Оборона Unix

www.hackerz.ru

Багато
організації в світі сьогоднішнього
бізнесу перебудовують свою
діяльність у відповідності з моделлю
клієнт / сервер, у тому числі управління
важливої наукової, фінансової та
юридичною інформацією. Unix тут –
одна з основних операційних систем. У
Минулого обчислювальні потужності і
дані розташовувалися на одній системі
і її закритість була гарантією
безпеки даних. Проте в моделі
клієнт / сервер і операційна система, і
додатки використовують при роботі мережу.
У цих системах безпеку мережних
додатків безпосередньо
пов'язана з безпекою мережі та систем в
цієї мережі.

Замкніть
двері на ключ

Вхід до
систему і пароль – це перша лінія
оборони в системі Unix. У файлі паролів
перераховані всі користувачі з правом
доступу в систему. У більшості систем
зашифрований пароль зберігається у файлі
паролів, доступному для читання.
Передбачається, що розшифрувати
пароль неможливо, але, тим не менш,
відкритість зашифрованого пароля
робить систему вразливою; користувач
може задати пароль, зашифрувати його і
порівняти зашифрований результат з
вмістом нового рядка файлу паролів.
Більшість останніх версій
операційних систем Unix припускають
можливість використання прихованих
файлів паролів. У них зашифрований
пароль поміщається з файлу паролів в
файл, що доступний для читання
тільки для суперкористувача. Така
міра дуже ефективна. Одноразовий
код доступу та механізм пароль / відгук
допомагають зробити пароль ще більше
невразливим, тому що паролі в цьому
випадку дійсні тільки на один
сеанс. Якщо зломщик яким-небудь чином
дізнався пароль, то ввійти в систему він
зможе тільки один раз. Прикладами
подібних механізмів служать Defender
компанії Digital Pathways (Маунтейн-В'ю, шт.
Каліфорнія), SecurID компанії
Security Dynamics (Кембридж,
шт. Міннесота) і S / Key компанії Bellcore (Піскатавей,
шт. Нью-Джерсі). У мережах з високою
ступенем секретності, наприклад
фінансових, вельми
ефективно
використання одного з механізмів
обмеження доступу. Пам'ятайте, що за
статистикою ФБР 85% зломів виробляється
співробітниками.

Залишайтеся
в команді

Команда finger в
чужих руках здатна значно
полегшити злом мережі. У користувача
є можливість виконати дану
команду без входу в систему і отримати
інформацію про всіх користувачів мережі.
Це небезпечно з багатьох причин.
Наприклад, отримавши за допомогою команди finger
імена користувачів, номери кімнат і
номери телефонів, що містяться у файлі
паролів (див. Рис. 1), зломщик може
використовувати їх для реєстрації під
ім'ям одного з користувачів, а також
для злому захисту системи в цілому.
Мережеві системи Unix піддаються
найбільшому ризику через використання
віддалених команд (r-команди), таких як
rsh, rcp і rlogin. Ці команди дають
користувачеві можливість з правом
доступу до декількох систем
встановити довірчі відносини
між цими системами. Причому
користувач отримує доступ до системи
без подальшої ідентифікації та
аутентифікації. Ці
"Довірчі"
відносини визначаються для
користувачів у файлах. rhosts в домашніх
каталогах і для систем в
конфігураційному файлі віддалених
команд / etc / host.equiv файл.
На жаль,
багато виробників воліють
випускати "дружні до мережі"
розробки з метою збільшення легкості
їх використання. Один зі способів – це
включити символ (+) у файл / etc / host.equiv, що
дозволить будь-якій людині, яка працює
в локальної або глобальної мережі,
отримати доступ до системи в якості
будь-якого користувача, навіть як
суперкористувача (адміністратора).
Взагалі, "довірчі" відносини
між мережами не рекомендуються. Однак
багато організацій використовують їх,
щоб спростити адміністрування
мережі. А при такому положенні справ важливо,
щоб тільки невелику підмножину
систем знаходилося в "довірчих"
відносинах один з одним. Наприклад,
вирішити подібний доступ тільки з
сервера до клієнта, але не з клієнта до
сервера і дозволити
читання файлу
rhosts тільки його власнику. Network File System
(NFS) і Network Information Service (NIS) дозволяють
спростити доступ до файлів і
адміністрування мережі. (NIS носила
раніше ім'я Yellow Pages, і багато команд
відображають цей факт у своїх назвах:
ypwhich, ypcat і т. п.) NFS реалізує механізм,
завдяки якому доступ до файлів
є прозорим для користувача
незалежно від їх місця розташування.
Файли можуть
розташовувати я
як на локальному диску, так і на
файловому сервері локальної або
глобальної мережі. Для правильної роботи
NFS користувальницька і системна
інформація повинні бути узгоджені
між використовуваними системами.
Узгодженість забезпечує NIS
вигляді централізованого
копіювання файлів конфігурації і
паролів на сервер NIS. Це дозволяє
адміністратору змінювати інформацію
безпосередньо на NFS-сервері, причому
зміни стають доступні
клієнтам NIS. NFS внутрішньо вразлива,
оскільки вона базується на висновках
віддалених процедур. Віддалені виклики
процедур містять ідентифікаційну
користувача інформацію (UID), але не
мають механізму визначення наявності
обмежень на використання ресурсів
і того, що користувач дійсно
є тим, за кого себе видає. Таким
чином, зацікавлена особа може
написати
маскується
під систему програму з тим, щоб
монтувати файлові системи або
створювати, читати, модифікувати або
видаляти файли безпосередньо. Для
призначення систем, що мають доступ до
файловим системам на мережі, можна
використовувати команди exportfs і файл
/ Etc / exports. Деякі виробники
випускають системи з експортом каталогу
/ AND / USR у зовнішній світ. А отже,
кожен користувач цієї мережі може з
будь-якої точки монтувати такі файлові
системи. Взагалі, ніякі файлові
системи не повинні експортуватися в
зовнішній світ і, скрізь, де тільки
можливо, вони повинні експортуватися
тільки для читання. Безумовно, робочий
каталог користувача необхідно
зробити доступним як для читання, так і
для запису. Команда exportfs без
параметрів видає список
експортованих файлов.Команда showmount-a
показує, які з експортованих
файлів змонтовані клієнтами.

