Version: 1.7
訳・志々雄真実
----------------------------------------------------------------------------
This Security FAQ is a resource provided by:
Internet Security Systems, Inc.
5871 Glenridge Drive, Suite 115 Tel: (404) 252-7270
Atlanta, Georgia 30328 Fax: (404) 252-2427
- Internet Scanner ... the most comprehensive "attack simulator" available. -
----------------------------------------------------------------------------
To get the newest updates of Security files check the following services:
http://www.iss.net/
ftp ftp.iss.net /pub/
To subscibe to the update mailing list, Alert, send an e-mail to
request-alert@iss.net and, in the te xt of your message (not the subject
line), write:
subscribe alert
----------------------------------------------------------------------------
sniffingを理解し問題の究明に役立つことを願って、このＦＡＱを管理者の方に与えます。
sniffingは、今日インターネット上での大規模な破壊的要因の一つです。
This FAQ will be broken down into:
* What a sniffer is and how it works
* Where are sniffers available
* How to detect if a machine is being sniffed
* Stopping sniffing attacks:
o Active hubs
o Encryption
o Kerberos
o One-time password technology
o Non-promiscuous interfaces
----------------------------------------------------------------------------
What a sniffer is and how it works
電話回線と違って、コンピュータネットワークはコミニュケーションチャンネルを共有する。 それは２つのコンピュータ同士の通信に１つの回線を占有させるには不経済だからである。 この共有はあるコンピュータが、他のマシンが用いるための情報を受け取ることが可能 であることを意味する。 ネットワークを越えてきた情報を獲ることをsniffingと呼ぶ。
もっとも一般的なコンピュータコネクションはイーサネットを通る。 イーサネットプロトコルは、パケット情報を回線上の全てのホストに送るように働く。 パケットヘッダは目的地の確かな情報を含み、アドレスに合ったマシンのみがパケットを受け取る。 パケットヘッダにかかわらず、全てのパケットを受け取るマシンはpromiscuous modeにある。
ふつうのネットワーク環境においては、アカウントやパスワードなどの情報は 平文でイーサネット間を流れるので、いったん侵入者が管理者権を獲たらマシンを promiscuous modeにして、sniffingによってネット上の全てのマシンを危うくすること も難しくはない。
----------------------------------------------------------------------------
Where are sniffers available
sniffingはハッカーによるもっとも一般的な攻撃方法である。 あるスニッファー、Esniff.cはとても小さくＳｕｎｏｓ上で働き、ｔｅｌｎｅｔ、ｆｔｐ、ｒｌｏｇｉｎ のセッションから最初の３００バイトのみを獲る。 それはＰｈｒａｃｋ、もっとも広く読まれている無料のハッキングマガジンで発行されている。 Ｐｈｒａｃｋは多くのＦＴＰサイトで見ることができ、またEsniff.cも同様に coombs.anu.edu.au:/pub/net/logなどにある。
あなたはそれがローカルマシンを危機に陥らせるのにどれほど効果的かを見るために、 公認されたネットワーク上でEsniff.cを走らせてみることを望むかもしれない。
ネットワークの問題点を取り除く目的のために広く存在している他のスニッファーは：
* Etherfind on SunOs4.1.x
* Snoop on Solaris 2.x and SunOs 4.1 (on ftp playground.sun.com)
* Tcpdump 3.0 uses bpf for a multitude of platforms.
* Packetman, Interman, Etherman, Loadman works on the following
platforms:
SunOS, Dec-Mips, SGI, Alpha, and Solaris. It is available on
ftp.cs.curtin.edu.au:/pub/netman/[sun4c|dec-mips|sgi|alpha|solaris2]/
[etherman-1.1a|interman-1.1|loadman-1.0|packetman-1.1].tar.Z
Packetman was designed to capture packets, while Interman, Etherman,
and Loadman monitor traffic of various kinds.
