Sun'iy yo'ldosh Internet xavfsizligi bilan bog'liq qayg'uli vaziyat

Oxirgi konferentsiyada Black Hat taqdim etildi hisobot, sun'iy yo'ldosh Internetga kirish tizimlarida xavfsizlik muammolariga bag'ishlangan. Hisobot muallifi arzon DVB qabul qilgichidan foydalanib, sun'iy yo'ldosh aloqa kanallari orqali uzatiladigan internet-trafikni ushlab qolish imkoniyatini ko'rsatdi.

Mijoz sun'iy yo'ldosh provayderiga assimetrik yoki simmetrik kanallar orqali ulanishi mumkin. Asimmetrik kanal bo'lsa, mijozdan chiquvchi trafik yer usti provayderi orqali yuboriladi va sun'iy yo'ldosh orqali qabul qilinadi. Simmetrik bog'lanishlarda chiquvchi va kiruvchi trafik sun'iy yo'ldosh orqali o'tadi. Mijozga yuborilgan paketlar geografik joylashuvidan qat'i nazar, turli mijozlardan kelgan trafikni o'z ichiga olgan translyatsiya yordamida sun'iy yo'ldoshdan yuboriladi. Bunday trafikni ushlab turish qiyin emas edi, lekin sun'iy yo'ldosh orqali mijozdan kelgan trafikni ushlab turish unchalik oson emas edi.

Sun'iy yo'ldosh va provayder o'rtasida ma'lumot almashish uchun odatda tajovuzkor provayder infratuzilmasidan bir necha o'nlab kilometr masofada bo'lishini talab qiladigan, shuningdek, tahlil qilish uchun qimmat provayder uskunalarini talab qiladigan boshqa chastota diapazoni va kodlash formatlaridan foydalanadigan yo'naltirilgan uzatish qo'llaniladi. . Ammo provayder odatdagi Ku-diapazonidan foydalansa ham, qoida tariqasida, turli yo'nalishlar uchun chastotalar farq qiladi, bu ikkinchi sun'iy yo'ldosh antennasidan foydalanishni va har ikki yo'nalishda ushlab turish uchun oqim sinxronizatsiyasi muammosini hal qilishni talab qiladi.

Sun'iy yo'ldosh aloqalarini ushlab turishni tashkil qilish uchun o'n minglab dollar turadigan maxsus jihozlar kerak edi, deb taxmin qilingan, ammo aslida bunday hujum oddiy DVB-S sun'iy yo'ldosh televideniesi (TBS 6983/6903) va parabolik antenna uchun tyuner. Hujum to'plamining umumiy narxi taxminan 300 dollarni tashkil etdi. Antennani sun'iy yo'ldoshlarga yo'naltirish uchun sun'iy yo'ldoshlarning joylashuvi haqidagi ommaviy ma'lumotlardan foydalanilgan va aloqa kanallarini aniqlash uchun sun'iy yo'ldosh telekanallarini qidirish uchun mo'ljallangan standart dastur ishlatilgan. Antenna sun'iy yo'ldoshga qaratildi va skanerlash jarayoni boshlandi Ku-band.

Kanallar radiochastota spektridagi fon shovqinida sezilarli bo'lgan cho'qqilarni aniqlash orqali aniqlandi. Tepalikni aniqlagandan so'ng, DVB kartasi signalni sun'iy yo'ldosh televideniesi uchun oddiy raqamli video eshittirish sifatida talqin qilish va yozish uchun tuzilgan. Sinovlarni ushlab turish yordamida trafikning tabiati aniqlandi va Internet ma'lumotlari raqamli televideniedan ajratildi ("HTTP" niqobi yordamida DVB kartasi tomonidan chiqarilgan axlatxonada oddiy qidiruv ishlatilgan, agar topilgan bo'lsa, deb hisoblangan. Internet ma'lumotlariga ega kanal topildi).

Trafikni o'rganish shuni ko'rsatdiki, barcha tahlil qilingan sun'iy yo'ldosh Internet provayderlari sukut bo'yicha shifrlashdan foydalanmaydi, bu esa trafikni to'siqsiz tinglash imkonini beradi. Shunisi e'tiborga loyiqki, sun'iy yo'ldosh Internet xavfsizligi muammolari haqida ogohlantirishlar nashr etilgan o'n yil oldin, lekin o'sha vaqtdan beri ma'lumotlarni uzatishning yangi usullari joriy etilganiga qaramay, vaziyat o'zgarmadi. Internet-trafikni inkapsulyatsiya qilish uchun yangi GSE (Generic Stream Encapsulation) protokoliga o'tish va 32 o'lchovli amplitudali modulyatsiya va APSK (Phase Shift Anahtaring) kabi murakkab modulyatsiya tizimlaridan foydalanish hujumlarni qiyinlashtirmadi, lekin ushlab turish uskunasining narxi. hozir 50000 300 dollardan XNUMX dollarga tushdi.

