- •Воронеж 2008
- •Воронеж 2008
- •Введение
- •1 Подбор пароля
- •1.1 Общие понятия парольной защиты
- •1.1.1 Парольная система
- •1.1.2 Методы подбора паролей
- •1.1.3 Методы количественной оценки стойкости паролей
- •1.2 Парольная защита операционных систем
- •1.2.1 Подбор паролей в ос Windows
- •1.2.1.1 База данных учетных записей пользователей
- •1.2.1.2 Хранение паролей пользователей
- •1.2.1.3 Использование пароля
- •1.2.1.4 Возможные атаки на базу данных sam
- •1.2.2 Подбор паролей в ос unix
- •1.3 Классификация и принцип работы программного обеспечения для подбора паролей
- •1.3.1 Подбор паролей в oc Windows
- •1.3.2 Подбор паролей в oc unix
- •1.3.3 Подбор паролей в архивах zip, rar и arj
- •1.3.4 Подбор паролей документов ms Office
- •1.3.5 Подбор паролей pdf документов
- •1.4 Противодействие подбору паролей
- •1.4.1 Требования к паролю
- •1.4.2 Правила назначения/изменения паролей
- •1.4.3 Требования к генерации паролей
- •1.4.4 Хранение пароля пользователем
- •1.4.5 Хранение паролей компьютерной системой
- •1.4.6 Противодействие попыткам подбора паролей
- •1.4.7 Защита Windows nt и Unix от подбора паролей
- •2.1.2 Протокол tcp
- •2.1.2.1 Функции протокола tcp
- •2.1.2.2 Базовая передача данных
- •2.1.2.3 Разделение каналов
- •2.1.2.4 Управление соединениями
- •2.1.2.5 Заголовок тср-сегмента
- •2.1.2.6 Состояния соединения
- •2.2 Основные методы, применяемые при сканировании портов
- •2.2.1 Методы сканирования tcp-портов
- •2.2.1.1 Методы открытого сканирования
- •2.2.1.1.1 Метод icmp-сканирования
- •2.2.1.1.2 Сканирование tcp-портов функцией connect()
- •2.2.1.1.3 Сканирование tcp-портов флагом syn
- •2.2.1.1.4 Сканирование tcp-портов флагом fin
- •2.2.1.1.5 Сканирование с использованием ip-фрагментации
- •2.2.1.1.6 Сканирование tcp-портов методом reverse-ident (обратной идентификации)
- •2.2.1.1.7 Сканирование Xmas
- •2.2.1.1.8 Null сканирование
- •2.2.1.2 Методы "невидимого" удаленного сканирования
- •2.2.1.2.1 Скрытая атака по ftp
- •2.2.1.2.2 Сканирование через proxy-сервер
- •2.2.1.2.3 Скрытное сканирование портов через системы с уязвимой генерацией ip id
- •2.2.1.2.3.1 Исторические предпосылки
- •2.2.1.2.3.2 Описание базового метода ip id сканирования
- •2.2.1.2.3.3 Исследование правил и обход брандмауэра при сканировании
- •2.2.1.2.3.4 Сканирование машин с приватными адресами
- •2.2.1.2.3.5 Использование ip id при сканирование udp сервисов за брандмауэром
- •2.2.2 Методы сканирования udp-портов
- •2.2.2.1 Сканирование udp-портов проверкой icmp-сообщения «Порт недостижим»
- •2.2.2.2 Сканирование udp-портов с использованием функций recvfrom() и write()
- •2.3.1 Сканирование портов в ос семейства Windows
- •2.3.2 Сканирование портов в ос семейства Unix
- •2.4 Защита от сканирования портов
- •3 Анализ сетевого трафика
- •3.1 Анализ сетевого трафика сети Internet
- •3.1.1 Ложные arp-ответы
- •3.1.2 Навязывание ложного маршрутизатора
- •3.1.3 Атака при конфигурировании хоста
- •3.1.4 Атака на протоколы маршрутизации
- •3.2 Протокол telnet
- •3.2.1 Протокол ftp
- •3.2.3 Программы анализаторы сетевого трафика (сниффиры)
- •3.2.4 Принцип работы сниффира
- •3.3 Методы противодействия сниффирам
- •3.3.1 Протокол ssl
- •3.3.2 Протокол skip
- •3.3.3 Устройство обеспечения безопасности локальной сети skipBridge
- •4 Внедрение ложного доверенного объекта
- •4.1 Особенности атаки «Внедрение ложного доверенного объекта»
- •4.2 Внедрение ложного объекта путем использования недостатков алгоритмов удаленного поиска
- •4.2.1.1 Протокол arp и алгоритм его работы
- •4.2.1.2 Техника выполнения arp-spoofing
- •4.2.1.3 Методы обнаружения
- •4.2.1.4 Методы противодействия
- •4.2.2.1 Принцип работы Domain Name System
- •4.2.2.2 Внедрение dns-сервера путем перехвата dns-запроса
- •4.2.2.3 «Шторм» ложных dns ответов на атакуемый хост
- •4.2.2.4 Перехват dns-запроса или создание направленного «шторма» ложных dns-ответов непосредственно на атакуемый dns-сервер
- •4.2.2.5 Обнаружение и защита от внедрения ложного dns-сервера
- •4.3.1.2 Внедрение ложного доверенного объекта путем навязывания ложного маршрута с помощью протокола icmp
- •4.3.1.3 Обнаружение и методы противодействия
- •5 Отказ в обслуживании
- •5.1 Модель DoS атаки
- •5.1.1 Отказ в обслуживании (DoS)
- •5.1.2 Распределенный отказ в обслуживании (dDoS)
- •5.2.1.1 Описание утилиты для реализации icmp – флуда и атаки Smurf
- •5.2.1.2 Реализация атаки icmp-flooding, на основе отправки icmp-пакетов
- •5.2.1.3 Реализация атаки Smurf
- •5.2.3 Низкоскоростные dos-атаки
- •5.2.3.1 Механизм таймаута tcp-стека
- •5.2.3.2 Моделирование и реализация атаки
- •5.2.3.2.1 Минимальная скорость DoS-атаки
- •5.2.3.3 Многопоточность и синхронизация потоков
- •5.2.3.5 Атаки в сети интернет
- •5.2.4 Syn атака
- •5.3 Анализ средств и методов сетевой защиты
- •5.3.1 Настройка tcp/ip стека
- •5.3.4 Межсетевые экраны (FireWall)
- •5.3.5 Системы обнаружения атак (ids)
- •5.3.6 Система Sink Holes
- •Заключение
