ALPACA - HTTPS मा MITM आक्रमणहरूको लागि नयाँ प्रविधि

जर्मनीका धेरै विश्वविद्यालयहरूका अनुसन्धानकर्ताहरूको टोलीले HTTPS मा नयाँ MITM आक्रमणको विकास गरेको छ जसले सत्र कुकीहरू र अन्य संवेदनशील डेटा निकाल्न सक्छ, साथै अर्को साइटको सन्दर्भमा मनमानी JavaScript कोड कार्यान्वयन गर्न सक्छ। आक्रमणलाई ALPACA भनिन्छ र TLS सर्भरहरूमा लागू गर्न सकिन्छ जसले विभिन्न अनुप्रयोग तह प्रोटोकलहरू (HTTPS, SFTP, SMTP, IMAP, POP3) लागू गर्दछ, तर सामान्य TLS प्रमाणपत्रहरू प्रयोग गर्दछ।

आक्रमणको सार यो हो कि यदि उसको नेटवर्क गेटवे वा वायरलेस पहुँच पोइन्टमा नियन्त्रण छ भने, आक्रमणकारीले वेब ट्राफिकलाई अर्को नेटवर्क पोर्टमा रिडिरेक्ट गर्न सक्छ र FTP वा मेल सर्भरसँग जडानको स्थापनालाई व्यवस्थित गर्न सक्छ जसले TLS एन्क्रिप्शनलाई समर्थन गर्दछ र प्रयोग गर्दछ। TLS प्रमाणपत्र HTTP सर्भरसँग सामान्य छ, र प्रयोगकर्ताको ब्राउजरले अनुरोध गरिएको HTTP सर्भरसँग जडान स्थापित भएको मान्नेछ। TLS प्रोटोकल सार्वभौमिक छ र एप्लिकेसन-स्तर प्रोटोकलहरूमा बाँधिएको छैन, सबै सेवाहरूको लागि इन्क्रिप्टेड जडानको स्थापना समान छ र गलत सेवामा अनुरोध पठाउने त्रुटिलाई प्रक्रिया गर्दा इन्क्रिप्टेड सत्र स्थापना गरेपछि मात्र निर्धारण गर्न सकिन्छ। पठाइएको अनुरोध को आदेश।

तदनुसार, यदि, उदाहरणका लागि, तपाईंले HTTPS सर्भरसँग साझेदारी गरिएको प्रमाणपत्र प्रयोग गर्ने मेल सर्भरमा मूल रूपमा HTTPS लाई सम्बोधन गरिएको प्रयोगकर्ता जडानलाई रिडिरेक्ट गर्नुभयो भने, TLS जडान सफलतापूर्वक स्थापित हुनेछ, तर मेल सर्भरले प्रसारणलाई प्रशोधन गर्न सक्षम हुनेछैन। HTTP आदेशहरू र त्रुटि कोडको साथ प्रतिक्रिया फर्काउनेछ। यो प्रतिक्रिया ब्राउजर द्वारा अनुरोध गरिएको साइटबाट प्रतिक्रियाको रूपमा प्रशोधन गरिनेछ, सही रूपमा स्थापित इन्क्रिप्टेड संचार च्यानल भित्र प्रसारित।

तीन आक्रमण विकल्पहरू प्रस्तावित छन्:

• प्रमाणीकरण प्यारामिटरहरूको साथ कुकी पुन: प्राप्त गर्न "अपलोड गर्नुहोस्"। यदि TLS प्रमाणपत्रद्वारा कभर गरिएको FTP सर्भरले तपाईंलाई यसको डाटा अपलोड र पुन: प्राप्त गर्न अनुमति दिन्छ भने यो विधि लागू हुन्छ। यस आक्रमण संस्करणमा, आक्रमणकारीले प्रयोगकर्ताको मूल HTTP अनुरोधको अंशहरू, जस्तै कुकी हेडरको सामग्रीहरू, उदाहरणका लागि, यदि FTP सर्भरले अनुरोधलाई बचत फाइलको रूपमा व्याख्या गर्छ वा आगमन अनुरोधहरूलाई पूर्ण रूपमा लग गर्छ भने, कायम राख्न सक्छ। सफलतापूर्वक आक्रमण गर्न, आक्रमणकर्ताले कुनै न कुनै रूपमा भण्डार गरिएको सामग्री निकाल्न आवश्यक छ। आक्रमण Proftpd, Microsoft IIS, vsftpd, filezilla र serv-u मा लागू हुन्छ।
• क्रस-साइट स्क्रिप्टिङ (XSS) व्यवस्थित गर्न "डाउनलोड गर्नुहोस्"। विधिले संकेत गर्दछ कि आक्रमणकारीले, केही व्यक्तिगत हेरफेरको परिणामको रूपमा, साझा TLS प्रमाणपत्र प्रयोग गर्ने सेवामा डेटा राख्न सक्छ, जुन त्यसपछि प्रयोगकर्ताको अनुरोधको प्रतिक्रियामा जारी गर्न सकिन्छ। आक्रमण माथि उल्लेखित FTP सर्भरहरू, IMAP सर्भरहरू र POP3 सर्भरहरू (कुरियर, साइरस, केरियो-कनेक्ट र जिम्ब्रा) मा लागू हुन्छ।
• अर्को साइटको सन्दर्भमा जाभास्क्रिप्ट चलाउनको लागि "प्रतिबिम्ब"। विधि अनुरोधको क्लाइन्ट भागमा फर्कनमा आधारित छ, जसमा आक्रमणकर्ताले पठाएको JavaScript कोड समावेश छ। आक्रमण माथि उल्लेखित FTP सर्भरहरू, साइरस, केरियो-कनेक्ट र जिम्ब्रा IMAP सर्भरहरू, साथै सेन्डमेल SMTP सर्भरहरूमा लागू हुन्छ।

