Co to jest Man in the Middle?

Man in the Middle, często skracany do MITM, to typ cyberataku, w którym osoba trzecia przechwytuje komunikację między nadawcą a odbiorcą. Obie strony mogą mieć wrażenie, że rozmawiają bezpośrednio ze sobą, ale w tle dane przechodzą przez atakującego. Atakujący może podsłuchiwać dane, przechwytywać loginy, odczytywać wiadomości, a w niektórych scenariuszach także zmieniać treść przesyłanych informacji.

Najprostszy przykład? Użytkownik myśli, że łączy się bezpośrednio ze stroną banku, panelem sklepu albo pocztą firmową. W rzeczywistości część komunikacji przechodzi przez urządzenie, serwer lub fałszywy punkt dostępu kontrolowany przez atakującego. Atak MITM może dotyczyć przeglądania stron, logowania do panelu administracyjnego, korzystania z poczty, połączeń w publicznej sieci Wi-Fi, komunikacji aplikacji mobilnych, a także pracy z systemami firmowymi. Szczególnie niebezpieczny jest tam, gdzie przesyłane są hasła, tokeny sesji, dane osobowe, numery kart płatniczych lub informacje biznesowe.

W praktyce Man in the Middle nie zawsze oznacza, że atakujący od razu widzi wszystko w czytelnej formie. Jeśli połączenie jest poprawnie szyfrowane, przechwycone dane powinny pozostać nieczytelne. Problem zaczyna się wtedy, gdy użytkownik korzysta z niezabezpieczonego HTTP, akceptuje fałszywy certyfikat, łączy się z podrobioną siecią Wi-Fi albo trafia na stronę podszywającą się pod prawdziwy serwis.

Jak działa atak MITM?

Atak Man in the Middle zwykle składa się z dwóch etapów. Najpierw atakujący musi znaleźć sposób, aby przejąć lub przekierować ruch. Później próbuje go odczytać, zapisać, zmodyfikować albo wykorzystać do dalszego ataku.

Może to wyglądać tak: użytkownik siedzi w kawiarni i łączy się z otwartą siecią Wi-Fi o znajomo brzmiącej nazwie. Sieć została jednak utworzona przez cyberprzestępcę. Gdy użytkownik zaczyna przeglądać strony lub logować się do usług, atakujący obserwuje ruch przechodzący przez jego punkt dostępu.

Inny scenariusz dotyczy manipulacji DNS. Jeśli użytkownik zostanie przekierowany na fałszywą stronę, może wpisać login i hasło w miejscu, które tylko wygląda jak prawdziwy panel. W tym kontekście warto znać także hasło DNSSEC, ponieważ dotyczy ono ochrony odpowiedzi DNS przed podrobieniem.

Co może zrobić atakujący?

• Podsłuchiwać ruch, jeśli dane są przesyłane bez szyfrowania.
• Przechwycić dane logowania, token sesji lub zawartość formularza.
• Zmienić treść komunikacji, na przykład podmienić link, numer rachunku lub odpowiedź aplikacji.
• Przekierować użytkownika na fałszywą stronę, która udaje prawdziwy serwis.
• Wymusić słabszy wariant połączenia, jeśli serwis nie ma poprawnie skonfigurowanego HTTPS i HSTS.

Dla właściciela strony podstawą jest poprawna konfiguracja szyfrowania na całej witrynie. Dotyczy to zarówno strony firmowej na hosting www, jak i sklepu internetowego, panelu klienta, formularza kontaktowego czy poczty w domenie.

Najczęstsze przykłady ataku Man in the Middle

MITM nie jest jedną konkretną sztuczką. To raczej grupa technik, które mają wspólny cel: wejść pomiędzy użytkownika i usługę, z której korzysta.

Fałszywa sieć Wi-Fi

Atakujący tworzy sieć o nazwie podobnej do tej, której spodziewa się użytkownik. Może to być nazwa kawiarni, hotelu, lotniska albo biura. Po połączeniu z taką siecią część ruchu przechodzi przez sprzęt przestępcy.

SSL stripping

To próba obniżenia poziomu bezpieczeństwa połączenia. Atakujący chce, aby użytkownik zamiast bezpiecznego HTTPS korzystał z niezabezpieczonego HTTP. Dobrze skonfigurowany HSTS mocno ogranicza takie ryzyko, ponieważ przeglądarka zapamiętuje, że dana domena ma działać wyłącznie przez HTTPS.

