domingo, 2 de julio de 2017

HSTS & HPKP: Misión salvar HTTPS [Parte I]

Hay un tema que he comentado por encima pero no me he detenido en explicarlo en profundidad, y considero que para que este blog sea lo más completo posible, además de que este Blog es mi cuaderno de notas personal y cada rama que voy aprendiendo ás en profundidad, me gusta explicarlos para tratar de afianzar esos conocimientos; considero que es importante explicar correctamente los protocolos HPKP y HSTS. 



Antecedentes


Como bien sabemos, cuando visitamos una web, normalmente lo haremos mediante HTTP o HTTPS. El protocolo HTTP, el cuál está definido en el RFC2616, es el protocolo de HiperTexto que muestra un documento HTML por el puerto 80 y que en la recepción de los datos, los transfiere del Cliente al Servidor en texto plano, lo cual potencia la peligrosidad de conectarnos a una red wifi en la que existan más usuarios los cuales cualquiera podría analizar el tráfico de red y ponerse en medio de nuestra conexión con el servidor y obtener de manera sencilla nuestras credenciales.


Por otro lado, tenemos a HTTPS, protocolo que usa una conexión segura mediante SSL/TLS, definido en el RFC2818. HTTPS, nos asegurará, en resumidas cuentas, que los datos que enviemos al servidor, iran seguras en tránsito. Esto quiere decir que el camino seguido, será seguro, pero solamente será seguro el camino; no obstante, si tienes un virus como un keylogger, HTTPS no te protege de nada, solamente que en el tránsito, los datos van seguros. HTTPS usará el puerto 443 de TCP.



HTTPS parecía que nos salvaba, pero nada más lejos de la realidad, ya que existía el ataque Man In The Middle usando Bridging HTTPS-HTTP, ARPSPOOFING,etc. para ponernos en medio de la comunicación.


Estos ataques consistían en que el atacante se ponía en medio de la conexion y redirigía a la víctima a una conexión en HTTP donde tuviese que hacer login de un sitio originalmente en HTTPS para que las credenciales lleguen al atacante en texto claro y poder saber las credenciales de la víctima. Posteriormente, la comunicación sería como siempre, pero el atacante, ya tenía tus credenciales. Esto fue lo que se hizo más o menos con Rafa1.

Todo ésto, lo podíamos hacer con varias herramientas como podían ser Evil Foca de Chema Alonso, SSLString de Moxie Marlinspike-esta técnica es la base del Briding, el quitar las "S" de las HTTPS- o MiMTf.

Viendo esta problemática, se tuvo que empezar a idear un plan para solventar este conflicto de que los usuarios no llegan a estar seguros navegando con el cifrado SSL/TLS ¿Se encontró una solución? ¿Hay ya una solución? ¿Esa solución soluciona realmente este problema? A todas esas preguntas trataremos de responderlas en las próximas entradas de esta serie.

¿Hackeamos el Mundo?

********************************************************************



No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...