session hijacking (tsz. session hijackings)
Egy népszerű módszer a forrás által irányított IP-csomagok használata. Ez lehetővé teszi a hálózat B pontjában lévő támadó számára , hogy részt vegyen A és C közötti beszélgetésben azáltal, hogy arra ösztönzi az IP-csomagokat, hogy áthaladjanak B gépén.
Ha a forrás-útválasztás ki van kapcsolva, a támadó "vak" eltérítést alkalmazhat, ami során kitalálja a két gép válaszait. Így a támadó küldhet parancsot, de soha nem láthatja a választ. Azonban egy gyakori parancs egy jelszó beállítása, amely lehetővé teszi a hozzáférést a neten máshonnan.
A támadó „inline” is lehet A és C között egy szimatoló programmal a beszélgetés figyelésére. Ezt "ember-in-the-middle támadásnak" nevezik.
A HTTP története A HTTP protokoll 0.8 és 0.9 verzióiból hiányoztak a cookie-k és a munkamenet-eltérítéshez szükséges egyéb szolgáltatások. A Mosaic Netscape 1994. október 13-án kiadott 0.9beta verziója támogatta a cookie-kat.
A HTTP 1.0 korai verzióinak volt néhány biztonsági hiányossága a munkamenet-eltérítéssel kapcsolatban, de ezeket nehéz volt kihasználni a legtöbb korai HTTP 1.0 szerver és böngésző szeszélyei miatt. Mivel a HTTP 1.0-t a 2000-es évek eleje óta a HTTP 1.1 tartalékaként jelölték ki – és mivel a HTTP 1.0-s kiszolgálók mind alapvetően HTTP 1.1-es kiszolgálók, a munkamenet-eltérítési probléma szinte állandó biztonsági kockázattá nőtte ki magát.
A szupercookie-k és egyéb szolgáltatások bevezetése a modernizált HTTP 1.1-ben lehetővé tette, hogy a gépeltérítési probléma folyamatos biztonsági problémává váljon. A webszerver és böngésző állapotú gép szabványosítása hozzájárult ehhez a folyamatos biztonsági problémához.
Mód Négy fő módszer létezik a munkamenet-eltérítés elkövetésére. Ezek a következők:
Munkamenetrögzítés , ahol a támadó beállítja a felhasználó munkamenet-azonosítóját az általa ismertre, például úgy, hogy egy e-mailt küld a felhasználónak egy hivatkozással, amely egy adott munkamenet-azonosítót tartalmaz. A támadónak most csak meg kell várnia, amíg a felhasználó bejelentkezik. Munkamenetoldali feltörés , ahol a támadó csomagszippantással olvassa be a két fél közötti hálózati forgalmat, hogy ellopja a munkamenet- cookie-t . Sok webhely SSL- titkosítást használ a bejelentkezési oldalakon, hogy megakadályozza, hogy a támadók lássák a jelszót, de a hitelesítés után nem használ titkosítást a webhely többi részére . Ez lehetővé teszi a hálózati forgalmat olvasni tudó támadók számára, hogy elkapják a szerverre küldött összes adatot vagy az ügyfél által megtekintett weboldalakat. Mivel ezek az adatok magukban foglalják a munkamenet -cookie-t , lehetővé teszi számukra, hogy kiadják magukat az áldozatnak, még akkor is, ha magát a jelszót nem sértették fel. A nem biztonságos Wi-Fi hotspotok különösen sérülékenyek, mivel a hálózatot megosztók általában elolvashatják a többi csomópont és a hozzáférési pont közötti webes forgalom nagy részét . Webhelyek közötti szkriptelés , ahol a támadó ráveszi a felhasználó számítógépét, hogy olyan kódot futtasson, amelyet megbízhatónak tekintenek, mert úgy tűnik, hogy a kiszolgálóhoz tartozik, lehetővé téve a támadó számára a cookie másolatának beszerzését vagy egyéb műveletek végrehajtását. A rosszindulatú programok és a nemkívánatos programok a böngésző eltérítésével afelhasználó tudta nélkül ellophatják a böngésző cookie-jait, majd a felhasználó tudta nélkül hajthatnak végre műveleteket (például Android-alkalmazások telepítését). A fizikai hozzáféréssel rendelkező támadó egyszerűen megpróbálhatja ellopni a munkamenet kulcsát , például megszerezheti a felhasználó számítógépének vagy a szerverének megfelelő részének fájl- vagy memóriatartalmát. A megfelelő munkamenet-cookie-k sikeres beszerzése után az ellenfél befecskendezi a munkamenet-cookie-t a böngészőjébe, hogy kiadja magát az áldozat felhasználójának azon a webhelyen, ahonnan a munkamenet-sütit ellopták.
