Как бы ни была прочна система, если пароль на доступ к ней лежит в текстовом файле в центральном каталоге или записан на экране монитора – это уже не конфиденциальная система.
В общем случае существует информационный поток от отправителя (файл, пользователь, компьютер) к получателю (файл, пользователь, компьютер).
Все атаки можно разделить на два класса: пассивные и активные.
Пассивной называется такая атака, при которой противник не имеет возможности модифицировать пе-редаваемые сообщения и вставлять в информационный канал между отправителем и получателем свои сообщения. Целью пассивной атаки может быть только прослушивание передаваемых сообщений и анализ трафика.
Активной называется такая атака, при которой противник имеет возможность модифицировать переда-ваемые сообщения и вставлять свои сообщения. Различают следующие типы активных атак:
1. Отказ в обслуживании - DoS-атака (Denial of Service). Отказ в обслуживании нарушает нормальное функционирование сетевых сервисов. Противник может перехватывать все сообщения, направляемые определенному адресату. Другим примером подобной атаки является создание значительного трафика, в результате чего сетевой сервис не сможет обрабатывать запросы законных клиентов. Классическим примером такой атаки в сетях TCP/IP является SYN-атака, при которой нарушитель посылает пакеты, инициирующие установление ТСР-соединения, но не посылает пакеты, завершающие установление этого соединения. В результате может произойти переполнение памяти на сервере, и серверу не удастся установить соединение с законными пользователями.
2. Модификация потока данных - атака "man in the middle". Модификация потока данных означает либо изменение содержимого пересылаемого сообщения, либо изменение порядка сообщений.
3. Создание ложного потока (фальсификация). Фальсификация (нарушение аутентичности) означает попытку одного субъекта выдать себя за другого.
4. Повторное использование. Повторное использование означает пассивный захват данных с последу-ющей их пересылкой для получения несанкционированного доступа - это так называемая replay-атака. На самом деле replay-атаки являются одним из вариантов фальсификации, но в силу того, что это один из наиболее распространенных вариантов атаки для получения несанкционированного доступа, его часто рассматривают как отдельный тип атаки.
Атаки на системы авторизации:
1. Подбор пароля по словарю – при авторизации в системе фиксируется имя пользователя и в качестве пароля используются все имеющиеся в заранее заготовленном списке значении (словаре) варианты. Метод позволяет получить доступ к системам с простым паролем (типа Krevedko).
2. Подбор пароля в лоб (bruteforce) – пароль каждый раз генерируется заново, но при генерации переби-раются все возможные значения (aaa, aab, aac, aad и так далее). Таким образом, пароль любой сложно-сти можно подобрать, единственное ограничение – время, которое уйдет на подбор.
Следующей по частоте использования является методика получения паролей из самой системы.
Основными двумя возможностями выяснения пароля являются несанкционированный доступ к носителю, содержащему их, либо использование недокументированных возможностей и ошибок в реализации системы.
Первая группа методов основана на том, что любой системе приходится где-либо хранить подлинники паролей всех клиентов для того, чтобы сверять их в момент регистрации. При этом пароли могут хра-ниться как в открытом текстовом виде, так и представленные в виде малозначащих контрольных сумм (хеш-значений). Проблема в том, что в данном случае для хранения паролей на носителе не может быть использована основная методика защиты – шифрование. Зная ключ шифрования или попросту, подобрав его, можно по словарю подобрать пароли или расшифровать их.
Следующей распространенной технологией получения паролей является копирование буфера клавиатуры в момент набора пароля на терминале (кейлоггеры – записывают все вводимые на клавиатуре данные в определенном месте, доступном злоумышленнику).
Социальная психология и иные способы получения паролей.
Можно позвонить администратору от лица сотрудника и попросить смену пароля, либо наоборот, пред-ставиться работником службы безопасности и спросить у пользователя пароль для доступа к системе.