Aspekty bezpieczenstwa w sieciach opartych o TCP/IP cz. I.
Coraz powszechniejsze zastosowanie TCP/IP w sieciach teleinformatycznych oraz coraz wiekszy nacisk na aspekty bezpieczenstwa przesylanych danych prowadzi do postawienia sobie pytania jak ta problematyka odzwierciedla sie w standardach TCP/IP? Czesc pierwsza artykulu przedstawia ogólny opis TCP/IP oraz niektóre istotne zagrozenia majace bezposredni zwiazek z budowa protokolu IP wraz z próba odpowiedzi jak chronic sie przed nimi. Czesc druga bedzie opisem standardu IPSEC stanowiacego rozszerzenie IP o problematyke bezpieczenstwa danych. W czesci trzeciej planowana jest kontynuacja problematyki bezpieczenstwa w protokolach warstwy transportowej.
1. Co to jest TCP/IP?
TCP/IP jest powszechnie stosowanym zbiorem protokolów we wspólczesnych sieciach teleinformatycznych. Stanowi miedzynarodowy standard de facto komunikacji pomiedzy dowolnymi urzadzeniami w globalnej sieci teleinformatycznej, niezaleznie od systemów operacyjnych czy sprzetu. Wspólnym elementem dla calego zbioru jest siec IP (Internet Protocol).
Poczatek sieci Internet dala niewielka siec ARPANET. Siec ta szybko przekroczyla ramy zamknietego srodowiska akademickiego i wojskowego i zaczela sie rozrastac w nieprzewidywanym przez twórców tempie. Dla porównania w 1989 roku w sieci Internet polaczonych bylo ok. 100 tysiecy hostów, w roku 1997 - 16 milionów! Obecnie mozemy przyjac dwukrotny wzrost sieci Internet w ciagu roku (czyli okolo 60 milionów hostów!). Jest to najwieksza, globalna siec komunikacyjna.
2. Architektura TCP/IP.
Wspomnialem o architekturze komunikacyjnej TCP/IP. Twórcy dla uproszczenia problemów zwiazanych z projektowaniem sieci zaproponowali czterowarstwowy model komunikacyjny. Modele warstwowe uslug komunikacyjnych opieraja sie o zasade: warstwa N dostarcza uslugi komunikacyjnej warstwie wyzszej korzystajac z uslug warstwy nizszej.
Warstwa aplikacyjnaWarstwa transportowaWarstwa sieciowaWarstwa dostepuRys. 1. Model warstwowy TCP/IP.
Warstwa aplikacyjna odpowiedzialna jest za dostarczenie pelnej uslugi komunikacyjnej uzytkownikowi (lub procesowi uzytkownika). Warstwa ta zawiera szereg protokolów zapewniajacych realizacje praktycznie kazdej uslugi komunikacyjnej. Protokoly tej warstwy to: Telnet, FTP, TFPT, HTTP, DNS, X Windows, SMTP, SNMP, NFS, NNTP, NTP, BGP i inne.
Warstwa transportowa odpowiedzialna jest za: fragmentacje lub skladanie przetwarzanych danych, za poprawna transmisje danych oraz sterowanie przeplywem danych. Protokoly tej warstwy to: TCP, UDP, IGMP, IGP, EGP.
Warstwa sieciowa (IP) okresla mechanizmy przesylania danych w podsieciach komunikacyjnych niezaleznie od rodzaju protokolów i mediów transmisyjnych poszczególnych podsieci. Posiada pelna informacje o topologii sieci i na tej podstawie realizuje wybór drogi (routing) pakietów pomiedzy podsieciami. Warstwa ta posiada ponadto mechanizmy sterowania i kontroli transmisji. Kazde urzadzenie w warstwie IP posiada unikalny adres sieciowy zwiazany z adresem fizycznym. Protokoly tej warstwy to: IP, ARP, RARP, ICMP.
Warstwa dostepu okresla w jaki sposób transmitowane sa w medium bity "0" i "1", odpowiada za uformowanie z fizycznego strumienia bitów logicznej ramki, która zawiera transmitowane dane i przekazanie tych danych do warstwy sieci. Protokoly tej warstwy to przykladowo: Ethernet, Token Ring, ATM, ISDN, Frame Relay, X.25, SLIP, PPP.
3. Dlaczego mówimy o bezpieczenstwie w TCP/IP?
Poniewaz coraz latwiej uzyskac dostep do globalnej sieci Internet, która oparta jest o TCP/IP. Poniewaz wiele firm, które oferuja uslugi teleinformatyczne oparte o róznego rodzaju sieci (X.25, Frame Relay itp.), zaczynaja równiez te uslugi oferowac w sieci Internet. Przykladem moze byc popularna w swiecie bankowym usluga "home bankingu", która umozliwia zdalna realizacje transakcji bankowych, jest przez wiele banków realizowana w sieci Internet. Innym przykladem jest usluga tzw. sklepów wirtualnych. W obu przypadkach mamy doczynienia z przesylaniem informacji, której bezpieczenstwo jest istotne dla obu stron uczestniczacych w transakcji. Przykladów takich jest o wiele wiecej.
Architektura TCP/IP, jak juz wczesniej wspomnialem, powstala w niewielkim, zamknietym srodowisku akademickim, które nie potrzebowalo zadnego szczególnego zabezpieczenia przesylanych danych, gdyz komunikacja byla otwarta i oparta na wzajemnym zaufaniu waskiego grona uzytkowników. Historycznie zawiera ona takie mechanizmy, które umozliwiaja poprawna transmisje danych w sieci. Nie zapewnia ani poufnosci, ani niezaprzeczalnosci, ani integralnosci przesylanej informacji, która moze w dowolnym momencie byc podsluchana, przejeta badz zmodyfikowana przez osoby trzecie.
