2.4.2 Подмена доверенного объекта сети. Перехват tcp-сессии (ip-hijacking)

Для проведения данной атаки хакер должен иметь доступ к машине, находящейся на пути сетевого потока и обладать достаточными правами на ней для генерации и перехвата IP-пакетов. При передаче данных постоянно используются два 32-битных поля-счетчика (оба поля находятся в IP-заголовке). Исходя из их значения, сервер и клиент проверяют корректность передачи пакетов. Существует возможность ввести соединение в десинхронизированное состояние, когда присылаемые сервером значения счетчиков не будут совпадать с ожидаемым значением клиента, и наоборот [6, 29, 48]. В данном случае злоумышленник, прослушивая линию, может взять на себя функции посредника, генерируя корректные пакеты отдельно для клиента и сервера и перехватывая их ответы. Метод позволяет полностью обойти такие системы защиты, как, например, одноразовые пароли, поскольку злоумышленник начинает работу уже после того, как произойдет авторизация пользователя.Этапы реализации данной атаки и типы пересылаемых пакетов приведены на рисунке 2.17.

Рисунок 2.17 — Этапы реализации подмены доверенного объекта (IP-hijacking)

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы.

s₁ — A и B готовы, s₂ — С готов к перехвату трафика,

t₁ — обмен A и B пакетами для установления соединения, перехват S-SYN и C-ACK,

s₃ — пакет S-SYN, C-ACK перехвачен,

t₂ — отправка RST от имени B,

s₄ — соединение A-B закрыто для A,

t₄ — отправка C-SYN2 от имени B,

s₅ — C-SYN2 обработан A,

t₃ — отправка A S-SYN2 для B, перехват S-SYN2,

s₆ — S-SYN2 перехвачен, возникновение ACK-бури между A и B

t₅ — отправка S-ACK2 от имени B,

s₇ — S-ACK2 прият, соединение с правами B установлено,

t₆ — обмен модифицированными данными с B по ACK, с A по ACK-2,

s ₈ — результат.

Вид данной сети представлен на рисунке. 2.18.

Рисунок 2.18 — Вид сети Петри-Маркова для атаки «подмена доверенного объекта сети. Перехват TCP-сессии»

В этой сети позиции не имеют инцидентных дуг, поэтому вероятности перемещения из них в переходы равны единице.

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

		t1	t2	t3	t4	t5	t6
	s1	1	0	0	0	0	0
	s2	1	0	0	0	0	0
	s3	s1t1∩s2t1	1	0	0	0	0
	s4	0	1	1	0	0	0
	s5	0	0	1	1	0	0
	s6	0	0	0	1	1	0
	s7	0	0	0	0	1	1
	s8	0	0	0	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60, 62]:

(2.22)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

где λ_ij=1/τ_ij, где τ_ij (i = 1..6, j = 1..4) — средние времена вышеперечисленных действий соответственно.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

,

,

, (2.23)

.

Средние времена пересылки и обработки пакетов SYN и ACK τ₃₂ = τ₄₃ = τ₅₄ = τ₆₅ = 0,1 c, τ₁₁ = 0,2 с.

Среднее время запуска и настройки злоумышленником программы для реализации атаки τ₂₁ = 13,5 с.

Таким образом, среднее время перехода по всей сети τ = 14,5 с, и зависимость вероятности реализации атаки от времени приобретает вид, представленный на рисунке 2.19.

. (2.24)

Рисунок 2.19 — Зависимость вероятности реализации атаки «угон TCP-сессии» от времени

Рассмотрим вероятностные характеристики реализации данной атаки с учетом применения мер противодействия.

1) Выявление ACK-бурь

С помощью специальных средств контроля за сетью возможно выявлять возникающие ACK-бури — бесконечный обмен ACK-пакетами атакуемого хоста и сервера при десинхронизации соединения, который, однако, в силу особенностей сетевых технологий длится обычно не более секунды из-за потери пакетов [33]. Таким образом, если система контроля зафиксирует ACK-бурю до ее затухания, используемая злоумышленником TCP-сессия будет прервана до того как злоумышленнику удастся начать обмен модифицированными данными. π₇₆ → 0,

2) Криптозащита (шифрование пакетов)

В случае шифрования трафика злоумышленнику не удастся за приемлемое время проанализировать содержимое перехваченных пакетов или надлежащим образом модифицировать их. Для данной сети шифрование пакетов влечет стремление среднего времени перехода d₇₆ τ₇₆, а следовательно, и времени прохождения по всей сети к бесконечности.