Útoky man-in-the-middle - jak se chránit

Co je man-in-the-middle útok

Man-in-the-middle (MITM), česky "útok prostředníka", je typ kybernetického útoku, při kterém se útočník vloží mezi komunikaci dvou stran (např. váš telefon a webový server) a může ji odposlouchávat, nebo dokonce měnit, aniž by o tom obě strany věděly. Na rozdíl od phishingu, kde útočník oslovuje oběť přímo, MITM probíhá na úrovni síťového provozu - oběť si často ničeho nevšimne.

Hlavní typy MITM útoků

Evil twin (falešný Wi-Fi hotspot)

Útočník vytvoří Wi-Fi síť se stejným nebo podobným jménem jako legitimní síť (např. v hotelu, kavárně nebo na letišti). Zařízení se k ní často připojí automaticky, pokud si pamatuje podobné jméno sítě z minulosti - útočník pak vidí veškerý nešifrovaný provoz a může do něj zasahovat.

ARP spoofing

V rámci místní sítě (např. domácí Wi-Fi nebo firemní síť) útočník podvrhne tzv. ARP tabulky tak, aby provoz určený pro router procházel přes jeho zařízení. Protokol ARP nemá vestavěnou autentizaci, takže zařízení běžně přijmou podvržené záznamy bez ověření.

DNS spoofing (DNS podvržení)

Útočník podvrhne odpověď na DNS dotaz tak, aby zadaná legitimní adresa (např. banka.cz) směrovala na podvodný server pod jeho kontrolou, i když uživatel napsal správnou adresu.

SSL stripping

Útočník se snaží zachytit okamžik, kdy se prohlížeč přepíná z nezabezpečeného HTTP na zabezpečené HTTPS, a udržet komunikaci na nešifrované verzi, aniž by to uživatel zaznamenal. Moderní prohlížeče a mechanismus HSTS (HTTP Strict Transport Security) tento typ útoku výrazně ztížily, ale ne zcela eliminovaly u starších nebo špatně nakonfigurovaných webů.

Jak poznat, že se něco děje

• Varování o certifikátu nebo "nezabezpečeném připojení" v prohlížeči - nikdy ho neignorujte, zvlášť při přihlašování nebo platbě.
• Adresa stránky vypadá jinak, než čekáte (chybí zámek HTTPS, divná doména).
• Síť se jmenuje podobně jako ta, kterou znáte, ale s drobnou odchylkou nebo bez hesla, kde dřív heslo bylo.
• Neobvykle pomalé nebo nestabilní připojení na veřejné síti může (ale nemusí) signalizovat, že provoz prochází přes útočníka.

Jak se chránit

• Používejte VPN na veřejných sítích - zašifruje provoz mezi vaším zařízením a VPN serverem, takže i kdyby útočník provoz zachytil, nepřečte ho. Více v našem článku o VPN.
• Kontrolujte, že stránky používají HTTPS (ikona zámku v adresním řádku) zvlášť při zadávání hesel nebo platebních údajů.
• Vypněte automatické připojování k neznámým/otevřeným sítím v nastavení telefonu nebo počítače.
• Nikdy neobcházejte varování o certifikátu kliknutím na "pokračovat i přesto", pokud přesně nevíte, proč se zobrazuje.
• Aktualizujte router a zařízení - řada MITM technik zneužívá staré, neopravené zranitelnosti.
• Pro citlivé přihlašování raději použijte mobilní data místo neznámé veřejné Wi-Fi, pokud je to možné.

Často kladené otázky

Chrání HTTPS stoprocentně proti MITM útokům?

HTTPS výrazně ztěžuje odposlech obsahu komunikace, ale sama o sobě nezabrání např. evil twin útoku na úrovni sítě - kombinace HTTPS a VPN na nedůvěryhodné síti dává nejlepší ochranu.

Jak poznám evil twin síť od pravé?

Je to obtížné jen podle jména sítě - nejbezpečnější je ověřit přesný název sítě přímo u personálu podniku/letiště a vypnout automatické připojování k uloženým sítím.

