: Snifowanie w sieci Spray'a

Pary_anime

Witam
Jesteście zadowoleni z usług SPRAY’a
Ja nie i dlatego ten tekst to przejaw mojego gniewu i niezadowolenia z monopolistycznych praktyk.

Snifowanie w sieci SPRAY’a

Aby zobaczyć jaki poziom bezpieczeństwa oferuje nam SPRAY proponuje pobawić się linuxem.
Najlepszy będzie RED HAT 9.0, ale może być też Mandrake 9.x a dla mniej wtajemniczonych polecam dystrybucje AUROX 9.0 będącą spolszczoną wersją RED-HAT’a 9.0
Po wstępnej instalacji i konfiguracji instalujemy program Dsniff.
Dsniff możemy ściągnąć, w postaci pliku binarnego przeznaczonego dla systemu Red Hat Linux w wersji 9.0, ze strony:
http:// brandonhutchinson.com/dsniff-2.3-1_rh9.i386.rpm
Instalacja pakietu dokonujemy poleceniem:
# rpm –ivh dsniff-2.3-1_rh9.i386.rpm
Adres domowy programu dsnitf, skąd możemy ściągnąć jego
źródła i dokumentację, to:
http://wwwmonkey.org/~dugsong/dsniff/

Dsniff

Dsniff to pakiet narzędzi przeznaczonych do penetrowania sieci lokalnych.
Programy wchodzące w skład pakietu Dsniff

Arpspoof - Przekierowuje pakiety wysyłane przez nadawcy do adresata tak, ze po drodze przechodzą one przez komputer intruza. Dzięki temu możliwe jest sniffowanie w sieciach z przełącznikami.
Dnsspoof - Wysyła sfałszowane odpowiedzi na zapytania DNS (przydatne przy atakach typu man in the middle).
Dsniff - Sniffer wyposażony w możliwość interpretowania wielu popularnych protokółów, takich jak FTP, Telnet, SMTP, HTTP, POP, poppas, NNTP, IMAP, SNMP, LDAP, Rlogin, RIP, OSPF, PPTP MS
CHAP, NFS, VRRP, YP/NIS, SOCKS, X11, CVS, IRC, AIM, ICQ, Napster, PostgreSOL, Meeting, Maker, Citrix ICA, Symantec pcAnywhere, NAI Sniffer, Microsoft SMB, Oracle SQL Net, Sybase.
Filesnarf - Narzędzie zapisujące pliki przesyłane przy użyciu protokołu NFS.
Macof - Narządzie służące do przepełniania pamięci switcha (MAC flooding). Powoduje to, że switch zaczyna działać jak zwykły hub - co ułatwia sniffowanie.
Mailsnarf - Zapisuje emaile przesyłane przy użyciu protokołów POP i SMTP.
Msgsnarf - Zapisuje treści wiadomości przesyłanych przy użyciu komunikatorów internetowych i IRC-a
Tcpkill - Zamyka połączenia TCP.
tcpnice – Zwalnia (zmniejsza szybkość) połączenia TCP
urlsnarf - Wypisuje adresy URL znalezione w sniffowanym ruchu HTTP.
webspy - Przekazuje znalezione adresy URL do lokalnej przeglądarki Netscape, pozwalając na śledzenie (w czasie rzeczywistym) stron, po których surfuje ofiara.
sshmitm - Program będący serwerem pośredniczącym dla połączeń SSH (jednocześnie je snifuje).
webmitm - Program będący serwerem pośredniczącym dla połączeń HTTP i HTTPS przekierowanych przez dnsspoof (jednocześnie je snifuje).

Jednym z narzędzi wchodzących w skład pakietu jest sniffer dsniff. Aby rozpocząć przy jego użyciu nasłuchiwanie na interfejsie eth0 należy wydać polecenie:

$ dsniff –i eth0

gdzie opcja -i eth0 oznacza wybór interfejsu eth0.

Sniffer dsniff potrafi parsowac większość popularnych pakietów. Przykładowo, jeśli po wydaniu polecenia:

$ dsniff –i eth0

spróbujemy (na tym samym komputerze) ściągnąć pocztę przy użyciu protokołu POP, zobaczymy komunikat podobny do poniższego:

dsniff: listening on eth0
----------------------------------
08/03/03 15:00:53 tcp 192.168.0.181.32778 ->
192.168.0.1.110 (pop)
user piotr
pass twojehasło

UWAGA : w opisie podano numerki IP z puli niepublicznej w te miejsca należy wpisać numerki swoje i ofiary, a w niektórych przypadkach bramy przypominam BRAMA SPARY 81.210.48.1 – zgodnie z opisem.