उदाहरणका लागि, जब प्रयोगकर्ताले आक्रमणकारीद्वारा नियन्त्रित पृष्ठ खोल्छ, यो पृष्ठले प्रयोगकर्तासँग सक्रिय खाता भएको साइटबाट स्रोतको लागि अनुरोध सुरु गर्न सक्छ (उदाहरणका लागि, bank.com)। MITM आक्रमणको समयमा, bank.com वेबसाइटलाई सम्बोधन गरिएको यो अनुरोधलाई bank.com सँग साझेदारी गरिएको TLS प्रमाणपत्र प्रयोग गर्ने इमेल सर्भरमा रिडिरेक्ट गर्न सकिन्छ। पहिलो त्रुटि पछि मेल सर्भरले सत्र समाप्त गर्दैन, सेवा हेडरहरू र आदेशहरू जस्तै "POST / HTTP/1.1" र "होस्ट:" अज्ञात आदेशहरूको रूपमा प्रशोधन गरिनेछ (मेल सर्भरले "500 अपरिचित आदेश" फिर्ता गर्नेछ। प्रत्येक हेडर)।

मेल सर्भरले HTTP प्रोटोकलका सुविधाहरू बुझ्दैन र यसको लागि सेवा हेडरहरू र POST अनुरोधको डाटा ब्लकलाई समान रूपमा प्रशोधन गरिन्छ, त्यसैले POST अनुरोधको मुख्य भागमा तपाईंले आदेशको साथ लाइन निर्दिष्ट गर्न सक्नुहुन्छ। मेल सर्भर। उदाहरणका लागि, तपाईं पास गर्न सक्नुहुन्छ: mail FROM: alert(1); जसमा मेल सर्भरले ५०१ त्रुटि सन्देश फर्काउनेछ alert(501); : विकृत ठेगाना: चेतावनी(1); पालना नगर्न सक्छ

यो प्रतिक्रिया प्रयोगकर्ताको ब्राउजरद्वारा प्राप्त हुनेछ, जसले जाभास्क्रिप्ट कोडलाई आक्रमणकारीको सुरुमा खोलेको वेबसाइटको सन्दर्भमा नभई अनुरोध पठाइएको bank.com वेबसाइटको सन्दर्भमा कार्यान्वयन गर्नेछ, किनभने प्रतिक्रिया सही TLS सत्र भित्र आएको थियो। , जसको प्रमाणपत्रले bank.com प्रतिक्रियाको प्रामाणिकता पुष्टि गर्यो।

विश्वव्यापी नेटवर्कको स्क्यानले देखायो कि सामान्यतया, लगभग 1.4 मिलियन वेब सर्भरहरू समस्याबाट प्रभावित छन्, जसको लागि विभिन्न प्रोटोकलहरू प्रयोग गरेर अनुरोधहरू मिश्रण गरेर आक्रमण गर्न सम्भव छ। वास्तविक आक्रमणको सम्भावना 119 हजार वेब सर्भरहरूको लागि निर्धारण गरिएको थियो जसको लागि त्यहाँ अन्य अनुप्रयोग प्रोटोकलहरूमा आधारित TLS सर्भरहरू थिए।

ftp सर्भरहरू pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla र serv-u, IMAP र POP3 सर्भरहरू dovecot, कुरियर, एक्सचेन्ज, साइरस, kerio-connect र zimbra, SMTP सर्भरहरू पोस्टफिक्स, एक्जिम, पठाउनका लागि शोषणका उदाहरणहरू तयार गरिएका छन्। , mailenable, mdaemon र opensmtpd। अन्वेषकहरूले FTP, SMTP, IMAP र POP3 सर्भरहरूको संयोजनमा मात्र आक्रमण गर्ने सम्भावनाको अध्ययन गरेका छन्, तर यो सम्भव छ कि समस्या TLS प्रयोग गर्ने अन्य अनुप्रयोग प्रोटोकलहरूमा पनि हुन सक्छ।

आक्रमण रोक्नको लागि, TLS सत्रको लागि एएलपीएन (एप्लिकेशन लेयर प्रोटोकल वार्तालाप) एक्सटेन्सन प्रयोग गर्न प्रस्ताव गरिएको छ अनुप्रयोग प्रोटोकल र SNI (सर्भर नेम इन्डिकेशन) एक्सटेन्सन प्रयोगको अवस्थामा होस्ट नाममा बाँध्नका लागि। धेरै डोमेन नामहरू कभर गर्ने TLS प्रमाणपत्रहरू। अनुप्रयोग पक्षमा, आदेशहरू प्रशोधन गर्दा त्रुटिहरूको संख्यामा सीमा सीमित गर्न सिफारिस गरिन्छ, जस पछि जडान समाप्त हुन्छ। आक्रमण रोक्न उपायहरू विकास गर्ने प्रक्रिया गत वर्ष अक्टोबरमा सुरु भयो। यस्तै सुरक्षा उपायहरू Nginx 1.21.0 (मेल प्रोक्सी), Vsftpd 3.0.4, कुरियर 5.1.0, Sendmail, FileZill, crypto/tls (Go) र Internet Explorer मा पहिले नै लिइएको छ।

स्रोत: opennet.ru