MiM-атаки

Man-in-the-Middle - одна из самых изощренных атак, она позволяет взломать даже соединение между авторизованной клиентской станцией и точкой доступа, защищенное с помощью VPN. Введя мошенническое устройство между станцией-жертвой и точкой доступа, хакер становится "посредником" в обмене информацией. По сути, он обманывает и устройство-жертву, заставляя последнее "поверить", что он - это точка доступа, и точку доступа, выдавая себя за авторизованного пользователя.

Суть такой атаки - "обман" протокола аутентификации с предварительным согласованием вызова посредством произвольного принуждения подключенного клиента к новой процедуре аутентификации точки доступа. Устройство должно посылать произвольные запросы точке доступа, которая, в свою очередь, должна ответить на правильный пароль успешной пересылкой пакета.

Прежде чем начать такую атаку, хакер некоторое время пассивно следит за соединениями устройства-жертвы с точкой доступа. Он собирает информацию для аутентификации: имя пользователя, имя сервера, IP-адреса клиента и сервера, идентификатор, используемый для создания отклика, а также выясняет, какой отклик какому запросу соответствует (рис. 3).

Рис. 3. VPN-атака: установление связи, запрос, ответ.

Затем хакер пытается связаться с точкой доступа, посылая запрос, который приходит якобы с авторизованной станции. Точка доступа отсылает VPN-запрос аутентифицированному клиентскому устройству, которое обрабатывает запрашиваемый аутентичный отклик и отправляет его точке доступа. Так хакер получает нужный для установления связи отклик (рис. 4).

Рис. 4. Организация VPN-атаки.

После этого хакер действует как точка доступа, формируя запрос к авторизованному устройству, которое ("ничего не подозревая") посылает соответствующий отклик для легальной точки доступа. Точка доступа, в свою очередь, отправляет на станцию пакет с подтверждением успешного установления соединения с вложенным порядковым номером, который хакер и перехватывает. Таким образом, он практически завладевает и устройством-жертвой, и точкой доступа, получая все, что нужно для завершения атаки и разрушения VPN (рис. 5).

Рис. 5. VPN-атака типа MiM.

Для устранения устройства-жертвы из сети хакер отправляет фальшивый ответ с большим последовательным номером, что не позволяет тому подключиться вновь, а сам внедряется в сеть под видом "уничтоженного" им авторизованного пользователя (рис. 6).

Рис. 6. VPN-атака - получение доступа в сеть.

Только непрерывный мониторинг (в формате 24 часа 7 дней в неделю) и применение очень совершенной системы IDS позволяют обнаружить такой тип атак на WLAN. Эффективная система безопасности прежде всего должна постоянно отслеживать события и проводить анализ того, что происходит во WLAN. Средства IDS, со своей стороны, должны уметь выявлять атаки подобного типа по аутентификационному коду (сигнатуре) и двойному использованию одного МАС-адреса и имени пользователя - авторизованным устройством и хакером.

Атаки типа "Отказ в обслуживании"

Для любого сетевого администратора и менеджера по безопасности нежелательны простои и снижение производительности, вызываемые DoS-атаками. В беспроводной среде такая атака может прийти с любого направления. Заметим, что урон от них практически не зависит от того, какую "версию" использует хакер - "основную" или новейшую, самую изощренную.

Особенно уязвимы беспроводные сети стандарта 802.11b, которые используют нелицензируемую полосу частот 2,4 ГГц, где также работают СВЧ-печи, мониторы слежения за грудными детьми, беспроводные радиотелефоны и т. д. Эти потребительские устройства дают в руки хакерам простой способ реализации исключительно разрушительных DoS-атак. Большой и неконтролируемый шум, исходящий от этих приборов, может стать существенной помехой для WLAN и нарушить ее работу.

Но хакеры способны создавать и более сложные атаки данного типа, сконфигурировав устройство как точку доступа, которая постоянно генерирует в радиоэфир команды "разъединить", что заставляет все устройства в зоне ее действия отключиться от WLAN. Другой вариант DoS-атаки - периодическая (каждые несколько минут) передача незаконной точкой доступа команд на разрыв соединения. В этом случае устройства непрерывно отключаются от сети и снова к ней подключаются.

В дополнение к атакам со злонамеренным отключением, хакеры теперь научились использовать для запуска DoS-атак расширяемый протокол аутентификации (Extensible Authentication Protocol, EAP). На страничке The Unofficial 802.11 Security Web Page сайта http://www.drizzle.com/~aboba/IEEE перечислены шесть различных видов DoS-атак, основанных на манипуляции EAP-протоколом. Воздействия на устройства и точки доступа могут быть различными: команды конца сеанса связи или начала передачи, преждевременная отправка подтверждений успешного подключения или сообщений о сбое в передаче и другие "применения" EAP-протокола.

В последнее время появились разновидности DoS-атак, воздействующие на всю корпоративную сеть и использующие неправильную конфигурацию WLAN или незарегистрированные точки доступа. Если точка доступа присоединена к нефильтруемому сегменту сети, то она рассылает пакеты "связующее дерево" (Spanning Tree, SP согласно 802.1D). А это открывает возможность для атак, которые выводят из строя все беспроводное оборудование, а также провоцирует "выгорание начинки" всей инфраструктуры внутренней сети - концентраторов, маршрутизаторов, коммутаторов и т. д., - подключенной после используемой для атаки точки доступа.

При нормальной работе сети SP-алгоритм обеспечивает беспетельную топологию Ethernet-сетей, содержащих параллельные мосты и множество Ethernet-сегментов (петля появляется при наличии меняющихся вариантов маршрутов между хостами). Если петли создаются в протяженной сети, мосты могут неограниченно пересылать трафик на фальшивые или неверные Ethernet-хосты; результат - увеличение трафика и снижение производительности сети до такого уровня, когда хосты практически прекращают откликаться и работать.

Хакер может запустить DoS-атаку, преднамеренно внедрив в сеть подобную петлю, проникнув через WLAN-сегмент в корпоративную сеть и злонамеренно повторив в ней измененную SP-сессию. Хакерский сетевой анализатор может реализовать такую атаку, передав отражение SP-сессии обратно в точку доступа WLAN, которая, в свою очередь, будет посылать пакеты управляемой SP-сессии к другим внутренним хостам. В результате возникает разрушительный эффект домино, приводящий интеллектуальные концентраторы, мосты, маршрутизаторы и коммутаторы полностью в нерабочее состояние (как правило, для возврата в рабочий режим необходима их перезагрузка или повторное конфигурирование).

Любая незарегистрированная точка доступа, подключенная к концентратору, маршрутизатору или коммутатору, не защищенному брандмауэром, может открыть сеть для этого, самого разрушительного вида DoS-атак. Проведя исследование защиты беспроводных сетей, компания AirDefense обнаружила, что по крайней мере одна из каждых 20 сетей уязвима для DoS-атак такого рода, которые ведутся из мошеннических точек доступа, появляющихся при неправильно сконфигурированных WLAN.

Дата добавления: 2014-01-13