Закон лаборатории Фетта

Никогда не пытайтесь повторить удачный эксперимент.

По сути, наш Кащей имеет много общего с Ахиллесом. ...

Взлом аккаунта на Github привёл к модификациии ПО криптовалюты Syscoin
Fri, 15 Jun 2018 22:26:09 +0300

Представлена техника атаки для определения ключей ECDSA и DSA
Fri, 15 Jun 2018 13:00:22 +0300

Из каталога Docker Hub удалено 17 образов контейнеров с вредоносным кодом
Thu, 14 Jun 2018 13:19:22 +0300

LazyFP - новая уязвимость в процессорах Intel
Thu, 14 Jun 2018 10:10:25 +0300

Сообщение о взломе LinuxForums.org и утечке 275 тысяч учётных записей
Sat, 09 Jun 2018 08:49:03 +0300

Уязвимость в GnuPG
Fri, 08 Jun 2018 22:03:04 +0300

Новые сведения о вредоносном ПО VPNFilter, поражающем домашние маршрутизаторы
Thu, 07 Jun 2018 10:59:37 +0300

Обновление Firefox 60.0.2 с устранением уязвимостей
Thu, 07 Jun 2018 08:22:07 +0300

Уязвимость Zip Slip, затрагивающая библиотеки для распаковки архивов
Tue, 05 Jun 2018 22:26:05 +0300

Серия уязвимостей в BMC-контроллерах серверов Huawei
Sun, 03 Jun 2018 10:02:47 +0300

75% общедоступных серверов Redis поражены вредоносным ПО
Sat, 02 Jun 2018 20:38:58 +0300

Обновление HTTP-сервера H2O 2.2.5 с устранением уязвимости
Sat, 02 Jun 2018 09:30:31 +0300

Обновление Git с устранением уязвимостей
Tue, 29 May 2018 21:09:22 +0300

Зафиксирована попытка использования BGP для захвата трафика IP 1.1.1.1
Tue, 29 May 2018 19:08:16 +0300

Аудит сетевого стека NetBSD выявил уязвимости в BSD-системах
Tue, 29 May 2018 10:22:55 +0300

IEEE 802.3 Уязвимости Аномалии Топология сети Размеры сети
Уязвимые точки сетей Ethernet

Материал из nag.ru.

Перед коммерческой сетью передачи данных задача обеспечения безопасности стоит намного более остро, чем в корпоративной сети. Как правило, нет никакой возможности контролировать узлы конечных абонентов, и необходимо пропускать все возможные типы протоколов передачи данных без ограничений.

Можно выделить несколько моментов, представляющих потенциальную опасность клиенту или оператору услуг.
Проникновение в сеть снаружи, из публичной сети Интернет.
Получение доступа к узлу внутри сети, угроза "от соседа".
Подделка учетных данных пользователем для получения несанкционированного доступа к ресурсам оператора;

Проникновение в сеть снаружи далеко не новая проблема. Надежной защиты от этого на сегодня нет вообще, и пользователей спасает низкая цена вопроса - едва ли кого-то могут заинтересовать частные пользователи. То есть, от непрофессионального взлома достаточно средств операционной системы и простейших персональных фаерволов, а серьезная атака слишком маловероятна.

В конце концов, пользователь сам должен заботиться о сохранении своих конфиденциальных данных, так как это не относится к сфере обязанностей оператора связи. Существуют предприятия, специально занимающиеся вопросами безопасности и защиты данных, но это отдельные (и весьма не дешевые) услуги.

Гораздо более опасна "внутренняя" угроза. Защита тут значительно слабее, и вдобавок для известного пользователя ("да это соседний магазин!") возможна ясная мотивировка "взлома" или "вредительства".

