TỒNG QUAN VỀ GIAO THỨC SSL
Cách thức hoạt động của giao thức SSL
Toàn bộ cơ chế và thuật toán mã hoá trong SSL đều được công khai, ngoại trừ khoá chia sẻ tạm thời được tạo ngẫu nhiên và giữ bí mật trong quá trình trao đổi giữa hai ứng dụng Giao thức SSL yêu cầu ứng dụng chủ phải được xác thực bởi bên thứ ba thông qua chứng thực điện tử dựa trên mật mã công khai, như RSA.
Bài viết này sẽ phân tích cơ chế hoạt động của SSL nhằm đánh giá mức độ an toàn và khả năng áp dụng của nó trong các ứng dụng nhạy cảm, đặc biệt trong lĩnh vực thương mại điện tử và thanh toán trực tuyến.
Hình 1.3 Cơ chế hoạt động của SSL
Từng bưởc thiết lập một kết nối SSL mởi giữa máy khách (thường là trình duyệt Web) và máy chủ (thường là máy chủ Web SSL):
Giao thức SSL bao gồm hai nhóm giao thức con chính: giao thức bắt tay (Handshake protocol) và giao thức bản ghi (Record protocol) Giao thức bắt tay thiết lập các tham số giao dịch giữa hai bên cần trao đổi thông tin, trong khi giao thức bản ghi quy định cách thức mã hoá và truyền tin hai chiều giữa các đối tượng đó.
Khi hai ứng dụng máy tính, chẳng hạn như trình duyệt Web và Web Server, tương tác, server sẽ chủ động gửi “lời chào” (Hello) tới máy khách Quá trình này bao gồm việc trao đổi thông điệp và xác định các chuẩn về thuật toán mã hóa và nén dữ liệu có thể áp dụng giữa hai ứng dụng.
Các ứng dụng trao đổi "số nhận dạng/khoá theo phiên" (session ID, session key) duy nhất cho mỗi lần làm việc Sau đó, ứng dụng khách yêu cầu chứng thực điện tử từ ứng dụng chủ, thường được xác nhận bởi các cơ quan trung gian uy tín như CA (Certificate Authority) như RSA Data Security hay VeriSign Inc Những tổ chức này cung cấp dịch vụ xác nhận danh tính của công ty và phát hành chứng chỉ duy nhất, chứng minh danh tính cho các giao dịch trực tuyến, đặc biệt là trên các Web Server.
Sau khi xác thực chứng chỉ điện tử của server bằng thuật toán mã hóa công khai như RSA, ứng dụng máy trạm sử dụng thông tin từ chứng chỉ để mã hóa thông điệp gửi về server, đảm bảo chỉ server đó có thể giải mã Dựa trên đó, hai ứng dụng tiến hành trao đổi khóa chính (master key) - khóa bí mật hay khóa đối xứng - nhằm mã hóa luồng thông tin giữa chúng Mức độ bảo mật và an toàn của dữ liệu phụ thuộc vào một số tham số quan trọng.
Số nhận dạng theo phiên làm việc ngẫu nhiên đóng vai trò quan trọng trong việc bảo mật thông tin, trong khi cấp độ bảo mật của các thuật toán bảo mật áp dụng cho SSL cũng ảnh hưởng lớn đến khả năng bảo vệ dữ liệu Đặc biệt, độ dài của khoá chính (key length) sử dụng cho lược đồ mã hoá thông tin là yếu tố then chốt quyết định mức độ an toàn của hệ thống.
Các giao thức con của giao thức SSL
Giao thức SSL gồm bốn giao thức con vởi các chức năng sau:
• SSL Record Protocol: thực hiện chức năng phân mảnh, nén, tính giá trị MAC và mã hóa dữ liệu.
The SSL Handshake Protocol is essential for establishing secure connections, as it negotiates cryptographic algorithms and parameters, facilitates key exchange, and authenticates the server and, if necessary, the client.
• SSL Alert Protocol: thực hiện chức năng thông báo lỗi.
• SSL Change Cipher Spec Protocol: thực hiện chức năng thông báo xác nhận kết thúc giai đoạn Handshake Protocol.
Giao thức SSL Record Protocol xử lý dữ liệu từ các giao thức SSL cấp cao hơn, thực hiện các chức năng phân đoạn, nén, xác thực và mã hóa dữ liệu Cụ thể, giao thức này nhận một khối dữ liệu có kích thước tùy ý và tạo ra một loạt các đoạn dữ liệu Dữ liệu xuất ra, hay còn gọi là các bản ghi, có kích thước nhỏ hơn hoặc bằng 16383 byte.
Các bưởc khác nhau của SSL Record Protocol vốn đi từ mô t đoạn dữ liêu
• • • thô đến môt bản ghi SSL Plaintext (bưởc phân mảnh), SSL Compressed (bưởc nén) và SSL Ciphertext (bưởc mã hóa).
Hình 1.4 Các bước của SSL Record Protocol
Phân mảnh: Mỗi message của lỞp bên trên được phân mảnh thành các block, mỗi block là 214 byte (16384 byte) hoặc ít hon.
