Literaturile tehnice contemporane folosesc și „atacator on-path” ca termen mai descriptiv.
Un adversar poate obține această poziție prin infrastructură de rețea compromisă, redirecționare de trafic, manipularea rezoluției de nume sau adrese, un punct de acces înșelător, un proxy neautorizat sau interferență cu stabilirea conexiunii. Protecția eficace combină autentificarea părților, integritatea mesajelor și confidențialitatea, cu validare corectă a certificatelor sau cheilor și comportament sigur la eșec.
Puncte esențiale
Efecte posibileIntermediarul poate captura secrete, substitui conținut, modifica tranzacții, retrograda protecția, redirecționa o sesiune sau impersona fiecare capăt pentru celălalt.
DoveziSchimbări neașteptate de certificate sau chei, rezoluție sau rutare modificată, sesiuni duplicate și retrogradări de protocol pot justifica investigarea, dar nu sunt concludente singure.
Priorități defensiveFolosiți criptare autentificată, validați identitățile părților și lanțurile de încredere, securizați denumirea și rețelele locale, eliminați fallback-urile învechite și monitorizați schimbările de rute, certificate și proxy-uri.
Limitare importantăCriptarea fără autentificare fiabilă a părții poate lăsa totuși o conexiune deschisă unui intermediar activ. Protecția corect configurată a transportului nu poate nici preveni un endpoint deja compromis sau un intermediar de încredere să acceseze textul clar disponibil acolo.