Оборона Unix, Unix, Операційні системи, статті

www.hackerz.ru

Багато організації в світі сьогоднішнього бізнесу перебудовують свою діяльність відповідно до моделі клієнт / сервер, у тому числі управління важливої ​​наукової, фінансової та юридичною інформацією. Unix тут – одна з основних операційних систем. В Минулого обчислювальні потужності і дані розташовувалися на одній системі та її закритість була гарантією безпеки даних. Проте в моделі клієнт / сервер і операційна система, і додатки використовують при роботі мережу. У цих системах безпеку мережевих додатків безпосередньо пов’язана з безпекою мережі і систем в цієї мережі.

Замкніть двері на ключ

Вхід в систему і пароль – це перша лінія оборони в системі Unix. У файлі паролів перераховані всі користувачі з правом доступу в систему. У більшості систем зашифрований пароль зберігається у файлі паролів, доступному для читання. Передбачається, що розшифрувати пароль неможливо, але, тим не менш, відкритість зашифрованого пароля робить систему вразливою; користувач може задати пароль, зашифрувати його і порівняти зашифрований результат з вмістом нового рядка файлу паролів. Більшість останніх версій операційних систем Unix припускають можливість використання прихованих файлів паролів. У них зашифрований пароль поміщається з файлу паролів в файл, який доступний для читання тільки для суперкористувачем. Така міра дуже ефективна. Одноразовий код доступу та механізм пароль / відгук допомагають зробити пароль ще більш невразливим, так як паролі в цьому випадку дійсні тільки на один сеанс. Якщо зломщик-яким чином дізнався пароль, то увійти в систему он зможе тільки один раз. Прикладами подібних механізмів служать Defender компанії Digital Pathways (Маунтейн-В’ю, шт. Каліфорнія), SecurID компанії
Security Dynamics (Кембридж, шт. Міннесота) і S / Key компанії Bellcore (Піскатавей, шт. Нью-Джерсі). У мережах з високою ступенем секретності, наприклад фінансових, вельми
ефективно використання одного з механізмів обмеження доступу. Пам’ятайте, що за статистикою ФБР 85% зломів виробляється співробітниками.

Залишайтеся в команді

Команда finger в чужих руках здатна значно полегшити злом мережі. У користувача є можливість виконати дану команду без входу в систему і отримати інформацію про всіх користувачів мережі. Це небезпечно з багатьох причин. Наприклад, отримавши за допомогою команди finger імена користувачів, номери кімнат і номери телефонів, що містяться у файлі паролів (див. Рис. 1), зломщик може використовувати їх для реєстрації під ім’ям одного з користувачів, а також для злому захисту системи в цілому. Мережеві системи Unix піддаються найбільшому ризику через використання віддалених команд (r-команди), таких як rsh, rcp і rlogin. Ці команди дають користувачеві можливість з правом доступу до кількох системам встановити довірчі відносини між цими системами. Причому користувач отримує доступ до системи без подальшої ідентифікації та аутентифікації. Ці
“Довірчі” відносини визначаються для користувачів в файлах. rhosts в домашніх каталогах і для систем в конфігураційному файлі віддалених команд / etc / host.equiv файл.
На жаль, багато виробників воліють випускати “дружні для мережі” розробки з метою збільшення легкості їх використання. Один із способів – це включити символ (+) в файл / etc / host.equiv, що дозволить будь-якій людині, яка працює в локальної або глобальної мережі, отримати доступ до системи в якості будь-якого користувача, навіть як суперкористувача (адміністратора). Взагалі, “довірчі” відносини між мережами не рекомендуються. Однак багато організацій використовують їх, щоб спростити адміністрування мережі. А при такому положенні справ важливо, щоб тільки невелика підмножина систем перебувало в “довірчих” відносинах один з одним. Наприклад, дозволити подібний доступ тільки з сервера до клієнта, але не з клієнта до серверу і дозволити
читання файлу rhosts тільки його власнику. Network File System (NFS) і Network Information Service (NIS) дозволяють спростити доступ до файлів і адміністрування мережі. (NIS носила раніше ім’я Yellow Pages, і багато команд відображають цей факт у своїх назвах: ypwhich, ypcat і т. п.) NFS реалізує механізм, завдяки якому доступ до файлів є прозорим для користувача незалежно від їх місця розташування. Файли можуть
розташовувати я як на локальному диску, так і на файловому сервері локальної або глобальної мережі. Для правильної роботи NFS користувача і системна інформація повинні бути узгоджені між використовуваними системами. Узгодженість забезпечує NIS за допомогою централізованого копіювання файлів конфігурації і паролів на сервер NIS. Це дозволяє адміністратору змінювати інформацію безпосередньо на NFS-сервері, причому зміни стають доступні клієнтам NIS. NFS внутрішньо вразлива, оскільки вона базується на висновках віддалених процедур. Дистанційні виклики процедур містять ідентифікаційну користувача інформацію (UID), але не мають механізму визначення наявності обмежень на використання ресурсів і того, що користувач дійсно є тим, за кого себе видає. Таким чином, зацікавлена ​​особа може написати
маскується під систему програму з тим, щоб монтувати файлові системи або створювати, читати, модифікувати або видаляти файли безпосередньо. Для призначення систем, що мають доступ до файловим системам на мережі, можна використовувати команди exportfs і файл / Etc / exports. Деякі виробники випускають системи з експортом каталогу / AND / USR у зовнішній світ. А стало бути, кожен користувач цієї мережі може з будь-якої точки монтувати такі файлові системи. Взагалі, ніякі файлові системи не повинні експортуватися до зовнішній світ і, скрізь, де тільки можливо, вони повинні експортуватися тільки для читання. Безумовно, робочий каталог користувача необхідно зробити доступним як для читання, так і для запису. Команда exportfs без параметрів видає список експортованих файлов.Команда showmount-a показує, які з експортованих файлів змонтовані клієнтами.

