Seguridad En Redes
Páginas: 8 (1907 palabras)
Publicado: 11 de noviembre de 2012
Seguridad en Redes
Tipos de Vulnerabilidad
Consecuencias Integridad Datos modificados Informaci´ n perdida o Caballo de Troya M´ quina penetrada a Memoria cambiada Vulnerabilidad a otras amenazas Mensajes modificados (en tr´ nsito) a Confidencialidad Mensajes escuchados en la red Perdida de privacidad Datos robados de servidores Revela contrase˜ as etc. n An´ lisis de tr´ fico a a Identificapatrones de acceso Detecta configuraci´ n de la red o Facilita otros ataques Denial of Service Procesos matados Molestias Inundaci´ n con paquetes o Interferencia con trabajo Llenado de discos Aislamiento de m´ quinas (DNS) a Autentificaci´ n o Identidades falsas Acciones atribu´das al usuario ı Datos falsos Da˜ o al nombre institucional n
Amenazas
March 3, 2000
Seguridad en Redes-1 Ataques a TCP/IP
Asumimos que Manuel est´ conectado al Internet, pero que no a interrumpe las conexiones f´sicas, y tampoco interfiere los ı enrutadores. Para simplificar la discusi´ n, tambi´ n asumimos o e que el tr´ fico de datos no est´ encriptado. a a Resumen del Three-way Handshake de TCP: • Un cliente manda un segmento inicial (con el bit SYN) para ´ solicitar una nueva conexi´ n, y propone unnumero de o secuencia inicial (ISN). • El servidor responde con un segmento con los bits SYN y ACK, y otro n´ mero para la conexi´ n inversa. u o • El cliente contesta con un segmento de datos, con el bit de ACK encendido. • Los ISN deben garantizar que no haya solapamiento con n´ meros de secuencia de segmentos viejos. u Esquem´ ticamente: a C→S S→C C→S C, S, SYN, IC S, C, SYN, IS , ACK, IC C, S,ACK, IS , datos
March 3, 2000
Seguridad en Redes-2
Inundaci´ n de SYN o Manuel manda muchos segmentos SYN, pero desecha los SYN+ACK de respuesta o nunca los contesta. El servidor tiene que mantener m´ ltiples conexiones u “semi-abiertas”, al menos hasta que se produzca un timeout (usualmente en el orden de 15 minutos). Esto es un ejemplo de denial of service (DOS) (bloqueo de servicio). SiManuel s´ lo hace esto, ser´ f´ cil despu´ s identificarlo. Para o a a e esconderse, Manuel puede emplear spoofing de IP: altera el campo de Direcci´n Fuente en los datagramas IP que o envia. En caso del ataque mencionado, no necesita ver las respuestas.
March 3, 2000
Seguridad en Redes-3
“Disparando” a una Conexi´ n o Si Manuel puede leer los paquetes entre C y S, puede simplementeinsertar un paquete RST para tumbar un lado de la conexi´ n (falsificando la direcci´ n de origen por supuesto). o o Si despu´ s de hacerlo a S, C sigue enviando datos, S e responder´ a C con un RST propio. a “Secuestro” de una Conexi´ n o Si Manuel escucha el tr´ fico entre C y S, o sin escucharlo a puede adivinar los n´ meros de secuencia, puede insertar sus u propios paquetes. En una red local esto escasi trivial (s´ lo o espera una pausa en la conversaci´ n). En una red WAN, o generalmente no le van a llegar las respuestas de S, pero en muchos casos no hace falta leerlos. Por ejemplo, envia una l´nea de texto que dice: ı rm -rf * y no necesita ver el resultado . . .
March 3, 2000
Seguridad en Redes-4
Initial Sequence Number Prediction ¿C´ mo puede Manuel conocer los n´ meros desecuencia si no o u est´ escuchando el tr´ fico? a a M→S S→C M→S C, S, SYN, IM S, C, SYN, IS , ACK, IM C, S, ACK, IS , datos
El segundo mensaje no le llega a Manuel, pero si puede predecir sus contenidos, puede generar el tercer mensaje. Esto significa predecir IS . En muchas implementaciones, esto es f´ cil hacer por que cada a nuevo In es igual a In−1 + K, por un constante K (ej. 128.000). Manuelpuede realizar pruebas de antemano con conexiones verdaderas a S, para deducir el valor de K que utiliza S. El tercer paquete del protocolo contiene el primer segmento de datos. Como ya se coment´ anteriormente, en muchos casos o Manuel puede enviar datos sin necesidad de ver las respuestas.
March 3, 2000
Seguridad en Redes-5
Una soluci´ n efectiva a este problema es usar SYN cookies. o...
