15.3. Взломщики

Одной из наиболее известных угроз для безопасности являются злоумыш­ленники (другим видом угрозы являются вирусы), которых обычно называют хакерами или кракерами. На ранних стадиях изучения вторжений Андерсон (Anderson) [ANDE80] идентифицировал следующие классы взломщиков.

• Притворщик. Лицо, не обладающее полномочиями по использованию ком­пьютера, которое проникает в систему, несмотря на контроль доступа сис­темы, и использует учетную запись законного пользователя.

• Правонарушитель. Законный пользователь, получающий доступ к данным, программам или ресурсам, к которым у него нет доступа, или тот, у которого есть такой доступ, но он злоупотребляет своими привилегиями.

• Тайный пользователь. Лицо, завладевшее управлением в режиме супер­пользователя и использующее его, чтобы избежать аудита и преодолеть контроль доступа, или чтобы подавлять сбор данных по аудиту.

Притворщик — это, скорее всего, постороннее лицо; правонарушителем ча­ще всего бывает непосторонний человек; в роли тайного пользователя могут вы­ступать и те, и другие.

Последствия атак злоумышленников могут быть самыми различными — от незначительных до серьезных. В начале шкалы взломщиков располагают­ся те, которые просто хотят использовать сети и узнать, что и где находится. На противоположном конце размещаются индивидуумы, пытающиеся прочи­тать служебные данные, выполнить несанкционированное изменение данных или разрушить систему.

Методы вторжения

Целью злоумышленника является получение доступа к системе или расши­рение спектра привилегий, доступных ему в системе. Вообще говоря, для этого пользователю нужно получить информацию, которая должна быть защищена. В большинстве случаев эта информация имеет вид пользовательских паролей. Зная пароли некоторых других пользователей, злоумышленник может войти в систе­му и проверить, какими привилегиями обладают эти законные пользователи.

Обычно в системе должен поддерживаться файл, с помощью которого авто­ризованным пользователям ставятся в соответствие пароли. Если этот файл хра­нится без всяких предосторожностей, то к нему легко получить доступ и узнать пароли. Файл с паролями можно защитить одним из перечисленных способов.

• Одностороннее шифрование. Пароли пользователей хранятся в системе только в зашифрованной форме. Когда пользователь вводит пароль, система шифрует его и сравнивает с хранящимся значением. На практике система обычно вы­полняет одностороннее (необратимое) преобразование, при котором пароль используется для того, чтобы сгенерировать ключ для функции шифрования, в результате которого получается слово фиксированной длины. Контроль доступа. Доступ к файлу с паролями ограничен одной учетной за­писью или малым числом учетных записей пользователей.

Если применяется одна или обе эти меры предосторожности, потенциально­му злоумышленнику придется затратить некоторые усилия, чтобы узнать па­роль. В [ALVA90] перечислены методы взлома пароля (сведения получены на основании обзора литературы и опросов некоторых взломщиков).

1. Попытка применить пароли стандартных учетных записей, которые устанавливаются по умолчанию при поставке системы. Многие администраторы не утруждают себя их изменением.

2. Настойчивый перебор всех коротких паролей (длиной от одного до трех символов).

3. Перебор слов из подключенного к системе словаря или специального списка слов, чаще всего применяемых в качестве пароля. Примеры таких списков можно найти на хакерских досках объявлений.

4. Сбор такой информации о пользователях, как их полные имена, имена их супругов и детей, фотографии офиса, названия книг в офисе, хобби пользователей.

5. Использование в качестве вероятного пароля номеров телефона пользователя, его номера социального обеспечения, даты рождения или номеров комнат.

6. Использование в качестве вероятного пароля номерных знаков автомобиля.

7. Обход ограничений доступа с помощью троянских коней (описанных в раз­деле 15.4).

8. Перехват сообщений, которыми обмениваются удаленный пользователь иузел системы.

Первые шесть методов являются разновидностями отгадывания пароля. Ес­ли злоумышленник должен проверять правильность догадки методом прямого перебора с попыткой входа, эта процедура является для него утомительной; к тому же в этом случае легко принять контрмеры. Например, система может просто отвергать любую попытку регистрации, в которой было испробовано более трех неправильных паролей. В этом случае злоумышленнику, перепробовавшему три пароля, нужно вновь соединяться с узлом, чтобы повторить попытку. При таких обстоятельствах взломщику не имеет смысла перебирать большое количе­ство паролей. Однако он, скорее всего, и не станет применять такие грубые ме­тоды. Например, получив доступ с привилегиями низкого уровня к зашифро­ванному файлу с паролями, он может попытаться скопировать этот файл, а за­тем использовать механизм шифрования данной системы на свободной машине, чтобы узнать пароль, предоставляющий большие привилегии.

Атаки с отгадыванием пароля применимы и эффективны при условии, что возможен автоматический перебор большого количества вариантов, который можно провести так, чтобы не выдать себя. Далее в этом разделе мы должны бу­дем еще раз вернуться к теме противодействия атакам с отгадыванием паролей.

Седьмому из вышеперечисленных методов атаки — атаке с помощью тро­янских коней — часто бывает особенно трудно противостоять. Пример такой программы приведен в [ALVA90]. Допустим, пользователь с низкими привиле­гиями написал игровую программу и предложил ее сетевому администратору, чтобы тот мог поиграть в свободное время. Однако в программе есть неболь­шой секрет. Запустив ее, действительно можно играть в игру, но она также содержит код, который на фоне этого копирует незашифрованный файл с па­ролями, для доступа к которому нужны привилегии администратора. По­скольку игра запущена администратором и пользуется его привилегиями, то она имеет доступ и к файлу с паролями.

Восьмой из вышеперечисленных видов атак, подключение к линии, связан с физической безопасностью. Ей можно противостоять с помощью методов шиф­рования в каналах связи.

Теперь обратимся к обсуждению двух основных контрмер: предотвращению и выявлению. Предотвращение является заветной целью специалистов по безо­пасности. Трудность состоит в том, что защищающемуся нужно противостоять всем видам возможных атак, в то время как взломщик может попытаться найти самое слабое звено в цепи защиты, и обратить все силы на него. Выявление свя­зано с обнаружением атаки либо до того, как она удастся, либо после того.