Может показаться, что я ничего не делаю, но на клеточном уровне я очень занят.

Лес. Узкая дорога. Едет на своей кляче Д’артаньян. На встречу ему Илья Муромец на коне. ...

В продуктах Juniper исправлены 22 уязвимости
Thu, 11 Oct 2018 11:38:02 +0300

В Ghostscript выявлены две новые критические уязвимости
Thu, 11 Oct 2018 11:10:33 +0300

Опубликованы результаты аудита системы обновления Firefox
Wed, 10 Oct 2018 11:32:02 +0300

Bloomberg раскрыл источник сведений о шпионском чипе в платах Supermicro
Tue, 09 Oct 2018 21:41:10 +0300

DoS-уязвимость в Net-SNMP
Tue, 09 Oct 2018 13:53:03 +0300

Новые уязвимости в маршрутизаторах MikroTik и TP-Link
Mon, 08 Oct 2018 11:24:35 +0300

83% изученных беспроводных маршрутизаторов содержат неисправленные уязвимости
Sat, 06 Oct 2018 22:58:33 +0300

В Git устранена уязвимость, которая может привести к выполнению кода атакующего
Fri, 05 Oct 2018 21:50:45 +0300

Выпуск свободного антивирусного пакета ClamAV 0.100.2 с устранением уязвимостей
Wed, 03 Oct 2018 23:51:02 +0300

Обновление Firefox 62.0.3 с устранением критических уязвимостей
Wed, 03 Oct 2018 07:35:44 +0300

В реализации криптовалюты Monero выявлены две критические уязвимости
Mon, 01 Oct 2018 10:30:04 +0300

Уязвимость в Facebook привела к захвату контроля над 50 миллионами учётных записей
Sat, 29 Sep 2018 09:23:33 +0300

Результаты аудита обновлённого генератора псевдослучайных чисел OpenSSL 1.1.1
Thu, 27 Sep 2018 18:50:33 +0300

Опубликован эксплоит для уязвимости в подсистеме vmacache ядра Linux
Wed, 26 Sep 2018 23:28:39 +0300

Локальная root-уязвимость в ядре Linux
Wed, 26 Sep 2018 11:18:53 +0300

IEEE 802.3 Уязвимости Аномалии Топология сети Размеры сети
Уязвимые точки сетей Ethernet

Материал из nag.ru.

Перед коммерческой сетью передачи данных задача обеспечения безопасности стоит намного более остро, чем в корпоративной сети. Как правило, нет никакой возможности контролировать узлы конечных абонентов, и необходимо пропускать все возможные типы протоколов передачи данных без ограничений.

Можно выделить несколько моментов, представляющих потенциальную опасность клиенту или оператору услуг.
Проникновение в сеть снаружи, из публичной сети Интернет.
Получение доступа к узлу внутри сети, угроза "от соседа".
Подделка учетных данных пользователем для получения несанкционированного доступа к ресурсам оператора;

Проникновение в сеть снаружи далеко не новая проблема. Надежной защиты от этого на сегодня нет вообще, и пользователей спасает низкая цена вопроса - едва ли кого-то могут заинтересовать частные пользователи. То есть, от непрофессионального взлома достаточно средств операционной системы и простейших персональных фаерволов, а серьезная атака слишком маловероятна.

В конце концов, пользователь сам должен заботиться о сохранении своих конфиденциальных данных, так как это не относится к сфере обязанностей оператора связи. Существуют предприятия, специально занимающиеся вопросами безопасности и защиты данных, но это отдельные (и весьма не дешевые) услуги.

Гораздо более опасна "внутренняя" угроза. Защита тут значительно слабее, и вдобавок для известного пользователя ("да это соседний магазин!") возможна ясная мотивировка "взлома" или "вредительства".

