הגנה נגד DNS spoof עם HTTPS - חלק 1

תמלול ההרצאה: הגנה נגד DNS spoof עם HTTPS - חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «הגנה נגד DNS spoof עם HTTPS - חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   כעת נבין מדוע התקפה לא תעבוד על אתרים שהם HTTPS, כלומר HTTP שעטופים ב-SSL, אתרים מאובטחים. אז ככה, כדי להבין את זה ננסה להבין את המנגנון של SSL. כדי להקים חיבור SSL הלקוח שולח request, בקשה לשרת האינטרנט שאיתו הוא רוצה להקים חיבור.

2. 00:29

   השרת בתגובה שולח לקורבן את הסרטיפיקט שלו, תעודה שלו ביחד עם public key, הקורבן מצפין באמצעות ה-public key את ההודעה שלו ושולח אותו בחזרה אל השרת.

3. 00:45

   השרת יכול לפתוח את החבילה רק עם ה-private key שלו, הוא יכול לעשות decrypted לחבילה רק עם המפתח הפרטי שלו, וברגע שהוא פותח את החבילה נוצר החיבור, כלומר הוקם חיבור וכרגע הם יכולים להעביר ביניהם מידע באופן מוצפן.

4. 01:02

   הבעיה היא שברגע שהקורבן שלנו יבקש ישלח בקשה של SSL לתוקף יהיו שתי אפשרויות או לשלוח את ה-Public Key שמפורסם לכולם ושרת האינטרנט אל הקורבן וברגע שהקורבן שלנו ייקח את ה-Public Key ויצפין איתו את ההודעה כאשר זה יעבור דרך התוקף לתוקף לא תהיה אפשרות לפתוח את ההודעה

5. 01:28

   כיוון שאין לו את ה-Private Key. אפשרות שנייה זה שהתוקף שלנו יחתום בעצמו על סרטיפיקט וברגע שהוא ישלח אותו לקורבן אז ההתקפה כבר תיפול כיוון שבמחשב של הקורבן צריכה להיות תעודה מותקנת בתוך המחשב שלו תעודה שכל העולם מכיר אותה שהתעודה הזאת היא מהימנה וחוקית