# Об атаке MITM

### В чем смысл атаки?

Злоумышленник пропускает веб-трафик жертвы через себя. Жертва в этот момент думает, что работает напрямую с нужным ему веб-сайтом или приложением. Но на самом деле трафик проходит через промежуточный узел, что позволяет хакеру получить важные данные: логин, пароль и т.д. 

Это атака характера и для пары *человек-компания* → когда мы смотрим что-то в банке. \
И для пары *компания-компания* → когда мы смотрим что-то в том же банке через корпоративный аккаунт.\
\
Благодаря просмотру этого трафика злоумышленник может увидеть и украсть данные, чтобы использовать их для дальнейшей кражи или вымогательства.

### Какие есть  виды MITM-атак

<table data-header-hidden data-full-width="true"><thead><tr><th></th><th></th></tr></thead><tbody><tr><td><p><strong>Общедоступный Wi-Fi</strong></p><p></p><p>Общедоступные сети часто не защищают. Это приводит к тому, что преступник может видеть веб-трафик с любого подключенного устройства.</p><p></p><p></p><p><br></p></td><td><p><strong>Мошенническая точка доступа</strong></p><p></p><p>Злоумышленник создают свою точку доступа в сети. Так он перехватывает, отслеживает трафик, а ещё часто перенаправляет его в другую сеть, чтобы загрузить вредоносное ПО. А дальше по классике: шпионаж, вымогательство, кража.</p></td></tr><tr><td><p><strong>IP-спуфинг</strong><br></p><p>Злоумышленник подделывает адрес, меняя заголовки пакетов, чтобы быть похожим на настоящий веб-сайт или приложение.</p><p></p><p></p><p></p><p></p><p></p><p></p><p></p><p></p><p><br></p></td><td><p><strong>ARP-спуфинг</strong></p><p></p><p>Связывает MAC-адрес злоумышленника с IP-адресом жертвы в локальной сети с помощью поддельных сообщений ARP. Вот что после происходит:<br><br>1. Любые данные от жертвы направляются не в локальную сеть, а на МАС-адрес злоумышленника.<br>2. Кибержулик перехватывает данные и пользуется ими в своих целях.</p></td></tr><tr><td><p><strong>DNS-спуфинг</strong></p><p></p><p>Злоумышленник заходит на DNS-сервер веб-сайта и изменяет запись веб-адреса. </p><p></p><p>После этого DNS-запись перенаправляет входящий трафик на веб-сайт киберпреступника.</p><p><br></p></td><td><p><strong>HTTPS-спуфинг</strong></p><p></p><p></p><p>Злоумышленник отправляет в браузер поддельный сертификат безопасности в момент, когда пользователь подключается через HTTPS. Браузер считает это безопасным, хотя злоумышленник, возможно, крадет и перенаправляет данные. </p></td></tr><tr><td><p><strong>Перехват сеанса</strong><br></p><p>Перехватывание сеанса для контроля над ним. При этом пользователь исключается из сеанса, а злоумышленник остается внутри и просматривает все данные. </p><p><br></p></td><td><p><strong>Внедрение пакетов</strong><br></p><p>Создает пакетов с целью доступа и мониторинга трафика. А порой для инициирования DDoS. </p><p></p><p></p><p></p><p></p></td></tr><tr><td><p><strong>SSL-стриппинг</strong><br></p><p>Кибержулик перехватывает сигнал TLS от приложения или веб-сайта. Меняет его, чтобы сайт загружался по незащищенному соединению HTTP вместо HTTPS. А дальше — раскрытие конфиденциальной информации.</p><p><br></p></td><td><p><strong>SSL-спуфинг</strong></p><p></p><p>Подделка сайта под настоящий. Жертва думает, что взаимодействует с реальным ресурсом, но это не так. Преступник в этот момент крадет данные.</p><p></p><p></p><p></p><p><br></p></td></tr><tr><td><p><strong>SSL BEAST</strong><br></p><p>Заражение устройства вредоносным кодом JavaScript. Программа перехватывает cookie и токены аутентификации веб-сайтов для дешифрования, открывая злоумышленнику доступ к сеансу жертвы.</p><p><br></p></td><td><p><strong>SSL-кража cookie-файлов браузера</strong><br></p><p>Кража информации с разных веб-сайтов, которую можно использовать для других атак. </p><p></p><p></p><p></p><p></p><p><br></p></td></tr><tr><td><p><br></p><p><strong>Сниффинг</strong></p><p><br>Слежка за трафиком обычно с помощью приложений или специального оборудования. </p><p><br></p></td><td><br></td></tr></tbody></table>

### Как обнаруживать MiTM?

1\. Следить за веб-адресами. Это можно заметить по строке поиска и URL-адресу в браузере. При перехвате DNS могут подделывать используемые адреса, как правило, с едва заметными изменениями.\
\
[www.google](http://www.google).com → это окей\
[www.go0gle.com](http://www.go0gle.com) → не окей&#x20;

2\. Замечать неожиданные сетевые задержки или полные отключения.

Если всё хорошо по соединению → это окей.\
Частные сетевые отсоединения или задержки → это не окей, лучше проверить

3\. Мониторить общественный Wi-Fi. Злоумышленники часто перехватывают информацию через этот канал, как и создают поддельные сети. Лучше вообще избегать общедоступных сетей Wi-Fi, ну или использовать VPN, если вам необходимо подключиться к Интернету. Само собой, тут тоже стоит избегать подключения к сетям со странными именами.\
\
Подключиться к ozmall\_wifi\_guest → это окей\
Подключиться к 0zmallwifi234 → это не окей, лучше не стоит

### Как предотвращать атаки MiTM?

1\. Использовать всегда и везде менеджеры паролей. Мы советуем [keepass](https://keepass.info/).&#x20;

2\. Использовать VPN, чтобы перенаправлять весь трафик на несколько серверов. Мы за [WireGuard](https://www.wireguard.com/) и [OpenVPN](https://openvpn.net/).<br>