Que é MitM?

Para que o teu dispositivo se comunique con calquera outro dispositivo necesita conectarse a el. Se o outro dispositivo está presente fisicamente, isto é bastante sinxelo. Podes pasar un cable entre os dous dispositivos. É necesario que compartan algún tipo de estándar de comunicación, pero o principio básico está en pé. Por suposto, a maioría dos dispositivos cos que pode querer comunicarse non están fisicamente presentes. En vez diso, cómpre conectarse a eles a través dunha rede de ordenadores normalmente coa Internet implicada.

O problema con isto é que agora hai potencialmente moitos mensaxeiros que necesitan pasar as súas comunicacións de ida e volta. Para comunicarse correctamente a través de intermediarios, cómpre poder confiar neles. Como alternativa, debes asegurarte de que non poden ler nin modificar as túas comunicacións. Esta é a base do cifrado. Permítelle comunicarse de forma segura a través dunha canle insegura.

O caso é que aínda co cifrado en xogo aínda hai algúns malos actores que intentan acceder a información confidencial. Unha forma en que poden tentar facelo é realizar un ataque Man-in-the-Middle ou MitM.

A configuración

Para que MitM funcione, o atacante debe ser unha das partes que transmite os datos aos que quere acceder. Hai algunhas formas de logralo. O primeiro é relativamente sinxelo, executar un punto de acceso a Internet, é precisamente por iso que debes ter coidado cos hotspots Wi-Fi gratuítos aleatorios. Isto é doado de facer, o problema é que pode non ser doado conseguir que unha persoa específica se conecte a unha rede específica.

As opcións alternativas son configurar o dispositivo da vítima para que use o seu dispositivo como servidor proxy ou para que sexa un ISP para a vítima. De xeito realista, se un atacante pode configurar o seu dispositivo para que se use como proxy, probablemente teña acceso máis que suficiente ao teu ordenador para obter a información que quere. Teoricamente, o ISP de calquera persoa tamén podería dirixirse a eles xa que o seu tráfico pasa polo seu ISP. Un provedor de VPN/proxy está exactamente na mesma posición que o ISP e pode ser ou non tan fiable.

Nota: Se estás pensando en conseguir unha VPN para protexer contra o teu ISP, é importante entender que o provedor de VPN se converte no teu ISP efectivo. Polo tanto, todas as mesmas preocupacións de seguridade tamén deberían aplicarse a eles.

MitM pasivo

Aínda que moitos dispositivos poden estar nunha posición MitM, a maioría deles non serán maliciosos. Aínda así, o cifrado protexe dos que o son e axuda a mellorar a túa privacidade. Un atacante nunha posición MitM pode simplemente usar a súa posición para "escoitar" o fluxo de tráfico. Deste xeito, poden rastrexar algúns detalles vagos do tráfico cifrado e poden ler o tráfico sen cifrar.

Neste tipo de escenarios, un atacante nunha posición de MitM sempre pode ler ou modificar o tráfico sen cifrar. Só o cifrado o impide.

MitM activo

Un atacante que se tomou a molestia de chegar a esa posición pode non estar necesariamente feliz de ler/modificar datos sen cifrar. Como tal, poden tentar realizar un ataque activo no seu lugar.

Neste escenario, insírense completamente no medio da conexión actuando como intermediario activo. Negocian unha conexión "segura" co servidor e tentan facer o mesmo co usuario final. Aquí é onde as cousas adoitan desmoronarse. Por moito que poidan facer todo isto, o ecosistema de cifrado foi deseñado para xestionar este escenario.

Cada sitio web HTTPS ofrece un certificado HTTPS. O certificado está asinado por unha cadea doutros certificados que conducen a un dos poucos "certificados raíz". Os certificados raíz son especiais porque se almacenan no almacén de certificados de confianza de cada dispositivo. Polo tanto, cada dispositivo pode comprobar se o certificado HTTPS que se lle presentou foi asinado por un dos certificados raíz no seu propio almacén de certificados de confianza.

Se o proceso de verificación do certificado non se completa correctamente, o navegador lanzará unha páxina de aviso de erros de certificado explicando os conceptos básicos do problema. O sistema de emisión de certificados está configurado de tal xeito que debes poder demostrar que es o propietario lexítimo dun sitio para persuadir a calquera autoridade de certificación para que asine o teu certificado co seu certificado raíz. Polo tanto, un atacante xeralmente só pode usar certificados non válidos, o que fai que as vítimas vexan mensaxes de erro do certificado.

Nota: o atacante tamén pode convencer á vítima de que instale o certificado raíz do atacante no almacén de certificados de confianza, momento no que todas as proteccións están rotas.

Se a vítima decide "aceptar o risco" e ignorar o aviso do certificado, entón o atacante pode ler e modificar a conexión "cifrada" porque a conexión só se cifra para e dende o atacante, non ata o servidor.

Un exemplo menos dixital

Se tes dificultades para comprender o concepto de ataque do home do medio, pode ser máis doado traballar co concepto de correo físico "caracol". A oficina de correos e o sistema son como Internet pero para enviar cartas. Asume que calquera carta que envíe pasa por todo o sistema postal sen ser aberta, lida ou modificada.

Non obstante, a persoa que envía a túa publicación está nunha posición perfecta de Home-in-the-Middle. Poderían optar por abrir calquera carta antes de entregala. Despois poderían ler e modificar o contido da carta ao seu antollo e selala de novo noutro sobre. Neste escenario, nunca te comunicas realmente coa persoa que pensas que es. Pola contra, os dous estades comunicando coa persoa entrometida.

Un terceiro que poida verificar sinaturas (criptográficamente seguras) pode polo menos dicirche que alguén está abrindo o teu correo. Podes optar por ignorar esta advertencia, pero recomendaríase non enviar nada en segredo.

Hai moi pouco que podes facer sobre a situación, ademais de cambiar o sistema a través do que te comunicas. Se comezas a comunicarte por correo electrónico, a persoa da publicación xa non poderá ler nin modificar as túas mensaxes. Así mesmo, conectarse a unha rede diferente, e idealmente de confianza, é a única forma de denegar o acceso ao atacante mentres aínda se pode comunicar.

Conclusión

MitM significa Man-in-the-Middle. Representa unha situación na que un mensaxeiro da cadea de comunicación está a controlar e potencialmente editar comunicacións de forma maliciosa. Normalmente, o maior risco é desde o primeiro salto, é dicir, o enrutador ao que se conecta. Un punto de acceso wifi gratuíto é o exemplo perfecto diso. Un atacante nunha posición MitM pode ler e editar comunicacións sen cifrar. Tamén poden probar o mesmo con comunicacións cifradas, pero isto debería producir mensaxes de erro de validación do certificado. Estas mensaxes de aviso de validación de certificados son o único que impide que un atacante tamén poida preparar e modificar o tráfico cifrado. Isto funciona porque ambas as partes se comunican co atacante en lugar de realmente entre si. O atacante fai pasar por a outra parte ante as dúas partes.