DNS spoofing

W tym scenariuszu użytkownik wpisuje prawidłowy adres, ale zostaje skierowany na inny serwer. Dlatego bezpieczeństwo zaczyna się już od warstwy domeny. Gdy planujesz domeny dla marki, sklepu lub panelu klienta, zadbaj nie tylko o nazwę, ale też o ich ochronę, odnowienie i prawidłową konfigurację DNS.

Przejęcie sesji

Jeśli atakujący zdobędzie plik cookie lub token sesji, może spróbować podszyć się pod zalogowanego użytkownika bez znajomości jego hasła. Ryzyko rośnie przy braku szyfrowania, błędnej konfiguracji ciasteczek i korzystaniu z niezaufanych sieci.

Jak rozpoznać ryzyko MITM?

Atak Man in the Middle bywa trudny do zauważenia, bo jego celem jest działanie w tle. Są jednak sygnały, które powinny wzbudzić czujność.

• Strona logowania nie korzysta z HTTPS.
• Przeglądarka pokazuje ostrzeżenie o certyfikacie.
• Adres strony wygląda podobnie do prawdziwego, ale zawiera literówkę lub dodatkowy znak.
• Publiczna sieć Wi-Fi nie wymaga hasła albo ma kilka podobnych nazw.
• Po kliknięciu linku trafiasz na panel logowania, którego wygląd różni się od zwykle używanego.
• Połączenie zrywa się lub przeglądarka nagle prosi o ponowne logowanie.

Warto wiedzieć: MITM może łączyć się z phishingiem. Phishing zwykle polega na nakłonieniu użytkownika do wejścia na fałszywą stronę lub podania danych. MITM koncentruje się na przechwyceniu komunikacji. W praktyce te techniki mogą występować razem.

Jak chronić się przed Man in the Middle?

Ochrona przed MITM wymaga działań po obu stronach. Użytkownik powinien ostrożnie korzystać z sieci i sprawdzać, gdzie podaje dane. Właściciel strony powinien zadbać o techniczną stronę połączenia, certyfikaty, przekierowania, nagłówki i aktualizacje.

Ochrona dla użytkownika

• Nie wpisuj haseł na stronach bez HTTPS.
• Nie ignoruj ostrzeżeń przeglądarki o certyfikacie.
• Nie loguj się do ważnych usług przez przypadkowe, otwarte Wi-Fi.
• Używaj unikalnych haseł i menedżera haseł.
• Włącz 2FA wszędzie tam, gdzie to możliwe.
• Sprawdzaj domenę, szczególnie po kliknięciu linku z maila lub SMS-a.

Dobrym uzupełnieniem jest edukacja dotycząca haseł. Przydatny będzie wpis jak stworzyć dobre, skuteczne hasło, zwłaszcza jeśli zarządzasz wieloma kontami firmowymi. Skorzystaj z naszego generatora haseł i zyskaj bezpieczne hasło!

Ochrona dla właściciela strony

Właściciel strony powinien zacząć od poprawnie wdrożonego HTTPS na całej witrynie. Dotyczy to strony głównej, panelu logowania, formularzy, koszyka, płatności, subdomen i zasobów statycznych. Jeśli prowadzisz serwis na hosting wordpress, zwróć szczególną uwagę na panel administracyjny, wtyczki, przekierowania i aktualność motywu.

• Wymuś HTTPS na całej stronie, nie tylko na formularzu logowania.
• Skonfiguruj przekierowanie z HTTP na HTTPS.
• Rozważ HSTS po upewnieniu się, że wszystkie subdomeny działają poprawnie po HTTPS.
• Ustaw bezpieczne atrybuty ciasteczek, takie jak Secure i HttpOnly.
• Dbaj o aktualizacje CMS-a, wtyczek i bibliotek.
• Monitoruj certyfikat, aby uniknąć przerwy w działaniu bezpiecznego połączenia.

Chcesz zwiększyć bezpieczeństwo strony i lepiej chronić dane użytkowników? Zacznij od poprawnego szyfrowania połączenia, a potem uzupełnij je o dobre praktyki administracyjne.