Généralités sur les systèmes d'exploitation - Site personnel de ...

LO14 : Université Technologique de TroyesPrincipe du moindre privilège : on exécute chaque module dans un domaine de protection le plus réduitpossible.Ex : lecture de données; calcul; impression; n'ont pas besoin des mêmes privilèges (d'où le côté dynamiquepour un programme qui ferait ces trois opérations d'affilée).Le processus est décomposé en domaines et la matrice d'accès s'applique aux domaines.Les capacités sont des triplets (Utilisateur, Droits, Pointeur) L'utilisateur ne peut pas manipuler directementle pointeur.ACL (Access Control Lists)2°) TCP WRAPPER - tpcdNous avons déjà eu l'occasion de parler du démon inetd intermédiaire entre les serveurs et les clients. Poursatisfaire les besoins de sécurité on peut aussi utiliser un démon particulier tpcd. Ce démon offre lapossibilité de contrôler quels ordinateurs peuvent utiliser quels services réseau. Il s'installe donc entre inetdet les sous-démons. Pour configurer tpcd il suffit de réaliser les opérations suivantes :• modifier le fichier /etc/inetd.config• Envoyer un signal hangup à inetd (kill -HUP ....)• Créer le fichier /etc/hosts.allow• Créer le fichier /etc/hosts.deny.Le fichier ined.config est changé de la manière suivante :• avant :# sevice socket protocol wait user program argumentsftp stream tcp nowait root /usr/sbin/ftpd ftpdtelnet stream tcp nowait root /usr/sbin/telnetd telnetd• après :# sevice socket protocol wait user program argumentsftp stream tcp nowait root /usr/sbin/tcpd ftpdtelnet stream tcp nowait root /usr/sbin/tcpd telnetdL'accès est autorisé si une entrée du fichier de configuration /etc/hosts.allow accorde aux clients un droitd'accès. Si le client est trouvé dans ce fichier /etc/hosts.deny n'est pas analysé.L'accès est refusé si une entrée du fichier /etc/hosts.deny refuse aux clients l'accès.Si un client n'est trouvé dans aucun fichier l'accès est autorisé.Parmi les limites de sécurité de tcpd il y a le détournement d'adresse IP, par exemple présenté maintenant.3°) TCP Hijacking AttackCette attaque aussi connue sous le nom de "active sniffing" consiste à faire accepter l'adresse IP du crackercomme adresse de confiance. L'idée de base derrière cette attaque est que le cracker prend le contrôled'une machine sur le réseau, la déconnecte du réseau et trompe le serveur (la cible) en lui faisant croireque le cracker a pris sa place. Cette attaque a lieu naturellement après que le client et le serveur se sontconnectés.4°) Les attaques par désynchronisation activeComme on l'a appris au chapitre 6 une connexion TCP a besoin d'échanger des paquets synchronisés. Cechapitre sera approfondi avec l'exercice 2.a) Attaque par détournement et post désynchronisation ( Post-Desynchronization Hijacking Attack)L'idée de cette attaque est de modifier les deux nombres ISNS et ISNC (Initial Sequence Number introduitsau chapitre 6) du client et du serveur pour qu'ils ne correspondent plus, c'est à dire que le client ne puisseplus dialoguer directement avec le serveur. L'attaquant qui sera sur le réseau interceptera les trameséchangées changera leur ISN et éventuellement leurs données de telle manière que le client ait l'impressiond'être connecté au serveur. Les seules défenses connues sont l'utilisation du schéma de transmissionKERBEROS (couche application) ou l'implémentation de TCP cryptographique (couche transport).b) tempête TCP Ack (TCP Ack Storm)Quand un hôte (client ou serveur) reçoit un paquet inacceptable, l'hôte acquitte le paquet en envoyant lenuméro de séquence espéré à l'émetteur du paquet. Si un client et un serveur sont désynchronisés ils vonts'envoyer mutuellement ce genre de message en une boucle. Dans ce cas seule la perte d'un paquet peutarrêter cette tempête car ces paquets ne contenant pas de données, en cas de perte ils ne sont pasretransmis. Or agissant sur un réseau non sûr on va avoir un effet régulateur : plus on crée de tempête ACKplus on congestionne le réseau et plus on a de chance de perdre un paquet et donc d'arrêter la tempête.c) désynchronisation précoce (Early Desynchronization Attack)L'attaquant attend un paquet d'acquittement SYN/ACK entre un serveur et un client. Aussitôt détecté ilenvoie un RST au serveur puis aussitôt un SYN (demande de connexion) avec les mêmes paramètres quele client sauf le ISN qui sera différent. En continuant ainsi on arrivera à une connexion entre le serveur et le96 /98 S. Moutou : Cours