حملات «مرد میانی» چگونه ارتباطات دیجیتال را شنود و دستکاری می‌کنند؟

شرکت‌های ارائه‌دهنده شبکه‌های خصوصی مجازی (VPN) و بازاریابان امنیت سایبری، همواره تصویر ترسناکی از شبکه‌های وای‌فای عمومی ترسیم می‌کنند. آن‌ها در تبلیغات خود ادعا می‌کنند که با اتصال به اینترنت یک کافه یا فرودگاه، هکری که در گوشه‌ای نشسته می‌تواند فوراً تمام اطلاعات شما را سرقت کند.[4]

این شرکت‌ها ایده دلهره‌آوری را می‌فروشند که بدون استفاده از تونل‌های محافظتی آن‌ها، هر گفتگوی دیجیتالی مانند یک کتاب باز است. بر اساس این روایت، حملات «مرد میانی» (MitM) به راحتی می‌توانند رمزهای عبور بانکی، ایمیل‌های شخصی و پیام‌های خصوصی شما را در کسری از ثانیه رهگیری کرده و ببلعند.[4]

در سوی دیگر این بحث، مهندسان رمزنگاری و طراحان پروتکل‌های شبکه استدلال می‌کنند که این روایت بازاریابی، مربوط به یک دهه پیش است. آن‌ها به پذیرش همه‌جانبه پروتکل امنیتی HTTPS و استانداردهای جدیدتر مانند TLS 1.3 اشاره می‌کنند که ترافیک رهگیری‌شده را به نویزهای رمزنگاری‌شده و کاملاً بی‌فایده تبدیل کرده است.[7]

از دیدگاه این متخصصان امنیت زیرساخت، تهدید کلاسیک «هکر در کافه» برای سرقت مستقیم رمزهای عبور، عملاً به تاریخ پیوسته است. به لطف پیشرفت‌های چشمگیر در ریاضیات و رمزنگاری مدرن، حتی اگر یک مهاجم بتواند تمام بسته‌های داده شما را جمع‌آوری کند، بدون داشتن کلیدهای رمزگشایی نمی‌تواند محتوای آن‌ها را بخواند.[7]

با این حال، واقعیت حملات مرد میانی در فضای فنی و پیچیده میان این دو ادعا قرار دارد. در حالی که رمزنگاری واقعاً مدل سنتی استراق سمع را در هم شکسته است، مهاجمان سایبری تمرکز خود را از تلاش برای شکستن رمزنگاری، به دستکاری لوله‌کشی زیربنایی شبکه تغییر داده‌اند.[6]

آن‌ها اکنون به جای رمزگشایی داده‌ها، دستگاه‌های کاربران را فریب می‌دهند تا پیش از برقراری یک اتصال امن، دسترسی‌ها را واگذار کنند. برای درک اینکه چگونه یک مهاجم می‌تواند در میان ارتباطات شما قرار بگیرد، باید بدانیم که شبکه‌های محلی در ابتدا بر اساس اعتماد ضمنی و بدون لایه‌های امنیتی طراحی شده‌اند.[6]

فریب در شبکه محلی با جعل ARP

پروتکل وضوح آدرس یا ARP، مانند یک مترجم حیاتی در شبکه‌های محلی عمل می‌کند که آدرس‌های نرم‌افزاری آی‌پی (IP) را به آدرس‌های فیزیکی سخت‌افزاری (MAC) پیوند می‌دهد. مشکل اساسی و تاریخی این پروتکل آن است که هیچ مکانیزم داخلی برای تأیید هویت فرستنده پیام‌ها در شبکه ندارد.[6]

در یک حمله جعل ARP، مهاجم از این ضعف ساختاری سوءاستفاده کرده و پیام‌های جعلی را به صورت انبوه در شبکه محلی ارسال می‌کند. او به روتر شبکه می‌گوید: «من کامپیوتر هدف هستم» و همزمان به کامپیوتر کاربر هدف پیام می‌دهد: «من روتر اصلی شبکه هستم».[6]

هنگامی که این دروغ توسط دستگاه‌های شبکه پذیرفته می‌شود، جدول‌های مسیریابی داخلی آن‌ها با اطلاعات جعلی به‌روزرسانی می‌شود که به این حالت «مسموم‌سازی ARP» می‌گویند. از این لحظه به بعد، تمام ترافیکی که قرار بود مستقیماً بین کامپیوتر شما و روتر رد و بدل شود، ابتدا از دستگاه مهاجم عبور می‌کند.[6]

