ស្ថានភាពសោកសៅជាមួយនឹងសន្តិសុខអ៊ីនធឺណិតផ្កាយរណប

នៅក្នុងសន្និសីទចុងក្រោយ Black Hat ត្រូវបានបង្ហាញ របាយការណ៍ឧទ្ទិសដល់បញ្ហាសុវត្ថិភាពនៅក្នុងប្រព័ន្ធចូលប្រើអ៊ីនធឺណិតតាមផ្កាយរណប។ អ្នកនិពន្ធនៃរបាយការណ៍នេះ ដោយប្រើឧបករណ៍ទទួល DVB ដែលមានតម្លៃថោកបានបង្ហាញពីលទ្ធភាពនៃការស្ទាក់ចាប់ចរាចរណ៍អ៊ីនធឺណិតដែលបានបញ្ជូនតាមរយៈបណ្តាញទំនាក់ទំនងផ្កាយរណប។

ម៉ាស៊ីនភ្ញៀវអាចភ្ជាប់ទៅអ្នកផ្តល់សេវាផ្កាយរណបតាមរយៈបណ្តាញ asymmetric ឬស៊ីមេទ្រី។ នៅក្នុងករណីនៃឆានែល asymmetric ចរាចរណ៍ចេញពីអតិថិជនត្រូវបានបញ្ជូនតាមរយៈអ្នកផ្តល់ដីនិងទទួលបានតាមរយៈផ្កាយរណប។ នៅក្នុងតំណភ្ជាប់ស៊ីមេទ្រី ចរាចរចេញ និងចូលឆ្លងកាត់ផ្កាយរណប។ កញ្ចប់ព័ត៌មានដែលផ្ញើទៅកាន់អតិថិជនត្រូវបានបញ្ជូនពីផ្កាយរណបដោយប្រើការបញ្ជូនការផ្សាយដែលរួមបញ្ចូលចរាចរណ៍ពីអតិថិជនផ្សេងៗគ្នា ដោយមិនគិតពីទីតាំងភូមិសាស្រ្តរបស់ពួកគេ។ ការស្ទាក់ចាប់ចរាចរណ៍បែបនេះមិនពិបាកទេ ប៉ុន្តែការស្ទាក់ចាប់ចរាចរណ៍ដែលមានប្រភពមកពីអតិថិជនតាមរយៈផ្កាយរណបគឺមិនងាយស្រួលនោះទេ។

ដើម្បីផ្លាស់ប្តូរទិន្នន័យរវាងផ្កាយរណប និងអ្នកផ្តល់សេវា ការបញ្ជូនដោយផ្តោតជាធម្មតាត្រូវបានប្រើ ដែលតម្រូវឱ្យអ្នកវាយប្រហារមានចម្ងាយរាប់សិបគីឡូម៉ែត្រពីហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នកផ្តល់សេវា ហើយក៏ប្រើជួរប្រេកង់ផ្សេងគ្នា និងទម្រង់ការអ៊ិនកូដផងដែរ ការវិភាគដែលទាមទារឧបករណ៍អ្នកផ្តល់សេវាមានតម្លៃថ្លៃ។ . ប៉ុន្តែទោះបីជាអ្នកផ្តល់សេវាប្រើ Ku-band ធម្មតាក៏ដោយ ប្រេកង់សម្រាប់ទិសដៅផ្សេងគ្នាគឺខុសគ្នា ដែលតម្រូវឱ្យមានការប្រើប្រាស់ចានផ្កាយរណបទីពីរ និងដោះស្រាយបញ្ហានៃការធ្វើសមកាលកម្មស្ទ្រីមសម្រាប់ការស្ទាក់ចាប់ក្នុងទិសដៅទាំងពីរ។

