Názory k článku Úspěšný útok na Internet -- II?

hmmmmm - mikrovlnky, TNT, Rambovia odstrelujuci servery a hlusiaci nic netusiacu obsluhu hadzanim CD-ciek (s tvrdenym povrchom) ... to je vsetko trochu nakladne (spocitajte si len cenu municie). To u nas (na Slovensku) sa podarilo jednej nemenovanej firme zrusit narodny internet na takmer dva dni a este sme si za to aj zaplatili !

Nekomu z Ameriky se podarilo nabourat se mi do systemu pres internet, ale nyni uz mam system chranen. Bylo to velmi neprijemne...

Měl jsem takovou Win utilitku, určenou na urychlení surfování, která strkala všechny používané adresy do souboru hosts, kromě jiného je uměla také ve stanovenou dobu refreshovat. Uživatel takovéhoto prográmku by nebyl výpadkem DNS téměř postižen.

:-)))))

Ve Windows se ten soubor jmenuje hosts (bez pripony). Posledni hosts.txt jsem videl v roce 1996 v IP stacku od Novellu - LANWorkPlace se tusim jmenoval.

Mimochodem, to, ze mam v hlave DNS, je mrzka pomluva.

Sebevrazeny terorista utocici mikrovlnkou - fuj, jak ohavna morbidni predstava ...

Mikrovlnky & manici: Ano, ale pravdepodobne na vas prijdou (kamerove systemy, identifikace vstupu atp. Jako utok pro sebevrazedne teroristy mozna :-)

Ani jsem tak nemel na mysli psani HTTP requestu v ruce (i kdyz i to samizrejme umim), jako spis editaci HOSTS.TXT respektive /etc/hosts. Ostatne, mluvil jsem o pristupu libovolnym prohlizecem, ne psanim requestu z telnetu.

Je ale neoddiskutovatelna pravda, ze v okamziku, kdy nebude fungovat DNS budou s Internetem pracovat jen "nikoli normalni" uzivatele, pouzite metody pristupu a pouzivane prostredky budou patrne nikoli zcela obvykle (napriklad si myslim, ze WWW servery skutecne nikdo k nicemu pouzivat nebude) a to co vedeme je tedy ciste hypoteticka debata. Bezny uzivatel (takovy ten, co je k dostani v bile nepopsane krabici) v te dobe asi zadnym zpusobem pracovat skutecne nebude ...

No, kdyz se pripojite k nejakemu internetu, budete pripojen k internetu. Pokud se ale pripojite k Internetu, budete pripojen k Internetu. No, a pokud se pripojite k obojimu ...

:-)

Aha, no tak asi jo...

Pokud vim, tak 'inter' znamena latinsky 'mezi', takze 'international' je jenom pouziti predpony, to s internetem nesouvisi.

Ne, inter, jako mezi. AFAIK nezalezi na uzemi.

Ale imho jen za predpokladu, ze panove Novak a Kovar ziji v jinych statech (inter.. od slova international, nebo ne ?)

Vcetne toho, ze budes vedet IP adresy vsech techhle serveru... ;-))) Rekl bych, Dane, ze stejne jako MK patris k lidem, kteri maji DNS v hlave :-))). Zbyva mi jen blede zavidet :-)))).
Nerikam ze je to nemozne, ale mozne asi spis jen za znacneho usili a u lidi, kteri maji chut nebo motivaci se s tim patlat u toho ktereho konkretniho serveru - schvalne, kolik tisicin promile uzivatelu to bude :-)))). Jinak samozrejme vyuzivani webu jakozto informacniho zdroje pro napr. likvidaci nasledku takovehle hruzy bude taky dost ztizene...
A nakonec - nemyslim, ze napsat HTTP request v ruce by umel jen ten, co se zabyva profesionalne sitemi na "nejnizsi" urovni a ma co do cineni se spravou korenovych ci jinych DNS, popr. ma na starosti likvidace nasledku podobneho utoku...

