Коллектив авторов - Защита от хакеров корпоративных сетей

Преимущество фальсификации заключается в потенциальной способности злоумышленника воспользоваться возможностями, которые открываются перед ним при присвоении чужих данных идентификации. Доверие к участнику соединений сохраняется до тех пор, пока сохраняется доверие к представленным им идентификационным данным. Фальсификация идентификационных данных живуча и зачастую может намного пережить любую другую разновидность спуфинга в сети. Если злоумышленник контролирует учетную запись пользователя в большей степени, чем сам пользователь, то это приводит систему к состоянию, которое известно как обман системы (under spoof).

Напасть автообновлений приложений

Вопрос: «Что в результате получит пользователь, если он объединит возможности мультимедийного программиста, свободный доступ к выбранному хосту без его разрешения и легкомысленное отношение к своей безопасности только потому, что это всего лишь автообновление?» Ответ: см. рис. 12.1.

Рис. 12.1. О чем говорит программа Winamp?

Что хорошего делают межсетевые экраны? Поверьте, что не так мало: так, это предотвращает доступ к сети, который пользователем явно не был запрошен. Удивительно, но пользователи хорошо осведомлены о программах, которые они запускают для получения доступа. Web-браузеры, помимо других своих достоинств, вероятно, являются наиболее отказоустойчивыми программами, которые очень серьезно подходят к проверке диапазона допустимых значений переменных. Кроме того, сегодня они являются наиболее часто атакуемыми сетевыми программами. Браузеры могут завершиться аварийно, пытаясь обработать все ошибки, но, по крайней мере, они сообщают о попытках их аварийного завершения.

Посмотрите на экранную форму автоматического обновления, которая приведена на рис. 12.1. Содержание экранной формы поступило из сети. C точки зрения идентификации анализ ее содержания ничего не дает. Разве только он позволяет определить, что запрос поступил от сайта www.winamp.com по протоколу HTTP с методом доступа GET, который содержит параметры /update/latest-version.jhtml?v=2.64. (Автор полагает, что 2.64 – это номер версии программы, установленной на компьютере. С помощью запроса на сайт пересылается номер установленной на хосте пользователя версии, а в ответ он сможет ответить о наличии более новой версии.) Несложно сформировать запрос, чтобы при его запоминании в буфере буфер разумно быстро переполнялся, например буфер переполнится при указании на файл размером в 11 Мб. В главе 11 было рассказано о способах организации подобных атак.

За день пользователь загружает программу Internet Explorer несколько раз. Как правило, браузер запрашивает о необходимости сохранения домашней страницы каждый раз перед переходом на выбранный сайт. Домашнюю страницу устанавливают большинство корпораций. К тому времени, когда программа Winamp спрашивает пользователя, не желает ли он обновить версию этой программы, компьютер пользователя уже стал уязвимым к любой атаке фальсификации со стороны злоумышленника, который, возможно, расположился в сети между компьютером пользователя и его законным адресатом.

Приоткрывая завесу

Автоматическое обновление – благо или вред?

Автор будет честен. В слишком многих приложениях реализованы такие опасные вещи, как собственные механизмы автоматического обновления старых версий программы на новые. Хотя это позволяет облегчить внесение исправлений в хамски взломанный код. Централизация процесса обновления программ имеет свои преимущества. Когда была найдена вопиющая брешь в системе защиты AOL Instant Messenger, которая потенциально могла оставить без защиты свыше 50 млн хостов, централизованная архитектура AOL IM позволила устранить угрозу. Благодаря централизованной архитектуре если не удавалось полностью в автоматическом режиме исправить установившую соединение клиентскую программу, то при помощи фильтрации можно было защитить сеть от атакующих сетевых пакетов. Несмотря на то что автоматическое обновление и централизация обладают значительными возможностями, их преимущества могут быть эффективно использованы против законных провайдеров услуг. К сожалению, очень редко к системе получают доступ лишь одни законные пользователи. В двух словах: это аморально.

