Man-in-the-Middle-Angriffe Erklärung

Erklärung

• Ein Man-in-the-Middle-Angriff (MITM-Angriff) ist eine Angriffsform, die in Rechnernetzen ihre Anwendung findet.
• Der Angreifer steht dabei entweder physisch oder – heute meist – logisch zwischen den beiden Kommunikationspartnern
• Dabei hat der Angreifer die vollständige Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzwerkteilnehmern
• Er kann die Informationen nach Belieben einsehen und sogar manipulieren.
• Der Angreifer agiert quasi als Proxy zwischen dene beiden Teilnehmern.

Beispiele für MITM-Angriffe

Datei:Man in the middle attack.svg

Illustration eines Angriffes

Diese Sonderstellung zwischen den Kommunikationspartnern kann beispielsweise auf folgende Arten erreicht werden:

• Angreifer befindet sich im selben LAN wie der Angegriffene:
  • Der Angreifer hat physischen Zugang zu den Datenleitungen.
  • Im Ethernet modifiziert der Angreifer die ARP-Tabellen der Opfersysteme und leitet dadurch den gesamten Datenverkehr durch sein System. Diese Methode ermöglicht auch das Abhören des Datenverkehrs an Switches, siehe ARP-Spoofing. Dieses Verfahren funktioniert immer dann, wenn der Angreifer und das Opfer im selben lokalen Netz sind. Dies ist auch bei Kabelnetzanbietern und z. B. bei öffentlichen WLAN-Hotspots gegeben.
  • Der Angreifer hängt am selben Netzwerkbus wie das Opfer, wodurch ohnehin alle Pakete auch bei ihm ankommen. Dies funktioniert allerdings nur noch bei Netzwerken mit Busstruktur, wie z. B. Ethernet mit Hub oder 10BASE2 sowie bei einer Token-Ring-Infrastruktur. Diese Techniken sind aber veraltet und nur noch sehr selten anzutreffen.
  • Eine weitere Angriffsmethode dieser Art ist das Vorspielen eines falschen DHCP-Servers. Durch Angabe einer falschen Standard-Gateway-Adresse zum Internet kann die Kommunikation durch einen Rechner des Angreifers geleitet werden.
• Nur für WLAN-relevante Angriffe:
  • Möglich ist bei öffentlichen WLAN-Hotspots das Vortäuschen eines falschen WLAN-Access-Points durch Snarfing. Auch in diesem Fall leitet der falsche Access-Point die Daten – nach Auswertung und gegebenenfalls Manipulation – zum korrekten Access-Point weiter.
• Weitere MITM-Angriffe:
  • Der Angreifer hat Kontrolle über einen Router, durch den der Datenverkehr geschleust wird. Dies funktioniert sowohl im WAN als auch im LAN und im WLAN.
  • Durch DNS Cache Poisoning gibt der Angreifer eine falsche Zieladresse für die Internet-Kommunikation vor und leitet dadurch den Verkehr durch seinen eigenen Rechner (Poison Routing).
  • Durch Manipulation der Hosts-Datei auf dem Rechner des Angegriffenen können trotz Eingabe der echten URL gefälschte IP-Adressen aufgelöst werden. Simuliert der Angreifer dann einen gültigen Webserver, hat er gute Chancen, als MITM unerkannt zu bleiben. Siehe dazu: Pharming

Bekannte Computerprogramme für MITM-Angriffe sind Ettercap und Cain & Abel.