Black Hat: routery z OSPF podatne na atak
Jeden z uczestników odbywającej się w Las Vegas konferencji hakerskiej Black Hat zaprezentował lukę w popularnym protokole routingu Open Shortest Path First (OSPF). Błąd umożliwia przechwytywanie danych przesyłanych w firmowej sieci, fałszowanie topografii sieciowej, a także paraliżowanie pracy sieci.
Sieć szkieletowa OSPFPolecamy:- Protokoły routingu
- Eksperci ponaglają Microsoft i Juniper, żeby załatały niebezpieczna lukę
- 10 przełomowych osiągnięć dla bezpieczeństwa IT
"Obecnie nie istnieje prosty sposób zabezpieczenia się przed atakiem - problem można rozwiązać zmieniając protokół na RIP albo IS-IS lub poprawiając OSPF" - tłumaczył Gabi Nakibly, specjalista ds. bezpieczeństwa z izraelskiego Electronic Warfare Research and Simulation Center, który wykrył i potwierdził lukę w Open Shortest Path First.
Nakibly twierdzi, że z powodzeniem zdołał wykorzystać ową lukę do zaatakowania infrastruktury sieciowej wykorzystującej router Cisco 7200 z oprogramowaniem IOS 15.0(1)M - ale jego zdaniem na podobny atak podatne jest każde urządzenie sieciowe zgodne ze specyfikacją protokołu OSPF. "Urządzenie Cisco wybrałem tylko dlatego, że chciałem podkreślić, jak bardzo poważny i powszechny jest ten problem" - tłumaczy izraelski ekspert.
Problem związany jest z zasadami funkcjonowania OSPF - okazuje się, że protokół można oszukać tak, by akceptował sfałszowane tablice routingu, przekazywane przez urządzenia podszywające się pod firmowy sprzęt sieciowy. Gabi Nakibly wykorzystał do tego celu laptopa podłączonego do atakowanej sieci - wysyłane z tego urządzenia komunikaty LSA (link state advertisement) były bez zastrzeżeń akceptowane przez routery, ponieważ urządzenia te sprawdzały jedynie, czy numer sekwencji jest aktualny, czy komunikat zawiera odpowiednią sumę kontrolą i czy nie jest starszy niż 15 minut.
Problem w tym, że wszystkie te wartości da się łatwo sfałszować - Nakibly zrobił to bez większego problemu. Spreparowane komunikaty LSA mógł następnie wykorzystać do całego zestawu działań zakłócających pracę sieci lub też kierujących ruch sieciowych w wybrane przez napastnika miejsca. Do przeprowadzenia takiego ataku potrzebny jest tylko punkt wejścia do sieci - np. przejęty przez napastnika router lub podłączone do sieci urządzenie podszywające się pod router.
Komentarze (3)
Następny udany atak w warunkach laboratoryjnych przy założeniu, że ustawienia protokołu są domyślne ;-)
osoby co maja certyfikaty cisco wiedza jak zabezpieczac ten protokol wystarczy w sprzecie cisco area 0 jako glowny wymoc szyfrowanie algorytmem md5 cisco sprzet to potrafi a dalsze ''satelity'' tj np filie mozna zrobic jako Area 1, 2, etc ... tez sie robi tablice routingu szyfrowane i redystrybucje miedzy obszarami ale to juz wyzsza jazda dla ciscowcow i jak nie ma wlasciwego klucza to kicha a 2a sprawa ustawia sie priorytety dla DR i BDR routerow w ospf''ie aby wlasnie utrudnic takie manipulacje :) ale szczegoly ciscowcy wiedza lepiej ;)
warunki brzegowe są do spełnienia - ale każdy szanujący się ''Provider'' czy właściciel sieci ''Enterprise'' dba o sieć i nie pozwala na powstawanie takich furtek a jak ktoś nie dba, to niech zadba - polscy sieciowcy są jeszcze w kraju (znam paru) - dadzą radę ;) - tylko się rozejrzeć po LinkedIn...
- Prawo Moore’a zagrożone?
- Bezpieczeństwo WiFi - bezprzewodowe testy penetracyjne
- Wirtualizacja: obsługa SMB na czterech U
- Prawdziwe powody powstania Microsoft Open Technologies
- Open source: zmierzch ery GPL? Nie do końca...
- ROVER - prosty sposób na słabość BGP?
- Zaawansowane stacje Wi-Fi Ruckus Wireless
- Rozstanie z Javą nie będzie proste
- Google Drive uwypukla słabe strony publicznych chmur obliczeniowych
- Serwery "zombie" w centrum danych
Reklama
Huawei celuje w rynek biznesowy
Huawei nieustannie rozwija się jako dostawca infrastruktury dla branży telekomunikacyjnej. W tym roku chiński koncern zamierza umocnić swoją pozycję również na rynku rozwiązań Enterprise.
Polecane
Koniec Windows XP początkiem problemów?
Microsoft oficjalnie potwierdził, że za dwa lata definitywnie zakończy się era Windows XP - systemu operacyjnego,...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...