Недостаточная защита транспортного уровня

Недостаточная защита транспортного уровня — это использование небезопасного уровня шифрования для передачи данных по сети без использования криптографии. Пакет TLS, который передается с этой защитой, будет уязвим для подделки в силу его незашифрованного состояния. Самый распространенный пример этого — передача FTP-пакетов, когда пароли в текстовом виде передаются по сети и могут быть перехвачены, обработаны и проданы в даркнете киберпреступникам. Это приведет к тому, что те, кто вложил время и деньги в свои системы, а не в обеспечение безопасности конечных пользователей, заплатят за это изрядную цену позже. В этом сценарии отправитель и получатель, если не все промежуточные стороны, рискуют быть украденными. Это может помешать хакерам получить доступ к файлам на удаленном сервере.

Недостаточная защита транспортного уровня:

Отсутствие достаточной защиты на транспортном уровне сегодня является чрезвычайно распространенной ситуацией в наборе интернет-протоколов. Из-за этого пользователи стали намного более безопасными, когда речь заходит о передаче их данных по сети, и, следовательно, смогли улучшить свое понимание того, какую информацию они должны или не должны отправлять через незащищенные среды, такие как беспроводные сети или обычные сети. Услуги оператора связи 3G/4G LTE. Именно по этой причине этот конкретный вектор атаки использовался злоумышленниками в прошлом из-за его простоты и эффективности. Одним из самых непосредственных результатов этого типа атак в более крупном масштабе является то, что мы видим сегодня с огромным количеством беспроводных камер наблюдения, развернутых местными органами власти. Чтобы бороться с этим, многие компании внедрили более высокий уровень безопасности транспорта, который обнаруживает любое возможное вмешательство независимо от типа шифрования, используемого в пакетах TLS.

Хотя сегодня TLS является широко распространенным протоколом безопасности почти во всех отраслях, злоумышленникам удалось найти способы обойти шифрование, которое он использует для кражи данных. Это привело к созданию вредоносных веб-сайтов и других ресурсов, которые пытаются использовать эту уязвимость для кражи учетных данных и конфиденциальной информации у ничего не подозревающих пользователей Интернета. Для борьбы с этим был исправлен ряд уязвимостей, чтобы гарантировать, что TLS работает должным образом, чтобы защитить пользователей от таких атак. Несмотря на то, что на сегодняшний день на устройствах все еще существуют тысячи неисправленных реализаций TLS, использование исправлений безопасности значительно возросло в результате обнаружения и исправления этих недостатков различными организациями по всему миру. Можно сказать, что даже несмотря на то, что сегодня существуют тысячи неисправленных реализаций TLS на устройствах, по-прежнему наблюдается значительное сокращение числа компьютеров и других подключенных к Интернету устройств, уязвимых для этого конкретного вектора атаки, по сравнению с тем, как многие были раньше.

Ключевые моменты:

• Соединения HTTPS — это не то же самое, что TLS.
• HTTPS — это протокол уровня 7, а TLS — это протокол уровня 4.
• HTTPS шифрует ваши данные на веб-сайте и с него (часто с помощью встроенного сертификата), TLS шифрует данные при передаче между двумя конечными точками.
• HTTPS также подтверждает, что вы подключаетесь к домену, к которому, по вашему мнению, подключаетесь (т. е. говорит «это Facebook точка com»). TLS аутентифицирует только одну сторону разговора, он не подтверждает, что вы подключились к сайту Facebook.

Преимущества:

• TLS встроен в каждый браузер и операционную систему.
• TLS встроен во все основные интернет-сервисы.
• TLS можно настроить для работы с небольшим объемом памяти, что делает его идеальным для встроенных устройств и приложений Интернета вещей (IoT).

Недостатки:

• Хотя большинство браузеров имеют конфигурацию TLS по умолчанию, в большинстве случаев можно обойти эту первоначальную линию безопасности, изменив некоторые настройки в настройках браузера.
• Это может быть приемлемо, если приложение требует использования очень слабого набора шифров или имеет другие проблемы с безопасностью при использовании TLS. Однако некоторые приложения могут не принимать определенные резервные шифры SSL или определенные версии протокола SSL, которые разрешены по умолчанию во многих браузерах.

Контрмеры:

• HTTPS использует TLS поверх уровня протокола TCP/IP.
• SSL + TLS работают одинаково.
• Расширение согласования протокола прикладного уровня (ALPN) — это новое сообщение рукопожатия TLS, которое позволяет согласовывать различные протоколы прикладного уровня поверх безопасного соединения транспортного уровня SSL или TLS.
• ALPN поддерживается в OpenSSL версии 1.0.2 и более поздних версиях.
• ALPN также поддерживается в Boring SSL версии 1.3.

Вывод:

• Аутентификация, шифрование, целостность и аутентификация — все это важные уровни в архитектуре безопасности.
• Само по себе шифрование не защищает данные. Для защиты данных требуются другие меры.

«Традиционный» подход к обеспечению безопасности связи заключается в использовании симметричного ключа в сочетании с сеансовым ключом, в идеале полученным из некоторого секрета, похожего на парольную фразу. Сгенерированные ключи используются для шифрования и расшифровки данных, а иногда они также используются в качестве хэш-ключей для создания дайджеста сообщения рассматриваемых данных. Теоретически обоснованный, этот подход был предложен Диффи-Хеллманом несколько десятилетий назад и сегодня реализован как метод обмена ключами через Интернет (IKE) в IPsec как в бесплатных, так и в коммерческих программных продуктах.

Чтобы узнать больше, вы можете обратиться к статье Уровни модели OSI.