Dold kanal

Inom datorsäkerhet är en hemlig kanal en typ av attack som skapar en förmåga att överföra informationsobjekt mellan processer som inte är tänkta att tillåtas kommunicera av datasäkerhetspolicyn . Termen, som har sitt ursprung 1973 av Butler Lampson , definieras som kanaler "inte avsedda för informationsöverföring alls, såsom tjänsteprogrammets effekt på systembelastningen ", för att skilja det från legitima kanaler som är föremål för åtkomstkontroller av COMPUSEC .

Egenskaper

En hemlig kanal kallas så eftersom den är dold från åtkomstkontrollmekanismerna i säkra operativsystem eftersom den inte använder datorsystemets legitima dataöverföringsmekanismer (vanligtvis läs och skriv) och därför inte kan upptäckas eller kontrolleras av säkerhetsmekanismer som ligger till grund för säkra operativsystem. Hemliga kanaler är oerhört svåra att installera i riktiga system och kan ofta upptäckas genom att övervaka systemets prestanda. Dessutom lider de av ett lågt signal-brusförhållande och låga datahastigheter (vanligtvis i storleksordningen några bitar per sekund). De kan också tas bort manuellt med en hög grad av säkerhet från säkra system genom väletablerade strategier för hemlig kanalanalys.

Hemliga kanaler skiljer sig från, och förväxlas ofta med, legitim kanalexploatering som angriper pseudosäkra system med låg säkerhet med hjälp av scheman som steganografi eller ännu mindre sofistikerade scheman för att dölja förbjudna objekt inuti legitima informationsobjekt. Det legitima kanalmissbruket genom steganografi är specifikt inte en form av hemlig kanal. [ citat behövs ]

Hemliga kanaler kan tunnla genom säkra operativsystem och kräver speciella åtgärder för att kontrollera. Dold kanalanalys är det enda beprövade sättet att kontrollera hemliga kanaler. [ citat behövs ] Däremot kan säkra operativsystem lätt förhindra missbruk av legitima kanaler, så att skilja båda är viktigt. Analys av legitima kanaler för dolda objekt framställs ofta felaktigt som den enda framgångsrika motåtgärden för legitim kanalmissbruk. Eftersom det handlar om analys av stora mängder mjukvara visade det sig redan 1972 att det var opraktiskt. Utan att bli informerad om detta, vilseleds vissa att tro att en analys kommer att "hantera risken" med dessa legitima kanaler.

TCSEC-kriterier

Trusted Computer Security Evaluation Criteria ( TCSEC) var en uppsättning kriterier, som nu har avvecklats, som hade fastställts av National Computer Security Center , en byrå som förvaltas av USA:s nationella säkerhetsbyrå .

Lampsons definition av en hemlig kanal parafraserades i TCSEC specifikt för att hänvisa till sätt att överföra information från en högre klassificeringsavdelning till en lägre klassificering. I en delad processmiljö är det svårt att helt isolera en process från de effekter en annan process kan ha på verksamhetsmiljön. En hemlig kanal skapas av en avsändarprocess som modulerar något tillstånd (såsom ledigt utrymme, tillgänglighet av någon tjänst, väntetid för att exekvera) som kan detekteras av en mottagningsprocess.

TCSEC definierar två typer av hemliga kanaler:

  • Lagringskanaler - Kommunicera genom att ändra en "lagringsplats", till exempel en hårddisk.
  • Timingkanaler - Utför operationer som påverkar den "verkliga svarstiden som observeras" av mottagaren.

TCSEC, även känd som Orange Book , kräver att analys av hemliga lagringskanaler ska klassificeras som ett B2-system och analys av hemliga tidtagningskanaler är ett krav för klass B3.

Timing kanaler

Användningen av fördröjningar mellan paket som överförs över datornätverk undersöktes först av Girling för hemlig kommunikation. Detta arbete motiverade många andra verk att etablera eller upptäcka en hemlig kommunikation och analysera de grundläggande begränsningarna för sådana scenarier.

Identifiera hemliga kanaler

Vanliga saker, såsom existensen av en fil eller tid som används för en beräkning, har varit det medium genom vilket en hemlig kanal kommunicerar. Hemliga kanaler är inte lätta att hitta eftersom dessa medier är så många och används ofta.

Två relativt gamla tekniker är fortfarande standarden för att lokalisera potentiella hemliga kanaler. En arbetar genom att analysera resurserna i ett system och andra fungerar på källkodsnivå.

Eliminera hemliga kanaler

Möjligheten för hemliga kanaler kan inte elimineras, även om den kan minskas avsevärt genom noggrann design och analys.

