Скрытый канал - Covert channel

В компьютерная безопасность, а скрытый канал это тип атака который создает возможность передавать информационные объекты между процессами, которым не разрешено связываться политика компьютерной безопасности. Термин возник в 1973 г. Батлер Лэмпсон, определяется как каналы ", не предназначенные для передача информации вообще, например, влияние сервисной программы на загрузка системы, "чтобы отличить его от законный каналы, доступ к которым контролируется КОМПЬЮЗЕК.[1]

Характеристики

Скрытый канал называется так, потому что он скрыт от механизмов контроля доступа защищенных операционных систем, поскольку он не использует легитимные механизмы передачи данных компьютерной системы (обычно чтение и запись), и поэтому не может быть обнаружен или контролироваться механизмы безопасности, лежащие в основе защищенных операционных систем. Скрытые каналы чрезвычайно сложно установить в реальных системах, и их часто можно обнаружить путем мониторинга производительности системы. Кроме того, они страдают от низкого сигнал-шум и низкие скорости передачи данных (обычно порядка нескольких бит в секунду). Они также могут быть удалены вручную с высокой степенью уверенности из защищенных систем с помощью хорошо отработанных стратегий анализа скрытых каналов.

Скрытые каналы отличаются и часто путают с законными эксплуатациями каналов, которые атакуют псевдобезопасные системы с низким уровнем надежности с использованием таких схем, как стеганография или даже менее изощренные схемы для маскировки запрещенных объектов внутри легитимных информационных объектов. Злоупотребление законным каналом с помощью стеганографии конкретно не является формой скрытого канала.[нужна цитата ]

Скрытые каналы могут проходить через защищенные операционные системы и требуют особых мер контроля. Анализ скрытых каналов - единственный проверенный способ контроля скрытых каналов.[нужна цитата ] Напротив, безопасные операционные системы могут легко предотвратить неправомерное использование законных каналов, поэтому важно различать и то, и другое. Анализ законных каналов на предмет скрытых объектов часто неверно представляется как единственная успешная мера противодействия неправомерному использованию законных каналов. Поскольку это сводится к анализу большого количества программного обеспечения, еще в 1972 году было показано, что это непрактично.[2] Не будучи информированным об этом, некоторые заблуждаются, полагая, что анализ «управляет риском» этих законных каналов.

Критерии TCSEC

В Критерии оценки надежной компьютерной безопасности (TCSEC) представлял собой набор критериев, которые теперь не рекомендуются, которые были установлены Национальный центр компьютерной безопасности, агентство под управлением Соединенных Штатов » Национальное Агенство Безопасности.

Определение Лэмпсона скрытый канал был перефразирован в TCSEC[3] в частности, для обозначения способов передачи информации из отделения более высокой классификации в более низкую. В общей среде обработки трудно полностью изолировать один процесс от воздействия, которое другой процесс может оказать на операционную среду. Скрытый канал создается процессом-отправителем, который модулирует некоторые условия (например, свободное пространство, доступность некоторой службы, время ожидания для выполнения), которые могут быть обнаружены принимающим процессом.

TCSEC определяет два типа скрытых каналов:

  • Каналы хранения - Общайтесь, изменяя «место хранения», например жесткий диск.
  • Каналы времени - Выполнять операции, влияющие на «реальное время отклика», наблюдаемое приемником.

TCSEC, также известный как Оранжевая книга,[4] требует, чтобы анализ скрытых каналов хранения был классифицирован как система B2, а анализ скрытых каналов синхронизации является требованием для класса B3.

Каналы времени

Использование задержек между пакетами, передаваемыми через компьютерная сеть был впервые исследован Гирлингом[5] для скрытого общения. Эта работа побудила многие другие работы установить или обнаружить скрытую коммуникацию и проанализировать фундаментальные ограничения таких сценариев.

Выявление скрытых каналов

Обычные вещи, такие как наличие файла или время, используемое для вычислений, были средой, через которую осуществляется связь по скрытому каналу. Скрытые каналы найти нелегко, потому что этих средств массовой информации очень много и они часто используются.

Два относительно старых метода остаются стандартами для обнаружения потенциальных скрытых каналов. Один работает, анализируя ресурсы системы, а другой работает на уровне исходного кода.

Устранение скрытых каналов

Возможность скрытых каналов не может быть полностью исключена,[2] хотя его можно значительно уменьшить путем тщательного проектирования и анализа.

