Мошков Максим. Безопасность для интернет-дачников

---------------------------------------------------------------
© Copyright 1999 Максим Мошков
Email: [e-mail]
WWW: http://lib.ru/~moshkow/
Date: 28 May 1999
Статья для журнала "Интернет", август 1999
---------------------------------------------------------------

WWW: http://lib.ru/~moshkow/
Date: 13 Jun 1999
Origin: http://lib.ru/SECURITY/securedacha.txt
Радакция: Михаил Якубов ([e-mail])
---------------------------------------------------------------




Мы едем на дачу




Старожилы Рунета, наверное, помнят еще те времена, когда и Рунета-то не
было, вебстранички на русском исчислялись сотней штук, а русских серверов
было то ли двадцать, то ли пятьдесят. Давно ли это было? Всего лишь 5-6 лет
назад.
Поиграем в ассоциации. Пускай большая, невиртуальная жизнь - это город.
Город Москва. С заводами, институтами и житейскими заботами. А Интернет -
это дачи. В отпусках, в свободное от работы время, "самозахватом", или
организованно - начинающие дачники заселяли окрестные сервера, поливали свои
огородики и менялись друг с другом саженцами и редкими сортами тюльпанов.
Кто-то сколачивал из подручных лесин, натыренных на стройке в соседней
области, хибарку, кто-то подгонял казенный грузовичок и отстраивал кирпичную
дачку. К старожилам приезжали из города знакомые и родственники погостить
и... оставались тоже, нарезая участочки-хомячки по соседству. Тихая
патриархальная жизнь нарушалась регулярными бытовыми ссорами и замирениями,
ну а милиции в тех краях отродясь не было. Да и от кого тут нужны
милиционеры? Убийств, ограблений и хулиганства - не наблюдалось, а когда
наведывались редкие бомжи, с которыми не справлялся местный сторож, из
соседнего совхоза "Красный Релком" на мотороллере приезжали крепкие
ребята-механизаторы и вышибали непрошенных гостей к чертовой бабушке.
Мы жили в те времена. Мы расслабились и привыкли к спокойной и
безопасной жизни, к тому, что калитки на участках открыты, а дома не
запираются, окна распахнуты, и цветочки, высаженные вдоль забора, не
вытаптывает соседский молодняк.
И прошло всего четыре года, и мы вдруг обнаружили, что половина
окрестных полей застроены крепкими кирпичными коттеджиками, за нашим забором
где 40 хаток раскинулся дачный поселок на 5,000 трехэтажных домов, и город,
из которого мы бежали, пришел к нам вновь, со всеми своими проблемами.
Хулиганство? Пожалуйста. Драка в преулке, кражи со взломом? Сколько угодно.
Настала пора очнуться и осмотреться. И привыкать жить в новом, совсем уже не
виртуальном мире. Русский Интернет стал совсем как настоящий мир - с
заводами, магазинами и житейскими заботами.





Чем мы рискуем




Я не собираюсь рассматривать здесь проблемы защиты сетей крупных
коммерческих фирм. Денег у них обычно хватает на то, чтобы купить себе
надежный и дорогой файрволл. Мне интереснее оценить наши с вами проблемы -
проблемы простых пользователей сети, администраторов веб-серверов и мелких
провайдеров.
Вряд ли при взломе нашей системы мы рискуем большими деньгами. Не
думаю, что на нашем сервере хранится невосполнимая информация. Все проще и
прозаичнее. Любой взлом обходится администратору в большие потери личного и
рабочего времени.
Взломанный сервер нельзя использовать дальше. Выловить все возможные
хакерские закладки и троянских коней - дело нелегкое. А самое главное -
нельзя быть стопроцентно уверенным в успехе.
Поэтому после взлома дорога у нас одна -- полная переинсталляция
системы с нуля. Установка операционки и всего прикладного софта с
дитрибутивов. А такого софта почти всегда - много. И настройка его под
конкретное окружение тоже дело не мгновенное. По другому не получится, а это
несколько часов работы, а иногда -- несколько дней.

Итак, потери от взлома для обычного некоммерческого сервера - это
потраченное время и трата сил. Для коммерческого - это недовольство
клиентов, удар по престижу, а может быть, даже и по карману. И конечно,
опять лишния трата сил - ценные технические специалисты вместо решения
плановых задач будут восстанавливать систему, получая за это свою отнюдь не
маленькую зарплату.






