Che cos'è un attacco man-in-the-middle? Suggerimenti e guida alla prevenzione

Un attacco man-in-the-middle (attacco MITM), a volte noto come attacco person-in-the-middle, è un attacco informatico in cui un utente malintenzionato trasmette e possibilmente altera la comunicazione tra due parti che credono di comunicare direttamente. Ciò consente all'aggressore di intercettare la comunicazione, ascoltare e persino modificare ciò che ciascuna parte sta dicendo.

Gli attacchi man-in-the-middle consentono l'intercettazione tra persone, client e server, come le connessioni del browser ai siti Web, altre connessioni di servizi Web machine-to-machine, connessioni di reti Wi-Fi e altro ancora.

Esempio di attacco man-in-the-middle

Immagina di accedere a un sito web per scaricare una dichiarazione. Un utente malintenzionato desidera intercettare la conversazione con l'intenzione di fingere di essere te in un secondo momento.

Per prima cosa digiti l'URL del sito web nel tuo browser, quindi il tuo browser utilizza il DNS per cercare l'indirizzo IP del sito web. Un utente malintenzionato restituisce un risultato DNS falso con l'indirizzo IP di una macchina che controlla. Non sei sicuro di come l'aggressore abbia gestito questo attacco. Forse si trovavano sulla stessa rete della tua macchina, o forse hanno violato fisicamente il cavo ethernet collegato al tuo provider di servizi Internet.

A questo punto, inizia l'attacco. Tutto ciò che il tuo browser invia viene comunicato alla macchina dell'aggressore, che viene poi inoltrato al server reale. Ogni risposta dal server reale ti viene rispedita. Imitare un sito Web con HTTPS è difficile senza il certificato in mano, quindi l'aggressore potrebbe inviare una risposta di reindirizzamento per inviarti a un sito Web di proprietà dell'aggressore con il proprio certificato. Oppure possono utilizzare il dominio originale sotto l'HTTP non sicuro con un indirizzo IP falso.

L'aggressore acquisisce il tuo nome utente e password, per accedere in un secondo momento in modo da poter eseguire transazioni non autorizzate dal tuo account. Se un sito è protetto dall'autenticazione a più fattori, l'utente malintenzionato potrebbe invece acquisire il token di sessione. Con il token di sessione, bloccheranno l'azione di disconnessione in modo da poter continuare la sessione corrente quando si chiude il browser.

Questo esempio evidenzia come le comunicazioni digitali possano essere intercettate. Protocolli come HTTPS e DNSSec mitigano i rischi di un attacco MITM. Questi protocolli avvisano gli utenti quando qualcosa non va e non consentono la connessione se non è protetta.

Gli attacchi man-in-the-middle sono pericolosi?

Gli attacchi man-in-the-middle sono pericolosi e generalmente hanno due obiettivi:

1. Ottieni l'accesso a dati sensibili e informazioni personali.
2. Manipolare il contenuto di un messaggio trasmesso.

In pratica, ciò significa ottenere l'accesso a:

• Informazioni di identificazione personale (PII) e altre informazioni sensibili per il furto di identità
• Credenziali di accesso su una rete Wi-Fi pubblica per ottenere l'accesso non autorizzato agli account
• Numeri di carta di credito su un sito di e-commerce
• Traffico su hotspot Wi-Fi pubblici che possono essere reindirizzati da siti Web legittimi a siti che ospitano malware

Gli obiettivi comuni per gli attacchi MITM sono i siti Web e le e-mail. Per impostazione predefinita, la posta elettronica non utilizza la crittografia, che consente a un utente malintenzionato di intercettare e falsificare le e-mail del mittente con solo le credenziali di accesso.

Qual è la differenza tra un attacco man-in-the-middle e lo sniffing?

A causa della natura dei protocolli Internet, gran parte delle informazioni inviate a Internet sono accessibili pubblicamente. Quando ci si connette a una rete locale (LAN), tutti gli altri computer possono vedere i pacchetti di dati.

Quando un utente malintenzionato si trova sulla tua stessa rete, può utilizzare uno sniffer per leggere i dati, consentendogli di ascoltare la tua comunicazione se può accedere a qualsiasi computer tra il tuo client e il server (inclusi il tuo client e il server).

