- •Сборник информационных материалов по курсу «Защита информации и информационная безопасность»
- •Вопрос 1.
- •Основные понятия безопасности компьютерных систем.
- •Современные программные угрозы информационной безопасности.
- •Компьютерные вирусы.
- •Троянские кони (программные закладки).
- •Средства нарушения безопасности компьютерных сетей
- •Вопрос 2.
- •Угроза раскрытия
- •Угроза целостности
- •Угроза отказа служб
- •Субъекты, объекты и доступ
- •Уровни безопасности, доверие и секретность
- •Вопрос 3.
- •Объектно-концептуальная модель рпс.
- •Пространство отношений доступа к объектам вс.
- •Использование понятия легитимности при построении модели безопасности вс.
- •Вопрос 4. Классификация удаленных атак на компьютерные сети Понятие удаленной атаки
- •Вопрос 5. Политики и модели безопасности
- •Модели дискретного доступа
- •Модели мандатного доступа
- •Модель Белла и Лападула
- •Удаленное чтение
- •Доверенные субъекты
- •Проблема системы z
- •Модель системы безопасности с полным перекрытием
- •Модели контроля целостности
- •Модель понижения уровня субъекта
- •Модель понижения уровня объекта
- •Объединение моделей безопасности
- •Проблемы контроля целостности ядра системы
- •Вопросы 6 и 7. Методы анализа безопасности программного обеспечения.
- •Контрольно-испытательные методы анализа безопасности по.
- •Логико-аналитические методы анализа безопасности по.
- •Вопрос 8. Анализ novell netware с точки зрения таксономии причин нарушения информационной безопасности
- •Неправильное внедрение модели безопасности
- •1. Отсутствие подтверждения старого пароля при его смене.
- •2. Недостатки в реализации опций Intruder detection и Force periodic password changes.
- •3. Слабое значение идентификатора супервизора.
- •4. Право на создание файлов в каталоге sys:mail.
- •5. Ненадежность атрибута «только для выполнения».
- •6. Получение прав пользователя сервером очереди.
- •1. Возможность обращения хэш-функции
- •2. Атака с использованием сервера печати.
- •3. Использование состояния отсутствия информации.
- •1. Приведение базы данных связок в неработоспособное состояние.
- •2. Недостатки механизма подписи пакетов.
- •1. Передача нешифрованных паролей программой syscon.
- •Ошибки в администрировании системы
- •1. Наличие права на запись в системный каталог
- •2. Наличие права на чтение sys:system
- •Вопросы 9-10. Механизмы реализации основных типов удаленных атак
- •1. Анализ сетевого трафика.
- •6. Сетевой червь (worm).
- •Вопрос 11. Удаленные атаки на ос novell netware 3.12
- •2. Ложный сервер сети Novell NetWare 3.12.
- •Вопрос 13. Удаленные атаки на хосты internet
- •1. Исследование сетевого трафика сети Internet.
- •2. Ложный arp-сервер в сети Internet.
- •3. Ложный dns-сервер.
- •4. Навязывание хосту ложного маршрута с помощью протокола icmp для создания в сети ложного маршрутизатора.
- •5. Подмена одного из участников сетевого обмена в сети при использовании протокола tcp.
- •6. Использование недостатков идентификации tcp-пакетов для атаки на rsh-сервер.
- •Вопросы 14 – 16. Использование систем firewall
- •Достоинства применения Firewall.
- •Недостатки, связанные с применением Firewall.
- •Структура и функционирование Firewall.
- •Принципы работы Firewall.
- •Режим доступа к службам.
- •Усиленная аутентификация.
- •Фильтрация пакетов.
- •Шлюзы прикладного и сетевого уровня.
- •Вопросы 17-21. Основные схемы защиты на основе Firewall.
- •Firewall — маршрутизатор с фильтрацией пакетов.
- •Firewallна основе шлюза.
- •Экранированный шлюз.
- •Firewall –экранированная подсеть.
- •Объединение модемного пула с Firewall
- •Вопрос 22. Особенности защиты сетей на основе Firewall
- •Этапы разработки политики доступа к службам.
- •Гибкость политики.
- •Обеспечение Firewall.
- •Администрирование Firewall.
