SSL Strip
בלי כתוביותעם כתוביות
מילון מושגים:
SSL - פרוטוקול להצפנת תקשורת ברשת ולאימות זהות השרת. קודמו של TLS, והשם עדיין נפוץ בשימוש.
הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.
דפדפן - תוכנה שמציגה דפי אינטרנט ומריצה את הקוד שבהם, ומאפשרת לגלוש בין אתרים, למשל Chrome או Firefox.
HTTP - פרוטוקול להעברת דפי אינטרנט ונתונים בין דפדפן לשרת. הגרסה המאובטחת שלו היא HTTPS.
HTTPS - הגרסה המאובטחת של HTTP, שמצפינה את התקשורת בין הדפדפן לשרת בעזרת TLS ומאמתת את זהות האתר.
SSL Strip
בשיעור זה מסבירים ברמה המושגית את מנגנון ה-SSL Strip, התקפת הנמכת ההצפנה שמלווה התקפות אדם באמצע, מדוע תקשורת לא מוצפנת פותחת פתח לריגול, ואילו הגנות דפדפן מצמצמות את האיום.
נושאי הסיכום המוצגים בשיעור:
1. מהו SSL Strip: מנגנון ה-SSL Strip הוא התקפה שמתווספת במהלך התקפת אדם באמצע, והיא מאלצת את הדפדפן של הקורבן להנמיך את התקשורת ל-HTTP רגיל במקום HTTPS, כאילו הצד שתוקף מצהיר שהוא לא תומך בתקשורת מוצפנת ומבקש מהאתר לשרת אותו בצורה גלויה.
2. ההבדל בין HTTP ל-HTTPS: HTTPS הוא HTTP שעטוף בהצפנה, שמשמעותו שכל המידע מוצפן, וכך תוקף שאוסף תעבורה בהתקפת אדם באמצע רואה אותו בתור ג'יבריש של סימנים ותווים שאינו מבין, אבל אם בעזרת מנגנון ה-SSL Strip מנמיכים את התקשורת ל-HTTP, המידע עובר בטקסט גלוי כמו שהוא, וכך אפשר ללכוד אותו.
3. הדגמת ההנמכה: בהדגמה רואים אתר חדשות שעובד באופן כללי בתקשורת מוצפנת, אבל בזכות המנגנון שפועל הצליחו להודיע לאתר שאין תמיכה בתקשורת מוצפנת ולגרום לו לעבוד בצורה גלויה, וכך התקשורת אל הקורבן הורדה ללא הצפנה.
4. הגנת HSTS בדפדפנים מודרניים: הבעיה של התוקף היא שבדפדפנים המודרניים יש רשימה מובנית של אתרים מפורסמים כמו פייסבוק, יוטיוב, טוויטר וגוגל שלא מסכימים לשנות את התקשורת, מנגנון שנקרא HSTS, רשימה שהדפדפן מודע אליה, ולאתרים האלה לא ניתן להנמיך את התקשורת והם נשארים מוצפנים, אבל רוב האתרים בעולם אינם נמצאים בתוך הרשימה הזאת ואליהם אפשר להנמיך את התקשורת ולאסוף מידע.
סיכום:
בשיעור זה הוסבר ברמה המושגית מנגנון ה-SSL Strip שבו תוקף בתקיפת אדם באמצע גורם לדפדפן הקורבן לותר על ההצפנה ולקבל את התוכן בטקסט גלוי, ראינו למה HTTPS הופך את התעבורה לג'יבריש בלתי קריא למרגלים ומה עושה תקשורת גלויה, והכרנו את מנגנון ה-HSTS שבדפדפנים המודרניים שמגן על אתרים נפוצים, ומכאן נובעת חשיבות ההקפדה על תקשורת מוצפנת בכל אתר.
פרקי ההרצאה: SSL Strip
תמלול ההרצאה: SSL Strip
הטקסט המלא של הדקות הראשונות בהרצאה «SSL Strip» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בסרטון הבא אני רוצה לדבר איתכם על מנגנון שנקרא SSL Strip כרגע ההתקפה אצלנו התחילה ובזמן שההתקפה מתחילה היא גם מפעילה את המנגנון שנקרא SSL Strip מה זה SSL Strip אז SSL Strip מאלץ את הדפדפן של הקורבן לשנמך את התקשורת ל-HTTP במקום HTTPS. אתרים שתומכים ב-HTTPs
אני כביכול אומר להם, תקשיבו, אני לא יודע לעבוד ב-HTTPs, אני לא תומך, בואו תשרתו אותי ב-HTTP רגיל.