DOS based sniffers
* Gobbler for IBM DOS Machines
* ethdump v1.03
Available on ftp
ftp.germany.eu.net:/pub/networking/inet/ethernet/ethdp103.zip
* ethload v1.04
Companion utility to a ethernet monitor. Available on ftp
ftp.germany.eu.net:/pub/networking/monitoring/ethload/ethld104.zip
商用のスニッファーは：
* Klos Technologies, Inc.
PacketView - Low cost network protocol analyzer
Phone: 603-424-8300
BBS: 603-429-0032
* Network General.
Network Generalはいくつかの製品を作っている。最も重要なのはExpert Snifferで、 回線上を盗聴するだけでなく、high-performance expert systemを通してパケットを 走らせて問題を診断する。"Distributed Sniffer System"と呼ばれる拡張は、あなたのＵｎｉｘワークステーション上のコンソールにExpert Snifferを与えて、リモートサイトのエージェントに収集したものを配布することができる。
* Microsoft's Net Monitor
" My commercial site runs many protocols on one wire - NetBeui, IPX/SPX, TCP/IP, 802.3 protocols of various flavors, most notably SNA. This posed a big problem when trying to find a sniffer to examine the network problems we were having, since I found that some sniffers that understood Ethernet II parse out some 802.3 traffic as bad packets, and vice versa. I found that the best protocol parser was in Microsoft's Net Monitor product, also known as Bloodhound in its earlier incarnations. It is able to correctly identify such oddities as NetWare control packets, NT NetBios name service broadcasts, etc, which etherfind on a Sun simply registered as type 0000 packet broadcasts. It requires MS Windows 3.1 and runs quite fast on a HP XP60 Pentium box. Top level monitoring provides network statistics and information on conversations by mac address (or hostname, if you bother with an ethers file). Looking at tcpdump style details is as simple as clicking on a conversation. The filter setup is also one of the easiest to implement that I've seen, just click in a dialog box on the hosts you want to monitor. The number of bad packets it reports on my network is a tiny fraction of that reported by other sniffers I've used. One of these other sniffers in particular was reporting a large number of bad packets with src mac addresses of aa:aa:aa:aa:aa:aa but I don't see them at all using the MS product. - Anonymous
----------------------------------------------------------------------------
How to detect a sniffer running.
データを獲るだけで、いかなる情報にも反応しないスニッファーを発見するには、 あなたのイーサネットコネクションの全てを個々に物理的に調べる必要がある。
マシンでスニッファーが走っていたらパケットを送ったりピングによって遠隔的に調べる こともできない。
マシン上に走っているスニッファーはインターフェイスを全てのパケットを受け入れる promiscuous modeにする。 promiscuous modeにあるインターフェイスを見つけることは可能である。 non-promiscuous modeでスニッファーを走らせることは可能であるが、それはただ それが走っているマシンのセッションのみを盗聴することしかできない。 侵入者がｓｈ、ｔｅｌｎｅｔ、ｒｌｏｇｉｎ，ｉｎ.ｔｅｌｎｅｔｄやユーザーの ログファイルに書き込みをするようなものなどの、トロイの木馬プログラムを使って、 似たようなセッションの盗聴をおこなうことは可能である。 同様に彼らは容易にｔｔｙやｋｍｅｍを見ることができる。 これらの攻撃はただ１つのマシンからのセッションを盗聴するだけだが、 promiscuous sniffingはイーサネット上の全てのセッションを盗聴することができる。
ＳｕｎＯｓ、ＮｅｔＢＳＤや他のＵＮＩＸ系のＢＳＤは、
"ifconfig -a"
というコマンドによってpromiscuous modeにあるかどうかを全てのインターフェイスについて
調べることができる。
ＤＥＣ ＯＳＦ/１やＩＲＩＸや他のＯＳは確認するためのデバイスが必要である。
システム上にどのようなインターフェイスがあるかを調べる方法の一つとして
あなたは次のことをすることができる：
# netstat -r
Routing tables
