SSL Stripping

SSL Stripping

SSL stripping er et angreb, hvor en angriber nedgraderer en brugers forbindelse fra HTTPS til HTTP for at kunne aflure eller manipulere trafikken mellem bruger og website. Angrebet udnytter manglende tvang til krypteret kommunikation og svagheder i den indledende forbindelse.

Hvad er SSL Stripping?

SSL stripping er en man-in-the-middle (MITM)-teknik, hvor angriberen forhindrer browseren i at etablere en sikker HTTPS-forbindelse og i stedet tvinger kommunikationen over ukrypteret HTTP. Brugeren tror ofte, at forbindelsen er sikker, men al data kan aflæses og ændres.

Hvordan opstår problemet?

SSL stripping er muligt, når:

• Et website stadig er tilgængeligt via HTTP

• HTTPS ikke håndhæves konsekvent

• HSTS ikke er korrekt konfigureret

• Brugeren tilgår sitet via et usikkert netværk (fx offentlig Wi-Fi)

Typisk flow:

1. Brugeren besøger http://example.com

2. Serveren redirecter normalt til https://example.com

3. Angriberen fjerner redirectet

4. Brugeren forbliver på HTTP uden tydelig advarsel

Hvorfor er SSL Stripping alvorligt?

Sikkerhed

• Login-oplysninger opsnappes i klartekst

• Session cookies kan aflures

• Formularer og payloads kan manipuleres

• Injection af ondsindet JavaScript

Forretning og tillid

• Brugertillid kompromitteres

• Risiko for kontoovertagelse

• Potentielle databrud med juridiske konsekvenser

Compliance

• Overtrædelse af GDPR, PCI-DSS og andre standarder

• Manglende kryptering af persondata i transit

Typiske angrebsscenarier

• Offentlige Wi-Fi-netværk (caféer, hoteller, lufthavne)

• Kompromitterede routere eller access points

• Interne netværk uden korrekt segmentering

• Ældre websites med delvis HTTPS

Best Practice – forebyggelse

Tving HTTPS

• Redirect alt HTTP til HTTPS server-side

• Ingen mixed content

HSTS (HTTP Strict Transport Security)

• Aktivér HSTS-header: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

• Tilmeld domænet til HSTS preload-listen

Cookie-sikkerhed

• Secure på alle cookies

• Ingen auth eller sessions over HTTP

Infrastruktur

• TLS-certifikater overalt, også på subdomæner

• Overvåg certifikat-udløb og fejl

Hvad beskytter ikke mod SSL Stripping?

• JavaScript redirects

• Kun visuel “lock icon”-kontrol

• HTTPS på login-siden alene

• CDN uden korrekt origin-konfiguration

Forretnings- og udviklingsmæssig betydning

Risikostyring

SSL stripping er et lavteknisk, høj-effekt-angreb. Forebyggelse er billig og kendt.

Modenhed

Et site uden konsekvent HTTPS signalerer tech-debt og lav sikkerhedsprioritet.

Performance

HTTPS er ikke langsommere. HTTP/2 og HTTP/3 kræver HTTPS og forbedrer performance.

Udfordringer og løsninger

Udfordring: Legacy HTTP-links og assets

Løsning: Global redirect + CSP upgrade-insecure-requests

Udfordring: Frygt for kompatibilitet

Løsning: Moderne browsere understøtter HSTS fuldt ud

Udfordring: Mange subdomæner

Løsning: includeSubDomains og certifikatautomatisering

Opsummering

SSL stripping virker kun, hvis HTTPS er valgfrit.

Websites, der:

• Tvinger HTTPS

• Bruger HSTS korrekt

• Sætter Secure cookies

er i praksis immune.

SSL stripping er derfor ikke et avanceret angreb, men et tydeligt signal om manglende grundsikring.