Identité De Centre serveur

Share

|

L'identité de centre serveur est intimement liée à la gestion de réseau. Un centre serveur non relié à n'importe quel réseau peut avoir n'importe quel nom, parce que le nom est employé seulement localement. Un centre serveur s'est relié à un réseau peut avoir beaucoup de noms ou un nom, selon la façon dont l'interface au réseau est structurée et le contexte dans lequel le nom est employé.

Le modèle d'ISO/OSI fournit un contexte pour la question de l'appellation. Rappelez-vous que le modèle d'ISO/OSI se compose de série de couches. Chaque centre serveur, conceptuellement, a un principal à chaque couche qui communique avec un pair sur d'autres centres serveurs. Ces directeurs communiquent avec des principaux à la même couche sur d'autres centres serveurs. Chacun principal sur un centre serveur individuel peut avoir différents noms (également appelés les "adresses") à chaque couche. Tous les noms identifient le même centre serveur, mais chacun se rapporte à un contexte particulier dans lequel le centre serveur fonctionne.

EXEMPLE : Un ordinateur a une adresse d'Ethernet (couche de Media Access Control, ou IMPER) de 00:05:02:6B:A8:21, un IP address de 192.168.35.89, et un nom d'hôte de cherry.orchard.net. Au niveau de liaison de transmission de données, le système est connu par son adresse d'Ethernet. Au niveau de réseau, il est connu par son IP address. Au niveau d'application, il est connu par son nom d'hôte. Le système est également sur un réseau d'Appletalk, avec une adresse d'Appletalk du réseau 51, le noeud 235. D'autres systèmes sur le réseau d'Appletalk identifient le centre serveur par ce nom.

Shoch suggère qu'un "nom" identifie un principal et une "adresse" identifie où ce principal est localisé. Dans le contexte de l'identification de centre serveur, l'"adresse" indique où sur un réseau (et, parfois, le réseau spécifique) le centre serveur est situé. Un "nom" indique dans quel domaine le centre serveur réside, et correspond à une adresse particulière. Bien que la terminologie de Shoch soit instructive dans beaucoup de contextes, dans ce contexte un endroit identifie un principal aussi bien comme nom. Nous ne distinguons pas les deux dans le contexte de l'identification.

Si un attaquant peut charrier l'identité d'un autre centre serveur, tous les protocoles qui se fondent sur cette identité se fondent sur des lieux défectueux et donc sont charriés. Quand un centre serveur a un ordre des noms, chacun qui se fonde sur le nom précédent, alors un attaquant charriant la première identité peut compromettre toutes les autres identités. Par exemple, l'identité de centre serveur est basée sur l'identité d'IP. De même, l'identité d'IP est basée sur l'identité d'Ethernet. Si un attaquant peut changer des entrées dans les bases de données contenant tracer d'une identité plus basse à une identité de plus haut niveau, l'attaquant peut charrier un centre serveur par le trafic de conduite à l'autre.

Marques statiques et dynamiques

Une marque peut être statique ou dynamique. Une marque statique ne change pas le temps fini ; une marque dynamique change en raison d'un événement (tel qu'un raccordement à un réseau) ou du temps d'excédent.

Les bases de données contiennent des tracés entre différents noms. Mieux connu de ces derniers est le service de Domain Name (DNS), qui associe des noms d'hôte et des adresses d'IP. En l'absence de l'authentification cryptographique des centres serveurs, l'uniformité du DNS est employée pour fournir l'authentification faible.

EXEMPLE : Le DNS contient les disques vers l'avant, que les noms d'hôte de carte dans l'IP adresse, et l'inverse enregistre, qui trace des adresses d'IP dans des noms. Une consultation renversée de domaine se produit quand un processus extrait le IP address de son pair à distance, détermine le nom d'hôte associé (peut-être en utilisant le DNS), et puis obtient l'ensemble d'adresses d'IP liées à ce nom d'hôte (encore, probablement en utilisant le DNS). Si le IP address obtenu à partir du pair assortit un quelconque de ces adresses d'IP liées à ce nom d'hôte, alors le nom d'hôte est accepté en tant que celui obtenu en la première consultation. Autrement, le nom d'hôte est rejeté comme untrusted.

La croyance dans la fidélité du nom d'hôte se fonde dans ce cas-ci sur l'intégrité de la base de données de DNS

Des marques flottantes sont assignées aux principaux pendant un temps limité. Typiquement, un serveur maintient une piscine des marques. Un client entre en contact avec le serveur en utilisant une marque convenue dessus entre les deux (la marque locale). Le serveur transmet une marque que le client peut employer dans d'autres contextes (la marque globale) et informe tous les centres serveurs intermédiaires (tels que des passages) de l'association entre les marques locales et globales.

EXEMPLE : L'université de Bootless fournit un réseau auquel les étudiants peuvent connecter des ordinateurs portatifs. Plutôt qu'assignez à chaque ordinateur portatif d'étudiant un IP address, l'université a créé un serveur de DHCP pour ce réseau. Quand un étudiant relie son ordinateur portatif au réseau, l'ordinateur portatif transmet son adresse d'IMPER (Media Access Control) au serveur. Le serveur répond avec un IP address inutilisé appartenant au réseau. L'ordinateur portatif accepte ce IP address et l'emploie pour communiquer sur l'Internet.

