El enrutamiento es una caja negra

Por lo general, no tiene forma de saber cómo se enruta su comunicación a través de Internet. Nunca se sabe qué enrutadores pasan su comunicación y quién los controla. Los enrutadores pueden configurarse para desviar cierto tráfico a través de servidores no confiables y los puntos finales realmente no tienen forma de detectar esto. Es posible que conozca el programa traceroute (UNIX) o tracert (Windows) que descubre la ruta entre usted y otro host, pero el tráfico de red generado por esta herramienta tiene un aspecto muy diferente al tráfico normal, lo que hace que Herramienta bastante poco fiable. El tráfico normal puede tomar una ruta completamente diferente a la que te muestra Traceroute.

Spoofing de direcciones

Cada paquete IP incluye tanto la dirección IP a la que se envía como la dirección desde la cual se origina. Sin embargo, de forma predeterminada, no hay verificación de que la dirección de origen sea realmente la dirección del host que creó el mensaje. Esto permite a cualquier host falsificar un paquete de IP con la IP de origen de cualquier otro host y reclamar que lo está enrutando desde él. Este problema es mucho más serio para UDP / IP que TCP / IP, porque TCP / IP requiere un protocolo de enlace SYN / ACK / SYN-ACK para establecer una conexión, que solo funciona cuando la fuente-IP del paquete que hace la conexión es correcto. Sin embargo, también hay ...

Adivinación de números de secuencia

Cuando dos hosts han establecido una conexión, cada paquete que intercambian está numerado. Cuando un atacante sabe que dos hosts se están comunicando entre sí y pueden adivinar el siguiente número de secuencia, pueden falsificar ese paquete para inyectar datos falsificados en la comunicación.

Y otra aplicación de falsificación de direcciones es:

SYN-Flooding

Este es un ataque de denegación de servicio donde el host atacante envía muchos paquetes SYN (solicitudes para abrir una conexión) al host objetivo. Sin embargo, falsifica la IP de origen con direcciones aleatorias, por lo que el servidor envía un paquete ACK (aceptación de la conexión) a un host que nunca lo solicitó. Luego esperará el paquete SYN-ACK (acuse de recibo de aceptación por parte del iniciador) hasta que finalice el tiempo de espera. Esto puede vincular una gran cantidad de recursos en el host y evitar que acepte conexiones legítimas. Si bien esto no produce ninguna exposición o manipulación de datos, sigue siendo un método utilizado con frecuencia para evitar que los usuarios lleguen a un determinado host.

Pero, ¿qué sucede si realmente necesita leer la respuesta de un host a un paquete falsificado? Bueno, entonces tienes:

ARP spoofing

Estrictamente hablando, esto no es una falla en TCP / IP sino en el Protocolo de resolución de direcciones relacionado que vincula las direcciones IP a las interfaces de red. Sin embargo, afecta la seguridad de la comunicación IP, ya que permite que un host "robe" la dirección IP de otro host para que los futuros paquetes IP se redirijan. La suplantación ARP por lo general solo funciona en el mismo segmento de red. Además, se puede detectar un ataque de ARP y el equipo de red de nivel empresarial generalmente puede evitarlo.

Por cierto: No hace falta decir que el uso de cualquiera de los métodos descritos aquí es ilegal en muchas partes del mundo. Sin embargo, son frecuentemente utilizados por delincuentes e instituciones gubernamentales de todo el mundo.

TCP / IP es fuerte contra los peligros ambientales, no contra los atacantes inteligentes maliciosos. TCP / IP se diseñó, desde el principio, con la seguridad en mente, pero en un contexto bastante específico: resistencia frente a la guerra nuclear. El objetivo inicial de TCP / IP era permitir que la infraestructura militar crítica de EE. UU. Mantuviera los medios de comunicación mientras estaba bajo el bombardeo de las ojivas comunistas. Como tal, TCP / IP asume que, a nivel lógico, los distintos hosts conectados están cooperando; el problema es realmente resistir la pérdida de una fracción considerable de los hosts mencionados.

Resultó que algunas de las características de resistencia nuclear de TCP / IP pueden ser un obstáculo para los atacantes electrónicos modernos, por ejemplo. el enrutamiento redundante puede funcionar alrededor de la interrupción intencional local, y los números de secuencia de TCP (inicialmente destinados a proporcionar protección contra la mezcla de datos inducida por hardware defectuoso) hacen que la ocultación de TCP sea mucho más difícil. Sin embargo, esto es fortuito. Para ser justos, podemos afirmar que TCP / IP no ofrece una "seguridad" real en el sentido moderno (donde los hackers blanden los teclados, no ICBM). Por lo tanto, listar las debilidades de TCP / IP es "fácil": tiene todas ellas.

No obstante, se han aplicado funciones de seguridad más sólidas más adelante, por ejemplo, con IPsec ; o movido a otra capa conceptual, como ocurre comúnmente con SSL / TLS o protocolos de correo electrónico cifrados como S / MIME o PGP. De hecho, TCP / IP se usa con más frecuencia no como un proveedor de transporte seguro, sino como un medio compartido con deficiencias que se abordan mejor en otro lugar de una manera diferente.