វាត្រូវបានគេសន្មត់ថាដើម្បីរៀបចំការស្ទាក់ចាប់នៃទំនាក់ទំនងផ្កាយរណប ត្រូវការឧបករណ៍ពិសេសដែលមានតម្លៃរាប់ម៉ឺនដុល្លារ ប៉ុន្តែតាមពិតការវាយប្រហារបែបនេះត្រូវបានអនុវត្តដោយប្រើ DVB-S ធម្មតា។ ឧបករណ៍ចាប់ប៉ុស្តិ៍សម្រាប់ទូរទស្សន៍ផ្កាយរណប (TBS 6983/6903) និងអង់តែនប៉ារ៉ាបូល ការចំណាយសរុបនៃឧបករណ៍វាយប្រហារគឺប្រហែល 300 ដុល្លារ។ ដើម្បីចង្អុលអង់តែននៅផ្កាយរណប ព័ត៌មានដែលមានជាសាធារណៈអំពីទីតាំងរបស់ផ្កាយរណបត្រូវបានប្រើប្រាស់ ហើយដើម្បីស្វែងរកបណ្តាញទំនាក់ទំនង កម្មវិធីស្តង់ដារដែលត្រូវបានរចនាឡើងសម្រាប់ការស្វែងរកប៉ុស្តិ៍ទូរទស្សន៍ផ្កាយរណបត្រូវបានប្រើប្រាស់។ អង់តែនត្រូវបានចង្អុលទៅផ្កាយរណប ហើយដំណើរការស្កេនបានចាប់ផ្តើម Ku-band.

ឆានែលត្រូវបានកំណត់អត្តសញ្ញាណដោយកំណត់អត្តសញ្ញាណកំពូលនៅក្នុងវិសាលគមប្រេកង់វិទ្យុដែលគួរឱ្យកត់សម្គាល់ប្រឆាំងនឹងសំលេងរំខានផ្ទៃខាងក្រោយ។ បន្ទាប់ពីកំណត់អត្តសញ្ញាណកំពូល កាត DVB ត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីបកស្រាយ និងកត់ត្រាសញ្ញាជាវីដេអូឌីជីថលធម្មតាសម្រាប់ទូរទស្សន៍ផ្កាយរណប។ ដោយមានជំនួយពីការស្ទាក់ចាប់សាកល្បង លក្ខណៈនៃចរាចរណ៍ត្រូវបានកំណត់ ហើយទិន្នន័យអ៊ីនធឺណិតត្រូវបានបំបែកចេញពីទូរទស្សន៍ឌីជីថល (ការស្វែងរកហាមប្រាមត្រូវបានប្រើនៅក្នុងការបោះចោលដែលចេញដោយកាត DVB ដោយប្រើរបាំង "HTTP" ប្រសិនបើរកឃើញ វាត្រូវបានគេចាត់ទុកថា ឆានែលដែលមានទិន្នន័យអ៊ីនធឺណិតត្រូវបានរកឃើញ) ។

ការសិក្សាអំពីចរាចរណ៍បានបង្ហាញថាអ្នកផ្តល់សេវាអ៊ីនធឺណិតតាមផ្កាយរណបដែលបានវិភាគទាំងអស់មិនប្រើការអ៊ិនគ្រីបតាមលំនាំដើម ដែលអនុញ្ញាតឱ្យមានការលួចស្តាប់ចរាចរណ៍ដោយមិនមានការរារាំង។ វាគួរឱ្យកត់សម្គាល់ថាការព្រមានអំពីបញ្ហាសុវត្ថិភាពអ៊ីនធឺណិតផ្កាយរណប បោះពុម្ពផ្សាយ ដប់ឆ្នាំមុន ប៉ុន្តែចាប់តាំងពីពេលនោះមក ស្ថានភាពមិនបានផ្លាស់ប្តូរទេ ទោះបីជាមានការណែនាំអំពីវិធីបញ្ជូនទិន្នន័យថ្មីក៏ដោយ។ ការផ្លាស់ប្តូរទៅពិធីការ GSE (Generic Stream Encapsulation) ថ្មីសម្រាប់ការបិទបាំងចរាចរអ៊ីនធឺណិត និងការប្រើប្រាស់ប្រព័ន្ធម៉ូឌុលស្មុគស្មាញដូចជាម៉ូឌុលអំព្លីទីត 32 វិមាត្រ និង APSK (ដំណាក់កាលប្តូរគន្លឹះ) មិនបានធ្វើឱ្យការវាយប្រហារកាន់តែពិបាកទេ ប៉ុន្តែតម្លៃនៃឧបករណ៍ស្ទាក់ចាប់ ឥឡូវនេះបានធ្លាក់ចុះពី 50000 ដុល្លារទៅ 300 ដុល្លារ។

