TCP Sequence Prediction ed è preminente nei sistemi / reti moderni

La previsione della sequenza TCP era un argomento caldo intorno al 2001, ma la maggior parte dei venditori ha aggiornato il proprio sistema operativo abbastanza rapidamente in quel periodo. Vedi questo advisor CERT a partire da settembre 2001, che include dichiarazioni di vari fornitori. Fondamentalmente, se l'attacco di previsione della sequenza TCP funziona contro un sistema, quel sistema non è stato aggiornato con correzioni di sicurezza da più di un decennio, il che significa quasi certamente che ha problemi di sicurezza molto più grandi.

Per generare numeri di sequenza imprevedibili, le implementazioni sono incoraggiate a seguire la tecnica descritta in RFC 6528 (che sostituisce il vecchio < a href="http://tools.ietf.org/html/rfc1948"> RFC 1948 ). Questo è un PRNG personalizzato con MD5. Crittograficamente parlando, questo PRNG fa schifo: oltre ad usare una funzione hash di dubbia robustezza, lo usa anche "sbagliato" (che è un Merkle-Damgård costruzione; attenzione dovrebbe essere impiegata quando si concatena semplicemente una chiave con qualche input conosciuto; HMAC dovrebbe invece essere usato come elemento di costruzione; e lo schema generale non è molto veloce (una buona cifra di flusso sarebbe molto meglio). Tuttavia, la velocità non è un problema strong qui (un sistema di fascia bassa sarà ancora in grado di calcolare quell'algoritmo milioni di volte al secondo, l'elaborazione delle richieste SYN in arrivo sarà il collo di bottiglia, non l'hashing) e non abbiamo bisogno di forza crittografica molto alta, poiché l'attaccante può "essere fortunato" con probabilità 2 ^-32 comunque, quindi il PRNG non deve essere migliore di quello ( l'obiettivo tipico degli algoritmi crittografici è 2 ^-80 o inferiore).

Riepilogo: l'attacco di previsione della sequenza TCP è una cosa del passato; bello da sapere, ma non applicabile ai sistemi che sono stati mantenuti negli ultimi dieci anni circa.

Personalmente non ho ancora trovato un sistema moderno che abbia avuto questa vulnerabilità.

Molti, se non tutti, i moderni sistemi operativi sono stati fissati per utilizzare numeri di sequenza iniziali imprevedibili come proposto da RFC 1948 . RFC 1948 è stato progettato specificamente per difendersi dagli attacchi del numero di sequenza che hai definito. Questo era originariamente un problema nei primi anni 2000 e, di conseguenza, molti nuovi sviluppi sono stati rattoppati prima del rilascio.

Nmap fornirà le informazioni sulla sequenza TCP e indurrà in modo approfondito quanto è difficile il sistema per la previsione della sequenza TCP.

Ad oggi, tutti i sistemi live che ho provato personalmente (che non sono stati macchine Windows 95 o NT) sono stati definiti come 'Buona fortuna' ('impossibile') da Nmap.

Oltre alla risposta di D3C4FF, il secondo caso è ovviamente:

Se sono nella stessa sottorete di uno degli endpoint, posso iniettare pacchetti in flussi TCP esistenti predittendo numeri di sequenza.

Questo ovviamente dipende dal fatto che l'attaccante può vedere i numeri di sequenza usati da uno stream TCP esistente - non si tratta di prevedere i numeri di sequenza iniziali.

Personalmente ho usato un'iniezione TCP RST in questo stile per disattivare la radio Internet di un coinquilino dopo che si era rifiutato di abbassare il volume.

Per quanto sia diffuso questo metodo in natura, direi che è solo un altro attacco disponibile per gli autori di malware. Se stavo scrivendo un rootkit e volevo devastare la rete interna, la previsione della sequenza TCP è solo uno di un lungo elenco di strumenti che potrei prendere in considerazione.