Легенды и мифы




Перечислю несколько устойчивых заблуждений и мифов, бытующих в связи с
Интернетом в головах рядовых пользователей.

Говорят, что в интернете кроме порнухи ничего не найти. И только за
эротическими картинками народ по сети и шарится.

Говорить такую чепуху может только тот, кто никогда не пытался найти
достойный и интересный порносервер. А кто пытался, тот уже знает - все что
угодно кроме, черта лысого проще найти, чем сервер с картинками, а не
сервер, где вам покажут тысячи дурацких баннеров и будут долго клянчить
номер кредитки, которой у вас все равно нет.

Говорят, что с перепиской по email'у надо быть осторожным, ведь
кто-нибудь может послать вашему другу от вашего имени всякие гадости, а его
ответы перехватывать, чтоб не дать ему прояснить ситуацию.

Да, действительно, бытовая переписка передается по интернету в
незашифрованном виде, ее можно перехватить и подсмотреть на почтовом
сервере, и даже сфальсифицировать. Только для занятия этим нужна высокая
квалификация и доступ к этому серверу. А его могут получить люди только трех
профессий: сисадмин - который с гораздо большим интересом поиграет в
свободное время в Quake, хакер - которому недосуг заниматься глупостями
(ведь зарубку на клавиатуре ставят не за прочтенное письмо, а за взломанный
сервер), и, наконец, те-кому-положено. Но вы ведь не академик Сахаров.

Еще говорят, по сети крадутся хакеры, взламывая все подряд, выкрадывая
из компьютеров деньги, билеты, телефоны любовниц, и сталкивая с орбиты
космические спутники.

Не верьте. Это поклеп. Деньги тратятся сами собой, билеты - просто
теряются, а космические спутники по TCP/IP заваливать не обязательно - они и
сами падают.

И, наконец, самое опасное заблуждение: говорят, интернетовский сервер
можно сделать на базе Windows NT.

Опасно это заблуждение тем, что приносит проблем больше, чем все
хакерские атаки вместе взятые, и гарантирует все те же неприятности, что и
от взлома системы: потеря работоспособности, отказы, зависания, и как
следствие - сизифовы труды и пот, переинсталляция системы и потеря клиентов.




Реальные опасности для безопасности



В реализации протоколов TCP/IP есть несколько довольно неприятных
недоработок, влекут за собой дырки в безопасности Интернет-хоста, причем
есть среди них и такие, которые сложно или даже невозможно закрыть
полностью.

Система DNS (определение IP-адреса по доменному имени компьютера)
"верит" первому же откликнувшемуся на запрос name-серверу, и ее можно
обмануть, ответ сфальсифицировав. Причем обмануть можно не только отдельно
взятую клиентскую машину, но и сервер DNS, "накормив" его фальшивыми
адресами. Обманутый сервер начнет передавать "фальшивую" информацию всем
своим клиентам, что особенно болезнено, если это крупный провайдерский узел,
которым пользуются клиенты этого провайдера.

Защиты от такого метода атаки нет, и его широко применяют для подмены
популярных веб-серверов. Если вы встретите сообщение о том, что "головная
страница сервера имярек заменена страницей с призывами (призывы не пропущены
цензурой)" - то девять пртив одного за то, что это сделано подменой DNS.
Единственное кардинальное лечение этой дыры - перевод всех DNS-серверов в
мире на named версии 8. Это процесс длительный и болезненный, и конца ему
пока не видно.

Ко многим серверам применим целый набор DoS-атак (Denial of Service) -
образно говоря, это все ракно как "закидать банановыми шкурками". Атакующий
генерит большой поток запросов на сервер, сервер не успевает их обрабатывать
и забивает свои входные очереди ответами-в-никуда, реальным же пользователям
в очередях уже не остается места. Это может быть и SYN-атака - забивающая
приемную очередь TCP-пакетов на низком уровне, а может банальное
"задавливание" веб-сервера большим потоком простых HTTP-запросов.

С точки зрения определений заваливание сервера DoS-атакой или
DNS-подменой нельзя назвать взломом в чистом виде. Но в том-то и беда, что
для атакованного сайта результат один и тот же - что при взломе, что при
завале, что при банальном отказе по причине ошибок самого администратора: