एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 12: नेटवर्क सुरक्षा, भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषय में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 12: नेटवर्क सुरक्षा भाग 1 / भाग 2 / भाग 3

छात्र: शायद आपके पास अभी भी ब्याज की समस्या है, क्योंकि आप सहकर्मी के पते के लिए 32 बिट्स का उपयोग कर सकते हैं और आपके पास उनमें से प्रत्येक के लिए कई पोर्ट हैं। संभवतः आपके पास इन सभी कनेक्शनों के अनुक्रम संख्याओं का एक संघर्ष है जो आपको मिलता है?

प्रोफेसर: यह पता चला है कि ये अनुक्रम संख्या IP पते और स्रोत / गंतव्य जोड़ी के पोर्ट नंबर के लिए विशिष्ट हैं। इसलिए यदि ये अलग-अलग बंदरगाह हैं, तो वे एक-दूसरे के साथ बिल्कुल भी हस्तक्षेप नहीं करते हैं। विशेष रूप से, बंदरगाहों में सीरियल नंबर कम होते हैं।



छात्र: यदि सीरियल नंबर वैश्विक हैं, तो क्या हमलावर अन्य ग्राहकों के बीच संबंध स्थापित कर सकता है?

प्रोफेसर: हाँ, यह एक अच्छी बात है। वास्तव में, यदि सर्वर सीरियल नंबर को बढ़ाता है, उदाहरण के लिए, प्रत्येक कनेक्शन के लिए 64k तक, आप सर्वर से कनेक्ट होते हैं, और फिर अन्य 5 लोग इससे कनेक्ट होते हैं, और यहां आप एक हमले का आयोजन कर सकते हैं। तो कुछ हद तक, आप सही हैं, यह थोड़ा परेशान करने वाला है। दूसरी ओर, आप शायद इसे बना सकते हैं ताकि S-> A की अंतिम पंक्ति से एक पैकेज C-> S की पहली पंक्ति में उस पैकेज से तुरंत पहले डिलीवर हो जाए। यदि आप अपने पैकेट एक के बाद एक भेजते हैं, तो एक अच्छा मौका है कि वे सर्वर पर एक-एक करके पहुंचेंगे।

सर्वर S-> A प्राप्त करेगा और इस क्रम संख्या (SNs) के साथ प्रतिक्रिया करेगा। यह दूसरी पंक्ति में (एसएन) से अलग होगा, लेकिन इसके तुरंत बाद सीरियल नंबर के साथ। और फिर आपको पता चल जाएगा कि आपके अनुक्रम के तीसरे पैकेट में कौन सी अनुक्रम संख्या (एसएन) शामिल होनी चाहिए।
इसलिए, मुझे लगता है कि यह सर्वर से जुड़ने का एक बहुत विश्वसनीय तरीका नहीं है, यह मान्यताओं पर आधारित है। लेकिन अगर आप सावधानी से अपने पैकेजों को सही तरीके से व्यवस्थित करते हैं, तो आप आसानी से अनुक्रम का अनुमान लगा सकते हैं। या हो सकता है कि आप कई बार कोशिश करेंगे और आप भाग्यशाली होंगे।

छात्र: भले ही संख्या संयोग से उत्पन्न हो, आपको 4 बिलियन संभावित संख्याओं में से एक का अनुमान लगाने की आवश्यकता है। यह बहुत ज्यादा नहीं है, है ना? मुझे लगता है कि एक साल के भीतर आप शायद इस नेटवर्क को तोड़ पाएंगे।

प्रोफेसर: हाँ, आप बिलकुल सही हैं। आपको सुरक्षा के मामले में टीसीपी पर बहुत अधिक भरोसा नहीं करना चाहिए। क्योंकि आप सही हैं, यह केवल 4 बिलियन का अनुमान है। और आप दिन के दौरान शायद बहुत सारे पैकेट भेज सकते हैं यदि आपके पास काफी तेज़ कनेक्शन है।