Jak widać dsniff rozumie protokół POP, dzięki czemu nie jesteśmy zalewani nieinteresującymi nas pakietami, a widzimy tylko to, o co nam chodzi - nazwę użytkownika i hasło.
Oczywiście dsniff widzi tylko te pakiety, które trafiają do naszej karty sieciowej. Chcąc używać programu dsniff w lokalnej sieci ze switchami, należy użyć arpspoof, aby spowodować, ze pakiety wędrujące od nadawcy do adresata będą przepływać przez nasz komputer.
Przykładowo – jeśli chcemy podsłuchiwać ruch między komputerem o adresie 192.168.0.19 a pewnym hostem w Internecie, przechodzący przez bramę 192.168.0.1, należy najpierw wydać polecenie:

# echo 1 > /proc/sys/net/ipv4/ipforward

W ten sposób włączamy forwardowanie pakietów IP -jest to konieczne, aby pakiety, które ofiara wysyła do nas (fałszywie wierząc, ze jesteśmy brama o adresie logicznym 192.168.10.1) mogły być przesyłane dalej (do prawdziwej bramy).
Następnym poleceniem, które należy wydać, jest:

# arpspoof –t 192.168.0.19 192.168.0.1

Polecenie to powoduje, ze komputer 192.168.0.19 będzie wysyłał na nasz adres fizyczny pakiety zaadresowane do komputera o adresie logicznym 192.168.0.1
Następnie, nie przerywając pracy poprzedniego polecenia, wpisujemy (w drugiej konsoli):

# arpspoof –t 192.168.0.1 192.168.0.19

W ten sposób mówimy bramie (192.168.0.1) że nasze IP to 192.168.0.19.
Od tej pory komputer 192.168.0.19 chcąc wysłać pakiet do bramy (192.168.0.1) będzie wysyłać go do nas. My podsłuchamy go (oczywiście musimy w tym celu uruchomić dsniff), a następnie prześlemy do prawdziwej bramy. Podobną drogą odbywać będą pakiety płynące w druga stronę.

Sniffing w ethernecie z przełącznikami

Ethernet jest technologią, czy dokładniej: rodzina protokołów, o logicznej topologii magistrali. Oznacza to, ze informacja (ramka) wysłana przez nadawcę trafia do wszystkich odbiorców, przy czym odczytuje ją jedynie odbiorca, którego adres sprzętowy (MAC address) jest zgodny z adresem przeznaczenia.
W przypadku fizycznej topologii magistrali (np. ethernet 10Base2 albo 10Base5) jest to dość oczywiste, podobnie natomiast wygląda to tez w przypadku, kiedy siec zbudowana jest w fizycznej topologii gwiazdy (na przykład 10baseT albo 100baseTX). Zadaniem koncentratora (huba) umieszczonego w centralnym punkcie rozdzielczym sieci jest wzmacnianie otrzymanego sygnału i przekazywanie go na wszystkie swoje porty (dla nieuważnych: pisząc portach mam na myśli gniazdka, w które wkłada się kabelki, a nie składowe socketów TCP).
Przełącznik (switch) jest urządzeniem drugiej warstwy modelu referencyjnego ISO/OSI. Od koncentratora (huba) różni się, z grubsza rzecz biorąc, tym, ze potrafi nauczyć się adresów MAC urządzeń podłączonych do swoich poszczególnych portów i przekazywać nadchodzące ramki tylko do tego portu, do którego podłączone jest urządzenie o odpowiednim adresie fizycznym.
Switch ma wbudowana pamięć, w której przechowuje tablice adresów przypisanych do poszczególnych portów. Jeżeli na ktorymś z portów switcha pojawia się ramka, switch odczytuje adres jej nadawcy i umieszcza w tablicy adresów jako adres przypisany do danego portu. Oczywiście dopóki przełącznik nie nauczy się, jakie adresy odpowiadaj któremu portowi, rozsyła ramki zaadresowane do nieznanego urządzenia na wszystkie swoje porty - zupełnie jak hub.
Pojemność pamięci przeznaczonej na adresy wynosi zazwyczaj od dwóch do ośmiu kilobajtów (w zależności od modelu switcha co, biorąc pod uwagę fakt, ze adres MAC ma długość 6 bajtów, pozwala na zapamiętanie kilkuset adresów. Oczywiście standardowe switche mają zazwyczaj kilkanaście portów natomiast większa pamięć jest potrzebna w przypadku łączenia ich ze sobą w sieć o topologii drzewa.
Zastosowanie przełączników drugiej warstwy uniemożliwia oczywiście stosowanie klasycznych metod sniffingu (polegają one przestawieniu karty sieciowej w tryb promiscuous, , to jest taki, w którym karta ignoruje adres odbiorcy zapisany w ramce i przetwarza wszystkie ramki, ktore pojawia się w medium). Powód jest prosty - do interfejsu komputera dochodzą tylko ramki przeznaczone dla niego i ramki rozgłoszeniowe (po angielsku broadcast - mówimy, że switch rozdziela domeny kolizyjne, nie rozdziela natomiast domen rozgłoszeniowych). Istnieją jednak metody pozwalające na podsłuch informacji również w sieciach przełączanych.

