Ataques de intermediário

Em um ataque de intermediário (MitM), um adversário intercepta e retransmite secretamente a comunicação entre duas partes que acreditam estar se comunicando diretamente. O atacante pode ler, modificar ou injetar dados.

A falsificação de ARP (Protocolo de Resolução de Endereços) envia mensagens ARP falsas em uma rede local, associando o endereço MAC do atacante a um endereço IP legítimo. Isso redireciona o tráfego pela máquina do atacante.

É eficaz em redes de Camada 2 não segmentadas — por isso a segmentação de redes é importante.

A falsificação de DNS retorna respostas DNS forjadas que redirecionam os alvos para servidores controlados pelo atacante. Combinada com uma página de login falsa, ela permite coletar credenciais. O DNSSEC impede isso ao verificar criptograficamente as respostas DNS.

O rebaixamento de SSL reduz as conexões HTTPS para HTTP. O atacante se posiciona entre o cliente e o servidor, mantendo HTTPS para o servidor enquanto fornece HTTP à vítima. Cabeçalhos HSTS (Segurança de Transporte Estrito por HTTP) impedem isso quando são configurados corretamente.

Um atacante cria um ponto de acesso Wi-Fi com um nome confiável (por exemplo, "Airport_Free_WiFi"). As vítimas se conectam, e todo o tráfego passa pelo dispositivo do atacante. Isso é comum em cafeterias e aeroportos — utilize sempre uma VPN em redes não confiáveis.

O sequestro de BGP (Protocolo de Gateway de Borda) é um ataque de intermediário em grande escala no qual atacantes (frequentemente Estados-nação ou provedores de internet mal-intencionados) anunciam rotas BGP falsas, redirecionando o tráfego da internet pela própria infraestrutura. Milhões de usuários podem ser afetados simultaneamente.

Os atacantes podem interceptar e-mails quando os servidores não impõem TLS ao SMTP. Ataques de rebaixamento do STARTTLS removem a criptografia dos e-mails durante o trânsito. As políticas SMTP MTA-STS e DANE impõem a entrega de e-mails criptografados.

Os atacantes podem apresentar certificados TLS falsificados se o dispositivo da vítima confiar em uma CA não autorizada. Isso permite descriptografar o tráfego HTTPS. Os registros de Transparência de Certificados e a fixação de certificados no navegador (HPKP, embora obsoleto) reduzem esse risco.

Detecção de ataques de intermediário:

• Anomalias na tabela ARP — endereços MAC duplicados
• Alterações inesperadas nos certificados
• Aumento da latência (o tráfego é roteado por um salto adicional)
• Monitoramento da rede e alertas do IDS sobre envenenamento de ARP

Prevenção contra ataques de intermediário:

• HTTPS em toda parte com HSTS
• DNSSEC para garantir a integridade do DNS
• Fixação de certificados em aplicativos móveis
• Redes privadas virtuais (VPNs) em redes não confiáveis
• Segmentação de rede e inspeção dinâmica de ARP (DAI)

Testadores de penetração usam ferramentas como:

• arpspoof ou bettercap para envenenamento de ARP
• mitmproxy ou Burp Suite para interceptação de HTTP
• ettercap para análise detalhada de protocolos

Sempre é necessária autorização por escrito.

Qual ataque intercepta conexões HTTPS e fornece HTTP à vítima, potencialmente expondo o tráfego dela em texto simples?

Ataques de intermediário interceptam a comunicação entre duas partes. As técnicas incluem falsificação de ARP, falsificação de DNS, remoção de SSL e redes Wi-Fi maliciosas. A prevenção exige HTTPS com HSTS, DNSSEC, transparência de certificados e controles de rede, como a inspeção dinâmica de ARP. As redes privadas virtuais protegem o tráfego em redes não confiáveis.