Man-in-the-Middle (MITM)

Man-in-the-Middle je útok na důvěrnost a integritu dat. Útočník se v digitálním světě chová jako falešný pošťák, který otevírá vaše dopisy, čte je, případně přepíše jejich obsah a pak je zalepí a doručí adresátovi. Obě strany se domnívají, že mluví přímo spolu, ale ve skutečnosti komunikují s útočníkem.

Jak útok probíhá

Útok MITM se obvykle skládá ze dvou fází:

1. **Intercepce (Zachycení):** Útočník přesměruje síťový provoz oběti přes své vlastní zařízení. Toho lze dosáhnout například vytvořením falešné Wi-Fi sítě nebo technikou zvanou **ARP Spoofing**.
2. **Dešifrování (Decryption):** Pokud je provoz šifrovaný (např. [[https|HTTPS]]), útočník se pokusí vynutit slabší šifrování nebo podvrhnout vlastní certifikát, aby mohl data číst a upravovat.

Běžné techniky útoku

Technika	Popis
Rogue Access Point	Útočník vytvoří Wi-Fi se stejným jménem jako kavárna. Uživatelé se k ní připojí a veškerá data tečou přes útočníka.
ARP Spoofing	Útočník pošle v lokální síti falešné zprávy, které přesvědčí váš počítač, že útočníkův počítač je router (brána do internetu).
DNS Spoofing	Útočník „otráví“ záznamy DNS, takže když napíšete facebook.com, prohlížeč vás pošle na falešnou IP adresu útočníka.
SSL Stripping	Útočník přinutí prohlížeč komunikovat přes nezabezpečené HTTP místo šifrovaného HTTPS.

Příklady zneužití

Krádež identit: Získání přihlašovacích údajů k e-mailům, sociálním sítím nebo bankovnictví.

Modifikace dat: Útočník může v rozpracovaném bankovním převodu změnit číslo účtu příjemce na své vlastní.

Sledování (Eavesdropping): Odposlech soukromých konverzací a firemních tajemství.

Jak se bránit?

Obrana proti MITM vyžaduje kombinaci technických opatření a obezřetnosti uživatele:

1. **Využívání [[ssl_tls|SSL/TLS]]:** Vždy kontrolujte, zda web běží na **HTTPS** a má platný certifikát (ikona zámku).
2. **[[certificate_pinning|Certificate Pinning]]:** Mobilní aplikace mohou mít "připnutý" konkrétní certifikát, takže útočníkův falešný certifikát okamžitě poznají a spojení ukončí.
3. **VPN (Virtual Private Network):** Vytváří bezpečný šifrovaný tunel, který je pro útočníka v lokální síti prakticky neproniknutelný.
4. **Dvoufázové ověření (2FA):** I když útočník získá vaše heslo, bez druhého faktoru (např. kódu v mobilu) se k účtu nedostane.
5. **Veřejné sítě:** Vyhněte se provádění citlivých operací (bankovnictví) na nezabezpečených veřejných Wi-Fi sítích.

Související pojmy: SSL/TLS, HTTPS, VPN, Certificate Pinning, ARP Spoofing, DNS, Šifrování, 2FA.