1.1.13Проблеми безпеки протоколу snmp v1/2

Один з найбільш помітних недоліків SNMP v1 - відсутність розвиненої системи захисту даних на рівні, необхідному для мереж масштабу підприємства.

Як сказав Mike Warfield: "SNMP stands for Security Not My Problem".

У SNMPv1 захист адміністративної інформації трактувалася занадто спрощено: вона базувалася на використанні колективного імені (Community Name), яке, перебуваючи в заголовку SNMP, несло в собі всі можливості захисту повідомлень. Даний засіб (відоме під назвою тривіальний протокол) вимагало, щоб програма-агент і менеджер впізнали одне і те ж колективне ім'я, перш ніж продовжити виконання операцій мережевого адміністрування. У результаті багато адміністраторів мереж обмежувалися у своїй роботі тільки функціями моніторингу, забороняючи видачу команди SET, здатною змінювати параметри конфігурації віддаленого пристрою. Це призвело до того, що користувачі уникали команд SET: таке примітивне засіб захисту, як колективне ім'я, могло дати можливість особам, не наділеним відповідними повноваженнями, змінювати параметри, про що користувачі могли навіть і не дізнатися. До того ж вся критично важлива інформація передавалася у відкритому вигляді.

У зв'язку з цим були розроблені пропозиції щодо вдосконалення захисту в рамках SNMPv1, представлені в липні 1992 р.; вони склали основу структури захисту для SNMPv2. Протягом 1993 року було опубліковано 11 RFC, які визначали нові стандарти SNMP. Перший з них, RFC 1441, є введенням в SNMP версії 2 (SNMPv2).

Стандартами захисту SNMPv2 визначаються методи аутентифікації (DAP - Digest Authentication Protocol) і забезпечення конфіденційності (SPP-Symmetric Privacy Protocol) інформації адміністративного характеру. В основі лежить концепція учасника (party) - унікального набору параметрів захисту, який може включати розташування мережі, протоколи аутентифікації і забезпечення конфіденційності, використовувані між агентом і менеджером.

Новий тип пакетів get-bulk-request дозволяє менеджеру ефективно обробляти великі блоки даних. Ще один новий тип пакетів inform-request дозволяє одному менеджеру надсилати інформацію іншому менеджерові. Визначено два нових MIB: MIB SNMPv2 і MIB SNMPv2-M2M (менеджер-менеджер). SNMPv2 надає поліпшену секретність в порівнянні з SNMPv1. У SNMPv1 ім'я спільноти передається від менеджера до агента у вигляді відкритого пароля. SNMPv2 надає аутентифікацію і розширену секретність.

Однак друга версія SNMP не була підтримана виробниками мережного устаткування і поширення не отримала. Але останнім часом розробники стандартів з IETF намагаються переломити ситуацію, запропонувавши специфікацію третьої версії SNMP. Істотні поліпшення протоколу, що забезпечують гнучке адміністрування агентів систем управління та захист керуючої інформації, зворотна сумісність із системами на основі базової версії SNMPv1, а також відкрита архітектура дозволяють авторам SNMPv3 сподіватися на успішне практичне втілення свого дітища. Успіх буде залежати від багатьох факторів і, зокрема, від того, наскільки широко інформація про його достоїнства проникне в маси.

Можна відзначити наступні принципово нові властивості протоколу SNMPv3:

• Можливість управління фільтрацією повідомлень, що генеруються агентом SNMP;

• Забезпечення безпеки управління за рахунок аутентифікації пристроїв та користувачів, а також шифрування повідомлень;

• Виборчий контроль доступу користувачів до груп об'єктів MIB.

Атака на Windows SNMP.

Cервіс працює на наступних UDP портах:

snmp 161/udp snmp

snmp-trap 162/udp snmp

Цікаві SMI Network Management Private Enterprise Codes:

Prefix: 1.3.6.1.4.1.

            2 IBM

            4 Unix

            9 cisco

           32 Santa Cruz Operation

           42 Sun Microsystems

Невелике розповсюдження сканерів UDP портів під Windows, SNMP менеджерів, а також відсутність знань про самому протоколі є, по всій видимості, єдиною причиною нечисленності атак на пристрої під управління SNMP v1, так як в реалізаціях цього протоколу в деяких операційні системи допущені серйозні помилки.