در بخش پنجم اين مقاله به بررسي سرويس هاي NIS/NFS و SSL خواهيم پرداخت .
نهمين نقطه آسيب پذير : عدم پيکربندي مناسب سرويس هاي NIS/NFS
Network File System)NFS) و Network Information Service )NIS) ، دو سرويس مهم استفاده شده در شبکه هاي يونيکس مي باشند. NFS ، سرويسي است که توسط شرکت Sun Microsystems بمنظور اشتراک فايل ها بين سيستم هاي موجود در يک شبکه يونيکس ، طراحي و پياده سازي گرديده است . با استفاده از سرويس فوق امکان اشتراک و دستيابي به فايل هاي موجود بر روي کامپيوترهاي شخصي و کامپيوترهاي بزرگ فراهم مي گردد . NFS ، روش استاندارد اشتراک فايل بين سيستم هاي کامپيوتري متفاوت است . NIS ، يک سرويس بانک اطلاعاتي توزيع شده را براي مديريت اکثر فايل هاي مديريتي مهم نظير فايل هاي passwd و hosts فراهم مي نمايد .مديريت متمرکز NIS ، امکان اعمال تغييرات مورد نظر را از يک نقطه ( بانک اطلاعاتي ) فراهم مي نمايد.(عدم ضرورت اعمال تغييرات بر روي هر سيستم موجود در شبکه ) . مهمترين هدف NIS ، ارائه اطلاعات مربوط به مکان يابي ( Maps ناميده مي شود ) به ساير سرويس هاي شبکه نظير NFS است .فايل هاي passwd و group ، نمونه هائي در اين زمينه ( Maps ها مورد نظر ) بوده که از آنان بمنظور تمرکز در تائيد کاربران استفاده مي گردد. سرويس هاي NIS و NFS ، داراي ضعف هاي امنيتي متعددي ( مثلا" ضعف در سيستم تائيد کاربران ) بوده و در ساليان اخير مهاجمان با استفاده از آنان ، حملات متعددي را سازماندهي و به سرانجام رسانده اند .اکثر حملات انجام شده از نوع buffer overflows ، DoS مي باشد . با توجه به آسيب پذيري سرويس هاي فوق ، مهاجمان همواره از آنان بعنوان هدفي مناسب در جهت حملات خود استفاده نموده اند .
درصورت عدم پيکربندي مناسب سرويس هاي NFS و NIS و Patching مناسب ، سيستم هاي کامپيوتري در معرض تهديد جدي بوده و مهاجمان با سوءاستفاده از حفره هاي امنيـتي موجود قادر به دستيابي سيستم از راه دور و يا بصورت محلي خواهند بود. مکانيزم استفاده شده توسط NIS براي تائيد کاربران داراي ضعف هاي خاص خود بوده و مهاجمان با استفاده از نرم افزارهائي نظير ypcat قادر به نمايش مقادير و داده موجود در بانک اطلاعاتي NIS بمنظور بازيابي فايل رمزعبور مي باشند.
سيستم هاي عامل در معرض تهديد
تقريبا" تمامي سيستم هاي يونيکس و لينوکس بهمراه يک نسخه از NFS و NIS ارائه مي گردند. سرويس هاي فوق، بصورت پيش فرض فعال مي باشند .
نحوه تشخيص آسيب پذيري سيستم
بمنظور تشخيص آسيب پديري سيستم در رابطه با سرويس هاي NIS و NFS موارد زير پيشنهاد مي گردد :
• بررسي و اطمينان از نصب آخرين Patch ارائه شده توسط توليد کننده . تمامي نسخه هائي که بهنگام نشده و يا آخرين Patch موجود بر روي آنان نصب نشده باشد در معرض تهديد و آسيب قرار خواهند داشت . در اکثر نسخه ها با استفاده از دستور rpc.mountd -version مي توان از شماره نسخه NFS نصب شده آگاهي يافت . بمنظور آگاهي از شماره نسخه NIS مي توان از دستور ypserv -version استفاده نمود ( دستور فوق شماره نسخه NFS را نيز نمايش خواهد داد ) .
• بمنظور تشخيص آسيب پذيري نرم افزار، مي توان از يک پويشگر نقاط آسيب پذير بهنگام شده بصورت مستمر استفاده تا بررسي لازم در خصوص ضعف هاي جديد صورت پذيرد.