इसलिए यहां हमारे पास टीसीपी की अविश्वसनीयता के बारे में एक तरह का दिलचस्प तर्क है, क्योंकि हमारे पास केवल 32 बिट्स हैं। हम उसे किसी भी तरह से सुरक्षित नहीं कर सकते। लेकिन मुझे लगता है कि इस प्रोटोकॉल पर भरोसा करने वाले कई एप्लिकेशन सुरक्षा के बारे में बिल्कुल नहीं सोचते हैं, और यह वास्तव में एक समस्या बन जाती है।

लेकिन आप बिलकुल सही हैं। व्यवहार में, आप अधिक गंभीर गारंटी प्राप्त करने के अलावा किसी तरह के एन्क्रिप्शन का उपयोग करना चाहते हैं, किसी ने भी आपके डेटा को जाली नहीं किया है, क्योंकि आप एन्क्रिप्शन कुंजियों का उपयोग 32 बिट्स से अधिक समय तक करते हैं। ज्यादातर मामलों में, यह अभी भी टीसीपी कनेक्शन के साथ छेड़छाड़ को रोकने में प्रभावी है।

आइए अब देखें कि अगर लोग मनमाने पतों से टीसीपी कनेक्शन नकली कर सकते हैं तो यह बुरा क्यों है?

खराब होने का एक कारण यह है कि यह आईपी पते के आधार पर प्राधिकरण को प्रभावित कर सकता है जब सर्वर जांच करता है कि अनुरोध किस पते से आया है। यदि कोई सर्वर IP पते के आधार पर कनेक्शन को अनुमति देने या अस्वीकार करने का निर्णय लेता है, तो यह संभावित रूप से एक हमलावर के लिए एक समस्या हो सकती है जिसने एक मनमाना स्रोत पते से कनेक्शन को गलत बताया।

तो, एक उदाहरण जहां यह एक समस्या थी, आज यह समस्या मूल रूप से हल हो गई है, r कमांड के एक परिवार का उपयोग है, जैसे कि rlogin। यह हुआ करता था कि आप एक कंप्यूटर के लिए rlogin जैसा कुछ चला सकते हैं, कहते हैं, Athena.dialup.mit.edu। और यदि आपका कनेक्शन MIT होस्ट से आता है, तो यह रागिनी कमांड सफल होगी यदि आप कहते हैं: "हाँ, मैं इस कंप्यूटर पर ऐलिस का उपयोगकर्ता हूं, मुझे ऐलिस के उपयोगकर्ता के रूप में दूसरे कंप्यूटर में लॉग इन करने दीजिए।" और इस ऑपरेशन की अनुमति दी जाएगी, क्योंकि mit.edu नेटवर्क पर सभी कंप्यूटर ऐसे बयान देने के लिए भरोसेमंद हैं।

मेरा कहना है कि डायल-अप को यह समस्या कभी नहीं हुई। इस कंपाउंड ने शुरुआत से ही सेर्बस का इस्तेमाल किया। लेकिन अन्य प्रणालियों, निश्चित रूप से, ऐसी समस्याएं थीं। और यह कनेक्शन प्रमाणीकरण तंत्र में आईपी पते का उपयोग करने का एक उदाहरण है जब सिस्टम यह देखने के लिए जांचता है कि क्या सर्वर को कॉल करने वाला क्लाइंट भरोसेमंद है या नहीं। तो क्या एक समस्या हुआ करता था अब एक समस्या नहीं है। लेकिन आईपी पर भरोसा करना अभी भी एक बुरी योजना की तरह लगता है।



अब rlogin अब उपयोग में नहीं है, इसे हाल ही में सुरक्षित SSH शेल के साथ बदल दिया गया है, जो एक उत्कृष्ट नेटवर्क परत प्रोटोकॉल है। दूसरी ओर, प्रोटोकॉल के कई अन्य उदाहरण हैं जो आईपी एड्रेस आधारित प्राधिकरण पर निर्भर करते हैं। उनमें से एक SMTP है। जब आप ईमेल भेजते हैं, तो आप संदेश भेजने के लिए कुछ मेल सर्वर से बात करने के लिए SMTP का उपयोग करते हैं। स्पैम को रोकने के लिए, कई एसएमटीपी सर्वर केवल एक विशिष्ट स्रोत आईपी पते से आने वाले संदेशों को स्वीकार करते हैं। उदाहरण के लिए, Comcast मेल सर्वर केवल Comcast आईपी पतों से मेल स्वीकार करता है। वही एमआईटी मेल सर्वरों के लिए जाता है - वे केवल एमआईटी आईपी पते से मेल स्वीकार करेंगे। लेकिन हमारे पास कम से कम एक सर्वर था जो आईपी प्रमाणीकरण का उपयोग करके काम नहीं करना चाहिए था।

