Э. Таненбаум - Компьютерные сети. (4-е издание) (DJVU) (1130092), страница 245
Текст из файла (страница 245)
На практике опа должна прослушивать телефонную линию либо Боба, либо Алисы (поскольку прослушивание оптоволоконного кабеля — задача непростая). Это, конечно, возможно, но Труди не только умна и хитра, но и ленива. Она знает более простые способы обмануть Алису. Обман Ойв Допустим, Труди может взломать систему 1)Х3 (например, ту ее часть, которая хранится в каше Р)ч 8 у провайдера Алисы) и заменить 1Р-адрес Боба (например, 36.1.2.3) своим 1Р-адресом (например, 42.9.9.9).
Тогда можно провести атаку. То, как все должно работать в нормальной ситуации, показано на рис. 8.42, гд 1) Алиса запрашивает у службы О)ч'Я 1Р-адрес Боба; 2) получает его; 3) она запрашивает домашнюю страничку Боба; 4) получает ее. После того как Труди заменяет 1Р-адрес Боба на свой собственный, мы получаем ситуацию, показанную на рис. 8.42, б.
Алиса ищет 1Р-адрес Боба, а получает вместо него 1Р-адрес злоумышленницы Труди, поэтому весь трафик Алисы, предназначенный для Боба, приходит, на самом деле, Труди. Та может организовать атаку типа «человек посередине», не мучаясь с установкой «крокодилов» на телефонной линии Алисы. Вместо этого она может заменить всего одну запись на сервере имен О)ч'Я. Это, согласитесь, более просто. 910 Глава 8. Безопасность в сетях ввр мщикв) .9 сеРвер 36.1.2.3) б 1. Мне нужен )Р-адрес Боба 2.
42.9.9.9 (!Р-адрвс Труди) 3. ОЕТ (лбах.НТМЬ 4. Подделанная взломщиком страница Боба в 1. Мнв нужен !Р-адрес Боба 2. 36.1.2.3 ()Р-адрес Боба) 3. ОЕТ !лбах.НТМ!. 4. Домашняя страничка Боба Рис. 8.42. Нормальная ситуация (а); атака со взломом ОНЗ и изменением записи, относящейся к Бобу(б) Как Труди удалось обмануть РХЯ? А это оказалось не таким уж сложным делом. Если не вдаваться в подробности, можно описать процесс так: Труди обманным путем заставляет РХЯ-сервер провайдера Алисы послать запрос для поиска адреса Боба. К несчастью, так как РХБ использует 1) РР, сервер не может узнать, кто является реальным отправителем ответа. Труди использует это свойство, фальсифицируя о>кидаемый ответ и тем самым занося неверные сведения об 1Р- адресе Боба в кэш РХЯ-сервера. Для простоты мы будем предполагать, что провайдер Алисы изначально не имеет сведений о веб-сайте Боба, ЬоЬ.сот.
Если же такие сведения есть, злоумышленник может выждать, пока срок действия записи истечет, н попробовать еше раз (либо применить другие хитрости). Труди начинает свою атаку с того, что посылает провайдеру Алисы запрос на поиск 1Р-адреса ЬоЬ.сот, Так как соответствующая запись отсутствует, сервер, в свою очередь, опрашивает сервер домена верхнего уровня (.сош). Но Труди опережает этот сервер и посылает ложный ответ, в котором сообщается, что 1Р-адрес ЬоЬ.сот якобы 42,9.9.9. Как мы знаем, в реальности это адрес Труди. Так как этот ответ приходит первым, данные из него заносятся в кэш сервера провайдеРа а настоящий ответ, если он приходит позже, отвергается. установка ложного 1Р-адреса называется обманом РХЯ.
А кэш, в котором хранится заведомо ложный 1р-адрес, называется отравленным кэшем. Надо сказать, что на практике все не так просто. Во-первых, провайдер Алисы все-таки проверяет наличие в ответе правильного адреса сервера верхнего уровня. Но Труди может написать в соответствующем поле что угодно и преодолеть эту преграду. учитывая то, что адреса серверов верхнего уровня общедоступны, сделать это несложно. Во-вторых, для того чтобы РХЯ-сервер мог понять, какому запросу соответствует ответ, во все запросы добавляются порядковые номера, чтобы обмануть Защита информации во Всемирной паутине 911 провайдера Алисы, Труди должна знать текущий порядковый номер. Самый простой способ узнать его — это зарегистрировать собственный домен, например, 1гцс!у-1Ье !псгцс!ег.согп.
Предположим, что 1Р-адрес этого домена также 42.9.9.9. Труди создает РХ8- сервер для этого домена: с!пз.сгос3у-сйе-!п1гис!ег.сонь Его 1Р-адрес тот же самый (42.9.9.9), поскольку оба домена расположены на одном и том же компьютере, Теперь надо заставить провайдера Алисы поинтересоваться РХЯ-сервером Труди. Сделать это несложно.
Требуется лишь запросить, например, 1ооЬаг.сгос!у-1Ье!п1гцс!ег.согп, и серверу провайдера Алисы придется опросить сервер верхнего уровня, .согп, и узнать у него, кто обслуживает новый домен Труди. И вот теперь, когда запись с!пз.сгцс!у-1Ье !п1гос!ег.согп занесена в кэш провайдера, можно спокойно начинать атаку.
Труди запрашивает у провайдера Алисы вам.сгцс!у-1пе-!п1гцс!ег.согп, а тот в ответ посылает на Р!Ч8-сервер Труди соответствующий запрос. Вот в этом-то запросе и содержится нужный злоумышленнице порядковый номер. Теперь Труди должна действовать без промедления; оиа ищет с помощью провайлера Алисы Боба и тут же отвечает на собственный вопрос, посылая фальшивку: «Адрес ЬоЬ.сопп 42.9,9.9м Этот подделанный ответ несет в себе порядковый номер на единицу больше только что полученного. За время атаки она может послать еше одну фальшивку, с номером, на два больше полученного, а также еще около дюжины таких «ответов» с увеличивающимися номерами.
Задача одного из них нам уже ясна. Остальные никому не нужны, их просто выкинут. После прибытия фальшивого ответа на запрос Алисы он будет помещен в кэш; к тому времени, когда доберется настоящий ответ, он будет отвергнут, так как сервер уже ничего не ожидает. И вот Алиса ищет !Р-адрес ЬоЬ.согп и узнает, что он равен 42.9.9.9.
Как мы знаем, это адрес Труди, которая провела успешную атаку типа «человек посередине», не выходя из своей комнаты. Последовательность предпринятых ею шагов показана на рис. 8.43. К сожалению, это еше и не единственный способ обмануть РЬ)8. Этих способов действительно много. Кэш еайдера Аписы Рис. 8.43. Обман прсвайдераАлисы 912 Глава 8. Безопасность в сетях Защита 0М8 Избежать атак описанного типа можно, заставив РХ5-серверы использовать случайные идентификаторы в своих запросах вместо того, чтобы просто инкрементировать их.
К сожалению, заткнув одну «дыру», мы обнаруживаем другую. Настояшая проблема в том, что служба РХ5 разрабатывалась в те времена, когда Интернет был чисто исследовательской сетью, работавшей в нескольких сотнях университетов, и ни Алиса, ни Боб, ни Труди на этот праздник жизни приглашены не были. Вопрос зашиты информации тогда еше не стоял; задачей-максимум было заставить Интернет функционировать.
Но с годами среда, в которой приходилось выживать Интернету, сильно изменилась, поэтому в 1994 году 1ЕТГ основала рабочую группу, задачей которой было защитить РХ5. Этот проект известен под названием РХВзес (Защита РХЯ); результаты работы группы опубликованы в КЕС 2535. К сожалению, РХБзес до сих пор не удается развернуть в больших масшатабах, поэтому многие РХЯ-серверы продолжают подвергаться нападениям злоумышленников. Концептуально система РХ5зес очень проста. Она основана на шифровании с открытыми ключами.
Каждая зона РХЯ (в терминах рис. 7.2) обладает парой ключей, а именно, открытым и закрытым. Вся информация, отправляемая РХЯ-сервером, подписывается с помощью закрытого ключа зоны отправителя, поэтому аутентичность может быть запросто проверена принимающей стороной, РХЯзес предоставляет три основные услуги: 1. Подтверждение места отправления данных. 2. Распространение открытых ключей.
3. Аутентификацию транзакций и запросов. Самой главной является первая услуга, с ее помощью проверяется то, что пришедшие данные были подтверждены их отправителем. Вторая услуга полезна для безопасного хранения и извлечения откръ1тых ключей. Третья позволяет зашититься от атак повторного воспроизведения и обмана сервера, Обратите внимание: секретность здесь не обеспечивается, этой задачи нет, поскольку вся информация РХЯ считается открытой. Так как процесс введения РХЯзес в строй, скорее всего, будет продолжаться в течение нескольких лет, важно предоставить возможность общения между собой серверам, снабженным системой зашиты и не снабженным ею. Это неявно подразумевает, что протокол изменять нельзя.
Рассмотрим теперь эту систему чуть более детально. Записи РХЯ группируются в наборы, называемые ККЯес (Кезопгсе Кесогд Зес — набор записей ресурсов). В набор входят все записи с одинаковыми именами, классами и типами. Скажем, в наборе может быть несколько записей А, если имя РХ5 соответствует первичному и вторичному 1Р-адресам. Наборы расширяются за счет некоторых новых типов записей (обсуждаются далее).
Каждый ККЗес хэшируется (например, с использованием МР-5 или ЯНА-1). Хэш подписывается при помощи закрытого ключа зоны (например, по алгоритму КБА). Единицей передаваемой клиентам информации является подписанный ККЗес. Получив его, клиент может проверить, действительно ли для генерации подписи Защита информации во Всемирной паутине 913 был взят закрытый ключ зоны отправителя. Если подпись корректна, данные принимаются. Так как каждый ККЯес содержит собственную подпись, наборы можно кэшировать где угодно, дазке на не слишком надежных серверах, не опасаясь за их судьбу.
Система ПХЯес вводит несколько новых типов записей. Первая из них — это запись КЕУ. В ней хранятся открытый ключ зоны, пользователя, хоста или другого принципала, криптографический алгоритм генерации подписи, наименование протокола передачи и еще несколько бит. Открытый ключ хранится в незащищенном виде. Сертификаты Х.509 не используются из-за их громоздкости В поле алгоритма рекомендуемое значение, соответствующее М?)5/ЕБА, равно 1, для других комбинаций используются другие значения. Поле протокола может указывать на использование 1Рзес или другого протокола защиты соединений (если таковой вообще применяется). Второй новый тип записей — ЯС. В такой записи содержится подписанный хэш, сформированный в соответствии с алгоритмом, указанным в КЕУ. Подпись охватывает все записи ВВЯе1, включая все записи КЕУ, однако не включая саму себя.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
