Czym jest Atak man-in-the-middle?
Atak man-in-the-middle (MITM) to cyberatak, w którym atakujący potajemnie przechwytuje — i potencjalnie modyfikuje — komunikację między dwiema stronami przekonanymi, że komunikują się bezpośrednio ze sobą.
Znane również jako: MITM, MITM attack, on-path attack
Ataki man-in-the-middle wykorzystują wrodzone zaufanie do komunikacji sieciowej. Atakujący ustawia się między klientem a serwerem, często przez skompromitowanie węzła sieciowego, zatruwanie tabel DNS lub ARP lub tworzenie fałszywego punktu dostępu Wi-Fi. Będąc na pozycji, może podsłuchiwać ruch, kraść poświadczenia, wstrzykiwać złośliwą treść lub modyfikować dane podczas przesyłu bez żadna ze stron zauważając ingerencji.
TLS/SSL to główna obrona przed atakami man-in-the-middle w sieci. Po prawidłowej implementacji z walidacją certyfikatów TLS tworzy uwierzytelniony, zaszyfrowany kanał uniemożliwiający pośrednikowi odczytanie lub zmodyfikowanie danych. TLS chroni jednak tylko dane podczas transportu między klientem a serwerem — nie uniemożliwia samemu serwerowi odczytania danych po odszyfrowaniu.
Dla naprawdę wrażliwych informacji szyfrowanie end-to-end zapewnia silniejszą gwarancję. Nawet jeśli atakujący skompromituje połączenie TLS lub infrastrukturę serwera, nie może uzyskać dostępu do jawnych danych, ponieważ tylko zamierzony odbiorca posiada klucz deszyfrujący. To podejście obrony wielowarstwowej — TLS dla bezpieczeństwa transportu i szyfrowanie end-to-end dla poufności danych — jest uważane za najlepszą praktykę dla wartościowych sekretów.
Jak Vaulted używa Atak man-in-the-middle
Vaulted broni się przed atakami man-in-the-middle przez dwie warstwy. Po pierwsze, cały ruch jest dostarczany przez TLS, co zapobiega przechwytywaniu na poziomie sieci. Po drugie — i ważniejsze — Vaulted używa szyfrowania end-to-end po stronie klienta z AES-256-GCM: klucz szyfrujący nigdy nie jest przesyłany do serwera i istnieje tylko we fragmencie URL (który przeglądarki nie wysyłają w żądaniach HTTP). Nawet jeśli atakujący przechwytuje komunikację z serwerem, otrzymuje tylko szyfrogram bez środków do jego odszyfrowania.