pokouší za účelem dosažení nehynoucí slávy prolomit ochranu sítě co možná
nejznámější instituce, či nepozorovaně přesunout zajímavé finanční částky z
jednoho bankovního účtu na jiný. Realita je však ve srovnání s bájnými
představami poněkud odlišná, a co více, drsná a neúprosná. Naprostá většina
pokusů i úspěšných útoků proti privátním informacím probíhá v rámci vnitřní
sítě, což jinými slovy znamená, že hackerem (byť jen amatérským) může být třeba
někdo z vašich kolegů ve stejné kanceláři u protějšího stolu. Přemýšleli jste
někdy o ceně a významu informací na vašem počítači, nebo o způsobu, jak
přistupujete do své poštovní schránky? Máte představu, jak by mohli vaši
"kolegové" či "spolupracovníci" naložit s daty, pokud by znali vaše přístupové
heslo? Myslíte, že je to nesmysl? Pojďte se s námi podívat na několik možností
a postupů, jež dávají jasně najevo, kde jsou slabá místa při běžném využití
počítačové sítě. Možná budete překvapeni, jak neopatrně jste si dosud počínali.
V tomto článku jsme se zaměřili na velmi běžně používané technologie a postupy,
s nimiž většina uživatelů přichází do kontaktu mnohokrát denně. O to větší bude
možná vaše překvapení.
Upozornění: V následujících odstavcích najdete poměrně podrobný popis postupů,
jež mohou vést k narušení zabezpečení počítačů a počítačových sítí, jejich
zneužití či zcizení důvěrných informací. Takto důkladně vám látku předkládáme
proto, abyste si byli plně vědomi všech nebezpečí, jež vám hrozí. Uváděné
návody by měly posloužit především k ověření "snadnosti", s jakou lze některé
informaci získat, a tím k posílení snahy o zabezpečení komunikačních kanálů a
odstranění případných slabin.
Při experimentování buďte vždy opatrní a uvědomte si, že některými postupy je
možné hrubě narušit jak etické, tak zákonné normy. Proto testování provádějte
výhradně ve vlastní, nejlépe experimentální síti.
Typ útoku:
Nabourání do poštovní schránky freemailové služby
Používání veřejných, zdarma dostupných e-mailových služeb (tzv. freemailů) je
dnes pro řadu uživatelů naprostou samozřejmostí. Ačkoliv na použití těchto
systémů číhá z pohledu ohrožení privátnosti celá řada nebezpečí, svěřujeme jim
dnes a denně svá tajemství, a to často velmi cenná. Pojďme se podívat na jednu
z možností, jak lze zcizit obsah e-mailové komunikace či samotnou přihlašovací
informaci.
Princip ohrožení:
Klíčem k potenciálně velmi vysoké míře ohrožení freemailové komunikace je
několik okolností, jejichž součinnost dává obsah našich e-mailů či přihlašovací
údaje všanc útočníkům. Prvním problémem je již samotný vstup do vaší osobní
poštovní schránky prostřednictvím prohlížeče: v průběhu přihlašování typicky
zadáváte prostřednictvím speciální stránky (formuláře) přihlašovací jméno a
heslo. Zásadní potíž spočívá v tom, že ve výchozí podobě, kterou řada freemailů
využívá, se tyto údaje přenášejí pomocí základní HTTP komunikace v
nezašifrované podobě. Bez větších obtíží lze tedy potřebná data v lokální síti
odchytit (vyčenichat sniffovat), takže například kolegové v práci mohou při
vaší neopatrnosti získat plnohodnotné přihlašovací údaje do vaší schránky.
Velmi podobným způsobem opět na principu sniffování lze snadno odchytit i
samotný obsah e-mailových zpráv, neboť ten je doručován z poštovního serveru do
prohlížeče uživatele v typicky nijak nešifrované, textové podobě. Útočník tedy
v případě, že do pošty přistupujete např. z pracovního počítače ve firemní
síti, nemusí nijak složitě vaše heslo hádat, neboť si je prostě odchytí a
přečte.
