T1588.004: 数字证书

摘要

攻击者可能购买和/或窃取可在目标定位期间使用的 SSL/TLS 证书。SSL/TLS 证书旨在建立信任。它们包含关于密钥的信息、关于其所有者身份的信息，以及已验证证书内容正确的实体的数字签名。如果签名有效，并且检查证书的人信任签名者，那么他们就知道可以使用该密钥与其所有者通信。 攻击者可能购买或窃取 SSL/TLS 证书以推进其操作，例如加密 C2 流量（例如 [Web 协议](https://attack.mitre.org/techniques/T1071/001)下的[非对称加密](https://attack.mitre.org/techniques/T1573/002)），或者如果证书被信任或以其他方式添加到信任根（即[安装根证书](https://attack.mitre.org/techniques/T1553/004)），甚至能够实现[中间人](https://attack.mitre.org/techniques/T1557)。数字证书的购买可能使用幌子公司，或使用从先前被攻陷实体窃取的信息，使攻击者能够以该实体身份向证书提供商验证。攻击者还可能直接从被攻陷的第三方（包括证书颁发机构）窃取证书材料。(Citation: DiginotarCompromise) 攻击者可能注册或劫持稍后将为其购买 SSL/TLS 证书的域名。 存在允许攻击者免费获取 SSL/TLS 证书（例如域名验证证书）的证书颁发机构。(Citation: Let's Encrypt FAQ) 获取数字证书后，攻击者可能随后将该证书（参见[安装数字证书](https://attack.mitre.org/techniques/T1608/003)）安装在其控制的基础设施上。