Контрольная работа по "Программированию"

1 вопрос

 Существует ряд сервисов, связанных с TCP/IP и Интернетом. Наиболее распространенным сервисом является электронная почта, реализованная на базе протокола SMTP(Простой Протокол Передачи Писем). Также широко используются TELNET(эмуляция удаленного терминала) и FTP(протокол передачи файлов). Помимо них существует ряд сервисов и протоколов для удаленной печати, предоставления удаленного доступа к файлам и дискам, работы с распределенными базами данных и организации других информационных сервисов. Далее приводится краткий список наиболее распространенных сервисов:

• SMTP - Простой протокол передачи почты, используется для приема и передачи электронной почты
• TELNET - используется для подключения к удаленным системам, присоединенным к сети, применяет базовые возможности по эмуляции терминала
• FTP - Протокол передачи файлов, используется для приема или передачи файлов между системами в сети
• DNS - Служба сетевых имен, используется TELNET, FTP и другими сервисами для трансляции имен хостов в IP адреса.
• информационные сервисы, такие как
• gopher - средство поиска и просмотра информации с помощью системы меню, которое может обеспечить дружественный интерфейс к другим информационным сервисам
• WAIS - глобальный информационный сервис, используется для индексирования и поиска в базах данных файлов
• WWW/http - Всемирная Паутина, объединение FTP, gopher, WAIS и других информационных сервисов, использующее протокол передачи гипертекста(http), и программы Netscape, Microsoft Internet Explorer и Mosaic в качестве клиентских программ.
• сервисы на основе RPC - сервисы на основе Удаленного Вызова Процедур, такие как
• NFS - Сетевая файловая система, позволяет системам совместно использовать директории и диски, при этом удаленная директория или диск кажутся находящимися на локальной машине
• NIS - Сетевые Информационные Сервисы, позволяют нескольким системам совместно использовать базы данных, например файл паролей, для централизованного управления ими
• Система X Windows - графическая оконная Среда и набор прикладных библиотек, используемых нарабочих станциях
• rlogin, rsh и другие r-сервисы - реализуют концепцию доверяющих друг другу хостов, позволяют выполнять команды на других компьютерах, не вводя пароль

Хотя  сервисы TCP/IP могут в равной степени  использоваться как в локальных  сетях, так и в глобальных сетях, в локальных сетях, как правило, применяется совместное использование  файлов и принтеров, а электронная  почта и удаленный терминальный доступ - в обоих случаях. С каждым годом возрастает популярность gopher и www . Оба этих сервиса приводят к  возникновению проблем для разработчиков  брандмауэров и будут рассмотрены  в следующих главах. 

Проблемы, связанные с безопасностью

Как было установлено ранее, Интернет страдает от серьезных проблем с безопасностью. Организации, которые игнорируют эти  проблемы, подвергают себя значительному  риску того, что они будут атакованы  злоумышленниками, и что они могут  стать стартовой площадкой при  атаках на другие сети. Даже те организации, которые заботятся о безопасности, имеют те же самые проблемы из-за появления новых уязвимых мест в  сетевом программном обеспечении(ПО) и отсутствия мер защиты от некоторых  злоумышленников.

Некоторые из проблем безопасности в Интернете - результат наличия уязвимых мест из-за ошибок при проектировании в  службах( и в протоколах, их реализующих) , в то время как другие - результат  ошибок при конфигурировании хоста  или средств управления доступом, которые или плохо установлены  или настолько сложны, что с  трудом поддаются администрированию. Кроме того: роль и важность администрирования  системы часто упускается при  описании должностных обязанностей сотрудников, что при приводит к  тому, что большинство администраторов  в лучшем случае нанимаются на неполный рабочий день и плохо подготовлены. Это усугубляется быстрым ростом Интернета и характера использования  Интернета; государственные и коммерческие организации теперь зависят от Интернета( иногда даже больше: чем они думают) при взаимодействии с другими  организациями и исследованиях  и поэтому понесут большие  потери при атаках на их хосты. Следующие  главы описывают проблемы в Интернете  и причины, приводящие к их возникновению.

Инциденты с безопасностью  в Интернете

В доказательство того, что описанные выше угрозы реальны, три группы инцидентов имели  место в течение нескольких месяцев  друг после друга. Сначала, началось широкое обсуждение обнаруженных уязвимых мест в программе UNIX sendmail( это транспортная почтовая программа на большинстве  хостов с Unix. Это очень большая  и сложная программа, и в ней  уже несколько раз были найдены  уязвимые места, которые позволяют  злоумышленнику получить доступ в системы, в которых запущена sendmail). Организациям, которые не имели исправленных версий программы, пришлось срочно исправлять эти ошибки в своих программах sendmail до того, как злоумышленники используют эти уязвимые места для атаки  на их сети. Тем не менее, из-за сложности  программы sendmail и сетевого ПО в целом  три последующие версии sendmail также  содержали ряд уязвимых мест[CIAC94a]. Программа sendmail широко использовалась, поэтому организациям без брандмауэров, для того чтобы ограничить доступ к этой программе, пришлось быстро регировать на возникавшие проблемы и обнаруживаемые уязвимые места.

Во-вторых, обнаружилось, что популярная версия свободно распространяемого FTP-сервера  содержала троянского коня, позволявшего получить привилегированный доступ к серверу. Организациям, использовавшим этот FTP-сервер, не обязательно зараженную версию, также пришлось быстро реагировать  на эту ситуацию[CIAC94c]. Многие организации  полагаются на хорошее качество свободного ПО, доступного в Интернете, особенно на ПО в области безопасности с  дополнительными возможностями  по протоколированию, управлению доступом и проверке целостности, которое  не входит в состав ОС, поставляемой ее производителем. Хотя это ПО часто  очень высокого качества, организации  могут оказаться в тяжелом  положении, если в ПО будут найдены  уязвимые места или с ним возникнут  другие проблемы, и должны будут  полагаться только на его авторов.( Справедливости ради, стоит отметить, что даже ПО, сделанное производителем ОС, может страдать от таких же проблем  и его исправление может оказаться  более продолжительным).

Третья  проблема имела самые серьезные  последствия: [CERT94] и [CIAC94b] сообщили, что  злоумышленники проникли в тысячи систем во всем Интернете, включая шлюзы  между большими сетями и установили анализаторы пакетов для перехвата  в сетевом траффике имен пользователей  и статических паролей, вводимых пользователями для подключения  к сетевым системам. Злоумышленники также использовали другие известные  технологии для проникновения в  системы, а также перехваченные  ими пароли. Одним из выводов, которые  можно поэтому сделать является то, что статические или повторно используемые пароли не должны использоваться для управления доступом. Фактически, пользователь, подключающийся к сетевой  системе через Интернет, может  неумышленно подвергнуть эту  систему риску быть атакованной  злоумышленниками, которые могли  перехватить сетевой траффик, идущий к этой удаленной системе.

Следующие разделы более детально описывают  проблемы с безопасностью в Интернете. [Garf92], [Cur92],[ Bel89], [Ches94] и [Farm93] являются книгами, где вы найдете более детальную  информацию.

Слабая  аутентификация

Группы  улаживания инцидентов считают, что  большинство инцидентов произошло  из-за использования слабых, статических  паролей. Пароли в Интернете могут  быть "взломаны" рядом способов, но двумя самыми распространенными  являются взлом зашифрованной формы  пароля и наблюдение за каналами передачи данных с целью перехвата пакетов  с паролями. ОС Unix обычно хранит пароли в зашифрованной форме в файле, который может быть прочитан любым  пользователем. Этот файл паролей может  быть получен простым копированием его или одним из других способов, используемых злоумышленниками. Как  только файл получен, злоумышленник  может запустить легко-доступные  программы взлома паролей для  этого файла. Если пароли слабые, то есть меньше, чем 8 символов, являются словами, и т.д., то они могут быть взломаны и использованы для получения доступа к системе.

Другая проблема с аутентификацией возникает из-за того, что некоторые службы TCP и UDP могут аутентифицировать только отдельный хост, но не пользователя. Например, сервер NFS(UDP) не может дать доступ отдельному пользователю на хосте, он может дать его всему хосту. Администратор сервера может доверять отдельному пользователю на хосте и дать ему доступ, но администратор не может запретить доступ других пользователей на этом хосте и поэтому автоматически должен предоставить его всем пользователям или не давать его вообще.