Набір інструментів для зломщика

Привілеї суперкористувача для клієнта NIS повинні жорстко контролюватися. Коли користувач входить в систему, NIS спочатку перевіряє локальний файл паролів і потім файл паролів NIS. Зломщикові нічого не варто використовувати цю можливість, щоб видати себе за легітимного користувача всередині NIS. Локальний користувач з привілеями суперкористувача може додати UID іншого користувача, щоб отримати його привілеї.

Приміром, нижче наведено вміст NIS-пароля:
    vip:
encrypted passwd: 23456:
   
2002:Very Important Person:
   
/u/vip:/bin/ksh
Локальний суперкористувач може додати ту ж або аналогічну інформацію в локальний файл паролів:
    vip:new
encrypted passwd:
   
23456:2002: Very Important
   
Person:/u/vip:/bin/ksh
або
   
cdc:encrypted passwd:23456:2002
   
:fictitious information:/u/vip
   
:/bin/ksh
Зауважимо, що ідентифікатор користувача / ідентифікатор групи (23 456) і груповий ID (2002) в цих рядках один і той же; саме він, а не вхідний ідентифікатор (VIP або CDC), контролює доступ до файлів. Локальний суперкористувач може потім увійти як VIP або CDC і отримати доступ до всіх файлів на / U / VIP / або може просто зареєструватися як
користувач через команду SU CDC. У суперкористувача з’являється можливість створювати, читати, модифікувати або видаляти файли. Цей тип порушення доступу особливо важко встановити, оскільки локальний суперкористувач контролює файли реєстрації використання ресурсів і доступу до захищеним даними в системі. Замести всі сліди доступу – щодо просте завдання. Клієнти і сервери NFS не здійснюють перевірку автентичності один одного. Отже, клієнт може стати сервером за допомогою команди ypserve або створити клієнта за допомогою команди ypbind. Клієнти NIS зв’язуються при
включення з першою відповіддю сервером. Помилковий сервер зазвичай і відповідає першим. Сервер NFS дозволяє будь-якій системі стати клієнтом. Ці питання безпеки дозволені в новій версії NIS, названої NIS +. Однак функції безпеки NFS + частково не блокуються при взаємодії з NIS. Тривіальний протокол передачі файлів (tftp) і протокол передачі файлів (ftp) застосовуються для переміщення файлів з однієї системи в іншу, а ftp – це
фундаментальний ресурс Internet (див. “Об’їзд супермагістралі “про додаткову
інформації по захист вашої мережі від доступу з Internet). Tftp особливо уразливий, оскільки дозволяє передачу файлів без контролю прав доступу. Він найбільш часто використовується з Bootstrap Protocol (BOOTP) для поширення конфігураційних файлів на бездискові робочі станції, X-термінали і елементи мережі, наприклад на маршрутизатори. Tftp слід дезактивувати, навіть коли в цьому немає явної необхідності. Щоб обмежити область уразливості, встановіть tftp в каталог chroot. Chroot дозволяє доступ тільки до файлів в цьому
каталозі та підкаталогу. Також обмежте використання tftp локальною мережею. Щоб протестувати надійність захисту конфігурації tftp, виконайте наступні команди:
    # tftp
<systemname>
    tftp>
get /etc/passwd test
    tftp>
quite
Перевірте, чи містить файл test реальний файл паролів для системного імені. Якщо це так, то tftp не захищений. Група Computer Emergency Response Team (CERT) виявила кілька вразливих місць tftp. CERT була організована агентством DARPA для моніторингу