Nén dữ liệu phải đảm bảo không mất mát thông tin và không làm tăng kích thước nội dung quá 1024 byte Mặc dù mục tiêu của nén là giảm kích thước dữ liệu, trong một số trường hợp, đặc biệt với các block ngắn, thuật toán nén có thể làm cho kích thước đầu ra lớn hơn đầu vào do quy tắc định dạng Trong SSLv3 và phiên bản hiện tại của TLS, không có thuật toán nén nào được chỉ định, vì vậy thuật toán nén mặc định là null.
Để tính toán MAC (mã xác thực thông điệp) trên dữ liệu đã được nén, cần sử dụng một khóa bí mật được chia sẻ Phép tính được thực hiện theo công thức: hash(MAC_write_secret || pad_2 || hash(MAC_write_secret || pad_1 || seq_num).
11 SSLCompressed.type || SắLCompressed.length || SSLCompressed.fragment))
• MAC_write_secret: khóa bí mật được chia sẻ.
• hash: thuật toán băm mã hóa, MD5 hoặc SHA-1.
• pad_l: byte 0x36 (0011 0110) được lặp lại 48 lần (384 bit) cho MD5 và
• pid_2: byte 0x5c (0101 1100) được lặp lại 48 lần cho MD5 và 40 lần cho SHA-1.
• seq_num: sequence number cho thông điệp này
• SSL Compressed.type: giao thức ở lỞp trên được dùng để xử lí phân mảnh này.
• SSL Compressed.length: chiều dài của phân mảnh đã được nén.
• SSL Compressed.íragment: phân mảnh đã được nén (nếu nén không được dùng, phân mảnh ở dạng plaintext).
Mã hóa theo phương pháp mã hóa đối xứng cho phép tăng chiều dài nội dung lên hơn 1024 byte, với tổng chiều dài không vượt quá 2^14 + 2048 Các thuật toán mã hóa được chấp nhận bao gồm AES, DES, RC2, và 3DES.
Giao thức SSL Handshake Protocol là thành phần chính của SSL, hoạt động trên nền tảng SSL Record Protocol Mục đích của giao thức này là thiết lập và duy trì thông tin trạng thái giữa client và server để bảo vệ các cuộc liên lạc Cụ thể, SSL Handshake Protocol yêu cầu client và server đồng ý về phiên bản giao thức SSL chung, chọn phương thức nén và thông số mã hóa, xác thực lẫn nhau nếu cần, và tạo ra một khóa mật chính để từ đó phát sinh các khóa phiên khác cho việc xác thực và mã hóa thông điệp.
Quá trình bắt tay của client và server trong giao thức Handshake:
Hình 1.5 Quả trình bắt tay của cỉỉent và server trong giao thức Handshake
Giai đoạn 1: Thiết lập protocol version, ID phiên, thuật toán mã hóa, phương pháp nén.
Bước 1: Client gửi một thông điệp ClientHello tới server Các thành phần quan trọng của một thông điệp ClientHello:
■ Version: phiên bản SSL cao nhất mà client hỗ trợ.
■ Session ID: định danh phiên
■ CipherSuite: danh sách thuật toán mã hóa và băm mà client hỗ trợ (SSL_RSA_WITH_AES_128_CBC_SHA)
■ Compression Method: danh sách thuật toán nén dữ liệu mà client hỗ trợ.
Bước 2: Server gửi SeverHello tới client để trả lời cho gói ClientHello, nội dung tương tự như ClientHello, tuy nhiên có một số điểm khác biệt:
■ Version: Server chọn ra phiên bản SSL cao nhất mà cả client và server cùng hỗ trợ.
■ CipherSuite: lựa chọn ciphersuite tốt nhất trong danh sách các ciphersuite mà nó và client hỗ trợ.
■ Compression Method: lựa chọn một phương pháp nén trong các phương pháp nén mà nó nhận được từ client.
■=> Sau hai bước này, client và server đã thương lượng xong các thuật toán mã, nén dữ liệu và thuật toán băm.
Giai đoạn 2: Server gửi certiíìcate, dữ liệu trao đổi khóa và yêu cầu client gửi lại certiíicate nếu được thiết lập xác thực client.
Trong bước 3, máy chủ gửi chứng thư SSL (SSL certificate) cho khách hàng, trong đó chứa khóa công khai của máy chủ Khi nhận được chứng thư, khách hàng sẽ sử dụng khóa công khai của CA để xác minh chữ ký số Nếu chứng thư của máy chủ hợp lệ, khách hàng sẽ chấp nhận khóa công khai của máy chủ trong chứng thư đó.
Bước 4: Server gửi ServerHelloDone tởi Client để cho biết server đã gửi hết tất cả các thông tin mà nó có cho Client.
Giai đoạn 3: Client gửi certiíìcate nếu được yêu cầu, kết quả kiểm tra chứng chỉ server và dữ liệu trao đổi khóa.
Bước 5: ClientKeyExchange do client gửi đến server và chứa thông tin để tạo ra masterkey
■ Client sinh một Pre_master secret
■ Mã hóa nó bằng public key lấy từ certificate của server
■ Thuật toán mã hóa đã thương lượng (ví dụ RSA) Server :
■ Giải mã private key của mình.
■ Bây 'iờ cả client và server sẽ sử dụng Pre_master secret cùng vởi hai số ngâu nhiên đã sinh trưởc đó để tạo ra master key
■ Từ master key sẽ tạo ra session key dùng để mã hóa dữ liệu
Giai đoạn 4: ChangeCipherSuite và kết thúc giai đoạn HandShake
Bước 6: ChangCipherSpec là quá trình mà client gửi thông báo đến server, thông báo rằng tất cả các gói tin trao đổi giữa client và server sẽ được mã hóa bằng các thuật toán và session key đã được thương lượng trước đó.
