Ukryty kanał - Covert channel

W bezpieczeństwa komputerowego , o tajnych kanał jest rodzajem ataku , który stwarza możliwość obiektów informacyjnych przelewy pomiędzy procesami, które nie powinny być dopuszczone do komunikowania się przez politykę bezpieczeństwa komputerowego . Termin ten, zapoczątkowany w 1973 roku przez Butlera Lampsona , jest zdefiniowany jako kanały „w ogóle nie przeznaczone do przesyłania informacji , takich jak wpływ programu usługowego na obciążenie systemu ”, aby odróżnić je od legalnych kanałów, które podlegają kontroli dostępu przez COMPUSEC .

Charakterystyka

Ukryty kanał jest tak zwany, ponieważ jest ukryty przed mechanizmami kontroli dostępu bezpiecznych systemów operacyjnych, ponieważ nie wykorzystuje legalnych mechanizmów przesyłania danych systemu komputerowego (zazwyczaj odczytu i zapisu), a zatem nie może być wykryty ani kontrolowany przez mechanizmy bezpieczeństwa, które leżą u podstaw bezpiecznych systemów operacyjnych. Ukryte kanały są niezwykle trudne do zainstalowania w rzeczywistych systemach i często można je wykryć, monitorując wydajność systemu. Ponadto cierpią na niski stosunek sygnału do szumu i niskie szybkości transmisji danych (zwykle rzędu kilku bitów na sekundę). Można je również usunąć ręcznie z wysokim stopniem pewności z bezpiecznych systemów dzięki dobrze znanym strategiom analizy ukrytych kanałów.

Ukryte kanały różnią się od legalnych sposobów wykorzystywania kanałów, które atakują pseudobezpieczne systemy o niskim poziomie pewności, korzystając ze schematów, takich jak steganografia lub nawet mniej wyrafinowane, w celu ukrycia zabronionych obiektów w legalnych obiektach informacyjnych. Uzasadnione nadużycie kanału przez steganografię nie jest konkretnie formą ukrytego kanału.

Ukryte kanały mogą tunelować przez bezpieczne systemy operacyjne i wymagają specjalnych środków do kontroli. Analiza ukrytych kanałów to jedyny sprawdzony sposób kontrolowania ukrytych kanałów. Z kolei bezpieczne systemy operacyjne mogą z łatwością zapobiegać niewłaściwemu wykorzystywaniu legalnych kanałów, dlatego ważne jest rozróżnienie obu. Analiza legalnych kanałów pod kątem ukrytych obiektów jest często błędnie przedstawiana jako jedyny skuteczny środek zaradczy w przypadku legalnego niewłaściwego wykorzystania kanałów. Ponieważ sprowadza się to do analizy dużej ilości oprogramowania, już w 1972 roku wykazano, że jest niepraktyczne. Nie będąc o tym poinformowanym, niektórzy są wprowadzani w błąd, wierząc, że analiza „zarządza ryzykiem” tych legalnych kanałów.

Kryteria TCSEC

W Trusted Computer Security Evaluation Criteria (TCSEC) był zestaw kryteriów, wycofana, które zostały ustalone przez National Center Computer Security , agencji zarządzanej przez Stany Zjednoczone Agencji Bezpieczeństwa Narodowego .

Definicja tajnego kanału Lampsona została sparafrazowana w TCSEC specjalnie po to, by odnieść się do sposobów przekazywania informacji z przedziału o wyższej klasyfikacji do przedziału o niższej klasyfikacji. W środowisku przetwarzania współużytkowanego trudno jest całkowicie odizolować jeden proces od wpływu, jaki inny proces może mieć na środowisko operacyjne. Ukryty kanał jest tworzony przez proces nadawcy, który moduluje pewne warunki (takie jak wolne miejsce, dostępność jakiejś usługi, czas oczekiwania na wykonanie), które mogą zostać wykryte przez proces odbierający.