комп’ютерної безпеки і спроб подолання захисту. З ним можна зв’язатися за адресою: cer@sei.cmu.edu. Конфігурація ftp часто здійснюється некоректно. Ніхто не повинен входити в систему як суперкористувач ftp. Якщо підтримується анонімний ftp, то все файли в каталозі ftp, включаючи сам каталог, повинні знаходитися в розпорядженні суперкористувача (root). Якщо сконфигурирован анонімний ftp, то не створюйте каталог, відкритий для читання і запису. Ці відкриті на запис каталоги часто використовуються для нелегального розповсюдження програмного забезпечення, а також для розповсюдження вірусів. Simple Mail Transfer Protocol (SMTP) став притчею во язицех з точки зору вразливості. SMTP часто виконується як root (суперкористувач) або bin (інший привілейований користувач), і в багатьох організаціях SMTP – єдина служба, до якої є доступ з Internet. Це робить sendmail вельми привабливою для виявлення вразливих місць системи. Так, несанкціонований доступ до системи можна отримати за допомогою команд wiz, debug і kill. Щоб виявити “чорний хід”, введіть команди:
    # telnet
– name> 25
    wiz
    debug
    kill
    exit
Якщо “чорного ходу “не існує, відповідь на кожен введення буде:
    500
Command unrecognized.
Ще одна проблема – можливість замаскуватися за допомогою агента передачі даних Unix sendmail під будь-якого користувача мережі. Mail виглядає як законний користувач. Електронна пошта по протоколу SMTP надсилається відкритим текстом і може бути перехоплена або зчитана з мережі. Тому не включайте ніяку інформацію, яку неможливо було б написати на звичайній поштовій картці. Широке поширення набули нині деякі системи електронної пошти, забезпечують таємність даних. Pretty Good Privacy (PGP) і Privacy Enchanced Mail (PEM) – приклади безпечних версій електронної пошти (див. “Запечатайте
електронну пошту “). Ці системи забезпечують секретність вмісту повідомлення на всьому шляху від відправника до адресата. Стандартом Windows для Unix є X Window. Зазвичай його називають просто X. Секретність інформації в X забезпечується кінцевим користувачем. Терміни “клієнт” і “сервер” в X часто взаємозамінні, а монітор, відображає X,
названий дисплейної станцією. Користувач може не забезпечити достатній захист дисплейної станції. Доступом системи до дисплейної станції управляє команда xhost, в той час як доступом користувача до дисплейної станції управляє xauthorities. Доступ дозволяє здійснювати відображення вікон або додатків і моніторинг дисплейної станції. Наявний інструментарій дозволяє відслідковувати введення в різні вікна та здійснювати віддалений введення даних у відкриті вікна. Коли активована xauthorities, то необхідний ключ Data Encryption Standard (DES) для того, щоб користувач міг виводити зображення на дисплейну станцію. Кожен раз при відкритті сеансу генерується новий ключ. Ключі зберігаються в кореневому каталозі користувача у файлі. XAUTHORITY. Щоб інший користувач зміг отримати доступ до дисплейної станції, ключ повинен бути витягнутий з файлу. XAUTHORITY і доданий до файлу. XAUTHORITY іншого користувача. Те ж саме повинно бути зроблено для того ж користувача в іншій системі. Наприклад, якщо користувач VIP користується дисплейної станцією MAPLE і хоче відобразити програми із системи OAK в MAPLE, ключ повинен бути введений в файл. XAUTHORITY в OAK. Використання та xhost, і xauthority необхідно для забезпечення секретності в X. Користувач повинен бути досить
грамотний для забезпечення збереження інформації в X.

