Атака «человек посередине» (MITM): как работает и как защититься

Определение

Атака «человек посередине» (MITM, от англ. man-in-the-middle) — перехват связи между двумя сторонами, которые уверены, что говорят друг с другом напрямую. Вы открываете сайт или приложение, а между вами и сервером оказывается чужое устройство. Оно читает трафик, а при желании меняет его: вставляет форму, подменяет ссылку, подсовывает файл.

Для атаки нужно стать звеном канала. Взламывать сам сайт или ваш телефон не требуется, поэтому в зоне риска те, кто пользуется чужими сетями.

Где атака возможна

Спецификация HSTS (RFC 6797) выделяет два класса сетевых атакующих. Пассивный в общей беспроводной сети способен красть идентификаторы сессий и cookie из незашифрованных соединений. Активный может выдать себя за DNS-сервер или создать поддельную точку доступа. Отсюда типичные места:

• открытый Wi-Fi в кафе, поездах и аэропортах, где трафик не шифруется или пароль знают все;
• подставная точка доступа с названием, похожим на настоящее;
• подмена DNS-ответов, из-за которой имя сайта ведёт на чужой сервер;
• подмена сертификата: вместо сертификата сайта предъявляют свой;
• корпоративный прокси, расшифровывающий трафик по правилам компании: цель у него законная, а устройство такое же.

Чем защищает HTTPS и где защита не работает

HTTPS на базе TLS шифрует канал, а браузер проверяет сертификат сайта. Перехватчик видит лишь шифрованный поток и не может вставить свой код в страницу. Сертификат, который выдан не доверенным центром сертификации, браузер не примет и покажет предупреждение. HSTS идёт дальше: сайт велит открывать его только по защищённому соединению, и ошибку сертификата нельзя пропустить кнопкой. Сама спецификация называет возможность «продолжить» в диалоге с ошибкой рецептом для MITM.

Защита не сработает, если:

• вы нажали «Продолжить» в предупреждении о сертификате;
• ссылка ведёт на адрес http:// без шифрования: так бывает, если QR-код или листовку напечатали давно и адрес не обновляли;
• на устройстве стоит чужой корневой сертификат, установленный вручную или через «профиль» от незнакомой сети.

Чем MITM отличается от перехвата сессии по QR

Перехват сессии по QR — обман: жертва сама сканирует чужой QR входа и тем отдаёт доступ к аккаунту. Канал при этом никто не трогает. При MITM наоборот: человек ничего не передаёт добровольно, а атакующий работает на самом пути данных. Поэтому и защита разная: от первого помогают внимательность и вторая ступень входа, от второго — шифрование и проверка сертификатов.

Как снизить риск

1. Не пропускайте предупреждения браузера о сертификате и «Соединение не защищено»: закройте вкладку.
2. В публичной сети не входите в банк и почту без нужды; используйте мобильный интернет или VPN.
3. Проверяйте адрес и значок замка перед вводом пароля; ссылки из QR-кодов открывайте только по https://.
4. Обновляйте систему и браузер: они хранят актуальный список доверенных сертификатов.
5. Не ставьте сертификаты и профили по просьбе незнакомых сетей и страниц.
6. Свою сеть защитите современным режимом Wi-Fi и обновляйте прошивку роутера.

Частые вопросы