TCP/IP. Transmission Control Protocol/ Internet Protocol

Transcript

1 TCP/IP Transmission Control Protocol/ Internet Protocol!!

2 APPLICATION http, ftp, smtp, ssh http, ftp, smtp, ssh TRANSPORT TCP, UDP Segment TCP, UDP NETWORK IP, ICMP Datagram IP, ICMP LINK ARP Frame ARP "#$"% &' &()*+, ) +, && -., - /("((00% #0#"(1 2'& && )%.&3'&33&3%+32&. && )%4 5.&3 &35 +, "/#(/"1 6"5(/$1 0$1

3 TRANSPORT: a questo livello i protocolli definiscono la modalita secondo la quale mittente e destinatario comunicano. TCP (Transaction Control Protocol) : Connectionoriented, si crea una sessione di comunicazione tra mittente e destinatario che viene instaurata con un accordo iniziale, vengono scambiati I dati e viene conclusa. E affidabile (ritrasmissione dei pacchetti persi). UDP (User Datagram Protocol) : Connection-less, non viene creata una sessione di comunicazione, non esiste un accordo preliminare tra mittente e destinatario, ovvero i pacchetti vengono inviati direttamente dal mittente senza garanzia di consegna. 7 7

4 NETWORK: a questo livello viene gestito lo spostamento dei pacchetti all interno di una rete che normalmente vede la presenza di router tra mittente e destinatario. IP (Internet Protocol) :in particolare permette l instradamento corretto di ogni pacchetto inviato dal mittente fino al destinatario. A questo livello vengono gestiti gli INDIRIZZI IP, ed utilizzati da ogni router per determinare il corretto instradamento. ICMP (Internet Control Message Protocol) : e un protocollo utilizzato per segnalare condizioni di errore o testare la connettivita. 8 8

5 LINK: questo livello ha il compito di interfacciarsi con lo strato di rete fisico (es. Ethernet) e gestire la comunicazione tra schede di rete. ARP (Address Resolution Protocol) : e il protocollo usato per mappare gli indirizzi IP (livello Network) su identificativi fisici delle schede di rete (MAC). Questo protocollo viene utilizzato per l indirizzamento dei pacchetti tra host (mittente-destinatario, mittente-router, router-destinatario) appartenenti ad uno stesso ramo di rete. 9 9

6 INCAPSULAMENTO Implementazione del modello logico a livelli dello stack TCP. TCP Header (20 bytes) IP Header (20 bytes) Frame Header Dati Dati Dati : :

7 IP HEADER bit version 4b head. length 8bit type of service (TOS) 16bit total length (in bytes) 16bit identification 3bit flags 13bit fragment offset 8bit time to live (TTL) 8bit protocol 16bit header checksum 32bit source IP address 32bit destination IP address options, data * 1 ;%8%6.:):+3&'', 1'.-- 74")84<"6+%; =9=>., 1) &. 3%3+ & -"&& 2&-, 1.--? +% ; =:99979 )AA!:+%B? '3 &.? &? )% 6. C!9 &.+, 1' 3!, 1 ' -, 1' 2 &?& % (.&.3!""0%B 2?3, 1' 2 & "/#(/"&. %1!,"1:, 1?. 3&- %;'., 1-- &.% *

8 INDIRIZZI IP Classe Network Bits Host Bits No. di Host A M+ B C Classe A Network Host Classe B Network Host Classe C Network Host D D

9 Classe A B C IP Iniziale IP Finale INDIRIZZI NON INSTRADABILI: Le sottoreti e sono RISERVATE all uso all interno di RETI PRIVATE, non sono indirizzi utilizzabili su Internet. La sottorete 127 e riservata al LOOPBACK: client e server su stessa macchina (normalmente si usa ) E E

10 SOTTORETE (RFC 950, 1985) Classe B NETWORK SUBNET HOST!:bit x bit 16-x bit SUBNET MASK Es , classe B, 16 bit per Network. Dei restanti? Come faccio a sapere quali bit indicano la Subnet e quali indicano l Host?! 1 & -F3& #4?& )!D@.:9@.& +%6?. &. ' )- +% ( & -=>46" 6? -?.. --)% 4+ && & 46"#$%!

11 SUBNET MASK : 1 per Network e Subnet; 0 per Host Classe B NETWORK SUBNET HOST : 255 subnet e 255 host per subnet; : 4095 subnet e 15 host per subnet : 1023 subnet e 63 host per subnet!!!!

12 TCP HEADER bit source port number 16bit destination port number 32bit sequence number 32bit acknowledgment number 4b head. length 6bit (reserved) U R G A C K P S H R S T S Y N F I N 16bit window size 16bit TCP checksum 16bit urgent pointer options, data! 1 %'? && -)#0#"(+. ",& --',! 12-3' & &.%B /#G(, " 1/3' 6;(2. &., 1&?. "3?9, #$%&'(''%')'*1, + ",1G H 3. &?, 1&?., $1) +%!

13 Esempi di Porte ftp 21/tcp File Transfer ssh 22/tcp Secure SHell telnet 23/tcp Telnet [112,JBP] smtp 25/tcp Simple Mail Transfer [102,JBP] http 80/tcp www www-http World Wide Web HTTP pop3 110/tcp Post Office Protocol - Version 3 auth 113/tcp Authentication Service netbios-ssn /tcp NETBIOS Session Service imap2 143/tcp Interim Mail Access Protocol v2 login 513/tcp remote login; unknown 635/tcp unassigned domain 53/udp Domain Name Service domain 53/tcp Domain Name Service!7 1:99793 "G)2?&& :997:C+%' & && )#0#"(+ % -,$./%01/#233450*-/% /1/ ' 6! 5 5! 6,2 0&!83I' J)&+&.??&? )& &+% (&?.!8'&- - K)3'&3.3&3&&733%+% && -&?. &!8% 0 & 1.&1LL%%LL L L&!7

14 TCP FLAGS SYN : richiesta di stabilire una sessione, sempre il primo pacchetto di una comunicazione TCP; ACK : conferma del pacchetto precedente, sia esso dati, SYN o FIN; FIN : indica l intenzione del mittente di terminare la sessione in maniera concordata; RST : reset della sessione; PSH : operazione di push, i dati vengono subito inviati al destinatario senza bufferizzarli; URG : dati urgenti (es. CTRL+C) vengono inviati con precedenza sugli altri;!8!8

15 UDP HEADER bit source port number 16bit destination port number 16bit UDP length 16bit UDP checksum data!9!9

16 ICMP HEADER bit type 8bit code 16bit destination port number data!:!:

17 Esempi di messaggi ICMP TIPO CODICE 0 0 echo reply (risposta al ping) 3 1 host unreachable 3 13 unreachable - admin prohibited 4 0 source quench 8 0 echo request (ping) 11 0 time exceeded in transit!* 1& &, 7!1 2?--? )?3?.?&& &+, 7!71.?#6("/(00"' & & 2&.)-- 3& 3%+ 81 &' 3. '2-, D1&!!1'.""0? -- 2 &.3 ' 2 %!*

18 Client Sessione TCP SYN (ISN C ) Server HANDSHAKE SYN (ISN S ) ACK (ISN C +1) ACK (ISN S +1) Full-duplex Data Stream Terminazione concordata data FIN (ISN C ) ACK (ISN S ) ACK (ISN C ) FIN (ISN S ) ACK (ISN C +1) ACK (ISN S +1)!D (/12&I.. J "3) 2+, 057 1' ) 3#&& + '&C&.? " '?,,1 %B? I J)I 'J+&.? & H#$.& & && -%6. -I J 2 & &.' /")/66"+.&? %!D

19 Analisi del Traffico di Rete HANDSHAKE - STREAM - TERMINATION (in questo caso RESET anziche FIN) tclient.net > tserver.com.23: S : (0) tserver.com.23 > tclient.net.52894: S : (0) ack tclient.net > tserver.com.23:. ack tclient.net > tserver.com.23: P 1:28(27) ack 1 tserver.com.23 > tclient.net.52894: P 1:14(13) ack 1 tserver.com.23 > tclient.net.52894: P 14:23(9) ack 28 tclient.net > tserver.com.23: R 28:28(0) ack 1!E "&1&?'' -- ''.!71F. ) 2#$!+,.8:1H&C %6/(;6M(6 -- '') "&+3#$?.. & -2 -.? &!)2&.'. - +,.*1 %!E

20 Elementi minimi da valutare nell analisi: L handshake e stato completato? Sono stati trasmessi dati? Chi ha iniziato e/o terminato la connessione? 5 1??.. &3'.. & -#6/"# 2% B? &- -- % ' &?.. & &.. N6??NN 1?? '.? && -%, 4 81/ %

