4 Flashcards
come funzionava prima/come funziona ora
modem+NAS(network access server), circuiti analogici e digitali (PSTN e ISDN) / local branch -> PPP -> border element -> AAA -> AAA server
PPP sopra cosa può lavorare
connessione fisica (PSTN / ISDN)
virtual layer 2 (xDSL + Ethernet + PPPoE)
virtual layer 3 (L2TP)
PPP cosa fa?
encapsulate network packet + trasport over point-to-point link
come viene attivato PPP
LCP estabilishing,configuring e testing link (negozia authN protocol)
authN (PAP,CHAP,EAP)
NCP L3 encapsulation
PAP
authN solo quando è creato canale, pwd in clear , identifier (con virtual channel L3 udp non è garantito ordine -> replay attack) , retry until limit
CHAP
challenge simm (md5(id||pwd||chall)) (nonce) , 3-way handshake, retry until limit
MS-CHAP versioni
v1 pwd change , authN retry senza riavviare intero processo , special failures code
v2 mutual authN tramite client challenge
attacco a MS-CHAPv2
chiave troppo corta (3 blocchi des con ultimo 2 byte), brute force abbiamo sia cipher che plain
EAP methods
flexible framework (symm challenge , OTP , TLS authN protocol)
EAP encapsulation protocol
x encapsulare e trasportare dati di autenticazione (ACK/NACK -> no windowing,assumes no reordering (occhio a UDP in virtual layer 3) , retransmission (3-5 times) , no fragmentation)
schema dopo PPP
NAS (non effettuano authN) , rete IP (no DHCP) , protocol manager (gestisce comunicazioni NAS- AS) , authN server con DB
AAA
authN , authZ , accounting (audit support , capacity analysis , billing)
RADIUS caratteristiche
client / server schema , UDP (retrasmissione dopo timeout con numero max di tentativi) , + servers così da evitare sovraccarico , proxy towards others authN server
RADIUS required functionality
sniffing request (confidentiality -> pwd in clear e privacy -> quando mi connetto)
fake responses (unauthZ access o DoS blocca accessi validi -> UDP accetta duplicati)
integrity of responses (Y->N , N->Y)
replay of responses (authenticator bindati)
DoS (+ server)
pwd enumeration (authN of NAS request)
struttura pacchetto RADIUS
code (ACCESS-REQUEST/ACCEPT(configurazione rete)/REJCET/CHALLENGE(info aggiuntive))
authenticator (request è casuale -> per obfuscare pwd, response dipende da request (no replay)) -> keyed digest x packet integrity e authN (shared key)
TLV attributes (pap/chap/eap/NAI)
IEEE 802.1x
framework x network access control , l2 authN of supplicant + key management (session key per packet authN , integrity, confidentiality) , NAS pass-through device encapsulano e decapsulano e basta, diretto dialogo supplicant/AS , EAPOL/EAPOW/EAPOR
eduroam
802.1x + radius, visit AS /home AS (secure e2e communication)
DHCP
cosa fa? che problemi ha ? (no authN , broadcast request) attacchi possibili (DoS , logical MITM + NAT per intercettare anche risposte , phishing tramite fake DNS) countermeasures (dhcp snooping replies solo da trusted ports , IP guard accetta solo IP ottenuti da DHCP validi (pochi)) standard per DHCP authN ma no implementazione (HMAC ma come distribuiamo chiave?)
VPN def
create a private network using public / insecure channels (controllo accessi network , comunicazioni sicure), unico attacco è attacchi interni e DoS
Private Addresses
indirizzi non accessibili (ACL per pacchetti in uscita) problemi (scoperta indirizzi + ip spoofing, packet sniffing , accesso a device)
via tunnel
whole l3 packet in another packet (no IP spoofing router riconosce cambio indirizzi) , aggirabile da chi managa routers e pacchetti sniffabili
secure VPN
tunnel protetto da crypto (TAP tunnel access point managiato da client!)
