UDP Amplification – გაძლიერების ფაქტორი სხვადასხვა პროტოკოლისთვის

Amplification (“გაძლიერება”) შეტევა დღესდღეობით DDoS-ის ერთ-ერთი ყველაზე გავრცელებული ტიპია და უმსხვილესი DDoS შემთხვევები სწორედ ასეთი იყო. ამ შეტევაში თავდასხმელისა და მსხვერპლის გარდა, ჩართულია მესამე მხარეც. ის არის ინტერნეტით ხელმისაწვდომი რაიმე სერვისი, რომელსაც ბოროტად იყენებს თავდამსხმელი. ბოროტად გამოყენებას კი, უმეტეს შემთხვევაში, ხელს უწყობს სერვისის არასწორი კონფიგურაცია.

Drawing1დიაგრამაზე წარმოდგენილია “გაძლიერების” ეფექტის მუშაობის გამარტივებული სქემა. ზოგიერთი UDP-based პროტოკოლის (მაგალითად, DNS) შემთხვევაში, შესაძლებელია რომ სერვერს გავუგზავნოთ რაიმე რექვესტი, პირობითად 1 კილობაიტის ზომის, პასუხად კი 5 კილობაიტინი response მივიღოთ. თავდასხმელი პაკეტში ცვლის source IP-ს და წერს მსხვერპლის IP მისამართს (რომ პასუხი მსხვერპლთან გაიგზავნოს).

გერმანელმა მკვლევარმა კრისტიან როსოუმ გამოთვალა სხვადასხვა UDP-ზე დაფუძნებული პროტოკოლების გაძლიერების ფაქტორი (ანუ მოცემულ რექვესტზე რამდენჯერ დიდი პასუხი შეიძლება მოგვივიდეს). მთლიანი კვლევის წაკითხვა შეგიძლიათ აქ, ქვემოთ მოცემული ცხრილი კი გვიჩვენებს სხვადასხვა პროტოკოლების გაძლიერების ფაქტორებს. თუ თქვენი ორგანიზაცია რომელიმე მათგანს იყენებს, გადაამოწმეთ არის თუ არა სერვისი ინტერნეტიდან ხელმისაწვდომი, რეალურად არის თუ არა საჭირო რომ ინტერნეტიდან იყოს ხელმისაწვდომი და თუ აუცილებელია, მაშინ დაგუგლეთ უსაფრთხო კონფიგურაციის გაიდლაინები, თორემ შეიძლება რიამე DDoS-ის თანამონაწილე აღმოჩნდეთ და სხვადასხვა ბლექლისტებშიც ამოყოთ თავი 🙂

პროტოკოლი გაძლიერების ფაქტორი სისუსტის მქონე ბრძანება/რექვესტი
DNS 28-დან 54-მდე US-CERT: TA13-088A
NTP 556.9 US-CERT: TA14-013A
SNMPv2 6.3 GetBulk
NetBIOS 3.8 Name resolution
SSDP 30.8 SEARCH
CharGEN 358.8 Character generation
QOTD 140.3 Quote
BitTorrent 3.8 ფაილის ძებნა
Kad 16.3 Peer list exchange
Quake Network Protocol 63.9 Server info exchange
Steam Protocol 5.5 Server info exchange
Multicast DNS (mDNS) 2-დან 10-მდე Unicast query
RIPv1 131.24 სპეციალურად დაგენერირებული რექვესტი
Portmap (RPCbind) 7-დან 28-მდე სპეციალურად დაგენერირებული რექვესტი

1.usa.gov – როგორ იყენებენ ჰაკერები ამერიკული სამთავრობო საიტების სისუსტეს

Open Redirect არის ვებ აპლიკაციის სისუსტე, რომელიც ჰაკერს საშუალებას აძლევს მსხვერპლს მიაწოდოს სანდო ვებსაიტის ბმული, რეალურად კი გადაამისამართოს სახიფათო საიტზე. მთავარი საფრთხე, რომელიც მომდინარეობს ამ სისუსტისგან არის ფიშინგი. სისუსტის მოგვარების გზაა, რომ გადამისამართების ფუნქცია საერთოდ მოვხსნათ ვებსაიტიდან. მაგრამ თუ გვჭირდება – მაშინ გადამისამართება მომხმარებლის input-ზე საერთოდ არ უნდა იყოს დამოკიდებული.

