Hvad er et man-in-the-middle-angreb? Tips og vejledning til forebyggelse

Et man-in-the-middle-angreb (MITM-angreb), nogle gange kendt som et person-in-the-middle-angreb, er et cyberangreb, hvor en angriber videresender og muligvis ændrer kommunikationen mellem to parter, der mener, at de kommunikerer direkte. Dette giver angriberen mulighed for at opsnappe kommunikation, lytte med og endda ændre, hvad hver part siger.

Man-in-the-middle-angreb muliggør aflytning mellem personer, klienter og servere, f.eks. browserforbindelser til websteder, andre maskine-til-maskine-webtjenesteforbindelser, Wi-Fi-netværksforbindelser og meget mere.

Eksempel på man-in-the-middle-angreb

Forestil dig, at du logger ind på et websted for at downloade en erklæring. En angriber ønsker at opsnappe samtalen med den hensigt at udgive sig for at være dig på et senere tidspunkt.

Du indtaster først webadressen på webstedet i din browser, derefter bruger din browser DNS til at slå webstedets IP-adresse op. En angriber sender et falsk DNS-resultat tilbage med IP-adressen på en maskine, de kontrollerer. Du er ikke sikker på, hvordan angriberen håndterede dette angreb. Måske var de på samme netværk som din maskine, eller måske hackede de sig fysisk ind i Ethernet-kablet, der var forbundet til din internetudbyder.

På dette tidspunkt begynder angrebet. Alt, hvad din browser sender, kommunikeres til angriberens maskine, som derefter videresendes til den rigtige server. Hvert svar fra den rigtige server sendes tilbage til dig. Det er svært at efterligne et websted med HTTPS uden certifikatet i hånden, så angriberen kan sende et omdirigeringssvar tilbage for at sende dig til et websted, der ejes af angriberen med sit eget certifikat. Eller de kan bruge det originale domæne under den usikre HTTP med en falsk IP-adresse.

Angriberen fanger dit brugernavn og din adgangskode for at logge ind senere som dig, så de kan udføre uautoriserede transaktioner fra din konto. Hvis et websted er beskyttet af multifaktorgodkendelse, kan hackeren i stedet registrere dit sessionstoken. Med dit sessionstoken blokerer de din logouthandling, så de kan fortsætte den aktuelle session, når du lukker din browser.

Dette eksempel fremhæver, hvordan digital kommunikation kan opsnappes. Protokoller som HTTPS og DNSSec mindsker risikoen for et MITM-angreb. Disse protokoller advarer brugerne, når der er noget galt, og tillader ikke forbindelsen, hvis den ikke er beskyttet.

Er man-in-the-middle-angreb farlige?

Man-in-the-middle-angreb er farlige og har generelt to mål:

Få adgang til følsomme data og personlige oplysninger.
Manipulere indholdet af en transmitteret meddelelse.

I praksis betyder det, at man får adgang til:

Personligt identificerbare oplysninger (PII) og andre følsomme oplysninger til identitetstyveri
Loginoplysninger på et offentligt Wi-Fi-netværk for at få uautoriseret adgang til konti
Kreditkortnumre på et e-handelswebsite
Trafik på offentlige Wi-Fi-hotspots, der kan omdirigeres fra legitime websteder til websteder, der hoster malware

Almindelige mål for MITM-angreb er websteder og e-mails. E-mail bruger som standard ikke kryptering, hvilket gør det muligt for en angriber at opsnappe og forfalske e-mails fra afsenderen med kun deres loginoplysninger.

Hvad er forskellen mellem et man-in-the-middle-angreb og sniffing?

På grund af internetprotokollernes karakter er mange af de oplysninger, der sendes til internettet, offentligt tilgængelige. Når du opretter forbindelse til et lokalt netværk (LAN), kan alle andre computere se dine datapakker.

Når en hacker er på samme netværk som dig, kan de bruge en sniffer til at læse dataene, så de kan lytte til din kommunikation, hvis de kan få adgang til computere mellem din klient og serveren (herunder din klient og serveren).

