Mitm ໂຈມຕີຂະໜາດຂອງຕຶກອາພາດເມັນ

ບໍລິສັດຈໍານວນຫຼາຍໃນມື້ນີ້ມີຄວາມກັງວົນກ່ຽວກັບການຮັບປະກັນຄວາມປອດໄພຂອງຂໍ້ມູນພື້ນຖານໂຄງລ່າງຂອງພວກເຂົາ, ບາງຄົນເຮັດສິ່ງນີ້ຕາມຄໍາຮ້ອງຂໍຂອງເອກະສານກົດລະບຽບ, ແລະບາງຄົນເຮັດສິ່ງນີ້ຕັ້ງແຕ່ເຫດການທໍາອິດທີ່ເກີດຂື້ນ. ທ່າ​ອ່ຽງ​ທີ່​ບໍ່​ດົນ​ມາ​ນີ້​ສະ​ແດງ​ໃຫ້​ເຫັນ​ວ່າ​ຈຳນວນ​ເຫດການ​ກໍ່​ການ​ຮ້າຍ​ເພີ່ມ​ຂຶ້ນ, ​ແລະ​ການ​ໂຈມ​ຕີ​ດ້ວຍ​ຕົນ​ເອງ​ກໍ່​ມີ​ຄວາມ​ສັບສົນ​ຂຶ້ນ. ແຕ່ທ່ານບໍ່ຈໍາເປັນຕ້ອງໄປໄກ, ອັນຕະລາຍແມ່ນໃກ້ຊິດຫຼາຍ. ເວລານີ້ຂ້ອຍຢາກຍົກຫົວຂໍ້ຄວາມປອດໄພຂອງຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ. ມີຂໍ້ຄວາມກ່ຽວກັບHabréທີ່ສົນທະນາຫົວຂໍ້ນີ້ໃນລະດັບຄໍາຮ້ອງສະຫມັກ. ບົດຄວາມນີ້ຈະເນັ້ນໃສ່ຄວາມປອດໄພໃນລະດັບເຄືອຂ່າຍ ແລະການເຊື່ອມຕໍ່ຂໍ້ມູນ.

ມັນໄດ້ເລີ່ມຕົ້ນແນວໃດ

ບາງຄັ້ງກ່ອນຫນ້ານີ້, ອິນເຕີເນັດໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນອາພາດເມັນຈາກຜູ້ໃຫ້ບໍລິການໃຫມ່; ກ່ອນຫນ້ານີ້, ການບໍລິການອິນເຕີເນັດໄດ້ຖືກສົ່ງໄປຫາອາພາດເມັນໂດຍໃຊ້ເຕັກໂນໂລຢີ ADSL. ເນື່ອງຈາກຂ້ອຍໃຊ້ເວລາຢູ່ເຮືອນໜ້ອຍໜຶ່ງ, ອິນເຕີເນັດມືຖືມີຄວາມຕ້ອງການຫຼາຍກວ່າອິນເຕີເນັດຢູ່ເຮືອນ. ດ້ວຍການຫັນປ່ຽນໄປສູ່ການເຮັດວຽກຫ່າງໄກສອກຫຼີກ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈວ່າຄວາມໄວ 50-60 Mb / s ສໍາລັບອິນເຕີເນັດຢູ່ເຮືອນແມ່ນບໍ່ພຽງພໍແລະຕັດສິນໃຈເພີ່ມຄວາມໄວ. ດ້ວຍເທກໂນໂລຍີ ADSL, ສໍາລັບເຫດຜົນດ້ານວິຊາການ, ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະເພີ່ມຄວາມໄວເກີນ 60 Mb/s. ມັນໄດ້ຖືກຕັດສິນໃຈປ່ຽນໄປຫາຜູ້ໃຫ້ບໍລິການອື່ນທີ່ມີຄວາມໄວທີ່ປະກາດທີ່ແຕກຕ່າງກັນແລະການບໍລິການທີ່ບໍ່ແມ່ນຜ່ານ ADSL.