IPsec funzionalità offerte
peer authN when creating SA, integrity e sender authN keyed digest (shared key) , confidentiality (shared key), parziale replay protection + IKE per key exchange
SPD E SAD
transport/tunnel mode
e2e security usata da host, light , protegge solo payload no header
to create vpn, tra gateway, protegge anche header
AH
integrity e authN del pacchetto (tutto anche in transport mode -> header normalizzato per campi variabili) ICV = HMAC
ESP
confidenzialità (più integrity e sender authN , no header esterno != AH), confidenzialità di payload (transport mode) e payload + header interno (tunnel mode) , tradeoff performance/security
parziale protezione da replay attack
SEQUENCE NUMBER, verifica è opzionale per receiver
replay vs out-of-order , cancellation vs pacchetto perso, window (dentro replay protection, fuori che fare?tcp/udp,quando si muove? senza aspettare)
IPsec v3
extended sequence number, dummy packet, AEAD, traffic flow confidentiality padding per evitare di scoprire lunghezza packet
e2e security
2 nodi devono avere ipsec, pacchetti protetti appena lasciano nodo-> no fiducia a gateway, no problemi interni a lan, sicurezza indipendente da network. difficile management di tante sa, se esp usato ids on every node
basic vpn
problemi in rete interna, authN solo di due gateway no di end point, management semplice ma gateway devono essere abbastanza potenti, possibile ids in lan
e2e security with basic vpn
security in depth, tunnel mode per confidenzialità, transport mode per authN e integrity -> possibile ids in lan
secure gateway
impiegato in viaggio che vuole connettersi a rete aziendale, traffico protetto da device a gateway che performa authN e authZ
secure remote access
e2e protection grazie a transport mode
ike
isakmp (x creare/modificare/cancellare SA) + oakley (key exchange autenticato)
+ sa per la stessa isakmp sa
main mode (protegge party id,più costosa),aggressive mode (non protegge party, meno costosa) quick mode (solo se c’è già iskmp sa)
metodi di authN ipsec
per scambio chiavi autenticato e per peer authN when creating SA :
DS (non-repudiation)
PK enc
revised PK enc (less expensive)
pre-shared keys
IPsec applicability
closed groups (solo unicast -> mutual authN, pre-shared keys o x.509 )
problemi IP without ipsec
indirizzi ip non autenticati, pacchetti non protetti, service protocol presi di mira (no app-level)
ICMP security
no authN
DoS con echo request/reply -> ping bombing/flooding x saturare stack di rete
redirect (percorso router migliore) -> logical MITM
destination unreachable (connessione fisica non esistente) -> DoS
source quench (non inviare più pacchetti la rete è congestionata) -> DoS
time exceeded (ttl) -> DoS
smurfing attack
REFLECTOR FACTOR -> amplification effect
all’ingresso no broadcast msg (difficile limitarlo in lan)
FRAGGLE ATK
come smurfing attack in udp, riceve un msg e lo reinvia uguale a dst, udp echo request
ARP poisoning
cos’è ARP? nodi accettano arp reply senza aver inviato arp request (arp table configurate staticamente, arp entries dinamiche hanno durata limitata)
differenze tra campo ar$sha (sender hardware address) e src address in ethernet non modificabile
TCP SYN flooding
per saturare tabella connessioni aperte (DoS)
decrease timeout (occhio a client lenti), increase table size
router as SYN interceptor (fw relay), router as SYN monitor (fw gateway)
SYN cookie
usa tcp sequence number per trasmettere cookie
info delegate a client e non mantenute in server (mss), time ancora valido? keyed digest, aveva ricevuto cookie valido?
DNS cosa fa e come funziona
DNS shadow server
to client o to altri ns (DoS e redirect to fake sites)
DNS cache poisoning
metodo 1 e metodo 2 (overwrite DNS cache)
DNS flash crowds
tutti i domini relativi a quel name server irragiungibili (DoS)
DoT DoH
tls e https
protection from ip spoofing