គុណវិបត្តិដ៏សំខាន់មួយនៅពេលបញ្ជូនទិន្នន័យតាមរយៈបណ្តាញទំនាក់ទំនងផ្កាយរណបគឺការពន្យាពេលដ៏ធំបំផុតក្នុងការចែកចាយកញ្ចប់ព័ត៌មាន (~700 ms) ដែលធំជាងការពន្យារពេលរាប់សិបដងនៅពេលផ្ញើកញ្ចប់ព័ត៌មានតាមរយៈបណ្តាញទំនាក់ទំនងដីគោក។ លក្ខណៈពិសេសនេះមានផលប៉ះពាល់អវិជ្ជមានសំខាន់ពីរលើសុវត្ថិភាព៖ កង្វះនៃការប្រើប្រាស់ VPNs យ៉ាងទូលំទូលាយ និងកង្វះការការពារប្រឆាំងនឹងការក្លែងបន្លំ (ការជំនួសកញ្ចប់ព័ត៌មាន)។ វាត្រូវបានកត់សម្គាល់ថាការប្រើប្រាស់ VPN បន្ថយល្បឿននៃការបញ្ជូនប្រហែល 90% ដែលគិតទៅលើការពន្យារពេលដ៏ធំរបស់វា ធ្វើឱ្យ VPN មិនអាចអនុវត្តបានជាមួយបណ្តាញផ្កាយរណប។

ភាពងាយរងគ្រោះចំពោះការក្លែងបន្លំត្រូវបានពន្យល់ដោយការពិតដែលថាអ្នកវាយប្រហារអាចស្តាប់ទាំងស្រុងនូវចរាចរណ៍ដែលមកដល់ជនរងគ្រោះ ដែលធ្វើឱ្យវាអាចកំណត់លេខលំដាប់នៅក្នុងកញ្ចប់ TCP ដែលកំណត់អត្តសញ្ញាណការតភ្ជាប់។ នៅពេលផ្ញើកញ្ចប់ព័ត៌មានក្លែងក្លាយតាមរយៈប៉ុស្តិ៍ដីគោក វាស្ទើរតែត្រូវបានធានាថានឹងមកដល់មុនពេលកញ្ចប់ព័ត៌មានពិតដែលបានបញ្ជូនតាមរយៈប៉ុស្តិ៍ផ្កាយរណបជាមួយនឹងការពន្យារពេលយូរ និងលើសពីនេះទៀតឆ្លងកាត់អ្នកផ្តល់សេវាដឹកជញ្ជូន។

គោលដៅងាយស្រួលបំផុតសម្រាប់ការវាយប្រហារលើអ្នកប្រើប្រាស់បណ្តាញផ្កាយរណបគឺ ចរាចរណ៍ DNS, HTTP និងអ៊ីមែលដែលមិនបានអ៊ិនគ្រីប ដែលជាធម្មតាត្រូវបានប្រើប្រាស់ដោយអតិថិជនដែលមិនបានអ៊ិនគ្រីប។ សម្រាប់ DNS វាងាយស្រួលក្នុងការរៀបចំការផ្ញើការឆ្លើយតប DNS ប្រឌិតដែលភ្ជាប់ដែនទៅម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារ (អ្នកវាយប្រហារអាចបង្កើតការឆ្លើយតបប្រឌិតភ្លាមៗបន្ទាប់ពីបានឮសំណើក្នុងចរាចរណ៍ ខណៈពេលដែលសំណើពិតប្រាកដត្រូវតែឆ្លងកាត់អ្នកផ្តល់សេវាដែលកំពុងបម្រើ។ ចរាចរណ៍ផ្កាយរណប) ។ ការវិភាគនៃចរាចរអ៊ីម៉ែលអនុញ្ញាតឱ្យអ្នកស្ទាក់ចាប់ព័ត៌មានសម្ងាត់ ឧទាហរណ៍ អ្នកអាចចាប់ផ្តើមដំណើរការសង្គ្រោះពាក្យសម្ងាត់នៅលើគេហទំព័រ និងឈ្លបយកការណ៍ក្នុងចរាចរណ៍សារដែលបានផ្ញើតាមអ៊ីមែលជាមួយនឹងលេខកូដបញ្ជាក់សម្រាប់ប្រតិបត្តិការ។

