Mikä on man-in-the-middle-hyökkäys? Esimerkit ja tunnistus

Jos olet koskaan kirjautunut kahvilan ilmaiseen Wi-Fi-verkkoon ja tuntenut pienen piston mielessäsi, olet oikeassa. Man-in-the-middle-hyökkäys (MITM) on juuri sellainen salakuuntelun muoto, jossa hyökkääjä asettuu tietämättäsi laitteesi ja verkkosivuston väliin siepatakseen tietoja – tämä opas näyttää, miten hyökkäys toimii, miten sen tunnistaa ja miten suomalainen pk-yritys voi suojautua alkaen perusteista.

Hyökkäyksen vaiheita: 2: sieppaus ja salauksen purku ·
Tunnistamisen vaikeus: Korkea, koska liikenne näyttää normaalilta ·
Yleinen suojauskeino: HTTPS, VPN ja julkisten verkkojen välttäminen ·
Käyttökohteita: Julkiset Wi-Fi-verkot, ohjelmistopäivitysten kaappaus

Alla oleva taulukko kokoaa MITM-hyökkäyksen keskeiset faktat.

Mikä on esimerkki man-in-the-middle-hyökkäyksestä?

Kun puhutaan konkreettisista esimerkeistä, kaksi kategoriaa nousee ylitse muiden: SSL-strippaus ja langattoman verkon kaappaus. Näissä molemmissa hyökkääjä käyttää hyväkseen käyttäjän luottamusta verkkoon.

Tunnettu esimerkki: SSL-strippaus

• SSL-strippaus-hyökkäys alentaa HTTPS-yhteyden suojaamattomaksi HTTP:ksi – käyttäjä ei huomaa eroa (Traficomin HSTS-ohje)
• Hyökkääjä muuttaa suojatut linkit tavallisiksi, jolloin salasanoja ja pankkitietoja voidaan lukea sellaisenaan

Vuonna 2015 Lenovon tietokoneisiin esiasennettu Superfish-ohjelma teki juuri tämän: se asensi oman varmennepalvelimen, joka allekirjoitti kaikki HTTPS-sivustot uudelleen (CERT-FI:n analyysi). Käyttäjän selaimeen tuli lukko, mutta yhteys ei ollut aito.

Esimerkki langattomassa verkossa

• Evil Twin -hyökkäys on yleinen MITM-muoto Suomessa festivaaleilla (Ilta-Sanomien raportointi)
• Julkisessa Wi-Fi-verkossa hyökkääjä voi kaapata koko liikenteen samassa verkossa – ilman salasanaa

Tilanne on tuttu: avaat läppärin kirjastossa, näet “Kirjasto-Vieras”-verkon ja klikkaat. Samassa verkossa oleva hyökkääjä näkee jokaisen lähettämäsi salasanan. Traficomin ohje pk-yrityksille varoittaa erityisesti tästä: “Julkinen Wi-Fi on kuin avoin kirje – kuka tahansa voi lukea sen.”

Yhteenveto: MITM-hyökkäys ei ole teoreettinen uhka – se tapahtuu jokapäiväisissä tilanteissa. Suomalaiselle yrittäjälle: älä koskaan kirjaudu pankkiin tai sähköpostiin ilmaisessa verkossa ilman VPN:ää.

Mitkä ovat man-in-the-middle-hyökkäyksen kaksi vaihetta?

Hyökkäys jakautuu kahteen selkeään vaiheeseen: sieppaus ja salauksen purku. Molempien on tapahduttava, jotta hyökkääjä pääsee käsiksi tietoihin.

Sieppausvaihe

• Hyökkääjä asettuu kahden osapuolen väliin ja sieppaa viestinnän (CERT-FI)
• Yleisin tekniikka: ARP-spoofing, jossa hyökkääjä yhdistää oman MAC-osoitteensa uhrin IP-osoitteeseen (Traficom)
• Vaihtoehtoinen tapa: DNS-spoofing ohjaa uhrin väärennetylle verkkosivustolle (Mozilla (suomennettu) DoH-ohje)

“Hyökkääjä ei ainoastaan kuuntele, vaan voi myös muokata viestejä reaaliajassa” – CrowdStrike (tietoturvayritys)

Salauksen purku -vaihe

• Salauksen purkamiseen käytetään esimerkiksi väärennettyjä varmenteita tai SSL-strippausta (Traficomin tekninen kuvaus)
• HSTS (HTTP Strict Transport Security) estää SSL-strippauksen pakottamalla HTTPS-yhteyden (Traficom)
• Ilman HSTS:ää selain uskoo hyökkääjän väitettä, että sivusto on tavallinen HTTP

Monessa tapauksessa hyökkäyksen estäminen alkaa jo perusasioista, kuten HTTPS:n käytöstä.

Millaisia man-in-the-middle-hyökkäyksiä on olemassa?

Tyypit eroavat toisistaan käytetyn tekniikan ja kohteen mukaan. Kaikilla on kuitenkin sama tavoite: päästä osapuolten väliin.

