¿Por qué DHCP se considera inseguro?

Question

¿Por qué DHCP se considera inseguro?

#1 de game0ver (1 votos)
#2 de Sayan (1 votos)

3

La mayoría de los lugares en los que he trabajado consideran que DHCP es una mala idea para las redes de administración o las redes "seguras". Tengo curiosidad por saber por qué es eso.

Considera este escenario ...

Hay una red de almacenamiento ISCSI, por ejemplo, 10.1.1.0/24
Los clientes tienen una interfaz para comunicación externa y una segunda interfaz en esta red de almacenamiento ISCSI para acceder a los volúmenes de almacenamiento.

¿No solo estoy agregando complejidad adicional al proceso de aprovisionamiento al requerir que los humanos administren y asignen direcciones IP? Me parece mucho más fácil usar una tecnología existente para este propósito.

Mi lógica es que si un actor malintencionado puede conectarse a la red "segura" y obtener una dirección IP, tiene un problema mucho mayor desde el punto de vista de seguridad que DHCP. En cualquier caso, el dispositivo malintencionado podría simplemente asignar una dirección IP, ya que la mayoría de las redes tienen una puerta de enlace en x.x.x.1 y una máscara de subred de /24 .

network network-access-control dhcp

pregunta thisguy123 12.07.2018 - 23:30

fuente

2 respuestas

Lea otras preguntas en las etiquetas network network-access-control dhcp

¿Cómo puede un certificado SSL reducir la solidez del cifrado? ¿Cuál es la práctica estándar de la industria para guardar un PDF potencialmente (probablemente) malicioso para su análisis?

score 1 · Answer 1

Mi lógica es que si un actor malintencionado puede conectarse a la red "segura" y obtener una dirección IP, tiene un problema mucho mayor desde el punto de vista de seguridad que DHCP

Estoy parcialmente de acuerdo con eso, pero desde el punto de vista de la seguridad de la red, el DHCP puede ser un posible vector de ataque extra para la red interna, por lo que se considera un riesgo. Supongo que DHCP es considerado inseguro porque los atacantes pueden abusar de él. Dos conocidos ataques relacionados con DHCP son los siguientes:

ataque de hambre DHCP
suplantación DHCP que lleva a MITM

En la mayoría de los casos, a través de DHCP, un atacante puede obtener o, en algunos casos, modificar información útil ( no solo cosas triviales como la puerta de enlace ip ) como:

los servidores DNS (por ejemplo, pueden ser útiles para los ataques de suplantación de DNS )
el nombre de dominio
nombres de host del cliente (por ejemplo, que pueden ser útiles para ataques dirigidos )

También en algunas redes, otras cosas también pueden configurarse a través del servidor DHCP como NetworkManager, servidores NETBIOS, servidores NIS, servidores NTP, etc ... Entonces, por ejemplo, al abusar / explotar DHCP es posible que también pueda abusar de esos servicios. Otro ejemplo es shellshock, que también puede ser explotado a través de DHCP.

Supongo que, dado que se sabe que el DHCP es útil para los atacantes, se considera un posible vector de ataque más y es por eso que puede considerarse un riesgo.

score 1 · Answer 2

Sí, el DHCP podría ser otra forma para que el atacante infrinja su seguridad, pero puede que no sea la única fuente.

Por ejemplo, la suplantación de IP podría iniciarse de otras formas y no solo a través de DHCP.

Consulte esta pregunta de la pila: ¿Cómo funciona la suplantación de direcciones IP en Internet? ¿Quién puede hacerlo?

En mi opinión, aún puede utilizar DHCP con un endurecimiento adecuado de la forma en que usa el protocolo DHCP, algunas de estas medidas podrían ser:

DHCP autenticado : puede implementar el mecanismo de autenticación sobre el protocolo DHCP. Consulte: enlace

Filtrado de MAC (habilitado) DHCP : al implementar el enlace o el filtrado de MAC, aumenta la seguridad limitando la asignación de IP del dhcp solo a hosts particulares. Consulte: enlace

Combinación de mecanismo : puede utilizar estos mecanismos de seguridad adicionales en combinación para reforzar la seguridad.

En conclusión, podría ser mejor si puede usar las direcciones IP asignadas a los nodos de la zona segura, pero si tiene una situación en el caso de que tenga que usar DHCP, puede endurecerlo como se explicó anteriormente para usarlo de manera segura .