Способы нападений на компьютерные сети и защита от несанкционированного межсетевого доступа

     Такая копия может быть получена с помощью  драйвера NTFSDOS, позволяющего читать разделы  файловой системы NTFS из DOS. Права доступа  при этом игнорируются. Имеется также  вариант этого драйвера с возможностью записи данных в разделы файловой  системы NTFS — NTFSDOS Professional. Для подключения драйвера достаточно загрузить MS-DOS с системной дискеты.

     После выделения паролей и соответствующих  им хэш-значений может быть использована одна из многих программ взлома пароля методом перебора— скорость перебора составляет примерно 2500 паролей/с на компьютере класса Pentium. При этом, в  отличие от UNIX, в Windows NT для хэширования  паролей не используются случайные  числа, вследствие чего словарь может  быть предварительно с хэширован  и скорость тем самым может  быть поднята на несколько порядков. Кроме того, в Windows NT одинаковые пароли в хэшированном виде не отличаются друг от друга, что также способствует снижению их стойкости.

     Случайное число, применяемое в UNIX для хэширования пароля пользователя, сохраняется в файле учетных записей вместе с хэш-значением этого пароля. Поэтому затруднено предварительное хэширование и хэш-значения. Одинаковых паролей разных пользователей в учетном файле etc/passwd системы UNIX отличаются друг от друга. В ранних версиях UNIX для хэширования паролей использовались 6-битовые случайные числа. Сейчас чаще всего применяются 24-битовые случайные числа.

     При установке для Windows NT Service Pack 3 хэш-значения шифруются алгоритмом DES. Ключом шифрования хэш-значений каждого пароля является относительная часть идентификатора безопасности (Relative Identifier — RID) соответствующего пользователя. RID представляет собой порядковый номер учетной записи пользователя в базе данных безопасности (файле SAM). Соответственно при шифровании хэш-значений паролей по алгоритму DES стойкость не увеличивается, так как ключи шифрования являются открытыми.

     Безопасное  функционирование любой криптосистемы  требует использования защищенного  программно-аппаратного окружения, в котором предусматривается  контроль рабочей среды на соответствие эталонным характеристикам. При  отсутствии такого контроля возможны не только перехват ключей и паролей, но и назначение дополнительных полномочий, а также ослабление безопасности путем изменения параметров системы  защиты.   

     1.5 Нападения на протоколы информационного взаимодействия   

     Одними  из наиболее распространенных типов  атак на компьютерные сети являются атаки  на протоколы информационного взаимодействия (рис. 2.8). Вообще случае под протоколом понимают совокупность функциональных и эксплуатационных требований к какому-либо компоненту сетевого программно-аппаратного обеспечения, которых придерживаются производители этого компонента. Протокол является стандартом в области сетевого информационного обмена. Здесь важно уяснить следующий момент. Эталонная семиуровневая модель сетевого взаимодействия отражает стандартный требования к сетевому программно-аппаратному обеспечению, разработанные международной организацией по стандартизации (International Standards Organization — ISO). Протокол же — это требования к конкретной компоненту сетевого программно-аппаратного обеспечения, которых придерживаются производители этого компонента. Требования протокола могут отличаться от требований эталонной модели OSI.   

     Протокол  задает совокупность действий (инструкций, команд, вычислений, алгоритмов), выполняемых  в заданной последовательности двумя  или более компонентами вычислительной сети с целью достижения определенного  результата. Корректность выполнения протокола зависит от действий каждого  программного или аппаратного компонента. Задействованные в протоколах компоненты действуют по предписанным алгоритмам, т. е. алгоритм выступает как внутренний элемент протокола. Для того чтобы  протокол приводил к желаемой цели, он должен обладать следующими свойствами:

     ● корректностью —  совокупность действий, предусмотренных протоколом, должна обеспечивать получение требуемого результата;

     ● полнотой — протокол должен специфицировать действия каждого участника протокола для всех возможных ситуаций;

     ● непротиворечивостью и однозначностью — результаты, получаемые различными участниками протокола, и выполняемые ими действия не должны быть противоречивыми.

     К сожалению, используемые протоколы  информационного взаимодействия очень  редко удовлетворяют всем перечисленным  требованиям. Любой недостаток протокола  может использоваться для несанкционированного доступа к информации в компьютерной сети.

     Все возможные атаки на протоколы  информационного взаимодействия можно  разделить на две группы:

     ● использование слабостей обычных протоколов информационного обмена;

     ● использование слабостей сетевых криптографических протоколов.   