Postup útoku:
Pro odchycení komunikace s webovou freemailovou schránkou může velmi dobře
posloužit jakýkoliv kvalitní sniffer (analyzátor síťových paketů), jako např.
zdarma dostupný Ethereal. Tento nástroj může zachytit veškerý síťový provoz v
"okolí" vašeho počítače tedy např. u kolegy u vedlejšího stolu a poskytnout
pohled do nitra přenášených paketů.
Zmíněný program naleznete na stránkách http://www.ethereal.com nebo na našem
CD. Při jeho instalaci je potřeba dodržet následující sled: nejdříve spusťte
zavedení speciálního ovladače s názvem WinPcap, jenž zajistí odchytávání
vlastního síťového provozu, a posléze instalujte samotný Ethereal. Po spuštění
samotné aplikace, jež pracuje s dobře ovladatelným grafickým rozhraním,
spustíte vlastní odchytávání síťové komunikace pomocí povelu Start v menu
Capture v bezprostředně zobrazeném dialogu si nezapomeňte ověřit, že program
pracuje v tzv. promiskuitním modu, což jinými slovy znamená zachycování
kompletního provozu v síti kolem vás.
Po spuštění provádí Ethereal načítání obsahu paketů do hlavního okna, a práce
útočníka tím teprve začíná. V získané záplavě informací je potřeba se nejdříve
zorientovat pomocí klepnutí na záhlaví ve sloupci Source doporučujeme seřadit
pakety dle odesílatele, což vám velmi usnadní nalezení konkrétního provozu z
inkriminovaného počítače. Pokud hledáte přístup uživatele do webové pošty, měli
byste se zaměřit na protokol HTTP a adresu některého z freemailových serverů.
Po nalezení alespoň jednoho z paketů odpovídajícího typu lze využít výbornou
schopnost Etherealu: použijte na vybrané položce pravé tlačítko myši a zvolte
možnost Follow TCP Stream, díky čemuž dojde k zobrazení obsahu komunikace ve
speciálním okně. V tomto rozhraní snáze dohledáte přihlašovací údaje, a pokud
uživatel nesáhl po šifrovací technologii, vše pravděpodobně bude čitelné.
Jak se bránit:
Samotnému čenichání (sniffování) se lze bránit jen stěží, neboť tato možnost je
dána samotným principem používané síťové technologie (ethernet), a proto si
musíme pomoci dodatečnými mechanismy. Poměrně účinným postupem je využívání
zabezpečovacích technologií pro přenos šifrovaného webového obsahu, jimž vévodí
protokolová sada SSL. Pokud si chcete být zabezpečením alespoň trochu jisti,
vyberte si freemailovou službu, jež přenos pomocí SSL podporuje. Docílíte toho,
že veškerý přenos je kryptován, a útočník v odchycených paketech není schopen
nic zjistit.
Důležitým druhotným krokem je též striktní používání odlišného hesla u
freemailů a ostatních systémů pokud by přeci jen potenciální útočník
přihlašovací údaje získal, neměly by se shodovat třeba s přihlašováním do
firemní sítě, neboť to by pro vás mohlo znamenat velké nebezpečí.
Typ útoku:
Prolomení a ukradení bezdrátové Wi-Fi komunikace
Bezdrátové síťové připojení pomocí technologie Wi-Fi (též dle normy 802.11b) je
stále populárnější metodou přístupu k jiným počítačům, a to jak v lokálních
sítích, tak k poskytovatelům internetových služeb. Uživatelé běžně spoléhají
při zabezpečení na volbu SSID identifikátoru a v lepším případě ještě na
šifrovací technologii WEP, přestože existuje způsob, jak tyto mechanismy
prolomit a utajené údaje následně zneužít. Útočník navíc nemusí sedět u
vedlejšího stolu, ale např. v sousední místnosti či na lavičce před budovou.
