1.3.3.3. Маскировка

Маскировка (англ. masguerading) — общее название для очень большого класса атак, которые заключаются в том, что атакующий выдает себя не за того, кем является на самом деле. Атака, например, использовалась на ранних стадиях развития межсетевых экранов, а в настоящее время может быть использована на маршрутизаторах там, где идентификация и аутентификация производилась только на основе сетевого адреса. Если определенные существенные права присваиваются процессам, инициированным рядом доверенных хостов (то есть пакеты, с адресом источника, входящим в список доверенных, пропускаются без применения к ним ограничивающих правил, и инструкции в этих пакетах принимаются на получающем хосте к исполнению), то злоумышленнику дос­таточно указать доверенный адрес отправителя в сформированном деструктив­ном пакете, и он будет пропущен без ограничения.

Маскировкой можно назвать и случай, когда злоумышленник присваивает себе аутентификационные параметры (идентификатор и пароль) легального пользователя и, таким образом, выдает себя за него. Более сложный вари­ант — это, например, уязвимость в сервере ключей протокола Kerberos вер­сии 4, которая заключалась в слабом генераторе случайных чисел, что дава­ло злоумышленнику возможность взломать сессионный ключ и благодаря этому стать авторизованным пользователем.

Все рассмотренные случаи атак исходят из того, что, маскируясь, злоумыш­ленник является активным субъектом. Но маскировка может происходить и в пассивном варианте. Например, если злоумышленником был получен дос­туп на изменение записей на соответствующем DNS-сервере, то он сможет выдать свой хост за HTTP, FTP или другой сервер и ввести в заблуждение пользователей, которые станут к нему обращаться. В этом случае атакую­щий может разместить на ложном сервере выгодную для себя информацию либо, имитируя приглашение к входу, собирать идентификаторы и пароли пользователей для реальных серверов.

Маскировка под другим названием — подмена (англ. spoofing) — использует­ся тогда, когда атакуемый хост использует для сетевого взаимодействия с другим хостом некоего посредника в качестве поставщика определенного рода справочной информации. Наиболее известный вариант — использова­ние сервера разрешения имен DNS. В определенных случаях злоумышлен­ник, выдавая себя за такой сервер, может произвести успешную атаку вне зависимости от того, насколько хорошо защищены общающиеся между со­бой хосты или сам сервер. Кратко опишем эту атаку.

Как известно, основная задача сервера DNS — предоставить запрашиваю­щему хосту (хосту-жертве) в ответ на имя хоста-назначения сетевой адрес хоста-назначения. Если злоумышленнику удается вместо ответа легитимно-го DNS-сервера направить хосту-жертве свой ответ, то хост-жертва будет направлять свои пакеты не на адрес хоста-назначения, а на тот адрес, кото­рый укажет злоумышленник в своем ложном ответе.

Аналогичного эффекта можно добиться, атакуя и другие протоколы и базы данных, ответственные за сопоставление адресов или имен одного уровня адресам другого уровня — ARP (преобразует IP-адреса в МАС-адреса каналь­ного уровня), WINS (преобразует Windows-имена хостов в IP-адреса) и т. д.