यहाँ सब कुछ इतना बुरा नहीं है। सबसे खराब स्थिति में, आप मेल सर्वर के माध्यम से कुछ स्पैम भेजेंगे। तो शायद यही कारण है कि वे अभी भी rlogin का उपयोग कर रहे हैं, जबकि जो चीजें आपको एक मनमाना खाते में लॉग इन करने की अनुमति देती हैं, उन्होंने आईपी-आधारित प्रमाणीकरण का उपयोग करना बंद कर दिया है।

तो ऐसा प्रमाणीकरण तंत्र एक खराब योजना क्यों है? एक धारणा के रूप में, मान लें कि कुछ सर्वर ने रागिन का उपयोग किया है। हमला करने के लिए आप क्या करेंगे? क्या बुरा हो सकता है?

छात्र: एक हमलावर केवल आपके कंप्यूटर में प्रवेश कर सकता है, एक उपयोगकर्ता को नकली कर सकता है जो आपके उपयोगकर्ता नाम के साथ नेटवर्क में प्रवेश करने जा रहा है, और नेटवर्क तक पहुंच प्राप्त कर सकता है।

प्रोफेसर: हाँ, मूल रूप से एक हमलावर एक कंप्यूटर लेता है। यह उन डेटा को संश्लेषित करता है जो कि रूलेगिन कमांड के एक वैध सेट की तरह दिखता है जो कहते हैं, "इस उपयोगकर्ता के रूप में लॉग इन करें और मेरे यूनिक्स शेल में इस कमांड को निष्पादित करें।"

आप इस डेटा डेटा (एसएनसी +1) को संश्लेषित करते हैं, पूरे हमले को माउंट करते हैं और इस डेटा को भेजते हैं जैसे कि एक वैध उपयोगकर्ता ने रागिनी क्लाइंट के साथ बातचीत की, और फिर आप आगे बढ़ सकते हैं।



खैर, इसका एक कारण है कि आप अपने टीसीपी अनुक्रम संख्या का अनुमान नहीं लगाना चाहते हैं। एक और समस्या है ये रीसेट अटैक रिसेट अटैक। उसी तरह जैसे हम एक SYN पैकेट भेज सकते हैं, अगर हमें किसी का सीरियल नंबर पता है, तो हम उसी तरह से एक रीसेट पैकेट भेज सकते हैं।

हमने एक कानूनी क्लाइंट का उल्लेख किया है जो एक नकली कनेक्शन रीसेट पैकेट भेजता है जो एक हमलावर ने स्थापित किया है। एक हमलावर मौजूदा कनेक्शन के लिए बस पैकेट भेजने की कोशिश कर सकता है, अगर उसे किसी तरह पता हो कि आपका अनुक्रम नंबर उस कनेक्शन में है। वास्तव में, यह स्पष्ट नहीं है कि यह समस्या कितनी बड़ी है।

कुछ स्तर पर, आपको यह मान लेना चाहिए कि आपके सभी टीसीपी कनेक्शन किसी भी मामले में और किसी भी समय टूट सकते हैं, अर्थात ऐसा नहीं लगता है कि आपका नेटवर्क विश्वसनीय है। इसलिए, शायद आपको डिस्कनेक्ट की उम्मीद करनी चाहिए।

मामले में जब रूटर्स एक दूसरे के साथ "बात" करते हैं, तो यह धारणा विशेष रूप से महत्वपूर्ण है। यदि आपके पास कई राउटर हैं जो कुछ राउटिंग प्रोटोकॉल का उपयोग करके एक-दूसरे के साथ संवाद करते हैं, तो उनके बीच कुछ शारीरिक संबंध हैं। लेकिन इन भौतिक कनेक्शन के शीर्ष पर, वे एक नेटवर्क प्रोटोकॉल पर संचार करते हैं जो टीसीपी पर काम करता है। वास्तव में, इन प्रत्येक भौतिक कनेक्शन में जो राउटर राउटिंग जानकारी का आदान-प्रदान करने के लिए उपयोग करते हैं, एक टीसीपी सत्र शुरू होता है। बीजीपी प्रोटोकॉल का उपयोग यहां किया जाता है, जिसके बारे में हम बाद में बात करेंगे।

