<!DOCTYPE html>

<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <br>

    <div class="moz-cite-prefix">On 4/25/2025 6:45 AM, Ron Garret wrote:<span

      style="white-space: pre-wrap">

</span></div>

    <blockquote type="cite"

      cite="mid:CCC17A09-60C2-43EA-84AA-7527AE5525EC@flownet.com">

      <blockquote type="cite">

        <pre wrap="" class="moz-quote-pre">On the other hand, with traffic re-routing, you can get a SSL/TLS cert from LE if you are on-path to the web server that the domain name resolves to [2]. And then use that cert to do MITM on people you lured to use your public hot spot.

</pre>

      </blockquote>

      <pre wrap="" class="moz-quote-pre">That is a very different scenario than the one I was referring to.  In order to get an LE cert you have to mount (at the very least) a BGP attack.  That is a lot harder than setting up a public wifi hotspot, and beyond the capabilities of most script kiddies.  If script kiddies could mount BGP attacks, the entire world economy would collapse overnight.</pre>

    </blockquote>

    <p>The BGP hijack example that I used was to highlight what many

      would otherwise think is impossible to pull off. There are several

      other ways it can be done without using BGP. If you do a

      traceroute from your web server to LE's HTTP challenge end point,

      all hops that you see are potential points that can do MITM to get

      the same cert that you would from LE with HTTP challenge. It just

      takes a network admin with access to one of the routers or someone

      who has a key logger running on his system. There are many network

      admins to target, you just need one to click on your social

      engineering link.<br>

    </p>

    <p>The MITM setup is really simple, just get a VM (routing enabled)

      with web server + certbot running with a loopback interface

      configured with static IP of the target. Now, they just need to

      insert a route with a lower metric or a very specific route to the

      target and sets this VM as the gateway for a few seconds that the

      certbot takes to complete the challenge. Also, you need not have

      physically access to the router. A lot of routers support VPN too

      so you could use a tunnel that connects to the VM directly.<br>

    </p>

    <p>Its sure tough for script kiddies but its still feasible for

      someone motivated enough.<br>

    </p>

    <p><br>

    </p>

    <blockquote type="cite"

      cite="mid:CCC17A09-60C2-43EA-84AA-7527AE5525EC@flownet.com">

      <pre wrap="" class="moz-quote-pre">The problem with DANE is that no mainstream browsers support it.  Fixing that is probably as challenging as fixing BGP.</pre>

    </blockquote>

    <p>Its just that browsers are unwilling to implement it. It would

      hardly take them a few weeks to roll it out it they want to.</p>

    <p><br>

    </p>

    <div class="moz-signature">

      <p>

        Regards,<br>

        <b>Shreyas Zare</b><br>

        <a href="https://technitium.com/">Technitium</a>

      </p>

    </div>

    <p></p>

  </body>

</html>