Уязвимость PPPoE

[Volkorny]

Привет!

Хотелось бы обсудить надежность протокола PPPoE.

Во-первых меня интересует, что будет если в одной сети появятcя два PPPoE сервера с однаковым Service Name? (например один сервер провайдера, а второй ложный, и его цель - получить пароли).

Второе - читал что при использовании CHAP пароли передаются в зашифорваном виде. Но если перехватить зашифорваный пароль (например снифером), разве нельзя используя специальный софт создать PPPoE сесию воспользовавшись перехваченым зашифрованным паролем?

[Guest]

Что касается паролей:

Сам RFC не прочитал и потому моя информация требует сверки с ним.

CHAP пароль хранится в открытом виде на сервере. Пользователь и сервер к паролю применят хеш функцию и уже сервер сверяет свой результат этой функции и результат функции полученный от клиента. И если результаты совпадают, то сервер принимает решение, что пользователю известен пароль.

 

Но не факт, что пароль на сервере и у клиента одинаковые. Практически таких несовпадений не встретишь.

[jab]

Следует начать с того, что идеально надежных протоколов просто не существует. Даже ipsec сессию можно записать на носитель и потом

неспеша рассшифровывать. PPPoE с CHAP имеет достаточную надежность

если посчитать стоимость взлома. Собственно - школьники его вряд-ли

взломают, а тем кто умеет ломать - проще и дешевле купить интернет

легально чем подставляться за копейки. Кроме того, украсть пароль

с компьютера пользователя гораздо проще чем взламывать CHAP-challenge. :-)

[Volkorny]

На счет пароля понятно, а что на счет двух серверов с одноковыми именами?

[jab]

Вам знакомо понятие hash-функции ?

[Volkorny]

Вам знакомо понятие hash-функции ?

Да, и понимаю что снифером пароль не получишь, а только результат hash-функции пароля (зашифрованый пароль), но для открытия сесии не нужен пароль, нужен именно зашифрованый пароль. Для етого просто нужно использовать софт который создаст PPPoE сесию не с помощю пароля, а с помощю результата hash-функции пароля.

[jab]

Я еще раз повторяю, пионер нормальную man-in-the-middle сделать не сможет,

это не MAC-адрес поменять. А нормальный хакер прекрасно понимает что

такие вещи моментально вычисляются и решаются административными

методами ( высыланием наряда милиции на дом ). :-)

[Roman Ivanov]

Вам знакомо понятие hash-функции ?

Да, и понимаю что снифером пароль не получишь, а только результат hash-функции пароля (зашифрованый пароль), но для открытия сесии не нужен пароль, нужен именно зашифрованый пароль. Для етого просто нужно использовать софт который создаст PPPoE сесию не с помощю пароля, а с помощю результата hash-функции пароля.

 

Хммм... Это как? Ваш сервер будет угадывать hash для шифрования у настоящего?

 

Вот смотри - клиент тыкается в твой сервер, ты посылаешь hash, он шифрует пароль и отсылает к тебе.

 

Потом ты, тыкаешся в реальный сервер, а он тебе другой hash для шифровки дает ;)

 

Как ни крути PPPoE достаточно защищен. А супа-профи - еденицы на целые города.

[O6OPMOT]

А супа-профи - еденицы на целые города.

и занимаются они совершенно другим :))))))))

[Volkorny]

Я еще раз повторяю, пионер нормальную man-in-the-middle сделать не сможет,

это не MAC-адрес поменять. А нормальный хакер прекрасно понимает что

такие вещи моментально вычисляются и решаются административными

методами ( высыланием наряда милиции на дом ). :-)

Интересно как можно узнать кто именно хакерствует?

[Volkorny]

На счет пароля разобрались, по сети его не поймаешь, а что на счет двух серверов с одноковыми именами?

Меня инетресует не возможность кражи пароля, а сможет ли пользователь подключится к реальному серверу если будут два с одноковыми именами?

[Roman Ivanov]

На счет пароля разобрались, по сети его не поймаешь, а что на счет двух серверов с одноковыми именами?

Меня инетресует не возможность кражи пароля, а сможет ли пользователь подключится к реальному серверу если будут два с одноковыми именами?

 

А вот за это - наряд милиции ;)

[Volkorny]

На счет пароля разобрались, по сети его не поймаешь, а что на счет двух серверов с одноковыми именами?

Меня инетресует не возможность кражи пароля, а сможет ли пользователь подключится к реальному серверу если будут два с одноковыми именами?

А вот за это - наряд милиции ;)

А как узнать кому посылать? Мак можно поставить "левый". Единственный выход - по-очереди кабели отключать?

[UglyAdmin]

А как узнать кому посылать? Мак можно поставить "левый". Единственный выход - по-очереди кабели отключать?

Зачем? Посылаешь запрос, получаешь ответ с MAC-адресом.

Смотришь в таблицу свитча, к какому порту он относится... Заходишь на следующий свитч, смотришь этот MAC в нём и так далее.

В конце концов получаешь нужный порт и подключенного к нему юзера.

Если Вы скажете, что у Вас сеть на неуправляемых мыльницах неизвестного происхождения - это Ваши проблемы, серьёзные сети так не строят, в них качество даже приблизительно обеспечить нельзя. Пионэрство это.

 

Впрочем, нет. На управляемых свитчах просто настраивают сегментацию траффика, и никому кроме себя самого и провайдера поддельный сервер ответить не сможет - на него броадкасты никогда не попадут.

[Guest]

Если Вы скажете, что у Вас сеть на неуправляемых мыльницах неизвестного происхождения - это Ваши проблемы, серьёзные сети так не строят, в них качество даже приблизительно обеспечить нельзя. Пионэрство это.

 

Впрочем, нет. На управляемых свитчах просто настраивают сегментацию траффика, и никому кроме себя самого и провайдера поддельный сервер ответить не сможет - на него броадкасты никогда не попадут.

 

Для сетей на управляемых свичах PPPoE не особо актуально. :-)

Там port security + static arp или даже per user vlan.

[UglyAdmin]

Для сетей на управляемых свичах PPPoE не особо актуально. :-)

Там port security + static arp или даже per user vlan.

 

Актуально, актуально.

Так намного проще работать с клиентом в плане биллинга, аккаунтинга и т.п.

per user vlan - на всех не хватит, мало их.

Да и IP поверх Ethernet - это некузяво и расточительно, хоть и очень просто.

(Вот зажрались, блин... Растёт, растёт телеком :))

[Barsick]

Вот смотри - клиент тыкается в твой сервер, ты посылаешь hash, он шифрует пароль и отсылает к тебе.

 

Потом ты, тыкаешся в реальный сервер, а он тебе другой hash для шифровки дает ;)

 

Так поставить сервер с РАР - и получишь пароль открытым текстом :)

[Taras]

Так поставить сервер с РАР - и получишь пароль открытым текстом :)

 

Так надо в клиентских настройках запрещать PAP