2.5.3.4. Манипуляция битами

Манипуляция битами преследует ту же цель, что и повторное использование вектора инициализации, и опирается на уязвимость вектора контроля целостности фрейма ICV. Пользовательские данные могут различаться от фрейма к фрейму, в то же самое время многие служебные поля и их положение внутри фрейма остаются неизменными. Злоумышленник манипулирует битами пользовательских данных внутри L2-фрейма с целью искажения L3-пакета. Процесс манипуляции описан ниже (рис. 2.9):

- Злоумышленник пассивно наблюдает фреймы беспроводной ЛВС с помощью средств анализа трафика протокола 802.11.

- Злоумышленник захватывает фрейм и произвольно изменяет биты в поле данных протокола 3-го уровня.

- Злоумышленник модифицирует значение вектора контроля целостности фрейма ICV (как именно будет описано ниже).

- Злоумышленник передаёт модифицированный фрейм в беспроводную ЛВС.

- Принимающая сторона (абонент либо точка радиодоступа) вычисляет значение вектора контроля целостности фрейма ICV для полученного модифицированного фрейма.

- Принимающая сторона сравнивает вычисленное значение вектора ICV с имеющимся в полученном модифицированном фрейме.

- Значения векторов совпадают, фрейм считается неискажённым и не отбрасывается.

- Принимающая сторона деинкапсулирует содержимое фрейма и обрабатывает пакет сетевого уровня.

- Поскольку манипуляция битами происходила на канальном уровне, контрольная сумма пакета сетевого уровня оказывается неверной.

- Стек протокола сетевого уровня на принимающей стороне генерирует предсказуемое сообщение об ошибке.

- Злоумышленник наблюдает за беспроводной ЛВС в ожидании зашифрованного фрейма с сообщением об ошибке.

- Злоумышленник захватывает фрейм, содержащий зашифрованное сообщение об ошибке и вычисляет ключевую последовательность, как это было описано ранее для атаки с повторным использованием вектора инициализации.

Рис. 2.9. Атака с манипуляцией битами

Вектор ICV находится в шифрованной части фрейма. С помощью следующей процедуры злоумышленник манипулирует битами шифрованного вектора ICV и таким образом обеспечивает корректность самого вектора для нового, модифицированного фрейма (рис. 2.10):

- Исходный фрейм F1 имеет вектор C1.

- Создаётся фрейм F2 таклй же длины, что и F1, служащий маской для модификации битов фрейма F1.

- Создаётся фрейм F3 путём выполнения двоичной функции XOR над фреймами F1 и F2.

- Вычисляется промежуточный вектор С2 для фрейма F3.

- Вектор C3 для фрейма F3 вычисляется путём выполнения двоичной функции XOR над C1 и C2 [11,16].

Рис. 2.10. Модифицирование ICV за счет

побитовой обработки

2.6. Определение вероятностей реализации угроз

К важному аспекту выявления угроз относится оценка возможности наличия каждой угрозы, оцениваемой показателем . В настоящее время наиболее приемлемым путем определения этого показателя является экспертная процедура его оценки, суть которой применительно к угрозам ИБ сводится к следующему.

Проводится опрос экспертов. Результаты экспертного опроса обрабатываются следующим образом. Сначала по каждому классу источника угроз суммируются коэффициенты ответов и рассчитывается частный показатель оценки наличия каждого нарушителя по формуле

, (2.2)

где N ‑ общее количество вопросов по каждому нарушителю, K - коэффициент ответа на вопрос.

Далее по ответам всех экспертов результаты оценки по каждому источнику угроз усредняются, и результирующая оценка выводится в виде среднего значения. Подобным же образом оценивается наличие уязвимости по показателю . Далее оценивается возможность наличия данного класса угроз по формуле:

. (2.3)

После этого производится оценка вероятности реализации угрозы с выполнением деструктивного действия. Для этого строится шкала оценок (экспертных суждений) относительно вероятности реализации угрозы соответствующих количественной оценке (рис. 2.11).

Для расчета по этой шкале необходимо экспертно оценить вероятность выполнения деструктивного действия при реализации каждой угрозы . Таким же образом определяем вероятность использования уязвимости . После этого сопоставляем полученное значение вероятности использования уязвимости с потенциалом нападения нарушителя, и получаем значение вероятности использования уязвимости в соответствии с потенциалом нападения по следующей формуле:

(2.4)

Рис. 2.11. Шкала оценки вероятности реализации угрозы с выполнением деструктивного действия

Таким же образом определяем вероятность использования уязвимости . После этого сопоставляем полученное значение вероятности использования уязвимости с потенциалом нападения нарушителя, и получаем значение вероятности использования уязвимости в соответствии с потенциалом нападения по следующей формуле:

(2.5)

Далее получим вероятность реализации угрозы

(2.6)