- •Список информационных источников
- •394026 Воронеж, Московский просп., 14
1.4.4 Хранение пароля пользователем
В мировой практике считается, что пароль, как единственное и самостоятельное средство защиты, применяется при низких требованиях к системе безопасности. Одна из причин такого подхода в том, что пользователи записывают пароли не предназначенных для этого местах (перекидной календарь, записная книжка, пропуск и т.п.). Некоторые пользователи кредитных карточек записывают свой PIN-код на обратной стороне самой карточки. Большинство пользователей уделяют мало внимания к хранению своих паролей, что часто отрицательно сказывается на безопасности всей компьютерной системы. Отсюда возникает проблема хранения паролей пользователей. Основные принципы хранения пароля должны быть такими:
- максимально затруднить злоумышленнику получение пароля;
- пароли всех пользователей системы не могут храниться в одном месте или у одного человека, либо они должны храниться в опечатанных конвертах, в сейфе сотрудника службы безопасности, а вскрывать конверт можно только в присутствии нескольких лиц (например, сотрудник службы безопасности и начальник отдела того сотрудника, чей пароль необходим);
- в случае если пользователь не может или не хочет исполнять свои обязанности, т.е. возникает экстремальная ситуация (заболел, начал шантажировать руководство и т.п.), его пароль может получить ограниченный круг лиц при выполнении ими определенных условий.
Самый идеальный и однозначно правильный вариант, когда пользователь должен запомнить свой пароль. Если пользователь не может запомнить пароль, а он выдан ему на бумаге (в конверте), то хранить эту запись надо так, чтобы не допустить его компрометации (например, в личном сейфе). Это же относится и к дискете, на которой пароль может быть записан, а также любому другому его физическому носителю.
В руках одного человека не должны быть пароли всех пользователей системы, иначе он становится потенциальным объектом воздействия со стороны возможных злоумышленников, либо субъектом воздействия в лице злоумышленника.
Система хранения паролей пользователей должна быть разделенная. Например, один сотрудник генерирует пароли и подготавливает их к выдаче, но он не знает, кому какой попадет (например, раскладывает по конвертам и запечатывает их), а другой выдает конверты конкретным пользователям, также, не зная, кому какой пароль достанется. Например, начальник отдела выдает пароли сотрудникам, получая их от службы безопасности или администратора системы. Он получает по два неподписанных запечатанных конверта на каждого сотрудника. Определив каждому сотруднику пару конвертов, он их раздает: один - сотруднику, а второй - в свой сейф. За сохранность полученного пароля отвечает сотрудник. В экстремальной ситуации (внезапная болезнь, шантаж и т.п.) начальник отдела вскрывает конверт с паролем сотрудника в присутствии работника службы безопасности, а если таковой не произошло, то по истечении срока действия пароля конверт с ним уничтожается и заменяется новым.
Система с хранением пароля в конверте не так уж и сложна в организации, зато может во многом облегчить жизнь организации в случае непредвиденных обстоятельств.
Наиболее надежные системы те, в которых пароль используется как дополнение к ключевому элементу. В подобных системах возникает проблема надежности, хранения, некопируемости данного ключевого элемента. Она решается как его выбором, так и организацией работы.
В случае, когда в качестве ключевого элемента применяются флеш-носители, как наиболее распространенный вариант, хотя и очень легко копируемый, должна быть четко продумана система подготовки, хранения, обращения с пользовательскими флеш-носителями. Подобный принцип (ключевой флеш-носитель и пароль) применяется во многих компьютерных системах. В качестве не копируемых ключевых элементов применяют различные типы идентификаторов Touch Memory, электронные ключи, смарт-карточки. При их применении уровень защиты систем высок, так как они обладают очень важным свойством – некопируемостью.
Ключевой элемент не должен находиться у сотрудника постоянно. Утром, по приходу на работу, сотрудник (только он и никто другой) получает его, а вечером сдает на хранение. Вынос ключевых элементов за пределы учреждения должен быть строго запрещен. Это избавит от проблем с утерей, кражей или копированием ключевых элементов. Например, на пропуск сотрудника прикрепляется идентификатор Touch Memory, который может определять как права доступа сотрудника в помещения, так и его права в компьютерной системе.
В случае же утери или реального разглашения пользователем своего пароля (например, при физическом давлении) злоумышленник не сможет войти в компьютерную систему, не завладев ключевым элементом. Оказывать одновременно давление на несколько различных людей возможно, но уже гораздо сложнее, чем на одного. С другой стороны, хранитель ключевых элементов не может ими воспользоваться, так как не знает паролей.