  Легкость наблюдения  за передаваемыми  данными

Следует отметить, что когда пользователь установил сеанса с удаленным  хостом, используя TELNET или FTP, то пароль пользователя передается по Интернету  в незашифрованном виде. Поэтому  другим способом проникновения в  системы является наблюдение за соединением  с целью перехвата IP-пакетов, содержащих имя и пароль, и последующее  использование их для нормального  входа в систему. Если перехваченный  пароль является паролем администратора, то задача получения привилегированного доступа становится гораздо легче. Как уже ранее отмечалось, сотни  и даже тысячи систем в Интернете  были скомпрометированы в результате перехвата имен и паролей.

Электронная почта, а также содержимое сеансов TELNET и FTP, может перехватываться и  использоваться для получения информации об организации и ее взаимодействии с другими организациями в  ходе повседневной деятельности. Большинство  пользователей не шифруют почту, так как многие полагают, что электронная  почта безопасна и с ее помощью  можно передавать критическую информацию.

Система X Windows, становящаяся все более популярной, также уязвима перехвату данных. X позволяет открывать несколько  окон на рабочей станции для работы с графическими и мультимедийными  приложениями( например, WWW-браузером Netscape). Злоумышленники могут иногда открывать  окна на других системах и перехватывать  текст, набираемый на клавиатуре, который  может содержать пароли и критическую  информацию.

Легкость  маскировки под других

Как уже  отмечалось в части 1.2.1, предполагается, что IP-адрес хоста правильный, и службы TCP и UDP поэтому могут доверять ему. Проблема заключается в том, что используя маршрутизацию IP-источника , хост атакующего может замаскироваться под доверенного хоста или клиента. Коротко говоря, маршрутизация IP-источника - это опция, с помощью которой можно явно указать маршрут к назначению и путь, по которому пакет будет возвращаться к отправителю. Это путь может включать использование других маршрутизаторов или хостов, которые в обычных условиях не используются при передаче пакетов к назначению. Рассмотрим следующий пример того, как это может быть использовано для маскировки системы атакующего под доверенный клиент какого-то сервера:

1. Атакующий меняет IP-адрес своего хоста на тот, который имеет доверенный клиент.
2. Атакующий создает маршрут для маршрутизации источника к этому серверу, в котором явно указывает путь, по которому должны передаваться IP-пакеты к серверу и от сервера к хосту атакующего, и использует адрес доверенного клиента как последний промежуточный адрес в пути к серверу.
3. Атакующий посылает клиентский запрос к серверу, используя опцию маршрутизации источника.
4. Сервер принимает клиентский запрос, как если бы он пришел от доверенного клиента, и возвращает ответ доверенному клиенту.
5. Доверенный клиент, используя опцию маршрутизации источника, переправляет пакет к хосту атакующего.

Многие  хосты Unix принимают пакеты с маршрутизацией источника и будут передавать их по пути, указанному в пакете. Многие маршрутизаторы также принимают  пакеты с маршрутизацией источника, в то время как некоторые маршрутизаторы могут быть сконфигурированы таким  образом, что будут блокировать  такие пакеты.

Еще более  простым способом маскировки под  клиента является ожидание того момента  времени, когда клиентская система  будет выключена, и последующая  маскировка под нее. Во многих организациях сотрудники используют персональные ЭВМ  с сетевой математикой TCP/IP для  подключения к хостам с Unixом и  используюют машины с Unix как серверы  ЛВС. ПЭВМ часто используют NFS для  получения доступа к директориям  и файлам на сервере(NFS использует только IP-адреса для аутентификации клиентов). Атакующий может сконфигурировать по окончании работы свой ПЭВМ таким  образом, что он будет иметь то же самое имя и IP-адрес, что и  другая машина, а затем инициировать соединение с Unixовским хостом, как если бы он был доверенным клиентом. Это очень просто сделать и именно так поступают атакующие-сотрудники организации.

Электронную почту в Интернете особенно легко  подделать, и ей вообще нельзя доверять, если в ней не применяются расширения, такие как электронная подпись  письма[NIST94a]. Например, давайте рассмотрим взаимодействие между хостами Интернета  при обмене почтой. Взаимодействие происходит с помощью простого протокола, использующего текстовые команды. Злоумышленник может легко ввести эти команды вручную, используя TELNET для установления сеанса с портом SMTP( простой протокол передачи почты). Принимающий хост доверяет тому, что  заявляет о себе хост-отправитель, поэтому  можно легко указать ложный источник письма, введя адрес электронной  почты как адрес отправителя, котоырй будет отличаться от истинного  адреса. В результате, любой пользователь, не имеющий никаких привилегий, может  фальсифицировать электронное письмо.