Πλαστογράφηση IP: τι είναι και πώς να προστατευτείτε

Μια διεύθυνση αποστολέα μπορεί να αντιγραφεί. Λέει στον παραλήπτη πού να απαντήσει, αλλά δεν αποδεικνύει ποιος έστειλε το μήνυμα.

Μια επιστολή μπορεί να αναγράφει τη δική σας διεύθυνση αποστολέα ακόμη κι αν δεν τη στείλατε εσείς. Η διεύθυνση λέει στον παραλήπτη πού πρέπει να πάει η απάντηση· δεν αποδεικνύει ποιος έγραψε την επιστολή. Η πλαστογράφηση IP εκμεταλλεύεται ένα παρόμοιο κενό στην επικοινωνία μέσω διαδικτύου.

Τι ακριβώς πλαστογραφείται;

Οι πληροφορίες ταξιδεύουν σε ένα δίκτυο μέσα σε πακέτα. Κάθε πακέτο IP έχει μια διεύθυνση προορισμού και μια διεύθυνση προέλευσης. Πλαστογράφηση σημαίνει την τοποθέτηση μιας ψευδούς διεύθυνσης προέλευσης στο πακέτο. Ο παραλήπτης βλέπει τη δηλωμένη προέλευση, εκτός αν κάποιος άλλος μηχανισμός ελέγξει αν αυτή είναι εύλογη.

Μια διεύθυνση IP βοηθά τα δίκτυα να παραδίδουν την κίνηση. Δεν είναι δελτίο ταυτότητας ενός ανθρώπου. Πολλοί άνθρωποι μπορεί να μοιράζονται μια δημόσια διεύθυνση, ενώ η διεύθυνση μιας συσκευής μπορεί να αλλάζει. Επομένως, ένας κανόνας που επιτρέπει την κίνηση από συγκεκριμένη IP απαντά σε ένα στενότερο ερώτημα από μια σύνδεση σε λογαριασμό ή έναν κρυπτογραφικό έλεγχο ταυτότητας.

Γιατί έχει σημασία η απάντηση

Ας υποθέσουμε ότι κάποιος στέλνει ένα αίτημα με τη δική σας διεύθυνση ως προέλευση. Η υπηρεσία κανονικά στέλνει την απάντησή της προς εσάς. Ο αποστολέας δεν λαμβάνει αυτόματα την απάντηση ούτε αποκτά πρόσβαση στον υπολογιστή σας.

Αυτό έχει σημασία για το TCP, το πρωτόκολλο μεταφοράς που χρησιμοποιούν πολλές εφαρμογές: το άνοιγμα μιας σύνδεσης απαιτεί ανταλλαγή και προς τις δύο κατευθύνσεις, ενώ οι εδραιωμένες συνδέσεις παρακολουθούν τη δική τους κατάσταση. Η απλή αντιγραφή μιας διεύθυνσης δεν ολοκληρώνει αυτή την ανταλλαγή. Η προδιαγραφή του TCP περιγράφει αυτούς τους ελέγχους σύνδεσης και ακολουθίας. Είναι χρήσιμες προστασίες, αλλά δεν υποκαθιστούν την αυθεντικοποίηση της υπηρεσίας ή του χρήστη.

Πώς μια πλαστή διεύθυνση μπορεί και πάλι να προκαλέσει ζημιά

Ένας επιτιθέμενος μπορεί να μη θέλει συνομιλία. Μπορεί να θέλει μια υπηρεσία να στέλνει ανεπιθύμητες απαντήσεις σε κάποιον άλλον. Αν απαντήσουν πολλές υπηρεσίες, το θύμα δέχεται κίνηση που δεν ζήτησε ποτέ. Πρόκειται για επίθεση ανάκλασης. Αν οι απαντήσεις είναι πολύ μεγαλύτερες από τα αιτήματα, προκύπτει επίσης ενίσχυση της κίνησης.