I et man-in-the-middle-angreb narrer angriberen dig eller din computer til at oprette forbindelse til deres computer. Dette angreb får dig til at tro, at angriberens tilbud er det sted, du ønskede at oprette forbindelse til. Derefter opretter de forbindelse til din faktiske destination og foregiver at være dig, videregiver og ændrer information begge veje, hvis det ønskes. Dette er en meget større cybersikkerhedsrisiko, fordi oplysninger kan ændres.

Efterhånden som cybersikkerhed udvikler sig mod kryptering som standard, bliver sniffing og man-in-the-middle-angreb vanskeligere, men ikke umulige. Angribere kan bruge forskellige teknikker til at narre brugere eller udnytte svagheder i kryptografiske protokoller til at blive en man-in-the-middle.

Hvor sker man-in-the-middle-angreb?

Der er mange typer man-in-the-middle-angreb, men generelt vil de ske på fire måder:

Offentlige netværk: Du er mest udsatt, når du opretter forbindelse til et offentligt netværk. Det betyder offentlige Wi-Fi-forbindelser i lufthavne eller caféer, ethvert netværk uden adgangsbegrænsninger. Det er nemmest for en angriber at blive en man-in-the-middle, fordi mange teknikker fungerer bedst på lokale netværk og Wi-Fi-netværk.
På din computer: Du kan installere malware, der overvåger og ændrer din internetforbindelse (som en man-in-the-browser) eller lider af et phishing-angreb, der kaprer din forbindelse ved at lokke dig til websteder, der fungerer som man-in-the-middle.
Router: Routere leveres ofte af din internetudbyder og har standardsikkerhedsindstillinger, hvilket betyder, at mange routere har standardloginoplysninger (såsom admin/adgangskode) eller forældet firmware, der kan have en kendt sårbarhed.
Webserver: Hackeren får adgang til den ægte webserver, du havde til hensigt at kommunikere med.

Hvordan fungerer man-in-the-middle-angreb?

Et man-in-the-middle-angreb kan opdeles i tre faser:

Trin et: Få adgang til et sted for at udføre angrebet.
Fase to: Bliv manden i midten.
Trin tre: Overvind kryptering, hvis det er nødvendigt.

Når angriberen er i stand til at komme mellem dig og din ønskede destination, bliver de man-in-the-middle. For at dette skal lykkes, vil de forsøge at narre din computer med en eller flere forskellige spoofing-angrebsteknikker.

Hvad er ARP-spoofing (ARP-cacheforgiftning)?

ARP (eller Address Resolution Protocol) oversætter den fysiske adresse på en enhed (dens MAC-adresse eller medieadgangskontroladresse) og den IP-adresse, der er tildelt den på det lokale netværk. En angriber, der bruger ARP-spoofing, har til formål at injicere falske oplysninger i lokalnetværket for at omdirigere forbindelser til deres enhed.

Forestil dig, at din routers IP-adresse er [.rt-script]192.169.2.1[.rt-script]. For at oprette forbindelse til internettet sender din bærbare computer IP-pakker (Internet Protocol) til [.rt-script]192.169.2.1[.rt-script]. For at gøre dette skal din maskine vide, hvilken fysisk enhed der har denne adresse. I dette eksempel har routeren en MAC-adresse på [.rt-script]00:0a:95:9d:68:16[.rt-script].

Sådan sker ARP-spoofing:

Hackeren injicerer falske ARP-pakker i dit netværk.
ARP-pakkerne siger, at adressen [.rt-script]192.169.2.1[.rt-script] tilhører angriberens enhed med følgende MAC-adresse [.rt-script]11:0a:91:9d:96:10[.rt-script] og ikke din router.
ARP-cachen gemmer falske oplysninger, der forbinder IP-adressen [.rt-script]192.169.2.1[.rt-script] med MAC [.rt-script]11:0a:91:9d:96:10[.rt-script].
Din bærbare computer sigter nu mod at oprette forbindelse til internettet, men opretter forbindelse til angriberens maskine i stedet for din router.
Angriberens maskine opretter derefter forbindelse til din router og forbinder dig til internettet, hvilket gør det muligt for angrebet at lytte med og ændre din forbindelse til internettet.

Hvad er IP-spoofing (IP-adressespoofing)?