यह बीजीपी प्रोटोकॉल इस तथ्य का उपयोग करता है कि यदि टीसीपी कनेक्शन जीवित है, तो भौतिक कनेक्शन भी जीवित है। तो अगर एक टीसीपी कनेक्शन टूट जाता है, तो राउटर का मानना ​​है कि कनेक्शन टूट गया है और अपने सभी रूटिंग तालिकाओं को फिर से शुरू करना है।



इसलिए, यदि विरोधी किसी प्रकार के DoS को सेवा हमले से वंचित करना चाहता है, तो वह इन राउटरों के सीरियल नंबर का अनुमान लगाने और इन सत्रों को छोड़ने का प्रयास कर सकता है। यदि दो राउटरों के बीच का टीसीपी सत्र बंद हो जाता है, तो दोनों राउटर इस कनेक्शन को मृत मानते हैं और उन्हें सभी रूटिंग टेबलों को फिर से लिखना चाहिए, जिससे मार्ग बदल जाएंगे। उसके बाद, हमलावर अन्य कनेक्शन को रीसेट कर सकता है, और इसी तरह।

इस प्रकार, यह कुछ हद तक खतरनाक हमला है, और इसलिए नहीं कि यह किसी और के रहस्य और इतने पर उल्लंघन करता है, कम से कम सीधे नहीं, लेकिन क्योंकि यह वास्तव में सिस्टम के अन्य उपयोगकर्ताओं के लिए बहुत अधिक पहुंच समस्याओं का कारण बनता है।

छात्र: यदि आप एक हमलावर हैं और एक विशिष्ट उपयोगकर्ता के खिलाफ लक्षित हमले का आयोजन करना चाहते हैं, तो क्या आप अपने आईपी पते की ओर से सर्वर से कनेक्ट करने के लिए अनुरोध भेजते रह सकते हैं और उसे सर्वर से कनेक्शन रीसेट करने के लिए मजबूर कर सकते हैं?

प्रोफेसर: मान लीजिए कि मैं जीमेल का उपयोग करता हूं और आप मुझे जीमेल से कोई भी जानकारी प्राप्त करने से रोकना चाहते हैं, इसलिए जीमेल सर्वर से आने का नाटक करते हुए सिर्फ मेरी मशीन पर पैकेट भेजें। इस स्थिति में, आपको सही स्रोत और गंतव्य पोर्ट संख्याओं का अनुमान लगाना चाहिए।

गंतव्य पोर्ट संख्या शायद 443 है क्योंकि मैं HTTPS का उपयोग करता हूं। लेकिन स्रोत पोर्ट संख्या कुछ यादृच्छिक 16-बिट चीज़ होगी। इसके अलावा, सीरियल नंबर अलग-अलग होंगे। इसलिए, यदि आप उस क्रम संख्या का अनुमान नहीं लगाते हैं जो मेरी टीसीपी विंडो में है और जो दसियों किलोबाइट है, तो आप सफल नहीं होंगे।

इसलिए आपको उचित मात्रा में चीजों का अनुमान लगाना होगा। यहां कोई ओरेकल एक्सेस नहीं है। आप केवल इस आदमी के सीरियल नंबर के लिए सर्वर से नहीं पूछ सकते। यही कारण है कि यह भी काम नहीं करेगा।

इसलिए, इनमें से कई मुद्दे तय किए गए हैं, जिसमें इस आरएसटी-आधारित बात भी शामिल है, खासकर बीजीपी रूटर्स के लिए। वास्तव में दो अजीब सुधार थे। एक चीज वास्तव में दिखाती है कि आप मौजूदा चीजों का कैसे फायदा उठा सकते हैं या विशिष्ट समस्याओं को ठीक करने के लिए उनका उपयोग कर सकते हैं। यह उस संपत्ति का उपयोग करता है जो ये राउटर केवल एक दूसरे के साथ संवाद करते हैं, और नेटवर्क पर किसी और के साथ नहीं। परिणामस्वरूप, यदि कनेक्शन के दूसरे छोर पर स्थित राउटर से पैकेट नहीं आता है, तो यह पैकेट छोड़ दिया जाता है।

