Intercettazione TLS Man-In-The-Middle (MITM)

English | Italiano

Una breve spiegazione delle intercettazioni Man-In-The-Middle (MITM) del traffico Internet

L'intercettazione Man-In-The-Middle (MITM) del traffico Internet crittografato con Transport Layer Security (TLS) avviene quando un server proxy situato tra un client ed un server remoto legittimo impersona il server remoto, inoltra tutte le richieste e le risposte HTTPS, IMAPS e/o SMTPS da e per il server remoto catturandole allo stesso tempo.

Il server proxy MITM intercettatore finge di essere il server con il client e finge di essere il client con il server, mentre rimanendo nel mezzo delle comunicazioni decodifica il traffico in entrambe le direzioni.

Il server proxy intercettatore riesce ad ottenere quanto sopra poichè genera certificati TLS firmati da una Autorità di Certificazione (CA) che il client considera fidata. Un tipo di server largamente diffuso che potrebbe essere usato come server proxy intercettante sono i server Content Delivery Network (CDN).

L'unico modo per minimizzare il rischio di intercettazioni illegali MITM del traffico Internet (pagine web visitate e messaggi di posta elettronica inviati e ricevuti) è di limitare il numero di Autorità di Certificazioni (CA) fidate al minimo strettamente indispensabile (vedasi Impostazioni->Sicurezza->Credenziali attendibili.

Purtroppo una configurazione generica con un insieme di Autorità di Certificazione (CA) fidate non può essere fornita, poichè essenzialmente la configurazione dipende da vari fattori molto specifici, quali la nazione, il fornitore di servizi di posta elettronica ed i siti web normalmente visitati dall'utente.

Uno schema di certificazione digitale recentemente introdotto nell'Unione Europea (UE) e chiamato eIDAS introduce la possibilità per qualunque agenzia Statale di ogni Stato membro UE di intercettare il traffico Internet di cittadini di altri Stati membri UE in qualunque Stato membro UE: vedasi le modifiche proposte nel 2022 al Regolamento UE 910/2014 e la Lettera Aperta eIDAS.