Подмена доверенного объекта или субъекта

Подмена доверенного объекта или субъекта РВС и передача по каналам связи сообщений от его имени с присвоением его прав доступа эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации/аутентификации хостов, пользователей и т. д.

Под доверенным объектомбудем понимать станцию, легально подключенную к серверу; хотя в более общем смысле довереннаясистема- это система, допускающая ведение безопасной обработки секретной информации за счет использования достаточных аппаратных и программных средств обеспечения безопасности, создающих требуемый уровень контроля за доступом к информации и обеспечивающих предотвращение (или определение) НСД.

То есть доверенным объектом чаще всего выступает пользователь или процесс, а субъектом — процессы или данные, требуемые для выполнения какого-либо процесса.

Обычно в РВС проблема идентификации и аутентификации ее удаленных друг от друга объектов решается за счет создания виртуального канала, во время чего объекты РВС обмениваются определенной информацией, уникально идентифицирующей данный канал. Такой обмен обычно называется рукопожатием (handshake).Однако не всегда для связи двух удаленных объектов в РВС создается виртуальный канал. Иногда, особенно для служебных сообщений, например от маршрутизаторов, используется передача одиночных сообщений, не требующих подтверждения.

Атака заключается в передаче по каналам связи сообщений от имени произвольного объекта или субъекта РВС. При этом существует две разновидности данной ТУА:

· при установленном виртуальном канале

· без установленного виртуального канала

Атака при установленном виртуального канале нацелена на присвоение прав доверенного субъекта взаимодействия, легально подключившегося кобъекту системы, что позволит атакующему вести сеанс работы с объектом РВС от имени доверенного субъекта.

Реализация УА данного типа обычно состоит в передаче пакетов обмена сатакующего объекта на цель атаки от имени доверенного субъекта взаимодействия (при этом переданные сообщения будут восприняты системой как корректные). Для осуществления атаки данного типа необходимо преодолеть систему идентификации и аутентификации сообщений, которая в принципе может использовать контрольную сумму, вычисляемую с помощью открытого ключа, динамически выработанного при установлении канала, случайные многобитовые счетчики пакетов и сетевые адреса станций. Однако на практике, например в старых ОС Novell NetWare 3.12-4.1, для идентификации пакетов обмена используются два 8-битовых счетчика — номер канала и номер пакета. В протоколе ТСР для идентификации применяются два 32-битовых счетчика.

Уровни атак

Атаки можно подразделить по серьезности последствий от их реализации на шесть уровней:

Уровень 1.

Атаки включают "отказ в обслуживании" (DoS) и почтовые бомбы. Их цель — доставить кому-то неприятности. В большинстве случаев решить эти проблемы можно, применяя схему, описанную в предупреждении Computer Security Advisory 95-13 (SATAN Update).
Большинство DoS-атак представляет небольшую угрозу и не требует от атакующего особо глубоких знаний. Даже если они вызывают перезагрузку системы — это лишь проблема времени. DoS-атаки по последствиям несравнимы с атаками, когда кто-то получает контроль над сетью. Правда, если в сети есть неопределенные конфигурации, то DoS-атака может вызвать более серьезные последствия.
           DoS-атаки довольно обычны, хотя не столь обычны, как почтовые бомбы. Посылаемые бомбы, как правило, легко отслеживаются. Кроме того, bozo-файлы (файлы- убийцы) и схемы таких атак в основном безопасны. Единственная реальная проблема здесь — это частота таких "бомбежек" и их объем, что выводит из строя почтовый сервер.
"Наводнение" и DoS — это часто предшественники (или даже составные части) других атак.

           Другая атака первого уровня — это инициализация Telnet-сессии с серверами почты или новостей, выявляющая разделяемые ресурсы. Если сеть должным образом защищена, такие атаки не страшны. Если разделяемые ресурсы должным образом не сконфигурированы или если используются r-сервисы (или другие средства, которые не должны применяться), атаки первого уровня могут стать реальностью.

Уровни 2 и 3.

Это атаки, когда локальные пользователи получают доступ для чтения и записи к файлам (или директориям), к которым такой доступ им не разрешен. Далее все зависит от содержимого этих файлов. Локальный пользователь — это пользователь, который имеет пароль для входа в компьютер внутри интранета и имеет свою директорию на диске (независимо от цели использования этой директории: веб-узел, локальный жесткий диск на одной из рабочих станций и т. д). Угроза от локальных пользователей сильно зависит от самого интранета. Атака, инициированная локальными пользователями на этом уровне, обычно связана с Telnet.
        Есть два вида атак второго уровня. Менее серьезные атаки реализуются любопытным пользователем, плохо знакомым с предметом и поэтому интересующимся всем (он может напечатать passwd-файл в STDOUT, попробовать прочитать любые привилегированные файлы и т. д.). И наоборот, это организованные и хорошо продуманные атаки, когда атакующий хорошо знает конфигурацию системы. Причины успешности таких атак — либо неправильная конфигурация сети, либо лазейки в ПО.

  В ОС, где нет контроля доступа, атаки второго уровня могут легко перерасти в атаки высших уровней. Для анализа ситуации показательно наблюдение за трафиком к портам 137 — 139, где поддерживается процесс разделения ресурсов.

Уровень 4.

Данные атаки обычно связаны с внешними нарушителями, пытающимися получить доступ квнутренним файлам интранета. Вид доступа может варьироваться от простой проверки существования некоторых файлов до их чтения. Проблемы здесь связаны с уязвимостями из-за наличия удаленных пользователей, способных выполнять ограниченный набор команд в интранете. Большинство угроз объясняется неправильной настройкой серверов, плохими CGI и проблемами переполнения буфера.

Уровни 5 и 6.

Любые атаки данного уровня — фатальны, так как они связаны с возникновением ситуаций, которых в принципе быть не должно. Например, удаленные пользователи могут читать, писать и выполнять файлы. Если в интранете есть защита от атак уровней 2-4, то маловероятна реализация атак уровней 5 и 6. Тогда атака уровня 6 возможна только из-за ошибок в ПО.