Bước 7: Finished: Do client gửi đến server để cho biết client đã hoàn tất việc thiết lập kết nối.
Bước 8: ChangeCipherSpec là thông báo từ server đến client, thông báo rằng tất cả các gói tin trao đổi giữa hai bên sẽ được mã hóa bằng các thuật toán và session key đã được thương lượng trước đó.
Bước 9: Finished : Do server gửi đến client để cho biết server đã hoàn tất việc thiết lập kết nối.
1.4.3 Giao thức SSL Change Cipher Spec
Giao thức SSL Change Cipher Spec là giao thức đơn giản nhất trong bốn giao thức của SSL, bao gồm một thông điệp chỉ 1 byte Mục đích chính của thông điệp này là tạo ra trạng thái tiếp theo để gán vào trạng thái hiện tại, từ đó cập nhật bộ mã hóa cho kết nối.
Giao thức SSL Alert được sử dụng để truyền tải thông báo cảnh báo liên kết SSL đến đầu cuối bên kia Tương tự như các ứng dụng khác sử dụng SSL, các thông điệp cảnh báo này được nén và mã hóa, phù hợp với trạng thái hiện tại của kết nối.
Trong giao thức SSL, mỗi message bao gồm 2 bytes, với byte đầu tiên chỉ định mức độ nghiêm trọng của thông điệp là cảnh báo (1) hoặc nguy hiểm (2) Nếu mức độ là nguy hiểm, SSL sẽ ngay lập tức chấm dứt kết nối, trong khi các kết nối khác trong cùng phiên vẫn có thể tiếp tục Byte thứ hai chứa mã chỉ ra loại cảnh báo cụ thể, bao gồm các cảnh báo nghiêm trọng như: unexpected_message (message không thích hợp), bad_record_mac (MAC không chính xác), decompression_failure (lỗi giải nén), và handshake_failure (không thể thương lượng các tham số bảo mật).
1.5 Các thuật toán mã hóạ sử dụng trong SSL
Các thuật toán mã hoá (cipher) là các hàm toán học dùng để mã hoá và giải mã thông tin Giao thức SSL hỗ trợ nhiều thuật toán mã hoá, giúp xác thực server và client, truyền tải chứng chỉ và thiết lập khoá phiên giao dịch (session key) Tùy thuộc vào nhiều yếu tố, như phiên bản SSL, client và server có thể hỗ trợ các bộ mật mã (cipher suite) khác nhau.
Các thuật toán mã hoá và xác thực của SSL đuợc sử dụng bao gồm:
• DES (Data Encryption Standard): là một thuật toán mã hoá có chiều dài khoá là 56 bit.
• 3-DES (Triple-DES): là thuật toán mã hoá có độ dài khoá gấp 3 lần độ dài khóa trong mã hoá DES.
• DSA (Digital Signature Algorithm): là một phần trong chuẩn về xác thực số đang đuợc đuợc chính phủ Mỹ sử dụng.
• KEA (Key Exchange Algorithm) là một thuật toán trao đổi khoá đang đuợc chính phủ Mỹ sử dụng.
• MD5 (Message Digest algorithm) đuợc phát triển bởi Rivest.
• RSA: là thuật toán mã hoá công khai dùng cho cả quá trình xác thực và mã hoá dữ liệu đuợc Rivest, Shamir, and Adleman phát triển.
• RC2 and RC4: là các thuật toán mã hoá đuợc phát triển bởi Rivest dung cho RSA Data Security.
• SHA-1 (Secure Hash Algorithm): là một thuật toán băm đang đuợc chính phủ Mỹ sử dụng.
Trong chương này, báo cáo đã tóm tắt định nghĩa, lịch sử hình thành và phát triển của giao thức SSL, giúp người đọc nhận thức rõ tầm quan trọng của SSL trong việc bảo mật thông tin Bên cạnh đó, nhóm chúng em đã trình bày các dịch vụ và cách thức hoạt động của SSL, cấu trúc giao thức SSL, các giao thức con, cũng như các thuật toán mã hóa hỗ trợ SSL nhằm bảo vệ thông tin an toàn.
TÌM HIỂU PHƯƠNG PHÁP TẤN CÔNG CHẶN GIỮA TRONG
Tìm hiểu tấn công chặn giữa
Tấn công chặn giữa (Man-in-the-Middle Attack) là một hình thức tấn công bí mật, trong đó kẻ tấn công can thiệp vào phiên giao tiếp giữa người dùng và hệ thống, thường là giữa trình duyệt web và máy chủ web Để thực hiện kiểu tấn công này, kẻ tấn công cần có khả năng đánh chặn toàn bộ thông tin trao đổi giữa hai bên và có thể tiêm thêm thông tin giả mạo vào cuộc trò chuyện.
Hình 2.6 Mô tả quả trình tấn công chặn giữa MỈTM
Nạn nhân thường không nhận ra rằng dữ liệu của họ đã bị giả mạo cho đến khi mọi chuyện đã quá muộn Khi một cuộc tấn công MITM thành công, nó có thể dẫn đến những thiệt hại nghiêm trọng.