Άλλες επιθέσεις επιχειρούν να εξαντλήσουν απευθείας πόρους ή να εκμεταλλευτούν μια υπηρεσία που εμπιστεύεται υπερβολικά τη διεύθυνση προέλευσης. Το αποτέλεσμα εξαρτάται από την υπηρεσία, τη διαδρομή στο δίκτυο και τις προστασίες της. Η πλαστογράφηση από μόνη της δεν δίνει σε κάποιον τη δυνατότητα να διαβάσει μια κρυπτογραφημένη συνεδρία ή να καταλάβει έναν λογαριασμό.

Δύο διαφορετικοί έλεγχοι, σε δύο διαφορετικά σημεία

Στο όριο ενός δικτύου, ο διαχειριστής μπορεί να απορρίπτει κίνηση που δηλώνει προέλευση η οποία δεν θα έπρεπε να εμφανίζεται σε εκείνη τη σύνδεση. Για παράδειγμα, η σύνδεση ενός πελάτη δεν πρέπει να στέλνει πακέτα που προσποιούνται ότι ανήκουν στο εύρος διευθύνσεων άλλου, άσχετου πελάτη. Αυτή είναι η αρχή πίσω από το φιλτράρισμα προέλευσης BCP 38.

Στο επίπεδο της εφαρμογής, η αυθεντικοποίηση ελέγχει ποιος δικαιούται να συμμετέχει. Το HTTPS χρησιμοποιεί το TLS για να αυθεντικοποιεί τον διακομιστή και να προστατεύει τη σύνδεση, εφόσον έχει ρυθμιστεί και επικυρωθεί σωστά· η σύνδεση σε έναν λογαριασμό θεμελιώνει μια ξεχωριστή ταυτότητα λογαριασμού. Μια διεύθυνση που φαίνεται έγκυρη δεν μπορεί να αντικαταστήσει κανέναν από τους δύο ελέγχους.

Τι μπορείτε να κάνετε

Αν χρησιμοποιείτε το διαδίκτυο αντί να διαχειρίζεστε ένα δίκτυο, κρατάτε το λογισμικό ενημερωμένο, χρησιμοποιείτε υπηρεσίες με αυθεντικοποιημένες κρυπτογραφημένες συνδέσεις και αντιμετωπίζετε σοβαρά τις προειδοποιήσεις πιστοποιητικών. Αυτά προστατεύουν τις επικοινωνίες στις οποίες συμμετέχετε. Το φιλτράρισμα πλαστογραφημένης κίνησης σε μια σύνδεση διαδικτύου είναι δουλειά του διαχειριστή του δικτύου· δεν είναι κάτι που μπορεί να κάνει ένας ισχυρότερος κωδικός πρόσβασης.

Αν διαχειρίζεστε δίκτυο ή υπηρεσία, ξεκινήστε από το πού πρέπει να τοποθετούνται οι έλεγχοι προέλευσης και η αυθεντικοποίηση. Για σαφέστερη εικόνα της ανάκλασης, της υπερφόρτωσης με κίνηση και της σχετικής ορολογίας, συνεχίστε με τα διαφορετικά μοτίβα επιθέσεων.

Αναζητήστε τον μηχανισμό πίσω από τον ισχυρισμό

Η χρήσιμη συνήθεια εδώ είναι να ρωτάμε τι επαληθεύει πραγματικά ένα σύστημα. Ο Lu Heng μεταφέρει αυτό το ερώτημα σε μια ευρύτερη συζήτηση για τους θεσμούς και την εξουσία στη Σημείωση 20, για τα επίπεδα της πραγματικότητας και τη συμβολική εξουσία. Εκείνο το δοκίμιο αναπτύσσει ένα ευρύτερο επιχείρημα· το παράδειγμα δικτύωσης εδώ είναι απλώς ένας συγκεκριμένος τρόπος να διακρίνουμε έναν ισχυρισμό από τον μηχανισμό που τον στηρίζει.