MAC flooding (zalewanie ramkami z fałszywymi adresami MAC)

Pierwsza i - uprzedzając fakty - najmniej skuteczna metodą jest MAC flooding, czyli zalewanie switcha dużą liczbą ramek ze sfałszowanym adresem źródłowym (nadawcy). Oczywiście po pewnym czasie dochodzi do przepełnienia tablicy adresów. Nie umiejąc prawidłowo nauczyć się nowych adresów pochodzących od rzeczywiście działających w sieci komputerów switch zaczyna rozsyłać nadchodzące ramki zaadresowane do nieznanych mu adresatów na wszystkie swoje porty. W przypadku porządnych switchy można w ten sposób co najwyżej zafloodowac port, z którego jest prowadzony atak, albowiem każdy z portów ma przydzielony osobny fragment tablicy adresów.
Tańsze i starsze modele przełączników mają współdzieloną pamięć dla wszystkich portów, zatem zalewanie jednego z nich kończy się w miarę szybką zamiana switcha w huba. Dalej można już stosować metody podsłuchu znane z klasycznego ethernetu.
Oczywiście przełącznik co pewien czas odświeża informacje (inaczej nie moglibyśmy nawet przepiąć działającego komputera z portu do portu), więc proces zalewania musi być prowadzony w sposób ciągły, przy wykorzystaniu dość wydajnego komputera, a i to nie gwarantuje odebrania stu procent podsłuchanych wiadomości. W końcu każda wiadomość (nawet ta, która udało się podsłuchać) niesie w sobie informacje o swoim nadawcy, a ta informacja powoduje przypisanie w switchu adresu źródłowego do któregoś z portów. Potrzeba pewnego czasu aby napływające z floodingu ramki wyparły tę informację z pamięci przełącznika. Również od rozpoczęcia zalewania do wypełnienia tablic switcha musi upłynąć nieco czasu.

ARP spoofing (fałszowanie pakietów ARP)

Druga metoda podsłuchiwania ramek w sieci przełączanej jest ARP spoofing. Metoda ta polega na wysłaniu fałszywej ramki ARP Reply, z której komputery w sieci czerpią informację na temat odwzorowania adresów logicznych (IP) na adresy fizyczne (MAC). Na broadcastowe zapytanie klienta o adres IP (dajmy na to bramy do Internetu) odpowiada komputer użyty do ataku (rzecz jasna odpowiada podając nieprawdziwa informację, z której wynika, ze fizyczny adres bramy to adres jego karty sieciowej). Dalej komunikacja odbywa się już na linii pirat - klient. Ten ostatni przekonany jest oczywiście, ze wysyła ramki pod właściwy adres (fizyczny), a jedyne, o co ten pierwszy musi zadbać, to przekazywanie zawartych w nich pakietów tam gdzie trzeba (do rzeczywistej bramy). Komputer pirata działa tu więc jak swoisty pseudorouter drugiej warstwy. Mamy tu pełną analogie do ataków typu Man In The Middle stosowanych w warstwach wyższych (przez fałszowanie odpowiedzi dnsowych).