Збереження світу

Мережа під Unix може бути засекречена. Перший крок полягає в забезпеченні жорсткого контролю за все доступу в мережу і системи. Потім слід забезпечити всі вузли мережі за допомогою надійного конфігурування протоколів і додатків і використовувати шифрування всіх даних, що проходять через незахищені мережі, якою є найбільша в світі відкрита мережа Internet. LAN Сінді Куллен – старший системний інженер компанії Bell Communications
Research (Піскатавей, шт. Нью-Джерсі). З нею можна зв’язатися через Internet за адресою: cdc@bellcore.com

    $
finger username@systemname
    Login
name: username (messages off)
   
Directory:/u/username
    On since
Jun 23 10:11:57 on ttyq1
    No Plan.
                                                     
In real life: Actual Name
                                                     
Shell:/bin/ksh
                                                     
13 seconds Idle Time
    $ finger
@ systemname
    Login
   console
   cdc
   vip
        
Name
        
root-C. Cullen – group XXXXX
        
C. Cullen, 555-1212
        
very important person, guest of Cindy Cullen
                                                     
TTY
                                                     
console
                                                     
p0
                                                     
p5
                                                             
Idle
                                                             
12
                                                             
9
                                                                   
When
                                                                   
Thu 03:36
                                                                   
Sat 05:34
                                                                   
Sun 12:25

В цьому прикладі представлена ​​частина висновку за виконанні команди finger (зверніть увагу на інформацію в поле імені). В листопаді 1988 року Роберт Т. Морріс-молодший, в той час студент, що вивчає комп’ютерні технології в Корнельському університеті, створив Morris Worm, самокопіюються і самораспространяющемуся програму, яка буквально вразила Internet. В програмі використовувалася саме команда finger.

Неминучі попутники

Об’їзд супермагістралі

Firewall – це механізм, що використовується для захисту мережі по всьому периметру. Його найбільш популярне застосування – захист корпоративних мереж від несанкціонованого доступу з Internet. Існують два основні підходи, використовуваних в firewalls. Набір фільтрів firewall, як випливає з його назви, фільтрує або відсіює непотрібні пакети, керуючись безліччю правил, названим списком контролю доступу (access control list). Firewall для сервера додатків або посередника – це програма. Такий firewall фільтрує або визначає напрямок з’єднання для протоколів telnet, SMTP, ftp і World Wide Web. Користувач повинен мати відповідне програмне забезпечення клієнта і бути авторизований в firewall. Це дозволяє контролювати доступ на рівні користувача та реєструвати трафік їх мережі в мережу. Сервери додатків і посередники забезпечують жорсткий контроль вхідних і
вихідних даних. Наприклад, функції ftp можуть обмежуватися тільки “puts” або “Gets” і кожна транзакція може бути зареєстрована.

Запечатайте електронну пошту

Pretty Good Privacy (PGP) може використовуватися для шифрування файлів і електронної пошти, а також для підписання документів з завіреної електронним підписом. PGP використовує техніку шифрування відкритим ключем і секретним ключем. При посилці зашифрованою електронною пошти, повідомлення необхідно зашифрувати відкритим ключем одержувача, секретний же ключ повинен бути посланий одержувачам під захистом їх відкритих ключів. Таким чином, тільки легітимний одержувач здатний розшифрувати повідомлення за допомогою свого особистого ключа. Особистий ключ кожного користувача може бути використаний для підпису документа. Відповідний відкритий ключ використовується для визначення
автентичності документа. PGP поширюється безкоштовно для некомерційного використання, хоча існують і комерційні версії. Він доступний для більшості систем під Unix,
DOS, Windows, OS / 2 і Macintosh. Експортні обмеження поширюються на PGP. Однак сумісне з PGP програмне забезпечення доступно і за межами Сполучених Штатів.
Privacy Enhanced Mail (PEM) – Це стандарт шифрування електронної пошти, розроблений групою інженерної підтримки Internet (IETF). PEM можна використовувати для підписування і шифровки повідомлень електронної пошти. Підтримка PEM доступна для додатків на ПК в системах Unix і Macintosh. PEM теж використовує шифрування з відкритими ключами.

Схожі статті:


Сподобалася стаття? Ви можете залишити відгук або підписатися на RSS , щоб автоматично отримувати інформацію про нові статтях.

Коментарів поки що немає.

Ваш отзыв

Поділ на параграфи відбувається автоматично, адреса електронної пошти ніколи не буде опублікований, допустимий HTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

*