IP-spoofing er, når en maskine foregiver at have en anden IP-adresse, normalt den samme adresse som en anden maskine. I sig selv er IP-spoofing ikke et man-in-the-middle-angreb, men det bliver et, når det kombineres med TCP-sekvensforudsigelse.

Generelt etableres internetforbindelser med TCP/IP (Transmission Control Protocol/Internet Protocol):

Når to enheder opretter forbindelse til hinanden på et lokalt netværk, bruger de TCP/IP.
For at etablere en session udfører de et trevejs håndtryk.
Under et trevejs håndtryk udveksler de sekvensnumre.
Sekvensnumre giver modtagerne mulighed for at genkende yderligere pakker fra den anden enhed ved at fortælle dem, i hvilken rækkefølge de skal sætte modtagne pakker sammen.

I et IP-spoofing-angreb snuser angriberen først forbindelsen. På et lokalt netværk går alle IP-pakker ind i netværket og kan læses af enhederne på netværket. Angriberen lærer sekvensnumrene, forudsiger det næste og sender en pakke, der udgiver sig for at være den oprindelige afsender. Hvis pakken når destinationen først, kan angrebet opsnappe forbindelsen.

Forestil dig, at en angriber tilslutter sig dit lokale netværk med det formål at IP-spoofing:

Hackeren tilslutter sig dit lokale netværk med IP-adresse [.rt-script]192.100.2.1[.rt-script] og kører en sniffer, der gør det muligt for dem at se alle IP-pakker i netværket.
Hackeren ønsker at opsnappe din forbindelse til routerens IP-adresse [.rt-script]192.169.2.1[.rt-script], så de leder efter pakker mellem dig og routeren for at forudsige sekvensnummeret.
På det rigtige tidspunkt sender angrebet en pakke fra deres bærbare computer med routerens kildeadresse ([.rt-script]192.169.2.1[.rt-script]) og det korrekte sekvensnummer, hvilket narrer din bærbare computer.
Samtidig oversvømmer angriberen den rigtige router med et denial-of-service (DoS)-angreb, der bremser eller deaktiverer det et øjeblik, så deres pakker kan nå dig, før routeren gør det.
Din bærbare computer er nu overbevist om, at angriberens bærbare computer er routeren, hvilket fuldender man-in-the-middle-angrebet.

Hvad er DNS-spoofing (DNS Cache Poisoning)?

ARP-spoofing og IP-spoofing er begge afhængige af, at angrebet er forbundet til det samme lokale netværk som dig. Med DNS-spoofing kan et angreb komme hvor som helst fra. DNS-spoofing er sværere, fordi det er afhængigt af en sårbar DNS-cache, men det kan påvirke et stort antal mennesker, hvis det lykkes.

DNS (Domain Name System) er det system, der bruges til at oversætte IP-adresser og domænenavne, som at dirigere fra en IP-adresse til [.rt-script]example.com[.rt-script]. Systemet har to primære elementer:

Navneservere (DNS-servere): Navneservere er kilden til autoritative oplysninger og gemmes normalt på to eller tre servere for hvert domæne. IP-adressen for [.rt-script]example.com[.rt-script] gemmes f.eks. på [.rt-script]a.iana-servers.net[.rt-script] og [.rt-script]b.iana-servers.net[.rt-script]. Hvis alle klienter, der ønskede at oprette forbindelse til [.rt-script]example.com[.rt-script], tilsluttede sig [.rt-script]a.iana-servers.net[.rt-script] og [.rt-script]b.iana-servers.net[.rt-script] for at komme til [.rt-script]example.com[.rt-script], ville serverne blive overbelastet. Lokale resolvere til cacheinformation for at undgå serveroverbelastning. Hvis resolveren ikke har IP-adressen cachelagret, vil den kontakte navneserverne og gemme IP-adressen.
Resolvere (DNS-caches): En midlertidig database, der vedligeholdes af en computers operativsystem, og som indeholder registreringer af alle nylige besøg og forsøg på besøg på websteder og andre internetdomæner.