Detekteringen av en hemlig kanal kan försvåras genom att använda egenskaper hos kommunikationsmediet för den legitima kanalen som aldrig kontrolleras eller granskas av legitima användare. Till exempel kan en fil öppnas och stängas av ett program i ett specifikt, tidsbestämt mönster som kan detekteras av ett annat program, och mönstret kan tolkas som en sträng av bitar som bildar en hemlig kanal. Eftersom det är osannolikt att legitima användare kommer att leta efter mönster av filöppnings- och stängningsoperationer, kan denna typ av hemlig kanal förbli oupptäckt under långa perioder.

Ett liknande fall är hamnknackning . I vanliga kommunikationer är tidpunkten för förfrågningar irrelevant och oövervakad. Hamnknackning gör det betydande.

Data gömmer sig i OSI-modellen

Handel och Sandford presenterade forskning där de studerar hemliga kanaler inom den allmänna utformningen av nätverkskommunikationsprotokoll. De använder OSI-modellen som grund för sin utveckling där de karaktäriserar systemelement som har potential att användas för att dölja data. Det antagna tillvägagångssättet har fördelar jämfört med dessa eftersom standarder som står i motsats till specifika nätverksmiljöer eller arkitekturer beaktas.

Deras studie syftar inte till att presentera idiotsäkra steganografiska scheman. Snarare fastställer de grundläggande principer för att data döljer sig i vart och ett av sju OSI-lager . Förutom att föreslå användningen av de reserverade fälten av protokollhuvuden (som är lätt att upptäcka) vid högre nätverkslager, föreslår de också möjligheten av tidskanaler som involverar CSMA/CD-manipulation på det fysiska lagret.

Deras arbete identifierar hemliga kanalförtjänster som:

  • Detekterbarhet: Dold kanal måste endast kunna mätas av den avsedda mottagaren.
  • Oskiljbar: Hemlig kanal måste sakna identifiering.
  • Bandbredd: antal datadöljande bitar per kanalanvändning.

Deras hemliga kanalanalys tar inte hänsyn till frågor som interoperabilitet mellan dessa datadöljningstekniker med andra nätverksnoder, uppskattning av hemlig kanalkapacitet, effekten av att data döljer sig på nätverket i termer av komplexitet och kompatibilitet. Dessutom kan teknikernas generella karaktär inte helt motiveras i praktiken eftersom OSI-modellen inte existerar i sig i funktionella system.

Data gömmer sig i LAN-miljö via hemliga kanaler

Som Girling först analyserar hemliga kanaler i en nätverksmiljö. Hans arbete fokuserar på lokala nätverk (LAN) där tre uppenbara hemliga kanaler (två lagringskanaler och en tidskanal) identifieras. Detta visar de verkliga exemplen på bandbreddsmöjligheter för enkla hemliga kanaler i LAN. För en specifik LAN-miljö introducerade författaren begreppet en telefonavlyssning som övervakar aktiviteterna för en specifik sändare på LAN. De i hemlighet kommunicerande parterna är sändaren och telefonavlyssaren. Den hemliga informationen enligt Girling kan kommuniceras på något av följande uppenbara sätt:

  1. Genom att observera adresserna som närmade sig av sändaren. Om det totala antalet adresser som en avsändare kan närma sig är 16, så finns det en möjlighet att hemlig kommunikation har 4 bitar för det hemliga meddelandet. Författaren kallade denna möjlighet som en hemlig lagringskanal eftersom den beror på vad som skickas (dvs vilken adress avsändaren kontaktar).
  2. På samma sätt skulle den andra uppenbara lagringshemliga kanalen bero på storleken på ramen som skickas av avsändaren. För de 256 möjliga storlekarna skulle mängden hemlig information som dechiffreras från en storlek på ramen vara 8 bitar. Återigen kallades detta scenario som den hemliga lagringskanalen.
  3. Det tredje scenariot som presenteras använder närvaron eller frånvaron av meddelanden. Till exempel "0" för ett udda meddelandetidsintervall, "1" för jämnt.

Scenariot sänder hemlig information genom en "när-sänds"-strategi som därför benämns som en hemlig tidskanal. Tiden för att överföra ett datablock beräknas som en funktion av mjukvarans bearbetningstid, nätverkshastighet, nätverksblockstorlekar och protokolloverhead. Om man antar att block av olika storlekar sänds på LAN, beräknas mjukvaruoverhead i genomsnitt och ny tidsutvärdering används för att uppskatta bandbredden (kapaciteten) för hemliga kanaler. Arbetet banar väg för framtida forskning.

