Hiji tim peneliti ti sababaraha paguron luhur di Jerman geus ngembangkeun serangan MITM anyar dina HTTPS nu bisa nimba cookies sési jeung data sénsitip séjén, kitu ogé ngaéksekusi kode JavaScript sawenang dina konteks situs séjén. Serangan kasebut disebut ALPACA sareng tiasa diterapkeun ka server TLS anu nerapkeun protokol lapisan aplikasi anu béda (HTTPS, SFTP, SMTP, IMAP, POP3), tapi nganggo sertipikat TLS umum.
Intina serangan nyaéta yén upami anjeunna gaduh kontrol kana gateway jaringan atanapi titik aksés nirkabel, panyerang tiasa alihan lalu lintas wéb ka port jaringan anu sanés sareng ngatur sambungan sareng FTP atanapi server surat anu ngadukung enkripsi TLS sareng nganggo a Sertipikat TLS umum sareng server HTTP, sareng browser pangguna bakal nganggap yén sambungan parantos didamel sareng pangladén HTTP anu dipénta. Kusabab protokol TLS universal sareng henteu dikaitkeun kana protokol tingkat aplikasi, panyiapan sambungan énkripsi pikeun sadaya jasa idéntik sareng kasalahan ngirim pamenta ka jasa anu salah tiasa ditangtukeun ngan saatos ngadamel sési énkripsi nalika ngolah paréntah tina pamundut dikirim.
Sasuai, upami, contona, anjeun alihan sambungan pangguna anu asalna ditujukeun ka HTTPS ka pangladén surat anu nganggo sertipikat anu dibagikeun sareng pangladén HTTPS, sambungan TLS bakal suksés didamel, tapi pangladén surat moal tiasa ngolah anu dikirimkeun. Paréntah HTTP sarta bakal balik respon kalayan kode kasalahan. Tanggapan ieu bakal diolah ku browser salaku réspon ti situs anu dipénta, dikirimkeun dina saluran komunikasi énkripsi anu leres.
Tilu pilihan serangan diusulkeun:
- "Unggah" pikeun meunangkeun Cookie kalawan parameter auténtikasi. Métode ieu tiasa dianggo upami pangladén FTP katutupan ku sertipikat TLS ngamungkinkeun anjeun unggah sareng nyandak datana. Dina varian serangan ieu, panyerang bisa ngahontal ingetan bagian tina pamundut HTTP aslina pamaké, kayaning eusi lulugu Cookie, contona, lamun server FTP interprets pamundut salaku nyimpen file atawa log requests asup sagemblengna. Pikeun suksés nyerang, panyerang teras kedah kumaha waé nimba eusi anu disimpen. Serangan kasebut lumaku pikeun Proftpd, Microsoft IIS, vsftpd, filezilla sareng serv-u.
- "Unduh" pikeun ngatur skrip cross-site (XSS). Metodeu nunjukkeun yén panyerang, salaku hasil tina sababaraha manipulasi individu, tiasa nempatkeun data dina layanan anu nganggo sertipikat TLS umum, anu teras tiasa dikaluarkeun pikeun ngaréspon kana pamundut pangguna. Serangan kasebut lumaku pikeun server FTP anu disebut di luhur, server IMAP sareng server POP3 (kurir, cyrus, kerio-connect sareng zimbra).
- "Refleksi" pikeun ngajalankeun JavaScript dina konteks loka sejen. Metoda ieu dumasar kana mulang ka bagian klien tina pamundut, nu ngandung kodeu JavaScript dikirim ku lawan. Serangan kasebut lumaku pikeun server FTP anu disebut di luhur, cyrus, kerio-connect sareng server IMAP zimbra, ogé server SMTP sendmail.
Salaku conto, nalika pangguna muka halaman anu dikontrol ku panyerang, halaman ieu tiasa ngamimitian pamundut sumber daya tina situs dimana pangguna gaduh akun aktip (contona, bank.com). Dina mangsa serangan MITM, pamundut ieu ditujukeun ka situs web bank.com tiasa dialihkeun ka server email anu nganggo sertipikat TLS anu dibagikeun sareng bank.com. Kusabab server mail teu nungtungan sési sanggeus kasalahan kahiji, lulugu jasa jeung paréntah kayaning "POST / HTTP / 1.1" jeung "Host:" bakal diolah salaku paréntah kanyahoan (server mail bakal balik "500 paréntah unrecognized" pikeun unggal lulugu).
Server mail henteu ngartos fitur protokol HTTP sareng pikeun éta header jasa sareng blok data pamundut POST diolah ku cara anu sami, janten dina awak pamundut POST anjeun tiasa netepkeun garis kalayan paréntah pikeun server mail. Contona, anjeun tiasa lulus: SURAT TI: alert(1); nu server mail bakal balik pesen kasalahan 501 alert(1); : alamat malformed: waspada (1); bisa jadi teu nuturkeun
Tanggapan ieu bakal ditampi ku panyungsi pangguna, anu bakal ngaéksekusi kode JavaScript dina kontéks sanés tina situs wéb panyerang anu mimiti dibuka, tapi situs wéb bank.com dimana pamundutna dikirim, sabab résponna sumping dina sési TLS anu leres. , sertipikat nu dikonfirmasi kaaslian respon bank.com.
A scan tina jaringan global némbongkeun yén sacara umum, ngeunaan 1.4 juta web server kapangaruhan ku masalah, nu kasebut nyaéta dimungkinkeun pikeun ngalakukeun serangan ku Pergaulan requests ngagunakeun protokol béda. Kamungkinan serangan nyata ditangtukeun pikeun 119 rébu pangladén wéb anu aya anu ngiringan server TLS dumasar kana protokol aplikasi anu sanés.
Conto eksploitasi parantos disiapkeun pikeun server ftp pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla sareng serv-u, IMAP sareng POP3 server dovecot, kurir, bursa, cyrus, kerio-connect sareng zimbra, server SMTP postfix, exim, sendmail , mailenable, mdaemon sareng opensmtpd. Panalungtik geus diajar kamungkinan ngalakonan serangan ngan dina kombinasi kalayan FTP, SMTP, IMAP na POP3 server, tapi aya kamungkinan yén masalah ogé bisa lumangsung pikeun protokol aplikasi sejenna nu make TLS.
Pikeun meungpeuk serangan, éta diusulkeun ngagunakeun extension ALPN (Application Layer Protocol Negotiation) negotiate sési TLS nyokot kana akun protokol aplikasi jeung SNI (Server Name Indikasi) extension ngabeungkeut ngaran host dina kasus ngagunakeun. Sertipikat TLS ngawengku sababaraha ngaran domain. Di sisi aplikasi, disarankeun pikeun ngawatesan jumlah kasalahan nalika ngolah paréntah, saatos éta sambunganna diputus. Prosés ngembangkeun ukuran pikeun meungpeuk serangan dimimitian dina Oktober taun ka tukang. Ukuran kaamanan anu sami parantos dilaksanakeun dina Nginx 1.21.0 (mail proxy), Vsftpd 3.0.4, Courier 5.1.0, Sendmail, FileZill, crypto/tls (Go) sareng Internet Explorer.
sumber: opennet.ru