Duplikacja adresu fizycznego

Oczywiście można posunąć się. jeszcze dalej i podłączyć do dwóch portów switcha dwa komputery o identycznych adresach fizycznych. Najprostszym w realizacji sposobem osiągnięcia takiego efektu jest programowa zmiana adresu MAC interfejsu sieciowego. Opcję te umożliwia wiele kart sieciowych (z kartami opartymi na RTL8139D włącznie) i systemów operacyjnych (z Windows 2000 i oczywiście Linuksem). Nie jest to metoda do końca pozbawiona wad i oczywiście można zamiast tego podsyłać po prostu odpowiednio spreparowane ramki, nie zmieniając rzeczywistego adresu komputera użytego do ataku.
Z punktu widzenia switcha jest to równoważne sytuacji, w której do dwóch portów jest przyłączone to samo urządzenie. W normalnej sieci takie sytuacje raczej nie maja miejsca (wyjąwszy dość rzadki przypadek pętli mostowej). Może się jednak zdarzyć, że ktoś właśnie zajmuje się przepinaniem komputerów z portu do portu, switch więc przez pewien czas będzie przesyłał ramki na oba porty.
Ponieważ tak się. składa, że większość transmisji w sieci ma charakter dialogu, kiedy na jednym z portów pojawi się ramka z odpowiedzią (zawierającą odpowiedni adres MAC) - wpis dotyczący drugiego portu zostanie usunięty a transmisja nań - zaniechana. Aby zatem utrzymać switcha w stanie nieświadomości należy co jakiś czas podsyłać mu ramkę z zespoofowanym adresem MAC.
Jeżeli wykorzystaliśmy programową zmianę adresu karty najprościej to osiągnąć choćby uruchamiając w tle pinga na dowolny adres. Oczywiście tego typu kombinacja pozwala jedynie na przechwycenie informacji docierających do jednej strony dialogu (tej, której MAC jest naśladowany) ale może to okazać się wystarczające do na przykład przechwycenia haseł. Jeżeli nie - należy postarać się o drugi komputer, druga kartę sieciową, albo spoofowac naraz oba adresy, z tym, ze tu już nie będziemy mogli się posłużyć standardową programowa zmiana MAC adresu karty w Windows.
Nie trzeba dodawać, ze adres logiczny (IP) komputera użytego do ataku powinien być inny niż adres logiczny komputera, pod który ten się podszywa, albo przynajmniej należy na nim wyłączyć obsługę odpowiedniej części protokołów, w przeciwnym bowiem razie może dojść do rożnych dziwnych sytuacji, na przykład klient zamiast nawiązać połączenie z komputerem podsłuchiwanym nawiąże je z podsłuchującym.

Trochę praktyki dla wtajemniczonych

tcpdump –i etch0 host 192.168.0.3

Skrypt flodujący:

for zm_8 in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
for zm_9 in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
for zm_10 in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
for zm_11 in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
for zm_12 in 0 1 2 3 4 5 6 7 8 9 a b c d e f
do
ifconfig eth0 down
ifconfig eth0 hw ether 00:00:0$ (zm_8) : $ (zm_9) : $ (zm_10) : $ (zm_11) : $ (zm_12) up
arp –S 192.168.0.12 00:05:05:05:6C:05
ping 192.168.0.12 –c 1 &
done
done
done
done
done
echo $ (zm)

ARP-spoofing

Do podszywania ARP używa się narzędzia konsolowego o nazwie arpspoof wchodzącego w skład pakietu dsniff. Pakiet dsniff jest przeznaczony dla systemów z rodziny ; Unix / Linux. Program arpspoof wywołujemy w następujący sposób:

Arpspoof [-i interfejs] [-t ip_celu] ip_spoof

gdzie:
interfejs - interfejs, przy pomocy którego program będzie wysyłał fałszywe informacje
ip_celu - komputer, którego transmisje będzie przechwytywana. W przypadku wywołania programu bez parametru fałszywe informacje będa rozsyłane do wszystkich komputerów z sieci lokalnej,
ip_spoof - adres, pod który program będzie się podszywał, np. adres IP bramy do Internetu.