Data gömmer sig i TCP/IP-protokollsviten av hemliga kanaler

En artikel publicerad av Craig Rowland fokuserar på IP- och TCP-rubrikerna för TCP/IP-protokollsviten och utformar korrekta kodnings- och avkodningstekniker genom att använda IP-identifieringsfältet, TCP:s initiala sekvensnummer och fält för bekräftelse av sekvensnummer. Dessa tekniker är implementerade i ett enkelt verktyg skrivet för Linux-system som kör version 2.0-kärnor.

Rowland tillhandahåller ett proof of concept såväl som praktiska kodnings- och avkodningstekniker för utnyttjande av hemliga kanaler med hjälp av TCP/IP-protokollsviten. Dessa tekniker analyseras med hänsyn till säkerhetsmekanismer som brandväggsnätverksadressöversättning.

Det är dock tveksamt att dessa hemliga kommunikationstekniker inte kan upptäckas. Till exempel, ett fall där sekvensnummerfältet för TCP-huvudet manipuleras, antas kodningsschemat så att varje gång samma alfabet kommuniceras i hemlighet, kodas det med samma sekvensnummer.

Dessutom kan användningarna av sekvensnummerfältet såväl som bekräftelsefältet inte göras specifika för ASCII-kodningen av det engelska alfabetet som föreslagits, eftersom båda fälten tar hänsyn till mottagandet av databytes som hänför sig till specifika nätverkspaket.

Efter Rowland publicerade flera författare i den akademiska världen mer arbete om hemliga kanaler i TCP/IP-protokollsviten, inklusive en uppsjö av motåtgärder, allt från statistiska metoder till maskininlärning. Forskningen om hemliga nätverkskanaler överlappar domänen för nätverkssteganografi, som dök upp senare.

Se även

  1. ^ Lampson, BW, en anmärkning om instängningsproblemet. Meddelanden från ACM, okt. 1973.16(10):s. 613-615. [1]
  2. ^ a b Planeringsstudie för datorsäkerhetsteknologi (James P. Anderson, 1972)
  3. ^ NCSC-TG-030, Hemlig kanalanalys av betrodda system (ljusrosa bok), 1993 från publikationer för USA:s försvarsdepartement (DoD) Rainbow Series .
  4. ^ 5200.28-STD , Trusted Computer System Evaluation Criteria (Orange Book), 1985 Arkiverad 2006-10-02 på Wayback Machine från DoD Rainbow Series- publikationerna.
  5. ^     FLICKA, GRÅ (februari 1987). "Dolda kanaler i LAN". IEEE-transaktioner på mjukvaruteknik . SE-13 (2): 292–296. doi : 10.1109/tse.1987.233153 . S2CID 3042941 . ProQuest 195596753 .
  6. ^ Döljer data i OSI-nätverksmodellen Arkiverad 2014-10-18 på Wayback Machine , Theodore G. Handel och Maxwell T. Sandford II (2005)
  7. ^ Hemliga kanaler i TCP/IP-protokollsviten Arkiverad 2012-10-23 på Wayback Machine , 1996 Papper av Craig Rowland om hemliga kanaler i TCP/IP-protokollet med proof of concept-kod.
  8. ^    Zander, S.; Armitage, G.; Branch, P. (2007). "En kartläggning av hemliga kanaler och motåtgärder i datornätverksprotokoll". IEEE kommunikationsundersökningar och självstudier . IEEE. 9 (3): 44–57. doi : 10.1109/comst.2007.4317620 . hdl : 1959.3/40808 . ISSN 1553-877X . S2CID 15247126 .
  9. ^    Information som döljer sig i kommunikationsnätverk: grunder, mekanismer, tillämpningar och motåtgärder . Mazurczyk, Wojciech., Wendzel, Steffen., Zander, Sebastian., Houmansadr, Amir., Szczypiorski, Krzysztof. Hoboken, NJ: Wiley. 2016. ISBN 9781118861691 . OCLC 940438314 . {{ citera bok }} : CS1 underhåll: andra ( länk )
  10. ^    Wendzel, Steffen; Zander, Sebastian; Fechner, Bernhard; Herdin, Christian (april 2015). "Mönsterbaserad undersökning och kategorisering av nätverkstekniker för hemliga kanaler". ACM Computing Surveys . 47 (3): 50:1–50:26. arXiv : 1406.2901 . doi : 10.1145/2684195 . ISSN 0360-0300 . S2CID 14654993 .
  11. ^     Cabuk, Serdar; Brodley, Carla E .; Shields, Clay (april 2009). "IP Covert Channel Detection". ACM-transaktioner om informations- och systemsäkerhet . 12 (4): 22:1–22:29. CiteSeerX 10.1.1.320.8776 . doi : 10.1145/1513601.1513604 . ISSN 1094-9224 . S2CID 2462010 .

Vidare läsning

externa länkar

Hämtad från " https://en.wikipedia.org/w/index.php?title=Covert_channel&oldid=1137213739 "