Internet:
Destination Gateway Flags Refs Use Interface
default iss.net UG 1 24949 le0
localhost localhost UH 2 83 lo0
また次のコマンドによってそれぞれのインターフェイスをテストすることができる：
#ifconfig le0
侵入者はしばしば発見されるのを避けるためにifconfigのようなコマンドを取り替える
のであなたはそれを確認すべきである。
Ｓｕｎｏｓでのみ働くftp.cert.org:/pub/tools/cpm にあるｃｐｍというプログラムは
promiscuous flagを出してインターフェイスを調べる。
Ｕｌｔｒｉｘはpfstatとpfconfigコマンドを使うことによって誰かが走らせている
スニッファーを発見することができる。
pfconfigはスニッファーを走らせることができる人をセットすることができ
pfstatはインターフェイスがpromiscuous modeにあれば知らせてくれる。
これらのコマンドはsniffingがカーネルと連結して起こっている場合のみ有効である。
ふつうはスニッファーはカーネルと連結していない。
ｌｒｉｘ、Ｓｏｌａｒｉｓ、ＳＣ０などの他のＵＮＩＸシステムは、それらが
promiscuous modeにあるのかないのかを示す手段を持たず、侵入者はあなたの
全てのネットワークを盗聴でき、それを発見する方法はない。
しばしばスニッファーのログは大きくなり多くのファイルスペースを使う。
多くの情報が流れるネットワークではスニッファーはマシン上に大きくロードする。
このようなことが管理者がスニッファーを発見する引き金になる。
わたしはログファイルやＳｕｎＯｓの/dev/nitのようなパケットがアクセスするプログラムを発見する
ために、coast.cs.purdue.edu:/pub/Purdue/lsofにあるlsof (LiSt Open Files) を
使うことを強く勧める。
私が知る限りＩＢＭ ＰＣ互換機のpromiscuousを発見するコマンドはないが、
それらのほとんどはコンソールから以外のコマンドの実行が許されないので、
内部の補佐がない限り遠隔的侵入者がＰＣマシンにスニッファーを仕掛けることはできない。
----------------------------------------------------------------------------
Stopping sniffing attacks
アクティブハブはpromiscuous sniffingを使えないパケットをそれぞれのシステムに送る。
これは10-Base Tのみに有効である。
以下の売り手がアクティブハブを扱っている：
* 3Com
----------------------------------------------------------------------------
Encryption
侵入者が情報を獲ってもそれを使うための複合化できないようにする
接続間の暗号ソフトがいくつかある。
いくつかのパッケージは以下にある：
* deslogin is one package available at ftp
* swIPe is another package available at
* Netlock encrypts all (tcp, udp, and raw ip based) communications
transparently. It has automatic (authenticated Diffie-Helman)
distibuted key management mechanism for each host and runs on the SUN
4.1 and HP 9.x systems. The product comes with a Certification
Authority Management application which generates host certificates
(X.509) used for authentication between the hosts. and provides
centralized control of each Hosts communications rules.
The product is built by Hughes Aircraft and they can be reached at
800-825-LOCK or email at netlock@mls.hac.com.
----------------------------------------------------------------------------
Kerberos
Kerberosはネットワークを越えるアカウント情報を暗号化するための１つのソフトである。
それは全てのアカウント情報を保有している一つのホストからそれらを引っ張ってくるので、
もしそのマシンが攻撃されると全てのネットワークが危険にさらされる。
それはセットアップが難しいと報告されている。
Kerberosにはストリーム暗号化ｒｌｏｇｉｎｄとｔｅｌｎｅｔｄがついてくる。
これはあなたがログインしたあとにおこなったことを侵入者に盗聴されるのを防ぐ。
KerberosのＦＡＱは以下のｆｔｐにある
----------------------------------------------------------------------------
One time password technology
S/keyやその他の一度きりのパスワード方式は、アカウントの盗聴をほとんど無効にする。
S/keyの概念はあなたのリモートホストが危険なチャンネルを越えずにパスワードを
知らせてくれ、あなたが接続したときに、あなたは証明要求を受ける。
あなたが証明要求情報とパスワードを受け取って、それをもしお互いが
同じパスワードなら返事を返すことを要求するアルゴリズムに差し込む。
パスワードは決してネットワークを越えないし同じ証明要求が２度使われることもない。
ＳｅｃｕｒｅＩＤやＳＮＫと違ってＳ/ｋｅｙではあなたはホストとパスワードを共有しなくてすむ。
Ｓ/ｋｅｙはftp:thumper.bellcore.com:/pub/nmh/skeyにある。
その他の一度きりのパスワード技術は、アカウントにアクセスすることを許
すナンバーを生成するカードをお互いのユーサー持つ、カードシステムがある。
カードを除けば、そのナンバーを推測することはできない。
以下の会社はよりよいパスワード証明の解決法を提供している：
Secure Net Key (SNK)
Digital Pathways, Inc.