Na komputerze o adresie logicznym 192.168.0.3 uruchomiono program arpspoof z parametrami:

# arpspoof –i eth0 –t 192.168.0.2 192.168.0.1

Program wyświetla informacje o generowanych ramkach
Aby sprawdzić jak wygląda lokalna tablica ARP komputera o adresie 192.168.02 można posłużyć się poleceniem arp:
#arp –a
(192.168.0.1) at 00:00:01:02:03:04 [ether] on eth0

W tym przypadku wszystkie ramki wygenerowane do Internetu przez komputer 192.168.0.2 będą trafiały do komputera 192.168.0.3 zamiast do bramki internetowej.
Oczywiście aby atak pozostał niezauważony musimy jeszcze wszystkie ramki z komputera 2 przesyłać na właściwą bramę do Internetu. Aby to zrobić należy na komputerze 192.168.0.3 włączyć przekazywanie pakietów, na przykład za pomocą polecenia:

echo 1 > /proc/sys/net/ipv4/ip_forward

Od tego momentu można podsłuchiwać ruch generowany do Internetu przez komputer 2, nie zrywając transmisji przez niego nawiązywanych. Ramki po dotarciu do komputera 3 będą przekierowane do właściwej bramy, dzięki czemu użytkownik komputera 2 nie zauważy żadnych anomalii.

UWAGA: Tekst został umieszczony w celach edukacyjnych, aby zapoznać użytkowników z jak działa internet w SPRAY’u i jaki niesie za sobą ryzyko. Ponadto Tego typu działalność jest niezgodna z prawem i autor nie ponosi żadnej odpowiedzialności w przypadku użycia tych technik. Tego typu techniki są powszechnie opisywane w internecie, więc nie widzę powodu aby i klienci SPRAY.a nie mogli się z nimi zapoznać.

Aby zachować równowagę powiem teraz jak przeciwdziałać z tego rodzaju atakami? W przeciwieństwie do klasycznego sniffingu podsłuch w sieciach przełączanych opiera się na technologiach aktywnych, zatem jego wykrycie powinno być prostsze. Administratorzy dysponujący urządzeniami zarządzanymi, z wbudowana możliwością analizy ruchu sieciowego, maja oczywiście ułatwione zadanie. Nawet jednak dysponujący ograniczonymi zasobami administrator nie stoi na przegranej pozycji. Zamiast Carnivore'a może wystarczyć zwykły sniffer i koncentrator. Podejrzany komputer można przyłączyć razem ze stacja monitorującą do koncentratora, a dopiero ten do przełącznika i w ten sposób uzyskać pełna informację o jej aktywności. Niezależnie od użytego sprzętu stosunkowo łatwo oczywiście wykryć dowolny flooding - duże obciążenie sieci, duża liczba wysyłanych ramek na danym porcie to zjawiska, którym należy się bacznie przyjrzeć.
Co do ARP spoofingu to najłatwiej oczywiście sprowokować potencjalnego agresora do wysłania fałszywej ramki (każdy porządny administrator rzecz jasna trzyma u siebie w kasie pancernej zeszyt z zapisanymi adresami MAC wszystkich kart sieciowych w całej sieci, odpowiadającymi im adresami IP poszczególnych urządzeń w których te karty są zamontowane i informacja, na którym porcie switcha dane urządzenie się znajduje. Sprawa nieco komplikuje się, gdy agresor zamierza podsłuchiwać nie pierwszy z brzegu, ale jakiś konkretny komputer, a na zapytania ARP wysyłane z komputera administratora nie odpowiada. Pewnym rozwiązaniem jest wysyłanie zapytania ARP z zespoofowanym adresem źródłowym udającym adres potencjalnej ofiary. Switch wprawdzie przęśle odpowiedz tam gdzie trzeba, czyli do portu, do którego przypisany jest MAC adres tegoż komputera, ale właśnie przed chwila (z zespoofowanej ramki) dowiedział się, że tym portem jest port, pod który podłączony jest komputer administratora. Na szczęście (w tym wypadku) czas aktualizacji tablic switcha waha się w granicach od kilku do kilkunastu sekund, zaś odpowiedz ARP w średnio obciążonej sieci powinna nadejść wcześniej. Oczywiście jeśli otrzymamy dwie odpowiedzi ARP (od pirata i od bramy) to mamy już winnego.
Stosunkowo najtrudniej wykryć sytuację, w której w sieci funkcjonują dwa identyczne komputery. Oczywiście jeżeli adresy IP będą rożne, to wystarczy przepytać cala siec (za pomocą protokołu ARP) i sprawdzić, czy dwie maszyny nie przyznają się do tego samego adresu (fizycznego). Jeśli adresy IP będą takie same i na komputerze agresora nie zostaną zablokowane usługi odpowiedzi (np. ICMP Echo) to wskazówka może być otrzymywanie podwójnych odpowiedzi na wystane pakiety. Jeżeli agresor zablokował wszystkie możliwe protokoły udzielające odpowiedzi (ARP, RARP, TCP, ICMP) albo po prostu nie uruchomił na swoim komputerze stosu protokółów TCP/IP-w końcu do sniffingu tego nie potrzeba, to można skorzystać z faktu, ze w czasie prowadzenia ataku musi w sposób ciągły informować switcha o tym, że również na jego porcie znajduje się adres MAC taki jak adres podsłuchiwanego komputera (inaczej switch uaktualni dane w tablicy). Jeżeli nie jesteśmy szczęśliwymi posiadaczami urządzenia zarządzanego nie możemy sprawdzić tablicy adresowej switcha, pozostaje więc tylko wspomniana metoda podsłuchu ruchu sieciowego na określonym kabelku i jego analizy pod katem fizycznych adresów nadawcy. Oczywiście w sieci, w której mamy wiele przełączników spiętych w topologii drzewa i porozmieszczanych w rożnych dziwnych miejscach taka operacja może być nieco skomplikowana.
Rzecz jasna zabiegi takie jak monitorowanie własnej sieci i wysyłanie do niej fałszywych informacji powinny być przez administratora stosowane tylko w ostateczności, kiedy naprawdę istnieje uzasadnione podejrzenie, że dzieje się cos niedobrego i wyłącznie w celu wykrycia agresora lub przyczyny dziwnych zachowań sieci.

