KLASICKÝ MAN-IN-THE-MIDDLE

Transkript

1 SNIFFING

2 SNIFFING je technika, při které dochází k ukládání a následnému čtení TCP paketů. Používá se zejména při diagnostice sítě, zjištění používaných služeb a protokolů a odposlechu datové komunikace. Pro odposlech datové komunikace (sniffing) existuje hned několik způsobů, ale de facto ke každému typu odposlechu je zapotřebí sniffer, softwarové vybavení (a v jistých případech i upravený hardware), které takové odposlouchávaní umožní.

3 METODY SNIFFINGU Fyzický (nebo hardwarový) Man-In-the Middle Typem nejsnadnějšího odposlouchávání z hlediska implementace je fyzický (nebo také hardwarový) Man-In-the- Middle. Tato metoda je typická pro osoby, které mají fyzický přístup k topologii sítě. Pro tento typ odposlouchávání bude útočníkovi postačovat notebook s dvěma sítovými kartami nebo odposlouchávací můstek a přímý přístup do patřičného uzlu sítě (tedy racku, fyzické kabeláži, stroji...). Vhodná obrana proti tomuto útoku je důkladné zabezpečení fyzického přístupu k uzlům a síti samotné. A když už je myšlenka absolutní kontroly přístupu nesplnitelná, je stále ještě možné doplnit potencionálně slabě zabezpečené prostory o nějaký další bezpečnostní systém.

4 PACKET SNIFFING Jedná se o metodu vyloženě softwarového rázu. Každé síťové rozhraní, každá síťová karta naslouchá v defaultním režimu pouze paketům, které jsou určené jen pro ni samotnou. Toto nastavení je však možné vhodnou úpravou nebo změnou ovladače obrátit v útočníkův prospěch. Uvedením síťového rozhraní do tzv. promiskuitního módu umožňuje odposlechnutí a uložení všech nebo vybraných příchozích dat, která by jinak rozhraní ignorovalo. Tento druh sniffingu je možný v síti, kde síťový hardware (etherswitch, router...) rozesílá pakety do celé sítě a data jsou zpracovávána pouze tím počítačem, pro která jsou určena. V takové síti mohou být data odposlechnuta i počítačem, pro který nebyla určena. Obranou jsou v tomto případě vhodně volené aktivní prvky a jiné součásti sítě, které minimalizují všesměrové vysílání dat.

5 KLASICKÝ MAN-IN-THE-MIDDLE Další mnohem sofistikovanější metodou odposlechu je klasický Man-In-the-Middle s použitím techniky ARP cache poisoning často také nazývaný MAC address spoofing. Díky této metodě se může sniffer postavit mezi dva počítače, servery nebo libovolné aktivní prvky. Následně mohou být data zachycena a zpracována. Při této metodě může útočník také nepozorovaně data pozměňovat nebo spojení úplně přerušit. Celá tato technika spočívá v přesvědčení protistrany, že její komunikace probíhá s žádanou důvěryhodnou stranou. Obrana proti tomuto útoku je jako v předchozím případě závislá na užitých aktivních prvcích v síti. Mnoho nových typů směrovačů a přepínačů má již integrované funkce ověření a detekce falšovaní MAC adres zabudované. Sniffing je obecně považován za nedestruktivní tichou a pasivní činnost.

6 LOKÁLNÍ SNIFFING V neposlední řadě se nesmí zapomenout na odposlouchávání přímé, lokální. Sniffer se nemusí vyskytovat pouze mezi dvěma počítači, ale může být umístěn mezi TCP/IP ovladačem systému a síťovým hardwarem na počítači vybrané oběti. Takovýto (většinou low-level) software pak sbírá předem určená data a ukládá je, nebo rovnou odesílá útočníkovi. Mimo rámec packet sniffingu může také sniffer zachytávat stisky kláves.

7 Jelikož se jedná o software instalovaný na konkrétních počítačích, bylo třeba jej sem nejdříve dopravit a následně nainstalovat. To může být provedeno lokálně osobou, která má k danému stroji přístup. Druhou možností je vzdálené napadení, které je úspěšné v momentě, kdy není Váš systém řádně aktualizován a obsahuje staré verze aplikací jako např. antivirový software, firewall apod. V prvém případě většinou postačuje mít zaheslované uživatelské účty a zapnutý (a samozřejmě také heslem chráněný) spořič obrazovky. Ne každý si vždy vzpomene svůj počítač řádně uzamknout. Metod průniku a následného sniffingu v napadeném systému je daleko více, než zde bylo popsáno.

8 OBRANA PROTI SNIFFINGU Bezpečná síť je ta, která nemá žádné uživatele. A bezpečný počítač je ten, který není připojen v žádné síti. Uživatel bohužel nemůže udělat nic 100% účinného, aby se ochránil proti krádeži svých odeslaných dat. Pokud však dodrží několik základních pravidel, možnost, že bude odposloucháván se značně sníží. Základním předpokladem bezpečnosti je odeslat data tak, aby je mohl přečíst pouze ten, komu jsou data adresována.

9 Odeslaná data můžeme zabezpečit vhodným šifrováním a vhodným způsobem autentizace, ověřením integrity. Pro tyto účely lze využít šifrování dat skrze SSL certifikáty, odesílání u podepsaných PGP/GPG klíčem a systémem certifikátů. Existuje také mnoho softwaru, který má za cíl prověřit Váš počítač a odstranit škodlivý software včetně snifferů.