In un attacco man-in-the-middle, l'aggressore inganna te o il tuo computer per connetterti con il loro computer. Questo attacco ti fa credere che l'offerta dell'aggressore sia il luogo a cui volevi connetterti. Quindi si connettono alla tua destinazione reale e fingono di essere te, trasmettendo e modificando le informazioni in entrambe le direzioni, se lo desiderano. Questo è un rischio di sicurezza informatica molto più grande perché le informazioni possono essere modificate.

Poiché la sicurezza informatica tende verso la crittografia per impostazione predefinita, lo sniffing e gli attacchi man-in-the-middle diventano più difficili ma non impossibili. Gli aggressori possono utilizzare varie tecniche per ingannare gli utenti o sfruttare i punti deboli dei protocolli crittografici per diventare un man-in-the-middle.

Dove avvengono gli attacchi man-in-the-middle?

Esistono molti tipi di attacchi man-in-the-middle, ma in generale si verificano in quattro modi:

1. Reti pubbliche: si corre il rischio maggiore quando ci si connette a qualsiasi rete pubblica. Ciò significa connessioni Wi-Fi pubbliche negli aeroporti o nei bar, qualsiasi rete senza restrizioni di accesso. È più facile per un utente malintenzionato diventare un man-in-the-middle perché molte tecniche funzionano meglio sulle reti locali e sulle reti Wi-Fi.
2. Sul tuo computer: potresti installare malware che monitora e modifica la tua connessione Internet (come un man-in-the-browser) o subire un attacco di phishing che dirotta la tua connessione attirandoti su siti che fungono da man-in-the-middle.
3. Router: i router sono spesso forniti dal provider di servizi Internet e hanno impostazioni di sicurezza predefinite, il che significa che molti router hanno credenziali di accesso predefinite (come admin/password) o firmware obsoleto che potrebbe avere una vulnerabilità nota.
4. Server Web: l'utente malintenzionato ottiene l'accesso al server Web autentico con cui intendevi comunicare.

Come funzionano gli attacchi man-in-the-middle?

Un attacco man-in-the-middle può essere suddiviso in tre fasi:

1. Fase uno: ottenere l'accesso a una posizione per eseguire l'attacco.
2. Fase due: Diventa l'uomo nel mezzo.
3. Fase tre: superare la crittografia se necessario.

Una volta che l'aggressore è in grado di mettersi tra te e la destinazione desiderata, diventa l'uomo nel mezzo. Affinché ciò abbia successo, cercheranno di ingannare il tuo computer con una o più tecniche di attacco di spoofing.

Che cos'è l'ARP Spoofing (ARP Cache Poisoning)?

ARP (o Address Resolution Protocol) converte l'indirizzo fisico di un dispositivo (il suo indirizzo MAC o indirizzo di controllo dell'accesso ai media) e l'indirizzo IP ad esso assegnato sulla rete locale. Un utente malintenzionato che utilizza lo spoofing ARP mira a iniettare informazioni false nella rete locale per reindirizzare le connessioni al proprio dispositivo.

Immagina che l'indirizzo IP del tuo router sia [.rt-script]192.169.2.1[.rt-script]. Per connettersi a Internet, il laptop invia pacchetti IP (Internet Protocol) a [.rt-script]192.169.2.1[.rt-script]. Per fare ciò, la tua macchina deve sapere quale dispositivo fisico ha questo indirizzo. Nell'esempio, l'indirizzo MAC del router è [.rt-script]00:0a:95:9d:68:16[.rt-script].

Ecco come avviene lo spoofing ARP:

1. L'aggressore inietta falsi pacchetti ARP nella tua rete.
2. I pacchetti ARP dicono che l'indirizzo [.rt-script]192.169.2.1[.rt-script] appartiene al dispositivo dell'aggressore con il seguente indirizzo MAC [.rt-script]11:0a:91:9d:96:10[.rt-script] e non al router.
3. La cache ARP memorizza informazioni false associando l'IP [.rt-script]192.169.2.1[.rt-script] con MAC [.rt-script]11:0a:91:9d:96:10[.rt-script].
4. Il tuo laptop ora mira a connettersi a Internet, ma si connette alla macchina dell'aggressore anziché al router.
5. La macchina dell'aggressore si connette quindi al router e all'utente a Internet, consentendo all'attacco di ascoltare e modificare la connessione a Internet.

