Если кто-то лижет тебе подошвы, прижми его ногой, прежде чем он начнет кусаться

На российский завод приезжает американская делегация. Идут по цеху и видят: разговаривают возле станка мастер и рабочий. ...

Выявлен ещё один метод удалённой DoS-атаки на ядро Linux и FreeBSD
Wed, 15 Aug 2018 13:26:03 +0300

L1TF - три новые уязвимости в механизме спекулятивного выполнения CPU Intel
Tue, 14 Aug 2018 23:07:47 +0300

47 уязвимостей в Android-прошивках и новый вид атак Man-in-the-Disk
Tue, 14 Aug 2018 20:44:09 +0300

Обновление Samba 4.8.4, 4.7.9 и 4.6.16 с устранением уязвимостей
Tue, 14 Aug 2018 20:22:28 +0300

Новая техника атаки на беспроводные сети с WPA2
Sun, 12 Aug 2018 12:05:04 +0300

Заявлено об обнаружении бэкдора в процессорах VIA C3
Sat, 11 Aug 2018 10:52:44 +0300

В TCP-стеке Linux и FreeBSD выявлена уязвимость, приводящая к отказу в обслуживании
Tue, 07 Aug 2018 00:17:59 +0300

Критика шифрования ключей в OpenSSH
Sun, 05 Aug 2018 11:58:14 +0300

Компрометация учётных записей сотрудников Reddit привела к утечке БД
Thu, 02 Aug 2018 07:05:16 +0300

В 5 браузерных дополнениях и 6 мобильных приложениях обнаружен шпионящий код
Sat, 28 Jul 2018 10:23:12 +0300

Техника восстановления ключей шифрования через анализ шумов в сигнале от беспроводных чипов
Fri, 27 Jul 2018 21:42:20 +0300

Атака NetSpectre, приводящая к утечке содержимого памяти по сети
Fri, 27 Jul 2018 09:00:05 +0300

Уязвимость, компрометирующая шифрование в различных реализациях Bluetooth
Tue, 24 Jul 2018 22:45:14 +0300

Представлена SpectreRSB, новая уязвимость в механизме спекулятивного выполнения CPU
Tue, 24 Jul 2018 12:21:50 +0300

Обновление Java SE, MySQL, VirtualBox и других продуктов Oracle с устранением уязвимостей
Wed, 18 Jul 2018 11:11:23 +0300

IEEE 802.3 Уязвимости Аномалии Топология сети Размеры сети
Уязвимые точки сетей Ethernet

Материал из nag.ru.

Перед коммерческой сетью передачи данных задача обеспечения безопасности стоит намного более остро, чем в корпоративной сети. Как правило, нет никакой возможности контролировать узлы конечных абонентов, и необходимо пропускать все возможные типы протоколов передачи данных без ограничений.

Можно выделить несколько моментов, представляющих потенциальную опасность клиенту или оператору услуг.
Проникновение в сеть снаружи, из публичной сети Интернет.
Получение доступа к узлу внутри сети, угроза "от соседа".
Подделка учетных данных пользователем для получения несанкционированного доступа к ресурсам оператора;

Проникновение в сеть снаружи далеко не новая проблема. Надежной защиты от этого на сегодня нет вообще, и пользователей спасает низкая цена вопроса - едва ли кого-то могут заинтересовать частные пользователи. То есть, от непрофессионального взлома достаточно средств операционной системы и простейших персональных фаерволов, а серьезная атака слишком маловероятна.

В конце концов, пользователь сам должен заботиться о сохранении своих конфиденциальных данных, так как это не относится к сфере обязанностей оператора связи. Существуют предприятия, специально занимающиеся вопросами безопасности и защиты данных, но это отдельные (и весьма не дешевые) услуги.

Гораздо более опасна "внутренняя" угроза. Защита тут значительно слабее, и вдобавок для известного пользователя ("да это соседний магазин!") возможна ясная мотивировка "взлома" или "вредительства".