ក្នុងអំឡុងពេលពិសោធន៍ ទិន្នន័យប្រហែល 4 TB ដែលបញ្ជូនដោយផ្កាយរណបចំនួន 18 ត្រូវបានស្ទាក់ចាប់។ ការកំណត់រចនាសម្ព័ន្ធដែលបានប្រើក្នុងស្ថានភាពមួយចំនួនមិនបានផ្តល់នូវការស្ទាក់ចាប់ដែលអាចទុកចិត្តបាននៃការតភ្ជាប់ដោយសារតែសមាមាត្រសញ្ញាទៅសំឡេងខ្ពស់ និងការទទួលកញ្ចប់ព័ត៌មានមិនពេញលេញ ប៉ុន្តែព័ត៌មានដែលប្រមូលបានគឺគ្រប់គ្រាន់សម្រាប់ការសម្របសម្រួល។ ឧទាហរណ៍មួយចំនួននៃអ្វីដែលត្រូវបានរកឃើញនៅក្នុងទិន្នន័យស្ទាក់ចាប់៖

• ព័ត៌មានរុករក និងទិន្នន័យអាកាសចរណ៍ផ្សេងទៀតដែលបញ្ជូនទៅយន្តហោះត្រូវបានស្ទាក់ចាប់។ ព័ត៌មាននេះមិនត្រឹមតែត្រូវបានបញ្ជូនដោយគ្មានការអ៊ិនគ្រីបប៉ុណ្ណោះទេ ថែមទាំងនៅក្នុងប៉ុស្តិ៍ដូចគ្នាជាមួយនឹងចរាចរណ៍នៃបណ្តាញទូទៅនៅលើយន្តហោះ ដែលអ្នកដំណើរផ្ញើសំបុត្រ និងរុករកគេហទំព័រ។
• Session Cookie របស់អ្នកគ្រប់គ្រងម៉ាស៊ីនភ្លើងខ្យល់មួយនៅភាគខាងត្បូងនៃប្រទេសបារាំងដែលភ្ជាប់ទៅប្រព័ន្ធគ្រប់គ្រងដោយគ្មានការអ៊ិនគ្រីបត្រូវបានស្ទាក់ចាប់។
• ការផ្លាស់ប្តូរព័ត៌មានទាក់ទងនឹងបញ្ហាបច្ចេកទេសនៅលើនាវាដឹកប្រេងអេហ្ស៊ីបត្រូវបានស្ទាក់ចាប់។ បន្ថែមពីលើព័ត៌មានដែលថាកប៉ាល់នឹងមិនអាចទៅសមុទ្របានប្រហែលមួយខែនោះ ព័ត៌មានត្រូវបានទទួលអំពីឈ្មោះ និងលេខលិខិតឆ្លងដែនរបស់វិស្វករដែលទទួលខុសត្រូវក្នុងការដោះស្រាយបញ្ហា។
• នាវាទេសចរណ៍កំពុងបញ្ជូនព័ត៌មានរសើបអំពីបណ្តាញមូលដ្ឋានដែលមានមូលដ្ឋានលើ Windows របស់ខ្លួន រួមទាំងទិន្នន័យការតភ្ជាប់ដែលរក្សាទុកក្នុង LDAP ។
• មេធាវីជនជាតិអេស្បាញបានផ្ញើជូនកូនក្តីនូវសំបុត្រមួយជាមួយនឹងព័ត៌មានលម្អិតអំពីសំណុំរឿងនាពេលខាងមុខ។
• ក្នុងអំឡុងពេលនៃការស្ទាក់ចាប់ចរាចរណ៍ទៅកាន់កប៉ាល់របស់មហាសេដ្ឋីក្រិក ពាក្យសម្ងាត់សង្គ្រោះគណនីដែលផ្ញើតាមអ៊ីមែលនៅក្នុងសេវាកម្ម Microsoft ត្រូវបានស្ទាក់ចាប់។

ប្រភព: opennet.ru