Vulnerabilità del NAT puro senza firewall

8

Seguendo alcuni dei commenti su questa domanda , ero curioso delle vulnerabilità della sicurezza del NAT. Esistono thread simili qui e qui ma discutono direttamente le vulnerabilità dei router piuttosto che le vulnerabilità NAT.

Quindi immagino di avere un router direttamente collegato a Internet, il router non ha alcuna configurazione non esplicitamente richiesta per il funzionamento di NAT. Il router inoltre non presenta vulnerabilità dirette nelle porte che potrebbe esporre (ad esempio, ha un'interfaccia HTTP ben progettata con una politica / blocco password complessa). Non è inoltre abilitato il port forwarding sul router. Ovviamente non ha nemmeno una rete Wireless collegata ecc.

Gli unici attacchi possibili sono direttamente su Internet e nessun traffico da dietro il dispositivo NAT visiterà un sito controllato da te.

In questa configurazione c'è un modo per un utente malintenzionato di connettersi a una macchina sull'altro lato del router.

Mi rendo conto che questa è una domanda altamente teorica che la sicurezza non riguarda mai l'attacco a una singola cosa. Gli attacchi riguardano sempre la ricerca del collegamento più debole in un sistema. Tuttavia, senza queste domande teoriche, dovremmo conoscere le vulnerabilità di cui abbiamo bisogno per proteggerci.

(Se sono del tutto onesto però, questa domanda riguarda tanto il dire "dimostrarlo" a coloro che sostengono che il NAT non fornisce alcuna sicurezza)

Come estensione della domanda di cui sopra, quale delle regole di cui sopra dovrebbe essere rimosso o regolato per creare un vettore di attacco realistico.

    
posta Michael B 01.11.2015 - 11:55
fonte

1 risposta

2

Poiché NAT consente solo le risposte alla connessione in uscita, non sono possibili attacchi diretti dall'esterno verso l'interno. Ma gli attacchi denial of service sono ancora possibili. E mentre (D) DOS non influenza direttamente la rete interna, può portare a un rifiuto dei servizi critici che necessitano l'accesso all'esterno, come telefono (VoIP) o servizi casa intelligente .

...and no traffic from behind the NAT device will visit a site controlled by you.

Almeno se si utilizza un browser dietro un firewall di questo tipo, probabilmente questa ipotesi è sbagliata perché si potrebbe semplicemente includere un collegamento a un indirizzo IP locale in un sito Web esterno o creare un nome host esterno che si risolva in un indirizzo IP interno. Questo è effettivamente usato in pratica da Spotify e altri per scopi non di attacco, ma possono naturalmente essere utilizzati anche per attacchi a aggirano stessi la politica originale o compromette il router dall'interno .

    
risposta data 01.11.2015 - 12:18
fonte

Leggi altre domande sui tag