21 Specifiche TCP: RFC 793 (Postel, 1981) Ordine di valutazione delle condizioni Un segmento in arrivo che contenga un RESET viene sempre scartato senza alcuna risposta. Se una porta e chiusa Se il segmento in arrivo NON contiene un RESET allora viene inviato come risposta al mittente un pacchetto con il flag RESET attivo. Se una porta e aperta ed e nello stato di listen Se il segmento in arrivo contiene un ACK allora viene risposto un RESET; Se il segmento in arrivo contiene un SYN allora viene inviato come risposta al mittente un pacchetto con i flag SYN ACK attivo; Se nessuno dei precedenti e vero allora il segmento viene scartato senza risposta.! 1 /1-? 3?&, /1-??#""6#, /9/1? %!

22 Cosa succede in questa traccia? abc.com.telnet > efg.net.telnet: ack abc.com.telnet > hil.org.telnet: ack abc.com.imap > efg.net.imap: ack abc.com.imap > hil.org.imap: ack abc.com.ssh > efg.net.ssh: ack abc.com.ssh > hil.org.ssh: ack abc.com.telnet > mno.it.telnet: ack mno.it.telnet > abc.com.telnet : R abc.com.telnet > pqr.it.telnet: ack pqr.it.telnet > abc.com.telnet : R 6 1 &?.. &", O!8 2 -, 2&,?&N&. & )P '?+ 3 ' & -"% 2 N. N & '.? )33%+% /66"'. )&? & 0(60"6+% / 2 N

23 Spiegazione Il PING fornisce la stessa informazione. Perche usare questo e non il ping? Spesso il ping viene impedito dai firewall (si evita che chiunque da Internet possa scoprire gli host attivi nella rete interna). Questi pacchetti invece potrebbero essere fatti passare dal firewall, ad esempio perche scambiati per pacchetti legittimi di un handshake (i terzi dell handshake). Siamo in presenza di un probabile ACK SCAN Scanning: tecniche per acquisire informazioni utili ad un attacco. 7 7

24 Come viene raccolto questo traffico di rete? ANALIZZATORE DI TRAFFICO (SNIFFER, SENSORE, PROBE). Esempio : TCPdump Comunicazione su di una Ethernet ogni computer analizza tutti i pacchetti della sottorete; se un pacchetto non e indirizzato a se stesso, la scheda di rete lo scarta; se il pacchetto e indirizzato a se stesso viene processato dai livelli dello stack TCP )%6.+&. &. -- &).+ &' % B3 & '3&? &.) 0$+ 3? 3 % -- ''323. &' 1 Q'- ''. ).. '-. -%. $+, Q' &. )&5+% 8

25 Internet Sensore1 router subnet subnet C1 router S1 subnet S2 C2 Sensore2 9 B '' N >/0!1 12!8%9%!7, 0!8%9%!7!1 1 "!8%9%9!8%9%!!1 1 9

26 FRAMMENTAZIONE MTU (Maximum Transmission Unit): dimensione massima dei pacchetti ammessi da una rete. Es. Ethernet MTU = 1500 bytes. A B C D E 20 IP header 8 ICMP header ICMP data 1500 bytes 1500 bytes 1000 bytes 4000 bytes : 0 ' - 2.&&.' % 3&? H/#6"#/6 &.&.&?% &1.2)&+8 % 1., D 1., )8D+=7E*1 # 6.)"=!9+' %N :

27 A B C 20 IP header 8 ICMP header 1472 ICMP data 20 IP header D 1480 ICMP data 20 IP header E 1020 ICMP data 1500 bytes 1500 bytes 1020 bytes 4040 bytes * &.&7E* % 0 ' -&?& ")!9 + ' &."/#G#406 32?F6#G6/) +% 0?F6#G6/N3&% (0(0/(H/#6"(#"660?F6#G6/G60 /("((00(G"/#(/")"3+3R0#0"/F#( (0(0?F6#G6/% *

