Ataque de intermediario

En criptografía y seguridad informática , un ataque ^de intermediario ( ^{MITM )} , o ataque en ruta , es un ciberataque en el que el atacante retransmite secretamente y posiblemente altera las comunicaciones entre dos partes que creen que se están comunicando directamente entre sí, cuando en realidad el atacante se ha interpuesto entre las dos partes usuarias. ^{[ 9 ]}

Un ejemplo de ataque MITM es la escucha activa , en la que el atacante establece conexiones independientes con las víctimas y retransmite mensajes entre ellas para hacerles creer que están hablando directamente entre sí a través de una conexión privada, cuando en realidad toda la conversación está controlada por el atacante. ^{[ 10 ]} En este escenario, el atacante debe ser capaz de interceptar todos los mensajes relevantes que pasan entre las dos víctimas e inyectar otros nuevos. Esto es sencillo en muchas circunstancias; por ejemplo, un atacante dentro del alcance de un punto de acceso Wi-Fi que aloja una red sin cifrado podría insertarse como un intermediario. ^{[ 11 ] [ 12 ] [ 13 ]}

Dado que su objetivo es eludir la autenticación mutua, un ataque MITM solo puede tener éxito si el atacante suplanta la identidad de cada extremo con la suficiente precisión como para satisfacer sus expectativas. La mayoría de los protocolos criptográficos incluyen algún tipo de autenticación de extremo específicamente para prevenir ataques MITM. Por ejemplo, TLS puede autenticar a una o ambas partes mediante una autoridad de certificación de confianza mutua. ^{[ 14 ] [ 12 ]}

Supongamos que Alice desea comunicarse con Bob . Mientras tanto, Mallory desea interceptar la conversación para espiar (rompiendo la confidencialidad) y tiene la opción de enviar un mensaje falso a Bob haciéndose pasar por Alice (rompiendo el acuerdo de no repudio). Mallory llevaría a cabo un ataque de intermediario, como se describe en la siguiente secuencia de eventos.

1. Alice le envía un mensaje a Bob, que es interceptado por Mallory:

   Alice "Hola Bob, soy Alice. Dame tu llave." → Mallory Bob    

2. Mallory le transmite este mensaje a Bob; Bob no puede darse cuenta de que en realidad no es de Alice:

   Alice Mallory "Hola Bob, soy Alice. Dame tu llave." → Bob    

3. Bob responde con su clave de cifrado:

   Alice Mallory ← [La llave de Bob] Bob    

4. Mallory sustituye la llave de Bob por la suya y se lo comunica a Alice, afirmando que es la llave de Bob:

   Alicia ← [La llave de Mallory] Mallory Bob    

5. Alice cifra un mensaje con lo que cree que es la clave de Bob, pensando que solo Bob puede leerlo:

   Alice "¡Nos vemos en la parada del autobús!" [encriptado con la clave de Mallory] → Mallory Bob    

6. Sin embargo, dado que en realidad estaba cifrado con la clave de Mallory, Mallory puede descifrarlo, leerlo, modificarlo (si lo desea), volver a cifrarlo con la clave de Bob y enviárselo a Bob:

   Alice Mallory "¡Nos vemos en el parque!" [encriptado con la clave de Bob] → Bob    

7. Bob cree que este mensaje es una comunicación segura de Alice.

Este ejemplo muestra la necesidad de que Alice y Bob cuenten con un medio para garantizar que realmente estén utilizando las claves públicas del otro, y no la clave pública de un atacante. ^{[ 15 ]} De lo contrario, tales ataques son generalmente posibles, en principio, contra cualquier mensaje enviado mediante tecnología de clave pública.

