Перехват пароля при авторизации на сайте HTTPS

[lancelot]

Проблема в следующем,

В локалке работает снифер CAIN и он перехватывает пароль при попытке авторизироваться на сервере причем HTTPS (сервер две сетевухи, олдна в инет вторая в локалку)

Конфигурация
локальная сеть <-----> шлюз, сервер авторизации Apache/1.3.33 (Win32) PHP/4.3.10 mod_ssl/2.8.22 OpenSSL/0.9.7e (http,https..) <-----> интернет

Сам https работает, и сертификат спрашивает и загружает страницу:
НО!!!!

Если поставить в локалке снифер паролей типа CAIN

то при попытке залогиниться типа https://*******/cgi-bin/utm5/aaa5/
снифер перехватывает пароль!
хотя в логах APACHE пишет что соединение шифрованое, и HTTP1.1

Как защититься? Где ошибка?


httpd.conf

Код: Выделить всё

<VirtualHost *&#58;443>
# Включаем поддержку SSL 
SSLEngine On
SSLCertificateFile conf/ssl.crt/server.crt
SSLCertificateKeyFile conf/ssl.key/server.key
# Имя сервера, должно быть прописанно в файле hosts
     ServerName www.*****.ru
# email по умолчанию для этого хоста
    ServerAdmin admin@*****.ru

# DocumentRoot указывает на созданную выше папку
# т.е. корневая директория хоста    
    DocumentRoot "C&#58;/server/www"

# параметры для корневой директории
# тут мы запрещяем индексирование каталогов не содержащие индексного файла
# разрешаем переопределение директив при помощи .htaccess
# даем всем доступ
# более подробно читайте в документации
    <Directory "C&#58;/server/www">
       Options -Indexes
       AllowOverride All
       Order allow,deny
        Allow from all
    </Directory>
# директория для выполнения cgi скриптов 
    ScriptAlias /cgi-bin/ "c&#58;/server/www/cgi-bin/ "

# файлы для ведения журнальных файлов и файлов ошибок
    ErrorLog "c&#58;\server\apache\logs\error_s.log"
    CustomLog "c&#58;\server\apache\logs\custom_s.log" common

SSLCipherSuite ALL&#58;!ADH&#58;RC4+RSA&#58;+HIGH&#58;+MEDIUM&#58;+LOW&#58;+SSLv2&#58;+EXP&#58;+eNULL

<Location "c&#58;/server/www/cgi-bin/utm5/">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>

<Location "c&#58;/server/www/cgi-bin/utm5/aaa5">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>

<Location "c&#58;/server/www/cgi-bin/utm5/user5">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>


</VirtualHost>

Конфигурация
локальная сеть <-----> шлюз, сервер авторизации Apache/1.3.33 (Win32) PHP/4.3.10 mod_ssl/2.8.22 OpenSSL/0.9.7e (http,https..) <-----> интернет

Сам https работает, и сертификат спрашивает и загружает страницу:
НО!!!!

Если поставить в локалке снифер паролей типа CAIN

то при попытке залогиниться типа https://*******/cgi-bin/utm5/aaa5/
снифер перехватывает пароль!
хотя в логах APACHE пишет что соединение шифрованое, и HTTP1.1

Как защититься? Где ошибка?


httpd.conf

Код: Выделить всё

<VirtualHost *&#58;443>
# Включаем поддержку SSL 
SSLEngine On
SSLCertificateFile conf/ssl.crt/server.crt
SSLCertificateKeyFile conf/ssl.key/server.key
# Имя сервера, должно быть прописанно в файле hosts
     ServerName www.*****.ru
# email по умолчанию для этого хоста
    ServerAdmin admin@*****.ru

# DocumentRoot указывает на созданную выше папку
# т.е. корневая директория хоста    
    DocumentRoot "C&#58;/server/www"

# параметры для корневой директории
# тут мы запрещяем индексирование каталогов не содержащие индексного файла
# разрешаем переопределение директив при помощи .htaccess
# даем всем доступ
# более подробно читайте в документации
    <Directory "C&#58;/server/www">
       Options -Indexes
       AllowOverride All
       Order allow,deny
        Allow from all
    </Directory>
# директория для выполнения cgi скриптов 
    ScriptAlias /cgi-bin/ "c&#58;/server/www/cgi-bin/ "

# файлы для ведения журнальных файлов и файлов ошибок
    ErrorLog "c&#58;\server\apache\logs\error_s.log"
    CustomLog "c&#58;\server\apache\logs\custom_s.log" common

SSLCipherSuite ALL&#58;!ADH&#58;RC4+RSA&#58;+HIGH&#58;+MEDIUM&#58;+LOW&#58;+SSLv2&#58;+EXP&#58;+eNULL

<Location "c&#58;/server/www/cgi-bin/utm5/">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>

<Location "c&#58;/server/www/cgi-bin/utm5/aaa5">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>

<Location "c&#58;/server/www/cgi-bin/utm5/user5">
SSLRequireSSL
SSLCipherSuite HIGH&#58;MEDIUM
</Location>


</VirtualHost>

[spec]

Надо смотреть внимательно на сертификат при таком входе в личный кабинет.
Там будет видно, что он совсем не такой, какой выписан для сервера.
Защищаться очень просто - выписать официальный ssl-сертификат (стоит денег) и предупредить пользователей, что если выскакивает предупреждение о сертификате - ни в коем случае не соглашаться его использовать.