आने वाले SSH कनेक्शन के लिए ट्रैप (tarp)

यह कोई रहस्य नहीं है कि इंटरनेट एक बहुत ही प्रतिकूल वातावरण है। जैसे ही आप सर्वर को उठाते हैं, यह तुरंत बड़े पैमाने पर हमलों और कई स्कैन से गुजरता है। एक सुरक्षा गार्ड हैंपाइप के उदाहरण पर , कोई भी इस कबाड़ यातायात के पैमाने का अनुमान लगा सकता है। वास्तव में, औसत सर्वर पर, 99% ट्रैफ़िक दुर्भावनापूर्ण हो सकता है।

टारपीट एक ट्रैप पोर्ट है जिसका उपयोग आने वाले कनेक्शन को धीमा करने के लिए किया जाता है। यदि कोई तृतीय-पक्ष सिस्टम इस पोर्ट से कनेक्ट होता है, तो यह कनेक्शन को जल्दी से बंद करने के लिए काम नहीं करेगा। उसे अपने सिस्टम संसाधनों को खर्च करना होगा और तब तक इंतजार करना होगा जब तक कि कनेक्शन टाइमआउट से बाधित न हो, या मैन्युअल रूप से इसे तोड़ दें।

अधिकतर, संरक्षण के लिए टारपीट्स का उपयोग किया जाता है। कंप्यूटर कीड़े से बचाने के लिए तकनीक को सबसे पहले विकसित किया गया था। और अब इसका उपयोग स्पैमर्स और शोधकर्ताओं के जीवन को खराब करने के लिए किया जा सकता है जो एक पंक्ति में सभी आईपी पतों की एक विस्तृत स्कैन में लगे हुए हैं (उदाहरण के लिए हैबे: ऑस्ट्रिया , यूक्रेन )।

क्रिस वेलन्स के नाम से एक सिसड्मिन, जो इस अपमान को देख कर स्पष्ट रूप से थक गया था - और उसने एसएसएच के लिए एक छोटा सा कार्यक्रम एंडलेस लिखा, जो आने वाले कनेक्शन को धीमा कर रहा था। कार्यक्रम पोर्ट को खोलता है (डिफ़ॉल्ट रूप से, पोर्ट 2222 परीक्षण के लिए निर्दिष्ट किया गया है) और एसएसएच सर्वर होने का दिखावा करता है, लेकिन वास्तव में आने वाले क्लाइंट के साथ एक अंतहीन संबंध स्थापित करता है जब तक यह आत्मसमर्पण नहीं करता है। यह कई दिनों या अधिक समय तक रह सकता है जब तक कि ग्राहक गिर न जाए।

उपयोगिता स्थापना:

$ make $ ./endlessh & $ ssh -p2222 localhost 

एक ठीक से लागू टारपीट हमलावर से अधिक संसाधनों को आपसे दूर ले जाएगा। लेकिन मामला संसाधनों में भी नहीं है। लेखक लिखता है कि कार्यक्रम नशे की लत है। अभी 27 ग्राहक फंसे हुए हैं, उनमें से कुछ हफ्तों से जुड़े हुए हैं। गतिविधि के चरम पर, 1378 ग्राहक 20 घंटे तक जाल में बैठे रहे!

ऑपरेटिंग मोड में, एंडलेस सर्वर को नियमित पोर्ट 22 पर स्थापित करने की आवश्यकता होती है, जहां गुंडे बड़े पैमाने पर दस्तक दे रहे हैं। मानक सुरक्षा सिफारिशें हमेशा एसएसएच को एक अलग बंदरगाह पर ले जाने की सलाह देती हैं, जो परिमाण के एक क्रम से लॉग आकार को तुरंत कम कर देता है।

क्रिस वेल्स का कहना है कि उनका कार्यक्रम SSH प्रोटोकॉल के लिए RFC 4253 विनिर्देशन के एक पैराग्राफ का फायदा उठाता है। टीसीपी कनेक्शन स्थापित करने के तुरंत बाद, लेकिन क्रिप्टोग्राफी लागू करने से पहले, दोनों पक्षों को एक पहचान स्ट्रिंग भेजनी चाहिए। और एक नोट है: "सर्वर मई संस्करण के साथ पंक्ति भेजने से पहले डेटा की अन्य पंक्तियों को भेजता है । " और इस डेटा की मात्रा की कोई सीमा नहीं है , बस हर पंक्ति SSH- शुरू नहीं होनी चाहिए।

यह वास्तव में वही करता है जो एंडलेस करता है: यह RFC 4253 के अनुपालन के साथ यादृच्छिक रूप से उत्पन्न डेटा की एक अंतहीन स्ट्रीम भेजता है , अर्थात, पहचान से पहले भेज रहा है, और प्रत्येक पंक्ति SSH- शुरू नहीं होती है और 255 से अधिक वर्ण नहीं होती है, जिसमें लाइन टर्मिनेशन वर्ण भी शामिल है। सामान्य तौर पर, सब कुछ मानक है।

डिफ़ॉल्ट रूप से, प्रोग्राम पैकेट भेजने के बीच 10 सेकंड प्रतीक्षा करता है। यह एक टाइमआउट यात्रा को रोकता है ताकि ग्राहक हमेशा के लिए फंस जाएगा।

चूंकि क्रिप्टोग्राफी लागू होने से पहले डेटा भेजा जाता है, इसलिए कार्यक्रम असाधारण रूप से सरल है। इसे किसी भी सिफर को लागू करने और कई प्रोटोकॉल के लिए समर्थन की आवश्यकता नहीं है।

लेखक ने उपयोगिता को कम से कम संसाधनों का उपभोग करने और मशीन पर पूरी तरह से काम करने की कोशिश की। आधुनिक एंटीवायरस और अन्य "सुरक्षा प्रणालियों" के विपरीत, यह कंप्यूटर को धीमा नहीं करना चाहिए। वह थोड़ा और चालाक सॉफ्टवेयर कार्यान्वयन के कारण ट्रैफ़िक और मेमोरी खपत दोनों को कम करने में कामयाब रहा। यदि उसने अभी नए कनेक्शन पर एक अलग प्रक्रिया शुरू की है, तो संभावित हमलावर मशीन पर निकास संसाधनों के लिए कई कनेक्शन खोलते हुए, DDoS हमला कर सकते हैं। प्रति कनेक्शन एक थ्रेड भी सबसे अच्छा विकल्प नहीं है, क्योंकि कर्नेल थ्रेड मैनेजमेंट पर संसाधन खर्च करेगा।

इसलिए, क्रिस वेलोंस ने एंडलेस के लिए सबसे हल्का विकल्प चुना: एक एकल-थ्रेडेड poll(2) सर्वर, जहां जाल में ग्राहक व्यावहारिक रूप से अनावश्यक संसाधनों का उपभोग नहीं करते हैं, कर्नेल में सॉकेट ऑब्जेक्ट की गिनती नहीं करते हैं और एंडलेस में ट्रैकिंग के लिए एक और 78 बाइट्स। प्रत्येक क्लाइंट के लिए बफ़र प्राप्त करने और भेजने के लिए आवंटित नहीं करने के लिए, एंडलेस ऑपरेटिंग सिस्टम के लगभग पूरे टीसीपी / आईपी स्टैक की अनदेखी करते हुए सीधे टीसीपी पैकेट का सीधा एक्सेस सॉकेट खोलता है। इनपुट बफ़र की आवश्यकता बिल्कुल नहीं है, क्योंकि इनपुट डेटा हमारी रुचि नहीं रखता है।

लेखक का कहना है कि अपने कार्यक्रम के समय वह पायथन एश्यियो और अन्य टारपिट्स के अस्तित्व के बारे में नहीं जानता था । अगर उन्हें एश्यियो के बारे में पता था, तो वह पायथन में सिर्फ 18 लाइनों में अपनी उपयोगिता को लागू कर सकते हैं:

 import asyncio import random async def handler(_reader, writer): try: while True: await asyncio.sleep(10) writer.write(b'%x\r\n' % random.randint(0, 2**32)) await writer.drain() except ConnectionResetError: pass async def main(): server = await asyncio.start_server(handler, '0.0.0.0', 2222) async with server: await server.serve_forever() asyncio.run(main()) 

Asyncio tarpit लिखने के लिए एकदम सही है। उदाहरण के लिए, ऐसा जाल फ़ायरफ़ॉक्स, क्रोम या किसी अन्य क्लाइंट को लटका देगा जो कई घंटों के लिए आपके HTTP सर्वर से जुड़ने की कोशिश कर रहा है:

 import asyncio import random async def handler(_reader, writer): writer.write(b'HTTP/1.1 200 OK\r\n') try: while True: await asyncio.sleep(5) header = random.randint(0, 2**32) value = random.randint(0, 2**32) writer.write(b'X-%x: %x\r\n' % (header, value)) await writer.drain() except ConnectionResetError: pass async def main(): server = await asyncio.start_server(handler, '0.0.0.0', 8080) async with server: await server.serve_forever() asyncio.run(main()) 

टारपीट ऑनलाइन बुलियों को दंडित करने के लिए एक महान उपकरण है। सच है, इसके विपरीत कुछ जोखिम है, किसी विशेष सर्वर के असामान्य व्यवहार पर उनका ध्यान आकर्षित करने के लिए। कोई व्यक्ति आपके आईपी पर बदला लेने और लक्षित डीडीओएस हमले के बारे में सोच सकता है । हालाँकि, अब तक इस तरह के मामले नहीं आए हैं, और टारपीट ठीक काम करता है।

---