Удар по сниферу

Докучаев Дмитрий aka Forb

Хакер, номер #079, стр. 079-046-4

Таким образом, все активные нюхачи будут обнаружены админом. Но здесь следует оговориться: в случае, если в сети используется DHCP-протокол, программа ARPWatch не может быть использована, поскольку один и тот же MAC-адрес вполне может быть закреплен за разными IP-адресами.

2. ARP_AntiDot kernel patch

Ядерная заплатка с интересным именем arp_antidot (http://securitylab.ru/_tools/antidote2.diff.gz) изменяет реализацию протокола ARP в Linux и полностью нейтрализует атаку ARP-poisoning. Когда в систему приходит ARP-запрос с требованием изменить MAC, запускается специальная процедура верификации: всем машинам посылается дополнительный широковещательный пакет, ответом на который будут IP- и MAC-адреса. Если какой-то узел пришлет тот же MAC, что и в поддельном запросе, атака будет распознана. С помощью значений sysctl можно настроить реакцию заплатки на атаку. Возможны три варианта: просто сообщить администратору, сообщить и прописать IP-адрес как статический либо сообщить и заблокировать IP-адрес.

Если смена MAC-адреса связана не с атакой, а со стандартной ситуацией, ядро обновит запись после небольшого промежутка времени.

Установить патч очень просто. Сперва скачиваем его, затем распаковываем и применяем (patch -p1 < antidote.diff). После этого необходимо перекомпилировать ядро и настроить заплатку. Вот опции ядра, которые добавляются в sysctl -a после применения патча:

net.ipv4.neigh.default.arp_antidote=режим, где «режим» — одна из вышеперечисленных реакций.

К сожалению, этот патч был написан только для ядра 2.4 и, как следствие, применим лишь на Linux-серверах. Но автор патча, небезызвестный buggzy, не останавливается на достигнутом и будет продолжать развивать свой проект и для других операционных систем.

[сниферы выявлены, взломщики наказаны]

Я думаю, что после практического применения этих приемов в твоей сети поубавится «рыбаков». Сам понимаешь, тестировать сеть вручную — большой гемор, поэтому специально для тебя умельцы написали грамотный софт, распознающий сниферы в локальной сети. За подробностями обращайся ко врезке.

А мне лишь остается проститься с тобой и пожелать удачи в успешном обнаружении сниферов. И не дотягивай до последнего, когда о твоих паролях будет знать весь интернет!

Способы защиты от «рыбаков»

Существует ряд приемов, которые стопроцентно помогут тебе защититься от сниферов. С радостью поведаю тебе о них.

1. VPN

VPN — достаточно универсальное средство, которое поможет тебе не только изменить IP-адрес, но и зашифровать данные. При этом никакой снифер не сможет их расшифровать. Чтобы воспользоваться VPN-доступом, можно приобрести его за сравнительно небольшую плату либо поставить софт на доверенном *nix-сервере за пределами локальной сети.

2. Stunnel

Защищенное туннелирование трафика — способ защиты, похожий на VPN, однако с его помощью можно зашифровать данные только по одному протоколу. Для реализации этого метода достаточно поставить программу stunnel на удаленной машинке и на своей. Затем потребуется настроить сервер и клиент с последующим их соединением (за подробностями обращайся к статье «Выбери свой туннель», X/03.2002). Таким образом можно защитить себя от перехвата трафика в ICQ или IRC.