Thuyết trình giao thức OSPF (bảo mật thông tin)

Bảo Mật Thông Tin

Nguyễn Minh Luân
Huỳnh Minh Đại
Khiết
Nguyễn Quang Hà
Lê Phương Thành

1

Cô Hảo Thiên
Nguyễn Thanh
Dương Hiếu Hà


2

Nội dung chính

01
02
03
04

Giới thiệu khái quát về OSPF
Các kẻ tấn công, mục tiêu của chúng và hậu quả

3
8

Các loại tấn công và cách thức giảm thiểu chúng 12

Demo video

27


3

01

Giới thiệu khái quát về
OSPF


4

1.1 Tổng quan về OSPF
 IETF đề nghị tiêu chuẩn cho IGP
 IETF (Internet Engineering Task Force) tạm dịch là
Lực Lượng Quản Lý Kỹ Thuật.
 IGP (Interior Gateway Protocol) là một giao thức
dùng để trao đổi thông tin định tuyến giữa các
Gateway  với các AS( Autonomous System).


5

1.1 Tổng quan về OSPF
 IGP được chia làm hai loại đó là : link-state và
distance-vector. 
 IGP được sử dụng phổ biến trong các doanh nghiệp

và các mạng lưới ISP.
 Internet Service Provider (ISP) là thuật ngữ dùng
cho các công ty có thể cung cấp cho bạn quyền
truy cập sử dụng Internet.


6

1.1 Tổng quan về OSPF
 Giao thức OSPF là giao thức định tuyến động thuộc
nhóm Link State.
 Trên mỗi Router (bộ định tuyến) đều có bản đồ mạng
của cả vùng (bảng định tuyến).
 Từ bảng định tuyến này Router sẽ tự tính toán ra
đường đi ngắn nhất và xây dựng bảng định tuyến cho
nó.
 Giao thức OSPF được sử dụng rộng rãi trong các công ty
cho hệ thống mạng lớn.


7

1.2 Thế mạnh an ninh của OSPF
 Liên kết hai chiều.
 Xác thực mật mã.


8

02

Các kẻ tấn công, mục tiêu
của chúng và hậu quả


9

2.1 Các kẻ tấn công
Remote attackers – Các kẻ tấn công từ xa.
Compromised routers – Xâm nhập bộ định tuyến.


10

2.2 Mục tiêu của kẻ tấn công
Bắt truy cập để lấy những thông tin cần thiết nhưng
không bị phát hiện.
Tấn công từ chối dịch vụ (DoS).
Denial of Service (DoS): Tấn công từ chối dịch vụ là
một sự kiện bảo mật xảy ra khi kẻ tấn công có hành
động ngăn cản người dùng hợp pháp truy cập hệ
thống máy tính, thiết bị hoặc các tài nguyên mạng
khác.


11

2.3 Hậu quả của những cuộc tấn công
Eavesdropping (Man-in-the-middle) – Nghe lén hay xen gi ữa
Black holes – các Lỗ Đen

Delay – Trì hoãn: kỹ thuật tấn công time-delay.
Loops – Vòng lặp
Partition – Phân tách
Congestion in the network – tắc nghẽn mạng.
Delayed or no convergence of routing tables – Trì hoãn hoặc
không hội tụ các bảng định tuyến.
Resource shortages on the routers – Thiếu hụt nguồn trên các bộ
định tuyến.


12

03

Các loại tấn công và cách
thức giảm thiểu chúng


13

Tấn công từ xa
Cách thức tấn công:
Cách thức giảm thiểu:
Các kẻ tấn công từ xa không ở Kiểm tra cấu hình sau trên
trong miền định tuyến của
liên kết trực tiếp với máy
bạn tung ra các cuộc tấn công.
khách.
Các cuộc tấn công có thể thực Sử dụng Passive Interface
hiện bởi sự cấu hình sai.

(giao diện bị động) khi cần
Thường giả định chứng thực
thiết.
NULL hoặc chìa khóa bí mật bị RPF (Reverse Path
crack.
Forwarding).
TTL security.


14

Xâm nhập bộ định tuyến
Cách thức tấn công:
Cách thức giảm thiểu:
Gửi thông tin giả trong các
 SPF - Shortest Path First
LSA chúng sở hữu.
(thuật toán đường đi ngắn
Ngưng hoạt động chính nó.
nhất) là một thuật toán
Lặp lại nhiều lần các LSA mới.
Dijiktra để xây dựng các bảng
Dẫn đến các sóng mạng:
định tuyến.
 Định tuyến lại bảng định
 OSPF sử dụng SPF trong OSPF
tuyến.
MIB (Management
 Làm ngập các LSA.
Information Base - Cơ sở

thông tin quản lý)