TCSEC definiuje dwa rodzaje ukrytych kanałów:

  • Kanały przechowywania — komunikuj się, modyfikując „lokalizację przechowywania”, taką jak dysk twardy.
  • Kanały czasowe - Wykonuj operacje, które wpływają na „rzeczywisty czas reakcji obserwowany” przez odbiornik.

TCSEC, znana również jako Pomarańczowa Księga , wymaga, aby analiza ukrytych kanałów pamięci masowej została sklasyfikowana jako system B2, a analiza ukrytych kanałów czasowych jest wymogiem dla klasy B3.

Kanały czasowe

Wykorzystanie opóźnień między pakietami przesyłanymi przez sieci komputerowe zostało po raz pierwszy zbadane przez Girling w celu tajnej komunikacji. Ta praca zmotywowała wiele innych prac do nawiązania lub wykrycia tajnej komunikacji i przeanalizowania podstawowych ograniczeń takich scenariuszy.

Identyfikowanie ukrytych kanałów

Zwykłe rzeczy, takie jak istnienie pliku lub czas używany do obliczeń, były medium, przez które komunikuje się ukryty kanał. Niełatwo jest znaleźć ukryte kanały, ponieważ media te są tak liczne i często używane.

Standardami lokalizacji potencjalnych ukrytych kanałów pozostają dwie stosunkowo stare techniki. Jeden działa poprzez analizę zasobów systemu, a drugi działa na poziomie kodu źródłowego.

Eliminacja ukrytych kanałów

Możliwość występowania ukrytych kanałów nie może zostać wyeliminowana, chociaż można ją znacznie zmniejszyć poprzez staranne projektowanie i analizę.

Wykrywanie ukrytego kanału może być utrudnione przez wykorzystanie cech medium komunikacyjnego dla legalnego kanału, które nigdy nie są kontrolowane ani badane przez uprawnionych użytkowników. Na przykład plik może być otwierany i zamykany przez program według określonego wzorca czasowego, który może zostać wykryty przez inny program, a wzorzec może być interpretowany jako ciąg bitów, tworzący ukryty kanał. Ponieważ jest mało prawdopodobne, że prawowici użytkownicy będą sprawdzać wzorce operacji otwierania i zamykania plików, ten rodzaj ukrytego kanału może pozostać niewykryty przez długi czas.

Podobny przypadek to stukanie w porty . W zwykłej komunikacji terminy żądań są nieistotne i nie są obserwowane. Pukanie do portu sprawia, że ​​jest to znaczące.

Ukrywanie danych w modelu OSI

Handel i Sandford przedstawili badania, w których badają ukryte kanały w ramach ogólnego projektowania protokołów komunikacji sieciowej. Jako podstawę do opracowania wykorzystują model OSI, w którym charakteryzują elementy systemu mające potencjał do wykorzystania do ukrywania danych. Przyjęte podejście ma nad nimi przewagę, ponieważ brane są pod uwagę standardy sprzeczne z określonymi środowiskami sieciowymi lub architekturami.

Ich badanie nie ma na celu przedstawienia niezawodnych schematów steganograficznych. Ustanawiają raczej podstawowe zasady ukrywania danych w każdej z siedmiu warstw OSI . Oprócz sugerowania użycia zarezerwowanych pól nagłówków protokołów (które są łatwo wykrywalne) w wyższych warstwach sieci, proponują również możliwość kanałów taktowania obejmujących manipulacje CSMA/CD w warstwie fizycznej.

Ich praca identyfikuje zalety ukrytego kanału, takie jak:

  • Wykrywalność: ukryty kanał musi być mierzalny tylko przez zamierzonego odbiorcę.
  • Nierozróżnialność: Ukryty kanał musi brakować identyfikacji.
  • Przepustowość: liczba bitów ukrywających dane na użycie kanału.

Ich analiza ukrytych kanałów nie uwzględnia takich kwestii, jak interoperacyjność tych technik ukrywania danych z innymi węzłami sieci, szacowanie przepustowości ukrytego kanału, wpływ ukrywania danych na sieć pod względem złożoności i kompatybilności. Co więcej, ogólność technik nie może być w pełni uzasadniona w praktyce, ponieważ model OSI nie istnieje per se w systemach funkcjonalnych.