Komunikujeme přeci vzduchem, ne?
Princip ohrožení:
Použití bezdrátové síťové technologie Wi-Fi nabízí v současné době několik
mechanismů zabezpečení provozu, jejichž cílem je eliminovat neautorizované
uživatele při snaze o "parazitování" na cizí síti. Protože samotná podstata
přenosu rádiové vysílání nijak nemůže zabránit odposlechu (sniffování), je
obsah přenášených dat vydán napospas potenciálním útočníkům. Přestože Wi-Fi
implementuje jako jeden z ochranných postupů šifrování, označované jako WEP,
tato metoda bohužel není dostatečně odolná. Jedním z problémů je samotná
implementace šifrovacího postupu, jenž není z nejkvalitnějších, a do hry
vstupuje další klíčový faktor: pro šifru je zadáván statický klíč k
opakovanému, dlouhodobému použití. A právě tento postup umožňuje existenci
nástrojů, s jejichž pomocí lze při určitém úsilí rozlomit i přenos chránění
šifrou WEP. Stejně tak druhý základní mechanismus ochrany bezdrátové
komunikace, kterým je přidělení a následné použití identifikátoru SSID, je
možno obejít a přípojné body tak zneužít.
Postup útoku:
Prvním předpokladem pro úspěšné odchycení Wi-Fi komunikace je hardwarové
vybavení v podobě odpovídající síťové karty, neboť zdaleka ne všechny typy
poskytují potřebnou funkcionalitu. Vhodné jsou například adaptéry s čipovými
sadami Orinoco, nicméně před koupí je potřeba komponentu vyzkoušet. Druhou
nezbytnou součástí je anténa s kvalitním příjmem, resp. s tzv. vysokým ziskem,
jež dovoluje z éteru "vylovit" hledaný signál. Právě s kvalitním přijímačem lze
odchytit komunikaci i na desítky či několik stovek metrů daleko.
Potřebnou hardwarovou výbavu je rovněž dobré porovnat s nároky softwaru, jejž
budete pro útok využívat. Jedním z vhodných programů, po němž je potřeba
sáhnout v první řadě, je NetStumbler. Aplikace slouží k "pátrání" v rádiových
pásmech a vyhledávání existujících komunikačních kanálů. Na stránkách
http://www.stumbler.net najdete mimo jiné i popis kompatibilních síťových
karet, a aplikaci samotnou též naleznete na našem CD. Pomocí této aplikace
učiní útočník první krok: prozkoumá své okolí a nalezne existující sítě a
jejich konfiguraci, např. v podobě identifikátoru SSID, jehož hodnotu musí znát
pro "napíchnutí" do existující infrastruktury.
Samotná aplikace NetStumbler již může být pro prolomení existující bezdrátové
sítě dostačující. Po prozkoumání jednotlivých frekvenčních pásem, na nichž
Wi-Fi komunikuje, lze v přehledném zobrazení zjistit, které sítě nejsou
chráněny šifrou, a lze za pomoci zobrazeného SSID okamžitě podniknout pokus o
připojení. Pokud tato snaha nevede k cíli, je možné, že cílová síť provádí
kontrolu MAC (hardwarových) adres síťové karty klienta. V tomto případě
přichází na řadu použití nástroje typu sniffer, tedy např. již výše zmíněného
Etherealu. Cílem je zachytit probíhající komunikaci a vysledovat MAC adresy
počítačů, jež do sítě mají oprávněný přístup. Následně tuto informaci využijeme
a změníme MAC adresu svého fyzického adaptéru na onu oprávněnou toho lze
dosáhnout třeba pomocí oblíbeného prográmku SMAC, jejž naleznete na adrese
http://www.klcconsulting.net/ smac nebo na našem CD. Předstíráním oprávněné
fyzické adresy tedy můžete překonat další obrannou bariéru.