Набір
інструментів для зломщика

Привілеї
суперкористувача для клієнта NIS
повинні жорстко контролюватися. Коли
користувач входить в систему, NIS
спочатку перевіряє локальний файл
паролів і потім файл паролів NIS.
Зломщикові нічого не варто використовувати
цю можливість, щоб видати себе за
легітимного користувача всередині NIS.
Локальний користувач з привілеями
root, зможе додати UID
іншого користувача, щоб отримати
його привілеї.

Приміром,
нижче наведено вміст NIS-пароля:
    vip:
encrypted passwd: 23456:
   
2002:Very Important Person:
   
/u/vip:/bin/ksh
Локальний
root може додати ту ж
або аналогічну інформацію в локальний
файл паролів:
    vip:new
encrypted passwd:
   
23456:2002: Very Important
   
Person:/u/vip:/bin/ksh
або
   
cdc:encrypted passwd:23456:2002
   
:fictitious information:/u/vip
   
:/bin/ksh
Зауважимо, що
ідентифікатор користувача / ідентифікатор
групи (23 456) та групової ID (2002) у цих
рядках один і той же; саме він, а не
вхідний ідентифікатор (VIP або CDC),
контролює доступ до файлів.
Локальний root може
потім увійти як VIP або CDC і отримати
доступ до всіх файлів на / U / VIP / або може
просто зареєструватися як
користувач
через команду SU CDC. У суперкористувача
з'являється можливість створювати,
читати, модифікувати або видаляти
файли. Цей тип порушення доступу
особливо важко встановити, оскільки
локальний суперкористувач
контролює файли реєстрації
використання ресурсів і доступу до
захищених даних в системі. Замести
всі сліди доступу – щодо
просте завдання. Клієнти і сервери NFS
не здійснюють перевірку
автентичності один одного.
Отже, клієнт може стати
сервером за допомогою команди ypserve або
створити клієнта за допомогою команди ypbind.
Клієнти NIS зв'язуються при
включенні з
перший відповіли сервером. Помилковий
сервер зазвичай і відповідає першим. Сервер
NFS дозволяє будь-якій системі стати
клієнтом. Ці питання безпеки
дозволені в новій версії NIS, названої
NIS +. Однак функції безпеки NFS +
частково не блокуються при
взаємодії з NIS. Тривіальний
протокол передачі файлів (tftp) і
протокол передачі файлів (ftp)
застосовуються для переміщення файлів з
однієї системи в іншу, а ftp – це
фундаментальний
ресурс Internet (див. "Об'їзд
супермагістралі "про додаткову
інформації з
захисту вашої мережі від доступу з Internet).
Tftp особливо уразливий, оскільки
дозволяє передачу файлів без контролю
прав доступу. Він найбільш часто
використовується з Bootstrap Protocol (BOOTP) для
розповсюдження конфігураційних
файлів на бездискові робочі станції,
X-термінали і елементи мережі, наприклад на
маршрутизатори. Tftp слід
дезактивувати, навіть коли в цьому немає
явної необхідності. Щоб обмежити
область уразливості, встановіть tftp в
каталог chroot. Chroot дозволяє доступ
тільки до файлів в цьому
каталозі та
підкаталогам. Також обмежте
використання tftp локальною мережею.
Щоб протестувати надійність
захисту конфігурації tftp, виконайте
наступні команди:
    # tftp
<systemname>
    tftp>
get /etc/passwd test
    tftp>
quite
Перевірте,
чи містить файл test реальний файл
паролів для системного імені. Якщо це
так, то tftp не захищений. Група Computer
Emergency Response Team (CERT) виявила кілька
вразливих місць tftp. CERT була організована
агентством DARPA для моніторингу
комп'ютерної
безпеки і спроб подолання
захисту. З ним можна зв'язатися за адресою:
cer@sei.cmu.edu. Конфігурація ftp часто
