Spoofing, debian, VMware.

Ny kurs! Denna vecka började vi nästa kurs: IT-Infrastruktur.

Vi startade med en genomgång av kursens upplägg och betygskriterier. Under kursen kommer vi att arbeta mycket i Linux med hjälp av virtuella maskiner, vilket känns både roligt och spännande.

Laboration: Man-in-the-Middle (MitM)

Vi fick möjlighet att testa en Man-in-the-Middle-attack (MitM), där målet var att kunna fånga upp användarnamn och lösenord. Först satte vi upp tre virtuella debian maskiner:

Webbservern körde en osäker WordPress-sida utan HTTPS. Administratörens dator användes för att logga in på webbservern. Hackarens maskin var vår angriparmiljö.

Steg i uppgiften

Vi började med några grundläggande bash-kommandon för att komma igång.

Därefter installerade vi verktygen Ettercap och tcpdump: tcpdump används för att fånga och analysera nätverkstrafik. Ettercap låter oss placera oss mellan två enheter så att de tror att de kommunicerar direkt med varandra, när kommunikationen i själva verket går via hackarens maskin.

I ett verkligt scenario är trafiken oftast krypterad (HTTPS), vilket gör att även om någon med illvilja lyckas fånga paketen är det inte självklart att innehållet går att läsa. Men för denna uppgift konfigurerades webbservern utan HTTPS för att tydligt visa riskerna.

När allt var korrekt konfigurerat kunde jag som ”hackare” se inloggningsuppgifterna som administratören skickade till webbservern i klartext.

Det fanns också en frivillig extrauppgift som gick ut på att använda Driftnet, ett verktyg som kan fånga upp okrypterad media (t.ex. bilder) på nätverket. Jag testade detta hemma mellan min dator och mobil. Resultatet blev att jag bara kunde fånga bilder från sidor utan HTTPS, till exempel neverssl.com.

Uppgiften i helhet var väldigt lärorik och gav mig en bättre förståelse för risker och sårbarheter i nätverk. Den visade också tydligt hur viktigt det är med krypterad kommunikation.

Några exempel på skydd mot liknande attacker:

Använd alltid VPN när du ansluter till öppna nätverk (t.ex. på caféer).

Kontrollera att webbplatser du besöker använder HTTPS. Om du till exempel besöker en bank som Nordea men ser att adressen bara börjar med "http://" var då vaksam. Kolla även stavningen i URL:en; angripare kan använda små variationer, som ”http://nordéa.se”

Till dig som läst, stort tack och jag önskar dig en fantastisk kommande vecka!