A támadók által használt eszközök A támadók gyakran speciális eszközökre támaszkodnak a munkamenet-eltérítő támadások végrehajtásához. Az egyik ilyen eszköz a Firesheep , a 2010 októberében bevezetett Firefox-bővítmény. A Firesheep munkamenet-eltérítési sebezhetőségeket mutatott be a nem biztonságos hálózatokban azáltal, hogy titkosított cookie-kat rögzített a népszerű webhelyekről, lehetővé téve a felhasználók számára, hogy átvegyék mások aktív munkameneteit ugyanazon a hálózaton. Az eszköz úgy működött, hogy a potenciális célpontokat oldalsávban jelenítette meg, lehetővé téve a munkamenethez való hozzáférést jelszólopás nélkül.
Egy másik széles körben használt eszköz a Wireshark , egy hálózati protokollelemző, amely lehetővé teszi a támadók számára, hogy figyeljék és elfogják az adatcsomagokat a nem biztonságos hálózatokon. Ha egy webhely nem titkosítja a munkamenet cookie-jait vagy hitelesítési tokenjeit, a támadók kivonhatják azokat, és felhasználhatják őket arra, hogy jogosulatlan hozzáférést szerezzenek az áldozat fiókjához.
Kizsákmányolás Tűzbirka A Firesheep , a 2010 októberében bevezetett Firefox- bővítmény munkamenet-eltérítéssel kapcsolatos sebezhetőségeket mutatott be nem biztonságos hálózatokban. Titkosítatlan cookie-kat rögzített a népszerű webhelyekről, lehetővé téve a felhasználók számára, hogy átvegyék mások aktív munkameneteit ugyanazon a hálózaton. Az eszköz úgy működött, hogy a potenciális célpontokat oldalsávban jelenítette meg, lehetővé téve a munkamenethez való hozzáférést jelszólopás nélkül. A támogatott webhelyek közé tartozott a Facebook , a Twitter , a Flickr , az Amazon , a Windows Live és a Google , amelyek képesek voltak szkriptek használatával más webhelyeket hozzáadni. Csak hónapokkal később a Facebook és a Twitter úgy válaszolt, hogy mindvégig felajánlotta (és később megkövetelte) a HTTP Secure-t .
DroidSheep A DroidSheep egy egyszerű Android-eszköz a webes munkamenet-eltérítéshez (sidejacking). Figyeli a vezeték nélküli (802.11) hálózati kapcsolaton keresztül küldött HTTP-csomagokat, és kivonja a munkamenet-azonosítót ezekből a csomagokból, hogy újra felhasználhassa őket. A DroidSheep a libpcap könyvtár segítségével rögzítheti a munkameneteket, és támogatja: nyílt (titkosítatlan) hálózatokat, WEP-titkosított hálózatokat és WPA/WPA2-titkosított hálózatokat (csak PSK). Ez a szoftver libpcap-et és arpspoof-ot használ. Az apk-t elérhetővé tették a Google Playen, de a Google eltávolította.