Posledním oříškem na cestě do cizí bezdrátové sítě může být šifrování
zkoumaného provozu pomocí mechanismu WEP. I když překonání této překážky není
nijak snadné, existují určité možnosti, například v podobě nástroje AirSnort.
Tato utilita je dostupná pro operační systém Linux (či příbuzné) a pro její
použití ve Windows je nutná alespoň kompilace v prostředí Cygwin. Program
dokáže vyhodnocením dostatečného množství paketů s určitou pravděpodobností
odhalit klíč k šifře WEP, a tím překonat často poslední obranu, která navíc
bývá považována za spolehlivou. Tento krok však většinou vyžaduje dlouhodobější
úsilí, neboť počet potřebných paketů jde řádově do stovek tisíc až milionů, což
často odpovídá mnohahodinové komunikaci.
Jak se bránit:
Z výše uvedeného postupu je patrné, že stoprocentně spolehlivá ochrana
bezdrátového připojení je v praxi spíše iluzí, a závěr je takový, že na
samotnou konfiguraci Wi-Fi nelze spoléhat. Při přenosu dat po síti tedy musíte
důsledně využívat dodatečné ochranné postupy a příslušné technologie: při
přístupu na citlivé webové stránky nezapomínejte na SSL komunikaci, e-mailové
zásilky šifrujte např. pomocí PGP či S/MIME (obě varianty mohou fungovat např.
v Outlooku) a případně ochraňte celý síťový provoz pomocí šifrovaného tunelu
(např. IPSec). Pokud využíváte Wi-Fi pro přístup k internetu, ujistěte se, zda
váš poskytovatel podporuje ověřování přihlášení pomocí normy 802.1x, aby na
vaší přípojce nepozorovaně neparazitoval někdo jiný. Samotné šifrování WEP má
sice výše zmíněné nedostatky, avšak jeho použití přeci jen může výrazně
napomoci k zabezpečení jak jsme uvedli, prolomení vyžaduje dlouhodobé sledování
a slabinou je právě statický, dlouhodobě používaný klíč. Pokud jej budete často
obměňovat, bude to sice mírně nepohodlné, avšak o mnoho bezpečnější.
Typ útoku:
Hacknutí přihlašování do instant messaging programu
Aplikace pro "instant messaging", tedy jakousi jednoduchou, přístupnou
komunikaci patří v současné době k nejběžnějším, a proto není třeba
představovat programy jako ICQ či MS Messenger. Při každodenním používání
těchto nástrojů drtivá většina uživatelů ani nepřemýšlí o tom, že jimi
přenášená data jsou velmi náchylná na odchycení. Falešný pocit bezpečí rovněž
vyvolává možnost přihlašování pomocí hesla, což je opět zásadní nedorozumění.
Přihlašovací informaci lze totiž u výše uvedených programů poměrně jednoduše
odhalit, a váš účet tak může být snadno použit někým jiným.
Princip ohrožení:
Možnost ohrožení či zcizení komunikace programů uvedeného typu je založeno na
stejném principu, jako výše uvedené hledání přihlašovacích informací k
freemailovým službám. V roli útočníka můžete průběžně monitorovat komunikaci
okolních počítačů a využít zásadní slabiny programů jako např. ICQ, neboť v
průběhu přihlašování jsou kritické informace zasílány bez dostatečného
zabezpečení.
Pokud použijete výchozí instalaci programu ICQ, ICQ Lite či MSN Messenger
(starší varianty), bez jakéhokoliv varování jste vystaveni riziku, že zasílané
přihlašovací heslo bude v lokální síti, tedy např. kolegou u vedlejšího stolu,
odchyceno. Velmi alarmující je fakt, že pro tuto proceduru není potřeba žádných
mimořádných znalostí.