Her er et eksempel på DNS-spoofing:

Angriberen ved, at du bruger [.rt-script]192.0.111.255[.rt-script] som din resolver (DNS-cache).
Attack ved også, at denne resolver er sårbar over for forgiftning.
Angriberen forgifter resolveren og gemmer oplysninger til din banks hjemmeside til deres en falsk hjemmesides IP-adresse.
Når du indtaster din banks websted i browseren, ser du angriberens websted.
Hackeren opretter forbindelse til det oprindelige websted og fuldfører angrebet.

Hvad er HTTPS-spoofing (IDN-homografangreb eller spoofing af webbrowserbjælke)?

Webbrowser-spoofing er en form for typosquatting, hvor en angriber registrerer et domænenavn, der ligner det domæne, du vil oprette forbindelse til. Derefter leverer de den falske URL til brug for andre teknikker som phishing.

Googles sikkerhedsteam mener, at adresselinjen er den vigtigste sikkerhedsindikator i moderne browsere. Det giver den sande identitet af et websted og bekræftelse af, at du er på det rigtige websted.

Et eksempel på forfalskning af adresselinjen var Homograph-sårbarheden, der fandt sted i 2017. Den udnyttede funktionen International Domain Name (IDN), der gør det muligt at skrive domænenavne med fremmede tegn ved hjælp af tegn fra forskellige alfabeter til at narre brugerne.

[.rt-script]xn--80ak6aa92e.com[.rt-script] vil f.eks. blive vist som [.rt-script]аррӏе.com[.rt-script] på grund af IDN, som stort set ikke kan skelnes fra [.rt-script]apple.com[.rt-script]. Dette er siden blevet rettet ved at vise IDN-adresser i ASCII-format.

Hvad er e-mailkapring?

E-mailkapring er, når en angriber kompromitterer en e-mail-konto og i stilhed indsamler oplysninger ved at aflytte e-mailsamtaler. E-mailkapring kan gøre social engineering-angreb meget effektive ved at udgive sig for at være den person, der ejer e-mailen. Denne tilgang bruges ofte til spearphishing.

Hvad er et Man-in-the-Browser Attack?

Et man-in-the-browser-angreb udnytter sårbarheder i webbrowsere som Google Chrome eller Firefox. Trojanske heste, orme, udnyttelser, SQL-injektioner og browsertilføjelser kan alle være angrebsvektorer.

Målet er ofte at fange loginoplysninger, især finansielle servicevirksomheder som dit kreditkortselskab eller bankkonto. Når du logger ind på webstedet, registrerer man-in-the-browser dine legitimationsoplysninger for at overføre penge og ændre det, du ser, for at skjule transaktionen.

Hvad er Wi-Fi-aflytning?

Hvis du nogensinde har logget ind på et offentligt Wi-Fi-adgangspunkt på en café eller lufthavn, har du måske bemærket en pop-up, der sagde Dette netværk er ikke sikkert.

Ukrypterede Wi-Fi-forbindelser er nemme at aflytte. Det er som at have en samtale på et offentligt sted, hvor alle kan lytte med. Du kan begrænse din eksponering ved at indstille dit netværk til offentligt, hvilket deaktiverer Network Discovery og forhindrer andre brugere på netværket i at få adgang til din enhed.

Et andet eksempel på Wi-Fi-aflytning er, når en angriber opretter sit eget Wi-Fi-hotspot, kaldet en Evil Twin. De får forbindelsen til at se identisk ud med den autentiske, ned til netværks-id'et og adgangskoden. Brugere kan ved et uheld eller automatisk oprette forbindelse til den onde tvilling, hvilket giver angriberen mulighed for at aflytte deres aktivitet.

Hvad er SSL-kapring?

SSL-kapring er, når en angriber opsnapper en forbindelse og genererer SSL/TLS-certifikater for alle domæner, du besøger. De præsenterer det falske certifikat for dig, opretter en forbindelse til den originale server og videresender derefter trafikken videre.

Dette angreb virker kun, hvis hackeren er i stand til at få din browser til at tro, at certifikatet er signeret af en betroet certifikatmyndighed (CA). Ellers vil din browser vise en advarsel eller nægte at åbne siden.

