Instruktor: W
poprzednim wykładzie omawialiśmy dobre
rozwiązanie chroniące nas przed atakami typu man-in-the-middle.
I to rozwiązanie polegało na użyciu wtyczki HTTPS Everywhere.
Dzięki tej wtyczce, jak
widzieliśmy wcześniej, byliśmy w stanie zmusić wszystkie strony internetowe
HTTPS, by zawsze ładowały się przez HTTPS.
Dlatego jeśli ktoś przechwyci nasze dane,
będą one bezużyteczne, ponieważ zostaną zaszyfrowane za pomocą HTTPS.
To rozwiązanie jest naprawdę dobre, jest bezpłatne.
Jedynym problemem jest, jak wiadomo, to
działa tylko ze stronami internetowymi, które używają HTTPS.
Więc widzieliśmy wcześniej, jeśli logujesz się lub korzystasz ze strony
HTTP, twoje dane
są nadal narażone, hakerzy lub ktokolwiek przechwytujący twoje
dane nadal może odczytać twoje nazwy użytkownika, hasła
lub wstrzyknąć kod JavaScript, podać
fałszywe aktualizacje, i tak dalej na.
Ponadto, jak widzieliśmy wcześniej, dzięki
tej wtyczce haker lub ktokolwiek przechwyci
twoje dane będzie mógł zobaczyć odwiedzane strony internetowe.
Oprócz tego będą
mogli także manipulować żądaniami DNS,
a zatem będą mogli przeprowadzać ataki fałszowania DNS.
Pod koniec poprzedniego wykładu
powiedziałem, że jeśli chcesz przenieść swoje bezpieczeństwo
na wyższy poziom, powinieneś pomyśleć o użyciu VPN.
Pozwól, że pokażę Ci, co się dzieje, gdy korzystamy
z VPN, a następnie wyjaśnię to bardziej
szczegółowo, aby pomóc Ci zrozumieć, co się dzieje.
Więc wróciłem tutaj na moją maszynę hakerską.
Jak wiecie, to już mężczyzna w
środku, wyczyszczę ekran.
I nawet wyłączę HTTPS Wszędzie.
Teraz dobrym pomysłem jest używanie obu jednocześnie, ale
wyłączę to tylko
po to, aby pokazać różnicę.
Możesz użyć dowolnego dostawcy VPN, to naprawdę
nie ma znaczenia,
większość z nich używa mniej więcej tych samych technologii.
W zSecurity zapewniamy własną usługę VPN o nazwie ZSVPN, więc
mam ją tutaj, ponieważ nie zawiera dzienników.
Obsługujemy wszystkie systemy operacyjne, Linux, Windows, OS X,
Android i iOS, a nawet
Tails, który jest Linux Distro zorientowanym na prywatność.
Tak jak powiedziałem, możesz użyć wszystkiego, co
chcesz, wszyscy używają mniej więcej tej samej technologii.
Chcę teraz podkreślić, co
się dzieje, kiedy faktycznie korzystasz z VPN.
Więc otworzę mojego klienta i
połączę się z serwerem, jednym
z serwerów tutaj.
I to
zrobi, ustanowi szyfrowany tunel między moim komputerem a
serwerem VPN, z którym właśnie się połączyłem.
Dlatego właśnie teraz pozwól, że pokażę Ci, zacznijmy,
usunę wszystko.
Zacznijmy od niektórych stron, na przykład
przejdziemy do Google. com, to
pójdziemy do Bing. com.
A potem przejdźmy do Stack Overflow
i upewnijmy się, że ładuje się przez HTTPS.
Pamiętaj, że nie używam HTTPS Wszędzie.
Ale zauważysz, że nadal będzie się ładował przez HTTPS, jak widać,
nie jesteśmy w stanie go obniżyć.
I przejdźmy jeszcze o krok
dalej, przejdźmy do vulnweb. com i po prostu zaloguj się.
Więc znowu jest to strona internetowa, która używa tylko HTTP,
po prostu nie obsługuje HTTPS.
