Eksperci z Uniwersytetu Cambridge poinformowali o fakcie obejścia Wielkiego Firewalla Chin, a także znalezeniu podatności zapory, dającej możliwość przeprowadzenia ataku denial-of-service przeciwko adresom IP w kraju. Firewall pracuje na routerach Cisco, weryfikując ruch pod kątem poszczególnych słów kluczowych, które rząd chiński chce cenzurować, włączając ideologię polityczną i różnego rodzaju ugrupowania.
Grupa badaczy z Cambridge przetestowała firewall przesyłając porcję pakietów zawierających słowo “Falun”, odwołujące się do ogrupowania religijnego “Falun Gong” – zakazanego w Chinach. Odkryli, iż istnieje możliwość obejścia IDS nałożonego na Chiny, ignorując pakiety resetowania połączęń (kontrolującego protokołu transmisji) wstrzykiwane przez chińskie routery.
“Maszyny w Chinach przepuszczają dwukierunkowy ruch, podczas wykrycia zakazanego słowa kluczowego następuje masowe wysłanie resetów, celem zamknięcia połączenia. Jeśli odrzucisz wszystkie pakiety resetujące na obu końcach połączenia, co jest trywialne – ruch strony działa bez zastrzeżeń.”, powiedział Richard Clayton pracujący w laboratorium komputerowym Uniwersytetu Cambridge. “Odkryliśmy, że możliwe jest również przeprowadzenie ataków denial-of-service z wykorzystaniem tego firewalla.”, dodał Clayton.
System IDS korzysta z bezstanowego serwera, który egzaminuje każdą porcję pakietu wychodzącego i wchodzącego indywidualnie do firewalla. Podrabiając adres źródłowy pakietu, zawierającego ‘wrażliwe’ słowo kluczowe, możliwe jest przełączenie firewalla pod blokowanie dostępu pomiędzy źródłem a miejscem docelowym nawet do godziny czasu. Jeśli atakujący wykorzystałby tą metodę przeciwko adresowej puli rządowej, mógłby zablokować możliwość wykonania Windows Update lub uniemożliwić dostępu do poszczególnej treści w sieci ich pracownikom.
Nawet jeśli dzięki opisanej technice ataku możliwym jest zablokowanie komunikacji pomiędzy tylko dwoma punktami Internetu, badacze obliczyli że jeden agresor, używający połączenia modemowego dial-up ma możliwość wygenerowania ‘potencjalnie efektywnego’ ataku denial-of-service. W momencie wygenerowania przez niego 100 pakietów w ciągu jednej sekundy, każdy z nich spowodowałby 20 minut blokowania, gdzie łącznie 120 tys. par punktów końcowych zostałoby zablokowanych za jednym razem.
Źródło: CNET