Existen varios tipos de ataques que pueden clasificarse como ataques de intermediario (MITM). Los más destacados son:

1. Suplantación de HTTPS : El atacante engaña a la víctima haciéndole creer que su conexión es segura mediante la sustitución de un certificado SSL/TLS por uno falso.
2. Eliminación de SSL/TLS : degrada el tráfico HTTPS a HTTP, interceptando y leyendo datos no cifrados.
3. Suplantación de ARP : Envía mensajes ARP falsos para asociar la dirección MAC del atacante con una dirección IP objetivo, interceptando el tráfico de la red local.
4. Suplantación o envenenamiento de DNS: Redirige las consultas DNS a servidores maliciosos, lo que lleva a las víctimas a sitios web falsos.
5. Secuestro de sesión: Roba cookies o tokens de sesión para suplantar la identidad de un usuario legítimo en una sesión activa.
6. Ataque de intermediario en el navegador (MITB): El malware altera la actividad del navegador, interceptando o manipulando transacciones en tiempo real.
7. Ataque Wi-Fi MITM ( ataque de gemelo malvado ): Crea un punto de acceso Wi-Fi falso para interceptar las comunicaciones de los dispositivos conectados.
8. Secuestro de correo electrónico : Intercepta intercambios de correo electrónico para manipular o robar información confidencial.
9. Ataques de repetición : Capturan y retransmiten datos válidos para repetir acciones o interrumpir la comunicación.
10. Autoridad de certificación (CA) falsa : Utiliza una CA fraudulenta para firmar certificados falsos, engañando a las víctimas para que confíen en conexiones maliciosas.

Los ataques de intermediario (MITM) pueden prevenirse o detectarse mediante dos métodos: autenticación y detección de manipulación. La autenticación proporciona cierto grado de certeza de que un mensaje proviene de una fuente legítima. La detección de manipulación simplemente muestra indicios de que un mensaje puede haber sido alterado y ha perdido su integridad.

Un rastreador telefónico Stingray es un dispositivo de vigilancia de teléfonos celulares que imita una torre de telefonía móvil para obligar a todos los teléfonos móviles y otros dispositivos de datos celulares cercanos a conectarse a él. El rastreador retransmite todas las comunicaciones entre los teléfonos celulares y las torres de telefonía celular. ^{[ 22 ]}

En 2011, una brecha de seguridad en la autoridad de certificación neerlandesa DigiNotar resultó en la emisión fraudulenta de certificados . Posteriormente, los certificados fraudulentos se utilizaron para realizar ataques MITM. ^{[ 23 ]}

En 2013, se reveló que el navegador Xpress de Nokia descifraba el tráfico HTTPS en los servidores proxy de Nokia , lo que le daba a la compañía acceso en texto plano al tráfico cifrado del navegador de sus clientes. Nokia respondió diciendo que el contenido no se almacenaba de forma permanente y que la compañía contaba con medidas organizativas y técnicas para evitar el acceso a información privada. ^{[ 24 ]}

En 2017, Equifax retiró sus aplicaciones para teléfonos móviles tras la preocupación por las vulnerabilidades MITM. ^{[ 25 ]}

Bluetooth , un protocolo de comunicación inalámbrica, también ha sido susceptible a ataques de intermediario debido a su transmisión inalámbrica de datos. ^{[ 26 ]}

Otras implementaciones destacables en la vida real incluyen las siguientes:

• DSniff : la primera implementación pública de ataques MITM contra SSL y SSHv1. 
• Herramienta de diagnóstico HTTP(S) Fiddler2
• Suplantación de identidad de Google por parte de la NSA ^{[ 27 ]}
• malware Superfish
• Forcepoint Content Gateway : se utiliza para inspeccionar el tráfico SSL en el proxy. 
• Comcast utiliza ataques MITM para inyectar código JavaScript en páginas web de terceros, mostrando sus propios anuncios y mensajes en la parte superior de las páginas ^{[ 28 ] [ 14 ] [ 11 ].}
• Ataque de intermediario en Kazajistán en 2015

• Cómo detectar amenazas ocultas descifrando SSL. Archivado el 18 de octubre de 2017 en Wayback Machine (PDF). Instituto SANS.