Turdimatov m

VPN protokollariga hujum qilish
Ushbu protokollar ma'lumotlarni shifrlamaydi, faqat shifrlash algoritmlari qanday ishlatilishini va VPNNI yaratish uchun zarur bo'lgan bir qator boshqa shartlarni (jumladan, yaxlitlikni nazorat qilish, abonentlarni autentifikatsiya qilish va h.k.) aniqlaydi. So'nggi ikki yil ichida ko'plab tadqiqotchilar xavfsizlik nuqtai nazaridan protokol ma'lumotlarini tahlil qilish uchun qabul qilingan, ammo jiddiy "teshiklar" deyarli aniqlanmagan. Va hali ham Topilganlar noto'g'ri ishlash bilan bog'liq yoki ishlab chiquvchilar tomonidan allaqachon yo'q qilingan. Biroq, IPsec, PPTP va boshqalar protokollarida zaifliklarni aniqlashning nazariy qobiliyati saqlanib qoladi.
Autentifikatsiya protokollariga hujum qilish
Abonentlar o'rtasidagi aloqani o'rnatish ularning o'zaro autentifikatsiyasini, ya'ni autentifikatsiya qilishni talab qiladi. RADIUS, TACACS (TACACS+, shu jumladan) va sertifikatlar autentifikatsiya protokollari sifatida ishlatilishi mumkin. Biz ushbu protokollarga qarshi hujumlar haqida batafsil ma'lumotga ega bo'lmaymiz va faqat yaqinda tarqatilgan sertifikatlardan foydalanish usulini ta'kidlaymiz. Bu, ayniqsa, sertifikatlar federal elektron raqamli imzo qonunining asosiy elementi ekanligi bilan bog'liq. Asosiy muammo tarmoq abonentining har bir ochiq kalitiga o'z sertifikatini berish uchun mo'ljallangan tasdiqlash markazlariga (sertifikat organi) ishonch bilan bog'liq. Agar ushbu markaz mutlaq kafolat bermasa, unda barcha VPN infratuzilmasi va buzilgan pensiyalar bunga loyiq emas. VPN tarmog'ining tugunlari tasdiqlash markazi tomonidan berilgan sertifikatlarga ishonishmaydi. Sertifikat tizimiga boshqa mumkin bo'lgan hujumlar mavjud, ammo ushbu maqolaning hajmi ularning barchasini ko'rib chiqishga imkon bermaydi.
Amalga oshirish uchun hujumlar
Ushbu turdagi hujumlar ko'pincha tajovuzkorlar tomonidan qo'llaniladi. Buning sababi, bu matematika sohasida keng bilimga muhtoj emas. Malakali dasturchi bo'lish yoki insonning zaif tomonlarini bilish etarli. Unga hujum qilishga olib keladigan noto'g'ri dasturning misollari, xususan, juda ko'p:
* Yashirin shifrlash kaliti qattiq diskda saqlanadi, unga kirish hech qanday tarzda nazorat qilinmaydi.
* Ramda saqlanadigan kriptografik kalit foydalanishdan keyin o'chirilmaydi.
* Sessiya kalitlarining xavfsizligi ta'minlanadi va asosiy kalitlarni himoya qilishga etarlicha e'tibor berilmaydi.
* Buzilgan kalitlarning "qora ro'yxatlari" ga kirish ochiq.