Siempre pensé que NAT era una especie de característica de seguridad y sigo pensando que sí, porque si no existiera Internet, los clientes detrás de los NAT, respectivamente, serían aún más inseguros, ya que, por ejemplo, el puerto 445 sería directamente abierto a todos los clientes de escaneo, etc.
Pero parece que hay algunos ataques, en los que todo lo que necesita saber el atacante es la dirección IP de la WAN.
¿Cuál?
Suponiendo que el enrutador de su casa esté configurado para negar todas las conexiones entrantes, los ataques más fáciles para obtener acceso remoto a la LAN aprovechan la LAN en sí.
Abrir WiFi: si se puede acceder a la LAN a través de WiFi no segura, y el enrutador tiene una contraseña predeterminada, es trivial iniciar sesión en el enrutador y habilitar algunos puertos de entrada. Obviamente requiere proximidad física.
"Drive by pharming" : engaña a un usuario de la LAN para que ejecute el código (java applet) que inicia sesión en el enrutador (nuevamente, asumiendo una contraseña predeterminada o fácil de descifrar) y habilita algunos puertos de entrada.
Si el atacante puede MITM su conexión web, podría modificar las páginas mientras navega para inyectar el ataque de pharming listado en # 2 para abrir puertos en su enrutador.
Para ciertos enrutadores vulnerables: con acceso a su LAN, incluso si tiene una contraseña de administrador segura configurada, un atacante puede usar nombres de host creativos al registrar DHCP para envenenar su caché DNS o posiblemente inyectar XSS en el enrutador interfaz de administración.
Nuevamente, para ciertos enrutadores vulnerables: con acceso a su LAN, un atacante puede rastrear su sesión de autenticación para obtener la contraseña del enrutador.
Ataques CSRF: visita una página web malintencionada que intenta CSRF en el área de administración de su enrutador. (Para ciertos enrutadores vulnerables con la contraseña predeterminada establecida, o si ya está autenticado en el enrutador en esa sesión del navegador).
CSRF combinado con vulnerabilidad de omisión de autenticación. Algunos enrutadores tienen errores en la interfaz de administración web que procesan solicitudes no autenticadas.
Consulte este documento ( archivo web ) para obtener información sobre algunos de los ataques en la lista anterior.
Puede haber ataques contra el NAT del enrutador que causan DoS pero no acceso remoto a la LAN. No he enumerado ninguno de estos.
Ya hay algunas buenas listas de problemas de seguridad aquí. Sin embargo, todavía no he visto a nadie mencionar NAT Pinning .
Citado en el sitio de Samy Kamkar sobre cómo funciona la fijación de NAT:
- El atacante atrae a la víctima a una URL al convencerla de que hay fotos de lindos gatitos en la página.
- La víctima hace clic en la URL y abre la página.
- La página tiene un formulario oculto que se conecta a enlace (puerto IRC).
- El cliente (víctima) envía el formulario sin saberlo. Se crea una conexión HTTP con el servidor IRC (falso).
- El servidor de IRC falso, dirigido por el atacante, simplemente escucha, a diferencia de mí, según las ex novias.
- El formulario también tiene un valor oculto que envía: "PRIVMSG samy: \ 1DCC CHAT samy [ip en decimal] [puerto] \ 1 \ n"
- Su enrutador, que le está haciendo un favor, ve una "conexión IRC" (aunque su cliente está hablando en HTTP) y un intento de un "chat DCC". Los chats de DCC requieren abrir un puerto local en el cliente para que el chateador remoto pueda conectarse de nuevo a usted.
- Como el enrutador está bloqueando todas las conexiones entrantes, decide reenviar cualquier tráfico al puerto en el "chat de DCC" para permitirle el cruce de NAT para que el atacante amigable pueda conectarse y "chatear" con usted. Sin embargo, el atacante especificó que el puerto es, por ejemplo, el puerto 21 (FTP). El puerto del enrutador reenvía 21 al sistema interno de la víctima. El atacante ahora tiene una ruta clara para conectarse con la víctima en el puerto 21 y lanzar un ataque, descargando las fotos de gatitos lindos altamente clasificados de la víctima.
NAT en los enrutadores domésticos suele permitir todas las conexiones salientes iniciadas por el usuario desde la LAN. Normalmente, NAT se empareja con UPnP para permitir que los usuarios / hosts / servicios abran los puertos necesarios de salida según sea necesario.
Por lo general, no hay restricciones para iniciar conexiones salientes para que la conexión sea lo más fácil posible.
Si considera los siguientes factores comunes a las implementaciones de enrutadores domésticos:
Un ataque que explota la forma en que NAT funciona en enrutadores domésticos, en lugar de un ataque directo a NAT en sí mismo, es simplemente un ataque de phishing (lanza) contra un usuario en la LAN.
Ejemplo: un PDF empaquetado en el que es probable que el usuario haga clic y luego ejecute código para llamar a casa, podrá iniciar una conexión de salida que permita al atacante utilizar el canal inverso para explotar aún más el host de LAN, según sea necesario .
Nota: Esto viene de mi experiencia con enrutadores domésticos (Billion, Linksys) que ejecutan el firmware predeterminado. Si un usuario doméstico implementa un Cisco 877 o Linksys ejecutando firmware personalizado, podrían aplicarse controles de seguridad adicionales.
Si NAT es todo lo que está usando, no proporciona mucha seguridad.
Por ejemplo, si tiene un servidor que se ejecuta en el puerto 445 y tiene NAT en Internet, un atacante ni siquiera necesita saber que está en NAT: la NAT le permitirá conectarse Para ello, en cualquier IP y puerto se muestran a Internet.
Esto ni siquiera cuenta como un ataque a NAT. NAT es irrelevante aquí.
La pieza que le dará seguridad es la funcionalidad de control de acceso / cortafuegos de un enrutador. Eso es lo que detendrá a los atacantes en Internet que analizan a sus clientes.
EDIT : se ha señalado que el enrutador nativo NAT'ing proporciona NAT en una dirección por defecto, lo que efectivamente le da una regla de control de acceso de denegación total como un firewall.
Consejo:
Si no usa contraseñas predeterminadas (tiene contraseñas con mayúsculas, 2 minúsculas, 4 números y 4 símbolos, esa contraseña nunca será pirateada). Luego, si configura el enrutador para que rechace todas las transmisiones entrantes, sea responsable de su uso de Internet y no abra correos electrónicos sospechosos, está bastante seguro.
Lea otras preguntas en las etiquetas attacks firewalls network exploit attack-prevention