Jsou MITM útoky časté, nebo jde o teoretické riziko?

Technicky jsou dobře zdokumentované a nástroje na jejich provedení jsou veřejně dostupné, proto bezpečnostní doporučení (VPN, kontrola HTTPS) platí stále, zvlášť na veřejných sítích, i když přesná čísla výskytu se těžko dohledávají.

Pomůže mobilní data vždy víc než Wi-Fi?

Mobilní datové připojení je obecně odolnější vůči lokálním útokům typu evil twin nebo ARP spoofing než veřejná Wi-Fi, protože komunikace neprochází přes sdílený lokální přístupový bod.

Co je HSTS a jak souvisí s MITM?

HSTS je mechanismus, kterým web prohlížeči řekne, že má vždy komunikovat jen přes HTTPS - ztěžuje to techniku SSL stripping, která se snaží udržet komunikaci na nezabezpečeném HTTP.

Musím mít VPN zapnutou i doma?

Na vlastní zabezpečené domácí síti je riziko MITM nižší než na veřejné síti, VPN doma má smysl spíš z důvodu soukromí před poskytovatelem internetu než jako ochrana proti MITM.

Proč je Man-in-the-Middle nebezpečný i u zabezpečených webů (HTTPS)

Samotné HTTPS šifrování komunikaci mezi vaším zařízením a serverem chrání před odposlechem obsahu, ale neochrání vás, pokud útočník přesvědčí zařízení, že je legitimní síť (tzv. evil twin access point se stejným názvem jako skutečná Wi-Fi) - v tu chvíli prochází veškerý provoz přes útočníkovo zařízení ještě předtím, než se HTTPS spojení vůbec naváže. Moderní prohlížeče a aplikace tomu čelí kontrolou certifikátů (HSTS, certificate pinning), ale útočník může nabídnout falešnou přihlašovací stránku Wi-Fi (captive portal), která vypadá jako legitimní a sbírá přihlašovací údaje přímo.

Jak poznat podezřelou veřejnou síť

Varovné signály: síť se stejným názvem se objevuje vícekrát v seznamu dostupných sítí, žádá o heslo nebo platební údaje hned po připojení, nebo přesměruje na stránku s neobvyklou doménou při pokusu o otevření běžného webu. V případě pochybností je bezpečnější použít mobilní data nebo VPN.

Chrání HTTPS stoprocentně proti Man-in-the-Middle útoku?

Z velké části ano u samotného přenosu dat, ale nechrání proti falešným přihlašovacím portálům veřejné Wi-Fi nebo podvodným certifikátům, pokud uživatel ignoruje varování prohlížeče o nedůvěryhodném certifikátu.

Jak poznám, že jsem obětí Man-in-the-Middle útoku?

Typické signály jsou neobvyklá varování o certifikátu, podezřele pomalé připojení, přesměrování na jiné stránky než jste chtěli navštívit, nebo že se po připojení na veřejnou Wi-Fi objeví neznámá přihlašovací stránka.

Man-in-the-Middle mimo Wi-Fi: útoky na mobilní síť a Bluetooth

Útok nemusí probíhat jen přes Wi-Fi - existují i techniky zneužívající slabiny staršího mobilního připojení (tzv. IMSI catcher/stingray, napodobující základnovou stanici operátora) nebo nezabezpečené Bluetooth párování. Pro běžného uživatele je nejpraktičtější obranou držet zařízení aktualizované (opravy slabin v protokolech), vypínat Bluetooth, když ho nepotřebuje, a u citlivých operací preferovat mobilní data před neznámou Wi-Fi.

Hrozí Man-in-the-Middle útok i přes mobilní data?

Riziko je výrazně nižší než u veřejné Wi-Fi, ale teoreticky existuje (IMSI catchery napodobující základnovou stanici) - pro běžného uživatele je mobilní síť stále bezpečnější volba než neznámá veřejná Wi-Fi.