Wyobraź sobie, że logujesz się do banku albo wysyłasz firmowy plik, a po drodze ktoś niewidoczny dla obu stron przechwytuje rozmowę. Atak man in the middle, określany też jako MITM, polega właśnie na wstawieniu napastnika między urządzenie użytkownika a serwer lub drugą osobę. Wyjaśniam, jak działa ten mechanizm, gdzie najczęściej się pojawia, jakie może mieć skutki oraz co zrobić, aby ograniczyć ryzyko w domu, firmie i aplikacjach Python.
MITM wykorzystuje zaufanie do sieci i komunikacji
- Mechanizm polega na przechwyceniu lub modyfikowaniu komunikacji między dwiema stronami.
- Najczęstsze scenariusze obejmują fałszywe sieci Wi-Fi, podszywanie się pod DNS oraz przejęcie sesji.
- HTTPS i TLS znacząco utrudniają odczyt danych, ale nie chronią przed każdym błędem użytkownika.
- Uwierzytelnianie wieloskładnikowe ogranicza skutki kradzieży hasła, choć nie rozwiązuje wszystkich problemów.
- Ostrzeżenia certyfikatu należy traktować poważnie, a nie omijać automatycznie.
Jak działa atak typu man in the middle
W zwykłej komunikacji laptop łączy się z serwerem banku, pocztą albo API bezpośrednio. W scenariuszu MITM napastnik staje pomiędzy tymi punktami i przekazuje wiadomości dalej, tak aby każda ze stron sądziła, że rozmawia z właściwym odbiorcą.
Nie zawsze chodzi o samo czytanie danych. Najgroźniejsza jest możliwość ich zmiany, na przykład podmiana numeru rachunku w przelewie, przekierowanie na inną stronę logowania albo wstrzyknięcie złośliwego kodu do odpowiedzi serwera. NIST opisuje ten rodzaj zagrożenia jako aktywne podsłuchiwanie, w którym napastnik może także podszyć się pod jedną ze stron komunikacji.
Prosty przykład z publicznym Wi-Fi
Napastnik uruchamia sieć o nazwie przypominającej hotelowe Wi-Fi, na przykład „Hotel_Guest_Free”. Telefon łączy się z nią automatycznie, a przestępca przekazuje ruch do internetu i obserwuje, z jakich usług korzysta ofiara.
Jeżeli strona używa poprawnie skonfigurowanego HTTPS, treść połączenia powinna pozostać zaszyfrowana. Ryzyko rośnie jednak wtedy, gdy użytkownik akceptuje ostrzeżenie o certyfikacie, korzysta z nieaktualnego systemu albo loguje się do usługi bez szyfrowania.
Dlaczego ofiara może niczego nie zauważyć
Pośrednik może przekazywać większość danych bez zmian, dlatego internet działa pozornie normalnie. Czasem jedynym sygnałem jest krótkie rozłączenie, ponowne logowanie, nietypowy adres strony albo ostrzeżenie przeglądarki.
W praktyce sama kłódka przy adresie strony nie wystarcza do oceny bezpieczeństwa. Potwierdza szyfrowanie połączenia z określoną domeną, ale nie odpowiada na pytanie, czy użytkownik trafił tam przez właściwy link i czy jego urządzenie nie jest już zainfekowane.
Najczęstsze odmiany tego zagrożenia
MITM nie jest jednym narzędziem, lecz całą grupą technik. Wspólny pozostaje cel, czyli przejęcie kontroli nad drogą komunikacji albo stworzenie wrażenia, że napastnik jest prawowitym uczestnikiem rozmowy.
| Odmiana | Gdzie występuje | Co może zrobić napastnik |
|---|---|---|
| Fałszywy punkt dostępowy | Hotele, lotniska, kawiarnie | Przekierować ruch i zbierać dane z niezabezpieczonych połączeń |
| ARP spoofing | Lokalna sieć firmowa lub domowa | Przekonać urządzenia, że komputer napastnika jest routerem |
| DNS spoofing | Sieci z przejętym routerem lub serwerem DNS | Skierować użytkownika na fałszywy adres |
| SSL stripping | Starsze lub źle skonfigurowane serwisy | Próbować zamienić połączenie HTTPS na HTTP |
| Przejęcie sesji | Usługi webowe i aplikacje | Wykorzystać skradziony identyfikator sesji bez znajomości hasła |
Fałszywa sieć Wi-Fi i tak zwany evil twin
To jeden z najbardziej zrozumiałych scenariuszy. Nazwa „evil twin” oznacza sieć podszywającą się pod prawdziwy punkt dostępowy. Napastnik może użyć nazwy lotniska, restauracji albo biura i liczyć na to, że urządzenia automatycznie połączą się z silniejszym sygnałem.