Обнаружение скрытого канала может быть затруднено за счет использования характеристик коммуникационной среды для законного канала, которые никогда не контролируются и не проверяются законными пользователями. Например, файл может быть открыт и закрыт программой в определенное время. шаблон, который может быть обнаружен другой программой, и шаблон может быть интерпретирован как последовательность битов, образующих скрытый канал. Поскольку маловероятно, что легитимные пользователи будут проверять шаблоны операций открытия и закрытия файлов, этот тип скрытого канала может оставаться незамеченными в течение длительного времени.

Аналогичный случай стук порта.В обычных коммуникациях время запросов не имеет значения и не отслеживается. Стук порта делает это значимым.

Скрытие данных в модели OSI

Хендель и Сэндфорд представили исследование, в котором они изучают скрытые каналы в рамках общей схемы сетевых коммуникационных протоколов.[6] Они используют Модель OSI в качестве основы для их разработки, в которой они характеризуют элементы системы, которые могут быть использованы для сокрытия данных. Принятый подход имеет преимущества перед этим, поскольку рассматриваются стандарты, противоположные конкретным сетевым средам или архитектурам.

Их исследование не ставит целью представить надежные стеганографические схемы. Скорее, они устанавливают основные принципы сокрытия данных в каждом из семи Уровни OSI. Помимо предложения использования зарезервированных полей заголовков протоколов (которые легко обнаруживаются) на более высоких сетевых уровнях, они также предлагают возможность синхронизации каналов, включающих манипулирование CSMA / CD на физическом уровне.

Их работа определяет достоинства скрытых каналов, такие как:

  • Обнаруживаемость: скрытый канал должен быть измерен только предполагаемым получателем.
  • Неразличимость: скрытый канал не должен идентифицироваться.
  • Пропускная способность: количество битов, скрывающих данные, на использование канала.

Их анализ скрытых каналов не учитывает такие проблемы, как совместимость этих методов сокрытия данных с другими узлами сети, оценка пропускной способности скрытых каналов, влияние сокрытия данных на сеть с точки зрения сложности и совместимости. Более того, универсальность методов не может быть полностью оправдана на практике, поскольку модель OSI как таковая не существует в функциональных системах.

Скрытие данных в среде LAN по скрытым каналам

Поскольку Гирлинг первым анализирует скрытые каналы в сетевой среде. Его работа сосредоточена на локальных сетях (LAN), в которых идентифицированы три очевидных скрытых канала (два канала хранения и один канал синхронизации). Это демонстрирует реальные примеры возможностей полосы пропускания для простых скрытых каналов в локальных сетях. Для конкретной среды LAN автор ввел понятие перехватчика, который отслеживает активность определенного передатчика в LAN. Сторонами, которые тайно общаются, являются передатчик и перехватчик. Скрытая информация, согласно Гирлингу, может передаваться любым из следующих очевидных способов:

  1. Наблюдая за адресами по мере приближения передатчика. Если общее количество адресов, к которым может подойти отправитель, равно 16, то существует возможность секретной связи, имеющей 4 бита для секретного сообщения. Автор назвал эту возможность скрытым каналом хранения, поскольку это зависит от того, что отправляется (то есть от того, к какому адресу обращается отправитель).
  2. Точно так же другой очевидный скрытый канал хранения будет зависеть от размера кадра, отправленного отправителем. Для 256 возможных размеров количество скрытой информации, дешифрованной из одного размера кадра, будет 8 бит. Снова этот сценарий был назван скрытым каналом хранения.
  3. В третьем представленном сценарии используется наличие или отсутствие сообщений. Например, «0» для нечетного интервала времени сообщения, «1» для четного.

Сценарий передает скрытую информацию с помощью стратегии «когда отправлено», поэтому называется таймером скрытого канала. Время для передачи блока данных рассчитывается как функция времени обработки программного обеспечения, скорости сети, размеров сетевых блоков и служебных данных протокола. блоки различного размера передаются по локальной сети, служебные данные программного обеспечения вычисляются в среднем, а также представлена ​​новая оценка времени, используемая для оценки пропускной способности (пропускной способности) скрытых каналов.Работа открывает путь для будущих исследований.

Скрытие данных в пакете протоколов TCP / IP по скрытым каналам

Сосредоточившись на заголовках IP и TCP пакета протоколов TCP / IP, в статье, опубликованной Крейгом Роулендом, разрабатываются надлежащие методы кодирования и декодирования с использованием поля идентификации IP, начального порядкового номера TCP и полей подтверждения порядкового номера.[7] Эти методы реализованы в простой утилите, написанной для систем Linux с ядрами версии 2.0.

