Metodika e re për sulmin kalon problemin e "jitterit në rrjet", i cili mund të ndikojë në suksesin e sulmeve përmes kanaleve të jashtme.
Metodika e re, e zhvilluar nga studiuesit e Universitetit Leuven (Belgjikë) dhe Universitetit të New Yorkut në Abu Dabi, tregon se sulmuesit mund të përdorin karakteristikat e protokolleve rrjet për të organizuar rrjedhje të informacionit të ndjeshëm.
Kjo metodikë e quajtur , e demonstruar këtë vit në konferencën Usenix, përdor karakteristikat e përpunimit të kërkesave të ekzekutuara njëkohësisht nga protokollet rrjet për të eliminuar një nga problemet e sulmeve të largëta në kohë përmes kanaleve të jashtme.
Problemet e sulmeve të largëta në kohë
Në realizimin e sulmeve në kohë, sulmuesit masin ndryshimet në kohën e ekzekutimit të komandave të ndryshme, duke u përpjekur të anashkalojnë mbrojtjen e ofruar nga enkriptimi dhe të marrin informacione mbi të dhënat e ndjeshme, siç janë çelësat e enkriptimit, korrespondenca private dhe sjellja e përdoruesve gjatë shfletimit në internet.
Por realizimin e suksesshëm të sulmeve në kohë, sulmuesi ka nevojë për njohuri të saktë të kohës që aplikacioni në shënjestër merr për të përpunuar kërkesën.
Kjo bëhet një problem gjatë sulmeve ndaj sistemeve të largëta, siç janë serverët web, sepse vonesa në rrjet (jitter) çon në shpërndarjen e kohës së përgjigjes, e cila e komplikon llogaritjen e kohës së përpunimit.
Në procesin e sulmeve të largëta në kohë, sulmuesit zakonisht dërgojnë çdo komandë disa herë dhe kryejnë një analizë statistikore të kohës së përgjigjes për të reduktuar ndikimin e jitter-it të rrjetit. Por kjo metodë është e dobishme vetëm deri në njëfarë shkalle.
"Sa më pak diferencë kohe, aq më shumë kërkesa nevojiten, dhe në një pikë të caktuar llogaritja bëhet e pamundur", na tregon studiuesi i sistemeve të sigurisë së të dhënave dhe autori kryesor i një artikulli mbi një lloj të ri sulmesh, Tom Van Goytem.
"Sulmi në kohë 'jashtë kohe'"
Metodologjia e zhvilluar nga Goytem dhe kolegët e tij kryen sulme të largëta në kohë në një mënyrë që eliminojnë ndikimin e jitter-it të rrjetit.
Principi që qëndron pas sulmeve të përhershme në kohë është i thjeshtë: duhet të bëhet që kërkesat të arrijnë në server në kohë krejt të njëjtë, dhe jo të dërgohen njëri pas tjetrit.
Kohëzgjatja garanton që të gjitha kërkesat të jenë në kushte të njëjta rrjeti dhe që procesimi i tyre të mos ndikojë nga rruga midis sulmuesit dhe serverit. Renditja e marrjes së përgjigjeve do t'i japë sulmuesit të gjithë informacionin e nevojshëm për të krahasuar kohën e ekzekutimit.
«Avantazhi kryesor i sulmeve të përhershme në kohë është se ato janë shumë më të sakta, prandaj kërkohen më pak kërkesa. Kjo i lejon sulmuesit të dallojnë ndryshimet në kohën e ekzekutimit deri në 100 ns», thotë Van Gëtem.
Dallimi minimal i kohës, i vërejtur nga studiuesit gjatë një sulmi tradicional në kohë përmes internetit, ka qenë 10 µs, që është 100 herë më shumë se gjatë sulmit me kërkesa të përhershme.
Si garantohet kohëzgjatja
«Kohëzgjatjen e garantojmë duke vendosur të dyja kërkesat në një paketë rrjeti», shpjegon Van Gëtem. «Në praktikë, zbatimi kryesisht varet nga protokolli rrjetit».
Për të dërguar kërkesa të njëkohshme, studiuesit shfrytëzojnë mundësitë e protokolleve të ndryshme rrjetike.
Për shembull, HTTP/2, i cili po bëhet shpejt standardi de facto për serverët web, mbështet "multiplexing" - një funksion që lejon klientin të dërgojë disa kërkesa paralelisht nëpërmjet një lidhjeje TCP.
"Në rastin e HTTP/2, ne thjesht duhet të sigurohemi që të dyja kërkesat të vendosen në një paketë (për shembull, duke i shkruar të dyja në socket në të njëjtën kohë)." Megjithatë, kjo metodë ka nuancat e saj. Për shembull, në shumicën e rrjeteve të shpërndarjes së përmbajtjes si Cloudflare, që siguron përmbajtjen për një pjesë të madhe të webit, lidhja midis serverëve të kufirit dhe faqes realizohet përmes protokollit HTTP/1.1, i cili nuk mbështet multiplexingun e kërkesave.
Megjithëse kjo e ul efikasitetin e një sulmi në çdo kohë, ata ende mbeten më të sakta se sulmet klasike të largëta në bazë të kohës, sepse eliminojnë jitterin midis sulmuesit dhe serverit CDN të kufirit.
