Packet Checksums

6

Hace poco aprendí que cada paquete incluye bytes de suma de comprobación y que la computadora volverá a solicitar el paquete si las sumas de comprobación no coinciden. ¿Cómo los siguientes ataques derrotan tal salvaguardia?

Suplantación ARP: supongo que esto puede ocurrir porque el atacante no está modificando realmente el contenido del paquete, solo los intercepta en tránsito y luego los retransmite al destinatario original. ¿Estoy en lo correcto?

Ataques de inserción (mediante la simulación de ARP): mediante ataques de inserción, me refiero al reemplazo y sustitución de texto e imagen. En este caso, mientras el atacante realiza el mismo tipo de ataque que el anterior, sé que debe estar modificando el contenido del paquete (cambiando texto o imágenes). Entonces, ¿por qué el destinatario no rechaza el paquete?

¿Se pueden recalcular o volver a generar las sumas de comprobación después de modificar el paquete?

    
pregunta chubby_monky 23.08.2014 - 05:34
fuente

2 respuestas

19

Las sumas de comprobación de paquetes no son medidas criptográficas y no pretenden ser una característica de seguridad. Cualquiera (incluso un atacante) puede calcular la suma de comprobación para un paquete que contenga cualquier cosa, y no hay secretos / claves involucrados en el cálculo.

Las sumas de comprobación están destinadas a detectar errores durante la transmisión del paquete: bits invertidos, falta de comunicación, etc. Básicamente, están ahí por fiabilidad, no por seguridad.

    
respondido por el David 23.08.2014 - 05:50
fuente
7

No solo se pueden volver a calcular las sumas de comprobación después de que se haya modificado un paquete. Esto sucede durante el funcionamiento normal de IP.

No es en absoluto inusual que un enrutador tenga que actualizar tres sumas de comprobación diferentes en un paquete antes de que pueda reenviar una carga útil no modificada.

Las tres sumas de comprobación a las que me refiero están en las capas de Ethernet, IP y transporte de la pila de red.

La suma de comprobación de Ethernet debe calcularse nuevamente porque, después de que un enrutador la reenvía, es en realidad una trama de Ethernet completamente nueva que se envía a un segmento de Ethernet diferente. Por lo general, la suma de comprobación en el paquete entrante es verificada y eliminada por el hardware, y la suma de comprobación en el paquete saliente es agregada por el hardware. Las dos sumas de control son completamente independientes entre sí por diseño, ya que la IP está diseñada para trabajar con diferentes capas físicas, por lo que el paquete entrante podría ser Ethernet y saliente de otra manera o viceversa.

La suma de comprobación del encabezado de IP debe computarse nuevamente porque el enrutador tiene que modificar el encabezado de IP para disminuir el TTL.

La suma de comprobación de transporte (normalmente UDP o TCP) no debería ser actualizada. La IP está diseñada de tal manera que el enrutador ni siquiera necesita conocer el protocolo de transporte. Sin embargo, debido a que Internet sigue ejecutando la versión 4 obsoleta del protocolo, se han implementado muchos dispositivos NAT que modifican algunos de los campos cubiertos por la suma de control de transporte. Cuando esto sucede, el enrutador también debe actualizar la suma de control de transporte. Esto se ha optimizado hasta el punto en que el enrutador ni siquiera mira toda la carga útil para volver a calcular la suma de comprobación. Al considerar solo la suma de comprobación anterior, así como el valor antiguo y nuevo del campo modificado, se puede calcular la nueva suma de comprobación. Todo esto se hace generalmente sin modificar la carga útil.

Gran parte de los cambios anteriores con IPv6. La parte sobre las sumas de comprobación de Ethernet sigue siendo la misma. Pero la suma de control del encabezado de IP se eliminó para simplificar y acelerar el procesamiento, de todos modos era redundante cuando las capas debajo y por encima de IP podrían sumar los datos. Además, las modificaciones de la suma de control de transporte en vuelo fueron una solución debido a las limitaciones en IPv4. Tales modificaciones ya no son necesarias.

Nada de esto está relacionado con la seguridad. Si desea seguridad contra la modificación maliciosa de paquetes, no confía en las sumas de comprobación, en cambio confíe en códigos de autenticación de mensajes . El protocolo estandarizado para esto se llama IPsec y en la terminología de IPsec, el MAC se llama un valor de comprobación de integridad , porque estrictamente hablando, el ICV podría ser una firma en lugar de un MAC.

    
respondido por el kasperd 23.08.2014 - 15:06
fuente

Lea otras preguntas en las etiquetas