15

Xâm nhập bộ định tuyến giả mạo ASBR
Cách thức giảm thiểu:
 Giả mạo như một ASBR (Autonomous  NMS nên kiểm tra tính nhất quán
giữa LSDB và cấu hình dự định
System Boundary Router)
 Nó cho phép bộ định tuyến đưa các
của các hộp trong mạng.
 Bạn sẽ chú ý nếu có một ASBR
LSA bên ngoài vào miền OSPF.
 Kẻ tấn công gửi các LSA bên ngoài
ngoài ý muốn trong mạng.
làm cho chính nó là lựa chọn tốt
nhất.
Hạn chế:
 Hậu quả:
Khu vực ảnh hưởng có giới hạn.
 Làm gián đoạn lưu lượng truy cập
bên ngoài AS.
 Làm cho chính nó trở thành kẻ
nghe lén (Man-in-the-middle).

Cách thức tấn công:


16

MaxAge LSAs
Cách thức tấn công:
 Một lỗi độc hại của phần cứng
hoặc phần mềm sửa đổi các
LSA đến MaxAge.
 Dẫn đến sóng mạng:
 Black-holing của các lưu
lượng truy cập có liên quan.
 Định tuyến lại bảng định
tuyến.
 Ngập tràn LSA.

Cách thức giảm thiểu:
 Nếu có sẵn bẫy phản công, tình
huống này có thể được phát
hiện.
 Hành động khắc phục hậu quả
có thể được thực hiện sau khi
phân tích nguyên nhân.


Remote false adjacency
Tấn công giả dạng kế cận từ xa

17

Cách thức tấn công:
Cách thức giảm thiểu:
 Chiếm lấy router bị xâm nhập  Các khóa trên các mạng khác

và các khóa tương tự nhau
nhau.
 Sử dụng bảo mật TTL.
trên toàn bộ mạng hoặc các
khóa NULL.
 Tạo những router ma.
 Các router ma có thể quảng
cáo các LSA để gây ảnh hưởng
bảng định tuyến.
 Black-hole lưu lượng truy
cập, …


Remote false adjacency
Tấn công giả dạng kế cận từ xa

18


19

Seq++ Attack – Tấn công dạng chuỗi
Cách thức tấn công:
Router bị xâm nhập gửi một LSA cho nạn nhân với một chuỗi số
LS cao hơn chuỗi LS hiện tại và thông tin giả mạo.
Ảnh hưởng:
 Ảnh hưởng đến các bảng định tuyến của các router khác vì nó
là một LSA mới.
 Các vòng lặp(loops), black holing, định tuy ến dữ liệu h ướng v ề
chính nó.

20

Seq++ Attack - Tấn công dạng chuỗi
Cách thức tấn công:
Tiêu chuẩn OSPF:
 Một router sẽ không bao giờ phát ra LSA nhanh hơn một lần
mỗi MinLSInterval (5 giây).
 Kẻ tấn công làm ngập miền OSPF với các LSA độc hại có tốc
độ cao hơn một MinLSInterval.
 Thường xuyên thay đổi trong miền định tuyến.


21

Seq++ Attack - Tấn công dạng chuỗi
Cách thức giảm thiểu:
Khi nhận LSA giả mạo, router nạn nhân phản công.
Tấn công router cần nhiều lần gửi các LSA mới.
Nếu có các bẫy phản công:
 Một số lượng lớn các bẫy sẽ được cung cấp.
 Quản trị viên có thể được cảnh báo về vấn đề mạng.
 Có thể được đẩy mạnh hơn nữa.


Disguised - LSA
Giả dạng LSA

22

Cách thức tấn công:

Router bị xâm nhập gửi một LSA cho router nạn nhân
Số thứ tự (Sequence number) của LS và của checksum
(kiểm tra lỗi) là như nhau nên cơ chế phản công không
được kích hoạt.
Tốt hơn so với những cuộc tấn công trước.
Tổn hại cơ sở dữ liệu LS.
Ảnh hưởng bảng định tuyến.


Disguised - LSA
Giả dạng LSA

Cách thức giảm thiểu:

Phát hiện:
Các bẫy phản công sẽ được cung cấp nhưng ở một
tần suất thấp hơn (mỗi nửa tiếng một lần).
Phòng ngừa:
Làm ngẫu nhiên các số thứ tự (Sequence number)
OSPF LSA.

23


Disguised - LSA
Giả dạng LSA

24


Persistent Poisoning
Đánh độc lâu dài

25

Cách thức tấn công:
Một router bị xâm nhập gửi một LSA cho router nạn
nhân khớp với LS ID nhưng không có ADV Router ID.
ADV router là OSPF router ID được router quảng bá
là các Neighbor Router ID.
Cơ chế phản công không được kích hoạt.
Tính toán bảng định tuyến sử dụng LSA độc hại thay vì
LSA từ router nạn nhân.