Tipos de Vulnerabilidad
Consecuencias Integridad Datos modificados Informaci´ n perdida o Caballo de Troya M´ quina penetrada a Memoria cambiada Vulnerabilidad a otras amenazas Mensajes modificados (en tr´ nsito) a Confidencialidad Mensajes escuchados en la red Perdida de privacidad Datos robados de servidores Revela contrase˜ as etc. n An´ lisis de tr´ fico a a Identificapatrones de acceso Detecta configuraci´ n de la red o Facilita otros ataques Denial of Service Procesos matados Molestias Inundaci´ n con paquetes o Interferencia con trabajo Llenado de discos Aislamiento de m´ quinas (DNS) a Autentificaci´ n o Identidades falsas Acciones atribu´das al usuario ı Datos falsos Da˜ o al nombre institucional n
Amenazas
March 3, 2000
Seguridad en Redes-1 Ataques a TCP/IP
Asumimos que Manuel est´ conectado al Internet, pero que no a interrumpe las conexiones f´sicas, y tampoco interfiere los ı enrutadores. Para simplificar la discusi´ n, tambi´ n asumimos o e que el tr´ fico de datos no est´ encriptado. a a Resumen del Three-way Handshake de TCP: • Un cliente manda un segmento inicial (con el bit SYN) para ´ solicitar una nueva conexi´ n, y propone unnumero de o secuencia inicial (ISN). • El servidor responde con un segmento con los bits SYN y ACK, y otro n´ mero para la conexi´ n inversa. u o • El cliente contesta con un segmento de datos, con el bit de ACK encendido. • Los ISN deben garantizar que no haya solapamiento con n´ meros de secuencia de segmentos viejos. u Esquem´ ticamente: a C→S S→C C→S C, S, SYN, IC S, C, SYN, IS , ACK, IC C, S,ACK, IS , datos
March 3, 2000
Seguridad en Redes-2
Inundaci´ n de SYN o Manuel manda muchos segmentos SYN, pero desecha los SYN+ACK de respuesta o nunca los contesta. El servidor tiene que mantener m´ ltiples conexiones u “semi-abiertas”, al menos hasta que se produzca un timeout (usualmente en el orden de 15 minutos). Esto es un ejemplo de denial of service (DOS) (bloqueo de servicio). SiManuel s´ lo hace esto, ser´ f´ cil despu´ s identificarlo. Para o a a e esconderse, Manuel puede emplear spoofing de IP: altera el campo de Direcci´n Fuente en los datagramas IP que o envia. En caso del ataque mencionado, no necesita ver las respuestas.
March 3, 2000
Seguridad en Redes-3
“Disparando” a una Conexi´ n o Si Manuel puede leer los paquetes entre C y S, puede simplementeinsertar un paquete RST para tumbar un lado de la conexi´ n (falsificando la direcci´ n de origen por supuesto). o o Si despu´ s de hacerlo a S, C sigue enviando datos, S e responder´ a C con un RST propio. a “Secuestro” de una Conexi´ n o Si Manuel escucha el tr´ fico entre C y S, o sin escucharlo a puede adivinar los n´ meros de secuencia, puede insertar sus u propios paquetes. En una red local esto escasi trivial (s´ lo o espera una pausa en la conversaci´ n). En una red WAN, o generalmente no le van a llegar las respuestas de S, pero en muchos casos no hace falta leerlos. Por ejemplo, envia una l´nea de texto que dice: ı rm -rf * y no necesita ver el resultado . . .
March 3, 2000
Seguridad en Redes-4
Initial Sequence Number Prediction ¿C´ mo puede Manuel conocer los n´ meros desecuencia si no o u est´ escuchando el tr´ fico? a a M→S S→C M→S C, S, SYN, IM S, C, SYN, IS , ACK, IM C, S, ACK, IS , datos
El segundo mensaje no le llega a Manuel, pero si puede predecir sus contenidos, puede generar el tercer mensaje. Esto significa predecir IS . En muchas implementaciones, esto es f´ cil hacer por que cada a nuevo In es igual a In−1 + K, por un constante K (ej. 128.000). Manuelpuede realizar pruebas de antemano con conexiones verdaderas a S, para deducir el valor de K que utiliza S. El tercer paquete del protocolo contiene el primer segmento de datos. Como ya se coment´ anteriormente, en muchos casos o Manuel puede enviar datos sin necesidad de ver las respuestas.
March 3, 2000
Seguridad en Redes-5
Una soluci´ n efectiva a este problema es usar SYN cookies. o...
Leer documento completo
Regístrate para leer el documento completo.