Эффект обмана

Атаки фальсификации могут обладать большой разрушительной силой, и не только в компьютерных сетях. Вот что пишет Дорон Гелар (Doron Gellar):

«Взлом израильтянами шифров Египетской армии позволил им дезинформировать Египетскую армию и их военно-воздушные силы. Израильские офицеры отдавали приказы пилотам египетских МиГов сбрасывать бомбы над морем вместо нанесения бомбовых ударов по позициям израильских войск. Если пилот сомневался в правдивости приказа, офицер израильской разведки сообщал пилоту подробные сведения о его семье. В итоге пилот сбрасывал бомбы над Средиземным морем и катапультировался».

Дорон Гелар (Doron Gellar), израильская разведка в войне 1967 года

В рассмотренном примере пилот характеризуется своим «индексом потенциального доверия». Его законное командование, возможно, знало его подноготную, но было уверено, что только оно осведомлено о «персональной энтропии» пилота, о которой никто из посторонних не должен был знать. Израильтяне бросили вызов «персональной энтропии», которая по существу является разделяемым ключом. Тем самым они создали предпосылку для манеры поведения, которая нарушила стандартную процедуру защиты. (Вообще, чем более разрушительным является запрос, тем более высоким должен быть уровень аутентификации, иначе любой может оказаться опасным. Для получения прав суперпользователя должны быть запрошены наиболее полные подтверждения легитимности пользователя.) Пилот был обманут. В этот день израильская разведка вернула на нем все потраченные на нее деньги. Рассмотренные методы доступа к пилоту были совершенны и основаны на звуковой речи. Что пилот мог сделать? Он мог бы потребовать, чтобы с ним по рации переговорила его жена, но ее голос мог быть заранее записан на магнитофон. Будучи достаточно подозрительным, он мог бы потребовать, чтобы его жена затронула тему, о которой могли знать только они вдвоем. В этом случае пилот и его жена могли знать, что голос легко узнать, но его трудно подделать, а тайны брака являются чем-то, что не является общедоступным даже случайно.

В конце концов, обман (атака спуфинга) удался и имел огромные последствия. Возможность фальсификации идентификационных данных имеет огромное методологическое значение, если по разным причинам многое зависит от того, кому доверяют, а фальсификация гарантирует получение к нему доступа. Атака типа грубой силы могла бы вывести радиостанцию пилота из строя и не позволить ему получать легитимные приказы, а эквивалент атаки переполнения буфера мог бы (скорее всего, вряд ли) напугать пилота или вынудить его дезертировать. Спуфинг позволил устранить угрозу для Израиля.

Утонченные фальсификации и экономический саботаж

Основное различие между фальсификацией и использованием уязвимости следующее. Использование уязвимости извлекает пользу из различия между тем, что есть на самом деле, и тем, что только кажется. А фальсификация извлекает пользу из разницы между тем, что кто-то что-то посылает, и тем, кто маскируется под отправителя сообщения. Это различие имеет большое значение, потому что наиболее мерзкие атаки фальсификации основаны на маскировке не только злоумышленника, но и самого факта атаки.

Если пользователи не знают, что стали жертвой атаки злоумышленника, то они обвиняют администраторов в некомпетентности. Если и администраторы ничего не знали об атаке, то они обвиняют производителей… Возможно, что дальше читатель продолжит самостоятельно.

Лестью ничего не достичь

Это не только гипотетическая дискуссия. В 1991 году Microsoft была вынуждена реагировать на достижения операционной системы DR DOS, одного из удачливых клонов операционной системы MS DOS, которая серьезна подрывала позиции компании Microsoft. Грэм Леа (Graham Lea) из популярной технической бульварной малоформатной газеты The Register в прошлом году написал следующее (текст статьи можно найти по адресу www.theregister.co.uk/991105-000023.html. Статья доступна в кэше Google. На сайте издательства архив издания The Register за 1999 год ныне недоступен из-за реакции Microsoft на популярность операционной системы DR DOS):

«30 сентября 1991 года Дэвид Кол (David Cole) и Фил Барретт (Phil Barrett) обменялись электронной почтой, в которой говорилось: „Совершенно ясно, что следует обеспечить возможность запуска Windows 3.1 только под управлением MS DOS или ее OEM версии“ и, далее, „следует использовать подход, который позволит обнаружить версию dr 6 и отказать ей в загрузке Windows 3.1. При этом должно выдаваться сообщение типа „Недопустимый интерфейс драйвера устройства (Invalid device driver interface)““.