  |
Za poslednú hodinu: 40 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Sobota, 24. mája 2025, dnes má meniny Ela |
|
V TCP a Linuxe gigantická slabina, ktokoľvek môže komukoľvek podvrhnúť dáta
bezpečnosť
TCP / IPTCP / IP protokol respektíve skrátene TCP je protokol, ktorý umožňuje na Internete dvom zariadeniam s IP adresami uskutočniť spojenie a posielať si po ňom v oboch smeroch stream dát.Kým samotný protokol IP negarantuje vôbec doručenie paketov a poradie ich doručenia, úlohou TCP je práve eliminovať tieto potenciálne problémy, spoľahlivo doručovať dáta medzi dvomi zariadeniami a to v poradí, v akom boli posielané. Bezpečnosť TCPĎalším problémom Internetu a protokolu IP je skutočnosť, že na Internete sa vo všeobecnosti neoveruje pravosť IP adresy uvedenej v IP paketoch ako adresa zdroja paketu. Útočníci tak môžu posielať pakety tváriace sa ako pakety poslané z ľubovoľnej IP adresy.Takéto pakety vo vhodnom tvare by sa mohli bez ďalších ochrán tváriť ako súčasť dát zasielaných v TCP spojení medzi úplne inými dvomi zariadeniami alebo napríklad takéto TCP spojenie zatvoriť. TCP ale chráni aj proti takýmto prípadom a to číslami portov a konceptom 32-bitových poradových čísiel jednotlivých posielaných bajtov v oboch smeroch, označovaných ako tzv. sequence a ACK čísla. U rozličných serverových služieb je samozrejme číslo portu známe. Klient pripájajúci sa na server ale môže používať ľubovoľný port neznámy útočníkovi, ktorý nedokáže odchytávať jeho komunikáciu. Zároveň pri vzniku spojenia si pripájajúci sa klient a server zvolia počiatočné poradové čísla posielaných dát tak, aby neboli útočníkovi, ktorý nedokáže odchytávať ich komunikáciu, známe. Jeho pakety neobsahujúce správne hodnoty týchto čísiel sú tak následne zahadzované. SlabinaPráve na posilnenie TCP proti útokom, pri ktorých útočník háda port a poradové čísla posielaných bajtov, vzniklo rozšírenie TCP protokolu RFC 5961 z roku 2010. Ako jeho autori sú uvedení zamestnanci Cisca a Huawei.Pri týchto útokoch sa útočník bez akéhokoľvek prístupu ku komunikácii medzi klientom a serverom snaží zaútočiť na spojenie medzi ľubovoľným iným klientom a ľubovoľným serverom. Kontaktuje pri tom server a používa falošnú IP adresu a port klienta, ktorého komunikáciu so serverom sa buď snaží prerušiť alebo do nej podvrhnúť dáta. Rozšírenie pridáva ďalší mechanizmus kontroly, ktorý stále umožní legitímnemu klientovi zresetovať spojenie ale sťaží útoky na spojenia. Využíva k tomu odosielanie doplňujúcich ACK paketov označených ako tzv. ACK výzvy, napríklad po prijatí RST paketov snažiacich sa o zresetovanie spojenia ale nemajúcich presne očakávané poradové čísla alebo po prijatí SYN paketov v rámci existujúceho spojenia.
