Identidade Do Anfitrião

Share

|

A identidade do anfitrião é limitada intimately ao networking. Um anfitrião não conectado a toda a rede pode ter qualquer nome, porque o nome é usado somente localmente. Um anfitrião conectou a uma rede pode ter muitos nomes ou um nome, dependendo de como a relação à rede é estruturada e o contexto em que o nome é usado.

O modelo de ISO/OSI fornece um contexto para a introdução de nomear. Recorde que o modelo de ISO/OSI está composto de uma série das camadas. Cada anfitrião, conceptual, tem um principal em cada camada que se comunica com um par em outros anfitriões. Estes directores comunicam-se com os principais na mesma camada em outros anfitriões. Cada um principal em um anfitrião individual pode ter os nomes diferentes (chamados também "endereços") em cada camada. Todos os nomes identificam o mesmo anfitrião, mas cada consulta a um contexto particular em que o anfitrião funciona.

EXEMPLO: Um computador tem um endereço do Ethernet (camada do Media Access Control, ou o MAC) de 00:05:02:6B:A8:21, um IP address de 192.168.35.89, e um nome de anfitrião de cherry.orchard.net. No nível de ligação dos dados, o sistema é sabido por seu endereço do Ethernet. No nível de rede, é sabido por seu IP address. No nível da aplicação, é sabido por seu nome de anfitrião. O sistema está também em uma rede de Appletalk, com um endereço de Appletalk da rede 51, nó 235. Outros sistemas na rede de Appletalk identificam o anfitrião por esse nome.

Shoch sugere que um "nome" identifica um principal e um "endereço" identifica onde esse principal é encontrado. No contexto da identificação do anfitrião, o "endereço" indica onde em uma rede (e, às vezes, na rede específica) o anfitrião é ficado situado. Um "nome" indica no que domínio o anfitrião resida, e corresponde a um endereço particular. Embora a terminologia de Shoch seja instructive em muitos contextos, neste contexto uma posição identifica um principal apenas as.well.as um nome. Nós não distinguimos entre os dois no contexto da identificação.

Se um atacante puder ao spoof a identidade de um outro anfitrião, todos os protocolos que confiam nessa identidade estão confiando em uma premissa defeituosa e estão sendo conseqüentemente spoofed. Quando um anfitrião tem uma seqüência dos nomes, cada um que confia no nome precedente, então um atacante que spoofing a primeira identidade pode comprometer todas as identidades restantes. Para o exemplo, a identidade do anfitrião é baseada na identidade do IP. Similarmente, a identidade do IP é baseada na identidade do Ethernet. Se um atacante puder alterar entradas nas bases de dados que contêm traçar de uma identidade lower-level a uma identidade higher-level, o anfitrião do spoof um da lata do atacante pelo tráfego de distribuição a outro.

Identificadores de estática e dinâmicos

Um identificador pode ser de estática ou dinâmico. Um identificador de estática não muda o tempo excedente; um identificador dinâmico muda em conseqüência de um evento (tal como uma conexão a uma rede) ou do tempo de excesso.

As bases de dados contêm mappings entre nomes diferentes. Sabido melhor destes é o serviço do Domain Name (DNS), que assocía nomes de anfitrião e endereços do IP. Na ausência do authentication cryptographic dos anfitriões, a consistência do DNS é usada fornecer o authentication fraco.

EXEMPLO: O DNS contem os registros para diante, a que os nomes de anfitrião do mapa no IP se dirigem, e o reverso grava, que traçam endereços do IP em nomes. Um lookup reverso do domínio ocorre quando um processo extrai o IP address de seu par remoto, determina o nome de anfitrião associado (talvez usando o DNS), e obtem então o jogo dos endereços do IP associados com esse nome de anfitrião (outra vez, possivelmente usando o DNS). Se o IP address obtido do par combinar alguns dos endereços do IP associados com esse nome de anfitrião, a seguir o nome de anfitrião está aceitado como esse obtido no primeiro lookup. Se não, o nome de anfitrião é rejeitado como untrusted.

A opinião no trustworthiness do nome de anfitrião neste caso confia na integridade da base de dados do DNS

Os identificadores flutuando são atribuídos aos principais por um tempo limitado. Tipicamente, um usuário mantem um pool dos identificadores. Um cliente contata o usuário usando um identificador concordado sobre entre os dois (o identificador local). O usuário transmite um identificador que o cliente possa usar em outros contextos (o identificador global) e notifica todos os anfitriões intermediários (tais como passagens) da associação entre os identificadores locais e globais.

EXEMPLO: A universidade de Bootless fornece uma rede a que os estudantes podem enganchar acima dos laptops. Melhor que atribua a cada laptop do estudante um IP address, a universidade criou um usuário de DHCP para esta rede. Quando um estudante conecta seu laptop à rede, o laptop transmite seu endereço do MAC (Media Access Control) ao usuário. O usuário responde com um IP address não utilizado que pertence à rede. O laptop aceita esse IP address e usa-o comunicar-se no Internet.