مهاجم اکنون در موقعیت ایده‌آلی قرار دارد و به عنوان یک واسطه نامرئی عمل می‌کند. اگرچه رمزنگاری می‌تواند محتوای پیام‌های شما را مخفی نگه دارد، اما مهاجم همچنان می‌تواند متادیتاهای ارزشمندی را مشاهده کند؛ مانند اینکه شما به چه سرورهایی متصل می‌شوید و حجم داده‌های تبادل‌شده چقدر است.[6]

این اطلاعات به ظاهر ساده، می‌تواند برای برنامه‌ریزی حملات پیچیده‌تر یا مسدود کردن کامل دسترسی شما به اینترنت استفاده شود. علاوه بر این، مهاجمان می‌توانند از این موقعیت استراتژیک برای اجرای حملات کاهش سطح امنیت (Downgrade Attacks) استفاده کرده و تلاش کنند ارتباط امن شما را به نسخه‌های ناامن تنزل دهند.[6]

در این نوع حملات، مهاجم سعی می‌کند ارتباط امن HTTPS شما را پیش از برقراری کامل، به نسخه رمزنگاری‌نشده HTTP تغییر دهد. اگر وب‌سایت مقصد از پروتکل‌های امنیتی سخت‌گیرانه استفاده نکند، مرورگر شما ممکن است فریب خورده و اطلاعات حساس را به صورت متن ساده و قابل خواندن ارسال کند.[4]

تغییر مسیر با مسموم‌سازی DNS

سیستم نام دامنه (DNS) دقیقاً مانند دفترچه تلفن اینترنت عمل می‌کند و نام‌های خوانا مانند آدرس وب‌سایت‌ها را به آدرس‌های عددی آی‌پی ترجمه می‌کند. در حمله مسموم‌سازی یا جعل DNS، مهاجم این دفترچه تلفن حیاتی را دستکاری می‌کند تا شما را به سرورهای اشتباهی بفرستد.[3]

این کار شبیه به هک کردن سیستم ناوبری خودرو و دادن مسیرهای کاملاً دروغین به راننده است. هنگامی که شما آدرس وب‌سایت بانک خود را در مرورگر وارد می‌کنید، سیستم شما از سرور DNS می‌پرسد که این سایت دقیقاً در کدام آدرس آی‌پی فیزیکی قرار دارد.[5]

مهاجم با نفوذ به حافظه پنهان (Cache) سرور DNS یا رهگیری درخواست شما در شبکه محلی، یک پاسخ جعلی حاوی آدرس آی‌پی سرور مخرب خود را ارسال می‌کند. در نتیجه، مرورگر شما بدون هیچ هشداری به یک وب‌سایت جعلی که دقیقاً شبیه سایت بانک شما طراحی شده است، متصل می‌شود.[3][5]

این وب‌سایت‌های جعلی امروزه اغلب دارای گواهینامه‌های امنیتی معتبر (SSL) برای دامنه‌های مشابه هستند، بنابراین مرورگر شما علامت قفل سبز رنگ را نیز نمایش می‌دهد. کاربر که به ظاهر در یک محیط کاملاً امن قرار دارد، نام کاربری و رمز عبور خود را با اطمینان وارد می‌کند.[5]

این اطلاعات هویتی به جای ارسال به بانک، مستقیماً در پایگاه داده مهاجم ذخیره می‌شوند. این روش یکی از موثرترین و خطرناک‌ترین راه‌ها برای سرقت اطلاعات هویتی در مقیاس وسیع است، زیرا کاربر هیچ نشانه واضحی از هک شدن یا تغییر مسیر در مرورگر خود مشاهده نمی‌کند.[3]

برای مقابله با این نوع حملات پیچیده، پروتکل‌های امنیتی جدیدتری مانند DNSSEC توسعه یافته‌اند که پاسخ‌های DNS را با امضاهای دیجیتالی رمزنگاری‌شده تایید می‌کنند. با این حال، پذیرش جهانی این پروتکل‌ها هنوز کامل نشده است و بسیاری از شبکه‌ها همچنان در برابر این فریب‌ها آسیب‌پذیر هستند.[5]

دور زدن رمزنگاری با سرقت نشست

هنگامی که مهاجمان متوجه می‌شوند نمی‌توانند رمزنگاری قدرتمند تونل ارتباطی را بشکنند، به سراغ نقطه ضعف بعدی می‌روند: هویت تاییدشده کاربر. پس از اینکه شما با موفقیت وارد یک وب‌سایت می‌شوید، سرور یک شناسه منحصر‌به‌فرد به نام «توکن نشست» (Session Token) برای شما تولید می‌کند.[1]

این توکن معمولاً در کوکی‌های مرورگر شما ذخیره می‌شود تا نیازی نباشد برای هر کلیک یا باز کردن صفحه جدید، دوباره رمز عبور خود را وارد کنید. در حمله ربودن نشست (Session Hijacking)، هدف اصلی و نهایی مهاجم، سرقت همین توکن تایید هویت است.[2]

اگر مهاجم بتواند این شناسه حساس را به دست آورد، می‌تواند آن را در مرورگر سیستم خود وارد کرده و دقیقاً با هویت شما وارد حساب کاربریتان شود. در این حالت، سرور هیچ تفاوتی بین شما و مهاجم قائل نمی‌شود، زیرا هر دو از یک کلید ورود کاملاً معتبر استفاده می‌کنید.[1]

خطرناک‌ترین جنبه ربودن نشست این است که مهاجم نیازی به دانستن رمز عبور اصلی شما یا حتی عبور از سد احراز هویت دو مرحله‌ای (2FA) ندارد. او مستقیماً وارد حسابی می‌شود که قبلاً تمام این مراحل امنیتی را با موفقیت پشت سر گذاشته و اکنون کاملاً باز است.[2]

مهاجمان برای سرقت این توکن‌ها از روش‌های مختلفی مانند تزریق اسکریپت از طریق وب‌گاه (XSS) استفاده می‌کنند. در این روش، کدهای مخرب در یک وب‌سایت آسیب‌پذیر اجرا شده و کوکی‌های کاربرانی را که از آن صفحه بازدید می‌کنند، به سرورهای تحت کنترل مهاجم ارسال می‌کنند.[1][2]

تفاوت اصلی این روش با استراق سمع سنتی در این است که مهاجم نیازی به رمزگشایی ترافیک زنده و در حال عبور ندارد. او تنها در کمین می‌نشیند تا شما فرآیند احراز هویت را به درستی انجام دهید و سپس کنترل کامل حساب را به دست می‌گیرد.[2]

سپر دفاعی رمزنگاری سرتاسری

با وجود تمام این تهدیدات پیچیده، معماری وب مدرن دفاعیات بسیار قدرتمندی را در برابر حملات مرد میانی ایجاد کرده است. پروتکل امنیت لایه انتقال (TLS) تضمین می‌کند که داده‌های تبادل‌شده بین شما و سرور، رمزنگاری شده و برای هر واسطه‌ای کاملاً غیرقابل خواندن باشند.[7]

این پروتکل همچنین از زیرساخت گواهینامه‌های دیجیتال برای تایید هویت سرور استفاده می‌کند تا مطمئن شود مرورگر شما دقیقاً با سایت اصلی صحبت می‌کند. علاوه بر این، رمزنگاری سرتاسری (E2EE) در برنامه‌های پیام‌رسان مدرن، امنیت ارتباطات شخصی را یک گام بزرگ فراتر برده است.[7]

در مدل رمزنگاری سرتاسری، کلیدهای رمزگشایی تنها در دستگاه‌های فرستنده و گیرنده تولید و نگهداری می‌شوند. این بدان معناست که حتی خود شرکت ارائه‌دهنده خدمات پیام‌رسان یا ارائه‌دهنده اینترنت نیز نمی‌تواند محتوای پیام‌های شما را بخواند یا آن‌ها را در میانه راه دستکاری کند.[7]

اگر یک مهاجم در میانه راه موفق به رهگیری این پیام‌های سرتاسری شود، تنها با رشته‌ای از کاراکترهای بی‌معنی و درهم‌ریخته مواجه خواهد شد. با این حال، امنیت سایبری یک فرآیند مطلق نیست و مهاجمان دائماً به دنبال یافتن پیکربندی‌های اشتباه یا خطاهای انسانی هستند.[4]

استفاده از شبکه‌های خصوصی مجازی (VPN) در وای‌فای‌های عمومی می‌تواند لایه اضافه‌ای از رمزنگاری را فراهم کند و مانع از حملات محلی مانند جعل ARP شود. اما کاربران باید آگاه باشند که این ابزارها تنها تا سرور مقصد خود ترافیک را رمزنگاری می‌کنند و یک راهکار جادویی نیستند.[4]

در نهایت، آگاهی کاربران و رعایت اصول اولیه امنیتی نقش حیاتی در خنثی کردن این حملات دارد. خروج کامل از حساب‌های کاربری (Log out) پس از پایان کار، یکی از ساده‌ترین و موثرترین راه‌ها برای بی‌اعتبار کردن توکن‌های نشست و جلوگیری از سوءاستفاده مهاجمان است.[1][2]