28 IP HEADER bit version 4b head. length 8bit type of service (TOS) 16bit total length (in bytes) 16bit identification 3bit flags 13bit fragment offset 8bit time to live (TTL) 8bit protocol 16bit header checksum 32bit source IP address 32bit destination IP address options, data D 1 ;%8%6.:):+3&'', 1'.-- 74")84<"6+%; =9=>., 1) &. 3%3+ & -"&& 2&-, 1.--? +% ; =:99979 )AA!:+%B? '3 &.? &? )% 6. C!9 &.+, 1' 3!, 1, 1' 2 &?& % (.&.3!""0%B 2?3, 1' 2 & "/#(/"&. %1!,"1:, 1?. 3&- %;'., 1-- &.% D

29 IDENTIFICATION : valore unico per tutti I frammenti di un pacchetto originario che dovra essere riassemblato a destinazione. FLAGS : un bit per indicare more fragments, settato a 1 per tutti I frammenti tranne l ultimo che ha il flag a 0. Un secondo bit per indicare don t fragment, cioe per istruire i router che, se fosse necessaria la frammentazione, il datagram va scartato e non frammentato OFFSET : e l offset dei dati nei diversi frammenti rispetto I dati del datagram originario. E E

30 A B C 20 IP header 8 ICMP header Offset = 0 More Frag = 1 Frag ID = Lung. Dati = ICMP data 20 IP header Offset = 1480 More Frag = 1 Frag ID = Lung. Dati = 1480 D 1480 ICMP data 20 IP header E 1020 ICMP data Offset = 2960 More Frag = 0 Frag ID = Lung. Dati = R'' >. ' % )6"5(/$+?&.?F "/#(/")"3+% 7

31 abc.com > efg.net: icmp: echo request (frag abc.com > efg.net: (frag abc.com > efg.net: (frag Frag ID Dati Offset More fragments 7! ("#/61&' &? -& )+& ).2+% B&.?(0(0/(H/#6"(F#0?F6#G6/G60 0;600(G"/#(/")"3+% 7!

32 Uso del flag don t fragment (DF) abc.com > efg.net: icmp: echo request (DF) router.net > abc.com : icmp: efg.net unreachable - need to frag (mtu 1500) (DF) 7 ' GH' 3?& && ) 8 +3&? 6."=!9 & &.. ' % 7

33 Cosa succede in questa traccia? abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag abc.com. > : (frag ' - )(''=+, ' ' )' H =+, ''&, NNNNNNN!8DE:8889E NNNNNNNNN!8D!8D!8D &. 1' 3&.& '') +%?&N %/%//1/1!E%!:D%!77%> >?& 3?' % 77

34 abc.com frammenti Internet router subnet C1 Sensore1 router BSD subnet '?&. %. -- ''.2. & &? ' ) +% & N&. &. 2 % BN.&& ' & N.? ' - 2' N.?.'' &N 78

35 Spiegazione (prima parte) Frammento iniziale mancante : il frammento iniziale e l unico ad avere l header del livello di TRANSPORT (TCP, UDP, ICMP). Potrebbe essere stato bloccato dalla politica di sicurezza (tipo di servizio vietato). Gli altri frammenti, non avendo header TCP/UDP/ICMP superano la verifica. Frammento finale mancante : nessuna spiegazione, possibile datagram IP manipolato volutamente

36 Spiegazione (seconda parte) Offset ripetuti : molti frammenti passano attraverso il firewall e raggiungono l host di destinazione. Consideriamo meglio l IP address di destinazione: > broadcast per sistemi operativi BSD. Nel nostro esempio abbiamo un router BSD che: - riceve i frammenti e li mantiene in cache in attesa di riassemblare il datagram originale; - frammento iniziale e finale non arrivano impedendo il riassemblaggio; - molti frammenti con stesso FRAG ID continuano ad arrivare, impedendo il time-out del router; 7: 0?--K%<%M%??-- && ' 4G #?--K%<%M%99??-- & & C% &.?-- K%<%M%)K%<%M% '- 3 &--. K%<%M )!E%!:D%!77&+% 7:

37 Spiegazione (conclusione) Il router BSD non va in time-out -> overload - la capacita di routing del traffico regolare si degrada fino ad annullarsi. Quindi: DENIAL OF SERVICE - attacco portato con successo; - politica di sicurezza perimetrale non efficace; - complessita nel gestire la frammentazione. 7* 0?--K%<%M%??-- && ' 4G #?--K%<%M%99??-- & & C% &.?-- K%<%M%)K%<%M% '- 3 &--. K%<%M )!E%!:D%!77&+% 7*