     Нападения на обычные протоколы  информационного  обмена   

     Способы атак, основанные на слабостях обычных  протоколов информационного обмена, в свою очередь могут быть разграничены по уровням модели эталонного взаимодействия (модели OSI). Здесь различают:

     ● атаки на основе слабостей протоколов низкого уровня (Ethernet, Тоkеn Ring, FDDI, АТМ и др.);

     ● атаки на основе слабостей протоколов среднего уровня (ТСР/IP, SPX/IPX, NetBIOS и NetBEUI);

     ● атаки на основе слабостей высокоуровневых протоколов (SMB, NCP, SNMP, NFS, RPC, FTP, HTTP, SMTP и др.).

     Отдельную емкую группу атак составляют атаки  на основе слабостей протоколов маршрутизации.

     В общем случае атакующий может  реализовать следующие угрозы:

     ● перехват передаваемых данных с целью их хищения, модификации или переадресации;

     ● несанкционированное отправление данных от имени другого пользователя;

     ● отрицание пользователями подлинности данных, а также фактов отправления или получения информации.

     Перехват  передаваемых по сети сообщений может  быть выполнен различными путями:

     ● непосредственное подключение к линии связи;

     ● доступ к компьютеру сети, принимающему сообщения или выполняющему функции маршрутизации; 

     ● внедрение в сеть несанкционированного маршрутизатора с перенаправлением через него потока сообщений.

     Выделение из перехватываемых пакетов сообщений  необходимой информации выполняется  с помощью специализированных программ-анализаторов, Подобные программы могут использоваться и для модификации перехваченных  пакетов. Для переадресации пакетов  сообщений выполняется модификация  адресной информации в их заголовках.

     С целью замены исходных пакетов сообщений  модифицированными необходим режим  перехвата, обеспечивающий динамическое преобразования потока передаваемых сообщений. В больших сетях такой режим  наиболее удачно реализуется путем  несанкционированного доступа к  компьютеру ceти, выполняющему функции  маршрутизации, или путем внедрения  несанкционированного маршрутизатора с перенаправлением через него потока сообщений. В локальных сетях  способ реализации режима динамического  преобразования потока сообщений зависит  от используемого низкоуровневого  протокола передачи данных.

     Несанкционированное отправление данных от имени другого  пользователь выполняется с помощью  соответствующих программных средств  после подключения к компьютерной сети. Реализация угрозы данного вида позволяет осуществить маскировку под санкционированного пользователя и тем самым получить доступ к  связанной с ним секретной  информации или обмануть получателя данных с целью нанесения ему  ущерба.

     Отрицание пользователями подлинности данных, а также фактов получении или  отправления сообщений позволяет, в частности, одной из сторон расторгать техническим путем заключенные  соглашения (финансовые, торговые и  др.), формально от них не отказываясь, с целью нечестного получения  прибыли или нанесения второй стороне ущерба.

     Атаки на протоколы информационного обмена часто кажутся технически сложными в реализации, однако для хорошего программиста не составляет труда реализовать  соответствующий инструментарий. Подобные программы доступны широким массам пользователей в Internet.

     В случае атак на низкоуровневые протоколы (Ethernet, Token Ring и др.) злоумышленник  может наблюдать за трафиком, подменять  содержимое пакетов сообщений, а  также выполнять подмену МАС-адресов. При отсутствии возможности физического  доступа к сетевым компьютерам  атакующий может подключить к  локального сети собственный компьютер. В локальных сетях пакеты передаются с использованием кадров, в заголовках которых основной информацией являются МАС-адреса станций получателя и  отправителя. Адрес отправителя  после посылки никем не проверяется, так как это непростая задача. Даже в том случае, если адрес  отправителя кем-либо анализируется (например, коммутатором), подставить чужой  МАС-адрес не составит труда.

     Большинство сетевых адаптеров позволяют  программировать и/или изменять свой МАС-адрес динамически. Например, в Netware ODI-драйвер ODIPKT позволяет самостоятельно сформировать весь пакет и послать  его как есть. Соответственно несложно написать программу, посылающую пакеты с различными МАС-адресами отправителя, выполняя подстановку МАС-адресов. Цель такой атаки — обмануть сетевую  операционную систему и другое связанное  с канальным уровнем программное  обеспечение, чтобы заставить их делать то, что они обычно не делают. Примером может тужить программа  НАСК.ЕХЕ, выполняющая подстановку  МАС-адресов, чтобы получить привилегии супервизора на любом сервере NetWare 3.11. Подстановка адресов может  быть использована и для реализации угрозы типа отказа в обслуживании. От подобных атак позволяет защититься Фильтрация МАС-адресов, реализуемая  специализированными концентраторами.