Ukrywanie danych w środowisku LAN przez ukryte kanały

Jako że Girling najpierw analizuje ukryte kanały w środowisku sieciowym. Jego praca koncentruje się na sieciach lokalnych (LAN), w których zidentyfikowane są trzy oczywiste kanały ukryte (dwa kanały pamięci i jeden kanał czasowy). Pokazuje to rzeczywiste przykłady możliwości wykorzystania przepustowości dla prostych ukrytych kanałów w sieciach LAN. Dla konkretnego środowiska LAN autor wprowadził pojęcie podsłuchu, który monitoruje aktywność konkretnego nadajnika w sieci LAN. Stronami komunikującymi się potajemnie są nadajnik i podsłuch. Ukryte informacje według Girlinga mogą być przekazywane na jeden z następujących oczywistych sposobów:

  1. Obserwując adresy zbliżające się do nadajnika. Jeżeli łączna liczba adresów, do których nadawca może się zbliżyć, wynosi 16, to istnieje możliwość tajnej komunikacji posiadającej 4 bity na tajną wiadomość. Autor określił tę możliwość jako ukryty kanał przechowywania, ponieważ zależy to od tego, co jest wysyłane (tj. jaki adres odwiedza nadawca).
  2. W ten sam sposób inny oczywisty ukryty kanał pamięci zależałby od rozmiaru ramki wysłanej przez nadawcę. Dla 256 możliwych rozmiarów ilość tajnych informacji odszyfrowanych z jednego rozmiaru ramki wynosiłaby 8 bitów. Ponownie ten scenariusz został nazwany ukrytym kanałem przechowywania.
  3. Trzeci przedstawiony scenariusz wykorzystuje obecność lub brak wiadomości. Na przykład „0” dla nieparzystego przedziału czasu wiadomości, „1” dla parzystego.

Scenariusz przesyła tajne informacje za pomocą strategii „kiedy zostanie wysłane”, dlatego określa się ją jako ukryty kanał taktowania. Czas transmisji bloku danych jest obliczany jako funkcja czasu przetwarzania oprogramowania, szybkości sieci, rozmiarów bloków sieci i narzutu protokołu. Zakładając, że bloki o różnych rozmiarach są przesyłane w sieci LAN, narzut oprogramowania jest obliczany przeciętnie, a do oszacowania przepustowości (przepustowości) ukrytych kanałów wykorzystana jest nowatorska ocena czasu. Prace torują drogę do przyszłych badań.

Ukrywanie danych w pakiecie TCP/IP Protocol przez ukryte kanały

Skupiając się na nagłówkach IP i TCP pakietu protokołów TCP/IP, artykuł opublikowany przez Craiga Rowlanda opracowuje odpowiednie techniki kodowania i dekodowania, wykorzystując pole identyfikacji IP, początkowy numer sekwencyjny TCP i pola numeru sekwencyjnego potwierdzenia. Techniki te są zaimplementowane w prostym narzędziu napisanym dla systemów Linux z jądrami w wersji 2.0.

Rowland zapewnia dowód koncepcji, a także praktyczne techniki kodowania i dekodowania do wykorzystania ukrytych kanałów przy użyciu zestawu protokołów TCP/IP. Techniki te są analizowane z uwzględnieniem mechanizmów bezpieczeństwa, takich jak translacja adresów sieciowych zapory.

Jednak niewykrywalność tych tajnych technik komunikacyjnych jest wątpliwa. Na przykład w przypadku, gdy manipulowane jest pole numeru sekwencyjnego nagłówka TCP, schemat kodowania jest przyjmowany w taki sposób, że za każdym razem, gdy ten sam alfabet jest potajemnie komunikowany, jest on kodowany tym samym numerem sekwencyjnym.