ມັນອາດຈະເປັນສິ່ງທີ່ແຕກຕ່າງກັນ

ຕິດຕໍ່ຕົວແທນຂອງຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ. ຜູ້ຕິດຕັ້ງມາ, ເຈາະຮູເຂົ້າໄປໃນອາພາດເມັນ, ແລະຕິດຕັ້ງສາຍໄຟ RJ-45. ພວກເຂົາເຈົ້າໄດ້ໃຫ້ຂ້ອຍຂໍ້ຕົກລົງແລະຄໍາແນະນໍາກັບການຕັ້ງຄ່າເຄືອຂ່າຍທີ່ຈໍາເປັນຕ້ອງໄດ້ຕັ້ງຢູ່ໃນ router (IP ອຸທິດຕົນ, gateway, subnet mask ແລະທີ່ຢູ່ IP ຂອງ DNS ຂອງເຂົາເຈົ້າ), ເອົາການຈ່າຍເງິນສໍາລັບເດືອນທໍາອິດຂອງການເຮັດວຽກແລະປະໄວ້. ເມື່ອຂ້ອຍເຂົ້າໄປໃນການຕັ້ງຄ່າເຄືອຂ່າຍທີ່ມອບໃຫ້ຂ້ອຍເຂົ້າໄປໃນ router ເຮືອນຂອງຂ້ອຍ, ອິນເຕີເນັດໄດ້ເຂົ້າໄປໃນອາພາດເມັນ. ຂັ້ນຕອນການເຂົ້າສູ່ລະບົບເບື້ອງຕົ້ນຂອງຜູ້ສະໝັກໃໝ່ໃນເຄືອຂ່າຍເບິ່ງຄືວ່າງ່າຍເກີນໄປສຳລັບຂ້ອຍ. ບໍ່ມີການອະນຸຍາດຕົ້ນຕໍຖືກປະຕິບັດ, ແລະຕົວລະບຸຂອງຂ້ອຍແມ່ນທີ່ຢູ່ IP ທີ່ມອບໃຫ້ຂ້ອຍ. ອິນ​ເຕີ​ເນັດ​ເຮັດ​ວຽກ​ໄດ້​ໄວ​ແລະ​ສະ​ຖຽນ​ລະ​ພາບ, ມີ wifi router ຢູ່​ໃນ​ອາ​ພາດ​ເມັນ​ແລະ​ຜ່ານ​ກໍາ​ແພງ​ນ​້​ໍ​າ​ການ​ໂຫຼດ​ຄວາມ​ໄວ​ການ​ເຊື່ອມ​ຕໍ່​ຫຼຸດ​ລົງ​ເລັກ​ນ້ອຍ​. ມື້ຫນຶ່ງ, ຂ້ອຍຈໍາເປັນຕ້ອງໄດ້ດາວໂຫລດໄຟລ໌ທີ່ວັດແທກສອງອາຍແກັສ gigabyte. ຂ້າພະເຈົ້າຄິດວ່າ, ເປັນຫຍັງບໍ່ເຊື່ອມຕໍ່ RJ-45 ໄປຫາອາພາດເມັນໂດຍກົງກັບ PC.

ຮູ້ຈັກເພື່ອນບ້ານຂອງເຈົ້າ

ມີການດາວໂຫຼດໄຟລ໌ທັງຫມົດ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈທີ່ຈະຮູ້ຈັກປະເທດເພື່ອນບ້ານໃນເຕົ້າຮັບສະຫຼັບໄດ້ດີກວ່າ.

ໃນອາຄານອາພາດເມັນ, ການເຊື່ອມຕໍ່ອິນເຕີເນັດມັກຈະມາຈາກຜູ້ໃຫ້ບໍລິການຜ່ານເສັ້ນໄຍ optical, ເຂົ້າໄປໃນຕູ້ສາຍໄຟເຂົ້າໄປໃນຫນຶ່ງຂອງສະຫວິດແລະຖືກແຈກຢາຍລະຫວ່າງທາງເຂົ້າແລະຫ້ອງແຖວຜ່ານສາຍ Ethernet, ຖ້າພວກເຮົາພິຈາລະນາແຜນວາດການເຊື່ອມຕໍ່ primitive ທີ່ສຸດ. ແມ່ນແລ້ວ, ມີເທກໂນໂລຍີທີ່ optics ໄປກົງກັບອາພາດເມັນ (GPON), ແຕ່ນີ້ຍັງບໍ່ທັນແຜ່ຫຼາຍ.

ຖ້າພວກເຮົາເອົາ topology ທີ່ງ່າຍດາຍຫຼາຍຢູ່ໃນຂະຫນາດຂອງເຮືອນຫນຶ່ງ, ມັນເບິ່ງຄືວ່າ:

ມັນ turns ໃຫ້ເຫັນວ່າລູກຄ້າຂອງຜູ້ໃຫ້ບໍລິການນີ້, ບາງຫ້ອງແຖວໃກ້ຄຽງ, ເຮັດວຽກຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນດຽວກັນໃນອຸປະກອນສະຫຼັບດຽວກັນ.