Ale zalogujmy się i sprawdźmy, czy nadal możemy przechwycić dane.
Więc po prostu wstawię teraz moje hasło 0987654321, Zaloguj się.
Wróćmy do naszej maszyny Kali, aby
zobaczyć, czy coś wykryliśmy.
Jak widać,
nie jesteśmy w stanie odczytać żadnego
ruchu wysyłanego do i z celu.
Tak więc w przypadku, gdy korzystaliśmy z HTTPS
Everywhere, byliśmy w stanie zobaczyć przynajmniej domeny,
strony internetowe odwiedzane przez cele.
Po zalogowaniu się do vulnweb mogliśmy zobaczyć dane
przesyłane przez HTTP. com.
Ale w tym przypadku, jak widać, w
tej chwili nie widzimy nazwy użytkownika
i hasła, nawet jeśli są wysyłane przez HTTP do vulnwebweb.
I nie widzimy nazw domen, które odwiedził cel.
A powodem tego jest to, że korzystamy z
VPN i, jak powiedziałem, VPN tworzy zaszyfrowany tunel
między naszym komputerem a serwerem, a wszystkie nasze dane zostaną
przesłane przez ten zaszyfrowany tunel.
Pozwól, że wyjaśnię ci to za pomocą diagramów, aby to ułatwić.
Ogólnie rzecz biorąc, załóżmy, że próbujesz przejść do Google. com, twoje połączenie
przejdzie przez wiele centrów, ale na
koniec będzie bezpośrednio w Google. com.
Stąd czerwona strzałka wskazująca, że połączenie to
nie mogło być zaszyfrowane.
Dlatego dane mogą być zagrożone.
Teraz, gdy korzystasz z
VPN, łączysz się z serwerem VPN w określonym kraju.
Kiedy to zrobisz, utworzysz zaszyfrowany tunel
między komputerem a serwerem VPN.
Powiedzmy, że chcesz przejść do Google. com, żądanie
danych zostanie najpierw wysłane do serwera VPN,
teraz serwer VPN będzie mógł to
odczytać, ale dane zostaną wysłane w zaszyfrowanym tunelu.
Dlatego jeśli ktoś przechwyci te dane,
nie będzie mógł
zobaczyć, co wysyłasz na serwer VPN.
Dlatego nawet nie obchodzi nas,
czy komuś uda się przechwycić nasze połączenie,
ponieważ nasze dane będą dla nich bełkotem, jak
widać tutaj.
Następnie, gdy serwer VPN otrzyma twoje żądanie,
prześle je do żądanego
miejsca docelowego,
a odpowiedź podąży podobną trasą.
Teraz, z powodu
tej struktury, ze względu na sposób, w jaki
dane są zawsze szyfrowane między
tobą a serwerem VPN, korzystanie z VPN może być przydatne w
wielu scenariuszach, ponieważ dodaje dodatkową warstwę szyfrowania.
Dlatego poprawia naszą prywatność i anonimowość w ogólności, pozwala nam ominąć
cenzurę, ponieważ powiedzmy, że twój
dostawca usług internetowych uniemożliwia ci dostęp do niektórych usług
lub niektórych stron internetowych, nie będą oni
mogli wiedzieć, jakie są te strony internetowe i
te usługi , ponieważ ponownie połączenie
jest szyfrowane i nawet nie będą
wiedzieć, co robisz.
Zobaczą tylko, że łączysz
się z serwerem w jakimś kraju.
I wreszcie, będzie to również chronić nas przed hakerami
lub kimkolwiek, kto przechwytuje nasze połączenie,
ponieważ wszystkie nasze dane są szyfrowane, dlatego
nie obchodzi nas,
kto przechwytuje te dane, dane będą bełkotem .
Teraz, również ze
względu na strukturę, musisz zachować ostrożność przy wyborze
dostawcy VPN, ponieważ ta struktura przedstawia dostawcę VPN
jako man-in-the-middle, więc jak widać,
wysyłamy wszystko na serwer VPN najpierw,
a potem idzie do Internetu.
