Ataques de intermediario

En un ataque de intermediario (Man-in-the-Middle, MitM), un adversario intercepta y retransmite en secreto la comunicación entre dos partes que creen comunicarse directamente. El atacante puede leer, modificar o inyectar datos.

La suplantación de ARP (Address Resolution Protocol) envía mensajes ARP falsos en una red local, asociando la dirección MAC del atacante con una dirección IP legítima. Esto redirige el tráfico a través de la máquina del atacante.

Es eficaz en redes de capa 2 no segmentadas; por eso es importante la segmentación de redes.

La suplantación de DNS devuelve respuestas DNS falsificadas que redirigen a las víctimas a servidores controlados por el atacante. Combinada con una página de inicio de sesión falsa, permite capturar credenciales. DNSSEC evita esto mediante la verificación criptográfica de las respuestas DNS.

La técnica SSL stripping degrada las conexiones HTTPS a HTTP. El atacante se sitúa entre el cliente y el servidor, mantiene HTTPS con el servidor mientras ofrece HTTP a la víctima. Los encabezados HSTS (HTTP Strict Transport Security) lo impiden cuando están correctamente configurados.

Un atacante crea un punto de acceso Wi-Fi con un nombre de confianza (por ejemplo, "Airport_Free_WiFi"). Las víctimas se conectan y todo el tráfico pasa por el dispositivo del atacante. Es habitual en cafeterías y aeropuertos; utilice siempre una VPN en redes que no sean de confianza.

El secuestro de BGP (Border Gateway Protocol) es un ataque MitM a gran escala en el que los atacantes (a menudo estados nación o ISP fraudulentos) anuncian rutas BGP falsas y redirigen el tráfico de Internet a través de su infraestructura. Afecta a millones de usuarios a la vez.

Los atacantes pueden interceptar el correo electrónico cuando los servidores no exigen TLS para SMTP. Los ataques de degradación de STARTTLS eliminan el cifrado del correo electrónico durante su tránsito. Las políticas SMTP MTA-STS y DANE obligan a entregar el correo cifrado.

Los atacantes pueden presentar certificados TLS falsificados si el dispositivo de la víctima confía en una CA fraudulenta. Esto permite descifrar el tráfico HTTPS. Los registros de Certificate Transparency y el pinning de certificados en el navegador (HPKP, aunque está obsoleto) reducen este riesgo.

Detección de ataques MitM:

• Anomalías en la tabla ARP — direcciones MAC duplicadas
• Cambios inesperados en los certificados
• Aumentos de latencia (el tráfico se enruta a través de un salto adicional)
• Monitorización de la red y alertas del IDS ante envenenamiento de ARP

Prevención de ataques MitM:

• HTTPS en todas partes con HSTS
• DNSSEC para garantizar la integridad del DNS
• Fijación de certificados en aplicaciones móviles
• VPN en redes que no son de confianza
• Segmentación de red e inspección dinámica de ARP (DAI)

Los pentesters utilizan herramientas como:

• arpspoof o bettercap para el envenenamiento de ARP
• mitmproxy o Burp Suite para la interceptación de HTTP
• ettercap para el análisis de protocolos

Siempre se requiere autorización por escrito.

¿Qué ataque intercepta las conexiones HTTPS y ofrece HTTP a la víctima, lo que puede exponer su tráfico en texto plano?

Los ataques MitM interceptan la comunicación entre dos partes. Entre las técnicas se incluyen la suplantación de ARP, la suplantación de DNS, el SSL stripping y las redes Wi-Fi maliciosas. La prevención requiere HTTPS con HSTS, DNSSEC, transparencia de certificados y controles de red como la inspección dinámica de ARP. Las VPN protegen el tráfico en redes que no son de confianza.