Attacchi al protocollo IS-IS.
Percorsi falsi.
IS-IS utilizza una metrica obbligatoria e predefinita con un valore massimo del percorso di 1024. Questa metrica è arbitraria e di solito è assegnata dall'amministratore di rete. Ogni singolo canale può avere un valore massimo di 64. La lunghezza dei percorsi viene calcolata sommando i valori dei canali. I valori massimi dei canali sono impostati a questi livelli per fornire granularità per supportare diversi tipi di canali, garantendo al contempo un'efficienza sufficiente dell'algoritmo di ricerca del percorso più breve utilizzato per calcolare il percorso.
IS-IS definisce anche tre metriche aggiuntive (costi) come opzioni per quegli amministratori che ne hanno bisogno. I costi di ritardo (delay) riflettono la quantità di ritardo nel canale. I costi di costo (expense) riflettono i costi di comunicazione associati all'utilizzo di un determinato canale. I costi di errore (error) riflettono il tasso di errore di un determinato canale.
IS - IS garantisce che queste quattro metriche dell'opzione qualità del servizio (quality-of-service – QOS) corrispondano all'intestazione del pacchetto CLNP. Utilizzando questa corrispondenza, IS-IS può calcolare percorsi attraverso la rete combinata.
L'essenza degli attacchi con la creazione di false rotte IS-IS è la creazione di un nodo falso da parte di un utente malintenzionato con costi di canale minimi. Secondo l'algoritmo di calcolo del percorso IS-IS ottimale, tutto il traffico inizia a passare attraverso questo router, a seguito del quale un utente malintenzionato può raccogliere informazioni sensibili.
Una variante di questo attacco è la disattivazione del router is-IS legale attraverso attacchi denial of Service e la sostituzione con un dispositivo falso.
Per implementare i dati ka, un utente malintenzionato deve creare pacchetti IS-IS del formato appropriato.
IS-IS utilizza tre formati di pacchetto di base:
IS-IS hello packets - pacchetti di benvenuto IS-IS;
Link state packets (LSPs) - pacchetti di Stato del collegamento;
Sequence numbers packets (SNPs) - pacchetti di numeri di sequenza.
Ciascuno di questi tre pacchetti IS-IS ha un formato complesso con tre diverse parti logiche. La prima parte è un'intestazione fissa a 8 byte comune a tutti e tre i tipi di pacchetti. La seconda parte è una parte specifica per questo tipo di pacchetto con un formato fisso. La terza parte logica è anche specifica per il tipo di pacchetto, ma è di lunghezza variabile.
Common header Packet-type-specific, fixed header Packet-type-specific, variable-length header
Il primo campo nell'intestazione IS-IS comune è l'identificatore di protocollo (protocol identifier) che identifica il protocollo IS-IS. Questo campo contiene la costante (131).
Il campo successivo dell'intestazione comune è il campo della lunghezza dell'intestazione (header length). Questo campo contiene una lunghezza di intestazione fissa. Questa lunghezza è sempre di 8 byte, ma è inclusa in modo tale che i pacchetti IS-IS differiscano leggermente dai pacchetti CLNP.
Il campo lunghezza è seguito dal campo versione (version), che è uno nella specifica IS-IS corrente.
Dietro il campo versione c'è il campo Lunghezza ID, che determina le dimensioni della parte ID (ID) di NSAP se il suo valore è compreso tra 1 e 8 (incluso). Se il campo contiene null, La parte ID è uguale a 6 byte. Se il campo contiene 255 (una unità), la parte ID è 0 byte.
Il campo successivo è il tipo di pacchetto (packet type) che definisce il tipo di pacchetto IS-IS (hello, LSP o SNP).
Il campo del tipo di pacchetto è seguito nuovamente dal campo della versione.
Il secondo campo della versione è seguito dal campo di riserva (reserved), che è nullo e ignorato dal destinatario.
L'ultimo campo dell'intestazione comune è il campo massimo degli indirizzi dell'area. Questo campo specifica il numero di indirizzi consentiti per questo ambito.
Dietro l'intestazione comune c'è una parte fissa aggiuntiva, diversa per ogni tipo di pacchetto, seguita da una parte variabile.
Un'implementazione di questo attacco consiste nell'utilizzare un costruttore di pacchetti IP "raw".
» Inondazioni " da HELLO-Packages.
Il protocollo IS-IS utilizza HELLO-pacchetti per trasmettere informazioni sulle rotte. Di conseguenza, una forma di implementazione degli attacchi IS-IS è l'implementazione di inondazioni da parte di pacchetti di dati.
L'essenza dell'attacco si riduce al trasferimento di un gran numero di pacchetti HELLO ad altri router, a seguito del quale è possibile un overflow delle tabelle di instradamento su questi dispositivi e il loro guasto temporaneo.
Per implementare questo tipo di attacco, un utente malintenzionato può anche utilizzare il costruttore di pacchetti sopra descritto.
Oleg Petukhov, avvocato nel campo del diritto internazionale e della protezione dei dati personali, specialista nel campo dell'informazione sicurezza, protezione delle informazioni e dei dati personali.
Canale Telegram: https://t.me/protezionedelleinformazioni
Gruppo in telegramma: https://t.me/protezionedelleinformazioni1
Sito: https://legascom.ru
E-mail: online@legascom.ru
#protezionedelleInformazioni #sicurezzadelleinformazioni
