Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp


НазваІнформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp
Дата конвертації02.04.2013
Розмір445 b.
ТипІнформації


Захист інформації в операційних системах, базах даних і мережах

  • Лекція 16

  • Безпека прикладних протоколів Інтернету


Питання

  • Застарілі протоколи

    • Telnet
    • Мережні служби UNIX
  • Актуальні протоколи

    • FTP
    • SSH


Безпека протоколу Telnet

  • З погляду безпеки стандартний протокол Telnet має такі суттєві вади:

    • протокол не передбачає ідентифікації й автентифікації, а також контролю послідовності переданих даних, у цьому він цілком покладається на протокол TCP
    • у всіх режимах, крім лінійного, не передбачене шифрування (нагадаємо, що протокол Telnet на практиці дуже часто використовується для віддаленого адміністрування серверів і мережного обладнання, отже, ймовірною є передача конфіденційних даних, зокрема паролів)
  • Порушник шляхом прослуховування Telnet-сеансів може отримати ім’я користувача і його пароль, і в подальшому скористатись ними

    • Деякі сучасні реалізації клієнтів і серверів підтримують шифрування даних і знімають зазначену проблему. Однак важливо пам’ятати, що шифрування повинні підтримувати обидві сторони, інакше буде встановлено незахищений сеанс обміну.
  • Ряд сучасних RFC, що мають статус пропозицій стандартів, специфікують різні опції автентифікації і шифрування в Telnet

  • Іншим рішенням є використання протоколу SSH замість Telnet

    • Так поступають для задач адміністрування UNIX-серверів і мережного обладнання деяких виробників


Атаки на сервер Telnet

  • Протокол Telnet має не дуже широко відому можливість, яка суттєво впливає на безпеку сервера

  • Клієнт має можливість впливати на змінні оточення сервера ще до автентифікації

    • Ця можливість підтримується багатьма сучасними серверами Telnet
    • Вона може бути використана, наприклад, для атаки на FTP-сервер, який дозволяє анонімне завантаження файлів
    • Порушник може, користуючись протоколом FTP, спочатку завантажити модифіковану бібліотеку (наприклад, libc), яка містить бажані для нього функції, або взагалі “троянського коня” під добре відомим ім’ям (наприклад, ls), а потім відкрити Telnet-сесію, і змінити змінну оточення, що вказує на бібліотеку, або змінну PATH
    • Такі атаки нелегко виявити, тому що і змінні оточення, і каталоги, в які є доступ для анонімного завантаження файлів за протоколом FTP, ретельно перевіряють далеко не всі адміністратори
    • Оскільки в наш час описана вразливість добре відома, її наявність в системі (тобто, дозвіл на віддалену модифікацію змінних оточення) слід вважати помилкою адміністрування.
  • Деякі сервери Telnet мали класичні помилки переповнення буфера

    • У наш час зловмисникам сподіватись на це не варто, але все ж різні нестандартні сервери Telnet (наприклад, вбудовані в мережне обладнання) повинні ретельно перевірятись на наявність таких помилок


Атаки на клієнта Telnet

  • Традиційно – помилки переповнення буфера

    • Якщо клієнт має таку помилку, то використати її зловмисник може, наприклад, розмістивши на Web-сервері посилання вигляду telnet://server.edu/xxxxxxxx (вважаємо, що за xxxxxxxx якраз і схований спеціально підібраний рядок, що дозволяє виконати на комп’ютері клієнта певну команду)
    • Як тільки недбалий користувач активує таке посилання, його браузер запустить Telnet-клієнта і передасть останньому параметри
    • Такі помилки протягом довгих років були актуальними для Telnet-клієнтів ОС Windows 9x
  • Ще одна можливість атаки на клієнта була прихована у драйвері ANSI

    • Основні можливості терміналів обмежувались зміною кольорів і шрифтів
      • Використання таких можливостей не несло небезпеки комп’ютерам клієнтів
    • Але існували такі драйвери ANSI, які підтримували макрокоманди
      • При взаємодії Telnet-клієнта з таким драйвером існувала можливість виконання на комп’ютері клієнта макрокоманд, що були передані з сервера. А це вже є потенціальною вразливістю.


r-служба

  • За допомогою програм, що входять в r-службу (rlogin, rsh тощо), користувач з деяким реєстраційним ім’ям з довіреного хосту може виконувати команди на даному хості від імені користувача з таким самим реєстраційним ім’ям

  • При використанні r-програм з довіреного хосту користувачу не потрібно проходити стандартну процедуру парольної автентифікації — його авторизація відбувається автоматично