Aby sa tento mechanizmus nedal využiť na vyčerpanie zdrojov servera, rozšírenie navrhuje limitovať maximálne množstvo ACK paketov posielaných za týmto účelom za jednotku času z jedného počítača. Práve tento limit je ale postranným kanálom prezrádzajúcim informácie. Protokol v RFC 5961 je navrhnutý totiž tak, že informácia či server poslal v reakcii na falošný paket ACK výzvu umožní útočníkovi postupne efektívne zistiť port klienta aj konkrétne aktuálne poradové čísla na danom spojení. Túto informáciu útočník samozrejme priamo ale nemá, keď ACK výzvy posielané ako odpoveď na jeho pokusy sú serverom posielané legitímnemu klientovi. Práve vďaka limitu, ktorý je v Linuxe nastavený na sto paketov s ACK výzvami za sekundu, môže ale útočník túto informáciu získať. Takéto pakety sa totiž bežne vôbec neposielajú a či ho server legitímnemu klientovi po falošnom pakete útočníka poslal môže útočník zistiť jednoducho tak, že uskutoční následne so serverom legitímne vlastné spojenie, pošle sto paketov generejúcich na serveri ACK výzvy a spočíta počet prijatých výziev. Ak ich prijme sto, server predtým v danej sekundu neposlal inú ACK výzvu. Ak ich dostane len 99, bol dosiahnutý limit a teda server poslal legitímnemu klientovi ACK výzvu. ÚtokySlabinu odhalil tím z Kalifornskej univerzity v Riverside, ktorý zároveň navrhol aj implementoval praktický útok.Vyššie popísaný jednoduchý postranný kanál umožňuje útočníkovi, ktorý pozná len IP adresu servera s operačným systémom Linux, serverový port služby a IP adresu pripojeného klienta, v kombinácii najmä s binárnym vyhľadávaním komunikáciou so serverom zistiť TCP port dlhšie otvoreného spojenia použitý klientom a tiež poradové čísla streamov dát v oboch smeroch. Ak na spojení neprebieha aktívna legitímna komunikácia, útok expertov dokázal tieto dáta zistiť v závislosti na ďalších okolnostiach s úspešnosťou 90+% a za približne 40 až 80 sekúnd. So znalosťou týchto dát môže následne útočník bez problémov násilne ukončiť spojenie, voči ktorému útočil, zaslaním RST paketu so sfalšovanou IP adresou klienta. Zároveň môže na server aj klienta ale poslať aj podvrhnuté dáta, ktoré budú považované za legitímne dáta od druhej strany. Ak je na danom TCP spojení nasadený šifrovaný protokol, napríklad SSL, tento útok samozrejme nie je prakticky realizovateľný a vyššia vrstva dáta nezašifrované správnym kľúčom neakceptuje. Ak ale ide o nešifrované spojenie, napríklad prístup na web stránku cez HTTP, môže útok podvrhnúť klientovi legitímne dáta tváriace sa ako dáta z webového servera, ktoré jeho prehliadač aj zobrazí. To je práve aj scenár zrejme najnebezpečnejšieho potenciálneho masového zneužitia objavenej slabiny a útoku. Útočník môže totiž len na základe znalosti IP adresy užívateľa odkiaľkovek z Internetu bez schopnosti realizovať Man-In-The-Middle útok podstrčiť užívateľovi do prehliadača dáta, ak pozná nejaký webový server navštevovaný užívateľom a využívajúci Linux. Vzhľadom na dĺžku trvania útoku ešte musí ísť o server, spojenia na ktorý zostávajú napríklad kvôli doťahovaniu dát otvorené dlhšie.
Experti, ktorí slabinu objavili, prakticky demonštrovali takéto podstrčenie dát užívateľovi pri návšteve stránky novín USA Today. Hoci sa slabina nachádza v Linuxe, ohrození sú aj užívatelia Windows a ďalších operačných systémov. Útok totiž zistí všetky potrebné dáta z linuxového serveru, ku ktorému sa užívateľ pripája. Na operačnom systéme klienta v takomto prípade nezáleží a útočník môže získané informácie využiť na podstrčenie dát klientovi, ktorý môže používať ľubovoľný iný operačný systém. OchranaZ moderných operačných systémov implementoval rozšírenie RFC 5961 plne zatiaľ len Linux, vo verzii 3.6 v septembri roku 2012. Zraniteľný je tak už od tohto roku, pričom rozšírenie mohlo byť teoreticky distribúciami backportované aj do skorších verzií.Slabina bola odstránená v novej verzii jadra 4.7. Windows, FreeBSD a macOS podľa expertov zraniteľné nie sú, keď rozšírenie zatiaľ plne neimplementovali. Na zraniteľnej verzii jadra Linuxu je možné slabine a jej zneužitiu zabrániť nastavením limitu na počet ACK výziev za sekundu na výrazne vyššie číslo, nastavením net.ipv4.tcp_challenge_ack_limit = 999999999 v /etc/sysctl.conf. Pre aplikovanie nového nastavenia je samozrejme potrebné uskutočniť sysctl -p. 
Najnovšie články: Diskusia:
Pridať komentár | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
