SSL 스트리핑
IT위키
- SSL Striping
- 2009년 Moxie Marlinspike가 제안한 공격 방식이며, 중간자공격을 통해 사용자와 서버 사이의 HTTPS 통신을 HTTP로변경해서 비밀번호 등을 탈취하는 공격
공격 절차
- A 이 가상의 은행 사이트 www.foobarbank.com 에 접속을 요청한다.
- 은행 서버(C)는 A에게 HTTPS를 사용하는 로그인 페이지 링크가 포함된 Response를 전송한다
- 이때 공격자는 Response를 가로채어 모든 링크 주소를 https에서 http로 변경한 후 A에게 전송한다.
- A과 공격자 사이에는 http 통신을 하게 되어 Credential Info가 포함된 Request를 공격자가 볼 수 있게 된다.
대응
- HSTS(Http Strict Transport Security)
- RFC-6797
- 클라이언트에서 HTTPS 강제
- 사용자가 브라우저에 http 주소를 입력하더라도 https로 자동으로 연결하여 SSL 스트리핑과 같은 MITM 공격을 사전에 방지
