Lectures for 2008 - KTH

KURSKOMPENDIUM NÄTVERKSSÄKERHETSKURS
___________________________________________________________________________
sekvensnummer i kombination med kryptografiskt starka kontrollsummor som skyddar
sekvensnumren från manipulation.
2.4.14 Klipp-och-klistra-attack
Man kan i vissa fall attackera krypterad information utan att ha kunskap om den egentliga
klartexten. Genom att använda meddelanden som krypterats med samma nyckel, men som
saknar dataintegritetskontroll (kryptografiskt starka kontrollsummor) kan man under vissa
förutsättningar klippa ut krypterad information och klistra ihop till nya meddelanden.
2.4.15 Övertagande av session
En mer avancerad attack är ett övertagande av en etablerad session. När någon väl har skapat
en nätverkkoppling, till exempel efter inloggning och autentisering, så kan någon kapa
sessionen. En allvarlig konsekvens av kapningsmöjligheten är att sessioner kan övertas även
om man använt sig av uppsäkrade varianter av autentisering, till exempel engångslösenord
eller elektroniska signaturer.
Kapningen sker ofta på en låg nivå i vilken man sänder förfalskade paket till inblandade
parter. För att lyckas med attacken påverkas TCP-stackens tillståndsmaskiner (eng. statemachine)
i bägge kommunikationsändar så att man lämnar ett synkroniserat tillstånd. I ett
synkroniserat tillstånd har de kommunicerande parterna samma uppfattning om
sekvensnummer, antalet utestående paket och liknande. När man skapar ett desynkroniserat
TCP-tillstånd mellan de bägge parterna kommer de inte längre att kunna prata med varandra
på grund av att de inte längre är överens om vilka sekvensnummer, kvittensnummer och
liknande som är aktuella.
Det program som används för att skapa det desynkroniserade tillståndet kan dock ha kunskap
om vilka som är de nu aktuella sekvensnumren, kvittensnumren och motsvarande för alla
inblandade. Därefter kan programmet sända ut förfalskade paket med parametrar som
accepteras av den server det försöker kapa.
Flera tillgängliga verktyg existerar sedan många år för att automatisera kapningen. Med hjälp
av dessa verktyg kan personer utan teknisk kunskap eller programmeringskunskap utföra
avancerade attacker.
Skydd mot attacker av denna typ är att inte använda klartextprotokoll, utan att använda
protokoll som använder sig av kryptering för att skapa sekretess (insynsskydd) och
dataintegritet (manipulationsskydd). Andra namn är som förekommer på denna attack, eller
varianter av den, är kapande av session, TCP-hijacking och IP-splicing.
2.4.16 Datadrivna attacker
Datadrivna attacker är attacker som är utformade så att kommandon smygs in i dataströmmen
och tolkas som kommandon av mottagarsidan. Exempel på tjänster där datadrivna attacker har
varit vanliga är befordran av elektronisk post. Posthanteringsprogrammet sendmail har haft
flera kända säkerhetsproblem där unixkommandon kunnat skickats med i meddelandekroppen
för att sedan tolkas av mottagarprogrammet. Detta har exekverat kommandona istället för
hantera dem som strikt information inkluderad i e-posten.
Copyright (c) 2003-2008 Robert Malmgren AB. All rights reserved Sid 37 (139)