Identità Ospite
L'identità ospite è limitata intimamente a rete. Un ospite non collegato a tutta la rete può avere qualunque nome, perché il nome è usato soltanto localmente. Un ospite collegato ad una rete può avere molti nomi o un nome, secondo come l'interfaccia alla rete è strutturata ed il contesto in cui il nome è usato. Il modello di ISO/OSI fornisce un contesto per l'emissione di chiamare. Ricordi che il modello di ISO/OSI si compone di serie di strati. Ogni ospite, ha concettualmente un principale ad ogni strato che comunica con un pari su altri ospiti. Questi principali comunicano con i principali allo stesso strato su altri ospiti. Ciascuno principale su un ospite specifico può avere nomi differenti (anche chiamati "indirizzi") ad ogni strato. Tutti i nomi identificano lo stesso ospite, ma ogni si riferisce ad un contesto particolare in cui l'ospite funziona.
Shoch suggerisce che "un nome" identifica un principale e "un indirizzo" identifica dove quel principale è individuato. Nel contesto dell'identificazione ospite, "l'indirizzo" indica dove su una rete (e, a volte, sulla rete specifica) l'ospite è situato. "un nome" indica in che dominio l'ospite risiede e corrisponde ad un indirizzo particolare. Anche se la terminologia dello Shoch è istruttiva in molti contesti, in questo contesto una posizione identifica un principale appena così come un nome. Non ci distinguiamo fra i due nel contesto di identificazione. Se un attacker può a spoof l'identità di un altro ospite, tutti i protocolli che contano su quell'identità stanno contando sui locali difettosi e quindi stanno essendo spoofed. Quando un ospite ha una sequenza dei nomi, ciascuno che conta sul nome preceding, allora un attacker che spoofing la prima identità può compromettere tutte le altre identità. Per esempio, l'identità ospite è basata sull'identità del IP. Similmente, l'identità del IP è basata sull'identità di Ethernet. Se un attacker può alterare le entrate nelle basi di dati che contengono il tracciato di un'identità a livello più basso ad un'identità di più alto livello, l'ospite dello spoof uno della latta del attacker da traffico dirigente ad un altro. Contrassegni statici e dinamiciUn contrassegno può essere statico o dinamico. Un contrassegno statico non cambia col tempo; un contrassegno dinamico cambia come conseguenza di un evento (quale un collegamento ad una rete) o di col tempo. Le basi di dati contengono i rilievi fra i nomi differenti. Conosciuto il più bene di questi è il servizio di Domain Name (DNS), che associa i nomi ospite e gli indirizzi del IP. In assenza dell'autenticazione crittografica degli ospiti, la consistenza del DNS è usata per fornire l'autenticazione debole.
La credenza nel trustworthiness del nome ospite in questo caso conta sull'integrità della base di dati di DNS I contrassegni di galleggiante sono assegnati ai principali per un tempo limitato. Tipicamente, un assistente effettua uno stagno dei contrassegni. Un cliente si mette in contatto con l'assistente usando un contrassegno accosentito sopra fra i due (il contrassegno locale). L'assistente trasmette un contrassegno che il cliente può usare in altri contesti (il contrassegno globale) ed informa tutti gli ospiti intermedi (quali i Gateway) dell'associazione fra i contrassegni locali e globali.
Un Gateway può tradurre fra un indirizzo locale e un indirizzo globale.
In assenza del cryptography, l'autenticazione che usando chiamare dinamico è differente dall'autenticazione usando chiamare statico. Il problema primario è che l'associazione dell'identità con un principale varia col tempo, in modo da tutta l'autenticazione basata sul nome deve anche rappresentare il tempo. Per esempio, se le immissioni di record di DNS che corrispondono al nome dinamico non sono aggiornate ogni volta che il nome è riassegnato, il metodo d'inversione di occhiata di dominio di autenticazione viene a mancare.
La tecnica d'inversione di occhiata di dominio dell'autenticazione corrisponde a controllare una proprietà di un principale (che cosa è) con chiamare statico, perché il nome sarà limitato permanente al principale. Ma quella tecnica corrisponde a controllare un possesso di un principale (che cosa ha) con chiamare dinamico, perché il principale cederà quel nome ad un certo punto. Problemi di sicurezza con il servizio di Domain NameCapendo il centrality di fiducia nelle basi di dati che le associazioni record dell'identità con i principali è critiche a capire l'esattezza dell'identità. Il DNS fornisce un esempio di questo. La credenza nel trustworthiness del nome ospite in questo caso conta sull'integrità della base di dati di DNS. Se l'associazione fra un nome ospite e un IP address può essere corrotta, il contrassegno in questione sarà associato con l'ospite errato. Ci sono parecchi attacchi al DNS. L'obiettivo di questi attacchi è di indurre una vittima ad associare in modo errato un IP address particolare con un nome ospite. Presuppongono che il attacker può controllare le risposte da un domain name server autorevole. "il controllo" significa che il attacker ha controllo sopra l'assistente di nome o può intercettare le domande a quell'assistente e restituire le relative proprie risposte. Il attacker può cambiare le annotazioni che associa il IP address con il nome ospite, di modo che una domanda per una restituisce una risposta errata per l'altra. Una seconda tecnica, conosciuta come "l'avvelenamento del nascondiglio," conta sulla capacità di un assistente di aggiungere le annotazioni supplementari di DNS alla risposta ad una domanda. In questo caso, le annotazioni supplementari hanno aggiunto forniscono le informazioni errate di associazione. Schuba usa questo per dimostrare come l'occhiata noma d'inversione può compromettersi. Il attacker collega alla vittima. La vittima interroga il DNS per il nome ospite connesso con il IP address. Il attacker si accerta che due annotazioni siano restituite: un'annotazione con il nome bogus ospite si è associata con il IP address e l'annotazione d'inversione. Il protocollo di DNS permette questo che piggybacking per permettere al cliente di nascondere le annotazioni. Il nascondiglio è controllato prima che tutte le annotazioni siano chieste dall'assistente, in modo da questa può conservare una richiesta della rete. La terza tecnica ("chiedami") è simile: il attacker prepara una richiesta che la vittima deve risolvere interrogando il attacker. Quando la vittima interroga il attacker, il attacker restituisce la risposta, con due annotazioni per il tracciato quel lui sta provando a spoof (uno per il tracciato di andata, uno per l'inverso). L'uso giudizioso delle tecniche cryptographically basate accoppiate con la gestione attenta degli assistenti di DNS può limitare efficacemente la capacità dei attackers di usare questi attacchi. L'infrastruttura di sostegno è in fase di il disegno e sviluppo. ciò è un articolo aggiunto da Fred Foster
|
|||||||||
|