아파트 규모의 Mitm 공격

오늘날 많은 기업은 인프라의 정보 보안을 보장하는 데 관심을 갖고 있으며 일부는 규제 문서의 요청에 따라 이를 수행하고 일부는 첫 번째 사건이 발생한 순간부터 이를 수행합니다. 최근에는 사고 건수도 늘어나고, 공격 자체도 더욱 정교해지는 추세입니다. 하지만 멀리 갈 필요는 없습니다. 위험은 훨씬 더 가깝습니다. 이번에는 인터넷 제공업체 보안에 대한 주제를 말씀드리고 싶습니다. 애플리케이션 수준에서 이 주제를 논의한 게시물이 Habré에 있습니다. 이 기사에서는 네트워크 및 데이터 링크 수준의 보안에 중점을 둘 것입니다.

어떻게 시작 됐어?

얼마 전 새로운 공급자로부터 아파트에 인터넷이 설치되었으며 이전에는 ADSL 기술을 사용하여 인터넷 서비스가 아파트에 제공되었습니다. 집에서 보내는 시간이 적기 때문에 집에서 인터넷보다 모바일 인터넷에 대한 수요가 더 많았습니다. 원격 근무로 전환하면서 가정용 인터넷의 50~60Mb/s 속도로는 충분하지 않다고 판단하고 속도를 높이기로 결정했습니다. ADSL 기술을 사용하면 기술적인 이유로 속도를 60Mb/s 이상으로 높이는 것이 불가능합니다. 선언된 속도가 다르고 ADSL을 통하지 않는 서비스를 제공하는 다른 공급자로 전환하기로 결정되었습니다.

뭔가 다른 것일 수도 있었어

인터넷 제공업체 담당자에게 문의했습니다. 설치 기사가 와서 아파트에 구멍을 뚫고 RJ-45 패치 코드를 설치했습니다. 라우터에 설정해야 하는 네트워크 설정(전용 IP, 게이트웨이, 서브넷 마스크 및 DNS의 IP 주소)에 대한 동의와 지침을 제공하고 작업 첫 달 비용을 지불하고 떠났습니다. 나에게 주어진 네트워크 설정을 집 라우터에 입력했을 때 아파트에 인터넷이 터졌습니다. 새로운 가입자가 네트워크에 처음 로그인하는 절차가 너무 단순해 보였습니다. 기본 인증은 수행되지 않았으며 내 식별자는 나에게 제공된 IP 주소였습니다. 인터넷은 빠르고 안정적으로 작동했습니다. 아파트에 Wi-Fi 라우터가 있었고 내력벽을 통해 연결 속도가 약간 떨어졌습니다. 어느 날 45GB 크기의 파일을 다운로드해야 했습니다. 아파트로 가는 RJ-XNUMX를 PC에 직접 연결하면 어떨까 하는 생각이 들었습니다.

네 이웃을 알라

전체 파일을 다운로드한 후 스위치 소켓의 이웃을 더 잘 알아가기로 결정했습니다.

아파트 건물에서 인터넷 연결은 광섬유를 통해 공급자로부터 나오는 경우가 많으며, 가장 원시적인 연결 다이어그램을 고려하면 이더넷 케이블을 통해 스위치 중 하나로 배선실로 들어가 입구와 아파트 사이에 배포됩니다. 예, 광학 장치가 아파트(GPON)로 바로 연결되는 기술이 이미 있지만 아직 널리 보급되지는 않았습니다.

한 집 규모로 매우 단순화된 토폴로지를 취하면 다음과 같습니다.

이 공급자의 클라이언트인 일부 이웃 아파트는 동일한 스위칭 장비를 사용하여 동일한 로컬 네트워크에서 작업하는 것으로 나타났습니다.

공급자의 네트워크에 직접 연결된 인터페이스에서 수신 대기를 활성화하면 네트워크의 모든 호스트에서 전송되는 브로드캐스트 ARP 트래픽을 볼 수 있습니다.