Phone: 415-964-0707 Fax: (415) 961-7487
Secure ID
Security Dynamics,
ArKey and OneTime Pass
Management Analytics
OneTime Pass (OTP):
ArKey:
WatchWord and WatchWord II
Racal-Guardata
CRYPTOCard
Arnold Consulting, Inc.
SafeWord
Enigma Logic, Inc.
Secure Computing Corporation:
2675 Long Lake Road
----------------------------------------------------------------------------
Non-promiscuous Interfaces
あなたはsniffingを許さないインターフェイスを持つＩＢＭ ＤＯＳ互換機を
手に入れることができる。
これはpromiscuous modeをサポートしていないカードのリストである：
Ｇｏｂｂｌｅｒを使ってpromiscuous modeをサポートしていないかどうか確かめ、
もしサポートしていないものを見つけたらここに付け加えて、下記に知らせてほしい。
e-mail：cklaus@iss.net so I can remove it ASAP.
IBM Token-Ring Network PC Adapter
次のカードはpromiscuous modeにならないと噂されるものであるがその確実性は疑われる。
Microdyne (Excelan) EXOS 205
アダプターは、一般的にpromiscuous modeをサポートしていない
ＴＲＯＰＩＣチップセットをベースにする。
ＴＲＯＰＩＣチップセットはＩＢＭの16/4 adapterのようなToken Ring adapters
を使う。
その他の売り手も（とりわけ ３Ｃｏｍ）ＴＲＯＰＩＣベースのアダプターを供給している。
ＴＲＯＰＩＣベースのアダプターはspecial EPROMsを受け入れるが、promiscuous mode
になることはなく、promiscuous modeになる時はそれらのアダプターは"Trace Tool Present"
と表示するだろう。
----------------------------------------------------------------------------
Acknowledgements
I would like to thank the following people for the contribution to this FAQ
that has helped to update and shape it:
* Padgett Peterson (padgett@tccslr.dnet.mmc.com)
----------------------------------------------------------------------------
Copyright
This paper is Copyright (c) 1994, 1995
Permission is hereby granted to give away free copies electronically. You
may distribute, transfer, or spread this paper electronically. You may not
pretend that you wrote it. This copyright notice must be maintained in any
copy made. If you wish to reprint the whole or any part of this paper in any
other medium (ie magazines, books, etc) excluding electronic medium, please
ask the author for permission.
Disclaimer
The information within this paper may change without notice. Use of this
information constitutes acceptance for use in an AS IS condition. There are
NO warranties with regard to this information. In no event shall the author
be liable for any damages whatsoever arising out of or in connection with
the use or spread of this information. Any use of this information is at the
user's own risk. （お約束というやつです。）
Address of Author
Please send suggestions, updates, and comments to:
Internet Security Systems, Inc.