სისუსტის უკეთ გასაგებად, წარმოვიდგინოთ, რომ არსებობს ვებსაიტი example.com. თუ ამ საიტს გააჩნია მოცემული სისუსტე, მაშინ ქვემოთ მოცემულ ბმულზე შესვლისას example.com-ის ნაცვლად, mikheiloninfosec.com-ზე შემოხვალთ.

http://www.example.com?redirect=mikheiloninfosec.com

Note: ამ ბმულში redirect არის მოცემული ვებ საიტის პარამეტრი, რომელსაც სხვ ასახელი შეიძლება ერქვას

რამდენიმე დღის წინ ბრაიან კრებსმა დაწერა, რომ ამ სისუსტისა და bit.ly სერვისის გამოყენებით, ჰაკერები ახერხებენ ისეთი ბმულების შექმნას, რომელიც სანდოდ გამოიყურება – რეალურად კი იუზერი გადაჰყავს საიტზე, რომელიც ან ფიშინგია ან მალვეარს ავრცელებს. ამაში ჰაკერებს ეხმარება ზოგიერთ ამერიკულ სამთავრობო საიტზე არსებული open redirect სისუსტე.

საქმე ის არის, რომ ბმულების დამოკლების სერვისი bit.ly ბმულებს, რომელიც მთავრდება .gov-ით ან .mil-ით გარდაქმნის ბმულად, რომელიც იწყება 1.usa.gov-ით.

მაგალითად ავიღე თეთრი სახლის საიტზე გამოქვეყნებული რიგითი სტატიის ბმული:

თავდაპირველი ბმული: https://www.whitehouse.gov/blog/2016/03/30/asked-and-answered-11-year-old-daughter-incarcerated-individual-shares-her-story

დამოკლებული ბმული: http://1.usa.gov/1VUpDQf

აღმოჩნდა, რომ 2012 წლის მონაცემებით 1.usa.gov ბმულების 15% მომხმარებლების სახიფათო საიტებზე ამისამართებდა. აღმოჩნდა, რომ თავად bit.ly და ამერიკის მთავრობის შესაბამისი სამსახურები ცდილობენ ასეთი ბმულების აღმოჩენასა და გადადგურებას, მაგრამ პრობლემის რეალური მოგვარება სისუსტის მქონე ვებ აპლიკაციების გამოსწორებაა.

სანამ Open Redirect სისუსტეებისგან თავისუფალი ინტერნეტი გვექნება, იქამდე შეგიძლიათ გამოიყენოთ Unshorten.it სერვისი, რომელიც Chrome ბრაუზერშიც შეგიძლიათ ჩაამატოთ extension-ად. დასატესტად გთავაზობთ ზემოთ მოცემული 1.usa.gov ბმული გადაამოწმოთ მართლაც თეთრი სახლის საიტზე გამისამართებდათ თუ არა.

 

MiG-in-the-Middle-Attack

Man-in-the-Middle-Attack (კიბერ) შეტევის მეთოდია, როდესაც თავდამსხმელი ორი სუბიექტის კომუნიკაციის შორისაა მოქცეული და მათ მიერ გაცვლილი ინფორმაციით მანიპულაცია (და თავის სასარგებლოდ გამოყენება) შეუძლია.

როს ანდერსონს თავის წიგნში Security Engineering (მეორე გამოცემა) აღწერილი აქვს შეტევა, როდესაც ორ სუბიექტს შორის არა პიროვნება, არამედ სამხედრო თვითმფრინავი MiG იმყოფებოდა, რომელმაც მოახერხა და მოწინააღმდეგის საჰაერო თავდაცვა გაარღვია.

სამხედრო საჰაერო ძალების განვითარებასთან ერთად, გაჩნდა საჭიროება, რომ მხარეებს ერთმანეთისგან განერჩიათ საკუთარი და მოწინააღმდეგის თვითმფრინავები. თუ რადარზე მოჩანს ობიექტი, როგორ უნდა ვიყოთ დარწმუნებული, რომ ის ჩვენი თვითმფრინავია? ამისთვის შეიქმნა სისტემა identify-friend-of-foe (IFF), რომელიც ჯერ კიდევ მეორე მსოფლიო ომის დროს დაინერგა. მისი მოქმედების პრინციპი მარტივია: რადარი აგზავნის ობიექტთან სიგნალს, შემდეგ კი მისგან ელის პასუხს დაშიფრულ პასუხს.

