Вади програмних посередників

Взагалі, уразливість програмних посередників не дуже висока. Після зашиті самого брандмауера і реалізації надійних правил, використовуваних програмним посередником, вірогідність обходу брандмауера буде значно нижча. Проте, як і слід чекати, часто брандмауер виявляється настроєний неправильно.

Ім'я вузла: localhost

Ранні програмні посередники системи UNIX не піклувалися про необхідність обмеження локального доступу. Не дивлячись на контроль користувачів, використовуючих Internet, було цілком можливо, щоб внутрішній користувач міг дістати локальний доступ до самого брандмауера. Поза сумнівом, при використанні такої атаки потрібне знання коректного імені користувача або пароля, використовуваних на брандмауері. Проте ви дуже здивуєтеся після того, як дізнаєтеся, наскільки легко їх підібрати в деяких випадках. Для того, щоб перевірити, чи уразливий ваш програмний посередник подібним атакам, виконаєте наступні дії.
Після появи на екрані запрошення на реєстрацію

С:\> nc -v -n 192.168.51.129 23
(UNKNOWN)[192.168.51.129] 23 (?) open
Eagle Secure Gateway.
Hostname:

Контрзаходи: захист від використання імені localhost

Запобігання

Спосіб усунення помилок в конфігурації багато в чому залежить від типу використовуваного брандмауера. У будь-якому випадку можна реалізувати правило, що обмежує можливість доступу з певних вузлів. Звичайно, краще всього взагалі заборонити реєстрацію з використанням імені localhost. Проте якщо це все ж таки необхідно, встановите TCP-оболочку, за допомогою якої можна вирішити з'єднання лише вузлам з певними IP-адресами.

Неавторизований зовнішній доступ до програмного посередника

Такий підхід найбільш придатний для доступу до брандмауерів, що реалізовують прозорі функції, проте ми досить часто стикаємося з його використанням. Адміністратор може приділити найпильнішу увагу забезпеченню безпеки брандмауера і встановити строгі правила доступу, проте в той же час забути про необхідність блокування доступу ззовні. В цьому випадку відразу ж виникне два типи небезпеки: (1) зломщик може скористатися proxy-сервером для атак на всілякі вузли Internet, активно застосовуючи вади сценаріїв Cg1 і різні методи шахрайства в Web, і (2) за допомогою засобів Web зловмисник зможе дістати доступ до вашої інтрамережі. Нам доводилося зустрічати так само конфігуровані брандмауери і кожного разу ми могли дістати доступ до всієї корпоративної інтрамережі.
Дня того щоб дізнатися, чи уразимо ваш брандмауер для такої атаки, зміните в броузере параметри proxy-сервера так, щоб вони указували на підозрілий (тобто що перевіряється) брандмауер. У броузере Netscape для цього виконаєте наступні дії.
1. Виберіть команду Edit>preferences.
2. Виділите піддерева Advanced і Proxies.
3. Клацніть на кнопці Manual Proxy Configuration.
4. Клацніть на кнопці View.
5. Додайте адресу тестованого брандмауера у відповідний список адрес HTTP і виберіть порт, що знаходиться в стані прослуховування. (Зазвичай 80, 81. 8000 або 8080, проте реальні номери можуть значно варіюватися. Для визначення коректного порту скористайтеся утилітою шпар або іншим аналогічним засобом.)
6. Введіть в броузере адресу свого улюбленого Web-узла і стежите за інформацією, що з'являється в рядку стану.
Якщо в рядку стану відобразиться адреса proxy-сервера, а потім на екрані з'явиться Web-стрпніца, то, очевидно, ви маєте справу з неавторизованим proxy-сервером.
Якщо у вас є IP-адрес внутрішнього Web-узла (не важливо, маршрутизується він чи ні), то аналогічним чином можна спробувати дістати доступ і до нього. Іноді цю внутрішню IP-адрес можна зустріти під час проглядання початкової коди HTTP. Часто Web-дизайнеры поміщають імена вузлів і IP-адреса в атрибуті HREF дескрипторів Web-страниц.

Контрзаходи: захист від неавторизованого зовнішнього доступу до програмного посередника

Запобігання

Для того, щоб запобігти такій атаці, потрібно заборонити доступ до програмного посередника з боку зовнішнього інтерфейсу брандмауера. Оскільки конкретний алгоритм рішення цієї задачі сильно залежить від виробника, зв'яжіться з ним для отримання докладнішої додаткової інформації.
На рівні мережі необхідно обмежити вхідний трафік до програмного посередника на прикордонних маршрутизаторах. Це без особливих проблем можна здійснити за допомогою завдання списків ACL цих маршрутизаторів.