Jedna z verzi rika, ze internet je oznaceni nekolika siti, ktere jsou navzajem propojeny. Zatimco Internet je jedna urcita takova sit propojenych siti. Kdyz si pan Novak propoji svou sit se siti pana Kovare, muzou tomu rikat NovKov. Z technickeho hlediska to bude internet. Tedy nekolik siti propojenych dohromady.

nebranim se pouzivat ani jedno znaceni, ale muze mi prosim nekdo fundovany vysvetlit rozdil?
pripojuji se k internetu nebo Internetu? a kdyz se uz pripojim, mam pak pristup k internetu nebo Internetu? (nebo k obojimu?)
dekuji
Zdenda

No, v dobe, kdy budou vyrazeny DNS servery se pravdepodobne aktivita tech, kteri budou schopni s Internetem pracovat i bez DNS zamerovat pravdepodobne jinym smerem, nez koukanim se po WWW. A ujistuji vas, ze pokud se presto po WWW rozhodnu koukat, tak tak ucinim - z Windows i prakticky vsech UNIXu - libovolnym prohlizecem a to (samozrejme) vcetne tech virtualnich serveru o kterych byla rec.

Rekl bych, ze by mozna bylo mozno zpresnit vyrok

"Protože v okamžiku, kdy nefunguje DNS, není běžný člověk schopen s internetem fungovat (nefunguje žádná "písemná" adresa), faktickým vyřazením DNS z provozu dosáhneme nefunkčnosti internetu, jak ho běžní uživatelé používají."

vyjadrenim, ze i dosti zdatny uzivatel internetu si neskrtne pri pouzivani napr. rady WWW serveru - tech, ktere pouzivaji k identifikaci web serveru jeho symbolickou adresu z hlavicky http requestu (tzn. pokud dany server neobsluhuje dotazy na IP adresu stroje kde zrovna bezi...) - mam dojem, ze to bude asi vetsina www serveru co ve svete bezi... Nebo ne? U malych serveru vetsinou na jednom stroji bezi webserveru vice, u velkych by byl treba asi problem s clusteringem pres round-robin DNS adres, ktery se mi zda byt dost pouzivanym... Dalsim nejfrekventovanejsim uzitim internetu s malym i je zasilani mailu - po zruseni DNSek je i pri znalosti IP daneho ciloveho mailserveru nutne se spolehat na to, ze spravci mailserver nakonfigurovali spravne podle rfc (coz neni nic samozrejmeho) - tak, aby krome Mailalias@domena byl server schopen obslouzit i maily Mailalias@IPAdresa - pokud je vice mailovych domen na jednom stroji, je to opet problem... A i tak, vetsina rada mailserveru overuje prichozi maily pres DNS na platnost domeny odesilatele mailu, aby zabranila rozesilani spammu, takze je dost pravdepodobne, ze by server spis maily odmital ;-).
Dalsim problemem je to, ze se DNS jmena pouzivaji v mnoha pripadech jako pomocnik pro vetsi odolnost a pohodlnost konfigurace nejruznejsich aplikaci a systemovych sluzeb - a kdyz DNS vypadne, vetsinou ani nejvetsi hacker neni schopen zjistit (nema-li napr. pristup k logum sveho DNS pres kterey puvodne dotazy bezely) jaka odpovidajici IP adresa vlastne symbolicke byla prirazena, nebo by mela byt... Samozrejme, :-))))) nekolik stastnych jedincu, mezi nez ja nepatrim, avsak autor tohoto clanku podle mych zkusenosti pravdepodobne ano, nosi DNS v hlave :-)))) Bohuzel pro tenhle zpusob neexistuje zadne rfc, rad bych se to taky naucil :-)))))

Ale vazne: rozhodne se mi z meho hlediska vyrazeni DNS zda momentalne jako nejlepsi moznost pro globalni utok na internet s malym i - je to nejefektivnejsi, ma relativne dlouheho trvani a je s nejvetsim medialnim ucinkem - prece jen, smysl a fungovani DNS je schopno pochopit vetsi mnozstvi lidi nezli nuance implementace nizkourovnovych routovacich protokolu - a nic neni medialne uspesnejsi nez to, kde se clovek muze citit odbornikem :-))). A protoze cilem globalniho ochromeni internetu je predevsim ziskani publicity a snad nic jineho (neni realne), tak bych se - byt teroristy - asi zameril timhle smerem :-)

No muj utok byl trosku subtilnejsi. Vyrobit zmatek ve smerovani je mozne a realne, nicmeme potiz je v tom, ze se to da snadno detekovat a jeste snadneji odstranit. Proste Vas zacnou ignorovat.

