|
发信人: netmonkey(
) 整理人: terryh(2002-05-20 17:57:24), 站内信件 |
| 由于TCP/IP协议一开始的实现主要目的是用于科学研究的，所以很少考虑安全性方面的东西。但随着其应用的普及，它已经成为了Internet网络通信协议的标准。它不仅用于一些要求安全性很高的军事领域，而且也应用于商业领域。因而对其安全性的要求越来越高。现在虽然已经出台好多安全性方面的解决方案，但它们大部分都是治标不治本。我们从TCP/IP协议本身来看它的安全漏洞，以便为我们的预防提供参考。
基于TCP/IP协议的网络存在的安全问题包含：运行协议的操作系统的网络安全漏洞，防火墙自身也存在安全性问题，网络内部的用户的威胁，TCP/IP协议簇本身存在老多安全隐患。下面我们从各协议层来看存在的安全漏洞： 1． 链路层存在的安全漏洞：我们知道，在以太网中，信道是共享的，任何主机发送的每一个以太网帧都会到达别的与该主机处于同一网段的所有主机的以太网接口，一般地，CSMA/CD协议使以太网接口在检测到数据帧不属于自己时，就把它忽略，不会把它发送到上层协议（如ARP、RARP层或IP层）。如果我们对其稍做设置或修改，就可以使一个以太网接口接收不属于它的数据帧。例如有的实现可以使用杂错接点，即能接收所有数据帧的机器节点。解决该漏洞的对策是：网络分段、利用交换器，动态集线器和桥等设备对数据流进行限制、加密（采用一次性口令技术）和禁用杂错接点。 2． 网络层漏洞：几乎所有的基于TCP/IP的机器都会对ICMP echo请求进行响应。所以如果一个敌意主机同时运行很多个ping命令向一个服务器发送超过其处理能力的ICMP echo请求时，就可以淹没该服务器使其拒绝其他的服务。另外，ping命令可以在得到允许的网络中建立秘密通道从而可以在被攻击系统中开后门进行方便的攻击，如收集目标上的信息并进行秘密通信等。解决该漏洞的措施是拒绝网络上的所有ICMP echo响应。 3． IP漏洞：IP包一旦从网络中发送出去，源IP地址就几乎不用，仅在中间路由器因某种原因丢弃它或到达目标端后，才被使用。这使得一个主机可以使用别的主机的IP地址发送IP包，只要它能把这类IP包放到网络上就可以。因而如果攻击者把自己的主机伪装成被目标主机信任的友好主机，即把发送的IP包中的源IP地址改成被信任的友好主机的IP地址，利用主机间的信任关系（Unix网络软件的开发者发明的术语）和这种信任关系的实际认证中存在的脆弱性（只通过IP确认），就可以对信任主机进行攻击。注意，其中所说的信任关系是指一个被授权的主机可以对信任主机进行方便的访问。所有的r*命令都采用信任主机方案，所以一个攻击主机把自己的IP改为被信任主机的IP，就可以连接到信任主机并能利用r*命令开后门达到攻击的目的。解决这个问题的一个办法是，让路由器拒绝接收来自网络外部的IP地址与本地某一主机的IP地址相同的IP包的进入。 4． ARP欺骗：ARP协议在对IP地址进行解析时，利用ARP缓存（也叫ARP表）来做。ARP缓存的每一条目保存有IP地址到物理地址的映射。如果在ARP表中没有这样的对应条目，ARP协议会广播ARP请求，获得对应于那个IP地址的物理地址，并把该对应关系加入到ARP表中。ARP表中的每一个条目都有一个计时器，如果计时器过期，该条目就无效，因而被从缓存中删除。显然，如果攻击者暂时使用不工作的主机的IP地址，就可以伪造IP-物理地址对应关系对，把自己伪装成象那个暂时不使用的主机一样。克服此问题的方法是，让硬件地址常驻内存，并可以用ARP命令手工加入（特权用户才可以那样做）；也可以通过向RARP服务器询问来检查客户的ARP欺骗。因为RARP服务器保留着网络中硬件地址和 IP的相关信息。 5． 路由欺骗：在路由协议中，主机利用重定向报文来改变或优化路由。如果一个路由器发送非法的重定向报文，就可以伪造路由表，错误引导非本地的数据报。另外，各个路由器都会定期向其相邻的路由器广播路由信息，如果使用RIP特权的主机的520端口广播非法路由信息，也可以达到路由欺骗的目的。解决这些问题的办法有，通过设置主机忽略重定向信息可以防止路由欺骗；禁止路由器被动使用RIP和限制被动使用RIP的范围。 6． DNS欺骗：网络上的所有主机都信任DNS服务器，如果DNS服务器中的数据被攻击者破坏，就可以进行DNS欺骗。 7． 拦截TCP连接：攻击者可以使TCP连接的两端进入不同步状态，入侵者主机向两端发送伪造的数据包。冒充被信任主机建立TCP连接，用SYN淹没被信任的主机，并猜测3步握手中的响应（建立多个连接到信任主机的TCP连接，获得初始序列号ISN(Initial Serial Number)和RTT，然后猜测响应的ISN，因为序列号每隔半秒加64000，每建立一个连接加64000）。预防方法：使所有的r*命令失效，让路由器拒绝来自外面的与本地主机有相同的IP地址的包。RARP查询可用来发现与目标服务器处在同一物理网络的主机的攻击。另外ISN攻击可通过让每一个连接的ISN随机分配配合每隔半秒加64000来防止。 8． 使用TCP SYN报文段淹没服务器。利用TCP建立连接的3步骤的缺点和服务器端口允许的连接数量的限制，窃取不可达IP地址作为源IP地址，使得服务器端得不到ACK而使连接处于半开状态，从而阻止服务器响应响应别的连接请求。尽管半开的连接会被过期而关闭的，但只要攻击系统发送的spoofed SYN请求的速度比过期的快就可以达到攻击的目的。这种攻击的方法一直是一种重要的攻击ISP（Internet Service Provider）的方法，这种攻击并不会损害服务，而是使服务能力削弱。解决这种攻击的办法是，给Unix内核加一个补丁程序或使用一些工具对内核进行配置。一般的做法是，使允许的半开连接的数量增加，允许连接处于半开状态的时间缩短。但这些并不能从根本上解决这些问题。实际上在系统的内存中有一个专门的队列包含所有的半开连接，这个队列的大小是有限的，因而只要有意使服务器建立过多的半开连接就可以使服务器的这个队列溢出，从而无法响应其他客户的连接请求。 摘自 《TCP/IP协议问题透析》 部分 Exhaustive Analysis of TCP/IP Protocol’s Deficiency 杨燚, 王钢 Yang YI, Wang Gang （中科院计算所网络研发中心，北京市中关村科学院南路6号，100080） ---- 
|
|
[关闭][返回] |