Identidad Del Anfitrión

Share

|

La identidad del anfitrión está limitada íntimo al establecimiento de una red. Un anfitrión no conectado con cualquier red puede tener cualquier nombre, porque el nombre se utiliza solamente localmente. Un anfitrión conectado con una red puede tener muchos nombres o un nombre, dependiendo de cómo el interfaz a la red se estructura y el contexto en el cual se utiliza el nombre.

El modelo de ISO/OSI proporciona un contexto para la aplicación el nombramiento. Recuerde que el modelo de ISO/OSI está compuesto de una serie de capas. Cada anfitrión, tiene conceptual un principal en cada capa que se comunique con un par en otros anfitriones. Estos directors se comunican con los principales en la misma capa en otros anfitriones. Cada uno principal en un anfitrión individual puede tener diversos nombres (también llamados las "direcciones") en cada capa. Todos los nombres identifican el mismo anfitrión, pero cada refiere a un contexto particular en el cual el anfitrión funcione.

EJEMPLO: Una computadora tiene una dirección de Ethernet (capa del Media Access Control, o MAC) de 00:05:02:6B:A8:21, un IP address de 192.168.35.89, y un nombre de anfitrión de cherry.orchard.net. En el nivel de la trasmisión de datos, el sistema es sabido por su dirección de Ethernet. En el nivel de red, es sabido por su IP address. En el nivel del uso, es sabido por su nombre de anfitrión. El sistema está también en una red de Appletalk, con una dirección de Appletalk de la red 51, nodo 235. Otros sistemas en la red de Appletalk identifican el anfitrión por ese nombre.

Shoch sugiere que un "nombre" identifique un principal y una "dirección" identifica donde se localiza ese principal. En el contexto de la identificación del anfitrión, la "dirección" indica donde en una red (y, a veces, la red específica) el anfitrión está situado. Un "nombre" indica en qué dominio reside el anfitrión, y corresponde a una dirección particular. Aunque la terminología de Shoch es instructiva en muchos contextos, en este contexto una localización identifica un principal del mismo modo que como nombre. No distinguimos entre los dos en el contexto de la identificación.

Si un atacante puede al spoof la identidad de otro anfitrión, todos los protocolos que confían en esa identidad están confiando en una premisa culpable y por lo tanto están estando spoofed. Cuando un anfitrión tiene una secuencia de nombres, cada uno que confía en el nombre precedente, entonces un atacante spoofing la primera identidad puede comprometer el resto de identidades. Por ejemplo, la identidad del anfitrión se basa en la identidad del IP. Semejantemente, la identidad del IP se basa en la identidad de Ethernet. Si un atacante puede alterar entradas en las bases de datos que contienen traz de una identidad de nivel inferior a una identidad de alto nivel, el anfitrión del spoof uno de la lata del atacante por tráfico que encamina a otro.

Identificadores estáticos y dinámicos

Un identificador puede ser estático o dinámico. Un identificador estático no cambia en un cierto plazo; un identificador dinámico cambia como resultado un acontecimiento (tal como una conexión a una red) o en un cierto plazo.

Las bases de datos contienen mappings entre diversos nombres. Sabido lo más mejor posible de éstos es el servicio del Domain Name (DNS), que asocia nombres de anfitrión y direcciones del IP. En ausencia de la autentificación criptográfica de anfitriones, la consistencia del DNS se utiliza para proporcionar la autentificación débil.

EJEMPLO: El DNS contiene los expedientes delanteros, que los nombres de anfitrión del mapa en el IP tratan, y el revés registra, que traz direcciones del IP en nombres. Las operaciones de búsqueda reversas del dominio ocurren cuando un proceso extrae el IP address de su par alejado, determinan el nombre de anfitrión asociado (quizás con el DNS), y después obtienen el sistema de direcciones del IP asociadas a ese nombre de anfitrión (otra vez, posiblemente con el DNS). Si el IP address obtenido del par empareja cualesquiera de las direcciones del IP asociadas a ese nombre de anfitrión, después el nombre de anfitrión se acepta como el que esta' obtenido en las primeras operaciones de búsqueda. Si no, se rechaza el nombre de anfitrión como untrusted.

La creencia en el trustworthiness del nombre de anfitrión en este caso confía en la integridad de la base de datos del DNS

Los identificadores flotantes se asignan a los principales por un tiempo limitado. Típicamente, un servidor mantiene una piscina de identificadores. Un cliente entra en contacto con el servidor usando un identificador convenido encendido entre los dos (el identificador local). El servidor transmite un identificador que el cliente pueda utilizar en otros contextos (el identificador global) y notifica cualquier anfitrión intermedio (tal como entradas) de la asociación entre los identificadores locales y globales.

EJEMPLO: La universidad de Bootless proporciona una red a la cual los estudiantes puedan enganchar encima de las computadoras portátiles. Más bien que asigne a cada computadora portátil del estudiante un IP address, la universidad ha creado un servidor de DHCP para esta red. Cuando un estudiante conecta su computadora portátil con la red, la computadora portátil transmite su dirección del MAC (Media Access Control) al servidor. El servidor responde con un IP address inusitado que pertenece a la red. La computadora portátil acepta ese IP address y lo utiliza para comunicarse en el Internet.

