有了前幾天的實作，想必大家比較理解 TLS 和 HTTPS 協議在做什麼。所以今天要帶大家來認識一個常見的攻擊手段「MITM」。

✒️ 什麼是 MITM

中間人攻擊（Man-In-The-Middle Attack）是指攻擊者在通訊兩端都建立連結，讓兩端都以為各自在通過一個私人連線與對方直接對話。

想像一下，你的電腦搜尋網頁的時候中間經過了那麼多實體層的裝置，才到達遠至美國的 Google 伺服器。那如果駭客在中間冒充你的身分，把資料傳給伺服器，然後再冒充伺服器的身分，把資料回傳給你。在你以為你很正常的跟伺服器溝通時，資料早已被駭客全部看光光了！

🍀 MITM 攻擊形式

上述的例子只是單純的網頁攻擊而已，我們稱為（Man-In-The-Browser Attack）。而 MITM 也可以做到以下幾件事：

1. IP 欺騙
2. DNS 欺騙
3. Email 挾持
4. 瀏覽器中間人攻擊（MITB 攻擊）：使用病毒感染在線瀏覽器
5. Wi-Fi 竊聽
6. SSL 剝離／SSL 降級／HTTP 降級：藉由不安全的 HTTP 通信方式，躲過 SSL 的驗證拿到未加密的資料
7. 竊取瀏覽器 Cookie

⚙️ 容易被 MITM 攻擊的對象

以「Email 挾持」來說，通常被攻擊的對象就是金融業，例如：銀行、證券。因為銀行多半使用電子郵件的方式傳遞資訊，而附件檔案又時常用個人身分證字號來加密而已，其實是很容易被竊取的資訊。

以「Wi-Fi 竊聽」來說，你光是坐在星巴克享用免費 Wi-Fi，開始看 Youtube、Facebook、Threads、Instagram...等社群媒體，駭客也能夠知道你所有的生活細節與習慣，慢慢蒐集資料。如果你又剛好在連 Wi-Fi 的時候操作線上支付，那你的銀行卡號、CVV安全碼、使用日期都已經透露了，被盜刷就不是夢了。

而且現今的駭客也都很聰明，你還要防範有人架設假的 Wi-Fi 熱點（例如： StarbucksFreeWiFi_5G），你可能也會不小心連上。

以「DNS 詐騙」來說，就是建立一個釣魚網站，並且竄改 Domain Name，你也不曉得這個網站究竟是不是官方的網站。尤其現在詐騙釣魚網站越做越像，只要了解基本的 HTML、CSS 也能撰寫出一個像樣的網站。這時，你在這個網站輸入帳號密碼等資訊也就都被看光了。

以「竊取瀏覽器 Cookie」來說，現在大部分的網站都支援使用 Cookie，因為大家使用這麼多服務，申請的帳號密碼肯定也記不住，常常就會利用 Cookie 幫你記。那帳號密碼洩露就是很常發生的事情，所以我自己都不會接受網站 Cookie 的服務。

❓ 如何預防 MITM 攻擊

• 注意瀏覽器的憑證警示
  遇到「不安全」或「憑證錯誤」提示就不要繼續了，尤其是處理銀行、支付或重要資料時。
• 優先使用行動網路或可信任網路
  在公眾 Wi-Fi（咖啡廳、機場）避免做敏感操作，如果連線，那就打開你的 VPN 上一層保護吧！。
• 啟用雙因素驗證 (2FA)
  即使帳密被攔截，攻擊者也很難成功登入，畢竟 2FA 六位數驗證碼都在自己的手機裝置上，目前我自己較常用的就是：Google Authenticator、Microsoft Authenticator。
• 用密碼管理器
  不要用 Cookie，不要用 Cookie，不要用 Cookie！你可以使用第三方密碼管理器，例如：Bitwarden 來管理你的帳號密碼，減少在釣魚網站上重複輸入密碼的風險。
• 保持系統與瀏覽器更新
  修補安全漏洞、移除已知惡意 CA 的信任或修正 TLS 實作 bug。

📄 參考資料

Fortinet 中間人攻擊介紹
CheckPoint 中間人攻擊介紹
oilseller 的鐵人賽文章