Internet Security Systems, Inc, located in Atlanta, Ga., specializes in the
developement of security scanning software tools. Its flagship product,
Internet Scanner, is software that learns an organization's network and
probes every device on that network for security holes. It is the most
comprehensive "attack simulator" available, checking for over 100 security
vulnerabilities.
le0: flags=8863
inet 127.0.0.1 netmask 0xffffff00 broadcast 255.0.0.1
* HP
coast.cs.purdue.edu:/pub/tools/unix/deslogin
ftp.csua.berkeley.edu:/pub/cypherpunks/swIPe/
rtfm.mit.edu
/pub/usenet/comp.protocols/kerberos/Kerberos_Users__Frequently_Asked_Questions_1.11
201 Ravendale Dr. Mountainview, Ca.
97703-5216 USA
One Alewife Center
Cambridge, MA 02140-2312
USA Phone: 617-547-7820
Fax: (617) 354-8836
Secure ID uses time slots as authenication rather than challenge/response.
PO Box 1480
Hudson, OH 44236
Email: fc@all.net
Tel:US+216-686-0090 Fax: US+216-686-0092
このプログラムは暗号化プロトコルやハードデバイスを必要としない、
ユーザー同士の制限のない一度きりのパスを供給する。
ユーザーは使うことのできるパスコードのリストを得て、お互いが使うものを消去する。
システムはそれが使われたとき、リストからお互いのパスコードを除く処理をおこなう。
とても小さく早いパスワードテスターとパスワードとパスワード
となる言葉を生成するシステムがついている。
これは共通の認証に基づきユーザーとシステムがお互いを証明するＡｒｇｕｅｄ Ｋｅｙ
システムである。ハードウェアを必要とせず、とても小さく早いパスワードテスターとパスワードとパスワード
となる言葉を生成するシステムがついている。
480 Spring Park Place
Herndon, VA 22070
703-471-0892
1-800-521-6261 ext 217
2530 Targhee Street, Madison, Wisconsin
53711-5491 U.S.A.
Phone : 608-278-7700 Fax: 608-278-7701
Email: Stephen.L.Arnold@Arnold.Com
CRYPTOCard is a modern, SecureID-sized, SNK-compatible device.
2151 Salvio #301
Concord, CA 94520
510-827-5707 Fax: (510)827-2593
For information about Enigma ftp to: ftp.netcom.com in directory
/pub/sa/safeword
Roseville, MN 55113
Tel: (612) 628-2700
Fax: (612) 628-2701
debernar@sctc.com
IBM Token-Ring Network PC Adapter II (short card)
IBM Token-Ring Network PC Adapter II (long card)
IBM Token-Ring Network 16/4 Adapter
IBM Token-Ring Network PC Adapter/A
IBM Token-Ring Network 16/4 Adapter/A
IBM Token-Ring Network 16/4 Busmaster Server Adapter/A
Microdyne (Excelan) EXOS 205T
Microdyne (Excelan) EXOS 205T/16
Hewlett-Packard 27250A EtherTwist PC LAN Adapter Card/8
Hewlett-Packard 27245A EtherTwist PC LAN Adapter Card/8
Hewlett-Packard 27247A EtherTwist PC LAN Adapter Card/16
Hewlett-Packard 27248A EtherTwist EISA PC LAN Adapter Card/32
HP 27247B EtherTwist Adapter Card/16 TP Plus
HP 27252A EtherTwist Adapter Card/16 TP Plus
HP J2405A EtherTwist PC LAN Adapter NC/16 TP
* Steven Bellovin (smb@research.att.com)
* Wietse Venema (wietse@wzv.win.tue.nl)
* Robert D. Graham (robg@NGC.COM)
* Kevin Martinez (kevinm@beavis.qntm.com)
* Frederick B. Cohen (fc@all.net)
* James Bonfield (jkb@mrc-lmb.cam.ac.uk)
* Marc Horowitz (marc@MIT.EDU)
* Steve Edwards (steve@newline.com)
* Andy Poling (Andy.Poling@jhu.edu)
* Jeff Collyer (jeff@cnet-pnw.com)
* Sara Gordon (sgordon@sun1.iusb.indiana.edu)
by Christopher Klaus of Internet Security Systems, Inc.
Christopher Klaus