     Основными недостатками протоколов среднего уровня (ТСР/IP, SPX/IPX, NetBIOS и NetBEUI) также является отсутствие встроенных функций защиты. Не предусматривается криптографическое  закрытие содержимого пакетов сообщений, контроль их подлинности, а также  аутентификация участников обмена. Соответственно пакеты сообщений доступны для анализа  и их возможно подделать.

     Протоколы семейства ТСР/IP, изначально разработанные  для глобальной сети Internet, в настоящее  время становятся основой построения и локальных сетей. Данные протоколы  всегда были базовыми протоколами для UNIX-систем. Сейчас эти протоколы  поддерживаются всеми современными операционными системами. Несмотря на то, что разработка ТСР/IP финансировалась  Министерством обороны США, эти  протоколы не имеют функций защиты и допускают множество как  пассивных, так и активных атак.

     В случае пассивных атак на протоколы  ТСР/IP, как и при нападениях на другие протоколы информационного  обмена, злоумышленники никаким образом  не обнаруживают себя и все несанкционированные  действия сводятся к наблюдению за циркулирующими пакетами сообщений. При  активных атаках на ТСР/IP злоумышленник  модифицирует и/или фильтрует содержимое пакетов сообщений с целью  обмана получателя или нарушения  работоспособности принимающей  компьютерной системы. Обладая достаточными привилегиями или попросту используя DOS или Windows, е обеспечивающие разграничение  доступа к компьютерным ресурсам, атакующий может вручную формировать IP-пакеты и передавать их по сети. Естественно, поля заголовка каждого пакета могут  быть сформированы произвольным образом. Получив такой пакет, невозможно выяснить, откуда реально он был  получен, поскольку пакеты не содержат пути их прохождения. Конечно, при установке  обратного адреса, не совпадающего с текущим IP-адресом, атакующий никогда  не получит ответ на отосланный пакет. Однако часто это и не требуется. Возможность формирования произвольных IP-пакетов является ключевым пунктом  для осуществления активных атак.

     Незащищены  и протоколы SPX/IPX, используемые в сетевой операционной системе Netware. Злоумышленник может сформировать IPX-пакет, совершенно идентичный IPX-пакету администратора. Следовательно, нарушить безопасность системы может практически любой пользователь сети. Если некто самостоятельно заполнит IPX-пакет, то он может указать чужой адрес отправителя, например, администратора сети. Такой пакет обязательно дойдет до адресата (сервера) и будет им обработан тем же образом, что и все остальные санкционированные пакеты.

     Сложность атак на незащищенные высокоуровневые  протоколы, а также протоколы  маршрутизации определяется лишь сложностью самих протоколов, но никак не надежными  функциями защиты.   

     Использование слабостей сетевых  криптографических  протоколов   

     Криптографическая защита передаваемых сообщений еще  не гарантирует их безопасности. К  атакам, основанным на использовании  слабостей сетевых, криптографических  протоколов, относятся такие действия злоумышленника, как повтор ранее  переданных сообщений, задерживание или  удаления передаваемых сообщений, а  также отказы от фактов получения  или отправления сообщений. Здесь  атакующему следует учитывать возможные  способы противодействия.

     Для защиты от повтора, удаления и задержек сообщений в состав каждого сообщения  перед его криптографической  защитой добавляется дополни  тельная информация. В качестве такой  дополнительной информации мо использоваться номера, случайные числа, а также  отметки времени. Вставка в исходные сообщения их номеров обеспечивает защиту этих сообщений повтора и  удаления. Для реализации такой защиты номера сообщений должны быть связаны  со счетчиками, состояние которых  должно отслеживаться как системой защиты отправителя, так и системой защиты получать. ля. Каждый объект сети должен иметь отдельный счетчик  для каждого и взаимодействующих  с ним объектов. При контроле номеров  сообщений заданного отправителя  факт удаления какого-либо сообщения  обнаруживается сразу же при приходе  сообщения с номером, значение которого отличается от номера предыдущего сообщения  более чем на единицу. Факт повтора  выявляется повторением номера сообщения.