امنیت در پروتکل مسیریابی OSPF

سلامی دوباره.

در ادامه باهم بصورت ساده و مختصر کمی درباره امنیت در این پروتکل مسیریابی صحبت میکنیم.

برای تایید صحت و درست بودن اطلاعات مسیریابی دریافت شده ما می توانیم تهدید ها را بطور کلی به دو نوع External , Internal تقسیم نماییم.

 

» تهدید های External

تهدید های External معمولا توسط خارج از ناحیه انجام میشود (در اینجا منظورمان از Insider روترهایی خواهند بود که مورد اعتماد شبکه هستند و بعنوان یک روتر در شبکه پذیرفته شده است و همچنین در روند تبادل اطلاعات شرکت می کند)، بعنوان مثال نفوذگری که به لینک ارتباطی بین روترها دسترسی پیدا می کند. یک مزاحم می تواند حذف،ایجاد و بازپخش و حتی ایجاد پکت های جعلی را داشته باشد که این امر میتواند باعث شود تا روتر خارجی و مزاحم بعنوان یک روتر مشروع تلقی گردد و در انتقال و ارتباط بین همسایگان قرار گیرد.

 

برای مقابله با این نوع تهدید می توان با انجام تنظیماتی چون Authentication استفاده نمود.بدین صورت که تمام روتر درون ناحیه و معتبر، بین خودشان کلید رمزی را به اشتراک میگذارند که توسط آن میتوانند روترهای مشروع و قابل قبول را شناسایی نمایند. پروتکل OSPF مستلزم خواهد بود تا تمامی تبادلات را Authenticate نماید.

 

» تهدیدهای Internal

در بحث های قبل با مفاهیم روترهای insiders آشنا شدیم مانند روترهای آسیب دیده و مورد نفوذ قرار گرفته اند. همانطور که که گفته شد برای تایید صحت اطلاعات تبادل شده از cryptographic authentication استفاده شود. که این نوع روش یک نوع رمزنگاری متقارن (symmetric) است. هرچن که پیشنهاداتی برای استفاده از الگوریتم های رمزنگاری نامتقارن (Asymmetric) داده شده است اما مقدار بار محاسباتی الگوریتم های نامتقارن تعداد کسانی که این طرح را پذیرفته اند محدود کرده است و نتوانسته رضایت عموم را از آن خود کند. گاها افرادی خطرات LSA و بررسی صحت و درستی آن را در برابر یک روتر معیوب (که مورد نفوذ واقع شده است) کم اثر میدانند.

یک روتر درواقع دارای دونقش متمایز از هم را برعهده دارد، یک تولید LSA ها و دو اینکه کار حمل و نقل  LSA دیگر روترها را برعهده دارد.

اولین تهدید های که در این نوع مورد بررسی قرار میدهیم تغییر و یا حذف اطلاعات  روترهای دیگر است.

 

» تغییر داده ها:

اگر نمونه جدیدی از LSA ها دریافت گردد فیلدهای sequence number, age, checksum مقایسه می شوند که آیا این LSA جدید است یا نه؟ دو حالت ممکن است رخ دهد. حالت اول بسته دریافتی رها میگردد، بعنوان مثال ممکن است بسته قدیمی باشد. و در حالت دوم بسته پذیرفته می شود، در LSDB قرار میگیرد و flood خواهد شد. خوب معلوم می شود که در حالت اول تهدیدی وجود ندارد و در حالت دوم بنابر موقعیت توپولوژیکی، روتر مورد تهدید خواهد بود.

حال روتر معیوبی را در نظر میگیریم که می تواند Area هایمان را تفکیک (partition) نماید، یعنی روتر
معیوب (مربع رنگ تیره) تنها مسیر بین دو روتر سالم است. همانطور که در تصویر زیر هم میتوان دید

 

Area به دوگروه از روترهای سالم و مشروع تقسیم شده است و یا به عبارتی دیگر میتوان گفت توسط روتر معیوب شبکه تکه،تکه شده است و میتواند براحتی برروی تمام ارتباطات بین دو روتر نظارت داشته باشد.

یکی از تهدید هایی که در این تصویر و مثال مشهود است این می باشد که LSA های هر طرف را به سمت دیگر انتقال ندهد و باعث ایزوله شدن روتر معیوب می شود، بدین معنی که از آن برای انتقال ترافیک استفاده نمی شود و غیر قابل دسترسی میشوند و باید در سرویس های سطح بالاتر تشخیص داده شود.

اگر یک LSA دستکاری شده ای را در همان ناحیه که روتر تولید کننده LSA وجود دارد انتشار دهیم، روتر تولید کننده LSA متوجه تغییر در داده ارسالی خود خواهد شد.

 

» ایجاد اطلاعات جعلی:

اساسا مشکل است که خود پروتکل ها از خودشان در برابر اطلاعات جعلی ایجاد شده توسط روتر معیوب محافظت نماید. رمزنگاری (Cryptography)، بعنوان مثال، نمی تواند یک روتر سالم را در برابر اطلاعات نادرست محافظت نماید.اما خوشبختانه طبیعت و ذات پروتکل OSPF براین است که در برابر برخی حملات insider محافظت میکند.

ابتدا اینکه مسیریابی در هر منطقه مستقل است، و اطلاعات بدخواهانه و یا ناقص عملیات مسیریابی را دریگر نواحی تحت تاثیر قرار نمیگذارد.

دوم اینکه درصورت وجود اطلاعات تکراری پروتکل متوجه خواهد شد (توسط sequence number). هنگامیکه چندین روتر دسترسی به یک مجموعه اطلاعاتی داشته باشند (بعنوان مثال دو ABR مشترک در یک Area خاص).

برای نفوذ بصورت insider بعنوان مثال نفوذگر میتواند بصورت remote به روترها حمله نماید،  چند نمونه آسیب پذیری که منتشر شده است مانند CVE-2010-0581,CVE-2010-0580, CVE-2009-2865 که در CVE-2010-0581 نفوذگر میتواند کدهای خود را با یک پکت SIP اجرا نماید و یا باگ جدیدی که اخیرا در روترهای با چیپست Broadcom توسط تیم DefenseCode  یافت شده است که اجازه میدهد یک نفوذگر بدن انجام احرازهویت کدهای خود را در سطح root اجرا نماید.

 

» حملات ارئه شده توسط تیمJiNao

این تیم 4 حمله را معرفی نمود که اساسا می توان گفت از نوع حملات تکذیب سرویس است. در زیر با این چهار حمله بیشتر آشنا خواهیم شد که چگونه از مکانیزم fight back برای اجرای حملات سود برده اند:

• Max Age: این حمله قبلا هم توضیح داده شده است. حداکثر عمر یک بسته LSA یک ساعت است. حال نفوذگر بسته ای با حداکثر مقدار برای فیلد MaxAge ارسال می کند.حال مکانیزم fight back عمل میکند و بسته ارسالی درست را ارسال میکند. نفوذگر به طور مرتب این عمل را انجام میدهد و fight back هم کار خود را انجام میدهد. انجام این عمل بطور مکرر باعث ایجاد حملات DOS خواهد شد.
• Sequence++ : نفوذگر بسته LSA را با Sequence بالاتر ارسال می کند، مکانیزم Fight Back در روتر صاحب LSA فعال می شود و LSA خود را ارسال میکند. نفوذگر بدین ترتیب بطور مکرر بسته ای با شماره Sequence بالاتر ارسال میکند که بدین صورت باعث ناپایدار شدن شبکه و به تدریج انجام حملات DOS خواهد شد.
• Max Sequence: ارسال یک بسته با مقدار 0x7FFFFFF باعث می شود تا روتر صاحب LSA مکانیزم fight back را به اجرا در آورد، که در تئوری اینگونه است. البته در عمل این تیم مواردی را پیدا کرده اند که بسته ارسالی گاها پاک نمی شود و به مدت یک ساعت در LSDB قرار دارد.
• Bogus LSA : این حمله به باگی در پیاده سازی GateD اشاره دارد. در این حمله نیاز است تا بطور کامل GateD متوقف شده تا LSA مخرب از بین برود و دوباره شروع بکار کند.

 

بصورت کلی سه حمله اول مدنظر خواهد بود به دلیل اینکه حمله شمار چهار بطور حتم فیکس شده است. با توجه به حملاتی که تیم JiNao ارائه داده است افرادی هم ایده و نظراتی برای طراحی یک سیستم IDS باتوجه به این حملات، ارائه داده اند و همچنین مقالات گوناگونی با محتوای JiNao IDS را انتشار داده اند. به دلیل اینکه بحث مان حملات برروی این پروتکل مسیریابی است پس وارد مباحث IDS/IPS نخواهیم شد .