При этом надо сказать, что протокол Ethernet в своей основе не имеет механизмов защиты абонентов друг от друга. Он изначально создавался для связи пользователей внутри сети, а не предоставления закрытых каналов передачи данных. Соответственно задачи обеспечения даже самой минимальной безопасности фактически не ставились. Поэтому, в "классическом" Ethernet единственным способом отделения узлов друг от друга была установка сетевых экранов (брандмауэров), и разделение проходило на 3 (сетевом) уровне модели OSI.

В то же время, внутри ЛВС все устройства работают в единой среде на 2 (канальном) уровне, соответственно соседние узлы могут получить физический доступ к "чужим" кадрам, со всеми вытекающими из этого последствиями. Так, возможно устанавливать прямые соединения, "прослушивать", получать, и даже пропускать через свой фильтр "чужой" трафик.

Можно без преувеличения сказать, что некоммутируемый Ethernet вообще беззащитен. Все узлы физически получают все проходящие по сети кадры, и для этого не нужны специальные средства - достаточно простейшей программы "сниффера" (например, на Win-платформе широко известна программа NetXray, под юникс - tcpdump, ethereal, kismet - для wifi). При этом нешифрованные пакеты (в том числе ICQ, почта, IRC) могут совершенно свободно читаться соседом по сети.

В коммутируемой сети (построенной на неуправляемых коммутаторах) прямое прослушивание несколько затруднено, но защита все же недостаточна. Известно по крайней мере два простых способа перехвата кадров в такой ситуации. Это переполнение CAM-таблицы соответствие коммутатора (при этом он начинает работать подобно обычному хабу), и использование ложного ARP-сервера (в этом случае MAC-адрес атакующего узла замещает в САМ-таблице место граничного маршрутизатора).

Строго говоря, все эти проблемы присущи и передаче информации через Интернет. Операторы связи безусловно имеют доступ к нешифрованным сообщениям. Однако у них (кроме оговоренных законодательством обязанностей) значительно меньше мотивировка к "прослушиванию" сети.

С другой стороны, для провайдера ситуация то же не слишком удобна. Невозможность контролировать каждого пользователя в сети "по отдельности" означает, что сеть Ethernet фактически закрыта для надежного администрирования и управления. Оператор не может проконтролировать наверняка соответствие учетных данных и реального пользователя.

В простейшем случае, достаточно узлу сменить свой IP адрес на "соседский", и система учета трафика будет считать, что соединением пользуется "сосед", со всеми вытекающими из этого финансовыми последствиями для последнего. Контроль на уровне MAC-адреса то же не решает проблему - сменить его не многим сложнее, чем IP. А ведь только эти два адреса полностью характеризуют узел в обычной Ethernet-сети.

Хуже всего то, что при использовании большинства типов неуправляемых коммутаторов вполне возможна одновременная работа в сети двух узлов с одинаковыми IP и MAC адресам. Очевидно, что при этом большинство централизованных (установленных на маршрутизаторе) систем ограничения доступа не способно различить узлы, что открывает самые широкие возможности воровства трафика.

Можно применять различные методы контроля - от административной работы до профилактической проверки физического соответствия порта пользователю. Разумеется, это полумеры. Решить описанные выше задачи можно при помощи создания виртуального соединения (канала передачи данных, так или иначе "наложенного" на сеть), в котором можно задавать особые правила доступа к информации.

Остается добавить, что на сегодня существует много способов для достижения поставленной цели, что позволяет превратить Ethernet в мощный и недорогой транспортный инструмент. Однако их использование не слишком значительно, но неизбежно поднимает стоимость инфраструктуры передачи данных.

НОВОСТИ: В рамках проекта Devilution предпринята попытка воссоздания кода ... Tue, 19 Jun 2018 13:06:26 +0300

В рамках проекта Devilution развивается альтернативный вариант классической компьютерной ролевой игры Diablo, выпущенной в 1996 году компанией Blizzard Entertainment, который можно использовать с набором ресурсов от оригинальной игры. При создании проекта энтузиасты провели обратный инжиниринг Diablo с использованием нескольких утечек кода из разных источников и отладочных файлов, которые были забыты в одной из поставок.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome