SSL 스트리핑이란 무엇이며 이를 피하는 방법은 무엇입니까?

게시 됨: 2021-10-07

SSL 다운그레이드 공격 이라고도 하는 SSL 스트리핑은 간단히 말해서 탐지되지 않은 하이테크 도청입니다.

SSL 스트리핑 공격의 목적은 항상 피해자가 깨닫지 못하는 사이에 보안 통신을 죽이는 것입니다. 데이터 수집 및 조작에 관한 모든 것입니다.

SSL 스트리핑을 사용하면 공격자가 보안 HTTPS에서 비보안 HTTP로 연결을 다운그레이드할 수 있습니다. 그러면 스파이 및 데이터 조작에 취약해집니다.

도청과 다소 비슷하지만 조금 더 기술적입니다.

그러나 도청과 SSL 스트리핑 모두 도청을 하는 사람인 '중간자'가 있습니다. 이 경우 해커는 트래픽을 가로채 피해자의 컴퓨터에서 자신의 컴퓨터로 다시 라우팅하는 프록시 서버를 만듭니다. 그런 다음 차단된 정보를 사용하여 원하는 모든 작업을 수행할 수 있습니다.

사용자는 종종 자신의 정보가 손상되고 있다는 사실을 깨닫지 못할 것입니다. 검색한 것과 실질적으로 동일한 페이지에 표시되기 때문입니다.

이것이 SSL 스트리핑이 사용자가 자신의 연결이 안전하고 데이터가 암호화된 것으로 믿도록 속이는 방법입니다. 그러나 암호화가 제거되었을 것이기 때문에 연결은 실제로 안전하지 않으며 데이터는 일반 텍스트로 전송됩니다. 이것이 SSL '스트립'이라고 불리는 이유입니다.

SSL 스트리핑은 어떻게 작동합니까?

SSL 스트리핑은 세 가지로 번창합니다. 3개의 필수 엔터티가 없으면 공격이 발생할 수 없습니다.

다음이 있어야 합니다.

  • 피해자의 시스템
  • 안전한 웹 서버
  • 공격자 시스템

이 세 조각이 제자리에 있으면 속임수의 바퀴가 회전하기 시작합니다.

여기 예가 있습니다.

 Jane은 안전한 HTTPS 지원 웹사이트를 통해 신발 한 켤레를 사려고 합니다.
해커인 John은 이를 깨닫고 통신 내용을 캡처하여 Jane의 기밀 정보를 확인하려고 합니다. 신용 카드 번호, 비밀번호 등을 생각하십시오.
이를 위해 John은 피해자와 연결을 설정하여 거래의 한가운데에 자신을 넣습니다. 그러면 보안 서버와 Jane의 통신이 차단됩니다.
무슨 일이 일어나고 있는지 모르는 제인은 쇼핑을 계속합니다. 그녀가 좋아하는 신발을 찾고 그녀의 브라우저에서 은행 사이트를 요청하여 결제를 진행합니다.
그러나 요청은 실제 뱅킹 사이트의 서버로 전달하는 John에게 전달됩니다.
웹 서버는 HTTPS URL 형식으로 Jane-이라고 생각하여 John에게 응답을 보냅니다.
그런 다음 John은 자신의 코딩 기술을 사용하여 보안 HTTPS URL을 비보안 HTTP URL로 다운그레이드하고 이를 백그라운드에서 무슨 일이 일어났는지 모르는 Jane에게 전달합니다.
John의 공격이 성공했기 때문에 Jane이 보내는 모든 정보는 더 이상 암호화되지 않습니다. 이렇게 하면 John이 비밀번호, 신용 카드 세부 정보, 집 주소 등에 대한 전체 액세스 권한을 얻을 수 있습니다.

John의 정보는 웹사이트와의 통신이 SSL로 보호되어 있기 때문에 공격 중에 절대 손상되지 않는다는 점에 주의하십시오.

프로세스가 길고 시간이 많이 소요되는 것처럼 보일 수 있지만 성공적인 SSL 스트리핑 공격을 시작하는 데 몇 분 밖에 걸리지 않습니다.

웹사이트의 SSL 스트리핑을 방지하는 방법

손상된 페이지를 감지하는 것은 어렵습니다. 이것이 SSL 스트리핑이 위험한 이유 중 하나입니다. 그러나 공격으로부터 웹사이트를 보호하기 위해 취할 수 있는 여러 단계가 있습니다.

다음은 SSL 스트리핑 공격으로부터 보호하는 세 가지 방법입니다.

  • SSL 인증서
  • HSTS
  • HSTS 사전 로드 목록

SSL 인증서

SSL 인증서가 무엇인지 이해하면 공격으로부터 보호하는 방법에 대한 명확한 그림을 얻을 수 있습니다.

SSL 인증서는 웹 사이트의 ID를 확인하고 서버로 전송되는 정보를 암호화하는 작은 데이터 파일입니다. 웹 서버에 SSL 인증서를 설치하면 보안 자물쇠 아이콘 과 웹 서버에서 브라우저로의 보안 연결을 허용하는 https 프로토콜이 활성화됩니다.