इन प्रोटोकॉल के डेवलपर्स का सफल कार्यान्वयन पैकेज में "जीवनकाल", या टीटीएल नामक एक अद्भुत क्षेत्र है। यह एक 8-बिट फ़ील्ड है जो प्रत्येक राउटर द्वारा यह सुनिश्चित करने के लिए घटाया जाता है कि पैकेट अनंत लूप में समाप्त नहीं होते हैं। अधिकतम TTL मान 255 है और आगे घटता है।

तो मैं ये स्मार्ट प्रोटोकॉल क्या कर रहा हूं? वे किसी भी पैकेट को TTL मान के साथ छोड़ देते हैं जो 255 के बराबर नहीं है। क्योंकि यदि पैकेट का मूल्य 255 है, तो यह केवल इस कनेक्शन के दूसरी तरफ एक राउटर से आ सकता है। और यदि विरोधी किसी अन्य पैकेट को मौजूदा बीजीपी कनेक्शन में इंजेक्ट करने की कोशिश करता है, तो उसका टीटीएल मूल्य 255 से कम होगा, क्योंकि इस मूल्य को राउटर पथ के साथ स्थित अन्य राउटर्स द्वारा कम किया जाएगा, जिसमें यह राउटर भी शामिल है। इसलिए, इस पैकेज को केवल प्राप्तकर्ता द्वारा अस्वीकार कर दिया जाएगा।

तो यह पिछड़ी संगत तकनीकों के एक चतुर संयोजन का एक उदाहरण है जो इस विशिष्ट समस्या को हल करता है।



स्टूडेंट: क्या निचला राइट राउटर 255 के TTL के साथ कुछ नहीं भेजता है?

प्रोफेसर: यह एक भौतिक राउटर है। और वह जानता है कि ये अलग-अलग कनेक्शन हैं, इसलिए वह टीटीएल और पैकेट दोनों से आया है। इसलिए यदि पैकेट ऊपरी बाएं राउटर से आया है, तो वह इसे और ऊपरी दाएं राउटर के बीच एक टीसीपी कनेक्शन के लिए स्वीकार नहीं करेगा।

अधिकांश भाग के लिए, ये राउटर अपने नजदीकी पड़ोसियों पर भरोसा करते हैं, और इस प्रक्रिया को ऑटो पैन मल्टी-पाथ रूटिंग तंत्र का उपयोग करके नियंत्रित किया जा सकता है।

बीजीपी के लिए अन्य सुधारों में एमडी 5 प्रमाणीकरण हेडर सहित प्रमाणीकरण हेडर के कुछ फॉर्म को लागू करना है। लेकिन वास्तव में, डेवलपर्स ने इस विशेष एप्लिकेशन पर ध्यान केंद्रित किया, जिसके लिए एक रीसेट हमला विशेष रूप से महत्वपूर्ण है।

यह समस्या आज भी कायम है। यदि कोई दीर्घकालिक संबंध है और मैं इसे बाधित करना चाहता हूं, तो मुझे बस बड़ी संख्या में आरएसटी पैकेट भेजना होगा, लगभग सैकड़ों हजारों, लेकिन शायद 4 बिलियन नहीं। क्योंकि सर्वर वास्तव में कुछ हद तक कमजोर होते हैं कि वे रीसेट के लिए किस क्रम संख्या को स्वीकार करते हैं।

यह किसी विशिष्ट विंडो में कोई भी पैकेज हो सकता है। इस मामले में, हमलावर बहुत प्रयास के बिना इस संबंध को तोड़ सकता है। यह अभी भी एक समस्या है जिसके लिए वास्तव में कोई अच्छा समाधान नहीं है।

और आखिरी खराब चीज जो अनुक्रम संख्या की भविष्यवाणी के कारण हो सकती है, मौजूदा कनेक्शन में डेटा को इंजेक्ट कर रही है। मान लीजिए कि हमारे पास एक काल्पनिक प्रोटोकॉल है जो कि rlogin के समान है, जो वास्तव में IP- आधारित प्रमाणीकरण नहीं करता है, इसलिए आपको लॉग इन करने के लिए अपना पासवर्ड दर्ज करना होगा।

समस्या यह है कि जैसे ही आप अपना पासवर्ड दर्ज करते हैं, शायद आपका टीसीपी कनेक्शन बस स्थापित हो जाता है और मनमाना डेटा स्वीकार कर सकता है। इसलिए हमलावर को बस तब तक इंतजार करने की जरूरत है जब तक कि आप में से कोई एक अपना पासवर्ड दर्ज करके कंप्यूटर पर लॉग इन न कर ले।

हमलावर को नहीं पता कि पासवर्ड क्या है, लेकिन जैसे ही आप एक टीसीपी कनेक्शन स्थापित करते हैं, वह तुरंत आपके सीरियल नंबर का अनुमान लगाने और आपके मौजूदा कनेक्शन में कुछ डेटा दर्ज करने का प्रयास करेगा। इसलिए यदि मैं आपके सीरियल नंबर का सही अनुमान लगा सकता हूं, तो यह मुझे यह दिखावा करने की अनुमति देगा कि यह मेरे नहीं है, लेकिन आपने पासवर्ड के साथ सही रूप से प्रमाणित होने के बाद कुछ कमांड दर्ज की है।



यह सब इंगित करता है कि आप वास्तव में सुरक्षा के लिहाज से इन 32-बिट अनुक्रम संख्या पर भरोसा क्यों नहीं करना चाहते हैं। लेकिन देखते हैं कि आधुनिक टीसीपी स्टैक वास्तव में इस समस्या को कम करने के लिए क्या करते हैं। समस्या के लिए एक दृष्टिकोण जिसे हम अगले 2 व्याख्यानों में शामिल करेंगे, वह है आवेदन स्तर पर सुरक्षा की कुछ डिग्री लागू करना। इस स्तर पर, हम बहुत अधिक टीसीपी भागीदारी के बिना संदेशों को प्रमाणित करने, एन्क्रिप्ट करने, हस्ताक्षर करने और सत्यापित करने के लिए क्रिप्टोग्राफी का उपयोग करेंगे।

मौजूदा अनुप्रयोगों में से कुछ सुरक्षा समस्याओं को हल करने में भी मदद करते हैं, या कम से कम किसी हमलावर के लिए इन समस्याओं का शोषण करना अधिक कठिन बनाते हैं। लोग आज इसे व्यवहार में लाते हैं, उदाहरण के लिए, लिनक्स और विंडोज पर, प्रत्येक स्रोत / गंतव्य जोड़ी के लिए अलग-अलग प्रारंभिक अनुक्रम संख्या बनाए रखते हैं।

इस प्रकार, अधिकांश TCP SYN कार्यान्वयन अभी भी इस प्रारंभिक ISN अनुक्रम संख्या की उसी तरह गणना करते हैं जैसे हमने पहले की थी। तो यह एक पुरानी ISN शैली है, ऐसा कहते हैं। और वास्तव में किसी विशेष कनेक्शन के लिए एक सीरियल नंबर उत्पन्न करने के लिए, हम इस पुरानी शैली के ISN को एक यादृच्छिक 32-बिट ऑफ़सेट जोड़ते हैं। यही है, हम इसमें एक फ़ंक्शन जोड़ते हैं - कुछ हैश फ़ंक्शन या SHA-1 की तरह, या कुछ बेहतर।



इस फ़ीचर में सोर्स आईपी एड्रेस, सोर्स पोर्ट नंबर, डेस्टिनेशन आईपी एड्रेस, डेस्टिनेशन पोर्ट नंबर और कुछ सीक्रेट की शामिल है जो केवल सर्वर को पता होता है। इस प्रकार, हम इस पुराने शैली अनुक्रम संख्या असाइनमेंट एल्गोरिथ्म के सभी अच्छे गुणों को संरक्षित करते हुए, स्रोत / गंतव्य जोड़ी के लिए आईपी पते और पोर्ट को निर्धारित करने के लिए किसी विशेष कनेक्शन के लिए एक अच्छा अवसर बनाते हैं।

लेकिन अगर आपके पास स्रोत / गंतव्य के विभिन्न सेटों से कनेक्शन हैं, तो ऐसा कुछ भी नहीं है जो आपको कनेक्शन के दूसरे सेट के सीरियल नंबर के सटीक मूल्य का पता लगाने की अनुमति देता है। वास्तव में, आपको इस मूल्य की गणना करने के लिए इस कुंजी का अनुमान लगाना होगा।

मुझे उम्मीद है कि सर्वर का कर्नेल अपनी मेमोरी में कहीं न कहीं इस कुंजी को संग्रहीत करता है और इसे किसी को भी नहीं देता है। इस तरह से अधिकांश टीसीपी स्टैक आज इस समस्या को आम 32-बिट अनुक्रम संख्या के क्षेत्र में हल करते हैं। यह बहुत अच्छा नहीं है, लेकिन यह काम करता है।

छात्र: क्या आप इसे फिर से दोहरा सकते हैं? कुंजी की विशिष्टता के बारे में ...

प्रोफेसर: जब मेरी मशीन बूट करती है, या जब कोई मशीन बूट करती है, तो यह एक यादृच्छिक कुंजी उत्पन्न करता है। हर बार जब आप इसे पुनः लोड करते हैं, तो यह एक नई कुंजी उत्पन्न करता है। इसका मतलब यह है कि हर बार किसी विशेष स्रोत / गंतव्य जोड़ी के सीरियल नंबर एक ही ऑफसेट आवृत्ति के साथ बदलते हैं। इस प्रकार, किसी दिए गए स्रोत / गंतव्य जोड़ी के लिए, फ़ंक्शन पैरामीटर तय किए जाते हैं। तो आप उस क्रम का अनुसरण करते हैं जब संख्याएँ नए यौगिकों के लिए आपके प्रारंभिक अनुक्रम संख्या के अनुसार विकसित होती हैं, एक विशिष्ट एल्गोरिथ्म के अनुसार बदलती हैं। इस प्रकार, पुराने कनेक्शनों को नए कनेक्शनों में पुराने पैकेटों के इंजेक्शन से सुरक्षा प्रदान की जाती है, साथ ही पैकेटों को पुन: सौंपने से भी सुरक्षा प्रदान की जाती है।

एकमात्र चीज जिसके लिए हमें पुराने नमूने के इस सीरियल नंबर की आवश्यकता है, इन डुप्लिकेट पैकेटों के साथ समस्याओं को रोकने के लिए एल्गोरिदम का विकल्प है। इससे पहले, हमने माना कि यदि आपको एक कनेक्शन A: A -> S: SYN (...) के लिए एक सीरियल नंबर मिलता है, तो उसके बाद आप ACK (SNs) कनेक्शन के लिए सीरियल नंबर के बारे में निष्कर्ष निकाल सकते हैं।



, 32- , F. , , .

: ?

: , . F, , F , , , .

: , …

: , F - -, . -, , . , , , , . , F .

, TCP, . , , - .

, . , TCP , DNS, . , DNS UDP – . UDP — , , . UDP . , , , . , , . DNS-. DNS?



, DNS- C: C53 -> S53 mit.edu, 53.

S: S53 -> C53 IP-, – .

, , , , . , mit.edu, .

, DNS- . IP-, , . IP- mit.edu IP-. , , , , . , .



, , . IP-. , , DNS- . , , IP- mit.edu.

: , , ?

: , . , , . DNS-, , . 2 . — , 16 . , 16 . ID, 16 , .

, , 32 . , , , , .



, , .

, DNS DNS . , , DNS . , DNS SEC, . , , , DNS- . , , .

origin. DNS , IP-, : „, “. , , , , , , . , , ?

, – DNS- , . , , . -, DNS-, . , DNS SEC, , , DNS- . DNS- , , , – , .

DNS SEC , NSEC. , . , NSEC , foo.mit.edu, goo.mit.edu, , .



, , , , , , „, “.

. , foo.mit.edu -> goo.mit.edu — >…. : » , , gooa.mit.edu". , , .

, DNS . NSEC3, – - , - .

52:00

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। 12: « », 3


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?