Postup útoku:
Pro realizování tohoto typu útoku budete v případě dobré volby potřebovat
jediný program, jenž zajistí vše potřebné. Velmi vhodným nástrojem je nesmírně
všestranná utilita Cain & Abel, kterou najdete na stránkách http://www.
oxid.it/cain. html nebo na našem CD. Jednou z mnoha jejích možností je právě
průběžné sledování síťové komunikace a "vysávání" hesel či jiných
přihlašovacích údajů do velmi přehledné podoby.
Po běžné instalaci vám program nabídne grafické uživatelské rozhraní, v němž
přejděte na kartu pojmenovanou Sniffer. Právě tato část aplikace řeší
odchytávání síťových paketů a jejich průzkum. Přejděte do spodní části okna a
zvolte záložku Hosts, jež slouží k sestavení seznamu počítačů cílů vašich
útoků. Pomocí pravého tlačítka myši vyberte volbu Scan MAC Addresses a zvolte
rozsah síťových IP adres, jejichž držitelé vás zajímají.
Pokud adresu cíle neznáte, zadejte určitý rozsah a program prozkoumá a vyhledá
dostupné počítače, z nichž si můžete vybrat, neboť jejich jména budou rovněž
přeložena. Poté v tabulce zanechte pouze cílový stroj (či více sledovaných
počítačů), a zahajte samotné odchytávání pomocí tlačítka při levém okraji horní
lišty nástrojů (se symbolem síťové karty). Poté, co program po určitou dobu
poběží, zkuste se podívat na záložku Passwords (při spodním okraji okna) a
očekávejte žádoucí údaje. Při bližším ohledání sami zjistíte, že aplikace toho
dokáže "nasát" opravdu hodně, tedy nejen hesla pro ICQ.
Takto jednoduše může útočná akce proběhnout v případě, že cílový počítač se
nachází v lokální síti na stejném ethernetovém segmentu, tedy typicky ve
společném rozbočovači (hubu). Avšak ani v případě, že využíváte moderní
infrastruktury a jednotlivé stanice jsou připojeny do přepínače (switche), není
nic ztraceno, neboť Cain & Abel nabízí možnost v podobě speciální techniky, jež
dovoluje tento "nedostatek" obejít. Postup bývá nazýván jako ARP Poissoning či
ARP Spoofing, a protože jeho následky mohou být i při pouhém experimentování
dosti nevyzpytatelné, před jeho použitím důrazně varujeme. I ve výše uvedené
základní podobě program dokáže hodně a jeho sílu si takto můžete ověřit.
Jak se bránit:
Možnosti zabezpečení instant messaging komunikace jsou velmi problematické,
případně často téměř nemožné. Tvůrci těchto programů se primárně přeci jen
zaměřují na jiné vymoženosti svých výtvorů, než je kvalitně zabezpečený přenos.
Pokud chcete s vysokou pravděpodobností eliminovat pokusy o sniffování hesla v
lokální síti, je vhodné použít univerzální řešení, např. v podobě technologie
IPSec, jež šifruje síťovou komunikaci již na úrovni IP paketů bez ohledu na
aplikační data. Tato možnost je plně dostupná v operačních systémech Windows
2000, XP a 2003 Server, a to bez nutnosti používat jakýkoliv další software.
Další možností je přinutit komunikační program používat v lokální síti přenos
pomocí aplikačního šifrovaného kanálu SSL, k čemuž je ovšem zapotřebí na
hranici sítě umístit odpovídající proxy službu. Např. ICQ umožňuje zapouzdřit
svůj přenos právě do podoby tohoto odolného protokolu, čímž je možno eliminovat
lokální odposlech.
Pochopitelně nejspolehlivější metodou ochrany je zmíněný software nepoužívat.
Protože to však často není možné, dávejte si pozor alespoň na to, abyste
používali k přihlašování v těchto systémech zcela odlišná hesla od těch, jež
slouží pro přístup do firemní sítě. Prozrazení vašeho "univerzálního" hesla by
mohlo mít katastrofální následky.
PŘEDPLATNÉ
ČLÁNKY DO MAILU