Una entrada puede traducir entre una dirección local y una dirección global.

EJEMPLO: La compañía de Zerbche tiene 500 computadoras en una red de área local, pero solamente 256 direcciones del Internet. La red interna asigna como direcciones (fijas) del local las direcciones 10.1.x.y del IP, donde x y y reflejan los detalles internos de la configuración no relevantes aquí. Una entrada conecta la red interna con el Internet. Cuando un usuario en el anfitrión 10.1.3.241 (de la opinión) desea tener acceso al Internet, remite sus paquetes a la entrada. La entrada asigna un IP address legítimo a la dirección interna, local; diga que el IP address es 101.43.21.241. La entrada entonces reescribe la dirección de la fuente de cada paquete, cambiando 10.1.3.241 a 101.43.21.241, y pone los paquetes hacia fuera en el Internet. Cuando la entrada recibe los paquetes destinados para el anfitrión 101.43.21.241, comprueba su tabla interna, reescribe esas direcciones como 10.1.3.241, y los remite a la red interna, y los paquetes van a su destinación. Esta traducción es invisible a cualquier final de la comunicación, y permite hasta un cierto número de anfitriones en la red interna comunicarse con los anfitriones en el Internet. El protocolo de la dirección de red (NACIONAL) se utiliza en el Internet para realizar esta función.

En ausencia de la criptografía, la autentificación que usa el nombramiento dinámico es diferente de la autentificación usando el nombramiento estático. El problema primario es que la asociación de la identidad con un principal varía en un cierto plazo, así que cualquier autentificación basada en el nombre debe también explicar el tiempo. Por ejemplo, si las entradas de registro del DNS que corresponden al nombre dinámico no son actualizadas siempre que se reasigne el nombre, el método reverso de las operaciones de búsqueda del dominio de autentificación falla.

Esta falta no significa necesariamente que se ha comprometido el DNS. Algunos sistemas almacenan la información delantera y reversa de las operaciones de búsqueda en archivos separados. La puesta al día del archivo de información delantero de las operaciones de búsqueda no cambia el archivo de información reverso de las operaciones de búsqueda. A menos que el último se ponga al día también, el problema indicado ocurre.

La técnica reversa de las operaciones de búsqueda del dominio de la autentificación corresponde a comprobar una característica de un principal (cuál es) con el nombramiento estático, porque el nombre está limitado permanentemente al principal. Pero esa técnica corresponde a comprobar una posesión de un principal (qué tiene) con el nombramiento dinámico, porque el director abandonará ese nombre en un cierto punto.

Ediciones de seguridad con el servicio del Domain Name

Entendiendo el centrality de la confianza en las bases de datos que las asociaciones de registro de la identidad con los principales son críticas a entender la exactitud de la identidad. El DNS proporciona un ejemplo de esto. La creencia en el trustworthiness del nombre de anfitrión en este caso confía en la integridad de la base de datos del DNS. Si la asociación entre un nombre de anfitrión y un IP address puede ser corrompida, el identificador en la pregunta será asociado al anfitrión incorrecto.

Hay varios ataques contra el DNS. La meta de estos ataques es hacer a una víctima asociar incorrectamente un IP address particular a un nombre de anfitrión. Asumen que el atacante puede controlar las respuestas de un domain name server autoritario. el "control" significa que el atacante tiene control sobre el servidor de nombres o puede interceptar preguntas a ese servidor y volver sus propias respuestas.

El atacante puede cambiar los expedientes que asocia el IP address al nombre de anfitrión, de modo que una pregunta para una vuelva una respuesta incorrecta para la otra. Una segunda técnica, conocida como "envenenamiento del escondrijo," confía en la capacidad de un servidor de agregar expedientes adicionales del DNS a la respuesta a una pregunta. En este caso, los expedientes adicionales agregaron dan la información incorrecta de la asociación. Schuba utiliza esto para demostrar cómo las operaciones de búsqueda conocidas reversas pueden ser comprometidas. El atacante conecta con la víctima. La víctima pregunta el DNS para el nombre de anfitrión asociado al IP address. El atacante se asegura de que dos expedientes estén vueltos: un expediente con el nombre de anfitrión falso se asoció al IP address, y al expediente reverso. El protocolo del DNS permite esto que lleva a cuestas para permitir al cliente depositar expedientes. Se comprueba el escondrijo antes de que cualquier expediente se pregunte el servidor, así que éste puede ahorrar una petición de la red. La tercera técnica ("pregúnteme") es similar: el atacante prepara una petición que la víctima deba resolver preguntando el atacante. Cuando la víctima pregunta el atacante, el atacante vuelve la respuesta, junto con dos expedientes para traz ese él está intentando al spoof (uno para traz delantero, uno para el revés).

El uso juicioso de las técnicas cryptographically basadas juntadas con la administración cuidadosa de los servidores del DNS puede limitar con eficacia la capacidad de atacantes de utilizar estos ataques. La infraestructura de soporte está en diseño y el desarrollo.