Kịch bản tấn công Man-in-the-Middle (MITM) bao gồm ba đối tượng chính: nạn nhân, dịch vụ mà nạn nhân muốn kết nối, và kẻ tấn công đứng giữa Kẻ tấn công này đã chặn kết nối của nạn nhân mà nạn nhân hoàn toàn không hay biết về sự hiện diện của kẻ tấn công.
Kẻ tấn công U5ÍR/V1CHM có khả năng mạo danh cả hai bên trong giao tiếp, từ đó chiếm quyền truy cập vào thông tin mà họ đang cố gắng trao đổi Hắn có thể chặn, gửi và nhận dữ liệu giữa hai bên mà không ai nhận ra cho đến khi đã quá muộn.
Các cuộc tấn công Man-in-the-Middle (MITM) không chỉ nhắm vào các website mà còn có thể tấn công qua email, truy vấn DNS và mạng Wi-Fi công cộng Các mục tiêu phổ biến của MITM bao gồm các doanh nghiệp thương mại điện tử và người dùng ứng dụng tài chính.
Kẻ tấn công MITM thường sử dụng phần mềm độc hại để tạo ra cỗ máy zombie hoặc xây dựng mạng lưới rộng lớn, từ đó có thể thực hiện các mối đe dọa liên tục và tinh vi (APT).
Một cuộc tấn công MITM gồm hai giai đoạn: đánh chặn và giải mã.
Đánh chặn là bước đầu tiên trong việc ngăn chặn lưu lượng truy cập của người dùng trước khi đến đích Kẻ tấn công có thể thực hiện đánh chặn theo hai hình thức: chủ động và thụ động.
Sau khi bị chặn, lưu lượng SSL hai chiều cần được giải mã mà không thông báo cho người dùng hay ứng dụng Một số phương pháp giải mã phổ biến bao gồm HTTP spoofing, SSL hijacking và SSL stripping.
2.1 ; Các kiểu tấn công chặn giữa ' , ' ,
Kẻ tấn công có thể sử dụng các cuộc tấn công MITM để giành quyền kiểm soát các thiết bị theo nhiều cách khác nhau:
IP spoofing, hay còn gọi là giả mạo IP, là một kỹ thuật mà kẻ tấn công sử dụng để thay thế danh tính của người dùng, nhằm tạo ra ấn tượng rằng họ đang giao tiếp trực tiếp với một bên khác Bằng cách này, kẻ tấn công có thể truy cập vào thông tin nhạy cảm mà người dùng đang trao đổi, gây ra những rủi ro nghiêm trọng cho sự an toàn và bảo mật dữ liệu.
• DNS spooting - giả mạo DNS: Domain Name Server spooting là một kỹ thuật buộc người dùng vào một website giả thay vì trang mà người dùng
Kẻ tấn công có kế hoạch tăng lượng truy cập vào website giả mạo hoặc đánh cắp thông tin đăng nhập của người dùng Họ thực hiện việc giả mạo DNS bằng cách thay đổi địa chỉ website trên máy chủ DNS, khiến nạn nhân vô tình truy cập vào trang web giả mạo này.
HTTPS giả mạo là một hình thức tấn công mà kẻ xấu có thể đánh lừa trình duyệt của người dùng, khiến họ tin rằng đang truy cập vào một trang web đáng tin cậy Sau khi nạn nhân truy cập, kẻ tấn công sẽ chuyển hướng trình duyệt đến một trang web không an toàn, từ đó theo dõi các tương tác của nạn nhân và đánh cắp thông tin cá nhân mà họ chia sẻ.
SSL hijacking là một hình thức tấn công mà trong đó kẻ tấn công sử dụng máy tính và máy chủ bảo mật khác để chặn toàn bộ thông tin được truyền giữa máy chủ và máy tính của người dùng Hành động này có thể dẫn đến việc đánh cắp dữ liệu nhạy cảm, gây nguy hiểm cho sự an toàn thông tin của người dùng.
Email hijacking, hay còn gọi là đánh cắp email, là một hình thức tấn công mà kẻ xấu nhắm vào email của khách hàng tại các ngân hàng và tổ chức tài chính Khi chiếm được quyền truy cập, chúng có khả năng theo dõi các giao dịch giữa tổ chức và khách hàng Tiếp theo, kẻ tấn công có thể giả mạo địa chỉ email của ngân hàng và gửi những email chứa hướng dẫn lừa đảo đến khách hàng Những hướng dẫn này thường khiến khách hàng cung cấp thông tin đăng nhập, từ đó gây ra thiệt hại tài chính nghiêm trọng.
Wifi eavesdropping, hay nghè lén wifi, xảy ra khi kẻ tấn công chiếm quyền truy cập vào bộ định tuyến wifi, thường là ở các kết nối công cộng hoặc wifi cá nhân không được bảo vệ Khi phát hiện bộ định tuyến dễ bị tấn công, kẻ tấn công có thể sử dụng các công cụ để chặn và đọc dữ liệu truyền tải của nạn nhân Hơn nữa, chúng có khả năng chèn công cụ vào giữa máy tính của nạn nhân và các website mà họ truy cập, từ đó ghi lại thông tin đăng nhập và các dữ liệu cá nhân nhạy cảm khác.