Z pozdrowieniami ediota.

Zaje...hm..ten..no...swietny wywod! Moze troche przydlugi - tu gratuluje mnostwa wolnego czas. Ale watpie, zeby standardowy uzytkownik zrozumial cos poza pierwszym akapitem.
Siec jaka jest kazdy widzi i kazdy moze rowniez zajrzec do swojej umowy ze Sprayem i sprawdzic czy operator zobowiazal sie do ochrony uzytkownikow przed atakami zloczyncow. Nie ma takiego punktu? Szkoda! Ale zaraz, przeciez Spray nawet nie rekalmuje sie jako bezpieczny dostawca usług transmisji danych. Wiec o co pretensje?
W sumie jest to siec do uzytku domowego a nie biznesowego wiec jesli ktos jest w posiadaniu poufnych informacje swojej firmy to niech lepiej ich z niej nie wynosi.

Jestem uzytkownikiem lacza Spraya od ok. 2 tyg. i moze jeszcze za malo wiem. Ale jezeli jestes rozczarowany poziomem bezpieczenstwa w sieci Spray na Skoroszach to chyba miales bledne oczekiwania. Ja na razie moge miec pretensje do Microsoftu za Windowsa bo w sieci chodzi tragicznie wiec coraz czesciej z menu startowego mojego domowego desktopa wybieram Linuksa...
ediota napisał(a): Rzecz jasna zabiegi takie jak monitorowanie własnej sieci i wysyłanie do niej fałszywych informacji powinny być przez administratora stosowane tylko w ostateczności, kiedy naprawdę istnieje uzasadnione podejrzenie, że dzieje się cos niedobrego i wyłącznie w celu wykrycia agresora lub przyczyny dziwnych zachowań sieci.
Opis ciekawy, ale swoim wywodem namawiasz do przestepstwa!

Tego typu działania podlegają takiej samej karze jak zakładanie neilegalnych systemów podsłuchu i zagrożone są karą wiezienia.

Dlatego lepiej wzorem edioty nie załączac takich urządzen, bo możecie się wpakować w naprawdę poważne kłopoty.

Lepiej zainwestowac w dobry firewall lub inny system fałszujący
ediota napisał(a):Witam
Jesteście zadowoleni z usług SPRAY’a
Ja nie i dlatego ten tekst to przejaw mojego gniewu i niezadowolenia z monopolistycznych praktyk.

Snifowanie w sieci SPRAY’a

<ciach> dobry tekst ale długi.

W moim segmencie nie narzekam na Spraya (mam adres publiczny) z punktu widzenia bezpieczeństwa. Jestem wpięty do switcha, co dość skutecznie redukuje możliwości sniffowania. Nie jestem pewien czy stosowanie technik floodujących lub manipulacji adresem MAC w przypadku tej sieci odniesie sukces ponieważ urządzenia dostępowe w naszej podsieci to nie są najprostsze switche. Poza tym oczywiście nie mam zamiaru tego sprawdzać.
Każda sieć w której jest więcej niż 1 użytkownik oznacza możliwość wzajemnego podsłuchiwania i trzeba mieć tego świadomość. Żaden dostawca Internetu nie zabezpiecza w 100% swoich użytkowników przed podsłuchem choć przyznaję że w sieciach takich jak Spray czy AsterCity jest to znacznie ułatwione. Trzeba po prostu nauczyć się z tym żyć, z resztą brak odporności na podsłuch jest immanentą cechą sieci Internet i dopóki nie zmienią się używane w nim protokoły to nic się w tej kwestii nie zmieni.
Dlatego też nie ma co siać paniki i korzystać z dobrodziejstw stałego łącza.

Pozdrawiam

Zapewniam przełączniki stosowane przez SPRAY mają pojemność 8000 adresów MAC więc ich zapchanie nie zajmie dużo czasu. A sprawa dostępuprzez modem - hmm to tak jakbyś mi powiedział, że przz modem 33,6 Kb/s niezafloduje Ci kompa a tu mam synchroniczne łącze do przełącznika o przepustowości ponad 1Mb/s. Tak więc zapewniam że pakiety mogą latać po całej sieci już po 10 minutach dzaiłalności sprytnego człowieka.

PS: do administratora
Blokada mojego dostępu poprzez nr IP nie pomaga??
Wystarczy napisać maila zprośbą. Odrobina ogłady i poniechanie praktyk monopolistycznych, oraz poszanowanie wszystkich użytkowników to chyba to o co nam chodzi. Mam racje?
Witam
Anonymous napisał(a):Zapewniam przeĹ�Ä�czniki stosowane przez SPRAY majÄ� pojemnoĹ�Ä� 8000 adresów MAC wiÄ�c ich zapchanie nie zajmie dużo czasu. A sprawa dostÄ�puprzez modem - hmm to tak jakbyĹ� mi powiedziaĹ�, że przz modem 33,6 Kb/s niezafloduje Ci kompa a tu mam synchroniczne Ĺ�Ä�cze do przeĹ�Ä�cznika o przepustowoĹ�ci ponad 1Mb/s. Tak wiÄ�c zapewniam że pakiety mogÄ� lataÄ� po caĹ�ej sieci już po 10 minutach dzaiĹ�alnoĹ�ci sprytnego czĹ�owieka.

OK. Więc jest to technicznie możliwe - floodujemy przełącznik i potem zajmujemy się podsłuchiwaniem tego co robią nasi sąsiedzi. Moje pytanie do Ciebie brzmi: Co w związku z tym proponujesz? Moim zdaniem nic się nie da z tym zrobić i po prostu trzeba z tym żyć. Nie popieram monopolu, nie popieram też w szczególny sposób firmy Spray ale uważam że jedyne co można z tym zrobić to mieć świadomość że tak jest. Oczywiście jeżeli założymy że sieć jest prowadzona przez kompetentych ludzi, którzy w dodatku mają czas na nadzorowanie sieci, to można ograniczyć tego typu "działalność". Tylko że kto ma w dzisiejszych czasach czas żeby siedzieć i monitorować w czynie społecznym sieć

Pozdrawiam

p.s.: chyba masz jakiś problem z kodowaniem polskich znaków w swojej przeglądarce?
ediota napisał(a): Jesteście zadowoleni z usług SPRAY’a
Ja nie i dlatego ten tekst to przejaw mojego gniewu i niezadowolenia z monopolistycznych praktyk.
Specjaliste od wandala różni to, że wie jak zapobiegac. Ty pokazales jak byc wandalem.

A teraz pokaż, że wiesz jak wandalizmowi zapobiegać. Kreujesz się na znawcę, to pokaż jak zapobiec takim nieuczciwym zachowaniom. Bo już wiemy, ze wiesz jak byc wandalem.

