🚀 go-pugleaf

Jerzy Michal Pawlak <jmp@fuw.edu.pl> wrote:

: In article <57mlhp$768@sunrise.pg.gda.pl>, tbaczyns@sunrise.pg.gda.pl (Tomasz Baczy/nski) writes:
: >
: > 	Przy okazji tej dyskusji chcialbym sie spytac czy jest jakis sposob na
: >zabezpieczenie sie, albo chociaz szybkie (automatyczne) wykrycie sniffingu w
: >podsieci.

: Wykrycia? Przy standardowej technologii nie da sie chyba wykryc, Ethernet
: z samej swojej definicji medium typu 'broadcast' - nadawca jest slyszany
: przez wszystkich odbiorcow na danym segmencie i nie ma mozliwosci 
: stwierdzenia ilu ich jest ani kto oni zacz.

najczesciej jesli ktos snifuje podsiec, ustawia ethernet adapter w promiscous 
mode, jesli ifconfig ci taki tryb pokaze a nie uzywasz wlasnie programu 
do monitorowania sieci to jest zle. Jesli jednak ktos snifuje tylko pakiety
przychodzace/wychadzace z hostu na ktorym sniffer chodzi wykrycie tego wymaga
troche zabiegow (bedac tam oczywiscie zalogowanym -  to zeby znow ktos zle 
nie zrozumial). Jesli chodzi o stwierdzenie ile komputerow wlasnie
slucha na kablu - dosc proste, jednak dziala w zaleznosci od protokolow
i implementacji. Dla TCP/IP np. wystarczy wyslac broadcast z nieprawidlowym
naglowkiem IP, zgodnie z rfc host powinien odpowiedziec ICMP bad parameter
albo zignorowac taki pakiet. wiec zalezy. Generalnie malo kto
uzywa sniferow lapiacych ramki ethernet, raczej lapia tylko te ktore niosa 
pakiety IP iwiec ich "tcp/ip" stack moze odpowiedziec ICMP na zly pakiet.
Mozna sluchac pakietow nie do siebie nie bedac w promiscous mode rowniez,  
(mala kombinacja arp/ip-forwarding) ale czesc systemow nie da sie tak 
oszykac (pakietow IP rzecz jasna).  Tak wiec jest mozliwe napisanie programu
ktory z duzym prawdopodobienstwem stwierdzi czy ktos nas podsluchuje, jednak
wyniki beda zalezne od systemow znajdujacych sie na kablu, stad wynika ze 
przy odpowiednim systemie bedzie to niemozliwe.
Natomiast jesli chodzi o zabezpieczenia przed snifowaniem, dobrym
ale drogim sposobem jest uzywanie switchees zamiast prostuch hubow.
Dana stacja dostanie wtedy tylko te pakiety ktore dla niej sa przeznaczone,
no i broadcasty.

-adam