CookieCadger A CookieCadger egy grafikus Java-alkalmazás, amely automatizálja a HTTP-kérések oldaljavítását és visszajátszását, hogy segítsen azonosítani a titkosítatlan GET-kéréseket használó alkalmazásokból származó információszivárgást. Ez egy többplatformos nyílt forráskódú segédprogram, amely a Wireshark csomagon alapul, amely képes figyelni a vezetékes Ethernetet, a nem biztonságos Wi-Fi-t, vagy betölteni egy csomagrögzítő fájlt offline elemzéshez. A Cookie Cadgert arra használták, hogy kiemeljék az ifjúsági csapatmegosztó oldalak, például a Shutterfly (az AYSO futballliga által használt) és a TeamSnap gyengeségeit.
CookieMonster A CookieMonster egy „ man-in-the-middle” kizsákmányolás, amellyel egy harmadik fél HTTPS-cookie- adatokhoz juthat, ha a „Csak titkosított munkamenetek” tulajdonság nincs megfelelően beállítva. Ez lehetővé teheti a bizalmas személyes vagy pénzügyi információkat tartalmazó webhelyekhez való hozzáférést. 2008-ban ez hatással lehet a nagyobb webhelyekre, köztük a Gmailre, a Google Docsra, az eBayre, a Netflixre, a CapitalOne-ra, az Expediára.
Ez egy Python alapú eszköz, amelyet Mike Perry biztonsági kutató fejlesztett ki. Perry eredetileg 2007-ben jelentette be a CookieMonster által a BugTraq- on kihasznált sebezhetőséget. Egy évvel később a Defcon 16-on bemutatta a CookieMonstert , mint a koncepció bizonyítékát .
Megelőzés A munkamenet-eltérítés megelőzésére szolgáló módszerek a következők:
A felek között áthaladó adatforgalom titkosítása SSL / TLS használatával ; különösen a munkamenet kulcsát (bár ideális esetben a teljes munkamenet teljes forgalmát ). Ezt a technikát széles körben alkalmazzák a webalapú bankok és más e-kereskedelmi szolgáltatások, mert teljesen megakadályozza a szippantás jellegű támadásokat. Azonban továbbra is lehetséges más típusú munkamenet-eltérítés végrehajtása. Válaszul a nijmegeni Radboud Egyetem tudósai 2013-ban egy módszert javasoltak a munkamenet-eltérítés megelőzésére az alkalmazási munkamenet és az SSL / TLS hitelesítő adatokkal való összefüggésbe hozásával . Hosszú véletlen szám vagy karakterlánc használata munkamenetkulcsként . Ez csökkenti annak a kockázatát, hogy a támadó egyszerűen kitaláljon egy érvényes munkamenet-kulcsot próba-hibával vagy brutális erőszakos támadásokkal. A munkamenet azonosítójának újragenerálása sikeres bejelentkezés után. Ez megakadályozza a munkamenet-rögzítést , mivel a támadó nem ismeri a felhasználó munkamenet-azonosítóját, miután bejelentkezett. Egyes szolgáltatások másodlagos ellenőrzéseket végeznek a felhasználó személyazonosságával szemben. Például egy webszerver minden egyes kérésnél ellenőrizheti, hogy a felhasználó IP-címe megegyezik-e az adott munkamenet során utoljára használt IP-címmel. Ez azonban nem akadályozza meg az azonos IP-címmel rendelkező személyek támadásait, és frusztráló lehet azon felhasználók számára, akiknek IP-címe megváltozhat a böngészés során . Alternatív megoldásként egyes szolgáltatások minden egyes kéréssel módosítják a cookie értékét. Ez jelentősen lecsökkenti a támadó működési időtartamát, és megkönnyíti annak azonosítását, hogy megtörtént-e a támadás, de egyéb technikai problémákat is okozhat (például ugyanazon kliens két jogos, szorosan időzített kérése tokenellenőrzési hibához vezethet a szerveren). Előfordulhat, hogy a felhasználók kijelentkezhetnek a webhelyekről, amikor befejezték a használatukat. Ez azonban nem véd az olyan támadások ellen, mint például a Firesheep .