Ist eine Man in the middle attack bei https überhaupt möglich?

[asdf100]

Hallo,
zu aller erst möchte ich sagen, dass ich, was das Thema angeht ein absoluter Noob/Anfänger bin und mich neu eingelesen habe und mir jetzt zum Ziel gesetzt habe das ganze mal im Heimnetzwerk im legalen Rahmen zu versuchen. Entschuldigt, wenn ich Fachbegriffe falsch verwende oder vertausche.
Ich habe vor kurzem einen Artikel gelesen, in dem es hieß, dass in öffentlichen Netzwerken, sehr leicht Daten mitgelesen werden können. Da mich sowas schon immer bisschen interessiert hat und ich sowas nicht einfach so glauben kann, habe ich mich weiter erkundigt, bin mehr ins technische eingetaucht und will jetzt letztendlich das ganze mal selbst versuchen.
Mein Ziel ist/war es, die Daten eines PCs (A) in meinem Netzwerk, welche über SSL verschlüsselt sind (also https(?)) mitzulesen und z.B ein Passwort herauszufinden.
So wie ich das jetzt verstanden habe, kann man das ganze schon so aufbauen, dass die Daten über einen "zwischen-PC" geschickt werden, welcher mitlesen kann, aber das Problem ist dann immer das Zertifikat, da selbst, wenn man sich selbst eins schreibt, der Browser des PC (A) merkt, dass das Zertifikat selbst ausgestellt wurde. Das ist die Stelle, an der ich nicht mehr weiter weis. Ohne Geld kommt man an so ein Zertifikat nicht ran, also ist es überhaupt möglich, dass ich, ohne es dem ausgespähten Pc anzuzeigen , die Daten mitlesen kann? Im öffentlichen Raum denke ich wird es nicht gehen, aber im privaten Netzwerk? Ich meine Firmen haben doch auch bestimmt irgendwelche Webserver in ihrem Intranet laufen, die vielleicht auch https verschlüsselt sind und die Angestellten sollen ja nicht dauernd die Meldung bekommen, dass das Zertifikat nicht vertrauenswürdig ist.
Im Grund will ich also nur wissen ob und vor allem wie es möglich ist, die Daten eines PCs mit https Verbindung auszulesen, ohne dass es dieser merkt (im eigenen Netzwerk).
Wenn nicht, gäbe es andere, realistische Möglichkeiten, eine https Verbindung zu knacken?
Falls das alles aber nicht so einfach möglich ist, ist es dann nicht hinfällig Angst in öffentlichen Netzwerken zu haben, ausgeschnüffelt zu werden, da ja alle wichtigen Seiten in der Regel https haben?
Ich hoffe es ist verständlich was ich meine
Danke an jede Antwort im voraus
LG

 

[BFF]

Es ist realistischer Dich per Mail zu bombardieren bist Du schlussendlich doch mal falsch klickst und Dir da drueber eine Software unterjubelt welche Alles zum "Feind" sendet was Du tippst. Da kannst Du https machen soviel Du willst. Der MIT sitzt als Software auf Deiner Kiste und liest Klartext.

Achja, einige AV haben die unangenehme Eigenschaft https-Verbindungen aufzubrechen um den ein/ausgehenden Transfer scannen zu koennen. Eigentlich auch schon MIT.

Lies mal einfach dazu -> https://www.google.com/search?q=https+verbindungen+aufbrechen

BFF

 

[snaxilian]

Brauchbare Unternehmen haben idR eine eigene CA (Certificate Authority) um Zertifikate für interne Webserver und vieles andere auszustellen. Diese CA ist im Active Directory verdrahtet und somit Vertrauen Clients der internen CA und schon kann der Intranet Webserver HTTPS sprechen ohne Warnung.
Mit dieser CA kann ich dann mit etwas Knowhow auf dem Firmenproxy Zertifikate für beliebige Domains hinterlegen und den Traffic aufbrechen und mitlesen.
Proxies von BlueCoat machen es einem theoretisch noch einfacher, da BlueCoat zu Symantec gehört und die eine public CA betreiben.

Solange Zertifikate nicht per CAA oder HPKP (bald veraltet da u.a. zu komplex) oder Certificate Transperancy abgesichert sind, ist so ein MitM möglich aber es gibt wie schon erwähnt andere teils einfachere Möglichkeiten dich zu täuschen und Daten abzugreifen. Ist es wahrscheinlich? Eher nicht.

 

[chithanh]

Auf https sind so genannte Downgrade-Attacken durch einen MITM-Angreifer möglich. Dabei wird die Verwendung alter, schwacher Verschlüsselungsstandards erzwungen. Moderne Browser geben mindestens eine Warnung aus, aber SSL aufbrechende MITM-Proxies in Unternehmen oftmals nicht...

Wie verwundbar du dagegen bist, kannst du unter https://badssl.com/dashboard/ nachsehen.

 

[BeBur]

Ich persönlich würde da jetzt ehrlich gesagt keine Tipps geben ohne eine realistische Erklärung für diese mysteriöse Anfrage.

Falls das alles aber nicht so einfach möglich ist, ist es dann nicht hinfällig Angst in öffentlichen Netzwerken zu haben, ausgeschnüffelt zu werden, da ja alle wichtigen Seiten in der Regel https haben?

Das hast du soweit schon richtig erkannt. Allerdings weißt du ja nicht von jeder App, dass sie TLS auch (korrekt) einsetzt für jeglichen Datentransfer.

 

[carnival55]

aber das Problem ist dann immer das Zertifikat, da selbst, wenn man sich selbst eins schreibt, der Browser des PC (A) merkt, dass das Zertifikat selbst ausgestellt wurde.

Grundsätzlich richtig.
Es gibt einige Tools mit denen man das unter Laborbedingungen ausprobieren kann: https://n0where.net/?s=mitm

Just_in_case: Die illegale Verwendung solcher Tools ist natürlich verboten und kann zivil- und strafrechtlich verfolgt werden.

Firmen haben [...] Webserver in ihrem Intranet laufen, die [...] https verschlüsselt sind und die Angestellten sollen [...] nicht [...] die Meldung bekommen, dass das Zertifikat nicht vertrauenswürdig ist.

Auch richtig. Intranet-Traffic ist dabei (meistens) gar nicht so sehr im Fokus, meistens will man in https / SSL reinschauen, um den Up-/Download von unerwünschten Daten ins/aus dem Internet zu unterbinden.

BlueCoat, inzwischen Symantec, hat recht bekannte Lösungen dafür. Damit die Nutzer im Browser keinen Zertifikatsfehler angezeigt bekommen, werden meistens spezielle Proxy-Zertifikate eingespielt, was in Firmenumgebungen mit zentral gemanagten Clients keine Raketenwissenschaft ist.

 

[TheManneken]

Das klingt doch alles sehr dubios und 5 Helfer haben sich auch noch gefunden. Ja, Laborbedingungen und privates (eigenes) Netzwerk... klingt immer schön und darf meinetwegen auch sein, aber grundsätzlich lassen sich diese Anleitungen und Vorgehensweisen auch "nach außen" übertragen und schon ist es keine Laborbedingung mehr, sondern Cyberkriminalität. Deshalb schließe ich hier mal.