Co więcej, użycie pola numeru sekwencyjnego, jak również pola potwierdzenia, nie może być specyficzne dla kodowania ASCII alfabetu języka angielskiego, jak zaproponowano, ponieważ oba pola uwzględniają odbiór bajtów danych odnoszących się do określonego pakietu sieciowego.

Po Rowland kilku autorów ze środowiska akademickiego opublikowało więcej prac na temat ukrytych kanałów w zestawie protokołów TCP/IP, w tym mnóstwo środków zaradczych, od podejść statystycznych po uczenie maszynowe. Badania nad kanałami sieciowymi pokrywają się z dziedziną steganografii sieciowej , która pojawiła się później.

Zobacz też

Bibliografia

  1. ^ Lampson, BW, Uwaga dotycząca problemu odosobnienia. Komunikaty ACM, październik 1973.16(10):str. 613-615. [1]
  2. ^ B Computer Security Study Technologia Planning (James P. Anderson, 1972)
  3. ^ NCSC-TG-030, Covert Channel Analysis of Trusted Systems (Light Pink Book) , 1993 zpublikacji Departamentu Obrony Stanów Zjednoczonych (DoD) Rainbow Series .
  4. ^ 5200.28-STD , Trusted Computer System Evaluation Criteria (pomarańczowa księga) , 1985 Zarchiwizowane 2006-10-02 w Wayback Machine zpublikacjiDoD Rainbow Series .
  5. ^ DZIEWCZYNA, SZARY (luty 1987). „Ukryte kanały w sieciach LAN”. Transakcje IEEE dotyczące inżynierii oprogramowania (2): 292-296. doi : 10.1109/tse.1987.233153 . S2CID  3042941 . ProQuest  195596753 .
  6. ^ Ukrywanie danych w modelu sieci OSI Zarchiwizowane 18.10.2014 w Wayback Machine , Theodore G. Handel i Maxwell T. Sandford II (2005)
  7. ^ Covert Channels in the TCP/IP Protocol Suite Archived 2012-10-23 at the Wayback Machine , 1996 Artykuł autorstwa Craiga Rowlanda na temat ukrytych kanałów w protokole TCP/IP z kodem dowodowym.
  8. ^ Sandacz, S.; Armitage, G.; Oddział, P. (2007). „Badanie ukrytych kanałów i środków zaradczych w protokołach sieci komputerowych”. Przeglądy i samouczki dotyczące komunikacji IEEE . IEEE. 9 (3): 44–57. doi : 10.1109/comst.2007.4317620 . hdl : 1959,3/40808 . ISSN  1553-877X . S2CID  15247126 .
  9. ^ Informacje ukrywające się w sieciach komunikacyjnych: podstawy, mechanizmy, aplikacje i środki zaradcze . Mazurczyk, Wojciech., Wendzel, Steffen., Zander, Sebastian., Houmansadr, Amir., Szczypiorski, Krzysztof. Hoboken, NJ: Wiley. 2016. ISBN 9781118861691. OCLC  940438314 .CS1 maint: inne ( link )
  10. ^ Wendzel, Steffen; Sandacz, Sebastian; Fechnera, Bernharda; Herdin, Christian (kwiecień 2015). „Badanie oparte na wzorcach i kategoryzacja technik sieciowych ukrytych kanałów”. Ankiety ACM Computing . 47 (3): 50:1-50:26. arXiv : 1406.2901 . doi : 10.1145/2684195 . ISSN  0360-0300 . S2CID  14654993 .
  11. ^ Cabuk, Serdar; Brodley, Carla E .; Tarcze, glina (kwiecień 2009). „Wykrywanie ukrytych kanałów IP”. Transakcje ACM dotyczące bezpieczeństwa informacji i systemu . 12 (4): 22:1–22:29. CiteSeerX  10.1.1.320.8776 . doi : 10.1145/1513601.1513604 . ISSN  1094-9224 . S2CID  2462010 .

Dalsza lektura

Zewnętrzne linki