jtripper/sslnukeوكيل شفاف يفك تشفير حركة مرور SSL ويطبع رسائل IRC.
لقد سمعنا جميعًا مرارًا وتكرارًا أن SSL بدون التحقق ليس آمنًا. إذا لم يتم التحقق من اتصال SSL بشهادة مخزنة مؤقتًا، فيمكن لأي مهاجم اختطافه بسهولة. لذا في عام 2013، قد يظن المرء أننا تخلّصنا تمامًا من هذه المشكلة. تخزّن المتصفحات الشهادات مؤقتًا وتحذّر المستخدم بصوت عالٍ عندما يعرض الموقع شهادة ذاتية التحقق لا ينبغي الوثوق بها. لقد حلّ مطوّرو المتصفحات هذه المشكلة إلى حدٍّ كبير. ومع ذلك، فإن HTTPS ليس البروتوكول الوحيد الذي يستخدم SSL. لسوء الحظ، لا تتحقق العديد من عملاء هذه البروتوكولات الأخرى افتراضيًا، وحتى لو فعلوا، فلا يوجد ضمان لنقل الشهادة بشكل آمن. ففي النهاية، كم من الناس مستعدّ لدفع 50 دولارًا مقابل شهادة SSL لخادم FTPS لديه؟
من البروتوكولات الشائعة التي تستخدم SSL ولكن نادرًا ما يتم التحقق منها هو IRC. تتحقق العديد من عملاء IRC افتراضيًا، لكن معظم المستخدمين يعطّلون هذا لأن مسؤولي خوادم IRC لا يميلون إلى شراء شهادات SSL شرعية. حتى أن بعض العملاء المشهورين يتركون التحقق من SSL معطّلًا افتراضيًا (IRSSI على سبيل المثال). نحن نعرف بالفعل أن هذا غير حكيم، فأي مهاجم بين المستخدم وخادم IRC يمكنه تقديم شهادة غير صالحة وفك تشفير كل حركة مرور المستخدم (بما في ذلك الرسائل الحساسة على الأرجح). معظم المستخدمين لا يفكرون حتى في هذه الحقيقة عند الاتصال بخادم IRC "الآمن" عبر SSL.
الغرض من sslnuke هو تطوير أداة موجّهة نحو فك تشفير حركة مرور IRC "الآمنة" واعتراضها. هناك الكثير من الأدوات الحالية التي تعترض حركة مرور SSL بالفعل، لكن معظمها موجّه نحو حركة مرور HTTP. يستهدف sslnuke IRC مباشرةً لإظهار مدى سهولة اعتراض الاتصالات "الآمنة". استخدام sslnuke بسيط.
أولًا، أضف حساب مستخدم ليعمل sslnuke به، وأضف قواعد iptables لإعادة توجيه حركة المرور إليه:
# useradd -s /bin/bash -m sslnuke
# grep sslnuke /etc/passwd
sslnuke:x:1000:1000::/home/sslnuke:/bin/bash
# iptables -t nat -A OUTPUT -p tcp -m owner ! --uid-owner 1000 -m tcp \
--dport 6697 --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 4444
أخيرًا، سجّل الدخول باسم sslnuke، ثم ابنِ الأداة وشغّلها:
# su -l sslnuke
# cd sslnuke
# make
# ./sslnuke
شغّل عميل IRC وسجّل الدخول إلى شبكة IRC المفضلة لديك باستخدام SSL، ستتم طباعة رسائل IRC إلى stdout على sslnuke.
[*] Received connection from: 192.168.0.5:58007
[*] Opening connection to: 1.1.1.1:6697
[*] Connection Using SSL!
[*] irc.com -> AUTH (1.1.1.1): *** Looking up your hostname...
[*] irc.com -> AUTH (1.1.1.1): *** Found your hostname
[*] irc.com -> victim (1.1.1.1): *** You are connected to irc.vps-heaven.com with TLSv1.2-AES256-GCM-SHA384-256bits
[*] 192.168.0.5 -> nickserv (192.168.0.5): id hello
[*] [email protected] -> victim (1.1.1.1): Password accepted - you are now recognized.
سيكتشف sslnuke تلقائيًا العميل الذي يستخدم SSL ويحدد ما إذا كان سيستخدم SSL أم لا. يمكن أيضًا تعديل الكود بسهولة لإظهار كلمات مرور المواقع أو بيانات FTP، أي شيء يستخدم SSL. لمهاجمة المستخدمين على شبكة ما، يمكن استخدام sslnuke بالتزامن مع أداة تسميم ARP، مثل الأداة الموجودة في Blackhat Library أو يمكن نشره على بوابة.
يمكن مشاهدة عرض فيديو لـ sslnuke على ascii.io.
الآن إلى الجزء المهم: كيف نتحقق من اتصالات SSL؟ الخطوة الأولى هي نقل شهادة SSL عبر وسيط بديل، وأفضل طريقة هي أن يعطيك المسؤول الشهادة مباشرة. ومع ذلك، إذا لم يكن ذلك ممكنًا، يمكن لـ openssl تنزيل الشهادة من الخادم:
# openssl s_client -showcerts -connect irc.com:6697 </dev/null
احفظ الشهادة في ~/.irssi/ssl/irc.com.crt. من الأفضل تشغيل الأمر من جهاز على شبكة مختلفة عن شبكتك لمنع اعتراضها. بعد ذلك، لتكوين IRSSI لاستخدام الشهادة، احفظ شبكة:
/network add irc
/server add -ssl_cafile ~/.irssi/ssl/irc.com.crt -network irc -port 6697 irc.com
إذا حصل IRSSI على شهادة غير صالحة في أي وقت، فسوف يحذرك وينقطع فورًا. ومع ذلك، لمن هم شديدو الحذر، يجب استخدام خدمة Tor مخفية أو VPN. لتكوين إعادة توجيه تلقائية لخدمة Tor المخفية على لينكس، يمكن تشغيل الأوامر التالية:
# echo "VirtualAddrNetwork 10.192.0.0/10" >> /etc/tor/torrc
# echo "AutomapHostsOnResolve 1" >> /etc/tor/torrc
# echo "TransPort 9040" >> /etc/tor/torrc
# echo "DNSPort 5353" >> /etc/tor/torrc
# killall -HUP tor
# iptables -t nat -A OUTPUT -p tcp -d 10.192.0.0/10 -j REDIRECT --to-ports 9040
# iptables -t nat -A OUTPUT -p udp --dport 53 -j REDIRECT --to-ports 5353
# ncat xxxxxxxxxxxxxxx.onion 6667
:irc.com NOTICE AUTH :*** Looking up your hostname...
:irc.com NOTICE AUTH :*** Couldn't resolve your hostname; using your IP address instead
^C
في النهاية، يجب على عملاء IRC استخدام التحقق من المفاتيح بأسلوب SSH. عند أول اتصال، اعرض بصمة الشهادة على المستخدم وأجبره على تأكيدها ثم خزّن الشهادة مؤقتًا. إذا تغيرت في المرة القادمة، لا تسمح بالاتصال.
يمكن تنزيل الكود المصدري من Github.