4. Mozliwosci zabezpieczen warstwy sieciowej.
Siec IP jest siecia bezpolaczeniowa. Kazdy pakiet IP posiada pelna informacje pozwalajaca na wybór drogi (routing) poprzez siec i kazdy pakiet moze do adresu przeznaczenia dotrzec inna droga. Informacja ta zawarta jest w naglówku pakietu. Warstwa IP ma wbudowany mechanizm kontroli poprawnosci naglówka, który umozliwia wykrycie bledów transmisyjnych. Jest to w zasadzie jedyny mechanizm ochronny istniejacy w protokole IP. W celu rozszerzenia mozliwosci diagnostyki i sterowania w sieci IP bardzo wczesnie dodano protokól ICMP (Internet Control Message Protocol). ICMP daje miedzy innymi mozliwosci:
· sprawdzenia osiagalnosci danego urzadzenia,
· sprawdzenia drogi pakietów przez siec,
· sygnalizacji problemów komunikacyjnych (przeciazenia sieci, bledów transmisji itp.).
Pozostale dwa protokoly ARP (Adress Resolution Protocol) , RARP (Reverse ARP) maja za zadanie powiazanie adresów sieciowych (adresów IP) z adresami fizycznymi (np. adresami MAC sieci Ethernet).
Jak widac protokoly warstwy sieciowej w ogóle nie zajmuja sie bezpieczenstwem przesylanych danych w sensie autoryzacji, poufnosci i niezaprzeczalnosci transmisji. Problemy te rozwiazywane sa w warstwie aplikacyjnej lub w rozszerzeniu protokolu IP zwanym IPSEC.
Z powyzszego, krótkiego opisu warstwy sieci mozna zauwazyc nastepujace problemy zwiazane z bezpieczenstwem:
· problem poprawnego zwiazania adresu sieciowego z adresem fizycznym przy wykorzystaniu protokolu ARP (podszywanie sie pod prawdziwy adres IP z falszywym adresem fizycznym),
· problem przechwycenia i modyfikacji pakietu IP,
· problem ochrony routerów oraz tablic routingu,
· source routing (opcja protokolu IP umozliwiajaca wybór drogi pakietu zgodnie z informacja zapisana w samym pakiecie z pominieciem tablic routingu),
· dostep do urzadzen (np. serwerów, routerów) z nieupowaznionych adresów IP.
Problem ARP (przedstawiony na rysunku 2) zwiazany jest z sieciami LAN, które umozliwiaja przesylanie broadcastów. Protokól ten nie jest retransmitowany przez routery. Rozwiazaniem problemu wydaje sie albo administracyjna konfiguracja tablicy powiazan adresów (wylaczenie ARP), albo kontrola wszystkich gniazd sieciowych i umozliwienie podlaczenia do gniazda wylacznie urzadzenia o danym adresie fizycznym. Rozwiazanie pierwsze jest trudne, lub w niektórych systemach niemozliwe. Drugie rozwiazanie daje sie zrealizowac praktycznie poprzez wykorzystanie przelaczników LAN (switch'y), które umozliwiaja taka konfiguracje portów. Zabezpiecza to sieci LAN przed niepowolanym dostepem z niezarejestrowanych urzadzen.
Rys. 2. ARP spoffing - podstawienie falszywego adresu MAC do prawdziwego adresu IP.
Komputer Hacker wysyla do komputerów A i C informacje ARP, ze adres 10.1.1.5 jest zwiazany z jego adresem MAC - 0002-DE98-1256. Wystarczy, ze bedzie to robil wystarczajaco czesto, aby nigdy nie dowiedzialy sie prawdy.
Przechwycenie i modyfikacja pakietu IP jest problemem nierozwiazywalnym na poziomie protokolu IP. Pakiet zmodyfikowany poprawnie, tzn. z przeliczeniem i modyfikacja sumy kontrolnej naglówka, wyglada jak kazdy inny poprawny pakiet. W przypadku braku modyfikacji sumy kontrolnej, pakiet zostanie odrzucony przez siec jako niepoprawny.
Problemy ochrony routerów to nieautoryzowany dostep z mozliwoscia zmian konfiguracji, source routing oraz dynamiczny routing. Przed nieautoryzowanym dostepem na poziomie IP mozemy chronic sie poprzez filtry IP, które odrzuca wszystkie pakiety niezgodne z okreslonymi regulami dostepu. Filtry IP moga sprawdzac adresy IP nadawcy i odbiorcy, kierunek nadejscia pakietu (czy jest to pakiet wchodzacy do routera, czy wychodzacy z niego), oraz numer protokolu warstwy transmitowanego w pakiecie IP. Mozliwa jest tez konfiguracja filtrów rozszerzonych, które analizuja ponadto pola naglówka protokolu transmitowanego w pakiecie IP. Filtry chronia równiez przed podsylaniem falszywej informacji o zmianach tablic routingu, gdy w sieci uzywane sa protokoly dynamicznego routingu. Oprócz ochrony dostepu do routerów filtry chronia urzadzenia stojace za nimi.
Problem source routingu jest bardzo prosty do rozwiazania. Choc protokól IP z zalozenia ma obslugiwac ta opcje, to praktycznie kazde urzadzenie posiada mozliwosc jej wylaczenia. Po wylaczeniu opcji, wszystkie pakiety ja zawierajace beda traktowane w zwykly sposób.
Rozszerzenia IPSEC w nastepnej czesci artykulu.