מתקפה בקנה מידה של בניין דירות

חברות רבות דואגות כיום להבטחת אבטחת המידע של התשתית שלהן, חלקן עושות זאת לפי בקשת מסמכים רגולטוריים, וחלקן עושות זאת מרגע התרחשות התקרית הראשונה. המגמות האחרונות מראות שמספר התקריות הולך וגדל, וההתקפות עצמן הולכות ומשתכללות. אבל אתה לא צריך ללכת רחוק, הסכנה הרבה יותר קרובה. הפעם אני רוצה להעלות את הנושא של אבטחת ספקי אינטרנט. יש פוסטים על Habré שדנו בנושא זה ברמת היישום. מאמר זה יתמקד באבטחה ברמת הרשת וקישורי הנתונים.

איך הכל התחיל

לפני זמן מה הותקן בדירה אינטרנט מספק חדש, בעבר הועברו שירותי אינטרנט לדירה בטכנולוגיית ADSL. מכיוון שאני מבלה מעט זמן בבית, האינטרנט הסלולרי היה מבוקש יותר מאשר האינטרנט הביתי. עם המעבר לעבודה מרחוק, החלטתי שהמהירות של 50-60 Mb/s עבור אינטרנט ביתי פשוט לא מספיקה והחלטתי להגביר את המהירות. בטכנולוגיית ADSL, מסיבות טכניות, לא ניתן להגביר את המהירות מעל 60 Mb/s. הוחלט לעבור לספק אחר עם מהירות מוצהרת שונה ובמתן שירותים שלא באמצעות ADSL.

זה היה יכול להיות משהו אחר

יצר קשר עם נציג של ספק האינטרנט. הגיעו המתקינים, קדחו חור בדירה והתקינו כבל תיקון RJ-45. הם נתנו לי הסכם והנחיות עם הגדרות הרשת שצריך להגדיר בנתב (IP ייעודי, שער, מסיכת רשת משנה וכתובות IP של ה-DNS שלהם), לקחו תשלום עבור החודש הראשון לעבודה ועזבו. כשהכנסתי לנתב הביתי את הגדרות הרשת שניתנו לי, האינטרנט פרץ לדירה. ההליך לכניסה ראשונית של מנוי חדש לרשת נראה לי פשוט מדי. לא בוצעה הרשאה ראשית, והמזהה שלי היה כתובת ה-IP שניתנה לי. האינטרנט עבד מהר ויציב, היה נתב wifi בדירה ודרך הקיר הנושא מהירות החיבור ירדה מעט. יום אחד, הייתי צריך להוריד קובץ בגודל של שני תריסר גיגה-בייט. חשבתי, למה לא לחבר את ה-RJ-45 שהולך לדירה ישירות למחשב.

דע את רעך

לאחר שהורדתי את כל הקובץ, החלטתי להכיר טוב יותר את השכנים בשקעי המתג.

בבנייני דירות, חיבור האינטרנט מגיע לרוב מהספק דרך סיבים אופטיים, נכנס לארון החיווט לאחד המתגים ומופץ בין כניסות ודירות באמצעות כבלי Ethernet, אם ניקח בחשבון את דיאגרמת החיבור הפרימיטיבית ביותר. כן, יש כבר טכנולוגיה שבה האופטיקה הולכת ישר לדירה (GPON), אבל זו עדיין לא נפוצה.

אם ניקח טופולוגיה מאוד פשוטה בקנה מידה של בית אחד, זה נראה בערך כך:

מסתבר שהלקוחות של ספק זה, חלק מהדירות השכנות, עובדים באותה רשת מקומית על אותו ציוד מיתוג.

על ידי הפעלת האזנה בממשק המחובר ישירות לרשת של הספק, תוכל לראות תעבורת ARP שידור שטסה מכל המארחים ברשת.

הספק החליט לא להתעסק יותר מדי בחלוקת הרשת למקטעים קטנים, כך שתעבורת שידור מ-253 מארחים יכולה לזרום בתוך מתג אחד, בלי לספור את אלו שהיו כבויים, ובכך לסתום את רוחב הפס של הערוץ.

לאחר שסרקנו את הרשת באמצעות nmap, קבענו את מספר המארחים הפעילים ממאגר הכתובות כולו, גרסת התוכנה והיציאות הפתוחות של המתג הראשי:

איפה ARP ו-ARP זיוף?

כדי לבצע פעולות נוספות, נעשה שימוש בכלי השירות הגרפי ettercap; ישנם גם אנלוגים מודרניים יותר, אך תוכנה זו מושכת עם הממשק הגרפי הפרימיטיבי וקלות השימוש שלה.

בעמודה הראשונה מופיעות כתובות ה-IP של כל הנתבים שהגיבו לפינג, בשנייה הכתובות הפיזיות שלהם.

הכתובת הפיזית היא ייחודית; ניתן להשתמש בה כדי לאסוף מידע על מיקומו הגיאוגרפי של הנתב וכו', כך שהיא תוסתרה למטרות מאמר זה.

יעד 1 מוסיף את השער הראשי עם הכתובת 192.168.xxx.1, יעד 2 מוסיף אחת מהכתובות האחרות.

אנו מציגים את עצמנו לשער כמארח עם הכתובת 192.168.xxx.204, אך עם כתובת MAC משלנו. לאחר מכן אנו מציגים את עצמנו לנתב המשתמש כשער עם הכתובת 192.168.xxx.1 עם ה-MAC שלו. הפרטים של פגיעות פרוטוקול ARP זו נדונים בפירוט במאמרים אחרים שקל לגוגל.

כתוצאה מכל המניפולציות, יש לנו תעבורה מהמארחים שעוברת דרכנו, לאחר שאיפשרנו בעבר העברת מנות:

כן, https כבר נמצא בשימוש כמעט בכל מקום, אבל הרשת עדיין מלאה בפרוטוקולים לא מאובטחים אחרים. לדוגמה, אותו DNS עם התקפת זיוף DNS. עצם העובדה שניתן לבצע מתקפת MITM מולידה התקפות רבות אחרות. המצב מחמיר כשיש כמה עשרות מארחים פעילים זמינים ברשת. כדאי לקחת בחשבון שזה המגזר הפרטי, לא רשת ארגונית, ולא לכולם יש אמצעי הגנה כדי לזהות ולנטרל התקפות קשורות.

איך להימנע מזה

הספק צריך להיות מודאג מבעיה זו; הגדרת הגנה מפני התקפות כאלה היא פשוטה מאוד, במקרה של אותו מתג סיסקו.

הפעלת בדיקת ARP דינמית (DAI) תמנע את זיוף כתובת ה-MAC של שער השער הראשי. פיצול תחום השידור למקטעים קטנים יותר מנעה התפשטות של תעבורת ARP לכל המארחים ברציפות והקטינה את מספר המארחים שניתן לתקוף. הלקוח, בתורו, יכול להגן על עצמו מפני מניפולציות כאלה על ידי הגדרת VPN ישירות על הנתב הביתי שלו; רוב המכשירים כבר תומכים בפונקציונליות זו.

ממצאים

סביר להניח שלספקים לא אכפת מזה; כל המאמצים מכוונים להגדלת מספר הלקוחות. החומר הזה לא נכתב כדי להדגים התקפה, אלא כדי להזכיר לך שאפילו הרשת של הספק שלך עשויה לא להיות מאובטחת במיוחד להעברת הנתונים שלך. אני בטוח שיש הרבה ספקי שירותי אינטרנט אזוריים קטנים שלא עשו יותר ממה שצריך כדי להפעיל ציוד רשת בסיסי.

מקור: www.habr.com