3.2.3.1절. IP spoofing

spoofing 는 "속이다" 라는 의미를 가진다. IP spoofing 는 IP를 속여서 공격하는 기법이다. IP spoofing 유형의 공격기법에는 여러가지 종류가 있는데, 그중 가장 유명한게 Sequence number guessing(순서 제어번호 추측 공격)과 Half(반) 접속시도 공격등이 있다. 이것은 유명한 헤커인 케빈미트닉이 1995년 이 공격을 이용해서 해킹을 시도하다가 체포된 일이 있어서 특히 유명한 공격기법이기도 하다.

C 는 크래커, B와 A는 해킹하고자 하는 호스트이다. 이 공격방법은 TCP 연결이 이루어지기 위해 실시하는 세번악수기법을 교묘하게 이용해서 이루어진다.

1. 가장 먼저 C 는 자신의 IP 주소를 위장해서 SYN 패킷을 보내 접속요청을 한다. IP 주소를 위장하는 이유는 자신의 위치를 들키지 않기 위해서이다. SYN 패킷을 받은 A 서버는 ACK와 함께 자신의 SYN을 전송하지만 당연히 이 패킷은 A 에 전달되지 않는다. 그렇게 되면 A 는 자신이 보낸 ACK 에 대한 C의 응답을 기다리게 되는데, 이러한 과정을 반복하게 되면 A 는 외부의 접속에 대해서 응답을 못하는 오버플로우 상태가 된다.

2. 이렇게 A 서버를 무용지물로 만든다음, C 는 B 로 정상접속을 시도한다. 이때 C 는 정상접속중에 발생하는 패킷을 분석해서 Sequence number 의 변화를 관측한다. 이 Sequence number 은 TCP 헤더에 정의되어 있다.

3. 이렇게 해서 Sequence number 를 추측할수 있게 되면, C 는 자신의 IP 주소를 A 로 가장한후 B에 접속 요청(SYN)을 보낸다. Sequence number 은 보통 64,000씩 증가하는데, tcpdump 등의 도구를 이용해서 쉽게 추측가능하다.

4. B는 수신된 SYN 패킷이 A에서 온것으로 인식해서 A 에게 ACK와 SYN을 보내지만 A는 지금 통신두절상태로 응답을 할수 없게 된다.

5. C 는 다시 자신의 주소를 A 주소로 위장하여 추측된 Sequence number 을 이용해서 B가 A로 보낸 SYN,ACK에 대한 ACK를 B에 보낸다.

6. 이렇게 해서 엉뚱하게도 B는 A와 TCP 세션이 연결된것으로 생각하지만 이것은 어디까지나 착각으로 실제로는 C와 A간의 세션연결이 이루어진 것이다.

7. 이후 C 는 rsh 등을 이용해서 원하는 작업을 하면 된다.

아마 이 사이트에 있는 TCP/IP 에 관한 내용을 읽었다면 분명 위의 공격이 어떤 식으로 이루어지는지 충분히 이해가 될것이며, 아울러 구현 방법까지도 머리속에 떠오를 것이다.

물론 위의 IP spoofing 공격에 대한 몇가지 방지 대책이 있다. 외부에서의 공격에 대해서는 라우터에서 패킷에 대해서 필터링을 하도록 하면 된다. 내부에서의 공격이라면, TCPwrapper, ssh 등을 이용하고 rsh, rlogin 과 같은 인증이 없는 서비스는 사용하지 않도록 해서 막을수 있다.

그러나 말했듯이 IP spoofing 공격유형은 여러가지이며, 위의 공격기법은 그중 매우 전형적인 수법에 불과하며, TCP/IP의 설계규현상에서 발생하는 여러종류의 공격을 모두 예측해서 미리 막는건 불가능하다. 다만 지속적인 보안관리와 점검을 통해서 피해를 최소화 시키는 것이 최선의 예방 방법일 것이다.

3.2.3.2절. Sniffing

말그대로 남의 패킷을 도청하는 공격이다. 원리를 알려면 ARP/ICMP 등의 프로토콜에 대해서 알고 있어야 한다.

기본적으로 로컬네트워크내의 호스트는 하나의 회선을 공유하도록 되어있어서, 같은 네트워크내의 컴퓨터는 다른 컴퓨터가 통신하는 트래픽까지 볼수 있다. 그러나 그럴경우 쓸데없는 트래픽까지 처리해야 함으로 비효율적이 된다. 그래서 각 이더넷의 식별번호인 MAC 어드레스와 IP 번호를 맵핑시켜서 자기에게 오는 메시지만을 처리하도록 하고 있다. 그렇다 하더라도 인터페이스를 promiscuous mode 로 둘경우 모든 패킷을 볼수 있게 된다. 실제 tcpdump 와 같은 패킷캡쳐 어플리케이션 같은경우 인터페이스를 promiscuous 로 한 상태에서 패킷을 캡쳐하게 된다. promiscuous 모드로의 변경은 슈퍼유저만이 가능하기 때문에, root 권한을 가지고 있어야 하는데, 이렇게 될경우 모든 패킷을 도청할수 있게 된다.