A serwer VPN jest w stanie odszyfrować te
dane, ponieważ tunel, szyfrowanie
VPN, jest używane tylko między naszym komputerem a serwerem VPN.
Więc jeśli administrator serwera VPN chciałby
przeanalizować twoje dane
i zobaczyć, co wysłałeś i
otrzymałeś, będą mogli to zrobić.
Dlatego musisz
upewnić się, że wybrałeś renomowanego dostawcę
VPN, firmę, której możesz zaufać.
Chcesz trzymać się z dala
od bezpłatnych dostawców, ponieważ świadczenie usługi VPN jest bardzo drogie.
Dlatego jeśli ktoś może ci to dać za
darmo, musi mieć inny
kąt lub inny powód, dla którego daje to za darmo.
Chcesz mieć pewność, że dostawca VPN nie
prowadzi dzienników, a
dzięki temu możesz używać wtyczki HTTPS Everywhere z VPN.
Jeśli to zrobisz, naprawisz problem danych
opuszczających serwer VPN, ponieważ Twoje
dane będą szyfrowane między
komputerem a serwerem VPN za pomocą
dwóch warstw szyfrowania.
Najpierw za pomocą szyfrowania
VPN, a następnie za pomocą TLS z powodu HTTPS Everywhere.
Następnie dane opuszczające
serwer VPN zostaną zaszyfrowane jedną
warstwą szyfrowania, czyli szyfrowaniem wymuszonym przez HTTPS Everywhere.
Dlatego nawet jeśli dostawca VPN jest
w stanie zobaczyć
twoje dane i może odszyfrować szyfrowanie używane w tunelu VPN,
nadal nie będzie w stanie zobaczyć twoich
danych, ponieważ nadal będą szyfrowane za pomocą TLS.
To w zasadzie rozwiązuje problem,
że serwer VPN może zobaczyć twoje dane, ponieważ
na serwerze VPN twoje
dane będą nadal szyfrowane za pomocą TLS.
Podsumowując dwie metody, które
omówiliśmy, aby chronić nasze dane
przed atakami typu man-in-the-middle, z HTTPS
Everywhere, to świetnie, to nic nie kosztuje.
Jedynym problemem jest to, że działa tylko ze stronami
HTTPS, osoba przechwytująca dane
nadal będzie mogła zobaczyć witryny, które
odwiedzamy, i nadal będzie mogła przeprowadzać ataki fałszowania DNS.
Potem rozmawialiśmy o korzystaniu z VPN.
A przy użyciu VPN wszystko jest szyfrowane, więc
to jeszcze lepiej.
Żaden z ataków, o których rozmawialiśmy
i które omówiliśmy w tym kursie, nie
zadziała, ponieważ wszystko zostanie zaszyfrowane.
Jedynym problemem jest to, że nie jest za darmo.
Istnieją bezpłatne usługi, ale jak powiedziałem, nie są
świetne, więc nie powinieneś ich używać,
po prostu nie używaj VPN, jeśli nie chcesz za to płacić.
Innym problemem związanym
z VPN jest to, że dostawca
VPN widzi Twoje dane, więc wprowadzasz man-in-the-middle.
Ale możemy pójść o krok dalej i
korzystać z HTTPS Wszędzie z VPN, a dzięki temu uzyskujemy
wszystkie zalety korzystania z VPN.
Więc wszystko jest
szyfrowane, chroń nas przed wszystkimi atakami typu
man-in-the-middle, ale bez problemu, że dostawca VPN będzie w
stanie zobaczyć nasze dane, ponieważ
nasze dane będą szyfrowane za pomocą dwóch warstw.
Dlatego nawet dostawca VPN nie
będzie mógł zobaczyć tego, co wysłaliśmy lub otrzymaliśmy,
ponieważ nadal będzie szyfrowany za pomocą TLS.
Jedynym minusem korzystania z HTTPS Everywhere z VPN jest fakt,
że musisz zapłacić za usługę VPN.