Che cos'è l'IP Spoofing (IP Address Spoofing)?

L'IP spoofing si verifica quando una macchina finge di avere un indirizzo IP diverso, di solito lo stesso indirizzo di un'altra macchina. Di per sé, l'IP spoofing non è un attacco man-in-the-middle, ma lo diventa se combinato con la previsione della sequenza TCP.

Generalmente, le connessioni Internet vengono stabilite con TCP/IP (Transmission Control Protocol/Internet Protocol):

1. Quando due dispositivi si connettono tra loro su una rete locale, utilizzano TCP/IP.
2. Per stabilire una sessione, eseguono una stretta di mano a tre vie.
3. Durante un handshake a tre, si scambiano i numeri di sequenza.
4. I numeri di sequenza consentono ai destinatari di riconoscere ulteriori pacchetti dall'altro dispositivo indicando loro l'ordine in cui devono mettere insieme i pacchetti ricevuti.

In un attacco di spoofing IP, l'utente malintenzionato prima annusa la connessione. Su una rete locale, tutti i pacchetti IP entrano nella rete e sono leggibili dai dispositivi sulla rete. L'utente malintenzionato apprende i numeri di sequenza, prevede quello successivo e invia un pacchetto fingendo di essere il mittente originale. Se il pacchetto raggiunge per primo la destinazione, l'attacco può intercettare la connessione.

Immagina che un utente malintenzionato si unisca alla tua rete locale con l'obiettivo di eseguire lo spoofing IP:

1. L'aggressore si unisce alla tua rete locale con l'indirizzo IP [.rt-script]192.100.2.1[.rt-script] ed esegue uno sniffer che gli consente di vedere tutti i pacchetti IP nella rete.
2. L'utente malintenzionato desidera intercettare la tua connessione all'indirizzo IP del router [.rt-script]192.169.2.1[.rt-script], quindi cerca i pacchetti tra te e il router per prevedere il numero di sequenza.
3. Al momento giusto, l'attacco invia un pacchetto dal loro laptop con l'indirizzo di origine del router ([.rt-script]192.169.2.1[.rt-script]) e il numero di sequenza corretto, ingannando il tuo laptop.
4. Allo stesso tempo, l'aggressore inonda il router reale con un attacco denial-of-service (DoS), rallentandolo o disabilitandolo per un momento, consentendo ai suoi pacchetti di raggiungerti prima che lo facciano quelli del router.
5. Il tuo laptop è ora convinto che il laptop dell'aggressore sia il router, completando l'attacco man-in-the-middle.

Che cos'è il DNS Spoofing (DNS Cache Poisoning)?

L'ARP spoofing e l'IP spoofing si basano entrambi sulla connessione dell'attacco alla stessa rete locale. Con lo spoofing DNS, un attacco può provenire da qualsiasi luogo. Lo spoofing DNS è più difficile perché si basa su una cache DNS vulnerabile, ma può interessare un gran numero di persone se ha successo.

DNS (Domain Name System) è il sistema utilizzato per tradurre gli indirizzi IP e i nomi di dominio, come l'indirizzamento da un indirizzo IP a [.rt-script]example.com[.rt-script]. Il sistema è composto da due elementi principali:

1. Server dei nomi (server DNS): i server dei nomi sono la fonte di informazioni autorevoli e di solito sono memorizzati su due o tre server per ogni dominio. Ad esempio, l'indirizzo IP per [.rt-script]example.com[.rt-script] è memorizzato su [.rt-script]a.iana-servers.net[.rt-script] e [.rt-script]b.iana-servers.net[.rt-script]. Se ogni client che volesse connettersi a [.rt-script]example.com[.rt-script] si connettesse a [.rt-script]a.iana-servers.net[.rt-script] e [.rt-script]b.iana-servers.net[.rt-script] per arrivare a [.rt-script]example.com[.rt-script], i server sarebbero sovraccarichi. Resolver locali per memorizzare nella cache le informazioni per evitare sovraccarichi del server. Se il resolver non ha l'indirizzo IP memorizzato nella cache, contatterà i server dei nomi e salverà l'indirizzo IP.
2. Resolver (cache DNS): un database temporaneo gestito dal sistema operativo di un computer che contiene i record di tutte le visite recenti e le tentate visite a siti Web e altri domini Internet.

