În acest material discutăm despre MITM, sau atacuri de tip Man-in-the-Middle.
Atacurile de tip Man-in-the-Middle (MITM) reprezintă una dintre cele mai comune și periculoase tehnici folosite de atacatori pentru a intercepta, modifica sau manipula traficul dintre două sisteme.
În infrastructurile moderne – fie că vorbim despre rețele enterprise, centre de date sau rețele Wi-Fi din mediul casnic – un atac MITM poate duce la compromiterea acreditărilor, a datelor sensibile sau chiar la preluarea controlului asupra dispozitivelor.
Acest tip de atac este eficient tocmai pentru că exploatează un element fundamental al rețelisticii: încrederea dintre două puncte de comunicare.
Ce este un atac Man-in-the-Middle
Un atac MITM apare atunci când un actor neautorizat se interpune între două sisteme care cred că comunică direct și în siguranță. Atacatorul poate asculta traficul, îl poate redirecționa sau chiar modifica fără ca victimele să își dea seama. În funcție de tehnica folosită, atacurile MITM pot afecta:
- rețele locale (LAN),
- rețele wireless,
- traficul DNS,
- sesiunile web necriptate,
- protocolul DHCP,
- conexiunile dintre dispozitive și servere.
Majoritatea acestor atacuri se bazează pe manipularea protocoalelor fundamentale sau pe exploatarea unor configurări greșite în infrastructură.
Cum funcționează atacurile MITM
Pentru a executa un atac Man-in-the-Middle, atacatorul trebuie să găsească o metodă de a forța traficul victimei să treacă prin dispozitivul său. Acest lucru se poate realiza prin mai multe tehnici:
Poisoning în rețele cu DHCP și DNS
Dacă infrastructura nu este securizată corespunzător, un atacator poate lansa un server rogue DHCP în rețea. Acesta oferă victimei o configurație falsă, cum ar fi:
- gateway fals,
- DNS compromis,
- adrese IP nevalide sau controlate de atacator.
Odată ce victima primește aceste setări, traficul începe să fie direcționat prin dispozitivul adversarului. O tehnică similară poate fi aplicată asupra serverelor DNS, manipulând rezoluția domeniilor și redirectând traficul către site-uri controlate de atacator.
Manipularea nivelului 2: ARP spoofing și STP
În rețelele LAN, atacurile MITM sunt frecvent asociate cu ARP spoofing, prin care atacatorul se prezintă ca gateway-ul rețelei.
Protocolul Spanning Tree Protocol (STP) are un rol critic în rețelele Ethernet prin prevenirea buclelor. Totuși, dacă nu este securizat, un atacator poate introduce un switch malițios care se declară root bridge, forțând rețeaua să redirecționeze traficul prin el. Acest comportament deschide calea către un MITM complet.
MITM în rețele wireless
În rețelele Wi-Fi, atacurile MITM sunt și mai ușor de executat, deoarece traficul radio poate fi interceptat din exteriorul clădirii.
Câteva scenarii comune:
- crearea unui Access Point fals (rogue AP) care copiază numele și configurația celui original;
- folosirea unui range extender compromis pentru a intercepta sau manipula traficul dintre dispozitive și router;
- deautentificarea clienților din rețeaua originală și forțarea lor să se conecteze la o rețea falsă controlată de atacator.
Fără criptare WPA2/WPA3, orice trafic este expus complet.
Cum poate fi protejată infrastructura împotriva MITM
Prevenirea atacurilor Man-in-the-Middle presupune o combinație de bune practici, configurări corecte și monitorizare continuă.
Protecție la nivel de rețea
- Activarea DHCP snooping pentru a bloca serverele rogue DHCP.
- ARP inspection pentru a preveni ARP spoofing.
- Securizarea STP prin configurarea Root Guard, BPDU Guard și PortFast.
- Izolarea rețelelor prin VLAN-uri separate pentru clienți, servere, IoT și echipamente administrative.
- Monitorizarea traficului neobișnuit și detectarea modificărilor în topologia rețelei.
Protecție în infrastructura Wi-Fi
- Folosirea exclusivă a criptării WPA2 sau WPA3.
- Dezactivarea WPS.
- Limitarea sau verificarea dispozitivelor range extender și AP adăugate ulterior.
- Activarea Wireless Intrusion Detection/Prevention (WIDS/WIPS).
- Utilizarea unui SSID unic și monitorizarea apariției rețelelor clone.
Protecție la nivel de servere și servicii
- Implementarea DNSSEC pentru validarea răspunsurilor DNS.
- Folosirea certificatelor valide și forțarea conexiunilor HTTPS prin HSTS.
- Gestionarea atentă a accesului la infrastructură prin VPN, segmente izolate și firewall-uri configurate corect.
- Monitorizarea jurnalelor și alertarea în caz de sesiuni suspecte.
Concluzie
Atacurile Man-in-the-Middle reprezintă o amenințare majoră în orice infrastructură modernă. Exploatează slăbiciuni din protocoale fundamentale, neglijențe în configurare și lipsa de monitorizare. În rețele cablate sau wireless, în DHCP, DNS sau chiar în topologia STP, un atacator bine pregătit poate intercepta sau manipula traficul cu consecințe grave.
Cu toate acestea, prin aplicarea unor măsuri corecte – de la DHCP snooping și ARP inspection până la WPA3, segmentare și TLS – riscurile pot fi reduse drastic. O rețea configurată corect, monitorizată și protejată prin politici de securitate clare devine mult mai greu de compromis, chiar și pentru atacatorii experimentați.
Dacă aveți nevoie de ajutor pentru implementarea sau modificarea rețelei companiei, vă stăm la dispoziție.
Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