공급자는 네트워크를 작은 세그먼트로 나누는 데 너무 많은 노력을 기울이지 않기로 결정했습니다. 따라서 253개 호스트의 브로드캐스트 트래픽이 꺼진 호스트는 포함하지 않고 하나의 스위치 내에서 흐를 수 있어 채널 대역폭이 막히게 됩니다.

nmap을 사용하여 네트워크를 스캔한 후 전체 주소 풀에서 활성 호스트 수, 소프트웨어 버전 및 기본 스위치의 열린 포트를 확인했습니다.

ARP 및 ARP 스푸핑은 어디에 있나요?

추가 작업을 수행하기 위해 ettercap-그래픽 유틸리티가 사용되었으며 더 현대적인 아날로그가 있지만 이 소프트웨어는 원시적인 그래픽 인터페이스와 사용 편의성으로 매력적입니다.

첫 번째 열에는 핑에 응답한 모든 라우터의 IP 주소가 있고, 두 번째 열에는 물리적 주소가 있습니다.

물리적 주소는 고유하며 라우터의 지리적 위치 등에 대한 정보를 수집하는 데 사용될 수 있으므로 이 기사의 목적을 위해 숨겨집니다.

목표 1은 주소 192.168.xxx.1을 사용하여 기본 게이트웨이를 추가하고, 목표 2는 다른 주소 중 하나를 추가합니다.

우리는 주소가 192.168.xxx.204이지만 자체 MAC 주소를 가진 호스트로서 게이트웨이에 자신을 소개합니다. 그런 다음 MAC와 함께 주소가 192.168.xxx.1인 게이트웨이로 사용자 라우터에 자신을 제시합니다. 이 ARP 프로토콜 취약점에 대한 자세한 내용은 Google에서 쉽게 볼 수 있는 다른 기사에서 자세히 논의됩니다.

모든 조작의 결과로 이전에 패킷 전달을 활성화한 호스트에서 우리를 통과하는 트래픽이 발생했습니다.

예, https는 이미 거의 모든 곳에서 사용되고 있지만 네트워크는 여전히 보안되지 않은 다른 프로토콜로 가득 차 있습니다. 예를 들어, DNS 스푸핑 공격을 사용하는 동일한 DNS입니다. MITM 공격이 수행될 수 있다는 사실 자체가 다른 많은 공격을 야기합니다. 네트워크에 사용 가능한 활성 호스트가 수십 개 있으면 상황은 더욱 악화됩니다. 이는 기업 네트워크가 아닌 민간 부문이라는 점과 모든 사람이 관련 공격을 탐지하고 대응할 수 있는 보호 조치를 갖고 있는 것은 아니라는 점을 고려해 볼 가치가 있습니다.

그것을 피하는 방법

공급자는 이 문제에 대해 우려해야 하며, 동일한 Cisco 스위치의 경우 이러한 공격에 대한 보호 설정은 매우 간단합니다.

DAI(동적 ARP 검사)를 활성화하면 마스터 게이트웨이 MAC 주소가 스푸핑되는 것을 방지할 수 있습니다. 브로드캐스트 도메인을 더 작은 세그먼트로 나누면 최소한 ARP 트래픽이 모든 호스트에 연속적으로 확산되는 것을 방지하고 공격받을 수 있는 호스트 수를 줄일 수 있습니다. 클라이언트는 홈 라우터에 직접 VPN을 설정하여 이러한 조작으로부터 자신을 보호할 수 있으며, 대부분의 장치는 이미 이 기능을 지원합니다.

조사 결과

대부분의 경우 공급자는 이에 대해 신경 쓰지 않으며 모든 노력은 클라이언트 수를 늘리는 것을 목표로 합니다. 이 자료는 공격을 보여주기 위해 작성된 것이 아니지만, 귀하의 공급자 네트워크조차도 귀하의 데이터 전송에 그다지 안전하지 않을 수 있다는 점을 상기시키기 위해 작성되었습니다. 기본적인 네트워크 장비를 운영하는 데 필요한 것 외에는 아무것도 하지 않은 소규모 지역 인터넷 서비스 제공업체가 많이 있을 것이라고 확신합니다.

출처 : habr.com