Dotaz: Ochrana proti upraveným paketům

[jurikj]

Zdravím přátelé, obracím se na Vás ohledne jedné rady, spíše nasměrování.

Mám na debianu určitý sw, ale bohužel jsou mezi námi tací co mi do daneho sw posílají upravene packety pomocí software WPE (Winsock Packet Editor). Chtěl bych se tedy optat, jde se proti tomu bránit a případne čím nebo zda můj problém uspokojí iptables? Děkuji za informaci.

Odpovědi

[Michal Marek]

Opravit ten sw .

[Matěj Vaňátko]

Jaké upravené pakety máte na mysli ?

[jurikj]

Chyba není v sw na serveru, ale problem je v tom že nevím jak filtrovat upravene packety(pomocí WPE) co přicházejí na server. WPE zkresluje a upravuje packety a tím pak server dostává nesprávné-upravene data což je chyba.

[Jendа]

Pravost dat se z(a)jišťuje jejich elektronickým podepisováním.

[loupak]

To aplikace podepisuje payload ? Nebo jak to funguje ?

[Jendа]

Ano, třeba tak. Samozřejmě netuším, jestli by to šlo v konkrétním tazatelově případu implementovat - na to napsal příliš málo informací.

[Filip Jirsák]

Nejprve si musíte ujasnit, jak ty upravené pakety poznáte.

[sheeryjay]

Divil jste se někdy jak je možné že se někdo dokáže "nahackovat" do webserveru? Jeden z obvyklých způsobů je ten že tvůrce nějakého SW který na něm běží špatně pracoval se vstupem který dostal od nepřítele. A v případě připojení na internet je vaším nepřítelem každý.

Tudíž ne, chyba je skutečně v serveru. Upravené pakety skutečně nelze poznat tím že by byly nějak speciálně označeny značkou "upraveno WPE", či "upraveno hackerem". A pokud snad náhodou ano, tak holt útočník začne používat jinou utilitu a nebo si upraví klientskou aplikaci tak aby odesílala to co chce. Musíte vědět co vám vadí na vstupu a správně jej ošetřit. A pokud je váš SW např. hra ve které se posílá čas ujetí kola v čisté podobě tak je samozřejmé že toto mohou uživatelé pozměnit. Řešením např. je nechat posílat záznam toho jak člověk skutečně jel a poté jej třeba verifikovat zda vypadá věrohodně.

[Jirka Keresteš]

Upravené pakety skutečně nelze poznat tím že by byly nějak speciálně označeny značkou "upraveno WPE", či "upraveno hackerem".

Evil bit (RFC 3514)

[JF]

Můžete povolit komunikaci jen s vybraným seznamem IP adres na nejakych portech.

Tim budete komunikovat jen se "spoluhráčema" jedné hry a nikdo cizí se k vám nedostane.

Ale, jak již tu bylo řečeno, je to vada Vaší aplikace, že si neautentifikuje spojení a nechá si škodit.

[vencour]

Co koukam ...

Winsock Packet Editor (WPE) Pro is a packet sniffing/editing tool which is generally used to hack multiplayer games. WPE Pro allows modification of data at TCP level. Using WPE Pro one can select a running process from the memory and modify the data sent by it before it reaches the destination. It can record packets from specific processes, then analyze the information. You can setup filters to modify the packets or even send them when you want in different intervals. WPE Pro could also be a useful tool for testing thick client applications or web applications which use applets to establish socket connections on non http ports.

Čili můžete použít něco, co bude ověřovat spojení předem nebo dodatačně povolovat jen ty hodné klienty a ostatní zakazovat. Nějaká metodika na to je, jak obecně takové situace řešit. Je otázkou času a peněz, do čeho chcete jít.

[vencour]

Podle tohodle na Rootu bych to viděl na přepracování návrhu a algoritmu asi ... nebo na hrabání se v datech, debugu apod.

[Filip Jirsák]

Ve skutečnosti by to spíš chtělo jednu za uši. Dotaz, ze kterého vůbec není jasné, co tazatel řeší za problém; dotaz je nezávisle na sobě vložený do dvou různých diskusních fór, aby se diskutující nenudili a mohli vymýšlet to samé, co už někdo navrhnul v druhém fóru; a do třetice tazatel vůbec nereaguje.

[Michal Kubeček]

Pokud "upravené" znamená, že se změnily mezi odesílatelem a příjemcem, pak je řešením SSL (TLS), IPsec apod.

[Kit]

Myslím si, že v tuto chvíli je jasné, že upravené pakety nepoznáme. Musíme se tedy přesunout o něco výš do aplikační vrstvy. Ve chvíli, kdy klient posílá serveru nějakou informaci o změně stavu, tak nevidím důvod, proč by tuto svou informaci měl před odesíláním změnit.

Když třeba chci na tržišti koupit předmět, pošlu serveru příkaz, že chci koupit předmět. Server vyhodnotí, jestli ho mohu koupit a jestli mám na to dost peněz a provede převod předmětu a peněz. To je jeden dotaz do databáze, resp. jedna transakce. Klientovi pak pošle informaci, kolik má na účtě a který předmět má navíc. Klient nemá důvod nic z toho falšovat, protože by mu to nebylo nic platné.

Bohužel nemám dost informací na to, abych zjistil, jestli je to tento případ nebo něco úplně jiného. Píšeš, že máš problém s falšovanými packety, ale ve skutečnosti máš pravděpodobně problém s falšovanými zprávami. V tom ti iptables nepomůže.

[pepe_]

Pokud nejde ochránit program na serveru , asi bych na serveru udělal nějakou VPN a natuneloval bych se a vpn zabezpečil . Tim by měly hračičkové po srandě.