Sådan fungerer SSL-kapring:

Angriberen bruger et separat cyberangreb til at få dig til at downloade og installere deres CA.
Når du besøger et sikkert websted, f.eks. din bank, opsnapper hackeren din forbindelse.
Hackeren genererer et certifikat til din bank, underskriver det med deres CA og serverer webstedet tilbage til dig.
Din browser tror, at certifikatet er ægte, fordi angrebet har narret din computer til at tro, at CA'en er en pålidelig kilde.
Angriberen opretter forbindelse til din bank og videresender al SSL-trafik gennem dem.

SSL-kapring kan bruges til legitime formål. For eksempel bruger forældrekontrolsoftware ofte SSL-kapring til at blokere websteder.

Hvad er SSL-stripping?

SSL-stripping eller et SSL-nedgraderingsangreb er et angreb, der bruges til at omgå den sikkerhed, der håndhæves af SSL-certifikater på HTTPS-aktiverede websteder.

Når du går til webstedet, opretter din browser forbindelse til det usikre websted (HTTP) og omdirigeres derefter generelt til det sikre websted (HTTPS). Hvis webstedet er tilgængeligt uden kryptering, kan en hacker opsnappe dine pakker og gennemtvinge en HTTP-forbindelse, der kan afsløre loginoplysninger eller andre følsomme oplysninger for hackeren.

Risikoen for denne type angreb reduceres, da flere websteder bruger HTTP Strict Transport Security (HSTS), hvilket betyder, at serveren nægter at oprette forbindelse via en usikker forbindelse, selvom der stadig er nogle risikofaktorer for HSTS-opsætning.

SSL/TSL-sårbarheder

Ældre versioner af SSL og TLS er sårbare over for udnyttelser, men du kan styrke svag SSL.

Hvad er en sessionskapring?

Session-kapring er en type angreb, der typisk kompromitterer sociale mediekonti. De fleste sociale medier gemmer en sessionsbrowsercookie på din maskine. Denne cookie bliver derefter ugyldig, når du logger ud. Men mens sessionen er aktiv, giver cookien identitets-, adgangs- og sporingsoplysninger.

Når en hacker stjæler en sessionscookie via malware, browser hijacking eller et cross-site scripting-angreb (XSS) på en populær webapplikation med ondsindet JavaScript, kan vedkommende derefter logge på din konto for at lytte med på samtaler eller udgive sig for at være dig.

Andre metoder til man-in-the-middle-angreb

Der er flere metoder for angribere til at placere sig mellem dig og din slutdestination. Disse metoder falder normalt i en af tre kategorier:

Serverkompromittering: Angriberen får kontrol over den server, du vil oprette forbindelse til, og placerer sin egen software på serveren for at opsnappe forbindelser.
Klientkompromittering: Angriberen får adgang til din maskine og installerer en trojansk hest eller anden form for malware, der giver dem mulighed for at lytte med på alle dine forbindelser.
Kompromittering af kommunikation: Hackeren overtager en maskine, der dirigerer oplysninger mellem dig og serveren.

Man-in-the-middle-angrebsdetektion og -forebyggelse

Der er mange typer man-in-the-middle-angreb, og nogle er svære at opdage. Den bedste modforanstaltning mod man-in-the-middle-angreb er at forhindre dem. Selvom det er svært at forhindre en angriber i at opsnappe din forbindelse, hvis de har adgang til dit netværk, kan du sikre dig, at din kommunikation er stærkt krypteret.

Her er nogle generelle tips, du kan følge:

