ผู้เชี่ยวชาญเผยการโจมตี ‘man-in-the-middle’ ใหม่บน TLS

ALPACA attack หรือ ‘application layer protocol content confusion attack’ ซึ่งเป็นงานวิจัยระดับอุดมศึกษาของมหาวิทยาลัยในเยอรมันนี ที่จะไปแสดงในงาน Black Hat USA 2021 ในเดือนสิงหาคมนี้ โดยหลักๆคือส่งผลกระทบในวงกว้างในโปรโตคอล TLS ที่นำไปสู่การขโมยข้อมูลผู้ใช้งานได้

อันที่จริงแล้วแนวคิดของ ALPACA ไม่ได้เพิ่งเกิดขึ้น แต่มีการเผยแพร่แนวคิดเดียวกันนี้มาตั้งแต่ปี 2001 และปี 2014 แล้ว โดยไอเดียของ ALPACA มาจากรากฐานที่ว่าโปรโตคอล TLS นั้นมองในส่วนของ Application Layer เท่านั้นจึงกลายเป็นว่าไม่ได้ครอบคลุมถึงโปรโตคอลด้านล่างและปลายทาง ทำให้ผู้ไม่หวังดีมีโอกาสทำ man-in-the-middle attack หากสามารถใช้ Certificate ที่เข้ากันได้เช่นกรณี wildcard หรือ multi-domain certificate

credit : https://alpaca-attack.com/

โดยในภาพของการโจมตีนั้นผู้เชี่ยวชาญเผยถึงกรณีต่างๆ ที่สามารถฏิบัติการได้คือ 1.) ขา Upload ที่สามารถขโมย Cookies หรือข้อมูลสำคัญ 2.) ขา Download สามารถลอบ Execute XSS และ Reflection ทั้งนี้ผู้เชี่ยวชาญได้สาธิตลงทะเบียนอีเมลกับ Mailfence และทำการโจมตีด้วย HTML Form ที่นำไปสู่การ Execute JavaScript

ผลกระทบ

ผู้เชี่ยวชาญได้สแกนค้นหาเว็บไซต์ในอินเทอร์เน็ตพบว่ามีเว็บกว่า 1,400,000 ที่เสี่ยงต่อ Cross-protocol Attack โดยมี 119,000 แห่งเสี่ยงต่อการเจาะระบบ Application Server อย่างไรก็ดี man in the middle หมายความว่าคนร้ายจะต้องได้อยู่ระหว่างวงเครือข่ายของผู้ใช้กับปลายทางด้วยนั่นจึงลดโอกาสไปได้ส่วนหนึ่ง อย่างไรก็ดี ALPACA attack ต้องอาศัยปัจจัยความสำเร็จหลายตัว ทั้งในเรื่องของ Browser เองหรือฝั่งเจ้าของ Web และ Application Server

การป้องกัน

อันที่จริงมีการป้องกันที่ใช้ได้ในส่วนของ TLS Extension อยู่แล้วคือ SNI ที่เปิดให้ Client สามารถแจ้งให้เซิร์ฟเวอร์ทราบได้ถึง Hostname ที่ต้องการเชื่อมต่อ ซึ่งทำให้เซิร์ฟเวอร์สามารถจบการเชื่อมต่อได้หาก Hostname ไม่ตรงกับที่คาดหวัง แต่ก็ยังมีการใช้งานน้อยมากใน Web Server อีกทางหนึ่งคือ ALPN ที่ช่วยให้ Client แจ้งความประสงค์ในการเชื่อมต่อโปรโตคอลที่ต้องการ อย่างไรก็ดีผู้เชี่ยวชาญได้เตือนว่า IE Browser มีความเสี่ยงมากเพราะมีระดับการป้องกันน้อยกว่าคนอื่น จึงแนะนำให้อัปเดตเป็นเวอร์ชันล่าสุดด้วย ไม่เพียงแค่นั้นยังมี Vendor อีกมากที่ผู้เชี่ยวชาญแจ้งเพื่อแก้ไขแล้วเช่น Sendmail, FileZilla, Nginx และอื่นๆ

ALPACA นั้นไอเดียการใช้งานค่อนข้างซับซ้อน ซึ่งในทางปฏิบัติแล้วเป็นไปได้ยากที่จะจำกัดที่รูปแบบของการโจมตีเพราะเกี่ยวเนื่องกับหลายองค์ประกอบทั้งฝั่ง Client Application และ Server ซึ่งผู้เชี่ยวชาญคาดว่ากว่าจะแก้ไขกันหมดคงกินเวลาอีกหลายปีและยังมีรูปแบบอื่นๆ ที่ยังไม่พบอีกด้วย ถึงขนาดว่าต้องตั้งเว็บไซต์มาให้ข้อมูลที่ https://alpaca-attack.com/ ผู้สนใจงานวิจัยศึกษาได้ที่ https://alpaca-attack.com/ALPACA.pdf

ที่มา : https://alpaca-attack.com/ และ https://www.securityweek.com/alpaca-new-tls-attack-allows-user-data-extraction-code-execution และ https://www.theregister.com/2021/06/10/alpaca_tls_protection/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

6 เทรนด์ Cybersecurity ปี 2024 โดย Gartner

ในโลกที่ Generative AI เฟื่องฟู การเตรียมความพร้อมด้านความปลอดภัยย่อมต้องพัฒนาอย่างต่อเนื่องเพื่อรับมือความซับซ้อนที่เพิ่มมากขึ้นด้วย Gartner ได้สรุป 6 เทรนด์ด้าน Cybersecurity สำหรับปี 2024 และอนาคตอันใกล้ ติดตามอ่านกันได้ในบทความนี้

Tenable ออกโซลูชันใหม่ Tenable One for OT/IoT

IT ไม่ใช่ช่องทางเดียวที่จะถูกโจมตีได้ แต่ยังมีธุรกิจอีกจำนวนมากที่ต้องพึ่งพาระบบ OT และ IoT ในการปฏิบัติการ ด้วยเหตุนี้เองการรู้จักช่องโหว่ที่เป็นความเสี่ยงจึงเป็นเรื่องสำคัญไม่น้อยไปกว่าระบบ IT ล่าสุด Tenable ผู้เชี่ยวชาญด้านการบริหารจัดการช่องโหว่ได้ขยายความสามารถใหม่ให้แพลตฟอร์ม Tenable One รองรับการบริหารจัดการช่องโหว่สำหรับ …