Tarmoq xafsizligi fanidan mustaqil ish

ARP-ga hujum
Asosiy maqola: ARP-spoofing
Arp protokoli tabiatan xavfsiz emas, chunki ARP javobining haqiqiyligini tekshirish imkoniyati yo'q. vaziyat gratuitous ARP (tegishli ARP so'rovi bo'lmagan taqdirda Arp javobi) mavjudligi bilan murakkablashadi, ulardan foydalanishni rad etish oson emas, chunki u bir qator tarmoq darajasidagi texnologiyalarga asoslangan.

A sends ARP-request to B but Rogue replies

A B Arp so'rovini yuborishiga ruxsat bering. Bunday holda, u "o'rtada odam"hujumini amalga oshirib, b shaxsidan ARP javobini yuborish imkoniyatiga ega bo'ladi. A mijozi eng so'nggi ARP javobini saqlab qolganligi sababli, hujumchiga o'z paketini b mijozidan bir oz keyinroq yuborish kifoya. Agar standart shlyuz vazifasini bajaradigan yo'riqnoma b mijozi sifatida ishlasa, tajovuzkor ichki va tashqi tarmoq o'rtasidagi barcha trafikni ushlab qolish va uni tashlab yuborish imkoniyatiga ega bo'ladi, bu esa xizmatni rad etishni amalga oshiradi.
Ko'pgina tarmoqlarda mijozlar IP-manzillarni qo'lda sozlash orqali emas, balki DHCP orqali olishlari sababli, DHCP Snooping va Dynamic ARP Inspection-ni kalit darajasida bunday hujumdan himoya qilish mumkin bo'ladi. Birinchi funktsiya Mac manzilini DHCP orqali olingan IP-manzilga bog'lashni amalga oshiradi. Ikkinchisi jo'natuvchining MAC manzili va ARP javobining mazmuniga mos kelishini tekshiradi; agar ular mos kelmasa, Arp javobi bilan ramka bekor qilinadi.

VLAN-ga hujum
Kalitlar orasidagi turli xil VLAN-larning trafigini uzatish uchun odatda magistral kanallar yoki magistral kanallar ishlatiladi, ular orqali o'tayotganda ramkalar ma'lum bir tarzda belgilanadi. Magistral kanal uchun eng keng tarqalgan etiketkalash protokoli 802.1 q. unda kadrlar yorliqlanmagan native VLAN tushunchasi qo'llaniladi. Agar kalit noto'g'ri sozlangan bo'lsa, tajovuzkor boshqa VLAN-larga trafikni yo'naltirish imkoniyatiga ega bo'lishi mumkin, bu esa ramkalarni oldindan belgilab qo'yadi, bu umuman tarmoqning kutilgan harakati emas.

VLAN hopping illustration

Rogue adds header sitting in native VLAN thus communicating with other LANs directly
Rasmda ko'rsatilgan topologiyani ko'rib chiqing. Native VLAN 1 raqamiga ega bo'lsin (standart). Router butun tarmoq uchun Stick-da Yo'riqnoma vazifasini bajaradi, shu jumladan ba'zi VLAN-larning boshqalarga kirishini chegaralaydi. Vlan10 boshqa har qanday VLAN-ga ma'lumot yuborishi mumkin, ammo teskari oqim taqiqlanadi. Xost qonuniy foydalanuvchi, Rogue esa tajovuzkor bo'lsin. Hujumchi vlan10 ga tegishli deb belgilangan freymni yuborishiga ruxsat bering. SW1 kaliti, Native VLAN-ga tegishli portdan ramka olib, uni belgilamaydi, balki trunk orqali uzatadi. Biroq, boshqa uchidagi SW2 kaliti, freymni olgandan so'ng, uning etiketlanganligini sezadi, qaysi vlanga tegishli ekanligini aniqlaydi, markirovkani olib tashlaydi va freymni vlan10 ga yo'naltiradi. Rasmda ko'rinib turganidek, tajovuzkorning kadrlari SW2 uchun qonuniy foydalanuvchi kadrlari bilan bir xil ko'rinadi. Shunday qilib, tajovuzkor Yo'riqnoma tomonidan taqdim etilgan cheklovlarni chetlab o'tib, ma'lumotni to'g'ridan-to'g'ri turli xil vlanlar o'rtasida uzatishga muvaffaq bo'ldi.

Ushbu muammoning echimi juda oddiy-mijoz stantsiyalarini ulash uchun mahalliy bo'lmagan VLAN-lardan foydalanish kifoya. Biroq, sukut bo'yicha, kommutator portlari native VLAN-ga tegishli, shuning uchun ushbu hujumni amalga oshirmaslik uchun portlarni sozlashda biroz aniqlik talab etiladi.