中間者攻撃（MITM・MITB）

中間者攻撃（MITM）とMan-in-the-Browser攻撃（MITB）は、正規の利用者とサービスの間へ攻撃者が介在して情報を盗聴・改ざんする攻撃です。MITMは主に通信経路上で双方になりすまし、MITBは感染した端末のブラウザ内部で、暗号化の前又は復号後のデータや画面を操作します。

■ 試験で押さえるポイント

• MITM（Manipulator-in-the-Middle／Man-in-the-Middle）では、攻撃者が利用者側には正規サーバ、サーバ側には正規利用者のように振る舞います。盗聴だけでなく、認証情報、応答内容、送金先又はダウンロードデータを選択的に変更できる能動的攻撃です。

• 偽アクセスポイント、ARPスプーフィング、DNS応答の偽装又は不正な経路制御などが介在の契機になります。TLSでは暗号化だけでなく、証明書チェーン、接続先ホスト名、有効期間及び失効を正しく検証し、警告を無視しないことがMITM対策の要点です。

• MITBではトロイの木馬、悪意ある拡張機能、APIフックなどがブラウザの処理へ介入します。利用者が入力した正しい振込先を送信直前に攻撃者口座へ変え、受信した結果画面を元の振込先へ書き戻すと、利用者とサーバの双方が異常に気付きにくくなります。

• MITBによる変更はTLSで保護される前又は正規に復号された後に行われるため、サーバ証明書とTLS通信が正常でも防げません。端末の保護、ブラウザ・拡張機能の管理、マルウェア検知及び取引内容を含む署名・確認が必要です。

• ワンタイムパスワードだけでは、攻撃者が同じセッションで内容を差し替えて直ちに送信する攻撃を防げない場合があります。振込先と金額を別の信頼できる経路又は専用機器に表示し、その具体的な取引内容へ利用者が承認を与える仕組みが有効です。

• フィッシングは利用者を偽サイトへ誘導する手口、MITMは通信当事者の間へ介在する位置、MITBはブラウザ内部へ介在する位置に着目した分類です。複数の手口が一つの攻撃で組み合わされることもあります。

■ 過去問での着眼点

MITMは通信経路上、MITBは利用者端末のブラウザ内部へ介在するため、MITBでは正常なTLS通信の内容も暗号化前に改ざんされ得ます。証明書検証はMITM対策の中心ですが、MITBには端末保護と取引内容を結び付けた確認が必要です。単に通信がHTTPSであることだけでは区別できません。TLSが正常でもブラウザ内部を操作できるのがMITBという侵入位置の違いを判断材料にします。

例: 利用者が画面へ受取人A・1万円と入力した後、端末内のマルウェアが送信データを受取人X・100万円へ変更し、結果画面だけをA・1万円へ戻す攻撃はMITBです。銀行が別端末へX・100万円と表示して承認を求めれば、利用者は差替えを発見できます。