Роуленд предоставляет доказательство концепции, а также практических методов кодирования и декодирования для использования скрытых каналов с использованием набора протоколов TCP / IP. Эти методы анализируются с учетом механизмов безопасности, таких как трансляция сетевых адресов межсетевого экрана.

Однако необнаружимость этих методов скрытой связи вызывает сомнения. Например, в случае, когда манипулируют полем порядкового номера заголовка TCP, схема кодирования принимается так, что каждый раз, когда один и тот же алфавит тайно передается, он кодируется с одним и тем же порядковым номером.

Более того, использование поля порядкового номера, а также поля подтверждения не может быть сделано специфическим для кодирования ASCII английского алфавита, как предлагается, поскольку оба поля учитывают получение байтов данных, относящихся к конкретному сетевому пакету (ам).

После Роуленда несколько авторов из академических кругов опубликовали больше работ о скрытых каналах в наборе протоколов TCP / IP, включая множество контрмер, начиная от статистических подходов до машинного обучения.[8][9][10][11] Исследования сетевых скрытых каналов частично совпадают с областью сетевая стеганография, который появился позже.

Смотрите также

использованная литература

  1. ^ Лэмпсон, Б.В., Заметка о проблеме удержания. Сообщения ACM, октябрь 1973 г. 16 (10): стр. 613-615. [1]
  2. ^ а б Исследование планирования технологий компьютерной безопасности (Джеймс П. Андерсон, 1972 г.)
  3. ^ NCSC-TG-030, Анализ скрытых каналов доверенных систем (светло-розовая книга), 1993 от Министерство обороны США (МО) Радуга серии публикации.
  4. ^ 5200.28-STD, Критерии оценки доверенных компьютерных систем (оранжевая книга), 1985 В архиве 2006-10-02 на Wayback Machine от Министерства обороны Радуга серии публикации.
  5. ^ ДЕВУШКА, СЕРЫЙ (февраль 1987 г.). «Скрытые каналы в локальных сетях». IEEE Transactions по разработке программного обеспечения (2): 292–296. Дои:10.1109 / цэ.1987.233153. S2CID  3042941. ProQuest  195596753.
  6. ^ Скрытие данных в сетевой модели OSI В архиве 2014-10-18 на Wayback Machine, Теодор Г. Гендель и Максвелл Т. Сэндфорд II (2005)
  7. ^ Скрытые каналы в пакете протоколов TCP / IP В архиве 2012-10-23 в Wayback Machine, 1996 г. Статья Крейга Роуленда о скрытых каналах в протоколе TCP / IP с доказательством концептуального кода.
  8. ^ Зандер, С .; Armitage, G .; Филиал, П. (2007). «Обзор секретных каналов и средств противодействия в протоколах компьютерных сетей». Обзоры и учебные пособия по коммуникациям IEEE. IEEE. 9 (3): 44–57. Дои:10.1109 / comst.2007.4317620. HDL:1959.3/40808. ISSN  1553-877X. S2CID  15247126.
  9. ^ Скрытие информации в сетях связи: основы, механизмы, приложения и меры противодействия. Mazurczyk, Wojciech., Wendzel, Steffen., Zander, Sebastian., Houmansadr, Amir., Szczypiorski, Krzysztof. Хобокен, штат Нью-Джерси: Wiley. 2016 г. ISBN  9781118861691. OCLC  940438314.CS1 maint: другие (ссылка на сайт)
  10. ^ Вендзель, Штеффен; Зандер, Себастьян; Фехнер, Бернхард; Хердин, Кристиан (апрель 2015 г.). «Исследование на основе шаблонов и категоризация методов скрытых сетевых каналов». Опросы ACM Computing. 47 (3): 50:1–50:26. arXiv:1406.2901. Дои:10.1145/2684195. ISSN  0360-0300. S2CID  14654993.
  11. ^ Кабук, Сердар; Бродли, Карла Э.; Шилдс, Глина (апрель 2009 г.). «Обнаружение скрытого IP-канала». ACM-транзакции по информационной и системной безопасности. 12 (4): 22:1–22:29. CiteSeerX  10.1.1.320.8776. Дои:10.1145/1513601.1513604. ISSN  1094-9224. S2CID  2462010.

дальнейшее чтение

внешняя ссылка