ანდერსონს თავის წიგნში აღწერილი აქვს MiG-in-the-Middle-Attack, რომელიც ანგოლაში მოხდა. ცივი ომის დროს, 1980-იან წლებში ანგოლაში სამოქალაქო ომი მიმდინარეობდა. ერთმანეთს ებრძოდნენ საბჭოთა კავშირისა და ამერიკის მიერ მხარდაჭერილი ფრაქციები. საბჭოთა კავშირმა კუბა დაითანხმა ანგოლაში საკუთარი 36,000 სამხედრო გაეგზავნა. ამერიკის მიერ მხარდაჭერილს მოძრაობა UNITA-ს თავის მხრივ სამხრეთ აფრიკის აპარტეიდული რეჟიმიც ეხმარებოდა, რომელსაც იმ დროისთვის ანგოლას სამხრეთი მეზობელი, ნამიბია ჰქონდა ოკუპირებული. სამხრეთ აფრიკული თვითმფრინავები ნამიბიაში იყვნენ განლაგებული და იქიდან ბომბავდნენ ანგოლაში მოწინააღმდეგეთა სამიზნეებს. სამხრეთ აფრიკის ავიაცია, ცხადია, საკუთარი და მეტოქის თვითმფრინავების განსასხვავებლად IFF-ს იყენებდა.

სამხრეთ აფრიკამ მას შემდეგ გადაწყვიტა საკუთარი სამხედრო გეგმებისთვის თავი მიენებებინა, რაც მათ მეტოქის MiG-ებმა ჭკუაში აჯობეს. ერთ მშვენიერ დღეს MiG-ები აფრინდნენ და ანგოლის სამხრეთით დაიწყეს მანევრირება. ისინი სამხრეთ აფრიკის სამხედრო ბაზებისკენ  (და მათი ჰაერსაწინააღმდეგო სისტემებისკენ) მას შემდეგ დაიძრნენ, რაც სამხრეთ აფრიკის ავიაციამ ანგოლაში სამიზნეების დაბომბვა დაიწყო. MiG-ები სამხრეთ აფრიკის Impala-ს თვითმფრინავებსა და რადარებს შორის აღმოჩდნენ. MiG-ებმა რადარებისგან მიიღეს სიგნალი (რომლის მიზანი რადარზე გამოჩენილი ობიექტების იდენტიფიკაცია იყო), უცვლელად გადასცეს ის Impala-ებს და უკვე მათან მიღებული სიგნალი გადასცეს რადარებს. შესაბამისად, სამხრეთ აფრიკულმა მხარეს MiG-ები საკუთარ თვითმფრინავბად აღიქვა და საკუთარ საჰაერო თავდაცვასაც დაუსვა წერტილი.

შეტევის სქემა მოცემულია სურათზე:

წყარო: Ross Anderson, Security Engineering – A Guide to Building Dependable Distributed Systems, Second Edition, Wiley, 2008

სავარაუდოდ, MiG-in-the-Middle-Attack მოხდა კორეის და ვიეტნამის ომებშიც, ასევე ახლო აღმოსავლეთის კონფლიქტებშიც.

MiG-in-the-Middle-Attack თავიდან ასაცილებლად დაიხვეწა სისტემა – გაუმჯობესდა კრიპტოგრაფიული პროტოკოლები. მაგალითად,  თვითმფრინავს მოეთხოვება რადარის საპასუხოდ გაგზავნილ დაშიფრულ მესიჯს საკუთარი სახელიც დაამატოს. ამას გარდა, ზოგჯერ მეტოქის ტერიტორიაზე მფრინავ თვითმფრინავებს უკრძალავენ IFF მოწყობილობების ჩართვას, რათა მათ მიერ მიღებული და გადაცემული სიგნალი მოწინააღმდეგემ არ დაიჭიროს. თუმცა ეს ღონისძიებები პროცესს იდეალურად უსაფრთხოს ვერ ხდის.