HSTS

HTTP Strict Transport Security 또는 HSTS는 컴퓨터 브라우저에 HTTPS를 통해서만 연결하도록 지시하여 더 높은 수준의 보안을 제공합니다. 또한 컴퓨터가 암호화되지 않은 상태에서 HTTP를 사용하여 연결하지 않아야 합니다.

이 두 가지를 수행함으로써 HTTS는 브라우저에서 시작된 SSL 스트리핑 공격이 성공하지 못하도록 합니다.

그러나 HTTS는 SSL 스트리핑 공격에 대한 방탄 방법이 아닙니다. 사이트를 처음 방문했을 때 이미 공격을 받은 경우 HTTS를 소급하여 사용하는 것은 유용하지 않을 수 있습니다.

이러한 이유로 한 단계 더 나아가 세 번째 단계로 나아가는 것이 좋습니다.

방법 – HSTS 사전 로드 목록 사용.

HSTS 사전 로드 목록

HSTS 사전 로드 목록 은 HTTPS 연결만 사용하는 웹사이트의 글로벌 인벤토리입니다.

그것은 귀하의 사이트에 또 다른 수준의 보안을 제공하며 웹 사이트 소유자는 목록에 대해 스스로 교육하고 SSL 스트리핑 공격으로부터 웹 사이트를 보호할 수 있는 방법을 교육해야 합니다.

모든 HTTPS 요청에 대해 기본 도메인에서 HSTS 헤더를 제공하도록 HSTS 사전 로드 목록을 설정해야 합니다.

그런 다음 사이트가 HTTPS 프로토콜에서만 로드되어야 함을 모든 브라우저에 표시합니다. 다른 모든 변형은 거부됩니다.

즉, HSTS 사전 로드 목록은 브라우저가 HTTP를 감지하면 웹 사이트 연결을 거부하여 작동합니다.

일반 사용자는 웹사이트가 HSTS, HSTS Preload List를 사용하는지 아니면 다른 약점이 있는지 구분하지 못할 수 있습니다.

이러한 이유로 다음과 같은 보다 안전한 개인 정보 보호 옵션을 고려하는 것이 좋습니다.

  • 와일드카드 SSL 인증서
  • VPN
  • 교육

와일드카드 SSL 인증서

다양한 SSL 인증서 유형이 있습니다. 와일드카드 SSL은 한 가지 유형입니다. 그들은 단일 인증서에서 무제한 하위 도메인을 보호할 수 있습니다. 추가 보안 계층을 제공하고 동시에 두 가지를 구매하여 SSL 인증서 비용에 추가할 수 있습니다. 동일한 도메인에 있는 여러 사이트 또는 페이지를 호스팅하거나 관리하는 모든 사람에게 훌륭한 솔루션입니다.

VPN

가상 사설망 또는 VPN 은 중간에 사람을 차단하여 SSL 스트리핑 공격을 쉽게 방지할 수 있습니다.

공격은 사용자가 공격자와 공통 네트워크를 공유할 때 대부분 가능합니다. 그러나 VPN은 보안 VPN 터널 내의 모든 인터넷 트래픽을 암호화하고 보호하기 때문에 해커는 사용자가 동일한 네트워크에 있다는 것을 알지 못하므로 공격을 방지할 수 있습니다.

VPN 보안은 HTTP, HTTPS, 잠금 기호 또는 기타 항목을 지속적으로 확인할 필요성을 줄이거나 완전히 제거합니다. 사용자 이름, 암호 및 기타 기밀 정보는 다른 사용자로부터 보호됩니다.

교육

교육은 SSL 스트리핑을 이해하고 피하는 데 중요합니다.

다음은 SSL 스트리핑의 피해자가 되지 않도록 사용자가 취할 수 있는 몇 가지 기본 예방 조치입니다.

  • WiFi : 때때로 데이터를 절약하기 위해 또는 기타 타당해 보이는 이유로 공용 Wi-Fi를 사용하고 싶은 충동이 있습니다. 그러나 특히 민감한 정보를 보낼 때는 공용 Wi-Fi를 피해야 합니다.
  • HTTPS Everywhere: 이것은 브라우저가 HTTPS 웹사이트를 통해서만 정보를 보내도록 하는 브라우저 확장입니다. 사용자가 다운로드하도록 권장해야 합니다.
  • HTTPS : URL의 일부로 https를 입력하는 것은 시간 낭비처럼 보일 수 있지만 꽤 큰 일입니다. 입력하지 않더라도 클릭하기 전에 해당 다섯 글자가 있는지 확인하십시오.
  • 링크 : 클릭하지 말라고 합니다. 링크나 이메일이 의심스럽다면 의심스러울 수 있으므로 클릭하고 싶은 충동을 억제하십시오.
  • 웹사이트 모니터링 도구: 악의적인 활동을 인식하는 가장 좋은 방법 중 하나는 프리미엄 웹사이트 모니터링 소프트웨어를 사용하는 것입니다. 이는 웹사이트의 비정상적인 활동에 대한 실시간 알림을 제공하는 데 도움이 될 수 있습니다.

요약

SSL 스트리핑은 백그라운드에서 발생하며 대부분의 사용자는 일반적으로 알지 못하지만 기본 무료 SSL 정보로 무장하면 사용자와 웹사이트 소유자가 공격으로부터 스스로를 보호할 수 있습니다.