Qui peut espionner le trafic HTTP d'un utilisateur?

J'ai entendu à plusieurs reprises que HTTPS devrait être utilisé pour transférer des données privées, car HTTP est vulnérable aux écoutes. Mais en termes pratiques, qui est exactement capable d'écouter le trafic HTTP d'un internaute donné? Leur FAI? D'autres personnes sur le même LAN? Quelqu'un qui connaît son adresse IP?

Facile - suivez simplement le câble de votre PC au serveur.

C'est peut-être spécifique à l'Autriche, mais cela ressemble probablement partout dans le monde.

supposons que nous avons un utilisateur DSL:

• PC -> Ethernet -> Modem

Toute personne ayant accès à l'infrastructure locale peut flairer le trafic

• Modem -> Cuivre 2 fils -> DSLAM

Toute personne ayant accès à l'infrastructure et à l'équipement en cuivre capable de décoder les données peut écouter. La plupart de ce câblage est relativement non protégé et facile d'accès si vous savez où chercher, mais pour décoder les données, vous aurez probablement besoin d'un équipement très spécifique.

• DSLAM -> Infrastructure ISP -> Routeurs principaux ISP

La plupart des DSLAM sont connectés via Fibre à une sorte de fibre Ring / MAN aux routeurs du FAI.

Il y a eu des histoires en Allemagne où des agences supposément à trois lettres des États-Unis d'Amérique ont écouté le trafic d'un réseau métropolitain. Il existe des appareils prêts à l'emploi qui peuvent le faire, vous avez juste besoin du bon budget, de l'intention et des connaissances de l'infrastructure locale.

• Routeurs principaux ISP -> BGP -> AS cible

Étant donné que le serveur de destination n'est pas dans le même système autonome que l'utilisateur, le trafic doit être envoyé sur "Internet". Si vous allez sur Internet, pour utiliser une citation de Snatch, "Tous les paris sont désactivés". Il y a tellement de coins et recoins où des opérateurs malveillants pourraient se fixer, que vous supposez mieux que tout votre trafic va être lu.

Le DHS (ou peut-être une autre agence) a activement écouté les infrastructures de base aux États-Unis à ce niveau.

• Target AS Border router -> Infrastructure ISP -> Housing Center

Voir au dessus.

• Routeur de centre de logement -> Commutateurs -> Serveur

C'est ainsi que plusieurs sites ont déjà été attaqués. Ethernet n'offre aucune protection pour les hôtes qui sont dans le même (V) LAN / domaine de diffusion, donc tout hôte peut essayer l'usurpation d'identité / empoisonnement ARP pour usurper l'identité d'un autre serveur. Cela signifie que tout le trafic pour un serveur donné peut être acheminé via une machine dans le même (V) LAN.

Sur un réseau local commuté (comme la plupart des réseaux Ethernet), vous pouvez utiliser l'empoisonnement du cache ARP pour, dans de nombreux cas, espionner ce trafic. Fondamentalement, vous pouvez simuler l'ordinateur client et faire croire que votre station d'écoute est le routeur du réseau local.

Sur les réseaux locaux partagés - c'est-à-dire non commutés, comme Ethernet sans fil sans chiffrement ou avec chiffrement cassé - vous n'avez même pas besoin de le faire. Écoutez!

Au niveau du FAI, du FAI du FAI et du FAI du FAI du FAI, etc., un attaquant n'aurait qu'à renifler le trafic. N'importe quel point du chemin à travers lequel le trafic circule est soumis à une écoute potentielle. Il y a aussi des LAN entre les deux, donc il y a toujours la possibilité d'écouter par empoisonnement du cache ARP, etc.

Enfin, à l'autre bout, il y aura un autre LAN, tout aussi sensible à l'écoute que le LAN source.

J. Un idiot aléatoire qui connaît votre adresse IP n'écoutera pas votre trafic sans pirater quelque chose en cours de route, ni détourner le flux de trafic de son chemin normal vers eux.

Ouais, le texte clair est mauvais.

