H Y Ö K K Ä Y SH Y Ö K K Ä Y S

Esa HäkkinenEsa HäkkinenEvtek tp02s Tekninen tietoturvaEvtek tp02s Tekninen tietoturva

Copyleft 2005Copyleft 2005

DISCLAIMERDISCLAIMEREsitelmä on lyhyt juonto tietoturvallisuuden tärkeyteen Esitelmä on lyhyt juonto tietoturvallisuuden tärkeyteen hyökkäyksen torjunnan näkökulmasta. Kaikki esityksen materiaali hyökkäyksen torjunnan näkökulmasta. Kaikki esityksen materiaali on jo valmiiksi internetissä laajasti saatavilla. Kaikki tieto perustuu on jo valmiiksi internetissä laajasti saatavilla. Kaikki tieto perustuu joko puhtaisiin hypoteeseihin tai avoimien standardien joko puhtaisiin hypoteeseihin tai avoimien standardien kommentointiin tietoturva-alan julkaisuissa. kommentointiin tietoturva-alan julkaisuissa.

Tavoitteena on auttaa ymmärtämään internetin ipv4-pohjaisen Tavoitteena on auttaa ymmärtämään internetin ipv4-pohjaisen datasiirron heikkouksia ja turvariskejä, ohjata tietoturvapolitiikan datasiirron heikkouksia ja turvariskejä, ohjata tietoturvapolitiikan suunnittelua todellisuutta kohti sekä auttaa ymmärtämään suunnittelua todellisuutta kohti sekä auttaa ymmärtämään mahdollisten hyökkääjien menetelmiä. Esitelmää ei mahdollisten hyökkääjien menetelmiä. Esitelmää ei todennäköisesti saa esittää 1.1.2006 jälkeen tekijänoikeuslain todennäköisesti saa esittää 1.1.2006 jälkeen tekijänoikeuslain tuomien epäselvien laintulkintojen vuoksi.tuomien epäselvien laintulkintojen vuoksi.

Esitelmän pitäjää ei voi syyttää mahdollisista tunkeutumisesta Esitelmän pitäjää ei voi syyttää mahdollisista tunkeutumisesta järjestelmään ohjeiden mukaisesti, sillä ylläpitäjä on itse järjestelmään ohjeiden mukaisesti, sillä ylläpitäjä on itse laiminlyönnyt turvallisuustason ylläpidon. Jos ehdit lukemaan laiminlyönnyt turvallisuustason ylläpidon. Jos ehdit lukemaan tänne asti olet joko todella virtuoosi tai Sinulla on valokuvamuisti.tänne asti olet joko todella virtuoosi tai Sinulla on valokuvamuisti.

sisällyssisällys

IntroIntro• Taustatietojen keräilyTaustatietojen keräily• Tunkeutumattomat hyökkäyksetTunkeutumattomat hyökkäykset• TunkeutumismenetelmätTunkeutumismenetelmät• Luovat menetelmätLuovat menetelmät

TCP/IP –pinoTCP/IP –pino IP-spooffausIP-spooffaus IDS-ohitusIDS-ohitus Exploittaus ja rootkitty-asennusExploittaus ja rootkitty-asennus

Taustatietojen ongintaaTaustatietojen ongintaa

Etsitään tietoa kohteen verkosta, Etsitään tietoa kohteen verkosta, laitteistosta, organisaatiostalaitteistosta, organisaatiosta

Uutistiedotteista Extranet-tietoaUutistiedotteista Extranet-tietoa Roskiksen Dyykkaus =)Roskiksen Dyykkaus =) Tarjouspyynnöllä vierailuTarjouspyynnöllä vierailu Heikon työaseman valinta kohteeksiHeikon työaseman valinta kohteeksi

Intro

TunkeutumattomatTunkeutumattomat

IDS:n ulkopuolella hääriminenIDS:n ulkopuolella hääriminen Hevonen.com DNS-reply kaappausHevonen.com DNS-reply kaappaus Aikapalvelun NTPd h4x0rointiAikapalvelun NTPd h4x0rointi Vääriin hälytyksiin reagointiVääriin hälytyksiin reagointi

Intro

Tunkeutuvat menetelmätTunkeutuvat menetelmät

Modattu IP-pakettiModattu IP-paketti Taustakohinan nostaminenTaustakohinan nostaminen IDS ja kohdejärjestelmän haisteluIDS ja kohdejärjestelmän haistelu IDS:n hämäys/rampautus/korvausIDS:n hämäys/rampautus/korvaus Takaportin asennus: Hello RootKittyTakaportin asennus: Hello RootKitty

Intro

Luovat menetelmätLuovat menetelmät

Käyttäjätunnus-salasana –parien Käyttäjätunnus-salasana –parien ongintaa SMTP/DNSongintaa SMTP/DNS

Konekaappaus juoksualennuksellaKonekaappaus juoksualennuksella TarjouspyyntötutustuminenTarjouspyyntötutustuminen Organisaatioiden välinen tietovuotoOrganisaatioiden välinen tietovuoto Musiikki-CD työpostissaMusiikki-CD työpostissa

Intro

TCP/IP pakettiTCP/IP paketti

IPTCPUDPICMP

Data

TCP/IP paketti: IP-otsikkoTCP/IP paketti: IP-otsikko

Putki internetin ylitsePutki internetin ylitse Tarjoaa yhteyden vastapäähänTarjoaa yhteyden vastapäähän

