вы не знали о происходящих атаках MITM. Если ваши сертификаты CA были изменены (например, вредоносным ПО), они не будут совпадать на сайтах, которые используют настоящий CA, но позволят атаковать MITM, если браузер будет маршрутизироваться через злую третью сторону. Я не знаю реальных примеров того, как это происходит, но я не думаю, что разработчику вредоносных программ было бы сложно это сделать.
Лучшая защита для описанного выше сценария - поддерживать свою антивирусную защиту в актуальном состоянии и не переходить по ссылкам в электронных письмах, чтобы перейти на надежные сайты.
Ничего (если что-то сделано не так, хотя, поскольку это вообще не сделано, сложно комментировать) и да. Ваш браузер поставляется с предварительно загруженным набором сертификатов CA, которые вы используете для проверки любого предоставленного вам публичного сертификата; Вопрос о том, как доверять пакету CA - интересный и открытый.
Чтобы провести успешную атаку MITM, все, что мне нужно сделать, это заставить вашего пользователя принять мой сертификат после того, как я отравил ваши соединения с помощью arp. Насколько легко это сделать для большинства конечных пользователей?
Хорошо обучайте своих конечных пользователей.