Kif taqra skambju IKE_SA_INIT ġdid f’qabda

Ibda minn qabda li tibda qabel l-ewwel pakkett tal-attentat, inkella tkun qed taqra nofs konverżazzjoni. Negozjazzjoni li diġà għaddejja turi skambji kriptati u tiġdid ta’ ċwievet, u l-ebda waħda minnhom ma tidher bħall-ftuħ. Il-ftuħ huwa l-parti li tista’ tiddekodifika mingħajr ċwievet, u għalhekk iwieġeb daqstant tajjeb mistoqsijiet dwar l-aċċessibilità. Erba’ verifiki fl-ordni jwassluk minn qabda friska għal dikjarazzjoni difendibbli dwar liema naħa waqfet titkellem.

L-ewwel, ikkonferma li l-qabda tibda mill-bidu

Qabda mibdija wara li t-tunnel tela’ se jkollha l-fluss tad-data inkapsulat u keepalives perjodiċi, u t-tnejn huma jew kriptati jew kważi vojta. Erġa’ ibda l-klijent u rrekordja l-attentat innifsu, jew ħolqot konnessjoni ġdida apposta waqt li l-qabda tkun għaddejja. Jekk ma tistax tipproduċi attentat frisk, ikteb dan fin-noti tiegħek, għax l-ebda dekodifikazzjoni ma terġa’ ġġib ftuħ li qatt ma rrekordjajt.

Illimita l-qabda għaż-żewġ punti tat-tarf u għal UDP 500 u 4500 biex il-fajl jibqa’ żgħir biżżejjed biex jinqara. Fuq hosts impenjattivi qabda mingħajr filtru tadfen in-negozjazzjoni taħt traffiku mhux relatat.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Żomm il-fajl meta l-attentat ikun interessanti, għax l-istess qabda twieġeb iż-żewġ mistoqsijiet li ġejjin: x’kien l-iskambju, u jekk ġie lura xi ħaġa. Ittikkettah bil-ħin tal-bidu u bil-par punti tat-tarf li ffiltrajt fuqu. Qabda mingħajr dawn iż-żewġ fatti hija bla użu ġimgħa wara, meta l-indirizzi jkunu nbidlu u ħadd ma jiftakar liema attentat ġie rrekordjat.

It-tieni, aqra l-intestatura qabel il-payloads

L-intestatura IKE ġġorr l-indikaturi tal-parametri tas-sigurtà, it-tip ta’ skambju u l-ID tal-messaġġ, u f’negozjazzjoni ġdida dawn il-valuri huma distintivi. L-inizjatur jaħseb SPI li mhuwiex żero, it-talba inizjali ġġorr SPI ta’ min iwieġeb żero għax għadu ma ntwera l-ebda tweġiba, it-tip ta’ skambju huwa IKE_SA_INIT, u l-ID tal-messaġġ huwa żero. Kull ħaġa oħra tappartjeni għal stadju aktar tard ta’ din in-negozjazzjoni jew għal attentat għal kollox differenti.

Il-payloads tal-proposta, tal-iskambju taċ-ċwievet u tan-nonce f’dan l-ewwel skambju jinqraw fil-beraħ. Li tinqara mhuwiex ifisser awtentikata, u f’dan il-punt l-ebda naħa ma wriet l-identità tagħha.

Il-valur privat Diffie-Hellman qatt ma jaqsam il-wajer, għalhekk il-qabda ma tħallikx tiddeduċi ċwievet tas-sessjoni. L-awtentikazzjoni sseħħ fl-iskambju li jmiss, protetta minn dak li nnegozjat l-ewwel waħda. Jekk xi ħadd jistaqsi jekk naħa hijiex awtentika, dan l-iskambju ma jistax iwieġeb dik il-mistoqsija. Jista’ biss juri li ż-żewġ naħat qablu dwar proposta u pproduċew sigriet komuni li l-fajl ma fihx.

