TCP 安全威胁“言过其实” 问题不大尚能妥善解决
发布时间: 2009-09-23 丨 阅读次数: 9672
根据发现通讯协议安全漏洞的研究人员表示，到处流传的相关报告，相比于问题本身，已经过于夸张。
就职于工业自动化厂商Rockwell Automation 的安全专家Paul Watson 表示，过去两个礼拜以来，这个在TCP （Transmission Control Protocol）通讯协议当中的安全漏洞，受到所有大型网络服务供货商的注意，但是对于主要的网络来说，可能带来的危险却不大。如果这个问题不修正，可能会被经验丰富的黑客利用，阻断路由设备的连接。Watson 在星期三指出，“目前对互联网络可能造成的威胁真的很小。” “可能会在一些小的网络上出现一些单独的问题，但是这些问题大多很快就能补救。”
Watson是针对星期二的一起新闻做出响应。这篇新闻报道了英国的国家基础建设安全响应中心（National Infrastructure Security Co-ordination Centre， NISCC）根据Watson的研究，所发布的安全警告。Watson原本预计在本周的CanSecWest 2004 研讨会上，发表相关研究。但是Watson 指出，媒体对这个问题的响应，“超过潜在危险所需要的关注。”
Watson表示，在一般的状况下，自己管理路由设备的电子商务网站，可能不晓得自己曝露在安全危机之下。尤其对那些使用Border Gateway Protocol（BGP ）进行资料分享的网站，最可能受到攻击。
设备厂商思科在星期三表示，已经针对这个问题进行软件更新。包括Juniper Network 、Hitachi 、和NEC 等其它厂商也已经着手调查这个安全问题。这些厂商的相关资料以已经涵盖在NISCC 的安全警告当中。
互联网络和网络设备连接上的问题已经存在超过10年。Watson表示，“我并不是第一个发现这个问题的人，我只是把不同的成果统合起来而已。”
Watson指出，这个安全问题和封包的辨识号码有关。许多的网络设备和软件，针对单一来源的资料，会建立一个通讯联机（session ），并将依序传送的封包以连续数字编组。理论上来说，如果有人可以猜出下一个封包的辨识号码，就可能把相同的编号指定给带有恶意程序的封包，替换掉原本的封包。
通常猜中这个编号的机率是43亿分之一，但是Watson发现，使用BGP 的路由器，通常会有很长的联机时间，所以猜中正确号码的机率，也提高到26万分之一。而在宽频联机的状况下，只要15秒，就可以试26万次。
Watson承认这个方法并不简单，也不聪明，但是却非常有效。Watson表示，使用这个方法，不用像阻绝服务攻击一样，得用上几10亿个封包，才能让一个网站中断。这个方法所需要的努力少很多。
美国的计算机危机紧急响应小组（Computer Emergency Response Team， CERT ）在三年前，也曾经对类似的攻击，发布过安全警告。
CERT的资深组员Sean Hernan 表示，虽然大型的网络服务供货商，受到危害的机会很小，但是中大型的企业，还是得确认是否对这个问题采取妥善的应变措施。
Hernan表示，“除了互联网络的主干之外，TCP 的安全漏洞，可能出现在任何两的端点之间。”Hernen指出，这个漏洞可能会影响到邮件服务器，不过要猜中邮件服务器的辨识号码，相形之下困难许多。“这个安全漏洞变成只是针对BGP。”
CERT和Watson都建议厂商在通讯联机当中，加入随机的128 位数字。许多的网络服务供货商也已经采用这个方法。CERT并建议厂商对资料进行加密，进一步保护在通讯联机当中传递的资料。
就职于工业自动化厂商Rockwell Automation 的安全专家Paul Watson 表示，过去两个礼拜以来，这个在TCP （Transmission Control Protocol）通讯协议当中的安全漏洞，受到所有大型网络服务供货商的注意，但是对于主要的网络来说，可能带来的危险却不大。如果这个问题不修正，可能会被经验丰富的黑客利用，阻断路由设备的连接。Watson 在星期三指出，“目前对互联网络可能造成的威胁真的很小。” “可能会在一些小的网络上出现一些单独的问题，但是这些问题大多很快就能补救。”
Watson是针对星期二的一起新闻做出响应。这篇新闻报道了英国的国家基础建设安全响应中心（National Infrastructure Security Co-ordination Centre， NISCC）根据Watson的研究，所发布的安全警告。Watson原本预计在本周的CanSecWest 2004 研讨会上，发表相关研究。但是Watson 指出，媒体对这个问题的响应，“超过潜在危险所需要的关注。”
Watson表示，在一般的状况下，自己管理路由设备的电子商务网站，可能不晓得自己曝露在安全危机之下。尤其对那些使用Border Gateway Protocol（BGP ）进行资料分享的网站，最可能受到攻击。
设备厂商思科在星期三表示，已经针对这个问题进行软件更新。包括Juniper Network 、Hitachi 、和NEC 等其它厂商也已经着手调查这个安全问题。这些厂商的相关资料以已经涵盖在NISCC 的安全警告当中。
互联网络和网络设备连接上的问题已经存在超过10年。Watson表示，“我并不是第一个发现这个问题的人，我只是把不同的成果统合起来而已。”
Watson指出，这个安全问题和封包的辨识号码有关。许多的网络设备和软件，针对单一来源的资料，会建立一个通讯联机（session ），并将依序传送的封包以连续数字编组。理论上来说，如果有人可以猜出下一个封包的辨识号码，就可能把相同的编号指定给带有恶意程序的封包，替换掉原本的封包。
通常猜中这个编号的机率是43亿分之一，但是Watson发现，使用BGP 的路由器，通常会有很长的联机时间，所以猜中正确号码的机率，也提高到26万分之一。而在宽频联机的状况下，只要15秒，就可以试26万次。
Watson承认这个方法并不简单，也不聪明，但是却非常有效。Watson表示，使用这个方法，不用像阻绝服务攻击一样，得用上几10亿个封包，才能让一个网站中断。这个方法所需要的努力少很多。
美国的计算机危机紧急响应小组（Computer Emergency Response Team， CERT ）在三年前，也曾经对类似的攻击，发布过安全警告。
CERT的资深组员Sean Hernan 表示，虽然大型的网络服务供货商，受到危害的机会很小，但是中大型的企业，还是得确认是否对这个问题采取妥善的应变措施。
Hernan表示，“除了互联网络的主干之外，TCP 的安全漏洞，可能出现在任何两的端点之间。”Hernen指出，这个漏洞可能会影响到邮件服务器，不过要猜中邮件服务器的辨识号码，相形之下困难许多。“这个安全漏洞变成只是针对BGP。”
CERT和Watson都建议厂商在通讯联机当中，加入随机的128 位数字。许多的网络服务供货商也已经采用这个方法。CERT并建议厂商对资料进行加密，进一步保护在通讯联机当中传递的资料。
