Attaque par SSL stripping
Le SSL stripping est un procédé par lequel l'attaquant coupe la connexion entre un utilisateur et un site Web. Cela se fait en rétrogradant la connexion HTTPS sécurisée de l'utilisateur vers une version HTTP non sécurisée du site Web. L'utilisateur est ainsi connecté au site non sécurisé pendant que l'attaquant maintient une connexion avec le site sécurisé, ce qui rend l'activité de l'utilisateur visible pour l'attaquant sous une forme non chiffrée.
Lorsque vous visitez un site Web, avant de vous connecter à sa version HTTPS sécurisée, vous devez d'abord établir une connexion avec la version HTTP moins sécurisée. C'est à ce moment que les attaquants peuvent mener une attaque par SSL stripping. Parce que chaque connexion Internet commence en mode non sécurisé, les pirates peuvent supprimer la connexion SSL et mener une attaque de l'intercepteur, empêchant l'utilisateur de se connecter de façon sécurisée au site Web.
Une attaque par SSL stripping peut être potentiellement très dangereuse, car elle permet non seulement à l'attaquant de voir en texte clair tout le trafic envoyé vers le site Web (p. ex. numéros de carte de crédit et de sécurité sociale), mais elle permet aussi au pirate de renvoyer des données en se faisant passer pour un interlocuteur légitime.
Voici les principales façons dont un attaquant peut mener une attaque par SSL stripping :
- Le proxy du navigateur de l'utilisateur est configuré pour rediriger tout le trafic vers un serveur externe. Si cela se produit, toutes les données que l'utilisateur envoie au navigateur aboutissent chez le pirate, qui peut exploiter le contrôle acquis de plusieurs façons.
- Si le pirate se connecte directement à l'adresse IP en utilisant un protocole de résolution d'adresses (ARP) usurpé, il pourra recevoir toutes les données envoyées par cette adresse IP précise.
- Les pirates créent aussi souvent de faux réseaux WiFi publics à des fins de SSL stripping. Dès que l'utilisateur se connecte à ce faux WiFi, l'attaquant est en mesure de contrôler toutes les communications qui ont lieu.
L'équipe KZero
Explorez d'autres contenus instructifs rédigés par l'équipe chevronnée de KZero dans les sections blogue et guides de notre site.