Tấn công vào dịch vụ DHCP
DHCP (Dynamic Host Configuration Protocol) là giao thức cấu hình Host động. Giao thức này cung cấp phương pháp thiết lập các thông số TCP/IP cần thiết cho hoạt động của mạng, giúp giảm khối lượng công việc cho quản trị hệ thống. Tuy có nhiều ưu điểm, nhưng giao thức DHCP hoạt động lại khá đơn giản, suốt quá trình trao đổi thông điệp giữa DHCP Server và DHCP Client không có sự xác thực hay kiểm soát truy cập nên cũng phát sinh một số điểm yếu về an toàn.
Ưu điểm của dịch vụ DHCP
DHCP là giao thức cấu hình Host động. Giao thức này cung cấp phương pháp thiết lập các thông số TCP/IP cần thiết cho hoạt động của mạng, giúp giảm khối lượng công việc cho quản trị hệ thống mạng. Dịch vụ DHCP gồm hai thành phần là DHCP Server (máy chủ chạy dịch vụ DHCP) và DHCP Client (máy trạm chạy dịch vụ DHCP).
Quá trình truyền thông giữa một máy tính trạm được cấu hình sử dụng IP động (DHCP Client) với một máy chỉ được cấu hình đảm nhận chức năng cấp phát IP động (DHCP Server) diễn ra như sau:
- Đầu tiên, DHCP Client muốn nhận một địa chỉ IP mới (tức là máy tính này muốn tham gia vào hệ thống mạng) sẽ gửi lên toàn mạng (gửi broadcast) một thông điệp DHCP Discover có chứa địa chỉ MAC của mình để tìm kiếm sự hiện diện của DHCP Server.
- Nếu tồn tại sự hoạt động của một DHCP Server có cùng subnet với DHCP Client trên thì DHCP Server này sẽ phản hồi cho DHCP Client một thông điệp DHCP Offer có chứa địa chỉ IP và các thiết lập TCP/IP khác như một lời đề nghị cho thuê địa chỉ đó.
- Ngay sau khi nhận được thông điệp DHCP Offer đầu tiên, DHCP Client sẽ gửi lại cho DHCP Server đó một thông điệp DHCP như là một lời chấp thuận thuê địa chỉ IP đó.
- Cuối cùng, DHCP Server sẽ gửi lại cho DHCP Client thông điệp DHCP Acknowledgment để xác nhận lần cuối hợp đồng cho thuê địa chỉ IP.
Sau bốn bước trên, máy tính trạm có thể sử dụng IP vừa được thuê để truyền thông với các máy tính khác trên hệ thống mạng. Sử dụng dịch vụ DHCP sẽ có các ưu điểm sau:
- Quản lý TCP/IP tập trung: dịch vụ DHCP sẽ quản lý tập trung trên giao diện của nó. Điều đó giúp người quản trị dễ dàng quản lý, cấu hình, khắc phục khi có lỗi xảy ra trên các máy trạm.
- Giảm khối lượng công việc cho các nhà quản trị hệ thống: với dịch vụ DHCP, người quản trị không phải đến từng máy trạm để cấp phát địa chỉ IP và người dùng cũng không tự ý thay đổi địa chỉ IP của mình được.
- Giúp hệ thống mạng luôn được duy trì ổn định: dịch vụ DHCP cấp phát IP động cho máy trạm từ dải IP có sẵn trên DHCP Server, nên sự trùng lặp IP không bao giờ xảy ra, các máy trạm luôn có cấu hình TCP/IP chuẩn, giúp hệ thống mạng hoạt động liên tục, ổn định cao.
- Linh hoạt và tăng khả năng mở rộng: qua giao diện của dịch vụ DHCP người quản trị có thể dễ dàng thay đổi cấu hình IP cho toàn bộ các máy khi cơ sở hạ tầng thay đổi, có thể giới hạn hoặc mở rộng dải địa chỉ IP cho hệ thống mạng.
Tấn công vào dịch vụ DHCP
Tuy có nhiều ưu điểm, nhưng giao thức DHCP hoạt động lại khá đơn giản, suốt quá trình trao đổi thông điệp giữa DHCP Server và DHCP Client không có sự xác thực hay kiểm soát truy cập. DHCP Server không thể biết được rằng nó đang liên lạc với một DHCP Client bất hợp pháp hay không, ngược lại DHCP Client cũng không thể biết DHCP Server đang liên lạc có hợp pháp không. Như vậy sẽ có hai tình huống xảy ra:
Khi DHCP Client là một máy trạm bất hợp pháp
Khi kẻ tấn công thỏa hiệp thành công với một DHCP Client hợp pháp trong hệ thống mạng, sau đó thực hiện việc cài đặt, thực thi một chương trình. Chương trình này liên tục gửi tới DHCP Server các gói tin yêu cầu xin cấp địa chỉ IP với các địa chỉ MAC nguồn không có thực, cho tới khi dải IP có sẵn trên DHCP Server cạn kiệt vì bị nó thuê hết. Điều này dẫn tới việc DHCP Server không còn địa chỉ IP nào để cho các DHCP Client hợp pháp thuê, khiến dịch vụ bị ngưng trệ, các máy trạm khác không thể truy nhập vào hệ thống mạng để truyền thông với các máy tính trong mạng.