بمنظور برخورد با عدم پيکربندي مناسب NIS موارد زير پيشنهاد مي گردد :
• اطمينان از عدم نگهداري Root Password در يک NIS map
• سازگاري رمزهاي عبور تعريف شده با سياست هاي امنيتي موجود. در اين راستا مي توان از يک برنامه Cracker بمنظور بررسي استحکام رمزهاي عبور تعريف شده،استفاده نمود.
بمنظور برخورد با عدم پيکربندي مناسب NFS موارد زير پيشنهاد مي گردد :
• بررس لازم در خصوص بهنگام بودن ميزبانان ، netgroups و مجوزها در فايل etc \ exports \ .
• اجراي دستور Showmount e بمنظور مشاهده عناصر export شده و بررسي سازگاري آنان با سياست هاي امنيتي .
نحوه حفاظت در مقابل نقطه آسيب پذير
موارد زير در ارتباط با پيکربندي NIS ، پيشنهاد مي گردد:
• مشخص نمودن صريح سرويس دهندگان NIS بر روي سرويس گيرندگان ( پيشگيري لازم در خصوص تظاهر ساير سيستم ها بعنوان يک سرويس دهنده NIS ) .
• در زمان ايجاد فايل هاي DBM ، ويژگي YP_SECURE فعال گردد . بدين ترتيب ،سرويس دهنده صرفا" به درخواست هاي ارسالي توسط يک سرويس گيرنده و از طريق پورت هاي مجاز ، پاسخ خواهد بود . در اين رابطه مي توان از سوئئچ S بهمراه دستور makedbm استفاده نمود .
• درج ميزبانان مورداعتماد و شبکه ها در var/yp/securenets / که توسط پردازه هاي ypserv و ypxfrd استفاده مي گردد.
• درج ::: 0:0 : * :+ در password map بر روي سرويس گيرندگان NFS
موارد زير در ارتباط با پيکربندي NFS پيشنهاد مي گردد:
• استفاده از آدرس هاي عددي IP و يا FQDN) fully qualified domain names) در مقابل اسامي مستعار (زمانيکه به سرويس گيرندگان در فايل etc / exports اجازه داده مي شود) .
• بمنظوربررسي پيکربندي سيستم مي توان از برنامه اي با نام NFSBug ، استفاده نمود.برنامه فوق امکانات متنوعي را بمنظور تست پيکربندي سيستم ارائه مي نمايد . براي دريافت برنامه NFSBug ، مي توان از آدرس ftp://coast.cs.purdue.edu/pub/tools/unix/nfsbug استفاده نمود .
• اسفاده از فايل etc\exports بمنظور اعمال محدوديت در رابطه با دستيابي به سيستم فايل NFS با افزودن پارامترهاي زير :
- ممانعت کاربران معمولي از mounting يک سيستم فايل NFS با افزودن يک پارامتر ايمن پس از آدرس IP و يا نام Domain مربوط به سرويس گيرنده NFS .
مثلا" : ( home 10.20.1.25(secure /
- export نمودن سيستم فايل NFS با مجوزهاي مناسب .عمليات فوق را مي توان با افزودن مجوزهاي لازم ( ro براي فقط خواندني و يا rw براي خواندن و نوشتن ) پس از آدرس IP مربوط به نام domain سرويس گيرنده NFS در فايل etc\export انجام داد.
مثلا" : ( home 10.20.1.25(ro / .
- در صورت امکان ، از پارامتر root_squash بعد از آدرس IP و نام Domain مربوط به سرويس گيرنده NFS استفاده گردد . در صورتيکه پارامتر فوق فعال شده باشد ، superuser ID root بر روي سرويس گيرنده NFS با کاربر ID nobody در سرويس دهنده NFS جايگزين مي گردد. بدين ترتيب root user بر روي سرويس گيرنده ، قادر به دستيابي و يا تغيير فايل ها بر روي root نخواهند بود.
مثلا" : ( home 10.20.1.25(root_squash / .
• بر روي سيستم عامل سولاريس ، مانيتورينگ پورت فعال گردد. عمليات فوق را مي توان با افزودن Line set nfssrv:nfs_portmon = 1 در فايل etc/system / ، انجام داد .
موارد زير در ارتباط با NFS و NIS پيشنهاد مي گردد :
• بازنگري و بررسي سياست هاي فايروال بمنظور اطمينان از بلاک شدن تمامي پورت هاي غير ضروري( مثلا" پورت 111 ( portmap ) و پورت 2049 ( Rpc.nfsd ) ) .امکان دستيابي به سرويس دهندگان NFS و NIS ، مي بايست صرفا" از طريق سرويس گيرندگان مجاز انجام شود.