1. Возможность обращения хэш-функции
Выбор собственного криптоалгоритма приводит к тому, что оказываются возможными некоторые атаки на него. Основным недостатком этого криптоалгоритма является то, что хэш-функцию, используемую в нем, удалось обратить. Рассмотрим ее алгоритм немного подробнее: из оригинального пароля пользователя получается 32байтовая последовательность путем либо сжатия пароля длиной более 32символов с помощью операцииXOR, либо размножением пароля длиной менее 32символов;
эта последовательность шифруется операцией XORс идентификатором объекта (objectID);
из этой последовательности получается выходная 16-байтовая последовательность с помощью специального алгоритма хэширования.
Именно эти выходные последовательности (для NovellNetware 3)хранятся в базе данных связок (bindery) в виде свойства "PASSWORD".
Одним из основных свойств криптостойкой хэш-функции должно быть то, что невозможно по хэш-значению получить исходный ключ, кроме как полным перебором (таковой, например, является функция crypt(), используемая вUNIX, которая основана на математически криптостойком алгоритмеDES). Именно это свойство нарушено в хэш-функции, применяемой вNovellNetware.
Была построена процедура, которая из данного 16-байтового хэш-значения путем небольшого перебора (несколько секунд на машине класса 80486DX2-66) получает 32-байтовую последовательность, которая, конечно, не является истинным паролем, но тем не менее воспринимаетсяNovellNetwareкак таковой, т.к. применение к ней хэш-алгоритма, выдает в точности имеющееся хэш-значение. Таким образом, вызов функцииLoginToFileServerOс полученной 32-байтовой последовательностью приведет к нормальному входу в систему.
Сразу же коснемся путей, которыми может быть получено хэш-значение:
есть доступ к базе данных связок через консоль сервера:
есть доступ к копии базы данных связок; перехват в момент передачи по сети при смене пароля пользователя.
2. Атака с использованием сервера печати.
С точки зрения NovellNetWare, сервер печати (printserver) является сервером очереди. Поэтому он может выполнять функциюChangeToClientRigths().Недостаток идентификации в данном случае состоит в том, что любой объект (например, пользователь) может войти в систему под именем сервера печати, используя стандартную функцию LoginToFileServerO,либо зная пароль сервера печати, либо, чаще, тот вообще не имеет пароля. ОС не может правильно идентифицировать этот объект и дает ему права на выполнение функцииChangeToClientFtigths(), которая дает ему права желаемого пользователя.
Таким образом, если в очередь на печать попадает задание от супервизора, то любой обычный пользователь может воспользоваться его правами.
3. Использование состояния отсутствия информации.
Рассмотрим в общем виде процесс входа в систему (login) для всех версийNovellNetware:
Рабочая станция создает выделенный канал с сервером, присоединяясь к нему под именем NOT_LOGGED_INи получает право на чтение каталогаSYS:LOGIN;
Она загружает из него программу LOGIN.ЕХЕ и выполняет ее;
Происходит процесс идентификации и аутентификации на сервере под настоящим именем (различный для разных версий ОС);
После этого, если необходимо, включается подпись пакетов для дальнейшего общения рабочей станции и сервера.
Самым слабым местом здесь является шаг 2.Здесь налицо появляется состояние отсутствия информации (zeroknowledgestate), когда ни сервер, ни рабочая станция не может аутентифицировать друг друга, так как все механизмы аутентификации включаются после регистрации пользователя на файл-сервере. Поэтому третья станция может с успехом имитировать как сервер, так и рабочую станцию.
Таким образом, очевидная атака состоит в том, что злоумышленник на другой рабочей станции посылает от имени сервера троянскую версию LOGIN.ЕХЕ, которая, например, корректно входит в систему, но при этом передает введенный пароль по сети (возможны и другие варианты, такие как исполнение вируса на рабочей станции). Это может быть сделано как с помощью механизма ложного сервера,так и посылая ложные ответы на запросы рабочей станции на чтение файлаLOGIN. ЕХЕ. При этом необходимо только, чтобы эти ложные ответы приходили быстрее настоящих, посылаемых сервером (например, злоумышленник должен иметь более быстрый компьютер, чем сервер).
Отсутствие контроля целостности средств обеспечения безопасности.
NovellNetwareверсии 3.11не контролирует целостность следующих объектов: программы загрузкиSERVER.ЕХЕ;
системных файлов на жестком диске сервера;
системных областей на жестком диске (например, таблицы размещения файлов (FAT));
оперативной памяти сервера;
сетевых пакетов.
В NovellNetware3.12 и выше после появления "голландской атаки" появилось средство контроля целостности пакетов, проходящих по сети —подпись пакетов (packetsignature), однако она тоже не лишена недостатков.