இன்று பல நிறுவனங்கள் தங்கள் உள்கட்டமைப்பின் தகவல் பாதுகாப்பை உறுதி செய்வதில் அக்கறை கொண்டுள்ளன, சிலர் ஒழுங்குமுறை ஆவணங்களின் வேண்டுகோளின் பேரில் இதைச் செய்கிறார்கள், மேலும் சிலர் முதல் சம்பவம் நடந்த தருணத்திலிருந்து இதைச் செய்கிறார்கள். சமீபத்திய போக்குகள் சம்பவங்களின் எண்ணிக்கை அதிகரித்து வருவதைக் காட்டுகின்றன, மேலும் தாக்குதல்கள் மிகவும் சிக்கலானதாகி வருகின்றன. ஆனால் நீங்கள் வெகுதூரம் செல்ல வேண்டியதில்லை, ஆபத்து மிக அருகில் உள்ளது. இந்த நேரத்தில் நான் இணைய வழங்குநர் பாதுகாப்பு தலைப்பை எழுப்ப விரும்புகிறேன். விண்ணப்ப மட்டத்தில் இந்தத் தலைப்பைப் பற்றி விவாதிக்கும் பதிவுகள் Habré இல் உள்ளன. இந்தக் கட்டுரை நெட்வொர்க் மற்றும் தரவு இணைப்பு நிலைகளில் பாதுகாப்பு குறித்து கவனம் செலுத்தும்.
அது எப்படி ஆரம்பித்தது
சில காலத்திற்கு முன்பு, ஒரு புதிய வழங்குநரிடமிருந்து அபார்ட்மெண்டில் இணையம் நிறுவப்பட்டது; முன்பு, ADSL தொழில்நுட்பத்தைப் பயன்படுத்தி அபார்ட்மெண்டிற்கு இணைய சேவைகள் வழங்கப்பட்டன. நான் வீட்டில் சிறிது நேரம் செலவிடுவதால், வீட்டு இணையத்தை விட மொபைல் இன்டர்நெட் தேவை அதிகமாக இருந்தது. தொலைதூர வேலைக்கு மாற்றத்துடன், வீட்டு இணையத்திற்கான 50-60 Mb / s வேகம் வெறுமனே போதாது மற்றும் வேகத்தை அதிகரிக்க முடிவு செய்தேன். ADSL தொழில்நுட்பத்துடன், தொழில்நுட்ப காரணங்களுக்காக, 60 Mb/s க்கு மேல் வேகத்தை அதிகரிக்க முடியாது. ADSL வழியாக அல்லாமல் வேறு அறிவிக்கப்பட்ட வேகத்துடன் மற்றும் சேவைகளை வழங்குவதன் மூலம் மற்றொரு வழங்குநருக்கு மாற முடிவு செய்யப்பட்டது.
அது வேறு ஏதாவது இருந்திருக்கலாம்
இணைய வழங்குநரின் பிரதிநிதியைத் தொடர்புகொண்டார். நிறுவிகள் வந்து, அபார்ட்மெண்டில் ஒரு துளை துளைத்து, ஒரு RJ-45 பேட்ச் தண்டு நிறுவப்பட்டது. ரூட்டரில் அமைக்க வேண்டிய பிணைய அமைப்புகளுடன் (அர்ப்பணிப்பு ஐபி, கேட்வே, சப்நெட் மாஸ்க் மற்றும் அவர்களின் டிஎன்எஸ்ஸின் ஐபி முகவரிகள்) உடன் எனக்கு ஒப்பந்தம் மற்றும் வழிமுறைகளை வழங்கினர், முதல் மாத வேலைக்கான கட்டணத்தை எடுத்துக்கொண்டு வெளியேறினர். எனது வீட்டு திசைவியில் எனக்கு வழங்கப்பட்ட பிணைய அமைப்புகளை நான் உள்ளிட்டபோது, அபார்ட்மெண்டில் இணையம் வெடித்தது. நெட்வொர்க்கில் புதிய சந்தாதாரரின் ஆரம்ப உள்நுழைவுக்கான செயல்முறை எனக்கு மிகவும் எளிமையானதாகத் தோன்றியது. முதன்மை அங்கீகாரம் எதுவும் செய்யப்படவில்லை, மேலும் எனது அடையாளங்காட்டி எனக்கு வழங்கப்பட்ட ஐபி முகவரியாகும். இண்டர்நெட் விரைவாகவும் நிலையானதாகவும் வேலை செய்தது.அபார்ட்மெண்டில் வைஃபை ரூட்டர் இருந்தது மற்றும் சுமை தாங்கும் சுவர் வழியாக இணைப்பு வேகம் சிறிது குறைந்தது. ஒரு நாள், இரண்டு டஜன் ஜிகாபைட் அளவுள்ள கோப்பைப் பதிவிறக்க வேண்டியிருந்தது. நான் நினைத்தேன், அபார்ட்மெண்டிற்கு செல்லும் RJ-45 ஐ நேரடியாக கணினியுடன் ஏன் இணைக்கக்கூடாது.
