Ho sempre pensato che NAT fosse una sorta di funzionalità di sicurezza e continuo a pensare che lo sia, perché se non esistesse Internet, rispettivamente i client dietro NATs, sarebbe ancora più insicuro, dato che ad esempio la porta 445 sarebbe aprire direttamente a tutti i client di scansione ecc.
Ma sembra che ci siano alcuni attacchi, in cui tutto ciò che l'utente malintenzionato deve sapere è l'indirizzo IP WAN.
Quali?
Supponendo che il router di casa sia configurato per negare tutte le connessioni in entrata, gli attacchi più facili per ottenere l'accesso remoto alla LAN sfruttano la LAN stessa.
Open WiFi: se la LAN è accessibile tramite WiFi non protetto e il router ha una password predefinita, è banale accedere al router e abilitare alcune porte in entrata. Ovviamente richiede la vicinanza fisica.
"Drive by pharming" : ingannare un utente della LAN nel codice di esecuzione (java applet) che accede al router (assumendo di nuovo una password predefinita o facilmente fendibile) e abilita alcune porte in entrata.
Se l'attaccante può MITM la tua connessione web, potrebbe modificare le pagine mentre navighi per iniettare l'attacco pharming elencato in # 2 per aprire le porte sul tuo router.
Per alcuni router vulnerabili: con accesso alla tua LAN - anche se hai configurato una password di amministratore sicura - un utente malintenzionato può usare nomi host creativi quando registra DHCP per avvelenare la cache DNS o eventualmente inserire XSS nel router interfaccia di amministrazione.
Ancora una volta, per alcuni router vulnerabili: con l'accesso alla tua LAN un utente malintenzionato potrebbe essere in grado di annusare la tua sessione di autenticazione per ottenere la password del router.
Attacchi CSRF: si visita una pagina Web dannosa che tenta CSRF nell'area di amministrazione del router. (Per determinati router vulnerabili con la password predefinita impostata o se è già stato autenticato sul router in quella sessione del browser.)
CSRF combinato con la vulnerabilità di esclusione dell'autenticazione. Alcuni router hanno bug nell'interfaccia di amministrazione web che elaborano richieste non autenticate.
Vedi questo documento ( archivio web ) per i dettagli su alcuni degli attacchi nell'elenco in alto.
Potrebbero esserci attacchi contro il NAT del router che causano DoS ma non l'accesso remoto alla LAN. Non ho elencato nessuno di questi.
Qui ci sono alcuni buoni elenchi di problemi di sicurezza. Tuttavia non ho visto nessuno menzionare NAT Pinning ancora.
Citato dal sito di Samy Kamkar su come funziona il pinning NAT:
- Attacker lures victim to a URL by convincing them that there are pictures of cute kittens on the page.
- Victim clicks on URL and opens the page.
- The page has a hidden form connecting to http://attacker.com:6667 (IRC port).
- The client (victim) submits the form without knowing. An HTTP connection is created to the (fake) IRC server.
- The fake IRC server, run by the attacker, simply listens, unlike me according to former girlfriends.
- The form also has a hidden value that sends: "PRIVMSG samy :DCC CHAT samy [ip in decimal] [port]\n"
- Your router, doing you a favor, sees an "IRC connection" (even though your client is speaking in HTTP) and an attempt at a "DCC chat". DCC chats require opening a local port on the client for the remote chatter to connect back to you.
- Since the router is blocking all inbound connections, it decides to forward any traffic to the port in the "DCC chat" back to you to allow NAT traversal for the friendly attacker to connect back and "chat" with you. However, the attacker specified the port to be, for example, port 21 (FTP). The router port forwards 21 back to the victim's internal system. The attacker now has a clear route to connect to the victim on port 21 and launch an attack, downloading the victim's highly classified cute kitten pictures.
NAT sui router domestici in genere consentono tutte le connessioni in uscita avviate dall'utente dalla LAN. NAT è generalmente associato a UPnP per consentire agli utenti / host / servizi di aprire le porte richieste in uscita come richiesto.
In genere, non vi è alcuna restrizione sull'avvio delle connessioni in uscita per rendere la connessione il più user-friendly possibile.
Se si considerano i seguenti fattori comuni alle distribuzioni del router domestico:
Un attacco che sfrutta il modo in cui il NAT funziona sui router domestici, piuttosto che un attacco diretto al NAT stesso, è semplicemente un attacco di phishing (lancia) contro un utente sulla LAN.
Esempio: un PDF compresso su cui è probabile che l'utente faccia clic e successivamente esegua il codice per chiamare home, sarà in grado di avviare una connessione in uscita consentendo all'utente malintenzionato di utilizzare il canale inverso per sfruttare ulteriormente l'host LAN, come richiesto .
Nota: questo deriva dalla mia esperienza con i router domestici (miliardi, Linksys) che eseguono il firmware predefinito. Se un utente domestico distribuisce un Cisco 877 o Linksys con firmware personalizzato, potrebbero essere applicati controlli di sicurezza aggiuntivi.
Se il NAT è tutto ciò che si sta utilizzando, non fornisce alcuna sicurezza.
Ad esempio, se si ha un server in esecuzione sulla porta 445 ed è NAT'ed su Internet, un utente malintenzionato non ha nemmeno bisogno di sapere che è NAT'ed - il NAT'ing consentirà loro di connettersi ad esso su qualsiasi IP e porta vengono visualizzati su Internet.
Questo non conta nemmeno come un attacco su NAT - NAT è irrilevante qui.
Il pezzo che ti darà sicurezza è la funzionalità di controllo degli accessi / firewall di un router. Questo è ciò che fermerà gli utenti malintenzionati su Internet durante la scansione dei tuoi clienti.
EDIT - è stato sottolineato che il router domestico NAT'ing fornisce il NAT unidirezionale per impostazione predefinita, il che effettivamente ti dà una negazione: tutte le regole di controllo dell'accesso come un firewall.
Consigli:
Se non si utilizzano le password predefinite, (disporre di password con 2 maiuscole, 2 lettere minuscole, 4 numeri e 4 simboli, la password non verrà mai compromessa). Quindi se imposti il router per negare tutte le trasmissioni in entrata, sii responsabile del tuo uso di internet e non apri messaggi di posta elettronica sospetti, sei al sicuro.
Leggi altre domande sui tag network attacks firewalls exploit attack-prevention