Kẻ tấn công có thể ăn cắp cookie trình duyệt, là những thông tin nhỏ mà website lưu trữ trên máy tính người dùng Khi chiếm quyền điều khiển các cookie này, chúng có thể truy cập vào mật khẩu, địa chỉ và thông tin nhạy cảm khác của người dùng.
2.1.4 Vỉ dụ về tấn công chặn giữa
Tấn công ARP spooíĩng
Mỗi thiết bị trong hệ thống mạng có hai địa chỉ: địa chỉ Media Access Control (MAC) và địa chỉ Internet Protocol (IP) Địa chỉ MAC là duy nhất và không thay đổi, trong khi địa chỉ IP có thể thay đổi tùy thuộc vào môi trường mạng Giao thức ARP (Address Resolution Protocol) giúp định vị một host trong mạng bằng cách phân giải địa chỉ IP thành địa chỉ MAC ARP thực hiện điều này thông qua việc broadcast gói tin đến tất cả các host trong mạng, trong đó chứa địa chỉ IP của host cần giao tiếp Chỉ host có địa chỉ IP trùng khớp mới phản hồi, trong khi các host khác sẽ tự động loại bỏ gói tin.
ARP là một giao thức hết sức đơn giản, nó đơn thuần có 4 loại message cơ
ARP Request: máy tính A sẽ hỏi toàn mạng : " ai có địa chỉ IP này? ".
• ARP Reply: máy tính B trả lời máy tính A: "tôi có IP đó, địa chỉ MAC của tôi là ".
• Reverse ARP Request: máy tính A sẽ hỏi toàn mạng: " ai có địa chỉ MAC này? ".
• Reverse ARP Reply: máy tính B trả lời máy tính A: " tôi có MAC đó, địa chỉ IP của tôi là ". bản sau:
2.2.2 Nguyên lý tấn công ARP Spoofìng
Giao thức ARP đóng vai trò quan trọng trong hệ thống mạng nhưng không có cơ chế xác thực nào Khi một host nhận gói tin ARP Reply, nó hoàn toàn tin tưởng và sử dụng thông tin mà không kiểm tra nguồn gốc Điều này cho phép hacker thực hiện các cuộc tấn công Man In The Middle, vì một host có thể chấp nhận gói ARP Reply mà không cần gửi gói ARP Request trước đó.
Hình 2.8 Nguyên ỉỷ tấn công ARP Spoofìng
Hacker có thể theo dõi thông tin giữa hai máy chủ A và B bằng cách gửi gói ARP Reply giả mạo Đầu tiên, hacker gửi gói ARP Reply đến host A, cung cấp địa chỉ MAC của mình và địa chỉ IP của host B Tiếp theo, hacker gửi gói ARP Reply đến host B với địa chỉ MAC của mình và địa chỉ IP của host A Cả hai host A và B sẽ lưu thông tin này vào bảng ARP của mình Khi host A muốn gửi thông tin đến host B, nó sẽ tra cứu bảng ARP và sử dụng địa chỉ MAC mà thực chất là của hacker Đồng thời, hacker kích hoạt chức năng IP Forwarding để chuyển tiếp dữ liệu từ host A đến host B, khiến cho cả hai bên giao tiếp mà không biết rằng có hacker can thiệp Trong một trường hợp khác, hacker có thể nghe lén thông tin từ máy tính của bạn đến Gateway, ghi lại mọi hành động ra Internet và dẫn đến việc mất mát thông tin nhạy cảm.
Tìm hiểu tấn công chặn giữa chiếm quyền điều khiển SSL
2.3.1 Mô tẫ quả trình truyền thông
SSL là một giao thức được thiết kế để đảm bảo an toàn cho việc truyền thông mạng thông qua mã hóa Nó có khả năng tích hợp dễ dàng với các giao thức khác, tạo ra một cơ chế thực thi an toàn cho các dịch vụ mà nó cung cấp.
Trường hợp phổ biến nhất của SSL là kết hợp với HTTP để tạo ra HTTPS HTTPS đảm bảo rằng thông tin được truyền giữa trình duyệt web và máy chủ được mã hóa an toàn.
Quá trình mà HTTPS sử dụng để bảo đảm an toàn dữ liệu bao gồm việc quản lý chặt chẽ các trung tâm phân phối chứng chỉ giữa máy chủ, máy khách và các bên thứ ba đáng tin cậy Các bước trong quy trình này được thực hiện một cách hệ thống để đảm bảo tính bảo mật và toàn vẹn của dữ liệu truyền tải.
Bước 1: Trình duyệt máy khách kết nối đến web server trên cổng 80 bằng cách sử dụng HTTP.
Bước 2: Máy chủ redirect phiên bản HTTPS máy khách của site này bằng cách sử dụng HTTP code 302.
Bước 3: Máy khách kết nối đến web server trên cổng 443.
Máy chủ cung cấp một chứng chỉ cho máy khách, bao gồm chữ ký của nó, nhằm xác thực danh tính của trang web Chứng chỉ này đóng vai trò quan trọng trong việc đảm bảo tính xác thực và an toàn cho người dùng khi truy cập.
Bước 5: Máy khách sử dụng chứng chỉ này và thẩm định chứng chỉ này với danh sách các nhà thẩm định chứng chỉ tin cây.
Bước 6: Truyền thông mã hóa sẽ xảy ra sau đó.