Në rastet e protokolleve që nuk mbështesin shumëzimin e kërkesave, sulmuesit mund të përdorin një protokoll ndërmjetës rrjeti që inkapsulon kërkesat.
Hulumtuesit treguan se si funksionon një sulm i kohës së përjetshme në rrjetin Tor. Në këtë rast, sulmuesi inkapsulon kërkesat e shumta në një qelizë Tor — një paketë të koduar që transmetohet midis nyjeve të rrjetit Tor në paketa të vetëm TCP.
«Duke qenë se zinxhiri Tor për shërbimet onion kalon të gjithë rrugën deri te serveri, ne mund të garantojmë që kërkesat do të arrijnë njëkohësisht», thotë Van Gëtem.
Sulmet e kohës së përjetshme në praktikë
Në artikullin e tij, hulumtuesit shqyrtojnë sulmet e kohës së përjetshme në tri situata të ndryshme.
Në sulmet direkte të kohës sulmuesi lidhet drejtpërdrejt me serverin dhe përpiqet të organizojë një rrjedhje të informacionit sekret të lidhur me aplikacionin.
«Duke qenë se kur krijohen shumica e aplikacioneve të uebit, nuk merret parasysh se sulmet e kohës mund të jenë shumë praktike dhe të sakta, ne besojmë se shumë faqe uebesh janë të pambrojtura ndaj këtyre sulmeve», thotë Van Gëtem.
Në sulmet ndërsite e kohës sulmuesi bën kërkesa në faqe të tjera nga shfletuesi i viktimës dhe bën supozime mbi përmbajtjen e informacionit të ndjeshëm duke vëzhguar sekuencën e përgjigjeve.
Sulmuesit përdorën këtë skemë për të shfrytëzuar një dobësi në programin e shpërblimeve për defekte në HackerOne dhe nxorrën informacione të tilla si fjalë kyçe të përdorura në raportet konfidenciale për dobësi të pazgjidhura.
«Unë kërkova raste kur sulmi në kohë ishte regjistruar më parë, por nuk ishte konsideruar efektiv. Për këtë defekt në HackerOne ishin raportuar të paktën tri herë (identifikuesit e defekteve: , dhe ), por nuk u rregullua, sepse besohej se ky sulm ishte i pamundur për t'u përdorur. Atëherë krijova një projekt të thjeshtë kërkues të brendshëm me sulme në kohë të pavërtetë.
Në atë kohë, ajo ende mbetej shumë e paoptimizuar, sepse vazhduam të merreshim me detajet e sulmit, por megjithatë doli të ishte mjaft e saktë (në lidhjen time WiFi shtëpiake arrita të arrija rezultate shumë të sakta)».
Kërkuesit gjithashtu provojnë të kryejnë sulme në kohë të pavërteta ndaj protokollit WPA3 të WiFi.
Një nga bashkautorët e artikullit Mati Wanchhoff ka zbuluar më parë . Por koha ose ishte shumë e shkurtër për t'u përdorur në pajisje të larta performancës, ose nuk mund të përdorej kundër serverëve.
«Me ndihmën e një lloj të ri të sulmeve në kohë, ne demonstruam se në të vërtetë mund të përdorej handshake i autentikimit (EAP-pwd) kundër serverëve, edhe nëse ata janë të pajisur me pajisje të fuqishme», shpjegon Van Goetem.
Momenti ideal
Në artikullin e tij, hulumtuesit ofruan rekomandime për mbrojten e serverëve nga sulmet në kohë, siç është kufizimi i ekzekutimit në kohë të qëndrueshme dhe shtimi i një vonese të rastësishme. Për të zbatuar mjete praktike mbrojtëse kundër sulmeve të drejtpërdrejta në kohë, të cilat do të kishin ndikim të vogël në funksionimin e rrjetit, kërkohen hulumtime të mëtejshme.
«Mendojmë se kjo fushë hulumtimi është në faza shumë të hershme të zhvillimit dhe kërkon një studim shumë më të thellë,» thotë Van Goetem.
Në hulumtimet e ardhshme do të mund të studiohen metodologji të tjera që sulmuesit mund të përdorin për të kryer sulme të sinkronizuara në kohë, protokolle të tjera dhe nivele ndërmjetëse të rrjeteve që mund të sulmohen, si dhe të vlerësohet vulnerabiliteti i faqeve të njohura në internet që lejojnë kryerjen e hulumtimeve të tilla sipas kushteve të programit të kërkimit të gabimeve.
Emri 'jashtësor' u zgjodh, 'sepse në këto sulme ne nuk kemi përdorur ndonjë informacion (absolut) në lidhje me kohën', shpjegon Van Goetem.
'Përveç kësaj, ato mund të konsiderohen 'jashtësore' sepse (sulmet e largëta) në kohë janë përdorur prej një kohe të gjatë, dhe sipas hulumtimeve tona, situata do të bëhet vetëm më e keqe.'
Teksti i plotë i raportit me Usenix ndodhet .
Si reklamë
me mbrojtje nga sulmet DDoS dhe pajisje më moderne. Të gjitha këto flasin për serveryt tanë epikë. Konfigurimi maksimal - 128 bërthama CPU, 512 GB RAM, 4000 GB NVMe.
Burimi: habr.com