Uma passagem pode traduzir entre um endereço local e um endereço global.

EXEMPLO: A companhia de Zerbche tem 500 computadores em uma rede de área local, mas somente 256 endereços do Internet. A rede interna atribui como endereços (fixos) do local os endereços 10.1.x.y do IP, onde x e y refletem os detalhes internos da configuração nao relevantes aqui. Uma passagem conecta a rede interna ao Internet. Quando um usuário no anfitrião 10.1.3.241 (da palavra) quer alcançar o Internet, envía seus pacotes à passagem. A passagem atribui um IP address legitimate ao endereço interno, local; diga que o IP address é 101.43.21.241. A passagem reescreve então o endereço da fonte de cada pacote, mudando 10.1.3.241 a 101.43.21.241, e põe os pacotes para fora sobre o Internet. Quando a passagem recebe pacotes destined para o anfitrião 101.43.21.241, verifica sua tabela interna, reescreve aqueles endereços como 10.1.3.241, e envía-os à rede interna, e os pacotes vão a seu destino. Esta tradução é invisível a um ou outro fim da comunicação, e permite até algum número dos anfitriões na rede interna de comunicar-se com os anfitriões no Internet. O protocolo do endereço de rede (NAT) é usado no Internet executar esta função.

Na ausência do cryptography, o authentication que usa nomear dinâmico é diferente do authentication usando nomear de estática. O problema preliminar é que a associação da identidade com um principal varia o tempo excedente, assim que todo o authentication baseado no nome deve também esclarecer o tempo. Para o exemplo, se as entradas record do DNS que correspondem ao nome dinâmico não forem updated sempre que o nome está atribuído novamente, o método reverso do lookup do domínio do authentication falha.

Esta falha não significa necessariamente que o DNS estêve comprometido. Alguns sistemas armazenam a informação para diante e reversa do lookup em limas separadas. Atualizar a lima de informação para diante do lookup não muda a lima de informação reversa do lookup. A menos que o último for atualizado também, o problema indicado ocorre.

A técnica reversa do lookup do domínio do authentication corresponde a verificar uma propriedade de um principal (o que é) com nomear de estática, porque o nome é limitado permanentemente ao principal. Mas essa técnica corresponde a verificar uma possessão de um principal (o que tem) com nomear dinâmico, porque o director abandonará esse nome em algum ponto.

Edições de segurança com o serviço do Domain Name

Compreendendo o centrality da confiança nas bases de dados que as associações record da identidade com principais são críticas a compreender a exatidão da identidade. O DNS fornece um exemplo deste. A opinião no trustworthiness do nome de anfitrião neste caso confia na integridade da base de dados do DNS. Se a associação entre um nome de anfitrião e um IP address puder corrupted, o identificador na pergunta estará associado com o anfitrião errado.

Há diversos ataques no DNS. O objetivo destes ataques é fazer com que uma vítima assocíe incorretamente um IP address particular com um nome de anfitrião. Supõem que o atacante pode controlar as respostas de um domain name server authoritative. o "controle" significa que o atacante tem o controle sobre o usuário conhecido ou pode interceptar perguntas a esse usuário e retornar suas próprias respostas.

O atacante pode mudar os registros que assocía o IP address com o nome de anfitrião, de modo que uma pergunta para uma retorne uma resposta incorreta para a outra. Uma segunda técnica, sabida como do "o envenenamento esconderijo," confia na abilidade de um usuário de adicionar registros extra do DNS à resposta a uma pergunta. Neste caso, os registros extra adicionaram dão a informação incorreta da associação. Schuba usa este demonstrar como o lookup conhecido reverso pode ser comprometido. O atacante conecta à vítima. A vítima pergunta o DNS para o nome de anfitrião associado com o IP address. O atacante assegura-se de que dois registros estejam retornados: um registro com o nome de anfitrião bogus associou com o IP address, e o registro reverso. O protocolo do DNS permite este que anda às cavalitas para permitir o cliente de cache registros. O esconderijo é verificado antes que todos os registros estejam pedidos do usuário, assim que este pode conservar um pedido da rede. A terceira técnica ("me pergunte") é similar: o atacante prepara um pedido que a vítima deva resolver perguntando o atacante. Quando a vítima pergunta o atacante, o atacante retorna a resposta, junto com dois registros para traçar esse ele está tentando ao spoof (um para traçar para diante, um para o reverso).

O uso judicious das técnicas cryptographically baseadas acopladas com administração cuidadosa de usuários do DNS pode eficazmente limitar a abilidade dos atacantes de usar estes ataques. O infrastructure suportando está sob o projeto e o desenvolvimento.