здійснюється некоректно. Ніхто не
повинен входити в систему як
суперкористувач ftp. Якщо
підтримується анонімний ftp, то все
файли в каталозі ftp, включаючи сам каталог,
повинні знаходитися в розпорядженні
суперкористувача (root). Якщо
сконфигурирован анонімний ftp, то не
створюйте каталог, відкритий для
читання і запису. Ці відкриті на запис
каталоги часто використовуються для
нелегального розповсюдження
програмного забезпечення, а також для
розповсюдження вірусів. Simple Mail
Transfer Protocol (SMTP) став притчею во язицех з
точки зору уразливості. SMTP часто
виконується як root (суперкористувач)
або bin (інший привілейований
користувач), і в багатьох організаціях
SMTP – єдина служба, до якої є
доступ з Internet. Це робить sendmail вельми
привабливою для виявлення
вразливих місць системи. Так,
несанкціонований доступ до системи
можна отримати за допомогою команд wiz, debug
і kill. Щоб виявити "чорний хід",
введіть команди:
    # telnet
– name> 25
    wiz
    debug
    kill
    exit
Якщо "чорного
ходу "не існує, відповідь на кожне
введення буде:
    500
Command unrecognized.
Ще одна
проблема – можливість замаскуватися
з допомогою агента передачі даних Unix
sendmail під будь-якого користувача мережі. Mail
виглядає як законний користувач.
Електронна пошта по протоколу SMTP
надсилається відкритим текстом і може
бути перехоплена або зчитана з мережі.
Тому не включайте ніяку
інформацію, яку не можна було б
написати на звичайній поштовій картці.
Широке поширення одержали ми тепер
деякі системи електронної пошти,
забезпечують секретність даних. Pretty
Good Privacy (PGP) і Privacy Enchanced Mail (PEM) – приклади
безпечних версій електронної пошти (див.
"Запечатати
електронну
пошту "). Ці системи забезпечують
секретність вмісту повідомлення на
всьому шляху від відправника до адресата.
Стандартом Windows для Unix є X Window.
Зазвичай його називають просто X.
Секретність інформації в X
забезпечується кінцевим користувачем.
Терміни "клієнт" і "сервер" у X
часто взаємозамінні, а монітор,
відображає X,
названий
дисплейної станцією. Користувач
може не забезпечити достатній захист
дисплейної станції. Доступом системи до
дисплейної станції управляє команда
xhost, в той час як доступом
користувача до дисплейної станції
управляє xauthorities. Доступ дозволяє
здійснювати відображення вікон або
додатків і моніторинг дисплейної
станції. Наявний інструментарій
дозволяє відслідковувати введення в різні
вікна та здійснювати віддалений введення
даних у відкриті вікна. Коли
активована xauthorities, то необхідний ключ
Data Encryption Standard (DES) для того, щоб
користувач міг виводити зображення
на дисплейних станцію. Кожного разу при
відкритті сеансу генерується новий
ключ. Ключі зберігаються в кореневому
каталозі користувача у файлі. XAUTHORITY.
Щоб інший користувач зміг
отримати доступ до дисплейної станції,
ключ повинен бути витягнутий з файлу.
XAUTHORITY та додано до файлу. XAUTHORITY іншого
користувача. Те ж саме повинно бути
пророблено для того ж користувача в
іншій системі. Наприклад, якщо
користувач VIP користується дисплейної
станцією MAPLE і хоче відобразити
програми із системи OAK в MAPLE, ключ
повинен бути введений у файл. XAUTHORITY в OAK.
Використання та xhost, і xauthority необхідно
для забезпечення секретності в X.
Користувач повинен бути досить
грамотний для
забезпечення збереження інформації в X.