Nếu quá trình hợp lệ hóa chứng chỉ thất bại thì điều đó có nghĩa rằng các website đã thất bại trong việc thẩm định sự nhận dạng.
Quá trình phá hủy HTTPS làm mất đi sự bảo mật giữa truyền thông không mã hóa và mã hóa, cho phép kẻ tấn công chiếm quyền điều khiển quá trình truyền thông một cách hiệu quả.
Khi tấn công một phiên giao dịch chuyển từ kết nối không an toàn (HTTP) sang kết nối an toàn (HTTPS), kẻ tấn công có thể thực hiện tấn công "Man-in-the-middle" để chiếm đoạt kết nối SSL trước khi nó được thiết lập Để thực hiện tấn công này một cách hiệu quả, công cụ SSL strip có thể được sử dụng theo các bước hướng dẫn cụ thể.
Hình 2.1: Mo ta qua trinh chiem quyen đieu khiên truyen thong OT TP[
Bước 1: Đầu tiên, lưu lượng giữa máy khách và máy chủ sẽ bị chặn.
Bước 2: Khi bắt gặp một HTTPS URL, SSL strip sẽ thay thế nó bằng một liên kết HTTP và sẽ ánh xạ những thay đổi của nó.
Bước 3: Máy tấn công sẽ cung cấp các chứng chỉ cho máy chủ web và giả mạo máy khách
Bước 4: Lưu lượng được nhận trở lại từ website an toàn và được cung cấp trở lại cho máy khách.
SSL Strip, một công cụ do chuyên gia bảo mật Moxie Marlinspike phát triển, chỉ ra rằng SSL thường không bị tấn công trực tiếp Thay vào đó, trong nhiều trường hợp, kẻ tấn công có thể chuyển hướng một kết nối HTTPS sang HTTP thông qua mã phản hồi 302, dẫn đến việc người dùng không nhận ra sự gián đoạn an toàn trong kết nối của họ.
Kẻ tấn công có thể can thiệp vào quá trình chuyển hướng từ HTTP sang HTTPS, làm gián đoạn kết nối an toàn Hành động này cho phép kẻ tấn công chặn yêu cầu từ người dùng, tạo ra nguy cơ bảo mật cho dữ liệu truyền tải.
Kẻ tấn công thiết lập kết nối HTTPS giữa mình và máy chủ, đồng thời kết nối HTTP với người dùng, tạo thành cầu nối giữa hai bên SSL Strip lợi dụng cách người dùng thường truy cập vào các trang web SSL, thường thông qua chuyển hướng 302 hoặc liên kết từ trang không có SSL Khi nạn nhân nhập URL www.buyme.com, trình duyệt sẽ kết nối với máy chủ của kẻ tấn công và chuyển tiếp yêu cầu đến máy chủ cửa hàng trực tuyến, nhận về trang thanh toán HTTPS an toàn Tuy nhiên, kẻ tấn công kiểm soát trang thanh toán này, chuyển hướng HTTPS sang HTTP và gửi lại cho trình duyệt của nạn nhân Kết quả là, trình duyệt chuyển hướng đến http://www.buyme.com, khiến tất cả dữ liệu của nạn nhân trở thành văn bản thuần túy và dễ dàng bị kẻ tấn công chặn bắt, trong khi máy chủ trang web vẫn nghĩ đã thiết lập kết nối an toàn với nạn nhân.
Quá trình làm việc của máy chủ diễn ra suôn sẻ, tiếp nhận lưu lượng SSL mà không nhận ra sự thay đổi Tuy nhiên, người dùng sẽ nhận thấy một sự khác biệt rõ rệt, đó là lưu lượng không được hiển thị cắm cờ HTTPS trong trình duyệt.
Sau khi tấn công SSL strip thành công, thông tin của nạn nhân sẽ được truyền tải dưới dạng văn bản thuần túy, dễ dàng bị kẻ tấn công chặn lại Điều này dẫn đến nguy cơ vi phạm tính toàn vẹn và bí mật của thông tin nhận dạng cá nhân, bao gồm thông tin đăng nhập, tài khoản ngân hàng và dữ liệu kinh doanh nhạy cảm.
Biện pháp phòng chống
Để bảo vệ thông tin quan trọng và các tập tin riêng tư khỏi nguy cơ bị đánh cắp, cần có biện pháp phòng ngừa hiệu quả Tránh thực hiện các hành động có thể làm lộ thông tin nhạy cảm để đảm bảo an toàn cho dữ liệu cá nhân.
Có bốn hình thức chứng thực username và password dưới dạng văn bản đơn thuần mà nên được mã hóa bằng IPSec hoặc SSL Tuy nhiên, không phải lúc nào cũng có thể áp dụng các giải pháp này, và hiệu quả của chúng cũng không phải lúc nào cũng tốt nhất, vì vẫn có nguy cơ bị các chương trình như Dsniff hay Ettercap bẻ khoá Do đó, trong vai trò quản trị mạng, việc giám sát thường xuyên các hành động bất thường trong hệ thống của người dùng là cách tốt nhất để đưa ra hành động thích hợp.
Hệ thống bị tấn công do cơ chế giả danh ARP (hay còn gọi bằng thuật ngữ
ARP Spoofing là một giao thức được sử dụng để phân giải địa chỉ vật lý MAC của máy tính Để phát hiện các cuộc tấn công ARP Spoofing hoặc Sniffer, bạn có thể sử dụng ARP watch để giám sát thông tin ARP trong hệ thống Ngoài ra, việc cài đặt các hệ thống IDS như Snort hoặc GFI cũng giúp phát hiện các hành động bất thường trên mạng.
Ettercap cung cấp hai plug-in hữu ích: một để phát hiện các máy tính chạy Ettercap khác trên mạng và một để phát hiện các chương trình Sniffer khả nghi Khi nghi ngờ có người đang "nghe lén", người dùng có thể khởi động Ettercap, nhấn phím P và chọn plug-in đầu tiên để tìm ra các máy đang chạy Ettercap Đối với các chương trình khác như Dsniff, plug-in thứ 15 là arpcop có thể giúp dò tìm Sau khi xác định được đối tượng, người dùng có thể cô lập máy tính đó khỏi mạng bằng cách chọn plug-in thứ 23 tên là leech Ngoài ra, nhiều quản trị viên hệ thống cũng sử dụng Ettercap để phát hiện các máy nhiễm virus đang phát tán trên mạng và cô lập chúng trước khi tiêu diệt bằng các chương trình chống virus hiệu quả.
DAI (Dynamic ARP Inspection) là một tính năng bảo mật quan trọng giúp loại bỏ các gói ARP độc hại và ngăn chặn các cuộc tấn công ARP spoofing Nó hoạt động bằng cách chặn và loại bỏ những gói tin có sự ràng buộc IP - MAC không hợp lệ, đảm bảo an toàn cho mạng.
• Ngăn chặn tất cả các ARP request và ARP responses từ các cổng không đáng tin cậy.
Trước khi cập nhật bộ nhớ cache ARP cục bộ hoặc chuyển gói tin đến đích, cần xác minh rằng mỗi gói tin bị chặn đều có liên kết địa chỉ IP - MAC hợp lệ.
• Loại bỏ các gói tin ARP không hợp lệ
Sử dụng Mạng riêng ảo (VPN) cho phép thiết bị kết nối Internet qua một đường hầm mã hóa, bảo vệ thông tin liên lạc khỏi kẻ tấn công, như ARP spoofing, bằng cách mã hóa toàn bộ dữ liệu.
Sử dụng ARP tĩnh giúp xác định mục nhập ARP cho địa chỉ IP, ngăn chặn thiết bị nghe phản hồi ARP cho địa chỉ đó Chẳng hạn, khi một máy tính luôn kết nối với cùng một bộ định tuyến, việc thiết lập mục ARP tĩnh cho bộ định tuyến này sẽ giúp bảo vệ khỏi các cuộc tấn công mạng.
Sử dụng packet filtering giúp phát hiện và ngăn chặn các gói ARP bị nhiễm độc bằng cách nhận diện thông tin nguồn xung đột, từ đó bảo vệ an toàn cho mạng của bạn.
Thực hiện một cuộc tấn công ARP spoofing để đánh giá hiệu quả của hệ thống bảo mật hiện tại Hợp tác với các nhóm Công nghệ thông tin và bảo mật, nếu cuộc tấn công thành công, hãy xác định các điểm yếu trong biện pháp bảo vệ của bạn và tiến hành khắc phục kịp thời.
Trong chương này, báo cáo sẽ giải thích khái niệm về cuộc tấn công chặn giữ và cách thức hoạt động của loại tấn công này, bao gồm các kiểu tấn công khác nhau.
Bài báo cáo này tập trung vào hai kiểu tấn công chính là ARP spoofing và chiếm quyền điều khiển SSL Việc hiểu rõ cách thức hoạt động của các cuộc tấn công này sẽ giúp đề xuất những biện pháp phòng chống hiệu quả nhất.
Chương 3 TRIỂN KHAI THựC NGHIỆM
Kịch bản tấn công máy Kali hoạt động như một kẻ tấn công chặn giữa (Man-in-the-middle), can thiệp vào quá trình truyền thông giữa máy Windows 7 và một server sử dụng giao thức HTTPS Mục tiêu của cuộc tấn công này là chặn bắt và phá vỡ mối liên kết bảo mật thông tin mã hóa trong quá trình truyền thông thông qua bộ giao thức SSL/TLS.
Máy Kali sử dụng công cụ “SSLstrip” để lắng nghe và thu thập log liên quan đến giao thức SSL trong quá trình tấn công Đồng thời, công cụ “Ettercap” hỗ trợ các dạng tấn công, bao gồm cả tấn công ARP Spoofing, nhằm giả mạo địa chỉ MAC của máy, gây nhầm lẫn trong việc truyền thông giữa server và nạn nhân.
* Chuẩn bị các máy ảo chạy hệ điều hành Kali Linux và Windows 7
* Các máy ảo có thể kết nối Internet
* Các máy ảo cùng dải mạng với nhau
* Một website để thử nghiệm
Hình 3.12 Mô hình triển khai thực nghiệm
Truy cập trang : https://github.com/moxieO/sslstrip, để tải các bộ cài về trên
Hình 3.13 Giao diện trang tải bộ cài SSLstrip
Sau khi copy được link ta tiến hành tải bộ cài về trên máy Kali bằng dòng lệnh như trong hình “ git clone + link”:
Fitilí npeilỊUV Mlttríi' d(ní Iìn1 tun
It appears that the text you provided is garbled and does not form coherent sentences Please provide a clear and meaningful article for me to rewrite.