물론위의 문제점은 스위칭 라우터를 이용하면 어느정도 해결이 가능하다. 스위칭 라우터는 로컬네트웍을 세그먼트 단위로 나누고 해당 IP로 가는 트래픽은 해당 세그먼트로만 전달되게 됨으로 근본적으로 도청의 가능성을 없앤다. 그러나 역시 스니핑 방법이 존재한다. 여기에서 ARP 에 대한 지식이 필요한데, 로컬네트웍에 묶여있는 모든 호스트는 IP와 이더넷카드 주소를 맵핑 시키기 위해서 ARP 요청을 하게된다. 이 ARP 패킷은 브로드캐스팅 되는데, ARP 패킷을 받은 호스트는 자신의 IP와 ARP 요청 IP를 비교해서 동일한 IP 라면 자신의 MAC address 를 담아서 ARP 응답을 보내게된다.

이러한 ARP 프로토콜의 특징을 약간? 응용하면, 패킷 스니핑이 가능하다. 예를들어 자신의 IP 가 192.168.1.100 이고, MAC 어드레스가 00:E0:29:5D:5C:89 이라고 하자. 그리고 라우터의 IP가 192.168.1.1 일때, 00:E0:29:5D:5C:89 에 대한 IP 가 192.168.1.1 이라고 거짓 ARP 응답을 만들어서 보낸다. 이것을 일정 시간동안 계속해서 보내면 다른 호스들의 APR 캐쉬에 거짓 ARP 정보가 들어가게 되고, 이들은 192.168.1.100 이 라우터인것으로 착각하고 패킷을 모두 192.168.1.100 으로 보낸다. 그러나 이럴경우 패킷이 외부로 빠져나가지 못하니 조만간 네트웍에 문제가 있다는게 발견될 것이다. 그럼으로 192.168.1.100 에서는 원래 라우터인 192.168.1.1 으로 패킷 포워딩 시키면된다. 이런 방식으로 문제없이 패킷 스니핑이 가능하다.

ARP 프로토콜을 이용한 스니핑 방법으로 Switch Jamming란 방법도 존재한다. 이것은 많은 종류의 스위치라우터가 ARP 주소테이블이 가득차면 모든 네트웍크 세그먼트로 데이타를 브로드케스팅 하는 성질을 이용한 방법이다. 만약 데이타가 브로드케스팅 된다면, 이것저것 복잡하게 작업할 필요없이 간단하게 tcpdump 등으로 스니핑 가능하게 될것이다. 공격자는 임의의 arp 리플라이를 만들어서 라우터에 날리고 결국은 스위치라우터의 ARP 테이블이 가득차게 만들어 버린다.

ICMP 를 통한 방법도 있는데, ICMP 는 하나의 네트웍에 여러개의 라우터가 있을경우 호스트가 패킷을 올바른 라우터에게 보내도록 하기위해서 ICMP Redirect 메시지를 사용한다. 이 ICMP Redirect 메시지를 악용해서 다른 세그먼트에 있는 호스트에게 위조된 ICMP Redirect 메시지를 보내서 공격자의 호스트로 패킷을 보내도록하고 이 패킷을 스니핑 하는 방법이다. 공격자에게 도착한 패킷은 패킷 포워딩을 통해서 바깥으로 내보내게 되고, 결국 공격받는 사람은 자신이 스니핑 되고 있다는 것을 눈치채지 못할것이다.

스니핑을 막는가장 확실한 방법은 ssh 등을 이용해서 암호화된 통신을 하는 방법이다. 메일이라면 PGP 등을 통해서 암호화 할수 있을것이다.

3.2.3.3절. session hijacking

스니핑이 출력만을 보는 거라면, session hijacking 는 입력까지 가능하도록 하는 해킹기법이다. 간단히 말해서 session hijacking 을 성공하게 될경우 상대방의 텔넷등의 화면을 그대로 볼수 있으며, 동시에 입력까지 가능하다. 이 방법은 상당히 높은 수준의 기술을 필요로 한다. 나중에 기회가 되면 예제를 만들어서 테스트 해보기로 하고, 여기에서는 이정도로만 끝을 맺도록 하겠다.

4.3.3.1절. 데이타 변조

변경될수 있는데이타는 단순한 개인신상관련 데이타, 웹페이지, 실행파일, 데이타베이스파일 등이 될수 있으며, 데이타 파괴와 달리 그 증상이 뚜렷하게 나타나지 않음으로 파괴보다 심각할수 있다.

최근에는 데이타 변조가 이루어졌을경우 어떤 파일에 데이타 변조가 있는지 알려줌으로써 관리자가 미리 대응할수 있도록 해주는 어플리케이션들이 존재한다. 가장 간단한 예는 중요파일에 대한 "MD5 해쉬" 문자열을 만들고 주기적으로 이 해쉬문자열에 변화가 있는지 검사하는 방법이 될것이다. 파일변조검사에 이러한 방법에 대한 예가 나와 있으니 참고하기 바란다.

4.3.3.2절. 데이타 삭제

효과가 즉각적으로 나타나는 경우가 많음으로 관리자는 즉각적으로 이상을 감지할수 있다. 백업만 잘되어 있다면 비교적 복구가 쉽고, 다른 경우에 비해서 위험도가 낮은 공격이라고 볼수 있다. 보통 초보헤커를 통해서 장난? 으로 이루어지는 경우가 많기 때문에, 지속적으로 침입후 삭제가 이루어지는 일은 흔하지 않다. 즉각적인 데이타 삭제를 하는 이유는 오랜시간 동안 걸리지 않고 데이타를 빼내거나 변조할만한 자신감이 없기 때문이다.

데이타 삭제에 대한 가장최선의 방법은 주기적인 Backup 만한게 없다.