  • Довірені, або адміністративно-еквівалентні комп’ютери визначаються у файлах, що містять списки імен та IP-адрес довірених хостів

    • /etc/hosts.equiv (спільний для усієї системи)
    • ~/.rhosts (можуть створюватись для будь-якого користувача)
  • Проблема безпеки:

    • У UNIX системах існує значна кількість так званих спеціальних користувачів (bin, daemon тощо), для яких інтерактивний вхід в систему заборонений і від імені яких працюють системні процеси
    • Деякі із спеціальних користувачів можуть мати значні права у системі, або бути включеними до груп з підвищеними правами (наприклад, wheel)
    • Одна із специфічних особливостей rsh полягає в тому, що авторизація користувача відбувається не тими засобами, які використовуються під час інтерактивного входу в систему.
    • За допомогою rsh віддалений користувач міг увійти в систему, скажімо, як спеціальний користувач bin, для цього він повинен був мати змогу на своєму комп’ютері працювати саме як bin


NFS

  • NFS (Network File System) — мережна файлова система призначена для організації спільного використання UNIX-машинами файлових систем

    • Система реалізована за архітектурою клієнт-сервер і працює за принципом “stateless”
    • Протоколи NFS описані в RFC-1094, 1813
    • Sun Microsystems першою впровадила NFS у 1985 р.
  • NFS базується на засобах, розроблених Sun Microsystems

    • XDR (External Data Representation — зовнішнє подання даних)
    • RPC (Remote Procedure Call — віддалений виклик процедур)
  • NFS має в своєму складі

    • протокол і сервер віддаленого монтування файлових систем (демон mountd)
    • протокол і сервер блокування файлів
    • демони, що реалізують файловий сервіс (демон nfsd)
  • NFS надає зручний спосіб доступу до файлів через мережу, і, як наслідок, створює потенційні загрози безпеці



Безпека NFS

  • Основним заходом захисту при використанні NFS є жорсткий контроль за файлом /etc/exports (або /etc/dfs/dfstab у системі Solaris)

  • Користувач, який має привілейований доступ на машині — клієнті NFS, має у своєму розпорядженні кілька елегантних методів доступу до файлів, що належать іншим користувачам, навіть у тому випадку, коли привілейований доступ на експорт файлів не надається

  • Якщо користувач, якому з якихось міркувань не довіряють, має привілейований доступ на деякому комп’ютері, то на той комп’ютер не слід експортувати жодних файлових систем



Сценарій атаки на NFS

  • Можливі дії порушника, що має права суперкористувача на деякій машині, на яку дозволений експорт деякої файлової системи за NFS:

    • Спочатку порушник монтує віддалену файлову систему
    • При цьому він отримує доступ не як root, а як nobody (UID = –2)
    • Тим не менше, він може отримати список файлових систем, які експортуються
    • Якщо серед них є домашні каталоги користувачів, то порушник обирає жертву і заводить на своєму комп’ютері користувача з таким самим реєстраційним ім’ям і такими самими UID та GID
    • Тепер, зареєструвавшись на своєму комп’ютері під цим ім’ям, порушник отримує через NFS без введення пароля доступ до домашнього каталогу цього користувача на віддаленому комп’ютері
    • Порушник редагує файл ~/.rhosts, додаючи в нього свій комп’ютер
    • Наступним кроком він отримує доступ до віддаленого комп’ютера вже через rsh, знову ж таки без пароля


NIS

  • NIS (Network Information Service — мережна інформаційна служба), яку раніше називали Yellow Pages, — це засіб, що був розроблений Sun Microsystems для розповсюдження баз даних, зокрема, файлів /etc/passwd, /etc/group, /etc/hosts, а також поштових псевдонімів

  • NIS, як і NIS+, що прийшла їй на заміну, є дуже привабливою для зловмисників, оскільки сама її ідея — легкий доступ до інформації, яку ніяк не можна віднести до загальнодоступної — є неприйнятною для сучасних мереж

  • Тому вже багато років в усіх настановах адміністраторам переконливо радять повністю відмовитись від цих служб



Проблеми з безпекою протоколу FTP

  • Одною з найголовніших проблем протоколу FTP є те, що обмін по каналу керування здійснюється у відкритому вигляді, без криптографічного закриття інформації

    • Пересилання даних також не передбачає додаткового захисту, але це не є великою проблемою:
      • якщо дані потребують захисту конфіденційності, то вони можуть зберігатись у зашифрованому вигляді на сервері,
      • якщо потребують захисту цілісності, то вони повинні супроводжуватись електронним підписом
    • Відкритість каналу керування, натомість, відкриває для порушників можливості перехоплення ідентифікаторів і паролів користувачів FTP-сервера
      • у FTP атрибути передаються відповідними командами протоколу, кожна з яких передається окремим пакетом. Тому в одному з пакетів є послідовність символів USER: , а в наступному PASS:
        , де login_name і password — ідентифікатор і пароль, що введені користувачем
  • Для боротьби з цією вадою в межах протоколів прикладного рівня існують лише два шляхи:

    • відмовитись від протоколу FTP на користь захищених протоколів (які, на жаль, не набули достатнього поширення),
    • або взагалі відмовитись від автентифікації користувачів, зробивши FTP–сервер повністю відкритим та доступним
  • Інша проблема FTP — відсутність контролю за походженням пакетів: ці завдання покладаються на засоби транспортного і мережного рівнів



Протокол FTP і брандмауери

  • Типовою вимогою політики безпеки, яку виконують міжмережні екрани, є заборона ініціювання з зовнішньої мережі з’єднань з комп’ютерами захищеної мережі

    • Тобто ініціаторами з’єднань можуть виступати лише “свої” комп’ютери
    • Це нормально працює для більшості протоколів, заснованих на технології “клієнт-сервер”: клієнт з захищеної мережі робить запит до сервера, що знаходиться у зовнішній мережі, сервер йому відповідає
    • У протоколі FTP таким чином встановлюється з’єднання лише для каналу керування
    • Як тільки сервер отримує команду, що вимагає пересилання файлів, він зі своєї ініціативи намагається встановити з’єднання з комп’ютером-клієнтом
    • Крім пересилання файлів, так само окремим з’єднанням передається, наприклад, список файлів у поточному каталозі
      • Більшість клієнтів, що мають розвинутий інтерфейс користувача, передають запит списку файлів невідкладно після встановлення з’єднання. Все, що побачить користувач, який знаходиться за міжмережним екраном, — це вікно, яке інформує про підключення до сервера і про очікування з’єднання. Список файлів ніколи не буде отриманим, також неможлива буде будь-яка передача файлів.
  • Вихід з проблеми передбачено у самому протоколі FTP — це так званий пасивний режим

    • У пасивному режимі сервер через канал керування передає клієнту параметри каналу передачі даних (зокрема, номер порту), який він дозволяє створити
    • Ініціатором з’єднання виступає клієнт
    • Це дозволяє нормально працювати з FTP-серверами, навіть знаходячись за брандмауером
  • Проблеми взаємодії FTP з міжмережними екранами описані у RFC 1579

  • Удосконалення і додаткові можливості протоколу FTP, значна частина яких безпосередньо впливає на безпеку, описані також у RFC 2228, 2428, 2773 та інших



Проксі-режим у протоколі FTP

  • Обмеження проксі-режиму практично не описані в документації, але його можливість визначена дуже чітко

    • Суть проксі-режиму полягає в тому, що користувач, зв’язавшись із сервером, може запросити пересилання файлів не лише собі, а й на інший сервер
    • Користувач повинен встановити з’єднання з обома серверами
    • Очевидно, що одному з серверів при цьому необхідно видати команду PASV для переведення його у режим прослуховування порту, а специфікацію порту, яку він надішле у відповідь, необхідно передати другому серверу командою PORT
    • Після цього команда, що викликає передачу файлів, надіслана другому серверу, спричинить встановлення ним з’єднання з першим сервером і спробу відповідної передачі файлів між ними
  • Розробники RFC не дуже детально описали такий режим, можливо, маючи на увазі його подальше детальне опрацювання

    • Очевидно, що сервер може легко розпізнати, що канал передачі даних встановлюється не з тим хостом, з яким встановлено сесію керування
    • Сервери поділяються на ті, що підтримують проксі-режим, і ті, що його не підтримують
  • Можна було б вважати, що великої шкоди у проксі-режимі бути не повинно, оскільки користувач все одно повинен мати права встановлювати з’єднання з кожним із серверів — учасників обміну

  • Існує одна унікальна можливість, яку надає проксі-режим. Мова йде про техніку прихованого сканування портів — FTP Bounce Attack (прихована атака по FTP)



FTP Bounce Attack

  • Якщо FTP-сервер проінструктований встановити з’єднання з деяким хостом Інтернету, відмінним від хосту клієнта, що підтримує в цей момент із сервером FTP-сесію, то сервер не може знати, чи має насправді клієнт з тим іншим хостом у цей момент встановлену FTP-сесію, як того вимагає RFC.

    • Отже, сервер (якщо він підтримує такий режим) просто буде намагатись встановити TCP-з’єднання з указаним хостом
    • Це і надає можливість прихованого сканування.
  • Послідовність атаки

    • FTP-серверу надсилається команда PORT з IP-адресою і номером порту, який планується перевірити
    • Після цього надсилається команда LIST
    • За цією командою сервер повинен надіслати на об’єкт, визначений командою PORT, список файлів у поточному каталозі
      • без попередньої команди PORT сервер надсилав би цей список хосту, від якого надійшла команда LIST
    • Внаслідок цього сервер надсилає на заданий порт TCP SYN пакет
    • Якщо порт відкритий, то з’єднання встановлюється і здійснюється передача, а FTP-клієнту надсилаються відповіді 150 і 226
      • якщо віддалений хост замість підтвердження про отримання пакета даних, що містить список файлів, надішле TCP RST-пакет, то замість відповіді 226 буде отримана 426
    • Якщо ж порт закритий, то FTP-клієнту надсилається відповідь 425
  • Будь-які спроби з’єднань з хостом, який сканують, здійснюються з FTP сервера

    • отже, якщо атаку і буде виявлено, то саме останній і буде зафіксований як її джерело, а порушник залишиться не викритим
  • Типовою вимогою захисту є встановлення правил фільтрації пакетів, коли з FTP-сервером можна встановлювати з’єднання із зовнішньої мережі, а з будь-яким іншим хостом захищеної мережі — ні. Але якщо при цьому хости внутрішньої мережі можуть працювати з FTP сервером, і сервер підтримує проксі-режим, то у зовнішнього порушника з’являється можливість обійти брандмауер через FTP-сервер і просканувати внутрішню мережу



Сканування захищеної мережі з використанням FTP bounce attack



SSH



Схожі:

Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних І мережах Лекції 14-15 Безпека мережних протоколів Інтернету Питання Безпека протоколу ip безпека транспортних протоколів udp tcp
На рівні протоколу ip відпрацьовується передача пакета між мережами, І для цього передбачені ряд засобів
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних І мережах Лекції 14-15 Безпека протоколів стеку tcp/ip питання Безпека протоколу ip безпека транспортних протоколів udp tcp
На рівні протоколу ip відпрацьовується передача пакета між мережами, І для цього передбачені ряд засобів
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних І мережах Лекція 17 Безпека електронної пошти Питання Протоколи електронної пошти smtp pop3 imap4 Загрози зловживання електронною поштою
Будь-яке повідомлення від сервера за протоколом smtp розпочинається з трьох символів-цифр, що визначають код завершення операції
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних і мережах Лекція 13 Особливості розподілених систем і Інтернету з міркувань безпеки Мережні або віддалені атаки
Розподіл ресурсів та інформації у просторі робить можливим специфічний вид атак так звані
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних І мережах Лекції 9-10 unix архітектура системи unix структура ядра unix (Linux) Модель безпеки системи unix
Авторизація: запуск програми, що вказана у файлі /etc/passwd, від імені користувача
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconПротоколи інтернету tcp/ip – основний протокол передавання даних в мережі Інтернет
Призначення й структура мережі Інтернет. Протоколи Інтернету. Адресація в мережі Інтернет. Способи підключення до Інтернету, функції...
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconЛекція 17 Протоколи прикладного рівня Telnet, ftp
Клієнт Telnet це програма, яка підтримує інтерфейс командного рядка І систему команд деякого стандартного терміналу, або багатьох...
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних і мережах Лекція 19 Firewalling міжмережне екранування Підведемо деякі підсумки Згадаємо основні загрози Назвемо основні методи атак
Для того, щоби зовнішній порушник отримав доступ до інформації, він має спочатку здійснити вторгнення
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних і мережах Лекція 19 Firewalling міжмережне екранування Головні цілі захисту Загрози безпеці мереж Вторгнення  загроза усім 3 цілям безпеки
Перевантажує cpu, пам’ять або ресурси мережі жертви шляхом відправлення великої кількості запитів
Інформації в операційних системах, базах даних І мережах Лекція 16 Безпека прикладних протоколів Інтернету Питання Застарілі протоколи Telnet Мережні служби unix актуальні протоколи ftp iconІнформації в операційних системах, базах даних І мережах Лекція 6 iso/iec 15408 "Common Criteria" Історія розробки (1/3) 1990 рік
Міжнародна організація із стандартизації (iso) розпочинає роботи із створення стандарту у сфері оцінки безпеки інформаційних технологій...

Додайте кнопку на своєму сайті:
dok.znaimo.com.ua


База даних захищена авторським правом ©dok.znaimo.com.ua 2013
звернутися до адміністрації
dok.znaimo.com.ua
Головна сторінка