При этом надо сказать, что протокол Ethernet в своей основе не имеет механизмов защиты абонентов друг от друга. Он изначально создавался для связи пользователей внутри сети, а не предоставления закрытых каналов передачи данных. Соответственно задачи обеспечения даже самой минимальной безопасности фактически не ставились. Поэтому, в "классическом" Ethernet единственным способом отделения узлов друг от друга была установка сетевых экранов (брандмауэров), и разделение проходило на 3 (сетевом) уровне модели OSI.

В то же время, внутри ЛВС все устройства работают в единой среде на 2 (канальном) уровне, соответственно соседние узлы могут получить физический доступ к "чужим" кадрам, со всеми вытекающими из этого последствиями. Так, возможно устанавливать прямые соединения, "прослушивать", получать, и даже пропускать через свой фильтр "чужой" трафик.

Можно без преувеличения сказать, что некоммутируемый Ethernet вообще беззащитен. Все узлы физически получают все проходящие по сети кадры, и для этого не нужны специальные средства - достаточно простейшей программы "сниффера" (например, на Win-платформе широко известна программа NetXray, под юникс - tcpdump, ethereal, kismet - для wifi). При этом нешифрованные пакеты (в том числе ICQ, почта, IRC) могут совершенно свободно читаться соседом по сети.

В коммутируемой сети (построенной на неуправляемых коммутаторах) прямое прослушивание несколько затруднено, но защита все же недостаточна. Известно по крайней мере два простых способа перехвата кадров в такой ситуации. Это переполнение CAM-таблицы соответствие коммутатора (при этом он начинает работать подобно обычному хабу), и использование ложного ARP-сервера (в этом случае MAC-адрес атакующего узла замещает в САМ-таблице место граничного маршрутизатора).

Строго говоря, все эти проблемы присущи и передаче информации через Интернет. Операторы связи безусловно имеют доступ к нешифрованным сообщениям. Однако у них (кроме оговоренных законодательством обязанностей) значительно меньше мотивировка к "прослушиванию" сети.

С другой стороны, для провайдера ситуация то же не слишком удобна. Невозможность контролировать каждого пользователя в сети "по отдельности" означает, что сеть Ethernet фактически закрыта для надежного администрирования и управления. Оператор не может проконтролировать наверняка соответствие учетных данных и реального пользователя.

В простейшем случае, достаточно узлу сменить свой IP адрес на "соседский", и система учета трафика будет считать, что соединением пользуется "сосед", со всеми вытекающими из этого финансовыми последствиями для последнего. Контроль на уровне MAC-адреса то же не решает проблему - сменить его не многим сложнее, чем IP. А ведь только эти два адреса полностью характеризуют узел в обычной Ethernet-сети.

Хуже всего то, что при использовании большинства типов неуправляемых коммутаторов вполне возможна одновременная работа в сети двух узлов с одинаковыми IP и MAC адресам. Очевидно, что при этом большинство централизованных (установленных на маршрутизаторе) систем ограничения доступа не способно различить узлы, что открывает самые широкие возможности воровства трафика.

Можно применять различные методы контроля - от административной работы до профилактической проверки физического соответствия порта пользователю. Разумеется, это полумеры. Решить описанные выше задачи можно при помощи создания виртуального соединения (канала передачи данных, так или иначе "наложенного" на сеть), в котором можно задавать особые правила доступа к информации.

Остается добавить, что на сегодня существует много способов для достижения поставленной цели, что позволяет превратить Ethernet в мощный и недорогой транспортный инструмент. Однако их использование не слишком значительно, но неизбежно поднимает стоимость инфраструктуры передачи данных.

НОВОСТИ: Выпуск Launchpad Daemon 1.5, программного аналога MIDI-контролле ... Mon, 13 Aug 2018 23:16:18 +0300

Доступен новый выпуск Launchpadd, программного аналога MIDI-контроллера для создания музыки с помощью кнопок (Pads) для смартфонов и планшетов на платформе Android. Программа поддерживает клиент-серверный режим, в котором ноты отправляются на компьютер, а далее в любую программу, которая поддерживает миди сокеты.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome