Коллектив авторов - Защита от хакеров корпоративных сетей

Возврат части данных отправителю сообщения

Интернет предусматривает, что пакеты данных содержат адрес отправителя и номер порта, по которому отправитель ожидает ответа сервера. Так записано в Запросах на комментарии RFC, и это можно обнаружить при трассировке пакетов. Клиенты перед посылкой серверу пакета вставляют в него адрес отправителя и номер порта, по которому они ожидают ответ от сервера. Подобный алгоритм работы был бы безупречен при работе с доверенными клиентами, но если все клиенты доверяют друг другу, то отпадает необходимость в системе защиты. Достаточно было бы просто узнать у клиентов, считают ли они себя допущенными к той или иной порции данных, и довериться их мнению по этому поводу.

Поскольку клиент определяет свой собственный адрес отправителя и для отправки пакета из какого-либо пункта сети в пункт B требуется указать только адрес получателя, данные об адресе отправителя должны считаться подозрительными до тех пор, пока не будет установлено, что можно доверять каждому сетевому домену, через который прошли эти данные. Ввиду глобальности Интернета подобное допущение не может быть выполнено с достаточной для этого заключения точностью.

Чем меньше администратор будет в чем-либо уверен, тем больше он должен осознавать недостаточность своих знаний. С этой точки зрения недопонимание свидетельствует о необходимости принятия решения относительно допуска любого пользователя сети к сервисам. Причем речь идет не о выборочном доступе, речь идет о полном отказе в доступе всем пользователям. Даже тем, кто мог бы оказаться авторизованным, если бы были выполнены два условия. Первое, – если бы подобную систему управления доступом можно было построить. И второе – эта система была бы в разумной степени безопасной. Администраторам, все еще бьющимся над решением первой задачи, не следует предполагать, что они могут решить вторую задачу, до тех пор, пока не будет все проверено на испытательном стенде, потому что безопасность и надежность работы – две половинки единого целого. В отказах безопасности большую часть составляют контролируемые отказы, обязанные своим происхождением защитной реакцией на проникновение злоумышленника в систему. Конечно, системы проверки данных идентификации не застрахованы от таких случаев.

После разрешения удаленному пользователю доступа к той или иной системе, правильно или неправильно, и определения сервиса, которому можно доверить проверку идентификационных данных для выяснения правомочности клиента потребовать от сервера поиска и пересылки ему специфической информации, следует понять, что для реализации управления доступом всегда используются два независимых механизма.

Вначале была… передача

Можно показать, что на простейшем уровне все биологические или технологические системы обмениваются идентификационными данными с аналогичными системами. В основе обмена лежит процесс, который автор назвал способностью сомневаться (capability challenge). Он опирается на следующую простую идею: существуют системы, которым доверяют, и существуют системы, которым не доверяют. У первых есть что-то, чего нет у вторых. Определить различие между ними можно с помощью так называемого индекса потенциального доверия (trusted capabilities index). Практически любые характеристики системы могут быть положены в основу распознания заслуживающих доверия пользователей. Выбранные характеристики пользователь может отослать серверу аутентификации.

В терминах спуфинга это главным образом означает, что цель заключается в передаче сведений несанкционированным пользователем, хотя агент аутентификации полагает, что передача может быть осуществлена только доверенным пользователям. В случае использования криптографической системы компромиссные решения относительно индекса потенциального доверия будут иметь катастрофические последствия. Автор еще уделит внимание обсуждению слабых сторон каждой модели аутентификации.

Существуют шесть основных свойств, по которым классифицируются почти все известные системы аутентификации. С их помощью можно охватить очень широкий диапазон систем аутентификации. C точки зрения доказательства идентичности – от слабо защищенных до хорошо защищенных, а с точки зрения реализации – от простейших до необычайно сложных. Все пригодные для идентификации свойства систем тесно взаимосвязаны. Действительно, система бесполезна, если она может закодировать ответ, но при этом не может его передать. В этом автор не видит катастрофы, потому что более сложные уровни всегда зависят от более простых, которые предоставляют им специальные функции. В подтверждение сказанного автор приводит табл. l2.l и l2.2, где описываются свойства, которыми должны обладать системы доказательства идентичности.

Таблица 12.1.

Основные свойства систем идентификации

Конечно, по сравнению с системой межабонентской связи представленные в таблице сведения ничего нового не дают (см. табл. l2.2) – вообще никакой разницы!

Способность сомневаться

Ниже разъясняются детали, позволяющие лучше понять приведенные в табл. 12.1 и 12.2 шесть свойств.

Способность к передаче: «Система может разговаривать со мной?»

Можно найти одну исключительную идею, на которой основано доверие во всех сетях, при межличностном общении и, более того, при общении внутри одной системы. Передача информации – это посылка чего-либо, что может где-нибудь что-то представлять.

При этом совсем не предполагается, что передача информации идеальна. Министерство обороны США в превосходном (прежде всего по содержанию, следует обязательно прочитать, как можно быстрее, без промедления установите на нем закладку (закладка – маркер, уникально идентифицирующий запись или строку в базе данных, строку в исходном коде или позицию в файле текстового редактора) и подсветите URL документа) отчете под названием «Реализация потенциала C4I» обращает внимание на следующее:

«Максимальная польза от систем (командных, управления, связи, компьютерных и интеллектуальных) основывается на их способности к взаимодействию и интеграции. Другими словами, для своей эффективной работы системы C4I должны взаимодействовать таким образом, чтобы они могли функционировать как часть большой «системы систем». Но благодаря этому при нападении на них многократно увеличиваются атакующие возможности противника».

«Реализация потенциала C4I» www.nap.edu/html/C4I

«Единственный способ обеспечить безопасность системы состоит в том, чтобы никогда не включать ее».

Неизвестный

Отключенная от любой сети система не может быть взломана (по крайней мере до тех пор, пока кто-либо не получит доступ с локальной консоли), но при этом ее нельзя использовать. Статистика свидетельствует, что некоторый процент несанкционированных пользователей будут пытаться получить доступ к ресурсу, к которому они не допущены. Несколько меньший процент от их числа будут пытаться фальсифицировать свои идентификационные данные. Из попытавшихся пользователей меньший, но не нулевой процент действительно будут обладать необходимой квалификацией и мотивацией для успешного (с их точки зрения) взлома установленной системы защиты. Так будет на любой установленной системе. Единственный способ избежать опасности попадания данных в неавторизованные руки заключается в недопущении какой-либо их рассылки.

Существует простая формула: для предотвращения несанкционированного раскрытия или потери защищенных данных администратору сети нужно полностью запретить удаленный доступ. Статистика свидетельствует о том, что лишь небольшое количество доверенных пользователей откажутся от доступа к данным, которые они уполномочены обрабатывать, прежде чем система защиты будет отклонена как слишком громоздкая и неудобная. Во время проектирования системы безопасности никогда не следует забывать о практическом результате ее использования. В противном случае с большей вероятностью откажутся от системы, чем от необходимого практического результата. Нельзя заработать на системе, если не видно, что она защищена от атак злоумышленника.

Как автор уже упоминал ранее, нельзя доверять каждому, но кому-то довериться все-таки надо. Если пользующиеся доверием люди имеют тенденцию располагаться в контролируемой администратором безопасности сети, то управление входными (правом доступа) и выходными (правом выхода) точками контролируемой сети позволит ему определить сервисы, если они есть, с помощью которых внешний мир может прислать сообщения компьютерам его сети. Межсетевые экраны являются хорошо известным первым рубежом защиты сети от атаки злоумышленника. Они не позволяют принимать сообщения от недоверенных доменов. В большинстве случаев межсетевые экраны самостоятельно не могут доверять содержимому проходящих через них сетевых пакетов, потому что оно может быть фальсифицировано любым доменом, через который прошел пакет, или даже его отправителем. Тем не менее в передаваемом пакете есть небольшая порция данных, которая выдает собственника пакета. Она несет информацию об отправителе данных. Этой маленькой порции данных достаточно для однозначной идентификации сети. Ее достаточно для предотвращения, помимо многого другого, появления в сети пакетов, которые были присланы в сеть недоверенными внешними пользователями. Ее даже достаточно для защиты от передачи компьютерам сети пакетов от пользователей, которые, являясь на самом деле недоверенными пользователями, маскируются под доверенных.