It-tielet, qabbel it-talba mat-tweġiba tagħha

Qabbel fuq il-par SPI, it-tip ta’ skambju u l-ID tal-messaġġ, imbagħad iċċekkja l-bandiera tat-tweġiba. Trażmissjoni mill-ġdid tirrepeti l-ID tal-messaġġ oriġinali u mhijiex it-tieni tentattiv ta’ dħul. Li tgħodd pakketti minflok skambji huwa l-mod kif negozjazzjoni sana tinbidel f’linja fantażma.

Tweġiba tista’ tkun ukoll ċaħda: talba għal cookie, notifika dwar grupp inaċċettabbli, jew żball dwar proposta. Dawn huma tweġibiet leġittimi, u jfissru li t-triq taħdem filwaqt li l-politika ma taħdimx. Iddekodifika n-notifika minflok ma tqis kull tweġiba bħala suċċess. Meta n-notifika ssemmi grupp jew proposta, it-tiswija hija fuq in-naħa tal-konfigurazzjoni u mhux fil-firewall.

Id-direzzjoni hija importanti wkoll. Talba mingħajr tweġiba u tweġiba li qatt ma tasal għand il-klijent huma ħsarat differenti, u t-tieni waħda biss tidher bħal timeout fuq in-naħa tal-klijent.

Ir-raba’, ifrid IKE minn kull ħaġa oħra fuq 4500

Il-port 4500 iġorr tliet affarijiet li fid-dehra fil-qosor jidhru l-istess: IKE wara markatur non-ESP żero ta’ erba’ bytes, ESP inkapsulat li l-pożizzjoni tal-markatur tiegħu għandha SPI li mhuwiex żero, u keepalives qosra. Dak il-markatur huwa dak li jifred IKE mill-ESP inkapsulat, għalhekk aqra dawk il-bytes qabel ma ttikketta t-traffiku bħala IKE. Tikketta ta’ qabda li taqra 4500 hija numru tal-port, mhux protokoll.

ESP inkapsulat huwa payload kriptat li ma tistax tinterpreta mingħajr ċwievet, u l-preżenza tiegħu tista’ tkun sinjal ta’ tunnel li jaħdem aktar milli ta’ ħsara.

Osserva ż-żewġ ports għall-istess attentat, għax IKE jista’ jmur għal 4500 wara l-iskoperta tan-NAT għalkemm infetaħ fuq 500. Traċċa ffiltata biss fuq 500 tidher siekta eżattament meta n-negozjazzjoni rnexxiet u marret band’oħra. Wessa’ l-filtru u erġa’ aqra l-istess tieqa taż-żmien qabel ma tislet xi konklużjoni mill-assenza.

X’jfisser is-skiet f’punt wieħed ta’ osservazzjoni

L-ebda tweġiba fil-klijent ma tipprova ħlief dak li osserva dak il-punt. Filtraġġ, routing, indirizz remot żbaljat, servizz mitfi u nuqqas ta’ qbil fil-protokoll kollha jipproduċu l-istess traċċa vojta.

ICMP unreachable rilevanti jżid evidenza, imma aqra l-pakkett iċċitat ġo fih u nnota l-indirizz tal-apparat li bagħtu.

Iċ-ċaħda ta’ router hija avveniment differenti minn żball awtentikat li jirritorna n-naħa l-oħra, u t-tieni waħda biss tipprova li s-servizz huwa ħaj. Ikkorrela l-istess attentat ma’ logs tas-server jew osservazzjoni approvata biex tkun taf jekk it-talba waslitx u jekk tweġiba ħarġitx. Żomm il-qabdiet limitati u privati, għax oqsma tal-handshake li jinqraw ma jagħmlux il-bqija tal-fajl bla ħsara. Ir-riżultat li jiswa huwa par wieħed ta’ talba u tweġiba mqabbla, jew vojt dokumentat b’punt ta’ osservazzjoni msemmi.