• بررسي لازم در خصوص استفاده از NFS بر روي يک پروتکل ايمن نظير SSH . در اين رابطه مي توان از آدرس http://www.math.ualberta.ca/imaging/snfs/ استفاده نمود .
• نصب تمامي patch هاي ارائه شده توسط توليد کنندگان و يا ارتقاء سرويس دهندگان NIS و NFS به آخرين نسخه موجود. براي آگاهي از اطلاعات مربوط به نصب و پيکربندي يونيکس با لحاظ نمودن مسائل امنيتي مضاعف ، مي توان از آدرس UNIX Security Checklist استفاده نمود.
• غير فعال نمودن NFS و NIS مربوط به deamons بر روي سيستم هائي که مختص يک سرويس دهنده NFS و يا NIS طراحي و تائيد نشده اند . بمنظور پيشگيري لازم در اينخصوص مي توان سرويس هاي NIS و يا NFS ( و يا هر دو آنان ) را از روي سيستم حذف نمود.
دهمين نقطه آسيب پذير : ( Open Secure Sockets Layer (SSL
کتابخانه OpenSSL ( بصورت Open source است ) ، نرم افزاري رايج بمنظور افزدون امنيت رمزنگاري به برنامه ها ئي است که از طريق شبکه با يکديگر ارتباط برقرار مي نمايند .سرويس دهنده آپاچي ، مهمترين وشناخته ترين برنامه استفاده کننده از پکيج فوق مي باشد ( بمنظور حمايـت از hhtps ، ارتباط بر روي پورت 443 ) . برنامه هاي متعدد ديگر با انجام برخي تغييرات ، استفاده از OpenSSL بمنظور افزايش امنيـت اطلاعات مبادله شده در يک شبکه را در دستور کار خود قرار داده اند .
برنامه هاي متعددي بمنظور ارائه امنيت رمزنگاري در ارتباط با يک Connection از OpenSSL استفاده مي نمايند . مهاجمان در اغلب موارد در مقابل هدف قرار دادن مستقيم OpenSSL ، برنامه هائي را براي حملات خود انتخاب مي نمايند که از OpenSSL استفاده مي نمايند . يکي از اهداف مهاجمين در اين رابطه ، سرويس دهنده آپاچي است که از OpenSSL استفاده مي نمايد . برنامه هائي ديگر نظير: mail ، openldap,CUPS که از OpenSSL استفاده مي نمايند نيز در معرض تهاجم قرار خواهند داشت .
OpenSSL داراي نقاط آسيب پذير متعددي بوده که مي توان به چهار نمونه مهم آنان اشاره نمود : مورد اول ، مورد دوم ، مورد سوم ، مورد چهارم . مهاجمان با استفاده از نقاط آسيب پذير فوق، قادر به اجراي کد دلخواه بعنوان کاربر کتابخانه OpenSSL مي باشند.
سيستم هاي عامل در معرض تهديد
هر يک از سيستم هاي يونيکس و يا لينوکس که بر روي آنان نخسه OpenSSL 0.9.7 و يا قبل از آن اجراء مي گردد، در معرض اين آسيب قرار خواهند داشت .
نحوه تشخيص آسيب پذيري سيستم
در صورتيکه نسخه version 0.9.7a و يا قبل از آن نصب شده باشد ، سيستم در معرض تهديد و آسيب قرار خواهد داشت . در اين رابطه مي توان از دستور OpenSSL version ، بمنظور آگاهي از شماره نسخه نرم افزار نصب شده ، استفاده نمود.
نحوه حفاظت در مقابل نقطه آسيب پذير
بمنظور حفاظت در مقابل نقطه آسيب پذير فوق ، موارد زير پيشنهاد مي گردد :
• ارتقاء به آخرين و جديدترين نسخه OpenSSL . در صورتيکه OpenSSL بهمراه سيستم عامل نصب شده است ، از توليدکننده سيستم عامل مربوطه مي بايست آخرين نسخه مربوطه را دريافت و آن را بر روي سيستم نصب نمود.
• در صورت امکان ، از ipfilter و ساير ابزارهاي موجود در اين زمينه بمنظور اعمال محدوديت در رابطه با سيستم هائي که مي بايست به سرويس دهنده OpenSSL متصل گردند ،استفاده شود .