При этом надо сказать, что протокол Ethernet в своей основе не имеет механизмов защиты абонентов друг от друга. Он изначально создавался для связи пользователей внутри сети, а не предоставления закрытых каналов передачи данных. Соответственно задачи обеспечения даже самой минимальной безопасности фактически не ставились. Поэтому, в "классическом" Ethernet единственным способом отделения узлов друг от друга была установка сетевых экранов (брандмауэров), и разделение проходило на 3 (сетевом) уровне модели OSI.

В то же время, внутри ЛВС все устройства работают в единой среде на 2 (канальном) уровне, соответственно соседние узлы могут получить физический доступ к "чужим" кадрам, со всеми вытекающими из этого последствиями. Так, возможно устанавливать прямые соединения, "прослушивать", получать, и даже пропускать через свой фильтр "чужой" трафик.

Можно без преувеличения сказать, что некоммутируемый Ethernet вообще беззащитен. Все узлы физически получают все проходящие по сети кадры, и для этого не нужны специальные средства - достаточно простейшей программы "сниффера" (например, на Win-платформе широко известна программа NetXray, под юникс - tcpdump, ethereal, kismet - для wifi). При этом нешифрованные пакеты (в том числе ICQ, почта, IRC) могут совершенно свободно читаться соседом по сети.

В коммутируемой сети (построенной на неуправляемых коммутаторах) прямое прослушивание несколько затруднено, но защита все же недостаточна. Известно по крайней мере два простых способа перехвата кадров в такой ситуации. Это переполнение CAM-таблицы соответствие коммутатора (при этом он начинает работать подобно обычному хабу), и использование ложного ARP-сервера (в этом случае MAC-адрес атакующего узла замещает в САМ-таблице место граничного маршрутизатора).

Строго говоря, все эти проблемы присущи и передаче информации через Интернет. Операторы связи безусловно имеют доступ к нешифрованным сообщениям. Однако у них (кроме оговоренных законодательством обязанностей) значительно меньше мотивировка к "прослушиванию" сети.

С другой стороны, для провайдера ситуация то же не слишком удобна. Невозможность контролировать каждого пользователя в сети "по отдельности" означает, что сеть Ethernet фактически закрыта для надежного администрирования и управления. Оператор не может проконтролировать наверняка соответствие учетных данных и реального пользователя.

В простейшем случае, достаточно узлу сменить свой IP адрес на "соседский", и система учета трафика будет считать, что соединением пользуется "сосед", со всеми вытекающими из этого финансовыми последствиями для последнего. Контроль на уровне MAC-адреса то же не решает проблему - сменить его не многим сложнее, чем IP. А ведь только эти два адреса полностью характеризуют узел в обычной Ethernet-сети.

Хуже всего то, что при использовании большинства типов неуправляемых коммутаторов вполне возможна одновременная работа в сети двух узлов с одинаковыми IP и MAC адресам. Очевидно, что при этом большинство централизованных (установленных на маршрутизаторе) систем ограничения доступа не способно различить узлы, что открывает самые широкие возможности воровства трафика.

Можно применять различные методы контроля - от административной работы до профилактической проверки физического соответствия порта пользователю. Разумеется, это полумеры. Решить описанные выше задачи можно при помощи создания виртуального соединения (канала передачи данных, так или иначе "наложенного" на сеть), в котором можно задавать особые правила доступа к информации.

Остается добавить, что на сегодня существует много способов для достижения поставленной цели, что позволяет превратить Ethernet в мощный и недорогой транспортный инструмент. Однако их использование не слишком значительно, но неизбежно поднимает стоимость инфраструктуры передачи данных.

НОВОСТИ: Компания Microsoft присоединилась к инициативе по защите Linux о ... Wed, 10 Oct 2018 19:00:13 +0300

Организация Open Invention Network (OIN), ставящая перед собой цель защиты экосистемы Linux от патентных претензий, объявила о присоединении компании Microsoft к числу участников OIN, которые обязуются не выдвигать патентные претензии и безвозмездно разрешают использовать некоторые запатентованные технологии в проектах, связанных с экосистемой Linux. В качестве своего вклада в общее дело компания Miсrosoft передала участникам OIN право на использование более 60 тысяч своих патентов.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome