Man-in-the-Middle (MITM)

Man-in-the-Middle je útok na důvěrnost a integritu dat. Útočník se v digitálním světě chová jako falešný pošťák, který otevírá vaše dopisy, čte je, případně přepíše jejich obsah a pak je zalepí a doručí adresátovi. Obě strany se domnívají, že mluví přímo spolu, ale ve skutečnosti komunikují s útočníkem.

Jak útok probíhá

Útok MITM se obvykle skládá ze dvou fází:

1. **Intercepce (Zachycení):** Útočník přesměruje síťový provoz oběti přes své vlastní zařízení. Toho lze dosáhnout například vytvořením falešné Wi-Fi sítě nebo technikou zvanou **ARP Spoofing**.
2. **Dešifrování (Decryption):** Pokud je provoz šifrovaný (např. [[https|HTTPS]]), útočník se pokusí vynutit slabší šifrování nebo podvrhnout vlastní certifikát, aby mohl data číst a upravovat.

Běžné techniky útoku

Technika	Popis
Rogue Access Point	Útočník vytvoří Wi-Fi se stejným jménem jako kavárna. Uživatelé se k ní připojí a veškerá data tečou přes útočníka.
ARP Spoofing	Útočník pošle v lokální síti falešné zprávy, které přesvědčí váš počítač, že útočníkův počítač je router (brána do internetu).
DNS Spoofing	Útočník „otráví“ záznamy DNS, takže když napíšete `facebook.com`, prohlížeč vás pošle na falešnou IP adresu útočníka.
SSL Stripping	Útočník přinutí prohlížeč komunikovat přes nezabezpečené HTTP místo šifrovaného HTTPS.

Příklady zneužití

Krádež identit: Získání přihlašovacích údajů k e-mailům, sociálním sítím nebo bankovnictví.
Modifikace dat: Útočník může v rozpracovaném bankovním převodu změnit číslo účtu příjemce na své vlastní.
Sledování (Eavesdropping): Odposlech soukromých konverzací a firemních tajemství.

Jak se bránit?

Obrana proti MITM vyžaduje kombinaci technických opatření a obezřetnosti uživatele:

1. **Využívání [[ssl_tls|SSL/TLS]]:** Vždy kontrolujte, zda web běží na **HTTPS** a má platný certifikát (ikona zámku).
2. **[[certificate_pinning|Certificate Pinning]]:** Mobilní aplikace mohou mít "připnutý" konkrétní certifikát, takže útočníkův falešný certifikát okamžitě poznají a spojení ukončí.
3. **VPN (Virtual Private Network):** Vytváří bezpečný šifrovaný tunel, který je pro útočníka v lokální síti prakticky neproniknutelný.
4. **Dvoufázové ověření (2FA):** I když útočník získá vaše heslo, bez druhého faktoru (např. kódu v mobilu) se k účtu nedostane.
5. **Veřejné sítě:** Vyhněte se provádění citlivých operací (bankovnictví) na nezabezpečených veřejných Wi-Fi sítích.

Související pojmy: SSL/TLS, HTTPS, VPN, Certificate Pinning, ARP Spoofing, DNS, Šifrování, 2FA.