Укладаючи цей розділ, хотілося б звернути увагу читача на те, що, як він, напевно, вже зрозумів, в мережі Internet в стандарті IPv4 практично жодна з сформульованих вимог до побудови безпечних систем зв'язку між видаленими об'єктами розподілених ОС не виконується. Тому автори дозволили собі привести свої вимоги, по яких повинна будуватися розподілена ОС. До речі, врахувавши власні помилки в розробці стандарту IPv4, групи розробників вже закінчують проект створення нового захищенішого стандарту мережі Internet - IPv6, де будуть, мабуть, враховані деякі з вищевикладених вимог. Проте розмова про те, наскільки буде безпечна мережа Internet в новому стандарті, декілька передчасний, і його необхідно відкласти до остаточного виходу стандарту у світ.
Конкретні приклади атак на TCP/IP
Пасивні атаки на рівні TCP
При дані типі атак крекери ніяким чином не знаходять себе і не вступають напряму у взаємодію з іншими системами. Фактично все зводитися до спостереження за доступними даними або сесіями зв'язку.
Підслуховування
Атака полягають в перехопленні мережного потоку і його аналізі. Англомовні термін - "sniffing"
Для здійснення підслуховування крекеру необхідно мати доступ до машини, розташованої на шляху мережного потоку, який необхідно аналізувати; наприклад, до маршрутизатора або PPP-серверу на базі UNIX. Якщо крекеру вдасться одержати достатні права на цій машині, то за допомогою спеціального програмного забезпечення зможе проглядати весь трафік, що проходить через задані інтерфейс.
Другий варіант - крекер дістає доступ до машини, яка розташована в одному сегменті мережі з системою, яку має доступ до мережного потоку. Наприклад, в мережі "тонкий ethernet" мережна карта може бути переведена в режим, в якому вона одержуватиме всі пакети, циркулюючі по мережі, а не тільки адресованої їй конкретно. В даному випадку крекеру не потрібен доступ до UNIX - достатньо мати PC з DOS або Windows (часта ситуація в університетських мережах)
Оскільки TCP/IP-трафик, як правило, не шифрується (ми розглянемо виключення нижче), крекер, використовуючи відповідний інструментарій, може перехоплювати TCP/IP-пакеты, наприклад, telnet-сесій і витягувати з них імена користувачів і їх паролі.
Слід помітити, що даний тип атаки неможливо відстежити, не володіючи доступом до системи крекера, оскільки мережний потік не змінюється. Єдиний надійний захист від підслуховування -- шифрування TCP/IP-потока (наприклад, secure shell) або використовування одноразових паролів (наприклад, S/KEY)
Інше варіант рішення - використовування інтелектуальних світчей і UTP, внаслідок чого кожна машина одержує тільки той трафік, що адресований їй.
У кожної палиці два кінці. Природно, підслуховування може бути і корисно. Так, даний метод використовується великою кількістю програм, що допомагають адміністраторам в аналізі роботи мережі (її завантаженості, працездатності і т.д.). Один з яскравих прикладів - загальновідомий tcpdump
Активні атаки на рівні TCP
При даному типі атак крекер взаємодіє з одержувачем інформації, відправником и/или проміжними системами, можливо, модифікуючи и/или фільтруючи вміст TCP/IP-пакетов. Дані типи атак часто здаються технічно складними в реалізації, проте для хорошого програміста не складає праці реалізувати соотвествующий інструментарій. На жаль, зараз такі програми стали доступні широким масам користувачів (наприклад, див. SYN-затоплення).
Активні атаки можна розділити на дві частини. У першому випадку крекер робить певні кроки для перехоплення і модифікації мережного потоку або спроб "прикинутися" іншою системою. У другому випадку протокол TCP/IP використовується для того, щоб привести систему-жертву в неробоче стані.
Володіючи достатніми привілеями в Unix (або просто використовуючи DOS або Windows, що не мають системи обмежень користувачів), крекер може уручну формувати IP-пакети і передавати їх по мережі. Природно, поля заголовка пакету можуть бути сформовані довільним чином. Одержавши такий пакет, неможливо з'ясувати звідки реально він був одержаний, оскільки пакети не містять шляху їх проходження. Звичайно, при установці зворотної адреси не співпадаючим з поточною IP-адресою, крекер ніколи не одержить відповідь на відісланий пакет. Проте, як ми побачимо, часто це і не потрібне.
Уважаемый посетитель!
Чтобы распечатать файл, скачайте его (в формате Word).
Ссылка на скачивание - внизу страницы.