ໂດຍການເປີດໃຊ້ການຟັງໃນການໂຕ້ຕອບທີ່ເຊື່ອມຕໍ່ໂດຍກົງກັບເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການ, ທ່ານສາມາດເບິ່ງການອອກອາກາດ ARP ບິນຈາກເຈົ້າພາບທັງຫມົດໃນເຄືອຂ່າຍ.

ຜູ້ໃຫ້ບໍລິການໄດ້ຕັດສິນໃຈທີ່ຈະບໍ່ລົບກວນຫຼາຍເກີນໄປກັບການແບ່ງເຄືອຂ່າຍອອກເປັນສ່ວນນ້ອຍໆ, ດັ່ງນັ້ນການອອກອາກາດຈາກ 253 ໂຮດສາມາດໄຫຼໄດ້ພາຍໃນຫນຶ່ງສະວິດ, ບໍ່ໄດ້ນັບຈໍານວນທີ່ຖືກປິດ, ດັ່ງນັ້ນການຂັດຂວາງແບນວິດຂອງຊ່ອງທາງ.

ດ້ວຍການສະແກນເຄືອຂ່າຍໂດຍໃຊ້ nmap, ພວກເຮົາໄດ້ກໍານົດຈໍານວນ hosts ທີ່ໃຊ້ວຽກຈາກສະນຸກເກີທີ່ຢູ່ທັງຫມົດ, ສະບັບຊອບແວແລະພອດເປີດຂອງສະວິດຕົ້ນຕໍ:

ແລະ ARP ຢູ່ໃສຢູ່ທີ່ນັ້ນ ແລະ ARP-spoofing

ເພື່ອປະຕິບັດການດໍາເນີນການຕື່ມອີກ, utility ettercap-graphical ໄດ້ຖືກນໍາໃຊ້; ຍັງມີ analogues ທີ່ທັນສະໄຫມຫຼາຍ, ແຕ່ຊອບແວນີ້ດຶງດູດເອົາກັບການໂຕ້ຕອບຮູບພາບ primitive ແລະຄວາມງ່າຍຂອງການນໍາໃຊ້.

ໃນຖັນທໍາອິດແມ່ນທີ່ຢູ່ IP ຂອງ routers ທັງຫມົດທີ່ຕອບສະຫນອງກັບ ping, ໃນທີສອງແມ່ນທີ່ຢູ່ທາງດ້ານຮ່າງກາຍຂອງພວກເຂົາ.

ທີ່ຢູ່ທາງດ້ານຮ່າງກາຍແມ່ນເປັນເອກະລັກ; ມັນສາມາດຖືກນໍາໃຊ້ເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບສະຖານທີ່ຕັ້ງພູມສາດຂອງ router, ແລະອື່ນໆ, ດັ່ງນັ້ນມັນຈະຖືກເຊື່ອງໄວ້ເພື່ອຈຸດປະສົງຂອງບົດຄວາມນີ້.

ເປົ້າໝາຍ 1 ເພີ່ມປະຕູຫຼັກດ້ວຍທີ່ຢູ່ 192.168.xxx.1, ເປົ້າໝາຍ 2 ເພີ່ມໜຶ່ງໃນທີ່ຢູ່ອື່ນ.

ພວກເຮົາແນະນໍາຕົວເອງກັບ gateway ເປັນເຈົ້າພາບທີ່ມີທີ່ຢູ່ 192.168.xxx.204, ແຕ່ມີທີ່ຢູ່ MAC ຂອງພວກເຮົາເອງ. ຫຼັງຈາກນັ້ນ, ພວກເຮົານໍາສະເຫນີຕົວເຮົາເອງກັບ router ຜູ້ໃຊ້ເປັນປະຕູທີ່ມີທີ່ຢູ່ 192.168.xxx.1 ກັບ MAC ຂອງມັນ. ລາຍລະອຽດກ່ຽວກັບຄວາມອ່ອນແອຂອງໂປໂຕຄອນ ARP ນີ້ໄດ້ຖືກປຶກສາຫາລືຢ່າງລະອຽດໃນບົດຄວາມອື່ນໆທີ່ງ່າຍຕໍ່ການ Google.