Trvanlivost takoveho utoku bude maximalne v radu hodin. Ale zadny napad neni spatny, je mozne, ze kdyz se to vypiluje, bude to mit delsiho trvani.

Pár poznámek.

>Samozřejmě je většina serverů chráněna nějakým tím firewallem, takže klasické útoky
>s pomocí zfalšovaných hlaviček či využití specifické chyby operačního systému serverů
>nepřichází v úvahu.

Nevěřím, že by firewall obvykle účině bránil zneužití např. děr ve webserveru.

>Třetím, nejvíce nepravděpodobným, útokem je fyzický útok na servery či infrastrukturu.
>Pro úspěch takového útoku je třeba infiltrovat ISP -- nejlépe jeho dohledové centrum, útočníky,
>kteří budou škodit (není to jednoduché řešení, ale je v principu reálné).

Většinou stačí si u stejného ISP zřídit serverhousing. Vyřazení většiny obsahu českého
internetu se dá zařídit celkem snadno a levně. Zaplatíme si serverhousing, kde jen to půjde, a do
serveroven budeme umísťovat dálkově zapnutelné mikrovlné trouby nebo tak něco.
Méně hi-tech by stačilo místo mikrovlných trub do serveroven vyslat maníky z kladivem, kteří by rozmlátili nejprve UPSky a pak vybrané servery.

Čtvrtým útokem je otrávení nebo zničení dns poskytovatelů obsahu. To šlo v .cz dodenávna zařídit jedním faxem s jedním podvrženým podpisem, adresovaným na CZ-NIC. (jedním faxem na jednoho poskytovatele).

(Pozn. pro případné hnidopichy - serverhousigem míním službu, nabízenou např. na serverhousing.cz. Plodnou debatu na téma správných názvů vést nechci.)

Vicemene by to fakt fungovat mohlo. Tak asi 20 minut... ;-)
Vyrobit zmatek v BGP routovani jde pomerne snadno, nicmene to skonci pouze a jenom tim, ze AS vaseho hypotetickeho ISP bude velice rychle z routovacich tabulek BGP pausalne vyhozen a uz si ani neskrtnete ;-)
Zrovna tento typ routingu si KAZDY hlida VELMI PECLIVE a nikdo se prilis nesere s tema, kteri do BGP vnaseji bordel ;-)

Koukam, ze pan Krsek dostal stejny napad na ochromeni Inetu, jaky jsem popsal na konci diskuze u prvniho dilu :-)
Protoze diskuzi k prvnimu dilu uz asi nikdo cist nebude, tak to jeste jednou poslu sem. Treba to spolecnymi silami vypilujeme k dokonalosti pro pozdejsi pouziti :-)))

Scenar:
- Jako bohaty terorista ovladnu nejakeho velkeho, nejlepe tranzitniho ISP. Ani ho nemusim ovladnout - staci sveho cloveka protlacit na misto, kde bude mit pristup ke konfiguraci hranicnich smerovacu.
- Nastavim routovani tak, ze se bude zdat, ze vetsina AS lezi nekde hodne blizko u me, rekneme za jednim hopem.
- Tuhle informaci pustim do sveta svym sousedum.

Co se stane:
- Muj AS pro ne stane nejlepsi cestou kamkoliv (krome pripadu, kdy jsou primo pripojeni k nejake dalsi siti).
- Tuhle inforamci mi sousedi predaji dal.

Vysledkem bude totalni chaos v routovacich tabulkach, takze nepojede ani IP. Bohuzel budu ponekud omezen tim, ze cim vic hopu ode me nejaky AS bude lezet, tim min se necha ovlivnit, protoze mozna bude mit lepsi routu odjinud. Ovsem u mych sousedu to zabere dost spolehlive. Samozrejme mi musi predem duverovat a routovaci tabulku ode me brat, takze tranzitni ISP jsou ve zrejme vyhode :-)

Ja vim, tenhle teroristicky plan ma sve slabiny (treba ze jednotlivi ISP filtruji BGP announcementy, grrr), ale vicemene by to mohlo fungovat.