Sun'iy yo'ldosh aloqa kanallari orqali ma'lumotlarni uzatishda muhim kamchilik - bu paketlarni etkazib berishning juda katta kechikishi (~ 700 ms), bu er usti aloqa kanallari orqali paketlarni jo'natishdagi kechikishdan o'nlab marta ko'pdir. Bu xususiyat xavfsizlikka ikkita muhim salbiy ta'sir ko'rsatadi: VPN-larning keng qo'llanilmasligi va firibgarlikdan himoyalanmaganligi (paketlarni almashtirish). Ta'kidlanishicha, VPN-dan foydalanish uzatishni taxminan 90 foizga sekinlashtiradi, bu esa katta kechikishlarni hisobga olgan holda VPN-ni sun'iy yo'ldosh kanallari uchun amalda qo'llamaydi.

Spoofingning zaifligi tajovuzkor jabrlanuvchiga kelayotgan trafikni to'liq tinglashi bilan izohlanadi, bu esa ulanishlarni identifikatsiya qiluvchi TCP paketlarida tartib raqamlarini aniqlash imkonini beradi. Soxta paketni yer usti kanali orqali yuborayotganda, sun'iy yo'ldosh kanali orqali uzoq kechikishlar bilan uzatiladigan va qo'shimcha ravishda tranzit provayderi orqali uzatiladigan haqiqiy paketdan oldin kelishi deyarli kafolatlanadi.

Sun'iy yo'ldosh tarmog'i foydalanuvchilariga hujum qilishning eng oson maqsadlari odatda shifrlanmagan mijozlar tomonidan ishlatiladigan DNS-trafik, shifrlanmagan HTTP va elektron pochtadir. DNS uchun domenni tajovuzkor serveriga bog'laydigan xayoliy DNS javoblarini yuborishni tashkil qilish oson (tajovuzkor so'rovni trafikda eshitgandan so'ng darhol xayoliy javobni yaratishi mumkin, haqiqiy so'rov esa xizmat ko'rsatuvchi provayder orqali o'tishi kerak. sun'iy yo'ldosh trafigi). Elektron pochta trafigini tahlil qilish sizga maxfiy ma'lumotlarni ushlab qolish imkonini beradi, masalan, veb-saytda parolni tiklash jarayonini boshlashingiz va operatsiyani tasdiqlash kodi bilan elektron pochta orqali yuborilgan xabarni trafikda josuslik qilishingiz mumkin.

Tajriba davomida 4 ta sun’iy yo‘ldosh orqali uzatiladigan 18 TBga yaqin ma’lumotlar ushlandi. Muayyan vaziyatlarda foydalanilgan konfiguratsiya yuqori signal-shovqin nisbati va to'liq bo'lmagan paketlarni olish tufayli ulanishlarni ishonchli ushlab turishni ta'minlamadi, ammo to'plangan ma'lumotlar murosaga kelish uchun etarli edi. Tutib olingan ma'lumotlarda topilgan narsalarga ba'zi misollar:

• Navigatsiya ma'lumotlari va samolyotlarga uzatiladigan boshqa avionika ma'lumotlari ushlandi. Ushbu ma'lumot nafaqat shifrlashsiz, balki yo'lovchilar pochta jo'natishlari va veb-saytlarni ko'rishlari mumkin bo'lgan umumiy bort tarmog'ining trafigiga o'xshash kanalda ham uzatildi.
• Frantsiya janubidagi shamol generatori ma'murining "Cookie" seansi, shifrlashsiz boshqaruv tizimiga ulangan.
• Misr neft tankeridagi texnik nosozliklar bo‘yicha ma’lumotlar almashinuvi ushlandi. Kema bir oyga yaqin dengizga chiqa olmasligi haqidagi ma'lumotlardan tashqari, muammoni bartaraf etish uchun mas'ul bo'lgan muhandisning ismi-sharifi va pasport raqami haqida ma'lumot olingan.
• Kruiz kemasi Windows-ga asoslangan mahalliy tarmog'i, jumladan LDAP-da saqlangan ulanish ma'lumotlari haqida nozik ma'lumotlarni uzatgan.
• Ispaniyalik advokat mijozga bo'lajak ish tafsilotlari bilan xat yubordi.
• Gretsiyalik milliarderning yaxtasiga trafikni ushlash vaqtida Microsoft xizmatlarida elektron pochta orqali yuborilgan hisobni tiklash paroli ushlandi.

Manba: opennet.ru