O que é MitM?

Para que seu dispositivo se comunique com qualquer outro dispositivo, ele precisa se conectar a ele. Se o outro dispositivo estiver fisicamente presente, isso é bem simples. Você pode simplesmente passar um cabo entre os dois dispositivos. É necessário que eles compartilhem algum tipo de padrão de comunicação, mas o princípio básico permanece. Obviamente, a maioria dos dispositivos com os quais você deseja se comunicar não está fisicamente presente. Em vez disso, você precisa se conectar a eles por meio de uma rede de computadores normalmente com a Internet envolvida.

O problema com isso é que agora existem potencialmente muitos mensageiros que precisam passar suas comunicações de um lado para o outro. Para se comunicar adequadamente por meio de intermediários, você precisa ser capaz de confiar neles. Como alternativa, você precisa ser capaz de garantir que eles não possam ler ou modificar suas comunicações. Esta é a base da criptografia. Ele permite que você se comunique com segurança em um canal inseguro.

O problema é que, mesmo com a criptografia em jogo, ainda existem alguns atores mal-intencionados tentando obter acesso a informações confidenciais. Uma maneira de tentar fazer isso é realizar um ataque Man-in-the-Middle ou MitM.

a configuração

Para que o MitM funcione, o invasor precisa ser uma das partes transmitindo os dados que deseja acessar. Existem algumas maneiras de conseguir isso. A primeira é relativamente simples, execute um ponto de acesso à Internet, é exatamente por isso que você deve ter cuidado com pontos de acesso Wi-Fi gratuitos aleatórios. Isso é fácil de fazer, o problema é que pode não ser fácil conseguir que uma pessoa específica se conecte a uma rede específica.

As opções alternativas são configurar o dispositivo da vítima para usar seu dispositivo como um servidor proxy ou para ser um ISP para a vítima. Realisticamente, se um invasor puder configurar seu dispositivo para ser usado como um proxy, ele provavelmente terá acesso mais do que suficiente ao seu computador para obter as informações que deseja. Teoricamente, o ISP de qualquer pessoa também pode atingi-los enquanto o tráfego passa por seu ISP. Um provedor de VPN/proxy está exatamente na mesma posição que o ISP e pode ou não ser tão confiável.

Observação: se você está pensando em obter uma VPN para se proteger contra seu ISP, é importante entender que o provedor de VPN se torna seu ISP efetivo. Como tal, todas as mesmas preocupações de segurança também devem se aplicar a eles.

Passivo MitM

Embora muitos dispositivos possam estar em uma posição MitM, a maioria deles não será maliciosa. Ainda assim, a criptografia protege daqueles que são e ajuda a melhorar sua privacidade. Um invasor em uma posição MitM pode simplesmente usar sua posição para “escutar” o fluxo de tráfego. Dessa forma, eles podem rastrear alguns detalhes vagos do tráfego criptografado e podem ler o tráfego não criptografado.

Nesse tipo de cenário, um invasor em uma posição MitM sempre pode ler ou modificar o tráfego não criptografado. É apenas a criptografia que impede isso.

MitM ativo

Um invasor que se deu ao trabalho de chegar a essa posição pode não necessariamente ficar satisfeito apenas lendo/modificando dados não criptografados. Como tal, eles podem tentar realizar um ataque ativo.

Nesse cenário, ele se insere totalmente no meio da conexão atuando como um intermediário ativo. Eles negociam uma conexão “segura” com o servidor e tentam fazer o mesmo com o usuário final. É aqui que as coisas normalmente desmoronam. Por mais que eles possam fazer tudo isso, o ecossistema de criptografia foi projetado para lidar com esse cenário.

Cada site HTTPS oferece um certificado HTTPS. O certificado é assinado por uma cadeia de outros certificados que levam a um dos poucos “certificados raiz” especiais. Os certificados raiz são especiais porque são armazenados no repositório de certificados confiáveis ​​de cada dispositivo. Cada dispositivo pode, portanto, verificar se o certificado HTTPS com o qual foi apresentado foi assinado por um dos certificados raiz em seu próprio armazenamento de certificados confiáveis.

Se o processo de verificação do certificado não for concluído corretamente, o navegador lançará uma página de aviso de erro de certificado explicando os fundamentos do problema. O sistema de emissão de certificados é configurado de forma que você precise provar que é o proprietário legítimo de um site para persuadir qualquer Autoridade de Certificação a assinar seu certificado com o certificado raiz. Como tal, um invasor geralmente só pode usar certificados inválidos, fazendo com que as vítimas vejam mensagens de erro de certificado.

Observação: o invasor também pode convencer a vítima a instalar o certificado raiz do invasor no armazenamento de certificados confiáveis; nesse ponto, todas as proteções são quebradas.

Se a vítima optar por “aceitar o risco” e ignorar o aviso do certificado, o invasor poderá ler e modificar a conexão “criptografada” porque a conexão é criptografada apenas de e para o invasor, não até o servidor.

Um exemplo menos digital

Se você está tendo dificuldade em entender o conceito de um ataque Man-in-the-Middle, pode ser mais fácil trabalhar com o conceito de correio físico. Os correios e o sistema são como a Internet, mas para enviar cartas. Você assume que qualquer carta que você envia passa por todo o sistema postal sem ser aberta, lida ou modificada.

A pessoa que entrega sua postagem, no entanto, está em uma posição perfeita de intermediário. Eles poderiam optar por abrir qualquer carta antes de entregá-la. Eles poderiam então ler e modificar o conteúdo da carta à vontade e selá-la novamente em outro envelope. Nesse cenário, você nunca está realmente se comunicando com a pessoa que pensa que é. Em vez disso, vocês dois estão se comunicando com a pessoa intrometida do correio.

Um terceiro que pode verificar assinaturas (criptograficamente seguras) pode pelo menos dizer a você que alguém está abrindo seu e-mail. Você pode optar por ignorar este aviso, mas seria aconselhável não enviar nada secreto.

Há muito pouco que você pode fazer sobre a situação além de mudar o sistema pelo qual você se comunica. Se você começar a se comunicar por e-mail, o postador não poderá mais ler ou modificar suas mensagens. Da mesma forma, conectar-se a uma rede diferente e idealmente confiável é a única maneira de negar o acesso do invasor enquanto ainda é possível se comunicar.

Conclusão

MitM significa Man-in-the-Middle. Representa uma situação em que um mensageiro na cadeia de comunicação está monitorando e potencialmente editando as comunicações de forma maliciosa. Normalmente, o maior risco é do primeiro salto, ou seja, o roteador ao qual você se conecta. Um ponto de acesso Wi-Fi gratuito é o exemplo perfeito disso. Um invasor em uma posição MitM pode ler e editar comunicações não criptografadas. Eles também podem tentar o mesmo com comunicações criptografadas, mas isso deve resultar em mensagens de erro de validação de certificado. Essas mensagens de aviso de validação de certificado são a única coisa que impede um invasor de preparar e modificar o tráfego criptografado também. Isso funciona porque ambas as partes se comunicam com o invasor, e não entre si. O invasor se apresenta como a outra parte para ambas as partes.