VPN (Virtual Private Network): Konfigurer en VPN til at kryptere din webtrafik og begrænse en angribers mulighed for at læse eller ændre kommunikation.
Netværksindtrængningsdetektionssystem (NIDS): NIDS er placeret på strategiske punkter i et netværk for at overvåge trafik til og fra alle enheder på netværket. Den udfører analyse af overførsel af trafik på hele undernettet og matcher den trafik, der overføres på undernettene, til biblioteket med kendte angreb. Når et angreb er identificeret, eller der er fundet unormal adfærd, kan der sendes en advarsel til en cybersikkerhedsekspert.
Firewall: En stærk firewall kan forhindre uautoriseret adgang.
Antivirus og anti-malware: Installer en antivirus- og anti-malware-softwarepakke, der inkluderer en scanner, der kører på din systemstart for at forhindre man-in-the-middle-angreb, der er afhængige af malware.
To-faktor-godkendelse: Brug to-faktor-godkendelse, der kræver en ekstra godkendelsesvektor ud over din adgangskode for at forhindre e-mail-kapring.
Forstå almindelige phishing-svindel: Phishing-e-mails er en almindelig angrebsvektor. Download kun vedhæftede filer i mails, når du ved, at de er fra en kontakt, du har tillid til.
Log af: Log ud af alle ubrugte konti for at ugyldiggøre sessionscookies og forhindre sessionskapring.
Tænk over, hvad du installerer: Installer kun browsertilføjelser og software, som du ved er fra en velrenommeret kilde.
Gennemtving kryptering: Undgå at dele følsomme oplysninger på websteder uden HTTPS.
Installer HTTPS overalt: Gennemtving SSL-forbindelser, når det er muligt.
Brug en adgangskodeadministrator: Undgå automatisk udfyldning af adgangskoder på ondsindede websteder.
Undgå offentlige Wi-Fi-netværk: Hvis du skal bruge offentligt Wi-Fi, skal du konfigurere din enhed til at kræve manuel forbindelse.
Patch software og hardware: Hold dine værktøjer opdaterede for at undgå man-in-the-middle-angreb, der udnytter kendte sårbarheder.
Brug sikre DNS-servere (DNS-cache): Sørg for, at de DNS-servere (DNS-cache), du bruger, er sikre.
Applikationssikkerhed: Hvis du har et websted eller en applikation, skal du regelmæssigt scanne for sårbarheder og løse problemer.

Bemærkelsesværdige man-in-the-middle-angreb

Babington-komplottet: I 1586 var der en plan om at myrde dronning Elizabeth I og sætte Mary, dronning af Skottland på den engelske trone. Kommunikationen mellem Mary, dronning af Skottland og hendes medsammensvorne blev opsnappet, afkodet og ændret af Robert Poley, Gilbert Gifford og Thomas Phelippes, hvilket førte til henrettelsen af dronningen af Skottland.

Belkin: I 2003 blev et ikke-kryptografisk angreb begået af en trådløs Belkin-netværksrouter. Med jævne mellemrum overtog den HTTP-forbindelsen, der blev dirigeret gennem den, undlod at sende trafikken til destinationen og reagerede som den tilsigtede server. I det svar, som den sendte, ville den erstatte den webside, som brugeren anmodede om, med en reklame for et andet Belkin-produkt. Dette problem blev senere løst.

DigiNotar: I 2011 resulterede et DigiNotar-sikkerhedsbrud i svigagtig udstedelse af certifikater, der derefter blev brugt til at udføre man-in-the-middle-angreb.

Nokia: I 2013 blev Nokias Xpress Browser afsløret for at dekryptere HTTPS-trafik og give klartekstadgang til sine kunders krypterede trafik.

Equifax: I 2017 trak Equifax sine mobiltelefonapps tilbage på grund af man-in-the-middle-sårbarhedsproblemer.

UpGuards platform kan hjælpe dig med at forstå, hvilke af dine websteder der er modtagelige for man-in-the-middle-angreb, og hvordan du løser deres sårbarheder. UpGuard BreachSight kan hjælpe med at bekæmpe typosquatting, forhindre databrud og datalækager, så du kan undgå lovmæssige bøder og beskytte dine kunders tillid gennem cybersikkerhedsvurderinger og kontinuerlig eksponeringsdetektion.

Vi kan også hjælpe dig med løbende at overvåge, bedømme og sende sikkerhedsspørgeskemaer til dine leverandører for at kontrollere tredjepartsrisici og fjerdepartsrisici og forbedre din sikkerhedsstilling samt automatisk oprette en opgørelse, håndhæve politikker og opdage uventede ændringer i din it-infrastruktur. Hjælper dig med at skalere dine processer for leverandørrisikostyring, tredjepartsrisikostyring og risikovurdering af cybersikkerhed.