உங்கள் அண்டை வீட்டாரை அறிந்து கொள்ளுங்கள்
முழு கோப்பையும் பதிவிறக்கம் செய்த பிறகு, சுவிட்ச் சாக்கெட்டுகளில் உள்ள அண்டை வீட்டாரை நன்கு தெரிந்துகொள்ள முடிவு செய்தேன்.
அடுக்குமாடி கட்டிடங்களில், இணைய இணைப்பு பெரும்பாலும் ஆப்டிகல் ஃபைபர் வழியாக வழங்குநரிடமிருந்து வருகிறது, வயரிங் அலமாரிக்குள் சுவிட்சுகளில் ஒன்றில் செல்கிறது மற்றும் ஈத்தர்நெட் கேபிள்கள் வழியாக நுழைவாயில்கள் மற்றும் அடுக்குமாடி குடியிருப்புகளுக்கு இடையில் விநியோகிக்கப்படுகிறது, நாம் மிகவும் பழமையான இணைப்பு வரைபடத்தை கருத்தில் கொண்டால். ஆம், ஒளியியல் நேரடியாக அபார்ட்மெண்டிற்கு (GPON) செல்லும் தொழில்நுட்பம் ஏற்கனவே உள்ளது, ஆனால் இது இன்னும் பரவலாக இல்லை.
ஒரு வீட்டின் அளவில் மிகவும் எளிமைப்படுத்தப்பட்ட இடவியலை எடுத்துக் கொண்டால், அது இப்படித்தான் தெரிகிறது:
இந்த வழங்குநரின் வாடிக்கையாளர்கள், சில அண்டை அடுக்குமாடி குடியிருப்புகள், அதே மாறுதல் கருவியில் அதே உள்ளூர் நெட்வொர்க்கில் வேலை செய்கிறார்கள் என்று மாறிவிடும்.
வழங்குநரின் நெட்வொர்க்குடன் நேரடியாக இணைக்கப்பட்ட இடைமுகத்தில் கேட்பதை இயக்குவதன் மூலம், நெட்வொர்க்கில் உள்ள அனைத்து ஹோஸ்ட்களிலிருந்தும் ஒளிபரப்பப்படும் ARP டிராஃபிக்கை நீங்கள் பார்க்கலாம்.
நெட்வொர்க்கை சிறிய பிரிவுகளாகப் பிரிப்பதில் அதிக சிரமப்பட வேண்டாம் என்று வழங்குநர் முடிவு செய்தார், எனவே 253 ஹோஸ்ட்களின் ஒளிபரப்பு ஒரு சுவிட்சுக்குள் செல்லலாம், அணைக்கப்பட்டவற்றைக் கணக்கிடாமல், சேனல் அலைவரிசையை அடைத்துவிடும்.
nmap ஐப் பயன்படுத்தி நெட்வொர்க்கை ஸ்கேன் செய்த பிறகு, முழு முகவரிக் குளம், மென்பொருள் பதிப்பு மற்றும் பிரதான சுவிட்சின் திறந்த போர்ட்கள் ஆகியவற்றிலிருந்து செயலில் உள்ள ஹோஸ்ட்களின் எண்ணிக்கையை நாங்கள் தீர்மானித்தோம்:
மற்றும் ARP எங்கே உள்ளது மற்றும் ARP-ஸ்பூஃபிங்
மேலும் செயல்களைச் செய்ய, எட்டர்கேப்-கிராஃபிக் பயன்பாடு பயன்படுத்தப்பட்டது; மேலும் நவீன ஒப்புமைகள் உள்ளன, ஆனால் இந்த மென்பொருள் அதன் பழமையான வரைகலை இடைமுகம் மற்றும் பயன்பாட்டின் எளிமை ஆகியவற்றால் ஈர்க்கிறது.
முதல் நெடுவரிசையில் பிங்கிற்கு பதிலளித்த அனைத்து திசைவிகளின் ஐபி முகவரிகள் உள்ளன, இரண்டாவதாக அவற்றின் இயற்பியல் முகவரிகள்.
இயற்பியல் முகவரி தனித்துவமானது; திசைவியின் புவியியல் இருப்பிடம் போன்றவற்றைப் பற்றிய தகவல்களைச் சேகரிக்க இது பயன்படுத்தப்படலாம், எனவே இந்த கட்டுரையின் நோக்கங்களுக்காக இது மறைக்கப்படும்.
இலக்கு 1 192.168.xxx.1 என்ற முகவரியுடன் பிரதான நுழைவாயிலைச் சேர்க்கிறது, இலக்கு 2 மற்ற முகவரிகளில் ஒன்றைச் சேர்க்கிறது.