Największy błąd polega na założeniu, że sieć wymagająca hasła musi być bezpieczna. Hasło do Wi-Fi nie potwierdza tożsamości punktu dostępowego. Warto sprawdzić nazwę sieci u obsługi, wyłączyć automatyczne łączenie i nie wykonywać w takiej sieci operacji finansowych.
Podszywanie się pod DNS i router
DNS zamienia nazwę domeny na adres serwera. Jeżeli napastnik zmieni tę odpowiedź, użytkownik może wpisać poprawny adres, a mimo to trafić na kopię serwisu. Podobnie działa ARP spoofing, w którym urządzenia w tej samej sieci otrzymują fałszywą informację o tym, gdzie znajduje się brama internetowa.
Te metody są szczególnie groźne dla firm, ponieważ atakujący nie musi atakować każdego komputera osobno. Wystarczy, że uzyska pozycję pośrednika w jednej sieci i przechwyci ruch wielu użytkowników.
Przejęcie sesji i modyfikacja transakcji
Jeżeli przestępca zdobędzie token sesyjny, może uzyskać dostęp do już otwartej usługi bez wpisywania hasła. W przypadku poczty lub panelu administracyjnego skutki bywają poważniejsze niż sama kradzież danych, bo napastnik może wykorzystać konto do dalszych oszustw.
W atakach na płatności szczególnie ważna jest weryfikacja odbiorcy poza samą treścią wiadomości. Zmiana numeru rachunku w e-mailu lub komunikatorze może wyglądać wiarygodnie, zwłaszcza gdy przestępca wcześniej obserwował korespondencję.
Jak rozpoznać przechwycenie komunikacji
Nie istnieje jeden objaw, który zawsze potwierdza atak. Trzeba szukać zestawu sygnałów i reagować na te, które dotyczą tożsamości serwera, sieci albo niespodziewanych zmian w sesji.
- przeglądarka pokazuje ostrzeżenie o certyfikacie lub niezgodnej domenie,
- adres strony zmienia się na podobny, ale z inną literą lub końcówką,
- urządzenie łączy się z nieznaną siecią Wi-Fi,
- konto nagle wymaga ponownego logowania w wielu aplikacjach,
- pojawiają się nieoczekiwane zmiany w przelewach, wiadomościach lub ustawieniach konta,
- system bezpieczeństwa zgłasza zmianę certyfikatu, DNS albo konfiguracji proxy.
Sam fakt korzystania z publicznego Wi-Fi nie dowodzi ataku. Z drugiej strony brak widocznych problemów też go nie wyklucza, ponieważ dobrze przygotowany pośrednik może działać cicho. Najbardziej wiarygodne są logi i alerty bezpieczeństwa, a nie subiektywne wrażenie, że strona wygląda normalnie.
MITM a phishing to nie to samo
Phishing nakłania użytkownika do wejścia na fałszywą stronę lub ujawnienia danych. W ataku pośredniczącym użytkownik może korzystać z prawdziwej usługi, ale komunikacja zostaje przejęta po drodze. Oba zagrożenia często występują razem, dlatego nie warto ograniczać ochrony do samego filtrowania wiadomości.
Jak skutecznie ograniczyć ryzyko
Najlepsza ochrona składa się z kilku warstw. Nie polega na znalezieniu jednego „magicznego” programu, tylko na utrudnieniu przejęcia sieci, urządzenia, konta i samej sesji.
Po stronie użytkownika
- Korzystaj z aktualnego systemu, przeglądarki i aplikacji. Aktualizacje często poprawiają obsługę TLS oraz usuwają podatności wykorzystywane do przejęcia połączeń.
- Nie ignoruj ostrzeżeń o certyfikacie. Zamknij stronę i sprawdź adres innym kanałem, zamiast klikać opcję kontynuowania.
- Wyłącz automatyczne łączenie z publicznymi sieciami Wi-Fi i usuń zapamiętane sieci, których już nie używasz.
- Włącz uwierzytelnianie wieloskładnikowe, najlepiej z aplikacją uwierzytelniającą lub kluczem sprzętowym.
- Przy płatności potwierdź numer rachunku i kwotę w aplikacji bankowej. Nie ufaj wyłącznie danym wyświetlanym w e-mailu.
- Używaj menedżera haseł. Utrudnia on logowanie do fałszywej domeny, bo nie dopasuje automatycznie danych do podobnie wyglądającego adresu.
