Mitm атака от мащаба на жилищна сграда

Много компании днес са загрижени за осигуряването на информационната сигурност на своята инфраструктура, някои правят това по искане на регулаторни документи, а някои правят това от момента, в който възникне първият инцидент. Последните тенденции показват, че броят на инцидентите нараства, а самите атаки стават все по-сложни. Но не е нужно да отивате далеч, опасността е много по-близо. Този път бих искал да повдигна темата за сигурността на интернет доставчика. Има публикации в Habré, които обсъждат тази тема на ниво приложение. Тази статия ще се съсредоточи върху сигурността на ниво мрежа и връзка за данни.

Как започна всичко

Преди известно време в апартамента беше инсталиран интернет от нов доставчик; преди това интернет услугите бяха доставени до апартамента с помощта на ADSL технология. Тъй като прекарвам малко време у дома, мобилният интернет беше по-търсен от домашния. С преминаването към отдалечена работа реших, че скоростта от 50-60 Mb/s за домашен интернет просто не е достатъчна и реших да увелича скоростта. При ADSL технологията по технически причини не е възможно да се увеличи скоростта над 60 Mb/s. Беше решено да се премине към друг доставчик с различна декларирана скорост и с предоставяне на услуги не чрез ADSL.

Можеше да е нещо различно

Свързах се с представител на интернет доставчика. Монтажниците дойдоха, пробиха дупка в апартамента и поставиха RJ-45 пач кабел. Дадоха ми споразумение и инструкции с мрежовите настройки, които трябва да бъдат зададени на рутера (отделен IP, шлюз, подмрежова маска и IP адреси на техния DNS), взеха плащане за първия месец работа и си тръгнаха. Когато въведох дадените ми мрежови настройки в домашния си рутер, интернет избухна в апартамента. Процедурата за първоначално влизане на нов абонат в мрежата ми се стори твърде проста. Не беше извършено първично упълномощаване и моят идентификатор беше IP адресът, който ми беше даден. Интернет работи бързо и стабилно.В апартамента имаше wifi рутер и през носещата стена скоростта на връзката падна малко. Един ден трябваше да изтегля файл с размер две дузини гигабайта. Помислих си, защо да не свържа RJ-45, който отива към апартамента, директно към компютъра.

Познай ближния си

След като изтеглих целия файл, реших да опозная по-добре съседите в гнездата на превключвателя.

В жилищните сгради интернет връзката често идва от доставчика чрез оптично влакно, влиза в шкафа за окабеляване в един от комутаторите и се разпределя между входове и апартаменти чрез Ethernet кабели, ако вземем предвид най-примитивната схема на свързване. Да, вече има технология, при която оптиката отива направо в апартамента (GPON), но това все още не е широко разпространено.

Ако вземем много опростена топология в мащаба на една къща, тя изглежда така:

Оказва се, че клиентите на този доставчик, някои съседни апартаменти, работят в една и съща локална мрежа на едно и също комутационно оборудване.

Като активирате слушане на интерфейс, свързан директно към мрежата на доставчика, можете да видите излъчен ARP трафик, летящ от всички хостове в мрежата.

Доставчикът реши да не се занимава твърде много с разделянето на мрежата на малки сегменти, така че излъчваният трафик от 253 хоста да може да тече в рамките на един превключвател, без да се броят тези, които са били изключени, като по този начин задръстват честотната лента на канала.

След като сканирахме мрежата с помощта на nmap, ние определихме броя на активните хостове от целия адресен пул, версията на софтуера и отворените портове на главния комутатор:

И къде е ARP там и ARP-spoofing

За извършване на по-нататъшни действия е използвана графичната помощна програма ettercap; има и по-модерни аналози, но този софтуер привлича със своя примитивен графичен интерфейс и лекота на използване.

В първата колона са IP адресите на всички рутери, които са отговорили на ping, във втората са техните физически адреси.

Физическият адрес е уникален; може да се използва за събиране на информация за географското местоположение на рутера и т.н., така че ще бъде скрит за целите на тази статия.

Цел 1 добавя главния шлюз с адрес 192.168.xxx.1, цел 2 добавя един от другите адреси.

Представяме се на шлюза като хост с адрес 192.168.xxx.204, но със собствен MAC адрес. След това се представяме на потребителския рутер като шлюз с адрес 192.168.xxx.1 с неговия MAC. Подробностите за тази уязвимост на ARP протокол са обсъдени подробно в други статии, които са лесни за Google.

В резултат на всички манипулации имаме трафик от хостовете, който минава през нас, като преди това сме активирали пренасочване на пакети:

Да, https вече се използва почти навсякъде, но мрежата все още е пълна с други незащитени протоколи. Например, същият DNS с DNS-spoofing атака. Самият факт, че MITM атака може да бъде извършена, поражда много други атаки. Нещата се влошават, когато в мрежата има няколко десетки активни хоста. Струва си да се има предвид, че това е частният сектор, а не корпоративна мрежа и не всеки има защитни мерки за откриване и противодействие на свързани атаки.

Как да го избегнем

Доставчикът трябва да се тревожи за този проблем; настройването на защита срещу такива атаки е много лесно в случай на същия превключвател на Cisco.

Активирането на Dynamic ARP Inspection (DAI) ще предотврати фалшифицирането на MAC адреса на главния шлюз. Разбиването на излъчвания домейн на по-малки сегменти попречи поне на ARP трафика да се разпространи към всички хостове подред и да намали броя на хостовете, които могат да бъдат атакувани. Клиентът от своя страна може да се защити от подобни манипулации, като настрои VPN директно на домашния си рутер, като повечето устройства вече поддържат тази функционалност.

Данни

Най-вероятно доставчиците не се интересуват от това, всички усилия са насочени към увеличаване на броя на клиентите. Този материал не е написан, за да демонстрира атака, а за да ви напомни, че дори мрежата на вашия доставчик може да не е много сигурна за предаване на вашите данни. Сигурен съм, че има много малки регионални доставчици на интернет услуги, които не са направили нищо повече от необходимото за работа с основно мрежово оборудване.

Източник: www.habr.com