Ecco un esempio di spoofing DNS:

1. L'utente malintenzionato sa che utilizzi [.rt-script]192.0.111.255[.rt-script] come resolver (cache DNS).
2. Attack sa anche che questo resolver è vulnerabile all'avvelenamento.
3. L'aggressore avvelena il resolver e memorizza le informazioni per il sito Web della tua banca nell'indirizzo IP di un sito Web falso.
4. Quando digiti il sito web della tua banca nel browser, vedi il sito dell'aggressore.
5. L'aggressore si connette al sito originale e completa l'attacco.

Che cos'è lo spoofing HTTPS (attacchi omografi IDN o spoofing della barra del browser Web)?

Lo spoofing del browser Web è una forma di typosquatting in cui un utente malintenzionato registra un nome di dominio molto simile al dominio a cui si desidera connettersi. Quindi consegnano l'URL falso per utilizzare altre tecniche come il phishing.

Il team di sicurezza di Google ritiene che la barra degli indirizzi sia l'indicatore di sicurezza più importante nei browser moderni. Fornisce la vera identità di un sito Web e la verifica che tu sia sul sito Web giusto.

Un esempio di spoofing della barra degli indirizzi è stata la vulnerabilità dell'omografo che si è verificata nel 2017. Ha sfruttato la funzione International Domain Name (IDN) che consente di scrivere i nomi di dominio in caratteri stranieri utilizzando caratteri di vari alfabeti per ingannare gli utenti.

Ad esempio, [.rt-script]xn--80ak6aa92e.com[.rt-script] verrebbe visualizzato come [.rt-script]аррӏе.com[.rt-script] a causa dell'IDN, che è praticamente indistinguibile da [.rt-script]apple.com[.rt-script]. Da allora questo è stato corretto mostrando gli indirizzi IDN in formato ASCII.

Che cos'è il dirottamento delle e-mail?

Il dirottamento della posta elettronica si verifica quando un utente malintenzionato compromette un account di posta elettronica e raccoglie silenziosamente informazioni intercettando le conversazioni di posta elettronica. Il dirottamento delle e-mail può rendere gli attacchi di ingegneria sociale molto efficaci impersonando la persona che possiede l'e-mail. Questo approccio viene spesso utilizzato per lo spearphishing.

Che cos'è un attacco Man-in-the-Browser?

Un attacco man-in-the-browser sfrutta le vulnerabilità di browser Web come Google Chrome o Firefox. Trojan horse, worm, exploit, SQL injection e componenti aggiuntivi del browser possono essere vettori di attacco.

L'obiettivo è spesso quello di acquisire le credenziali di accesso, in particolare le società di servizi finanziari come la società della carta di credito o il conto bancario. Quando accedi al sito, l'uomo nel browser acquisisce le tue credenziali per trasferire fondi e modificare ciò che vedi per nascondere la transazione.

Che cos'è l'intercettazione Wi-Fi?

Se hai mai effettuato l'accesso a un punto di accesso Wi-Fi pubblico in un bar o in un aeroporto, potresti aver notato un pop-up che diceva Questa rete non è sicura.

Le connessioni Wi-Fi non crittografate sono facili da intercettare. È come avere una conversazione in un luogo pubblico dove chiunque può ascoltare. È possibile limitare l'esposizione impostando la rete su pubblica, in modo da disabilitare l'individuazione della rete e impedire ad altri utenti della rete di accedere al dispositivo.

Un altro esempio di intercettazione Wi-Fi è quando un utente malintenzionato crea il proprio hotspot Wi-Fi, chiamato Evil Twin. Fanno sembrare la connessione identica a quella autentica, fino all'ID di rete e alla password. Gli utenti possono connettersi accidentalmente o automaticamente all'Evil Twin, consentendo all'aggressore di intercettare la loro attività.

Che cos'è il dirottamento SSL?

Il dirottamento SSL si verifica quando un utente malintenzionato intercetta una connessione e genera certificati SSL/TLS per tutti i domini visitati. Ti presentano il certificato falso, stabiliscono una connessione con il server originale e poi inoltrano il traffico.

Questo attacco funziona solo se l'aggressore è in grado di far credere al browser che il certificato sia firmato da un'autorità di certificazione (CA) attendibile. In caso contrario, il browser visualizzerà un avviso o si rifiuterà di aprire la pagina.

