ผู้เชี่ยวชาญเผยการโจมตี ‘man-in-the-middle’ ใหม่บน TLS

ALPACA attack หรือ ‘application layer protocol content confusion attack’ ซึ่งเป็นงานวิจัยระดับอุดมศึกษาของมหาวิทยาลัยในเยอรมันนี ที่จะไปแสดงในงาน Black Hat USA 2021 ในเดือนสิงหาคมนี้ โดยหลักๆคือส่งผลกระทบในวงกว้างในโปรโตคอล TLS ที่นำไปสู่การขโมยข้อมูลผู้ใช้งานได้

อันที่จริงแล้วแนวคิดของ ALPACA ไม่ได้เพิ่งเกิดขึ้น แต่มีการเผยแพร่แนวคิดเดียวกันนี้มาตั้งแต่ปี 2001 และปี 2014 แล้ว โดยไอเดียของ ALPACA มาจากรากฐานที่ว่าโปรโตคอล TLS นั้นมองในส่วนของ Application Layer เท่านั้นจึงกลายเป็นว่าไม่ได้ครอบคลุมถึงโปรโตคอลด้านล่างและปลายทาง ทำให้ผู้ไม่หวังดีมีโอกาสทำ man-in-the-middle attack หากสามารถใช้ Certificate ที่เข้ากันได้เช่นกรณี wildcard หรือ multi-domain certificate

credit : https://alpaca-attack.com/

โดยในภาพของการโจมตีนั้นผู้เชี่ยวชาญเผยถึงกรณีต่างๆ ที่สามารถฏิบัติการได้คือ 1.) ขา Upload ที่สามารถขโมย Cookies หรือข้อมูลสำคัญ 2.) ขา Download สามารถลอบ Execute XSS และ Reflection ทั้งนี้ผู้เชี่ยวชาญได้สาธิตลงทะเบียนอีเมลกับ Mailfence และทำการโจมตีด้วย HTML Form ที่นำไปสู่การ Execute JavaScript

ผลกระทบ

ผู้เชี่ยวชาญได้สแกนค้นหาเว็บไซต์ในอินเทอร์เน็ตพบว่ามีเว็บกว่า 1,400,000 ที่เสี่ยงต่อ Cross-protocol Attack โดยมี 119,000 แห่งเสี่ยงต่อการเจาะระบบ Application Server อย่างไรก็ดี man in the middle หมายความว่าคนร้ายจะต้องได้อยู่ระหว่างวงเครือข่ายของผู้ใช้กับปลายทางด้วยนั่นจึงลดโอกาสไปได้ส่วนหนึ่ง อย่างไรก็ดี ALPACA attack ต้องอาศัยปัจจัยความสำเร็จหลายตัว ทั้งในเรื่องของ Browser เองหรือฝั่งเจ้าของ Web และ Application Server

การป้องกัน

อันที่จริงมีการป้องกันที่ใช้ได้ในส่วนของ TLS Extension อยู่แล้วคือ SNI ที่เปิดให้ Client สามารถแจ้งให้เซิร์ฟเวอร์ทราบได้ถึง Hostname ที่ต้องการเชื่อมต่อ ซึ่งทำให้เซิร์ฟเวอร์สามารถจบการเชื่อมต่อได้หาก Hostname ไม่ตรงกับที่คาดหวัง แต่ก็ยังมีการใช้งานน้อยมากใน Web Server อีกทางหนึ่งคือ ALPN ที่ช่วยให้ Client แจ้งความประสงค์ในการเชื่อมต่อโปรโตคอลที่ต้องการ อย่างไรก็ดีผู้เชี่ยวชาญได้เตือนว่า IE Browser มีความเสี่ยงมากเพราะมีระดับการป้องกันน้อยกว่าคนอื่น จึงแนะนำให้อัปเดตเป็นเวอร์ชันล่าสุดด้วย ไม่เพียงแค่นั้นยังมี Vendor อีกมากที่ผู้เชี่ยวชาญแจ้งเพื่อแก้ไขแล้วเช่น Sendmail, FileZilla, Nginx และอื่นๆ

ALPACA นั้นไอเดียการใช้งานค่อนข้างซับซ้อน ซึ่งในทางปฏิบัติแล้วเป็นไปได้ยากที่จะจำกัดที่รูปแบบของการโจมตีเพราะเกี่ยวเนื่องกับหลายองค์ประกอบทั้งฝั่ง Client Application และ Server ซึ่งผู้เชี่ยวชาญคาดว่ากว่าจะแก้ไขกันหมดคงกินเวลาอีกหลายปีและยังมีรูปแบบอื่นๆ ที่ยังไม่พบอีกด้วย ถึงขนาดว่าต้องตั้งเว็บไซต์มาให้ข้อมูลที่ https://alpaca-attack.com/ ผู้สนใจงานวิจัยศึกษาได้ที่ https://alpaca-attack.com/ALPACA.pdf

ที่มา : https://alpaca-attack.com/ และ https://www.securityweek.com/alpaca-new-tls-attack-allows-user-data-extraction-code-execution และ https://www.theregister.com/2021/06/10/alpaca_tls_protection/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

“ฟอร์ติเน็ตจับมือมหาวิทยาลัยศรีปทุม” เพื่อลดช่องว่างด้านทักษะ เพื่อต่อสู้ภัยไซเบอร์ของบุคลากรไทย [Guest Post]

“เปิดโอกาสให้บุคลากรไทยเข้าถึงหลักสูตรความรู้ด้านความปลอดภัยไซเบอร์ระดับโลกล่าสุดของฟอร์ติเน็ต เพื่อปั้นผู้เชี่ยวชาญมืออาชีพรุ่นเน็กซ์เจนเนอเรชั่น” ฟอร์ติเน็ต ผู้นำระดับโลกด้านโซลูชันการรักษาความปลอดภัยทางไซเบอร์แบบอัตโนมัติและครบวงจร ได้ลงนามในบันทึกความเข้าใจ (MOU) กับมหาวิทยาลัยศรีปทุม เพื่อจัดหลักสูตรการฝึกอบรมและออกประกาศนียบัตรด้านความปลอดภัยทางไซเบอร์อันเป็นที่ยอมรับในอุตสาหกรรมระดับโลกให้นักศึกษาของไทย ความร่วมมือครั้งสำคัญนี้จะช่วยให้นักศึกษาของมหาวิทยาลัยศรีปทุมเพิ่มทักษะด้านการรักษาความปลอดภัยไซเบอร์ที่ตรงกับความต้องการขององค์กรในประเทศไทยจากหลักสูตรที่ได้รับรางวัลของฟอร์ติเน็ต เพื่อเตรียมให้นักศึกษาพร้อมเป็นผู้เชี่ยวชาญ ลดช่องว่างด้านทักษะ ช่วยสร้างโลกดิจิทัลของไทยให้ปลอดภัย

เดลล์ เทคโนโลยีส์ ประกาศเสริมความแข็งแกร่งในการเตรียมพร้อมเพื่อการรับมือกับภัยคุกคามไซเบอร์ด้วยนวัตกรรมด้านความปลอดภัยและการปกป้องข้อมูลบนมัลติคลาวด์ [Guest Post]

ซอฟต์แวร์ที่ทำงานด้วยพลังของ AI จากเดลล์ และความสามารถในการดูแลรักษาความปลอดภัยในการปฏิบัติงานช่วยขับเคลื่อนการทำงานแบบ Zero Trust ที่ปกป้องทั้งข้อมูล พร้อมลดความเสี่ยงจากการโจมตีทางไซเบอร์