Original is at Open Systems. Nets: #6/96
http://www.osp.ru/nets/1996/06/source/51.html




Сети · # 6/96
· стр. 51-56










История первая


История вторая


История третья


Неуловимый Джо


Беззащитный Unix


.


Самые важные слабости Unix


Плохое администрирование


Повторно используемые и плохие пароли


Дырки в ftp- и HTTP-серверах и CGI
скриптах


Проблемы с NFS/NIS


Программы с переполняющимися буферами


Неправильная синхронизация событий


Ошибки в SUID программах


Самая безопасная система


Выбираем пожарные стенки


Куда идти дальше?






Меня часто спрашивают, насколько актуальна проблема безопасности
в Internet. Приведу несколько занятных примеров, сопроводив их поучительной
моралью для солидности.



http://www.playboy.com), и
так весьма трудно, то все радужные перспективы и надежды на http://altavista.digital.com
становятся весьма отдаленными.



Picture



Упрощенная схема подключения брандмауэра.



Между тем, если вы тот самый знаменитый Неуловимый Джо, то для защиты
от бандитов вам достаточно дешевого лассо и крепких дверей с навесным замком.
Совершенно необязательно строить крепость и заливать водой рвы для защиты
продуктовой лавки. Однако же, если вы собираетесь перевозить достояние
Республики в почтовом дилижансе или в поезде, стоит принять более серьезные
меры предосторожности. Для защиты Неуловимого Джо вполне сойдут старые
добрые пакетные фильтры на вашем маршрутизаторе в сочетании с толковым
администратором. А для действительно надежной защиты вам не отделаться
лишь одним самым замечательным продуктом с импортным названием "Firewall"
на коробке.



Мораль - оцените степень риска, изучите вашу сеть, разработайте политику
защиты, заручитесь поддержкой менеджеров и после этого срокойно идите на
противопожарный рынок, прихватив с собой десяток-другой килобаксов. Чем
вы ценнее для окружающих и чем меньше вы знаете про Internet тем больше
придется выложить.



ftp://info.cert.org/pub/
tools/crack/crack_4.1-tar.Z), весьма эффективно раскалывающая пароли.
Ей пользуются и администраторы и взломщики, постарайтесь, чтобы ваш пароль
не был ей взломан. Но будьте осторожны, если вы работаете на западную компанию.
Вы можете попасть в историю, аналогичную той, в которую попал известный
программист и соавтор книг про Perl Рэндэл Шварц, работавший системным
администраторов в фирме Intel. Он периодически запускал crack для проверки
паролей пользователей. Руководство Intel обвинило его в несанкционированном
доступе к информации и пожаловалось в ФБР. В результате он был обвинен
по уголовной статье, посажен на три месяца в тюрьму и потерял все свои
сбережения. Системный администратор - весьма опасная профессия.



Легендарный Кевин Митник использовал очень простой способ отгадывания
паролей - он просто звонил пользователям компьютеров и честно говорил им,
что ему нужен пароль для какой-нибудь придуманной цели. Обычно он его получал.
Другой популярный способ - послать письмо от имени администратора с требованием
сменить пароль на указанный в письме. Психология - весьма действенное средство
в руках профессионала.



Куда более серьезная проблема с паролями состоит в том, что они путешествуют
по сети в незашифрованном виде и их очень легко перехватить по дороге.
Поэтому, сейчас стали использовать одноразовые пароли. Идея состоит в том,
что каждый раз для входа в систему используется новый пароль, который практически
невозможно предсказать постороннему взломщику. Есть свободная програмная
реализация одноразовых паролей (S/Key) и несколько коммерческих програмно-аппаратных
реализаций, которые пока что не добрели до России. S/Key интегрирован в
некоторые системы, например, во FreeBSD.



firewalls@GreatCircle.com.
Пощупайте продукт руками. Попробуйте его в действии. И не верьте рекламе
- настоящий специалист по безопасности не доверяет никому!



http://www.cert.org


http://www.cs.purdue.edu/homes/spaf/hotlist/csec-top.html


http://ciac.llnl.gov


http://csrc.ncsl.nist.gov/first


http://www.alw.nih.gov/Security/security.html


http://www.auscert.org.au


http://www.cert.dfn.de/eng


http://www.cs.purdue.edu/coast/coast.html


http://www.sware.com/


http://www.telstra.com.au/info/security.html


http://www.raptor.com/library/library.


akolb@stins.msk.su.



Сети · # 6/96