Man in the middle

Man in the middle (MITM, „człowiek pośrodku”) to rodzaj ataku, w którym napastnik potajemnie umieszcza się w torze komunikacji między dwiema stronami — na przykład między przeglądarką użytkownika a serwerem WWW — aby podsłuchiwać, przechwytywać lub modyfikować przesyłane dane. Ofiary są przekonane, że łączą się bezpośrednio ze sobą, podczas gdy cały ruch przechodzi przez atakującego.

Na czym polega atak man in the middle?

MITM realizuje się różnymi technikami: podszywaniem się pod punkt dostępowy Wi-Fi, zatruwaniem tablic ARP w sieci lokalnej, fałszowaniem odpowiedzi DNS (DNS spoofing) czy przechwytywaniem sesji. Gdy transmisja nie jest szyfrowana, napastnik odczytuje loginy, hasła, dane kart czy ciasteczka sesji w czystej postaci. Bardziej zaawansowane warianty (np. SSL stripping) próbują wymusić degradację połączenia z HTTPS do niezaszyfrowanego HTTP, aby obejść ochronę.

Zastosowanie w praktyce

Ochrona przed MITM opiera się przede wszystkim na szyfrowaniu i uwierzytelnianiu. Certyfikat SSL i protokół TLS sprawiają, że nawet przechwycone dane pozostają nieczytelne, a certyfikat potwierdza tożsamość serwera. Wymuszenie HTTPS na całej witrynie oraz nagłówek HSTS blokują próby degradacji połączenia do wersji niezaszyfrowanej.

Dodatkowe warstwy ochrony to DNSSEC przeciw fałszowaniu odpowiedzi DNS, VPN w niezaufanych sieciach, aktualne biblioteki kryptograficzne i unikanie certyfikatów z przestarzałymi algorytmami. Ataki MITM bywają też etapem szerszych kampanii — łączy się je z phishingiem, dlatego świadomość użytkowników i reagowanie na ostrzeżenia przeglądarki o certyfikatach są równie ważne jak konfiguracja serwera.

Dla administratorów istotne jest, aby serwer WWW oferował wyłącznie nowoczesne wersje protokołu (TLS 1.2 i 1.3), miał wyłączone przestarzałe szyfry i poprawnie skonfigurowany łańcuch certyfikatów. Warto też korzystać z mechanizmów takich jak certificate pinning w aplikacjach mobilnych oraz monitorować rejestry Certificate Transparency, które ujawniają wystawienie nieautoryzowanego certyfikatu dla domeny. Wielowarstwowe podejście — szyfrowanie, uwierzytelnianie i monitoring — sprawia, że nawet gdy napastnik zdoła przechwycić ruch, nie jest w stanie go odczytać ani zmodyfikować bez wykrycia.