A altermatywa dla Spraya już jest.
Witam ponownie.
Szanowny donosicielu.
Wandealem nie jestem!
Od 11 lat zajmuje się bezpieczeństwem w sieci.
To co widze tu to jedna wielka paranoja.
Gdybyś przeczytał dokłądnie to zobaczył byś że udzielam rad jak temu zapobiegać i walczyć z tego typu praktykami. A post ten jest spowodowany też faktem, że kilkakrotnie ktoś usiłował moje zasoby w jakaiś sposób inwigilować. KTo? ja to wiem. I dlatego postanowiłem opisać to zagrożenie i pokazać jakie to proste i jakie niesie za sobą ryzyko.
Forum to zaś jest pełne pomówień i frywolnego panoszenia się adminów blokujących dostęp bez podania przyczyny.
Ale ok.

Pozdrawiam ediota.

Ps:
Do SPRAY'a
A może tak Hone'y. Myśle że to byłoby skuteczne, a przynajmniej zobaczylibyśmy na co stać użytkowników szperających Waszym klientom w zasobach.

Do Admina
Czekam na wiadomość. Jeśli coś Cie boli to napisz.
ediota napisał(a):
Od 11 lat zajmuje się bezpieczeństwem w sieci.

Witam starszego kolegę po fachu

ediota napisał(a):
To co widze tu to jedna wielka paranoja.
Gdybyś przeczytał dokłądnie to zobaczył byś że udzielam rad jak temu zapobiegać i walczyć z tego typu praktykami. A post ten jest spowodowany też faktem, że kilkakrotnie ktoś usiłował moje zasoby w jakaiś sposób inwigilować. KTo? ja to wiem. I dlatego postanowiłem opisać to zagrożenie i pokazać jakie to proste i jakie niesie za sobą ryzyko.

Problem który tu widzę polega na tym że ktoś ze Spraya musiałby się zająć bezpieczeństwem sieci - zwykły użytkownik prawie nic nie może na to poradzić. Jakie motywacje może mieć Spray żeby prowadzić jakieś działania chroniące jego użytkowników? Sprayowi jako ISP zależy tylko na tym żeby chronić własną infrastrukturę przed atakami. Działanie typu ochrona przed sniffingiem między użytkownikami wymaga nakładów, które raczej się nie zwrócą - no bo w jaki sposób? Dlatego też ani Spray ani żadna inna firma działająca dla zysku nie podejmie takich działań. Ochrona przed sniffingiem jest możliwa tylko w sieciach prowadzonych społecznie przez pasjonatów, którzy mają czas i chęci żeby stosować przeciwśrodki przez Ciebie opisane

ediota napisał(a):

Pozdrawiam ediota.

Pozdrawiam,

Malcolm_X
Internet oferowany przez Spray'a nie jest usługą typu intranetową (nie pełni roli sieci wewnętrznej) jest to dostęp do internetu (właściwie przeglądarka internetowa, zapewnia korzystanie ze skrzynki pocztowej posiadanej np. na portalach zewnętrznych, nic od siebie nie daje - poza jakąś przepustowością zapewnioną dla wydzielonych na sztywno podgrup użytkowników i nic więcej.
Jeśli myślicie o poczcie wewnętrznej bezpiecznym internecie należy zacząć od podstaw t.j:
- w każdej wspólnocie pomyśleć o położeniu sieci wewnętrznej łączącej np. poszczególne budynki danej wspólnoty (lub klatki w bloku)
- wyszukać niezależnego operatora który zapewni odpowiednią klasę łącza internetowego.
- zadbać o infrastrukturę bezpieczeństwa takiej sieci (firewall ogólny, router, serwer pocztowy)
Nie miejcie pretensji do Spraya - to nie jest operator internetowy
polecam wszystkim zainteresowanym sprawdzenie jak to się robi na skoroszu V - tam sami entuzjaści internetu kładą sieć i korzystają z łącza zestawionego im przez ProFuturo i dzielą się kosztami (wychodzi im na razie po 50 zł miesięcznie a przepustowość i bezpieczeństwo jest nieporównywalne ze Sprayem.

: Snifowanie w sieci Spray'a

Pary_anime

Linki

Cytat