Закон Брукса

Увеличение числа участников при подготовке опаздывающей программы только замедляет процесс.

А это точно поможет? ...

Вредоносное ПО организует майнинг криптовалют на серверах с незакрытыми уязвимостями
Wed, 17 Jan 2018 22:47:14 +0600

В ISC BIND и DHCP исправлены уязвимости. Оценка влияния KPTI на производительность BIND
Wed, 17 Jan 2018 13:16:15 +0600

Обновление Java SE, MySQL, VirtualBox и других продуктов Oracle с устранением уязвимостей
Wed, 17 Jan 2018 09:32:29 +0600

В четырёх популярных дополнениях к Chrome выявлен вредоносный код
Tue, 16 Jan 2018 23:44:56 +0600

Уязвимость в BitTorrent-клиенте Transmission, позволяющая выполнить код
Tue, 16 Jan 2018 09:47:18 +0600

В SoftEther VPN найдено 11 уязвимостей
Mon, 15 Jan 2018 23:12:42 +0600

В коммутаторах Lenovo и IBM выявлен бэкдор
Sat, 13 Jan 2018 19:29:18 +0600

Уязвимость в Glibc, позволяющая поднять привилегии в системе
Fri, 12 Jan 2018 23:04:50 +0600

Сбой антиспам-системы привёл к коллапсу в репозитории NPM
Fri, 12 Jan 2018 10:28:37 +0600

Атака на OpenSSH sftp, осуществляемая при некорректной настройке chroot
Fri, 12 Jan 2018 09:51:32 +0600

21 неисправленная уязвимость в системе 3D-моделирования Blender
Thu, 11 Jan 2018 23:51:02 +0600

Представлен метод атаки на групповой чат WhatsApp и Signal
Thu, 11 Jan 2018 19:36:41 +0600

Let's Encrypt опубликовал описание атаки и план по устранению проблемы
Wed, 10 Jan 2018 21:08:37 +0600

Эксплоиты и тесты производительности, связанные с уязвимостями Meltdown и Spectre
Wed, 10 Jan 2018 15:00:02 +0600

Инцидент с уязвимостью в сервисе Let's Encrypt
Wed, 10 Jan 2018 09:30:27 +0600

IEEE 802.3 Уязвимости Аномалии Топология сети Размеры сети
Уязвимые точки сетей Ethernet

Материал из nag.ru.

Перед коммерческой сетью передачи данных задача обеспечения безопасности стоит намного более остро, чем в корпоративной сети. Как правило, нет никакой возможности контролировать узлы конечных абонентов, и необходимо пропускать все возможные типы протоколов передачи данных без ограничений.

Можно выделить несколько моментов, представляющих потенциальную опасность клиенту или оператору услуг.
Проникновение в сеть снаружи, из публичной сети Интернет.
Получение доступа к узлу внутри сети, угроза "от соседа".
Подделка учетных данных пользователем для получения несанкционированного доступа к ресурсам оператора;

Проникновение в сеть снаружи далеко не новая проблема. Надежной защиты от этого на сегодня нет вообще, и пользователей спасает низкая цена вопроса - едва ли кого-то могут заинтересовать частные пользователи. То есть, от непрофессионального взлома достаточно средств операционной системы и простейших персональных фаерволов, а серьезная атака слишком маловероятна.

В конце концов, пользователь сам должен заботиться о сохранении своих конфиденциальных данных, так как это не относится к сфере обязанностей оператора связи. Существуют предприятия, специально занимающиеся вопросами безопасности и защиты данных, но это отдельные (и весьма не дешевые) услуги.

Гораздо более опасна "внутренняя" угроза. Защита тут значительно слабее, и вдобавок для известного пользователя ("да это соседний магазин!") возможна ясная мотивировка "взлома" или "вредительства".

При этом надо сказать, что протокол Ethernet в своей основе не имеет механизмов защиты абонентов друг от друга. Он изначально создавался для связи пользователей внутри сети, а не предоставления закрытых каналов передачи данных. Соответственно задачи обеспечения даже самой минимальной безопасности фактически не ставились. Поэтому, в "классическом" Ethernet единственным способом отделения узлов друг от друга была установка сетевых экранов (брандмауэров), и разделение проходило на 3 (сетевом) уровне модели OSI.

В то же время, внутри ЛВС все устройства работают в единой среде на 2 (канальном) уровне, соответственно соседние узлы могут получить физический доступ к "чужим" кадрам, со всеми вытекающими из этого последствиями. Так, возможно устанавливать прямые соединения, "прослушивать", получать, и даже пропускать через свой фильтр "чужой" трафик.

Можно без преувеличения сказать, что некоммутируемый Ethernet вообще беззащитен. Все узлы физически получают все проходящие по сети кадры, и для этого не нужны специальные средства - достаточно простейшей программы "сниффера" (например, на Win-платформе широко известна программа NetXray, под юникс - tcpdump, ethereal, kismet - для wifi). При этом нешифрованные пакеты (в том числе ICQ, почта, IRC) могут совершенно свободно читаться соседом по сети.

В коммутируемой сети (построенной на неуправляемых коммутаторах) прямое прослушивание несколько затруднено, но защита все же недостаточна. Известно по крайней мере два простых способа перехвата кадров в такой ситуации. Это переполнение CAM-таблицы соответствие коммутатора (при этом он начинает работать подобно обычному хабу), и использование ложного ARP-сервера (в этом случае MAC-адрес атакующего узла замещает в САМ-таблице место граничного маршрутизатора).

Строго говоря, все эти проблемы присущи и передаче информации через Интернет. Операторы связи безусловно имеют доступ к нешифрованным сообщениям. Однако у них (кроме оговоренных законодательством обязанностей) значительно меньше мотивировка к "прослушиванию" сети.

С другой стороны, для провайдера ситуация то же не слишком удобна. Невозможность контролировать каждого пользователя в сети "по отдельности" означает, что сеть Ethernet фактически закрыта для надежного администрирования и управления. Оператор не может проконтролировать наверняка соответствие учетных данных и реального пользователя.

В простейшем случае, достаточно узлу сменить свой IP адрес на "соседский", и система учета трафика будет считать, что соединением пользуется "сосед", со всеми вытекающими из этого финансовыми последствиями для последнего. Контроль на уровне MAC-адреса то же не решает проблему - сменить его не многим сложнее, чем IP. А ведь только эти два адреса полностью характеризуют узел в обычной Ethernet-сети.

Хуже всего то, что при использовании большинства типов неуправляемых коммутаторов вполне возможна одновременная работа в сети двух узлов с одинаковыми IP и MAC адресам. Очевидно, что при этом большинство централизованных (установленных на маршрутизаторе) систем ограничения доступа не способно различить узлы, что открывает самые широкие возможности воровства трафика.

Можно применять различные методы контроля - от административной работы до профилактической проверки физического соответствия порта пользователю. Разумеется, это полумеры. Решить описанные выше задачи можно при помощи создания виртуального соединения (канала передачи данных, так или иначе "наложенного" на сеть), в котором можно задавать особые правила доступа к информации.

Остается добавить, что на сегодня существует много способов для достижения поставленной цели, что позволяет превратить Ethernet в мощный и недорогой транспортный инструмент. Однако их использование не слишком значительно, но неизбежно поднимает стоимость инфраструктуры передачи данных.

НОВОСТИ: В рамках проекта NeoPG развивается форк GnuPG 2 Fri, 19 Jan 2018 20:36:45 +0600

Маркус Бринкман (Marcus Brinkmann), немецкий математик, известный своим участием в разработке GNU/Hurd.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome