Man-in-the-Middle-Angriff

Ein Man-in-the-Middle Angriff (MitM) ist eine Art von Cyberangriff, bei dem der Angreifer heimlich die Kommunikation zwischen zwei Parteien übernimmt oder abhört, ohne dass die beteiligten Parteien dies bemerken.

Der Angreifer schaltet sich zwischen die beiden Parteien (daher der Name „Man in the Middle“), fängt ihre Datenübertragungen ab und kann diese Daten ausspionieren oder sogar manipulieren.

Wie funktioniert ein Man-in-the-Middle Angriff?

Ein Man-in-the-Middle (MitM) Angriff umfasst mehrere Schritte und Techniken, um zwischen zwei Kommunikationsteilnehmern erfolgreich zu intervenieren und die übertragenen Informationen abzuhören oder zu manipulieren.

Verbindungsaufbau

Der Angreifer positioniert sich strategisch zwischen die beiden Parteien, die kommunizieren möchten. Dies kann auf verschiedene Arten erfolgen, z.B.:

• ARP-Spoofing: In lokalen Netzwerken (LANs) kann der Angreifer gefälschte ARP (Address Resolution Protocol) Nachrichten verwenden, um die Netzwerkgeräte dazu zu bringen, ihren Datenverkehr über den Angreifer zu leiten, statt direkt zum eigentlichen Ziel.
• DNS Cache Poisoning: Der Angreifer manipuliert die DNS (Domain Name System) Antworten, um den Datenverkehr umzuleiten und so unter seine Kontrolle zu bringen.
• Wi-Fi-Eavesdropping: In öffentlichen Wi-Fi-Netzwerken kann der Angreifer einen Rogue Access Point einrichten, der so aussieht, als wäre er ein legitimer Netzwerkzugangspunkt. Die Nutzer verbinden sich mit diesem Access Point, wodurch ihr gesamter Datenverkehr über den Angreifer geleitet wird.

Abfangen von Daten

Sobald der Angreifer sich in der Kommunikationskette befindet, kann er den durchgehenden Datenverkehr abfangen. Die Daten, die zwischen den ursprünglichen Parteien ausgetauscht werden, fließen nun durch den Angreifer, der sie einsehen, aufzeichnen und analysieren kann.

Datenmanipulation

Neben dem einfachen Abhören kann der Angreifer auch die übertragenen Daten verändern. Beispielsweise könnte er während einer Banktransaktion die Überweisungsdetails ändern, sodass das Geld auf sein Konto statt auf das beabsichtigte Konto überwiesen wird.

Weiterleitung

In vielen Fällen leitet der Angreifer die abgefangenen oder manipulierten Daten weiter an den ursprünglichen Empfänger, um nicht entdeckt zu werden. Dies gibt ihm die Möglichkeit, über längere Zeit unbemerkt zu bleiben und weiterhin Daten abzufangen oder zu verändern.

Welche Varianten von Man-in-the-Middle Angriffen gibt es?

Man-in-the-Middle (MitM) Angriffe können auf unterschiedliche Weisen durchgeführt werden, je nachdem, welche Schwachstellen ausgenutzt werden oder welche Methoden der Angreifer anwendet.

ARP Spoofing

ARP (Address Resolution Protocol) Spoofing ist eine häufige Methode für MitM-Angriffe in lokalen Netzwerken (LANs). Der Angreifer sendet gefälschte ARP-Nachrichten ins Netzwerk, um die Netzwerkgeräte dazu zu bringen, ihren Datenverkehr durch den Angreifer zu leiten, indem sie denken, dass die IP-Adresse des Angreifers der MAC-Adresse eines anderen Geräts im Netzwerk entspricht.

DNS Cache Poisoning

Beim DNS Cache Poisoning manipuliert der Angreifer die DNS-Antworten, um den Datenverkehr umzuleiten und so unter seine Kontrolle zu bringen. Dies kann dazu führen, dass Nutzer unwissentlich auf gefälschte oder bösartige Websites umgeleitet werden, während sie glauben, auf legitime Websites zuzugreifen.

SSL Stripping

SSL Stripping ist eine Technik, bei der der Angreifer die Sicherheitsmaßnahmen einer verschlüsselten HTTPS-Verbindung auf eine unverschlüsselte HTTP-Verbindung herabstuft. Dies ermöglicht es dem Angreifer, die übertragenen Daten zu sehen und zu manipulieren, da die Daten nicht mehr verschlüsselt sind.