Si vous lancez Wireless dans le lien, n'importe où le long du chemin (carte WiFi, Wireless Bridge, etc.), toute personne se trouvant à proximité du réseau peut écouter.

Le WEP est facilement interrompu, étant donné une période de temps raisonnablement courte à côté d'un réseau occupé, et une fois que vous êtes sur le réseau, vous pouvez afficher le trafic de tout le monde.

Essayez-le par vous-même si vous le souhaitez. Téléchargez un programme appelé WireShark et demandez-lui de capturer en mode Promiscious. Voyez ce qui arrive!

Tout ce qui est sensible, confidentiel, privé et lié à l'entreprise doit être envoyé via HTTPS. Un certificat signé n'est pas cher, et si vous êtes sur un domaine, vous pouvez créer votre propre autorité de certification qui peut être utilisée pour attribuer des certificats pour chiffrer le trafic qui sera automatiquement approuvé par les clients sur le même domaine.

Selon votre FAI et selon que votre connexion est partagée ou non, d'autres personnes de votre boucle locale peuvent être en mesure de flairer tout votre trafic. Ce sont généralement des voisins. Ceci s'ajoute à la liste des personnes mentionnées par d'autres réponses.

De plus, en plus de l'écoute clandestine, il y a aussi l'attaque "l'homme au milieu" où quelqu'un se met entre vous et le serveur Web en question. Si vous parlez SSH au serveur distant, l'attaque de l'homme du milieu n'ira nulle part. Si vous parlez en texte clair, ils peuvent agir comme un proxy et voir tout ce que vous faites.

Le fait est que les gens peuvent écouter vos conversations même sans être sur votre LAN ou sur le LAN distant. Empoisonnement du cache ARP pour les personnes sur votre réseau local (ou qui ont piraté votre réseau local), mais aussi empoisonnement DNS pour vous faire croire que vous parlez à quelqu'un d'autre que vous. Si vous utilisez HTTPS avec un certificat acheté et signé, les gens ont la possibilité de savoir qu'ils ne parlent pas au bon serveur, car le certificat sera le mauvais.

Toute personne ayant accès à un routeur, un commutateur ou un autre équipement réseau sur le chemin entre votre ordinateur et le serveur Web peut surveiller votre trafic. Ils voient également votre trafic https, ils ne peuvent tout simplement pas le comprendre.

Voir cette question , votre exposition en utilisant http est la même que les protocoles mentionnés ici.

Notez que vous pouvez également être exposé lors de l'utilisation de HTTPS si vous n'avez pas vérifié hors bande le certificat utilisé par l'autre côté. Autrement dit, si vous êtes invité avec un message indiquant que le site distant ne peut pas être vérifié pour une raison quelconque, vous pouvez parler non pas au site lui-même, mais à un attaquant qui relaiera votre trafic vers et depuis le site réel. , l'enregistrant tout le temps.

Outre toutes les façons déjà mentionnées de renifler vos données, une ancienne a récemment gagné beaucoup plus d'intérêt: jouer avec les tables BGP. À Defcon en août 2008, Anton Kapela et Alex Pilosov ont démontré une nouvelle façon de faire un "shunt BGP", pour détourner tout votre trafic vers un endroit où il ne va normalement pas, et (c'était la principale nouveauté de leur conversation) pour le faire sans que l'expéditeur ou le destinataire s'en aperçoive.

Ainsi, même si le renifleur potentiel ne se trouve pas quelque part sur le chemin normal de vos données, il peut toujours les capturer. Comme les autres l'ont dit, cryptez.

La bonne façon de penser est que si vous utilisez du texte clair, n'importe qui peut accéder à ces informations (informations publiques). Que ce soit sur un réseau ou pour accéder à un site Web externe. Il y a tellement d'attaques et de redirections qui peuvent être faites qu'il est impossible de prévisualiser.

Pour cette raison, envoyez uniquement des informations publiques (ou des informations qui ne sont pas terriblement confidentielles) sur du texte clair. Oui, y compris le courrier électronique.

* btw, essayez traceroute vers n'importe quel site Web et voyez combien de sauts il y a au milieu. Vos données les parcourent toutes: