Κενά ασφαλείας

[linuxs]

Guys, έχω μια απορία. Ακούω συνεχώς για κενά ασφαλείας αλλα δεν μπορώ να καταλάβω τι εννοούν! Σίγουρα δεν είναι μόνο ανοικτές θύρες Ports απο τον server αλλα δεν μπορώ να φανταστώ τι άλλο... Επίσης υπάρχει κάποιο σχετικό e-book η χρήσιμα άρθρα? σας ευχαριστώ..

[Star_Light]

Guys, έχω μια απορία. Ακούω συνεχώς για κενά ασφαλείας αλλα δεν μπορώ να καταλάβω τι εννοούν! Σίγουρα δεν είναι μόνο ανοικτές θύρες Ports απο τον server αλλα δεν μπορώ να φανταστώ τι άλλο... Επίσης υπάρχει κάποιο σχετικό e-book η χρήσιμα άρθρα? σας ευχαριστώ..

Κενά ασφάλειας που?

Σε ενα δίκτυο? Ή σε ένα λειτουργικό σύστημα?

[vasster]

Κενό ασφαλείας θεωρείται κάθε τι που θα μπορούσε να βάλει σε κίνδυνο την ακεραιότητα λειτουργίας του μηχανήματος καθώς και τα δεδομένα. Είναι ευρύς όρος που περιλαμβάνει από τα εύκολα password (πχ root 12345) μέχρι τον χωρίς άμυνα και ελέγχους προγραμματισμό κ.α.
Κενό ασφαλείας είναι ακόμα και η τυφλή εκτέλεση οδηγιών από αυτό το φόρουμ.

[linuxs]

Κενό ασφαλείας είναι ακόμα και η τυφλή εκτέλεση οδηγιών από αυτό το φόρουμ.

+1

Κενά ασφάλειας που?

Σε ενα δίκτυο? Ή σε ένα λειτουργικό σύστημα?

Γενικά...μάλλον σε OS πιο πολύ. Αλλα θα με ενδιέφερε να ακούσω και για δίκτυα ...αν δεν βαριέσαι φυσικά!

[Star_Light]

Κενο ασφάλειας σε ενα δίκτυο μπορεις να εντοπίσεις σε 2 επίπεδα. Σε επίπεδο εφαρμογής και σε επίπεδο δικτύου. Στο επίπεδο εφαρμογής άμεση σχέση έχει ο κώδικας της εφαρμογής ο οποίος δίνει δυνατότητες στον επιτιθέμενο οταν δεν έχει δημιουργηθεί ωστε να πληρει καποια κριτηρια ασφάλειας. Αλλα ακομη και αν τον εχουν προσεξει παντοτε θα υπαρχουν λαθη που θα βρεθουν απο καποιον επειδη ο κωδικας ειναι ανθρωπινο δημιουργημα και καθετι ανθρωπινο αποκλειεται να μην περιλαμβανει λαθη ή bugs ισως ειναι δυσκολο να βρεθουν καποιες φορες αλλα θα βρεθουν. Ειναι ευθυνη του διαχειριστη να ενημερωνεται απο τους προγραμματιστες της εφαρμογης που χρησιμοποιει ωστε να κανει τις αντιστοιχες αναβαθμισεις στην εφαρμογη οταν αυτο γινεται διαθεσιμο απο τους προγραμματιστες της.

Η φιλοσοφια της αναβαθμισης ειναι οτι καθε νεα εκδοση διορθωνει τα λαθη της προηγουμενης.... σκεψου εναν ανθρωπο ο οποιος θελει να μαθει τι λαθος εκανε ωστε να μην το ξανακανει....και λεει "την επομενη φορα θα ειμαι πιο προσεκτικος" απο εκει και περα λοιπον διορθωσε το "προβληματικο" σημειο ή εστω το επισήμανε και διαθετει μια βελτιωμενη εκδοση . ΕΠιθεσεις εφαρμογης έχουμε συνηθως με XSS scripting , SQL injection , ετοιμα exploits σε Perl και αλλα τετοια "σοβαρα" εργαλεια παρολαυτα μια επιθεση μπορει να ειναι απο πολυ ερασιτεχνικη μεχρι πολυ επαγγελματικη .
Με τον οτο exploit εννοεις εκεινο το κομματι κωδικα που εκμεταλευεται την αδυναμια σε ενα αλλο κομματι κωδικα....κτλπ.

Σε επιπεδο δικτυου παίζουν τα ports πως εχει ρυθμιστει το firewall κτλπ. Σε θεματα λειτουργικου συστηματος ειδικα στα Windows γινεται χαμος με τα backdoors και τις προβληματικες υπηρεσιες που τρεχουν σε αυτα.... πχ παλια με το RPC αν θυμαται κανεις καπου το διαβαζα.

Κενα ασφάλειας υπάρχουν και στον σχεδιασμό ενος πρωτοκολλου που υποστηριζει μια επικοινωνια . Πχ στο TCP υπαρχει κενο-αδυναμια που επιτρεπει επιθεσεις DoS (Denial Of Service ) επιθεσεις αρνησης υπηρεσιων... αν υπαρχει καποιος mail server που σταματησει πλεον να κανει την δουλεια για την οποια έχει προγραμματισθει τοτε εκει παιζει DoS ως προς τους πελατες του. Με το DoS ουσιαστικα απλα θετεις εναν σερβερ εκτος λειτουργιας , πλεον δεν μπορει να εξυπηρετησει τους πελατες του. Σε μια TCP επικοινωνια εκμεταλευεσαι το γεγονος του TCP-handshaking στην αρχη της επικοινιας μπορεις να στειλεις απειρα-παρα πολλα SYN πακετα στα οποια θα απαντησει με ενα ACK ο σερβερ αλλα δεν θα παρει συνεχεια απαντηση απο σενα ωστε να ολοκληρωθει η τριημερης χειραψια.... αυτο μπορει να τον οδηγησει σε καταρευση και επομενως σε DoS. Το DoS μπορει να ειναι εισαγωγη για μια Man in the middle attack επιθεση στο ενδιαμεσο οπου εκει πλεον ριχνεις τον SSH server για να αποποιηθεις μετα στους αιτοντες του αρχικα πραγματικου SSH server οτι τελικα εισαι εσυ ο SSH server ας πουμε.

Πανω κατω αυτα ειναι.... ειναι δυσκολο να προφυλαχθει καποιος απο τετοιες επιθεσεις , εκεινο που μπορει να κανει ειναι να ρυθμισει καλα το firewall ως προς τις TCP συνδεσεις... πχ να ορισει κανονα να μην δεχεται πανω απο μια TCP συνδεση εντος καποιου χρονικου διαστηματος ας πουμε... αυτο ομως μπορει να εχει επιπτωση στο QoS του Server ως προς τους πελατες κτλπ... επομενως ορισμενοι ισως να μην το προτιμησουν επειδη θα σκεφτουν "σε μενα θα κανουν DoS?" .

Αλλα ο ορος κενο ασφαλειας ειναι πολυ γενικος ... τα κενα ασφαλειας μπορεις να τα κατηγοριοποιησεις και ως προς την προσβαση που μπορεις να εχεις σε ενα μηχανημα... πχ εχεις φυσικη προσβαση? ή απομακρυσμενη? ΣΤην απομακρυσμενη προσβαση παιζουν ολα οσα ειπαμε απο πανω... στην φυσικη παιζουν αλλα πραγματα.... το κατα ποσο έχεις βαλει καλο κωδικο αλλα ακομη και BIOS password. Κενο ασφαλειας σε ενα τοπικο δικτυο μπορει να ειναι το γεγονος οτι καποιος χρησιμοποιει hubs διανομεις και οχι μεταγωγεις... επομενως αν καποιος βαλει καποιον sniffer μπορει να κλεψει τα δεδομενα σου αν ειναι μερος του τοπικου σου δικτυου και αν δεν χρησιμοποιεις κρυπτογραφηση πχ σε επιπεδο εφαρμογης το SSL.

Ειναι πολυ γενικος ορος σε γενικες γραμμες και μπορει να οφειλεται σε πολλους παραγοντες οπως (αγνοια - αφελεια χρηστη) οταν ο κωδικος προσβασης σε ενα κρυπτοσυστημα αφηνεται στο να τον βαζει ο ιδιος (πχ στα ασυρματα δικτυα) , (κακη σχεδιαση στην αρχιτεκτονικη ενος λειτουργικου συστηματος) πχ WIndows κτλπ. ασχημα διαμορφωμενο τειχος προστασιας.... ακομη και τσιγγουνια ενος επιχερηματια ωστε να παρει μερικα καλα εργαλεια για να προφυλαξει περιμετρικα το δικτυο του

[headless]

Για να καταλάβετε καλύτερα,δείτε δυο πρόσφατα παραδείγματα από τις λίστες του debian.
Το πρώτο αφορά το Open Office και το πώς αυτό χειρίζεται αρχεία .lwp (Lotus Word Pro)
το δεύτερο αφορά το asterisk και διορθώνει ένα bug Που μπορεί να το κρασάρει remotely.

Spoiler: show

Package : openoffice.org
Vulnerability : stack-based buffer overflow
Problem type : local
Debian-specific: no
CVE ID : none yet

Will Dormann and Jared Allar discovered that the Lotus Word Pro import
filter of OpenOffice.org, a full-featured office productivity suite that
provides a near drop-in replacement for Microsoft(R) Office, is not
properly handling object ids in the ".lwp" file format. An attacker can
exploit this with a specially crafted file and execute arbitrary code with
the rights of the victim importing the file.


The oldstable distribution (lenny) is not affected by this problem.

For the stable distribution (squeeze), this problem has been fixed in
version 1:3.2.1-11+squeeze3.

For the testing distribution (wheezy), this problem will be fixed soon.

For the unstable distribution (sid), this problem has been fixed in
libreoffice version 1:3.3.3-1.

We recommend that you upgrade your openoffice.org packages.

Spoiler: show

Package : asterisk
Vulnerability : multiple denial of service
Problem type : remote
Debian-specific: no
CVE ID : CVE-2011-2529 CVE-2011-2535
Debian Bug : 631445 631446 631448

Paul Belanger reported a vulnerability in Asterisk identified as AST-2011-008
(CVE-2011-2529) through which an unauthenticated attacker may crash an Asterisk
server remotely. A package containing a null char causes the SIP header parser
to alter unrelated memory structures.

Jared Mauch reported a vulnerability in Asterisk identified as AST-2011-009
through which an unauthenticated attacker may crash an Asterisk server remotely.
If a user sends a package with a Contact header with a missing left angle
bracket (<) the server will crash. A possible workaround is to disable chan_sip.

The vulnerability identified as AST-2011-010 (CVE-2011-2535) reported about an
input validation error in the IAX2 channel driver. An unauthenticated attacker
may crash an Asterisk server remotely by sending a crafted option control frame.


For the oldstable distribution (lenny), this problem has been fixed in
version 1.4.21.2~dfsg-3+lenny3.

For the stable distribution (squeeze), this problem has been fixed in
version 1.6.2.9-2+squeeze3.

For the testing distribution (wheezy), this problem has been fixed in
version 1:1.8.4.3-1.

For the unstable distribution (sid), this problem has been fixed in
version 1:1.8.4.3-1.

We recommend that you upgrade your asterisk packages.

Όπως βλέπετε οι ενημερώσεις ασφαλείας συνήθως διορθώνουν bugs που μπορεί να εκμεταλλευτεί κάποιος κακόβουλος,locally ή remotely, για να εκτελέσει arbitrary κώδικα ,να προκαλέσει buffer κάποιο overflow και γενικά να βάλει σε κίνδυνο την ασφάλεια και την σταθερότητα του συστήματος.

[Star_Light]

Οταν σκεφτεσαι για κενα και για ασφαλεια πρεπει να τα σκεφτεσαι ολα! Προς αυτη την κατευθυνση ηθελε να σε προιδεασει και ο vasster πιο πανω.. πχ και το UPC ακομη ειναι παραγοντας που ενισχυει την ασφαλεια ωστε σε αποτομη διακοπη ρεύματος ή σε συνθήκες υποτασης ή υπερτασης να μην δημιουργηθει προβλημα στο μηχανημα σου και να μην χάσεις κατι απο τα δεδομενα σου.

[linuxs]

Πρέπει να έχεις το χειρότερο σενάριο στο μυαλό σου...σωστό! Σας ευχαριστώ...

[Star_Light]

Πρέπει να έχεις το χειρότερο σενάριο στο μυαλό σου...σωστό! Σας ευχαριστώ...

κΑΙ ΑΥΤΟ αλλα το σημαντικοτερο ειναι να λαμβανεις υποψιν το δικτυο στην ολοτητα του μαζι με
καθε οντοτητα που μπορει να εμπλεκεται. Και οχι μονο οντοτητες αλλα και γενικοτερα αλλα πραγματα
που μπορει να σχετιζονται ακομη και αυτα που δεν θα εδινες σημασια πχ σε μια διαλεξη ασφαλειας.

Θα σε αρχιζαν πιο πολυ στις θεωριες κρυπτογραφησεων και αλλων τετοιων τεχνικων και ισως να
μην ελεγαν για το UPC Και την ασφαλεια ως προς την τροφοδοσια του ΗΥ. Υπο αυτη την εννοια