He escuchado muchas veces que HTTPS debería usarse para transferir datos privados, ya que HTTP es vulnerable a los espías. Pero en términos prácticos, ¿quién es capaz de espiar el tráfico HTTP de un internauta determinado? ¿Su ISP? ¿Otras personas en la misma LAN? ¿Alguien que sepa su dirección IP?
Respuesta1
Fácil: simplemente siga el cable desde su PC hasta el servidor.
Quizás esto sea específico de Austria, pero probablemente sea similar en todo el mundo.
supongamos que tenemos un usuario de DSL:
- PC -> Ethernet -> Módem
Cualquiera con acceso a la infraestructura local puede olfatear el tráfico.
- Módem -> Cobre de 2 hilos -> DSLAM
Cualquiera que tenga acceso a la infraestructura y al equipo de cobre capaz de decodificar los datos puede escuchar a escondidas. La mayor parte de este cableado está relativamente desprotegido y es de fácil acceso si sabes dónde buscar, pero para decodificar los datos probablemente necesitarás algún equipo muy específico.
- DSLAM -> Infraestructura ISP -> Enrutadores centrales ISP
La mayoría de los DSLAM están conectados a través de fibra a algún tipo de anillo de fibra/MAN a los enrutadores del ISP.
Ha habido historias en Alemania donde supuestamente agencias de tres letras de los EE.UU. de A espiaron el tráfico de una red de área metropolitana. Existen dispositivos disponibles en el mercado que pueden hacer esto; solo necesita el presupuesto, la intención y el conocimiento de la infraestructura local adecuados.
- Enrutadores centrales de ISP -> BGP -> Objetivo AS
Dado que el servidor de destino no está en el mismo Sistema Autónomo que el usuario, el tráfico tiene que enviarse a través de "Internet". Si está navegando por Internet, utilice una cita de Snatch: "Todas las apuestas están canceladas". Hay tantos rincones y recovecos donde los operadores maliciosos podrían conectarse, que es mejor asumir que todo su tráfico será leído.
El DHS (o tal vez alguna otra agencia) espió activamente la infraestructura principal de EE. UU. a este nivel.
- Destino AS Enrutador fronterizo -> Infraestructura ISP -> Centro de vivienda
Véase más arriba.
- Enrutador del centro de alojamiento -> Conmutadores -> Servidor
Así es como ya se han atacado bastantes sitios. Ethernet no ofrece protección para los hosts que están en el mismo (V)LAN/dominio de transmisión, por lo que cualquier host puede intentar la suplantación/envenenamiento de ARP para hacerse pasar por otro servidor. Esto significa que todo el tráfico de un servidor determinado se puede canalizar a través de una máquina en la misma (V)LAN.
Respuesta2
En una LAN conmutada (como la mayoría de las redes Ethernet), puede utilizar el envenenamiento de la caché ARP para, en muchos casos, espiar dicho tráfico. Básicamente, puede falsificar la computadora cliente y hacerle creer que su estación de escucha es el enrutador fuera de la LAN.
En LAN de medios compartidos, es decir, no conmutadas,como Ethernet inalámbrico sin cifrado o con cifrado roto-- ni siquiera necesitas hacer eso. ¡Sólo escucha!
En el ISP, y en el ISP del ISP, y en el ISP del ISP, etc., un atacante sólo necesitaría olfatear el tráfico. Cualquier punto en el camino por el que circula el tráfico está sujeto a posibles escuchas. También hay LAN en el medio, por lo que siempre existe la posibilidad de escuchas por envenenamiento de la caché ARP, etc.
Finalmente, en el otro extremo habrá otra LAN, tan susceptible a las escuchas ilegales como la LAN de origen.
J. Un idiota cualquiera que conoce su dirección IP no va a espiar su tráfico sin piratear algo en el camino o desviar el flujo de tráfico de su ruta normal hacia ellos.
Sí, el texto claro es malo.
Respuesta3
Si incluye conexión inalámbrica al enlace, en cualquier lugar del camino (tarjeta WiFi, puente inalámbrico, etc.), cualquiera que esté incluso cerca de la red podrá escuchar.
WEP se rompe fácilmente, si se pasa un período de tiempo razonablemente corto junto a una red ocupada, y una vez que estás en la red, puedes ver el tráfico de todos.
Pruébelo usted mismo si lo desea. Descargue un programa llamado WireShark y pídale que capture en modo Promiscious. ¡Mira lo que surge!
Todo lo que sea sensible, confidencial, privado y relacionado con el negocio debe enviarse a través de HTTPS. Un certificado firmado no es costoso y, si está en un dominio, puede crear su propia autoridad de certificación que puede usarse para asignar certificados para cifrar el tráfico en el que los clientes del mismo dominio confiarán automáticamente.
Respuesta4
Cualquiera que tenga acceso a un enrutador, conmutador u otro equipo de red en el camino entre su computadora y el servidor web puede observar su tráfico. Ellos también ven su tráfico https, simplemente no pueden entenderlo.