Un passage peut traduire entre une adresse locale et une adresse globale.

EXEMPLE : La compagnie de Zerbche a 500 ordinateurs sur un réseau local, mais seulement 256 adresses d'Internet. Le réseau interne assigne en tant qu'adresses (fixes) de gens du pays les adresses 10.1.x.y d'IP, où x et y reflètent les détails internes de configuration non appropriés ici. Un passage relie le réseau interne à l'Internet. Quand un utilisateur au centre serveur 10.1.3.241 (de parole) veut accéder à l'Internet, il expédie ses paquets au passage. Le passage assigne un IP address légitime à l'adresse interne et locale ; dites que le IP address est 101.43.21.241. Le passage récrit alors l'adresse de source de chaque paquet, changeant 10.1.3.241 à 101.43.21.241, et met les paquets dehors sur l'Internet. Quand le passage reçoit des paquets destinés au centre serveur 101.43.21.241, il vérifie son table interne, récrit ces adresses en tant que 10.1.3.241, et les expédie au réseau interne, et les paquets vont à leur destination. Cette traduction est invisible à l'une ou l'autre fin de la communication, et permet jusqu'à un certain nombre de centres serveurs sur le réseau interne de communiquer avec des centres serveurs sur l'Internet. Le protocole d'adresse de réseau (NATIONAL) est employé sur l'Internet pour exécuter cette fonction.

En l'absence de la cryptographie, l'authentification employant l'appellation dynamique est différente de l'authentification en utilisant l'appellation statique. Le problème primaire est que l'association de l'identité avec un principal change le temps fini, ainsi n'importe quelle authentification basée sur le nom doit également expliquer le temps. Par exemple, si les entrées record de DNS correspondant au nom dynamique ne sont pas mises à jour toutes les fois que le nom est attribué à nouveau, la méthode renversée de consultation de domaine d'authentification échoue.

Cet échec ne signifie pas nécessairement que le DNS a été compromis. Quelques systèmes stockent l'information vers l'avant et renversée de consultation dans les dossiers séparés. La mise à jour du dossier vers l'avant de l'information de consultation ne change pas le dossier renversé de l'information de consultation. À moins que le dernier soit mis à jour également, le problème indiqué se produit.

La technique renversée de consultation de domaine de l'authentification correspond à vérifier une propriété d'un principal (ce qui est elle) avec l'appellation statique, parce que le nom est lié de manière permanente au principal. Mais cette technique correspond à vérifier une possession d'un principal (ce qu'elle a) avec l'appellation dynamique, parce que le directeur abandonnera ce nom à un certain point.

Titres avec le service de Domain Name

Arrangement la centralité de la confiance dans les bases de données qui les associations record de l'identité avec des principaux est critique à l'arrangement l'exactitude de l'identité. Le DNS fournit un exemple de ceci. La croyance dans la fidélité du nom d'hôte se fonde dans ce cas-ci sur l'intégrité de la base de données de DNS. Si l'association entre un nom d'hôte et un IP address peut être corrompue, la marque en question sera associée au centre serveur faux.

Il y a plusieurs attaques sur le DNS. Le but de ces attaques est de faire associer une victime inexactement un IP address particulier à un nom d'hôte. Ils supposent que l'attaquant peut commander les réponses d'un domain name server bien fondé. l'"commande" signifie que l'attaquant a le contrôle du serveur nommé ou peut arrêter des questions à ce serveur et renvoyer ses propres réponses.

L'attaquant peut changer les disques associant le IP address au nom d'hôte, de sorte qu'une question pour une renvoie une réponse incorrecte pour l'autre. Une deuxième technique, connue sous le nom de "empoisonnement de cachette," se fonde sur la capacité d'un serveur d'ajouter les disques supplémentaires de DNS à la réponse à une question. Dans ce cas-ci, les disques supplémentaires se sont ajoutés fournissent l'information incorrecte d'association. Schuba emploie ceci pour démontrer comment la consultation nommée renversée peut être compromise. L'attaquant se relie à la victime. La victime questionne le DNS pour le nom d'hôte lié au IP address. L'attaquant s'assure que deux disques sont retournés : un disque avec le nom d'hôte faux s'est associé au IP address, et au disque renversé. Le protocole de DNS permet ceci qui ferroute pour permettre au client de cacher des disques. La cachette est vérifiée avant que tous les disques soient demandés au serveur, ainsi ceci peut sauver une demande de réseau. La troisième technique ("demandez-moi") est semblable : l'attaquant prépare une demande que la victime doit résoudre en questionnant l'attaquant. Quand la victime questionne l'attaquant, l'attaquant renvoie la réponse, avec deux disques pour tracer ce il essaye de charrier (un pour tracer vers l'avant, un pour l'inverse).

L'utilisation judicieuse des techniques cryptographically basées couplées à l'administration soigneuse des serveurs de DNS peut efficacement limiter la capacité des attaquants d'employer ces attaques. L'infrastructure de support est en cours de conception et développement.