Атака сброса TCP - TCP reset attack

TCP сбросить атаку, также известный как «поддельные сбросы TCP», «поддельные пакеты сброса TCP» или «атаки сброса TCP», представляет собой способ подделать и разорвать Интернет-соединение путем отправки поддельного пакета сброса TCP. Этот метод взлома может использоваться брандмауэром по доброй воле или использоваться злоумышленником для прерывания интернет-соединений.

Великий китайский файрвол и Иранские интернет-цензоры Известно, что в качестве основного метода цензуры в Интернете используются атаки сброса TCP для создания помех и блокировки соединений.

Фон

Интернет, по сути, представляет собой систему для индивидуальных компьютеров для обмена электронными сообщениями или пакетами IP-данных. Эта система включает оборудование для передачи сообщений (например, медь и волоконная оптика кабели) и формализованная система форматирования сообщений, называемая «протоколами». Основным протоколом, используемым в Интернете, является IP (протокол Интернета ), который обычно сочетается с дополнительными протоколами, такими как TCP (Протокол управления передачей[1]) или UDP (Протокол пользовательских датаграмм ). TCP / IP - это набор протоколов, используемый для электронной почты и просмотра веб-страниц. Каждый протокол имеет блок информации, называемый заголовком, который находится в начале каждого пакета. Заголовки содержат информацию о том, какой компьютер отправил пакет, какой компьютер должен его получить, размер пакета и т. Д.

TCP используется с IP, когда между двумя компьютерами требуется двустороннее виртуальное соединение. (UDP, с другой стороны, представляет собой IP-протокол без установления соединения.) Программное обеспечение TCP на двух машинах, которые будут взаимодействовать (например, рабочая станция с браузером и веб-сервером) путем обмена потоком пакетов. Использование TCP-соединения дает компьютерам простой способ обмениваться элементами данных, слишком большими для одного пакета, такими как видеоклипы, вложения электронной почты или музыкальные файлы. Хотя некоторые веб-страницы достаточно малы для одного пакета, для удобства они отправляются через TCP-соединения.

[2]Сброс TCP

В потоке пакетов TCP-соединения каждый пакет содержит TCP-заголовок. Каждый из этих заголовков содержит бит, известный как флаг «сброса» (RST). В большинстве пакетов этот бит установлен в 0 и не действует; однако, если этот бит установлен в 1, он указывает принимающему компьютеру, что компьютер должен немедленно прекратить использование TCP-соединения; он не должен отправлять больше пакетов, используя идентификационные номера соединения, вызываемые порты, и отбрасывать любые дальнейшие пакеты, которые он получает с заголовками, указывающими, что они принадлежат этому соединению. Сброс TCP в основном мгновенно уничтожает TCP-соединение.

При использовании по назначению это может быть полезным инструментом. Одним из распространенных приложений является сценарий, когда компьютер (компьютер A) выходит из строя во время выполнения TCP-соединения. Компьютер на другом конце (компьютер B) будет продолжать отправлять TCP-пакеты, поскольку он не знает, что компьютер A потерпел крах. Когда компьютер A перезагружается, он будет получать пакеты от старого соединения, которое было до сбоя. Компьютер A не имеет контекста для этих пакетов и не знает, что с ними делать, поэтому он может отправить сброс TCP на компьютер B. Этот сброс позволяет компьютеру B узнать, что соединение больше не работает. Теперь пользователь компьютера B может попробовать другое соединение или предпринять другие действия.

Формирование сбросов TCP

В приведенном выше сценарии бит сброса TCP был отправлен компьютером, который был одной из конечных точек подключения. Третий компьютер может отслеживать TCP-пакеты в соединении и затем отправлять «поддельный» пакет, содержащий сброс TCP, на одну или обе конечные точки. Заголовки в поддельном пакете должны ложно указывать на то, что он пришел от конечной точки, а не от фальсификатора. Эта информация включает IP-адреса конечных точек и номера портов. Каждое поле в заголовках IP и TCP должно быть установлено на убедительное поддельное значение, чтобы поддельный сброс заставил конечную точку закрыть TCP-соединение. Правильно отформатированные поддельные сбросы TCP могут быть очень эффективным способом разорвать любое TCP-соединение, которое может отслеживать фальсификатор.

Законное использование инъекции сброса TCP

Одно из очевидных применений поддельного сброса TCP - злонамеренное прерывание TCP-соединений без согласия двух сторон, владеющих конечными точками. Тем не мение, сетевая безопасность также были разработаны системы, использующие поддельные сбросы TCP. В 1995 году был продемонстрирован прототип программного пакета «Buster», который отправлял поддельные сбросы на любое TCP-соединение, которое использовало номера портов из краткого списка. Волонтеры Linux предложили сделать нечто подобное с межсетевыми экранами Linux в 2000 году,[2] и открытый исходный код Фырканье использовал сброс TCP для прерывания подозрительных соединений еще в 2003 году.[3]

В RFC3360 IETF считал сброс TCP брандмауэрами, балансировщиками нагрузки и веб-серверами вредными.[4]

Comcast Controversy

К концу 2007 г. Comcast начали использовать поддельные сбросы TCP, чтобы вывести из строя одноранговые сети и определенные приложения для работы с коллективом на компьютерах своих клиентов.[5][6] Это вызвало разногласия, за которыми последовало создание группы сетевого нейтралитета (NNSquad). Лорен Вайнштейн, Винт Серф, Дэвид Фарбер, Крэйг Ньюмарк и другие известные основатели и поборники открытости в Интернете.[7] В 2008 году NNSquad выпустила NNSquad Network Measurement Agent, программу для Windows, написанную Джон Бартас, который мог обнаруживать поддельные сбросы TCP Comcast и отличать их от реальных сбросов, генерируемых конечной точкой. Технология обнаружения сбросов была разработана на основе более раннего программного обеспечения Buster с открытым исходным кодом, которое использовало поддельные сбросы для блокировки вредоносное ПО и реклама на веб-страницах.

В январе 2008 года FCC объявила, что расследует использование Comcast поддельных сбросов, а 21 августа 2008 года приказала Comcast прекратить эту практику.[8]

Профилактика

Шифрованием соединений с помощью VPN, злоумышленник должен выполнить атаку сброса TCP на все зашифрованные соединения, вызывающие побочный ущерб.[нужна цитата ]

Смотрите также

Рекомендации

  1. ^ Спецификация TCP
  2. ^ а б Архив обсуждений Linux за май 2000 г.
  3. ^ Архив обсуждений SNORT: сброс TCP
  4. ^ Несоответствующие сбросы TCP считаются вредными
  5. ^ Раздел статьи Wikipedia Comcast
  6. ^ Associated Press, Comcast блокирует некоторый интернет-трафик
  7. ^ Домашняя страница NNSquad
  8. ^ Комиссия приказывает Comcast положить конец дискриминационной практике управления сетью

внешняя ссылка