ເປັນຜົນມາຈາກການຫມູນໃຊ້ທັງຫມົດ, ພວກເຮົາມີການຈະລາຈອນຈາກເຈົ້າພາບທີ່ຜ່ານພວກເຮົາ, ເຊິ່ງໄດ້ເປີດໃຊ້ການສົ່ງຕໍ່ແພັກເກັດໃນເມື່ອກ່ອນ:

ແມ່ນແລ້ວ, https ຖືກໃຊ້ແລ້ວເກືອບທຸກບ່ອນ, ແຕ່ເຄືອຂ່າຍຍັງເຕັມໄປດ້ວຍໂປໂຕຄອນທີ່ບໍ່ປອດໄພອື່ນໆ. ຕົວຢ່າງ, DNS ດຽວກັນກັບການໂຈມຕີ DNS-spoofing. ຄວາມຈິງທີ່ວ່າການໂຈມຕີ MITM ສາມາດຖືກປະຕິບັດເຮັດໃຫ້ການໂຈມຕີອື່ນໆຈໍານວນຫຼາຍ. ສິ່ງຕ່າງໆຈະຮ້າຍແຮງຂຶ້ນເມື່ອມີໂຮດທີ່ມີການເຄື່ອນໄຫວຫຼາຍສິບໜ່ວຍທີ່ມີຢູ່ໃນເຄືອຂ່າຍ. ມັນເປັນມູນຄ່າທີ່ພິຈາລະນາວ່ານີ້ແມ່ນພາກເອກະຊົນ, ບໍ່ແມ່ນເຄືອຂ່າຍຂອງບໍລິສັດ, ແລະບໍ່ແມ່ນທຸກຄົນທີ່ມີມາດຕະການປ້ອງກັນເພື່ອກວດພົບແລະຕ້ານການໂຈມຕີທີ່ກ່ຽວຂ້ອງ.

ວິທີການຫຼີກເວັ້ນການມັນ

ຜູ້ໃຫ້ບໍລິການຄວນກັງວົນກ່ຽວກັບບັນຫານີ້; ການຕັ້ງຄ່າການປ້ອງກັນການໂຈມຕີດັ່ງກ່າວແມ່ນງ່າຍດາຍຫຼາຍ, ໃນກໍລະນີຂອງສະຫຼັບ Cisco ດຽວກັນ.

ການເປີດໃຊ້ Dynamic ARP Inspection (DAI) ຈະປ້ອງກັນການປອມແປງທີ່ຢູ່ MAC ຂອງເກດເວຫຼັກ. ການແຍກການອອກອາກາດ ໂດເມນ ຢ່າງໜ້ອຍການຈະລາຈອນ ARP ໄດ້ຖືກປ້ອງກັນຈາກການແຜ່ລາມໄປຫາໂຮດທັງໝົດຕິດຕໍ່ກັນ ແລະ ຫຼຸດຜ່ອນຈຳນວນໂຮດທີ່ອາດຈະຖືກໂຈມຕີໂດຍການແບ່ງມັນອອກເປັນສ່ວນນ້ອຍໆ. ໃນທາງກັບກັນ, ລູກຄ້າສາມາດປົກປ້ອງຕົນເອງຈາກການຫຼອກລວງດັ່ງກ່າວໂດຍການຕັ້ງຄ່າ VPN ໂດຍກົງໃນເຣົາເຕີ້ເຮືອນຂອງທ່ານ, ອຸປະກອນສ່ວນໃຫຍ່ຮອງຮັບຟັງຊັນນີ້ແລ້ວ.

ການຄົ້ນພົບ

ສ່ວນຫຼາຍອາດຈະ, ຜູ້ໃຫ້ບໍລິການບໍ່ສົນໃຈເລື່ອງນີ້; ຄວາມພະຍາຍາມທັງຫມົດແມ່ນແນໃສ່ການເພີ່ມຈໍານວນລູກຄ້າ. ເອກະສານນີ້ບໍ່ໄດ້ຖືກຂຽນເພື່ອສະແດງໃຫ້ເຫັນການໂຈມຕີ, ແຕ່ເພື່ອເຕືອນທ່ານວ່າເຖິງແມ່ນວ່າເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການຂອງທ່ານອາດຈະບໍ່ປອດໄພຫຼາຍສໍາລັບການສົ່ງຂໍ້ມູນຂອງທ່ານ. ຂ້າ​ພະ​ເຈົ້າ​ແນ່​ໃຈວ່​າ​ມີ​ຜູ້​ໃຫ້​ບໍ​ລິ​ການ​ອິນ​ເຕີ​ເນັດ​ພາກ​ພື້ນ​ຂະ​ຫນາດ​ນ້ອຍ​ຈໍາ​ນວນ​ຫຼາຍ​ທີ່​ບໍ່​ໄດ້​ເຮັດ​ຫຍັງ​ຫຼາຍ​ກ​່​ວາ​ຄວາມ​ຈໍາ​ເປັນ​ເພື່ອ​ດໍາ​ເນີນ​ການ​ອຸ​ປະ​ກອນ​ເຄືອ​ຂ່າຍ​ພື້ນ​ຖານ​.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com