Wi-Fi Eavesdropping

Wi-Fi Eavesdropping erfolgt oft in öffentlichen Netzwerken, wo der Angreifer einen bösartigen Zugangspunkt erstellt, der legitimen Netzwerken ähnlich sieht. Nutzer, die sich mit diesem Zugangspunkt verbinden, senden ihren gesamten Datenverkehr über den Angreifer, der die Daten dann abfangen kann.

Session Hijacking

Beim Session Hijacking stiehlt der Angreifer die Session-Cookies, die Authentifizierungsinformationen enthalten, während eine Sitzung aktiv ist. Dies ermöglicht es dem Angreifer, die Kontrolle über eine laufende Sitzung zu übernehmen, ohne Benutzernamen und Passwort zu kennen.

Honeypot und Fake Access Points

Angreifer können auch sogenannte Honeypots oder gefälschte Zugangspunkte einrichten, die legitimen Netzwerkdiensten ähneln. Nutzer, die sich mit solchen Zugangspunkten verbinden, denken, sie würden sichere Dienste nutzen, während in Wirklichkeit ihre Daten durch den Angreifer gefiltert und abgefangen werden.

Man-in-the-Browser

Man-in-the-Browser-Angriffe finden auf der Ebene des Web-Browsers statt, indem bösartiger Code, wie ein Trojaner, im Browser des Nutzers installiert wird. Dieser Code kann dann Transaktionen manipulieren oder vertrauliche Informationen ausspionieren.

Diese verschiedenen Arten von MitM-Angriffen nutzen unterschiedliche Techniken und Schwachstellen, was sie zu einer vielseitigen und gefährlichen Bedrohung in der Cyber-Sicherheit macht. Die Kenntnis dieser Methoden ist entscheidend, um geeignete Schutzmaßnahmen zu ergreifen.

Welche Sicherheitsmaßnahmen können ergriffen werden?

Um Man-in-the-Middle (MitM) Angriffe zu vermeiden, ist es wesentlich, sowohl technische Sicherheitsmaßnahmen zu implementieren als auch ein allgemeines Bewusstsein für die Risiken und Anzeichen solcher Angriffe zu entwickeln.

Verwendung von HTTPS

Es sollte darauf geachtet werden, beim Surfen im Internet immer eine sichere Verbindung (HTTPS) zu verwenden. Dies ist erkennbar an dem Schlosssymbol in der Adressleiste des Browsers. HTTPS verschlüsselt die Daten zwischen dem Webbrowser und dem Server, was das Abhören erschwert.

VPN-Nutzung

Ein Virtual Private Network (VPN) sollte genutzt werden, insbesondere wenn öffentliche Wi-Fi-Netzwerke verwendet werden. Ein VPN verschlüsselt den gesamten Datenverkehr vom Gerät bis zum VPN-Server, was die Gefahr von MitM-Angriffen in unsicheren Netzwerken minimiert.

Starke Authentifizierung

Starke Authentifizierungsmechanismen wie Zwei-Faktor-Authentifizierung (2FA) oder Multi-Faktor-Authentifizierung (MFA) sollten implementiert werden. Diese zusätzlichen Sicherheitsstufen erschweren es Angreifern, sich als legitime Benutzer auszugeben.

Sicherheitszertifikate überprüfen

Es sollte regelmäßig geprüft werden, ob die Sicherheitszertifikate von Websites korrekt sind, um sicherzustellen, dass man nicht auf gefälschten Seiten landet, die durch DNS Cache Poisoning erstellt wurden. Warnungen des Browsers bezüglich Zertifikatsproblemen sollten ernst genommen werden.

Aktualisieren von Software

Betriebssysteme, Anwendungen und Netzwerkgeräte sollten stets auf dem neuesten Stand gehalten werden. Software-Updates schließen oft Sicherheitslücken, die von Angreifern ausgenutzt werden könnten.

Verschlüsselte Kommunikationsprotokolle

Verschlüsselte Kommunikationsprotokolle wie SSH statt Telnet oder SFTP statt FTP sollten verwendet werden, um Daten während der Übertragung zu schützen.

Sichere Wi-Fi-Einstellungen

Starke, schwer zu erratende Passwörter für Wi-Fi-Netzwerke sollten verwendet und die Nutzung öffentlicher Wi-Fi-Netzwerke für sensible Transaktionen vermieden werden. Für Unternehmen ist die Verwendung eines sicheren Wi-Fi-Authentifizierungsschemas wie WPA2-Enterprise empfehlenswert.

Share this post