VPN pomaga, ale nie załatwia wszystkiego
VPN szyfruje ruch między urządzeniem a serwerem VPN, co ogranicza ryzyko podsłuchu w lokalnej sieci. Nie chroni jednak przed phishingiem, złośliwym rozszerzeniem przeglądarki, przejętym kontem ani usługą VPN, której sam nie ufasz.
Traktuję VPN jako dodatkową warstwę, a nie zamiennik HTTPS. W przypadku bankowości, poczty i paneli administracyjnych większą różnicę robią poprawna walidacja certyfikatu, MFA i aktualne urządzenie.
Bezpieczne aplikacje i kod Python
Programista nie powinien wyłączać weryfikacji certyfikatu tylko dlatego, że połączenie testowe zgłasza błąd. Konstrukcja requests.get(url, verify=False) może ukryć problem i pozwolić na przejęcie komunikacji, dlatego w produkcji należy pozostawić walidację TLS włączoną oraz prawidłowo skonfigurować zaufany magazyn certyfikatów.
W aplikacjach warto dodatkowo stosować krótkie czasy życia tokenów, bezpieczne ciasteczka z flagami Secure i HttpOnly, ochronę przed przejęciem sesji oraz pinning certyfikatów tylko tam, gdzie zespół potrafi go poprawnie utrzymywać. Pinning zwiększa kontrolę nad serwerem, ale źle wdrożony może odciąć legalne połączenia po zmianie certyfikatu.
Przeczytaj również: Amazon SNS - Kiedy i jak używać? Przewodnik po pub/sub
Ochrona firmowej sieci
Firma powinna rozdzielać sieci dla pracowników, gości i urządzeń IoT, używać bezpiecznego DNS oraz monitorować nietypowe zmiany w certyfikatach i konfiguracji proxy. Przydatne są także podpisywanie komunikatów, wzajemne uwierzytelnianie usług i centralne logowanie zdarzeń.
Jeżeli organizacja korzysta z protokołów starszego typu, trzeba sprawdzić, czy nie dopuszczają one przekaźnikowego uwierzytelniania. CISA wskazuje między innymi na znaczenie SMB signing i ochrony Extended Protection for Authentication przy ograniczaniu wybranych ataków typu adversary-in-the-middle.
Co zrobić po podejrzeniu ataku
Jeżeli pojawiło się ostrzeżenie certyfikatu, podejrzana sieć albo nieautoryzowana transakcja, nie kontynuuj pracy „żeby sprawdzić, co się stanie”. Najpierw odłącz urządzenie od sieci, korzystając z bezpiecznej metody, na przykład danych komórkowych.
- Zamknij podejrzaną sesję i nie wpisuj ponownie hasła w tym samym połączeniu.
- Zmień hasła z innego, zaufanego urządzenia. Zacznij od poczty, bankowości i konta administratora.
- Unieważnij aktywne sesje oraz tokeny, jeśli usługa udostępnia taką opcję.
- Sprawdź historię logowań, reguły przekierowania poczty, urządzenia zaufane i ustawienia MFA.
- Skontaktuj się z bankiem, jeżeli mogły zostać zmienione dane płatności lub wykonano przelew.
- W firmie zachowaj logi, godzinę zdarzenia, nazwę sieci i komunikaty przeglądarki. Nie usuwaj pochopnie dowodów.
Po incydencie samo przeskanowanie komputera może nie wystarczyć. Trzeba ustalić, czy problem dotyczył urządzenia, routera, konta, punktu dostępowego czy serwera pośredniczącego. Zmiana hasła bez unieważnienia sesji bywa nieskuteczna, jeśli napastnik nadal posiada ważny token.
Najważniejsza zasada ochrony przed niewidocznym pośrednikiem
Największą wartość daje połączenie kilku prostych nawyków: sprawdzania domeny, nieomijania ostrzeżeń, unikania przypadkowych sieci, korzystania z MFA i utrzymywania aktualnego oprogramowania. Żadna pojedyncza technologia nie gwarantuje bezpieczeństwa, ale poprawnie skonfigurowane HTTPS, silne uwierzytelnianie i segmentacja sieci znacząco ograniczają pole działania napastnika.
Jeśli miałbym wskazać jedną rzecz do zrobienia od razu, byłoby to przejrzenie zapamiętanych sieci Wi-Fi i włączenie MFA na najważniejszych kontach. To niewielki wysiłek, który często daje większą ochronę niż instalowanie kolejnego przypadkowego narzędzia bezpieczeństwa.