IPTCPUDPICMP

Data

TCP/IP paketti: TCP-otsikkoTCP/IP paketti: TCP-otsikko

Datan siirron hallintaDatan siirron hallinta Portista porttiin, Portista porttiin,

merkki kerrallaanmerkki kerrallaan

TCPUDPICMPIP Data

http://www.unix.org.ua/orelly/networking/tcpip/index.htm

TCP/IP paketti: DataTCP/IP paketti: Data

PayloadPayload Test messageTest message

Data

IPTCPUDPICMP

IPTCPUDPICMP

Data

IPTCPUDPICMP

Data

sekvenssisekvenssi

sekvenssisekvenssi

Yhteyden TCP-paketin järjestysnumeroYhteyden TCP-paketin järjestysnumero Estää datan toistumistaEstää datan toistumista Naurettavan helppo arvata kasvatus:Naurettavan helppo arvata kasvatus:

• Ieee-RFC: i++Ieee-RFC: i++• BSD4.2: vakiolla (~60)BSD4.2: vakiolla (~60)• BSD4.3: suurella vakiolla (~2500)BSD4.3: suurella vakiolla (~2500)• Windows2000: satunnaisluvullaWindows2000: satunnaisluvulla• Linux 2.x: satunnaisluvullaLinux 2.x: satunnaisluvulla

Sekvenssillä IP-spooffausSekvenssillä IP-spooffaus TCP/IP Source RoutingTCP/IP Source Routing

• Lähdereititys, pakettiin reititysketju, Lähdereititys, pakettiin reititysketju, hyökkääjältä kohteen verkkoonhyökkääjältä kohteen verkkoon

RIP/EGB route spoilingRIP/EGB route spoiling• RIP/EGB reititystaulun mainostusRIP/EGB reititystaulun mainostus• Idlaavan työaseman liikenne Idlaavan työaseman liikenne

ohjautumaan hyökkääjän koneelleohjautumaan hyökkääjän koneelle

Yhdessä: Man In The MiddleYhdessä: Man In The Middle

http://www.insecure.org/stf/tcpip_smb.txt

HyökkäysHyökkäys

EsikartoitusEsikartoitus TunnistusTunnistus ToteutusToteutus

IDS

EsikartoitusEsikartoitus

Dyykataan roskiksetDyykataan roskikset OrganisaatiokaaviotOrganisaatiokaaviot Extranet-tiedon louhintaExtranet-tiedon louhinta

TunnistusTunnistus

Hevonen.com -hyökkäysHevonen.com -hyökkäys Aikapalveluiden sekoittaminenAikapalveluiden sekoittaminen Vääriin hälytyksiin reagointiVääriin hälytyksiin reagointi IDS-alustan ja kohdejärjestelmän IDS-alustan ja kohdejärjestelmän

erojen etsintäerojen etsintä

Toiminnan piilottaminenToiminnan piilottaminen

Hevonen.com -dnsreply-hyökkäysHevonen.com -dnsreply-hyökkäys Aikapalveluiden sekoittaminenAikapalveluiden sekoittaminen Hälytyksiin reagoinnin seurantaHälytyksiin reagoinnin seuranta Verkkokohinan tasainen nostaminenVerkkokohinan tasainen nostaminen

IDS:n ohitusIDS:n ohitus

TCP/IP-pinojen käsittelyTCP/IP-pinojen käsittely

• Eri käyttöjärjestelmä, eri pinoEri käyttöjärjestelmä, eri pino• Sekalainen IP- ja TCP –fragmentointiSekalainen IP- ja TCP –fragmentointi• Toistaminen ja offsettien reikiminenToistaminen ja offsettien reikiminen• Järjestyksen sekoitus Järjestyksen sekoitus

A T T A C K A T T A C K T A K C T A T A K C T A

MurtautuminenMurtautuminen

””Turvattu” yhteys koneelle valmisTurvattu” yhteys koneelle valmis PorttiskannausPorttiskannaus Turvareikien etsintä (scriptKiddie)Turvareikien etsintä (scriptKiddie) Takaportin asennus Takaportin asennus CallBack CallBack RootKitty –piilottaminenRootKitty –piilottaminen Logien putsailu ja hyökkäyksen Logien putsailu ja hyökkäyksen

piilottaminenpiilottaminen

KäyttäminenKäyttäminen

Normaali verkkoliikennöintiNormaali verkkoliikennöinti Taustalle vaimentaminen käyttäjän Taustalle vaimentaminen käyttäjän

tullessa työasemalletullessa työasemalle Muiden verkon palveluiden Muiden verkon palveluiden

exploittaus ja kaappausexploittaus ja kaappaus Hirrrvittävä kehuminen kavereille Hirrrvittävä kehuminen kavereille

takaa mainetta ja kunniaa...takaa mainetta ja kunniaa...

T3h ENDT3h END

Tämän esitelmän tarkoituksena on Tämän esitelmän tarkoituksena on auttaa ymmärtämään, miksi auttaa ymmärtämään, miksi tietoturvatasoa tulee nostaa tarpeeksi.tietoturvatasoa tulee nostaa tarpeeksi.

Palomuurien oikeat pääsylistat sekä Palomuurien oikeat pääsylistat sekä autentikoivaa kryptausta oikeissa autentikoivaa kryptausta oikeissa paikoissa estäisi kaikki edellä mainitut paikoissa estäisi kaikki edellä mainitut hyökkäykset.hyökkäykset.