Збереження
світу

Мережу під Unix
може бути засекречена. Перший крок
полягає у забезпеченні жорсткого
контролю за все доступу в мережу і системи.
Потім слід забезпечити всі вузли мережі
за допомогою надійного
конфігурування протоколів і
додатків і використовувати шифрування
всіх даних, що проходять через
незахищені мережі, якою є
найбільша у світі відкрита мережа
Internet. LAN Сінді Куллен – старший
системний інженер компанії Bell Communications
Research (Піскатавей,
шт. Нью-Джерсі). З нею можна зв'язатися
через Internet за адресою: cdc@bellcore.com

    $
finger username@systemname
    Login
name: username (messages off)
   
Directory:/u/username
    On since
Jun 23 10:11:57 on ttyq1
    No Plan.
                                                     
In real life: Actual Name
                                                     
Shell:/bin/ksh
                                                     
13 seconds Idle Time
    $ finger
@ systemname
    Login
   console
   cdc
   vip
        
Name
        
root-C. Cullen – group XXXXX
        
C. Cullen, 555-1212
        
very important person, guest of Cindy Cullen
                                                     
TTY
                                                     
console
                                                     
p0
                                                     
p5
                                                             
Idle
                                                             
12
                                                             
9
                                                                   
When
                                                                   
Thu 03:36
                                                                   
Sat 05:34
                                                                   
Sun 12:25

У цьому
прикладі представлена частина висновку за
виконанні команди finger (зверніть
увагу на інформацію в поле імені). У
листопаді 1988 року Роберт Т. Морріс-молодший,
в той час студент, що вивчає
комп'ютерні технології в Корнельському
університеті, створив Morris Worm,
самокопіюються і
самораспространяющемуся програму,
яка буквально вразила Internet. У
програмі використовувалася саме
команда finger.

Неминучі
попутники

Об'їзд
супермагістралі

Firewall – це
механізм, що використовується для захисту
мережі по всьому периметру. Його найбільш
популярне застосування – захист
корпоративних мереж від
несанкціонованого доступу з Internet.
Існують два основні підходи,
використовуваних в firewalls. Набір фільтрів
firewall, як випливає з його назви,
фільтрує або відсіває непотрібні
пакети, керуючись безліччю
правил, названим списком контролю
доступу (access control list). Firewall для
сервера додатків або посередника – це
програма. Такий firewall фільтрує або
визначає напрямок з'єднання для
протоколів telnet, SMTP, ftp і World Wide Web.
Користувач повинен мати
відповідне програмне
забезпечення клієнта і бути авторизований
в firewall. Це дозволяє контролювати
доступ на рівні користувача і
реєструвати трафік їх мережі в мережу.
Сервери додатків і посередники
забезпечують жорсткий контроль
вхідних і
вихідних
даних. Наприклад, функції ftp можуть
обмежуватися тільки "puts" або
"Gets" і кожна транзакція може
бути зареєстрована.

Запечатайте
електронну пошту

Pretty Good Privacy
(PGP) може використовуватися для
шифрування файлів, електронної пошти,
а також для підписання документів з
завіреної електронним підписом. PGP
використовує техніку шифрування
відкритим ключем і секретним ключем. При
посилці зашифрованою електронної
пошти, повідомлення необхідно
зашифрувати відкритим ключем
одержувача, секретний ключ повинен
бути посланий одержувачам під захистом їх
відкритих ключів. Таким чином, тільки
легітимний одержувач здатний
розшифрувати повідомлення за допомогою
свого особистого ключа. Особистий ключ
кожного користувача може бути
використаний для підпису документа.
Відповідний відкритий ключ
використовується для визначення
автентичності
документа. PGP поширюється
безкоштовно для некомерційного
використання, хоча існують і
комерційні версії. Він доступний для
більшості систем під Unix,
DOS, Windows, OS / 2 і
Macintosh. Експортні обмеження
поширюються на PGP. Однак
сумісний з PGP програмне
забезпечення доступне і за межами
Сполучених Штатів.
Privacy Enhanced Mail (PEM)
– Це стандарт шифрування електронної
пошти, розроблений групою
інженерної підтримки Internet (IETF). PEM можна
використовувати для підписування і
шифрування повідомлень електронної пошти.
Підтримка PEM доступна для додатків на
ПК в системах Unix і Macintosh. PEM теж
використовує шифрування з відкритими
ключами.

Схожі статті:


Сподобалася стаття? Ви можете залишити відгук або підписатися на RSS , щоб автоматично отримувати інформацію про нові статтях.

Коментарів поки що немає.

Ваш отзыв

Поділ на параграфи відбувається автоматично, адреса електронної пошти ніколи не буде опублікований, допустимий HTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

*