Коллектив авторов - Защита от хакеров корпоративных сетей

Многие существующие сетевые протоколы имеют аналоги, которые полагаются на стойкие алгоритмы шифрования и всеобъемлющие механизмы, такие как IPSec, предоставляют это для всех протоколов. К сожалению, IPSec не используется широко в Интернете вне частных корпораций.

Secure Shell (SSH)

Secure Shell является криптографически стойкой заменой rlogin, rsh и rcp команд стандартного Telnet. Она состоит из клиента и сервера, которые используют криптографию с открытым ключом для обеспечения шифрования сессии. Secure Shell также предоставляет возможность ретрансляции произвольных портов через шифрованные соединения, являющиеся очень удобными для ретрансляции X11 Windows и других соединений.

SSH получила широкое признание как безопасный механизм для интерактивного доступа к удаленным системам. SSH зародилась и первоначально разрабатывалась финским разработчиком Тату Ялоненом (Tatu Ylonen). Оригинальная версия SSH стала коммерческой, и, несмотря на то что первоначальная версия до сих пор бесплатна, лицензия стала более ограничительной. Была создана общедоступная спецификация, результирующая разработку некоторого числа разных версий программного обеспечения SSH-клиента и сервера, не содержащих данных ограничений (в большинстве те, которые запрещают коммерческое использование).

Оригинальная версия SSH, написанная Тату Ялоненом, доступна на ftp://ftp.cs.hut.fi/pub/ssh/. Новая коммерческая SSH может быть приобретена у компании SSH Communications Security (www.ssh.com), которая предоставляет коммерческие версии бесплатно для общепризнанных университетов.

Полностью бесплатная версия SSH-совместимого программного обеспечения, OpenSSH, разработанного проектом операционной системы OpenBSD (как показано на рис. 10.8), может быть получена на www.openssh.com.

Рис. 10.8. Проект OpenSSH

Между прочим, команда OpenBSD/OpenSSH делает много хорошей работы за маленькие деньги или вообще бесплатно. Рисунок 10.8 наносится на футболки продажи, которые приносят некоторый доход, помогающий покрыть расходы на проект. Футболки, постеры и компакт-диски, которые они продают, можно найти на www.openbsd.org/orders.html.

Secure Sockets Layers (SSL)

SSL предоставляет сервисы аутентификации и шифрования. С точки зрения прослушивания сетевого трафика, SSL уязвим к атакам «человек посередине» (man-in-the-middle attack). Нарушитель может установить прозрачную программу-посредник между вами и Web-сервером. Эта программа-посредник может быть настроена дешифровывать SSL-соединения, перехватывать и обратно зашифровывать их. Когда это случается, пользователь будет предупрежден диалоговым окном, показанным на рис. 10.9. Проблема заключается в том, что большинство пользователей игнорируют эти предупреждения и все равно продолжают сеанс.

Рис. 10.9. Предупреждение о некорректном сертификате SSL

PGP и S/MIME

PGP и S/MIME являются стандартами для шифрования сообщений электронной почты. Если корректно использовать данные стандарты, существует вероятность сделать невозможным интерпретирование перехваченных сообщений электронной почты анализаторами e-mail трафика, таких как dsniff и Carnivore.

В Соединенных Штатах Америки ФБР разработало Троянского коня Magic Lantern, который регистрирует нажатия клавиш с надеждой перехватить пароли пользователей. Когда ФБР получает пароль, оно может расшифровывать сообщения электронной почты. В Соединенном Королевстве Великобритании пользователи обязаны законом предоставлять свои ключи шифрования по запросу для обеспечения правопорядка.

Коммутация

Сетевые коммутаторы усложняют процесс прослушивания вашей сети нарушителем; однако ненамного. Коммутаторы иногда рекомендуются как решения для проблемы прослушивания сетевого трафика; однако их настоящее назначение заключается в улучшении производительности сети, а не в предоставлении обеспечения информационной безопасности. Как объясняется в пункте «Усовершенствованные методы прослушивания сетевого трафика», любой нарушитель с помощью соответствующих инструментов все равно может прослушивать коммутируемый хост, если они находятся на одном и том же коммутаторе или сегменте.

Но что, если вы по каким-либо причинам не можете использовать шифрование в вашей сети? Что делать в такой ситуации? В данном случае вы должны полагаться на обнаружение любой сетевой интерфейсной платы (NIC), которая может функционировать в режиме, инициированном анализатором сетевого трафика.

Локальное обнаружение

Многие операционные системы предоставляют механизм для выявления сетевых интерфейсов, работающих в «безразличном» режиме (promiscuous mode). Данный механизм обычно представлен в виде флага состояния, который ассоциирован с каждым сетевым интерфейсом и содержится в ядре. Он может быть просмотрен использованием команды ifconfigв UNIX-системах.

Следующий пример показывает интерфейс в операционной системе Linux, не находящийся в «безразличном» режиме:

eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B

inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets: 1492448 errors: 2779 dropped: 0 overruns: 2779

frame: 2779

TX packets: 1282868 errors: 0 dropped: 0 overruns: 0

carrier: 0

collisions: 10575 txqueuelen: 100

Необходимо отметить, что атрибуты интерфейса ничего не упоминают о «безразличном» режиме. Когда интерфейс переключается в «безразличный» режим, как показано далее, в разделе атрибутов появляется ключевое слово PROMISC:

eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B

inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0

UP BROADCAST RUNNING PROMISC MULTICAST MTU: 1500 Metric:1

RX packets: 1492330 errors: 2779 dropped: 0 overruns: 2779

frame: 2779

TX packets: 1282769 errors: 0 dropped:0 overruns:0 carrier:0

collisions: 10575 txqueuelen: 100

Важно отметить, что если нарушитель скомпрометировал защиту хоста, на котором вы выполняете данную команду, он или она может с легкостью повлиять на результат выполнения этой команды. Важной частью инструментария нарушителя является замещение команды ifconfig таким образом, что она не сообщает об интерфейсах в «безразличном» режиме.

Сетевое обнаружение

Существует несколько методов, различных по их степени точности обнаружения хоста, подслушивающего весь сетевой трафик. Не существует метода, гарантирующего стопроцентное обнаружение присутствия анализаторов сетевого трафика.

Большинство программ, написанных для прослушивания сети, выполняют обратные поиски DNS во время вывода выходных данных, состоящих из исходного и конечного хостов, вовлеченных в сетевое соединение. В процессе выполнения данного поиска генерируется дополнительный сетевой трафик; в основном DNS-запросы для поиска сетевого адреса. Существует возможность наблюдать при помощи сети на наличие хостов, выполняющих большое количество поисков адресов; однако это может являться простым совпадением и не приведет к обнаружению хоста, осуществляющего прослушивание сетевого трафика.