Ecco come funziona il dirottamento SSL:

1. L'aggressore utilizza un attacco informatico separato per farti scaricare e installare la sua CA.
2. Quando visiti un sito sicuro, come la tua banca, l'aggressore intercetta la tua connessione.
3. L'utente malintenzionato genera un certificato per la tua banca, lo firma con la sua CA e ti restituisce il sito.
4. Il tuo browser pensa che il certificato sia reale perché l'attacco ha indotto il tuo computer a pensare che la CA sia una fonte attendibile.
5. L'aggressore stabilisce una connessione con la tua banca e inoltra tutto il traffico SSL attraverso di essa.

Il dirottamento SSL può essere utilizzato per scopi legittimi. Ad esempio, il software di controllo parentale utilizza spesso il dirottamento SSL per bloccare i siti.

Che cos'è lo stripping SSL?

SSL Stripping o SSL Downgrade Attack è un attacco utilizzato per eludere la sicurezza applicata dai certificati SSL sui siti Web abilitati HTTPS.

Quando si accede al sito Web, il browser si connette al sito non sicuro (HTTP) e quindi viene generalmente reindirizzato al sito sicuro (HTTPS). Se il sito Web è disponibile senza crittografia, un utente malintenzionato può intercettare i pacchetti e forzare una connessione HTTP che potrebbe esporre le credenziali di accesso o altre informazioni sensibili all'utente malintenzionato.

Il rischio di questo tipo di attacco è ridotto poiché un numero maggiore di siti Web utilizza HTTP Strict Transport Security (HSTS), il che significa che il server si rifiuta di connettersi tramite una connessione non sicura, anche se ci sono ancora alcuni fattori di rischio che la configurazione HSTS deve affrontare.

Vulnerabilità SSL/TSL

Le versioni precedenti di SSL e TLS sono vulnerabili agli exploit, ma è possibile rafforzare l'SSL debole.

Che cos'è un dirottamento della sessione?

Il dirottamento della sessione è un tipo di attacco che in genere compromette gli account dei social media. La maggior parte dei siti di social media memorizza un cookie del browser di sessione sul tuo computer. Questo cookie viene quindi invalidato quando ti disconnetti. Ma mentre la sessione è attiva, il cookie fornisce informazioni sull'identità, l'accesso e il tracciamento.

Quando un utente malintenzionato ruba un cookie di sessione tramite malware, dirottamento del browser o un attacco di cross-site scripting (XSS) su un'applicazione Web popolare con JavaScript dannoso, può accedere al tuo account per ascoltare le conversazioni o impersonare l'utente.

Altri metodi per gli attacchi man-in-the-middle

Ci sono altri metodi per gli aggressori per mettersi tra te e la tua destinazione finale. Questi metodi di solito rientrano in una delle tre categorie:

1. Compromissione del server: l'utente malintenzionato ottiene il controllo del server a cui si desidera connettersi e posiziona il proprio software sul server per intercettare le connessioni.
2. Compromissione del client: l'utente malintenzionato ottiene l'accesso al computer dell'utente e installa un cavallo di o un'altra forma di malware che gli consente di ascoltare tutte le connessioni.
3. Compromissione della comunicazione: l'utente malintenzionato prende il controllo di una macchina che instrada le informazioni tra l'utente e il server.

Rilevamento e prevenzione degli attacchi man-in-the-middle

Esistono molti tipi di attacchi man-in-the-middle e alcuni sono difficili da rilevare. La migliore contromisura contro gli attacchi man-in-the-middle è prevenirli. Sebbene sia difficile impedire a un utente malintenzionato di intercettare la tua connessione se ha accesso alla tua rete, puoi assicurarti che la tua comunicazione sia fortemente crittografata.

