Man-in-the-Middle (MitM)
Man-in-the-Middle (człowiek pośrodku) to sytuacja, w której trzecia strona stoi na ścieżce komunikacji i może czytać, podmieniać albo blokować ruch, podczas gdy obie strony myślą, że mówią ze sobą bezpośrednio. Klasyczny obraz: fałszywy access point, proxy, przejęty router, skompromitowany operator łącza.
Na blackweb.pl MitM to kategoria pozycji w sieci, nie jeden skrypt. Łączy się z phishingiem, podmianą kluczy publicznych i z pytaniem, czy szyfrowanie naprawdę jest end-to-end. Sam „Wi-Fi w kawiarni” bez dalszych założeń to za mało do paniki i za dużo do lekceważenia.
Co atakujący zyskuje
Podsłuch haseł na jawnym HTTP, podmiana binarek przy pobieraniu, injekcja skryptów, terminacja TLS jeśli ofiara zaakceptuje fałszywy certyfikat albo jeśli ktoś złamie zaufanie do CA. W wariancie aktywnego proxy przy logowaniu: przechwycenie sesji na żywo. Przy słabej weryfikacji fingerprintu komunikatora: rozmowa z podstawionym rozmówcą.
MitM bywa też w infrastrukturze firmowej (proxy SSL do DLP) albo w państwie (legalne albo nie). Threat model rozróżnia: sąsiad w kawiarni, ISP, pracodawca, zorganizowany aktor. Inna pozycja, inny budżet, inne ślady.
Co realnie broni
HTTPS z poprawną walidacją certyfikatu (nie klikaj „zaawansowane, kontynuuj” z przyzwyczajenia). VPN szyfruje odcinek do bramki VPN; nie magicznie ufa stronie docelowej i nie zastępuje E2EE treści. Certificate pinning w apkach utrudnia lokalne proxy. Weryfikacja numerów bezpieczeństwa w Signal i podobnych. Aktualne systemy bez dziur w stosie TLS.
Dla dziennikarza i źródła: założenie, że sieć lokalna jest wroga, jest tańsze niż założenie odwrotne. Opsec i ochrona źródła zaczynają się od kanału, nie od nadziei w SSID „Cafe_Free”.
Granice hasła
Nie każdy przejęty login to MitM. Częściej jest phishing na osobnej domenie, stealer na stacji, stuffing. MitM wymaga pozycji na ścieżce albo udanej podmiany zaufania kryptograficznego. Media lubią jedno słowo na wszystko. Słownik nie.
DNS hijack i przejęcie routera domowego to MitM-adjacent w skutkach: ofiara wchodzi na „bank”, pakiety idą indziej. Higiena firmware i haseł admina routera wraca tu jako nuda, która działa.
W dzienniku o prywatności MitM pojawia się też przy pytaniach o CDN, reverse proxy i „kto terminuje TLS”. To nie zawsze napastnik z kawiarni. Czasem to architektura, w której treść jest czytelna dla kogoś po drodze z definicji. Wtedy pomaga precyzja: czy mówimy o ataku, czy o modelu zaufania usługi.
Czego tu nie ma
Nie ma przepisu na fałszywy AP ani narzędzia do przechwytywania cudzych sesji. Jest pozycja ataku i środki, które ją zawężają: TLS, weryfikacja tożsamości kluczy, świadomość sieci.