Телекоммуникационные технологии.Сети TCP-IP


Изменение конфигурации или состояния узла - часть 2


Сброс TCP-соединения

Если узел А установил соединение с узлом В, то злоумышленник может принудить узел А преждевременно закрыть это соединение. Для этого злоумышленник может послать узлу А от имени В сфальсифицированный RST-сегмент или ICMP-сообщение Destination Unreachable.

Для формирования приемлемого для узла А RST-сегмента злоумышленник должен подслушивать соединение для того, чтобы поместить в RST-сегмент номер SN, находящийся в рамках доступного окна узла В, иначе узел А сфабрикованный сегмент проигнорирует.

Реакция TCP-модуля узла А на получение ICMP-сообщений Destination Unreachable четко не определена стандартами, хотя документ RFC-1122 утверждает, что уровень IP должен передать соответствующее сообщение модулю TCP, а тот в свою очередь обязан на него как-то прореагировать. Также RFC-1122 говорит, что при получении такого сообщения с кодом 2 (Protocol Unreachable) или 3 (Port Unreachable) модулю TCP следует ликвидировать соединение, к которому это сообщение относится4.

4 Напомним, что информация, необходимая для определения того, к какому соединению относится оригинальная дейтаграмма, вызвавшая отправку ICMP-сообщения, возвращается в этом сообщении в виде заголовка и первых 8 октетов оригинальной дейтаграмдатаграммы.

Принуждение к передаче данных на заниженной скорости

Злоумышленник может вынудить модуль TCP узла А снизить скорость передачи данных узлу В в TCP-соединении следующими способами.

  • Отправка узлу А от имени промежуточного маршрутизатора ложного сообщения ICMP Source Quench. RFC-1122 утверждает, что уровень IP должен проинформировать модуль TCP о получении этого сообщения, а последний обязан отреагировать уменьшением скорости отправки данных, причем рекомендуется, чтобы модуль TCP перешел в режим медленного старта, как после срабатывания таймера повторной передачи.
  • Отправка узлу А от имени промежуточного маршрутизатора ложных сообщений ICMP Destination Unreachable: Datagram Too Big. При использовании алгоритма Path MTU Discovery модуль TCP, получая такие сообщения, будет уменьшать размер отправляемых сегментов до числа, указанного в ICMP-сообщении, или пока не достигнет установленного минимума. Если строго следовать стандарту, то минимальный размер датаграммы, которую любой модуль IP обязан передать без фрагментации, — 68 октетов. В этом случае, если в IP- и TCP-заголовках не используется опций, полезная нагрузка составит 28 октетов на сегмент. Кроме того, при получении сообщения Datagram Too Big включается режим медленного старта, хотя и без уменьшения значения окна cwnd.
  • Отправка узлу А от имени узла В ложных дубликатов TCP-подтверждений. Таким образом злоумышленник вынудит узел А, во-первых, включить алгоритм быстрой повторной передачи и посылать заново уже полученные узлом В сегменты, во-вторых, — перейти в режим устранения затора, уменьшив скорость отправки данных.




- Начало -  - Назад -  - Вперед -



Книжный магазин