Ecco alcuni suggerimenti generali che puoi seguire:

• Rete privata virtuale (VPN): configura una VPN per crittografare il tuo traffico web e limitare la capacità di un utente malintenzionato di leggere o modificare la comunicazione.
• Sistema di rilevamento delle intrusioni di rete (NIDS): i NIDS sono posizionati in punti strategici all'interno di una rete per monitorare il traffico da e verso tutti i dispositivi della rete. Esegue l'analisi del traffico che passa sull'intera subnet e confronta il traffico che viene passato sulle subnet alla libreria degli attacchi noti. Una volta identificato un attacco o rilevato un comportamento anomalo, è possibile inviare un avviso a un professionista della sicurezza informatica.
• Firewall: un firewall potente può impedire l'accesso non autorizzato.
• Antivirus e antimalware: installa un pacchetto software antivirus e antimalware che includa uno scanner che viene eseguito all'avvio del sistema per prevenire attacchi man-in-the-middle che si basano sul malware.
• Autenticazione a due fattori: utilizza l'autenticazione a due fattori che richiede un vettore di autenticazione aggiuntivo oltre alla password per prevenire il dirottamento delle email.
• Comprendi le truffe di phishing comuni: le e-mail di phishing sono un vettore di attacco comune. Scarica gli allegati e-mail solo quando sai che provengono da un contatto fidato.
• Esci: esci da tutti gli account inutilizzati per invalidare i cookie di sessione e prevenire il dirottamento della sessione.
• Pensa a ciò che installi: installa solo componenti aggiuntivi del browser e software che sai provenire da una fonte affidabile.
• Forza crittografia: evita di condividere informazioni sensibili su siti senza HTTPS.
• Installa HTTPS ovunque: forza le connessioni SSL quando possibile.
• Usa un gestore di password: evita di compilare automaticamente le password su siti nefasti.
• Evita le reti Wi-Fi pubbliche: se devi utilizzare una rete Wi-Fi pubblica, configura il dispositivo in modo che richieda la connessione manuale.
• Patch software e hardware: mantieni aggiornati i tuoi strumenti per evitare attacchi man-in-the-middle che sfruttano le vulnerabilità note.
• Utilizza server DNS sicuri (cache DNS): assicurati che i server DNS (cache DNS) che utilizzi siano sicuri.
• Sicurezza delle applicazioni: se disponi di un sito Web o di un'applicazione, cerca regolarmente le vulnerabilità e risolvi i problemi.

Notevoli attacchi man-in-the-middle

Nel 1586 ci fu un piano per assassinare la regina Elisabetta I e mettere Maria, regina di Scozia, sul trono inglese. Le comunicazioni tra Maria, regina di Scozia e i suoi cospiratori furono intercettate, decodificate e modificate da Robert Poley, Gilbert Gifford e Thomas Phelippes, il che portò all'esecuzione della regina di Scozia.

Belkin: Nel 2003, un attacco non crittografico è stato perpetrato da un router di rete wireless Belkin. Periodicamente, prendeva il controllo della connessione HTTP instradata attraverso di esso, non riusciva a passare il traffico sulla destinazione e rispondeva come il server previsto. Nella risposta inviata, essa avrebbe sostituito la pagina web richiesta dall'utente con un annuncio pubblicitario per un altro prodotto Belkin. Questo problema è stato successivamente risolto.

DigiNotar: Nel 2011, una violazione della sicurezza di DigiNotar ha portato all'emissione fraudolenta di certificati che sono stati poi utilizzati per eseguire attacchi man-in-the-middle.

Nokia: Nel 2013, è stato rivelato che il browser Xpress di Nokia decrittografava il traffico HTTPS fornendo accesso in chiaro al traffico crittografato dei suoi clienti.

Equifax: nel 2017, Equifax ha ritirato le sue app per telefoni cellulari a causa di problemi di vulnerabilità man-in-the-middle.

La piattaforma di UpGuard può aiutarti a capire quali dei tuoi siti sono suscettibili agli attacchi man-in-the-middle e come correggere le loro vulnerabilità. UpGuard BreachSight può aiutare a combattere il typosquatting, prevenire le violazioni e le fughe di dati, in modo da evitare multe normative e proteggere la fiducia dei clienti attraverso valutazioni di sicurezza informatica e rilevamento continuo dell'esposizione.

Possiamo anche aiutarti a monitorare, valutare e inviare continuamente questionari di sicurezza ai tuoi fornitori per controllare il rischio di terze parti e il rischio di quarta parte e migliorare la tua posizione di sicurezza, oltre a creare automaticamente un inventario, applicare le policy e rilevare modifiche impreviste alla tua infrastruttura IT. Ti aiutiamo a scalare i processi di gestione del rischio dei fornitori, di terze parti e di valutazione dei rischi per la sicurezza informatica.