Nola irakurri IKE_SA_INIT truke berri bat kapturan

Hasi saioaren lehen paketea baino lehen hasten den kaptura batekin, bestela elkarrizketa baten erdia irakurriko duzu. Dagoeneko martxan dagoen negoziazioak truke zifratuak eta gakoen berritzeak erakusten ditu, eta horietako batek ere ez du irekieraren itxura. Irekiera gako gabe deskodetu dezakezun zatia da, eta horregatik erantzuten die hain ondo irisgarritasun-galderi. Ordenean egindako lau egiaztapenek kaptura berri batetik zein aldek hitz egiteari utzi zion esateko baieztapen defendagarri batera eramaten zaituzte.

Lehenik, egiaztatu kaptura hasieran hasten dela

Tunela altxatu ondoren hasitako kaptura batek datu-fluxu enkapsulatua eta keepalive periodikoak izango ditu, eta biak zifratuak edo ia hutsik daude. Berrabiarazi bezeroa eta grabatu saioa bera, edo eragin nahita konexio berri bat kaptura martxan dagoen bitartean. Saio berririk sortu ezin baduzu, idatzi horrela zure oharretan, inolako deskodetzeak ez baitu inoiz grabatu ez zenuen irekiera bat berreskuratzen.

Mugatu kaptura bi muturretara eta UDP 500 eta 4500-era, fitxategia irakurtzeko bezain txikia izan dadin. Ostalari lanpetu batean iragazkirik gabeko kaptura batek negoziazioa trafiko arrotzaren azpian lurperatzen du.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Gorde fitxategia saioa interesgarria denean, kaptura berak erantzuten baitie hurrengo bi galderoi: zein izan zen trukea eta itzuli zen ezer. Etiketatu hasiera-orduarekin eta iragazi zenuen mutur-parearekin. Bi datu horiek gabe kaptura bat erabilgabea da aste batera, helbideak aldatu direnean eta inork gogoratzen ez duenean zein saio grabatu zuen.

Bigarrenik, irakurri goiburua kargen aurretik

IKE goiburuak segurtasun-parametroen indizeak, truke-mota eta mezuaren IDa daramatza, eta negoziazio berri batean balio horiek bereizgarriak dira. Hastekoak zero ez den SPI bat asmatzen du, hasierako eskaerak zero den erantzulearen SPI bat darama erantzunik ikusi ez delako oraindik, truke-mota IKE_SA_INIT da, eta mezuaren IDa zero da. Beste edozein gauza negoziazio beraren etapa berantiarrago batekoa da edo erabat beste saio batetakoa.

Lehen truke honetako proposamen-, gako-truke- eta nonce-kargak argi batean irakurgarriak dira. Irakurgarri izateak ez du autentifikatuta esan nahi, eta puntu honetan inork ez du bere identitatea frogatu.

Diffie-Hellman balio pribatuak ez du inoiz kablea zeharkatzen, beraz kapturak ez dizu saio-gakoak eratortzen uzten. Autentifikazioa hurrengo trukean gertatzen da, lehenengoak negoziatu zuenaz babestuta. Norbaitek alderdiren bat benetakoa den galdetzen badu, truke honek ezin dio galdera horri erantzun. Erakutsi dezakeen bakarra da bi aldeak proposamen batean ados jarri zirela eta fitxategiak ez duen sekretu partekatu bat sortu zutela.

Hirugarrenik, parekatu eskaera bere erantzunarekin

Parekatu SPI parearen, truke-motaren eta mezuaren IDaren arabera, eta gero begiratu erantzun-bandera. Berbidalketa batek jatorrizkoaren mezuaren IDa errepikatzen du eta ez da bigarren saio-hasiera. Paketeak trukeak baino zenbatzea da negoziazio osasuntsu bat begizta fantasma bihurtzeko modua.

Erantzun bat ukoa ere izan daiteke: cookie-eskaera bat, onartezin den talde baten jakinarazpena edo proposamen bati buruzko errore bat. Erantzun zilegiak dira, eta bidea funtzionatzen ari dela esan nahi dute, politika ez bada behintzat. Deskodetu jakinarazpena, erantzun bakoitza arrakasta balitz bezala tratatu beharrean. Jakinarazpenak talde edo proposamen bat izendatzen duenean, konponketa konfigurazioaren aldean dago, ez suebakian.

Norabideak ere badu garrantzia. Erantzunik gabeko eskaera bat eta bezeroarengana inoiz iristen ez den erantzun bat akats desberdinak dira, eta bigarrena soilik dirudi bezeroaren aldeko denbora-muga bat.

Laugarrenik, bereizi IKE 4500eko beste guztitik

4500 atakak hiru gauza daramatza laburpen-ikuspegian antzekoak diruditenak: IKE lau byteko zero non-ESP markatzaile baten atzean, ESP enkapsulatua markatzailearen posizioan zero ez den SPI bat duena, eta keepalive laburrak. Markatzaile horrek bereizten du IKE ESP enkapsulatuetatik, beraz irakurri byte horiek trafikoa IKE deitu aurretik. 4500 irakurtzen duen kaptura-etiketa bat ataka-zenbaki bat da, ez protokolo bat.

ESP enkapsulatua gako gabe interpretatu ezin duzun karga zifratua da, eta haren presentzia tunel funtzionatzen ari denaren seinalea izan daiteke, ez akats bat.

Begiratu bi atakak saio bererako, IKE 4500-era pasa baitaiteke NAT detektatu ondoren, nahiz eta 500ean ireki zen. 500ean soilik iragazitako arrasto bat isil agertzen da negoziazioak arrakasta izan eta lekuz aldatu denean. Zabaldu iragazkia eta irakurri berriro denbora-leiho bera, absentziatik ondoriorik atera aurretik.

Zer esan nahi du isiltasunak behaketa-puntu bakar batean

Bezeroan erantzunik ez egoteak puntu horrek ikusi zuena baino ez du frogatzen. Iragazketak, bideratzeak, urruneko helbide okerrak, geldirik dagoen zerbitzu batek eta protokolo-desadostasunak arrasto huts bera sortzen dute.

ICMP unreachable egoki batek froga gehitzen du, baina irakurri barruan aipatzen den paketea eta idatzi bidali zuen gailuaren helbidea.

Bideratzaile baten ukoa ez da beste alderdiak itzultzen duen errore autentifikatu bat, eta bigarrenak soilik frogatzen du zerbitzua bizirik dagoela. Lotu saio bera zerbitzariaren erregistroekin edo onartutako behaketa batekin, eskaera iritsi zen eta erantzun bat atera zen jakiteko. Eutsi kapturei mugatu eta pribatuei, eskuko ukipenaren eremu irakurgarriek ez baitute fitxategiaren gainerakoa kaltegabe bihurtzen. Merezi duen emaitza eskaera eta erantzun bat parekatuta edukitzea da, edo hutsune dokumentatu bat izendatutako behaketa-puntu batekin.