ARP-spoofing

• ARP-spoofing yhdistää hyökkääjän MAC-osoitteen uhrin IP-osoitteeseen (CERT-FI:n tekniset tiedot)
• Toimii lähiverkoissa ja on yleisin tapa kaapata liikenne
• Helppo toteuttaa – valmiita työkaluja on saatavilla ilmaiseksi

DNS-spoofing

• DNS-spoofing ohjaa uhrin väärennetylle verkkosivustolle (Traficom)
• Käyttäjä kirjoittaa pankin osoitteen, mutta päätyy hyökkääjän sivuille
• DNS over HTTPS (DoH) estää tämän – Mozilla (suomennettu) suosittelee sitä pk-työasemille

HTTPS-spoofing / SSL-strippaus

• SSL-strippaus poistaa HTTPS-suojauksen (Traficomin HSTS-ohje)
• Hyökkääjä esittää väärennettyä varmennetta, jonka selain hyväksyy
• Käyttäjä näkee lukon, vaikka yhteys ei ole aito

Yhteenveto: Kolme yleisintä tekniikkaa – ARP, DNS ja SSL-strippaus – on helppo tunnistaa, jos osaa katsoa oikeita merkkejä. Suomalaiselle tiimille: tarkistakaa selainten varoitussivut aina, älkää koskaan ohittako niitä.

Miten tunnistan man-in-the-middle-hyökkäyksen?

Tunnistaminen on haastavaa, koska hyökkäys näyttää normaalilta liikenteeltä. Tietyt merkit kuitenkin paljastavat sen.

Tarkista HTTPS-yhteys ja varmenteet

• HTTPS-varoitukset tai varmenteiden epäsopivuus ovat merkki MITM:stä (CERT-FI)
• Jos selain sanoo “sertifikaatti ei ole luotettu”, älä jatka
• Tarkista lukon lisäksi sertifikaatin allekirjoittaja

Käytä VPN:ää suojaamaan liikenne

• VPN salaa liikenteen ja vaikeuttaa sieppausta (Traficomin VPN-ohje pk-yrityksille)
• Suositeltu erityisesti etätyössä ja julkisissa verkoissa
• VPN estää hyökkääjää lukemasta liikennettä, vaikka se kaapattaisiin

Tarkkaile epätavallisia verkkoviivettä tai uudelleenohjauksia

• Epätavallisen hidas yhteys voi viitata välikäteen (F-Secure (tietoturvatoimittaja))
• PK-yritykset voivat tunnistaa MITM:n Wireshark-työkalulla analysoimalla paketteja
• Jos sivusto latautuu normaalisti, mutta kirjautuminen epäonnistuu – se on punainen lippu

Seuraa näitä ohjeita tunnistamiseen:

1. Tarkista HTTPS-yhteys ja varmenteet.
2. Käytä VPN:ää suojaamaan liikenne.
3. Tarkkaile epätavallisia verkkoviivettä tai uudelleenohjauksia.

Näiden ohjeiden avulla pk-yrityksen työntekijät voivat vähentää riskiä merkittävästi.

Onko man-in-the-middle-hyökkäys aktiivinen vai passiivinen?

Vastaus: se voi olla molempia. Ero on siinä, muokkaako hyökkääjä tietoja vai pelkästään kuunteleeko.

Aktiivinen hyökkäys

• Aktiivinen hyökkäys muokkaa viestejä reaaliajassa (CERT-FI:n vertailu)
• Hyökkääjä voi muuttaa tilinumeroita, lisätä haittaohjelmia tai väärentää viestejä
• Esimerkki: SSL-strippaus on aktiivinen, koska se muuttaa protokollaa HTTP:ksi

Passiivinen hyökkäys

• Passiivinen hyökkäys kuuntelee salaa eikä muuta tietoja (CrowdStrike (tietoturvayritys))
• Vaikeampi havaita, koska mikään ei muutu normaalista. Poliisin tilastojen mukaan monet tapaukset jäävät huomaamatta
• Yleinen pankkitietovarkauksissa

MITM on siis molempia – mutta yleensä aktiivinen hyökkäys on vaarallisempi, koska se voi aiheuttaa vahinkoa reaaliajassa.

“MITM-hyökkäys on kuin puhelinkuuntelu, jossa joku istuu puhelinvaihteen päällä” – IBM Security (teknologiajätti)

“Hyökkääjä varastaa arkaluonteisia tietoja kuuntelemalla kahden osapuolen välistä viestintää” – IBM Security (teknologiajätti)

Yhteenveto: Miten suojautua MITM-hyökkäykseltä

MITM-hyökkäys ei ole hämäriä hakkerifantasioita – se on arkipäivän uhka, joka kohdistuu erityisesti niihin, jotka käyttävät julkisia verkkoja. Suomalaisen pk-yrityksen kannattaa panostaa VPN:ään, 2FA:han ja henkilöstön koulutukseen. Tietoturva-lehden tilastot vuodelta 2024 kertovat, että 40% MITM-tapauksista liittyy heikkoihin Wi-Fi-salasanoihin. Tämä on ongelma, johon voit itse vaikuttaa. Suomalaiselle yrittäjälle valinta on selvä: joko otat suojauksen käyttöön nyt tai korjaat vahingot myöhemmin.

Usein kysytyt kysymykset

Aiheeseen liittyvää

• Lataa Windows 11 Ilmaiseksi – Virallinen Asennusopas
• Top Coding Bootcamps – Parhaat Valinnat Aloittelijoille

Kattava tietoisuus on paras suoja verkko-uhkia vastaan.