Hình 3.14 Tải bộ cài SSLstrip về máy kaỉỉ
TRIỂN KHAI THựC NGHIỆM
Thực nghiệm
Truy cập trang : https://github.com/moxieO/sslstrip, để tải các bộ cài về trên
Hình 3.13 Giao diện trang tải bộ cài SSLstrip
Sau khi copy được link ta tiến hành tải bộ cài về trên máy Kali bằng dòng lệnh như trong hình “ git clone + link”:
Fitilí npeilỊUV Mlttríi' d(ní Iìn1 tun
It appears that the text you provided is not coherent or meaningful in its current form Please provide a clearer version of the article or the main points you would like to convey, and I will be happy to help you rewrite it while adhering to SEO guidelines.
Hình 3.14 Tải bộ cài SSLstrip về máy kaỉỉ
Sau khi tải file cài đặt thành công, hãy truy cập vào thư mục đã tải bằng lệnh “cd sslstrip/” để tiến hành cài đặt Khi vào thư mục, sử dụng lệnh “ls” để hiển thị các file cấu hình, sau đó thực hiện cài đặt bằng lệnh “sudo python setup.py install”.
File Actiữns Edit Vỉew Help
CTPY1NG ttrck.iíQ .r:\::rip,py
: 'f sư do python setưppý install
To install SSLstrip, first execute the command "sudo apt install python-pip" on your Kali machine to ensure the necessary Python package manager is set up After a brief wait for the system to complete the installation, you can proceed with running the SSLstrip file.
Sau khi hoàn tất cài đặt python-pip, bạn cần cài đặt các gói dữ liệu cần thiết để công cụ hoạt động Để thực hiện điều này, hãy sử dụng lệnh “sudo pip install Twisted pyopenssl”.
1 bkpytbon-gll^t MUU J.Ị,ir-l tl.*M A|
Mthúi-.alì wlh í 1.17-2 [1,441 B[ ritn*diỉ.j-dai IML 1.1.11-1 ịlĩi il;
*“M Í.T-iĩ-ỉl1,111 11 MtlHMY-dav aaill4 1.I.17-Ỉ [i.LK B; lU-dai 1 ớ1 ằ1 bai: LB
Rnadi.ni: i.iatr hnra-rul lun ùnrrT ÍHn ■fũLttjain( additiDnai paci*frt ằ111 trt ItrHỀĨlEũ
1 ihpyỊtwji-a 1 ,i -dr> lihpỵỡiidớ-irr HtpvihwJ'd4Y 1 IKrytớiựnớ.i 1 npỊihnnĩ r-*ằT ppớhớHi-m pỵihm-tmtT p^TMd-dỆY **ĩFw-ii*|-rằi4ằFtw Pớ tlHKi-4ôidpi*9i;i pYiháíl-rdn PVthũnl.lHÍaụ íuiitait** pathdid
Thà 1dttwln( ■.!* FKka|ai vLU L'k 1'italLad!
I'm sorry, but the text you provided seems to contain a mix of characters and formatting that doesn't form coherent sentences or meaning Could you please provide a clearer version of the article or specify the main points you'd like to convey? This will help me assist you better in rewriting the content.
I qpj, 1.1 ÍI ằ W I T Iniitll**, *
un ùtỹrul Ị ủdt: I http://Ftp.harutaun nrt/ul 1
Uaĩ ỉ r hiti: ĨỊ Ftp- hj nAínn, MfẠUil J
6*111 Bt lớ ■ //iTp M r>4t|ằôn ■! ỡ Ci.ii.i?
YlW nrf Fwin1iĩf ỊatunEHl I M PyttaH ỉg M1ĨCô ta ■ô lcnpr
Lô> -I aubwuỳfflM riĨMM ớtw Mrtĩiar tMô' 2-ỡ'
Rr>iuH b^< arir kiMrĩKlHni ĩằằru|ỊtcHjk-ỉ Li & J.bf pip 1.1 UF lalar #r pla 10 latupỉMlK^
|H f iĩjr ir HEMi hằĩf donr thPM xhlpịi and IFằ rtill MCMớTỊlaTini rilbl A*4UJ a ItlllM ri Bt
&MBlỊfM4krị| M-TVlc*_NiHỊir T -ti.J,f-ịpỊ7 1 pĩl-floni-*n v ^*-i í 11 fefr] tiHỊVÌmar i^r*-bdv WTiisf1*f:
&iwni&wi.n ciMnl’k.4 H-eiĩ.pýĩ ỊỊt- r -t ãnv ỊỊ M IJ ? PfBị
Hình 3.99 Lệnh kiểm tra versỉon SSLstrip
Hình 3.20 Lệnh chạy SSLstrỉp và cho lắng nghe ở công 8080 3.2.2 Tiến hành tấn công
TrưỞc khi tiến hành tấn công có thể cấu hình các cổng lắng nghe cho
SSLstrip để có thể thu thập được các log trong quá trình tấn công:
[*■ t [ss Lstripemvịroat^kalr:/h-ornE/kaki/si tstrip — ú X
FHe Ạctions Edit Vìew Help prccat lonMarmng: Pvthon 2 is no longer Eupportccl by the pyttion COTC teatn iu
Fjpọr T For 11 15 nnur HeprẺcSted in