Trường hợp tấn công này chỉ làm cho các máy tính đăng nhập vào hệ thống mạng (sau khi bị tấn công) không thể sử dụng dịch vụ DHCP, dẫn đến không vào được hệ thống mạng. Còn các máy trạm khác đã đăng nhập trước đó vẫn hoạt động bình thường.
Đây là kiểu tấn công từ chối dịch vụ DHCP dễ dàng nhất mà kẻ tấn công có thể thực hiện. Kẻ tấn công chỉ cần rất ít thời gian và băng thông là có thể thực hiện được cuộc tấn công này.
Khi DHCP Server là một máy chủ bất hợp pháp
Khi kẻ tấn công phá vỡ được các hàng rào bảo vệ mạng và đoạt được quyền kiểm soát DHCP Server, nó có thể tạo ra những thay đổi trong cấu hình của DHCP Server theo ý muốn. Kẻ tấn công có thể tấn công hệ thống mạng theo các cách sau:
Tấn công DoS hệ thống mạng: Kẻ tấn công thiết lập lại dải IP, subnet mask của hệ thống để các máy trạm hợp pháp không thể đăng nhập vào hệ thống mạng được, tạo ra tình trạng DoS trong mạng.
Tấn công theo kiểu DNS redirect: Kẻ tấn công đổi các thiết lập DNS để chuyển hướng yêu cầu phân dải tên miền của Client tới các DNS giả mạo, kết quả là Client có thể bị dẫn dụ tới các website giả mạo được xây dựng nhằm mục đích đánh cắp thông tin tài khoản của người dùng hoặc website có chứa các mã độc, virus, trojan... sẽ được tải về máy Client.
Tấn công theo kiểu Man-in-the-middle: Kẻ tấn công thay đổi Gateway mặc định trỏ về máy của chúng, để toàn bộ thông tin mà Client gửi ra ngoài hệ thống mạng sẽ được chuyển tới máy này thay vì tới Gateway mặc định thực sự. Sau khi xem được nội dung thông tin, gói tin sẽ được chuyển tiếp đến Gateway thực sự của mạng và Client vẫn truyền bình thường với các máy ngoài mạng mà người dùng không hề biết họ đã để lộ thông tin cho kẻ tấn công.
Nhược điểm của cách tấn công này là kẻ tấn công chỉ có thể xem trộm nội dung thông tin của gói tin gửi ra ngoài mạng mà không thể xem nội dung thông tin của gói tin gửi cho Client từ bên ngoài mạng.
Các phương pháp bảo vệ sự tấn công DHCP
Với tấn công từ chối dịch vụ bằng cách sử dụng một DHCP Client bất hợp pháp, ta có thể khắc phục bằng cách sử dụng các switch có tính năng bảo mật cao, giúp hạn chế số lượng địa chỉ MAC có thể sử dụng trên một cổng. Mục đích là để ngăn chặn việc có quá nhiều địa chỉ MAC sử dụng trên một cổng đó trong một khoảng thời gian giới hạn, nếu vượt qua giới hạn này cổng sẽ bị đóng lại ngay lập tức. Thời gian cổng hoạt động trở lại tùy thuộc vào giá trị mặc định do người quản trị mạng thiết lập.
Với cuộc tấn công theo kiểu Man- in- the-Middle sử dụng DHCP Server giả mạo, ta có thể khắc phục bằng cách sử dụng các switch có tính năng bảo mật DHCP snooping. Tính năng này chỉ cho kết nối đến DHCP trên một hoặc một số cổng tin cậy nhất định. Chỉ có những cổng này mới cho phép gói tin DHCP Response hoạt động. Cổng này được người quản trị mạng kết nối đến DHCP Server thật trong hệ thống với mục đích ngăn chặn không cho DHCP Server giả mạo hoạt động trên những cổng còn lại.
Ngoài ra, chúng ta có thể sử dụng các phương pháp bảo mật cơ bản cho DHCP Server gồm: Bảo mật về mặt vật lý cho các DHCP Server; Sử dụng hệ thống file NTFS để lưu trữ dữ liệu hệ thống; Triển khai sử dụng các giải pháp Anti - virus mạnh cho hệ thống; Thường xuyên cập nhật các bản vá lỗi cho các phần mềm và Windows; Các dịch vụ hay các phần mềm không sử dụng thì nên gỡ bỏ; Thực hiện việc Quản lý DHCP với người dùng có quyền hạn tối thiểu nhất; DHCP Server phải được đặt phía sau Firewall; Đóng tất cả các cổng không sử dụng đến; Sử dụng việc lọc địa chỉ MAC; Giám sát hoạt động của DHCP bằng cách xem các file log và xem thông tin thống kê của hệ thống trên DHCP Server.
Kết luận
Như vậy, dịch vụ DHCP có nhiều ưu điểm, tuy nhiên những nguy cơ đe dọa về an toàn thông tin cũng là không nhỏ. Việc sử dụng dịch vụ DHCP phải đi liền với các phương pháp bảo mật cho hệ thống mạng, vì khi hệ thống mạng bị tấn công sẽ dẫn đến hậu quả khó kiểm soát được. Vì vậy, thực hiện các giải pháp để khắc phục điểm yếu trong DHCP hết sức cần thiết q
Trang liên kết