MITMf - SSLstrip and HSTS bypass 2018

Доброго дня,
Ssl strip и ssl strip2 и подобные атаки на протокол, уже давно утратили актуальность,
В двух словах, суть атаки обхода hsts - даунгрейд ssl/tls до http версии сайта, то есть отключить шифрование и фактически заставить использовать открытый протокол, но грамотная конфигурация tls и новый браузер у пользователя - делают эти атаки бесполезными.

ну и какая альтернатива? то есть все, невозможно обойти защиту? а еще вопросик, возможно ли юзера заставить записать сертификат? ну то есть, допустим проходит по сайту, там выходит сообщение бла бла бла.. и надо нажать да или нет... в обоих случаях чтоб подгружался сертификат mimtproxy после чего можно и не парится про HSTS, или такое невозможно?

karencho сказал(а):

ну и какая альтернатива? то есть все, невозможно обойти защиту? а еще вопросик, возможно ли юзера заставить записать сертификат? ну то есть, допустим проходит по сайту, там выходит сообщение бла бла бла.. и надо нажать да или нет... в обоих случаях чтоб подгружался сертификат mimtproxy после чего можно и не парится про HSTS, или такое невозможно?

Нажмите, чтобы раскрыть...

Описанный вариант - подмена сертификата, используя СИ, одна из самых эффективных и универсальных публичных методик, так же есть другие приватные решения, но суть большинства сводится к эксплуатации ошибок администрирования устаревших версий tls.

Underwood сказал(а):

суть атаки hsts

Нажмите, чтобы раскрыть...

Если я не ошибаюсь - HSTS не позволяет провести атаку даунгрейда и возможность установить самоподписанный серт (случай с sslstrip)
То есть HSTS - не атака, а наоборот механизм противодействия атаке.

По HSTS где то в 2016 если не ошибаюсь, было создано приложение, которое позволяло атакуемой машине менять дату и время на victim машине, что в свое время обнуляло preload list HSTS, как раз это и позволяло обойти hsts, но это было возможно не на всех машинах, я даже не знаю вообще актуальна ли эта программа сейчас, она называлась Dolorean(может и ошибаюсь), по моему программа использовала свой NTP сервер, но я в этом не профи))), а можно по подробней о подмене сертификатов, может где дайте статейку прочитать, спасибо

pr0phet сказал(а):

То есть HSTS - не атака, а наоборот механизм противодействия атаке

Нажмите, чтобы раскрыть...

Все верно, имел ввиду обход hsts, благодарю.