192.168.xxx.204 என்ற முகவரியுடன், ஆனால் எங்களின் சொந்த MAC முகவரியுடன், கேட்வேயில் நம்மை அறிமுகப்படுத்துகிறோம். அதன் MAC உடன் 192.168.xxx.1 என்ற முகவரியுடன் ஒரு நுழைவாயிலாக பயனர் திசைவிக்கு நம்மை வழங்குகிறோம். இந்த ARP நெறிமுறை பாதிப்பு பற்றிய விவரங்கள் Google க்கு எளிதான பிற கட்டுரைகளில் விரிவாக விவாதிக்கப்பட்டுள்ளன.
அனைத்து கையாளுதல்களின் விளைவாக, முன்பு பாக்கெட் பகிர்தலை இயக்கியிருப்பதால், எங்கள் வழியாகச் செல்லும் ஹோஸ்ட்களிடமிருந்து டிராஃபிக்கைப் பெறுகிறோம்:
ஆம், https ஏற்கனவே எல்லா இடங்களிலும் பயன்படுத்தப்பட்டுள்ளது, ஆனால் நெட்வொர்க் இன்னும் பாதுகாப்பற்ற பிற நெறிமுறைகளால் நிரம்பியுள்ளது. எடுத்துக்காட்டாக, டிஎன்எஸ்-ஸ்பூஃபிங் தாக்குதலுடன் அதே டிஎன்எஸ். MITM தாக்குதல் நடத்தப்படலாம் என்ற உண்மை பல தாக்குதல்களுக்கு வழிவகுக்கிறது. நெட்வொர்க்கில் பல டஜன் செயலில் உள்ள ஹோஸ்ட்கள் இருக்கும்போது விஷயங்கள் மோசமாகிவிடும். இது தனியார் துறை, கார்ப்பரேட் நெட்வொர்க் அல்ல, மேலும் இது தொடர்பான தாக்குதல்களைக் கண்டறிந்து எதிர்கொள்வதற்கான பாதுகாப்பு நடவடிக்கைகள் அனைவருக்கும் இல்லை என்பதைக் கருத்தில் கொள்வது மதிப்பு.
அதை எப்படி தவிர்ப்பது
வழங்குநர் இந்த சிக்கலைப் பற்றி கவலைப்பட வேண்டும்; அதே சிஸ்கோ சுவிட்ச் விஷயத்தில், இதுபோன்ற தாக்குதல்களுக்கு எதிராக பாதுகாப்பை அமைப்பது மிகவும் எளிது.
டைனமிக் ஏஆர்பி இன்ஸ்பெக்ஷனை (டிஏஐ) இயக்குவது, மாஸ்டர் கேட்வே MAC முகவரியை ஏமாற்றுவதைத் தடுக்கும். பிராட்காஸ்ட் டொமைனை சிறிய பிரிவுகளாக பிரிப்பதன் மூலம் குறைந்தது ARP டிராஃபிக்கை ஒரு வரிசையில் அனைத்து ஹோஸ்ட்களுக்கும் பரவவிடாமல் தடுக்கிறது மற்றும் தாக்கப்படக்கூடிய ஹோஸ்ட்களின் எண்ணிக்கையை குறைக்கிறது. வாடிக்கையாளர் தனது வீட்டு திசைவியில் நேரடியாக VPN ஐ அமைப்பதன் மூலம் இத்தகைய கையாளுதல்களிலிருந்து தன்னைப் பாதுகாத்துக் கொள்ள முடியும்; பெரும்பாலான சாதனங்கள் ஏற்கனவே இந்த செயல்பாட்டை ஆதரிக்கின்றன.
கண்டுபிடிப்புகள்
பெரும்பாலும், வழங்குநர்கள் இதைப் பற்றி கவலைப்படுவதில்லை; அனைத்து முயற்சிகளும் வாடிக்கையாளர்களின் எண்ணிக்கையை அதிகரிப்பதை நோக்கமாகக் கொண்டுள்ளன. இந்தத் தகவல் தாக்குதலைக் காட்டுவதற்காக எழுதப்படவில்லை, ஆனால் உங்கள் தரவை அனுப்புவதற்கு உங்கள் வழங்குநரின் நெட்வொர்க் கூட மிகவும் பாதுகாப்பாக இருக்காது என்பதை நினைவூட்டுவதற்காக. அடிப்படை நெட்வொர்க் உபகரணங்களை இயக்குவதற்கு தேவையானதைத் தவிர வேறு எதையும் செய்யாத பல சிறிய பிராந்திய இணைய சேவை வழங்குநர்கள் உள்ளனர் என்று நான் உறுதியாக நம்புகிறேன்.
ஆதாரம்: www.habr.com