Hlavní navigace

Názor k článku Nové paradigma internetových aplikací od Dan Lukes - Jednim z pozadavku zlanku byla diskuse nad systemy...

  • Článek je starý, nové názory již nelze přidávat.
  • 6. 9. 2000 11:50

    Dan Lukes (neregistrovaný)
    Jednim z pozadavku zlanku byla diskuse nad systemy odolavajicimi DoS utokum. Ja se domnivam, ze takovy system neni mozne principielne sestrojit. DoS utoky jsou utoky spocivajici v takovem vyuziti sluzeb site, ktere sit neni schopna uspokojit a dojde k pretizeni. Pominme trivialni pripad, kdy lze DoS utoku zabranit tim, ze prestaneme poskytovat prislusnou sluzbu (i tento zpusob se pouziva, napriklad se jiz obvykle neodpovida na PING smerovany na broadcast adresu coz je sluzba site, lec sluzba bez vetsich problemu postradatelna). Druhy trivialni zpusob jak zabranit DoS utoku je zabranit vycerpani zdroju - tedy bud tim, ze budou neomezene (tak tento zpusob take asi nebudeme moci obvykle pouzit) nebo alespon tim, ze zadost o sluzbu bude vyzadovat srovnatelne mnozstvi zdroju jako jeji vyrizeni (to zlikviduje utocniky tim, ze nebudou mit dost silny stroj, linku, vypocetni kapacitu a podobne).

    Zbyva posledni zpusob - rozeznat uziti sluzby od zneuziti sluzby. Bez toho, ze bych byl schopen sve tvrzeni dokazat rikam, ze tento problem neni plne algoritmizovatelny - to znamena, ze se nepodari najit jasny algoritmus, ktery by nad prichazejici zadosti o poskytnuti sluzby dokazal jednoznacne rozhodnout, zda jde o uziti nebo o zneuziti - a to ani v pripade, ze bude mit kompletni stavovou informaci o vsech minulych vyrizenych zadostech. DoS utoku se tedy muzeme branit pouze heuristicky a tedy s nikoli zajistenou uspesnosti.

    Pokud jde o utok necileny proti konkretni organizaci ci sluzbe, pak muze pomoci proste - sluzbu zajistuje vice ruznych stroju, pricemz uzivatele jsou na ne smerovani podle urciteho algoritmu. Takovyto princip "zaloznich" ci "konkurujicich si" stroju je zatim jednoduse realizovatelny pouze pro SMTP a to pomoci MX zaznamu v DNS. Obecny mechanismus, pouzitelny pro prakticky veskere sluzby je sice jiz take na svete (SRV zaznam v DNS), zatim vsak neni v praxi pouzivan, protoze na jeho pouzivani nejsou pripraveny "resolver" knihovny. Ani tento mechanismus vsak neresi smerovany utok proti konkretni sluzbe nebo organizaci, protoze utocnik si samozrejme najde vsechny dostupne servery a utocit bude proti vsem.

    Dalsim zajimavym mechanismem by mohlo byt teritorialni rozdeleni kdy pozadavky prichazejici z urcite oblasti vyrizuje konkretni skupina serveru, kdezto dotaz odjinud jina. Tim bychom dosahli toho, ze DoS utok z jedne oblasti by narusil poskytovani sluzby pouze do teto oblasti. Bohuzel, nejprve by ale muselo byt prijato opatreni, ktere by zabranovalo falsovat identitu (napr. IP adresu) tazatele a muselo by take (a to celosvetove) dojit k zmenam v DNS systemu (aby cloveku z urcite oblasti podaval jine informace nez cloveku odjinud).

    Zakladni obranou proti DoS utokum tak stale zustava brutalni sila - priste mit tolik a tak dobre vybavenych serveru, aby k vycerpani zdroju nemohlo tojit nijak lehce. A krome toho se muzeme branit proti kazdemu konkretnimu DoS utoku, obvykle ale az pote, co byl nekde (uspesne) pouzit. Znovu tedy jde o obranu silou, v tomto pripade je vsak "silou" velice schopny spravce systemu.

    DoS utoky vsak podle meho nazoru zustanou (na Internetu v soucasnem slova smyslu) nikdy nerozhodnutou bitvou sestavajicich se z bitev v pretlacovani "kdo je chytrejsi". To samozrejme nerika, ze si nemame pokouset branit - a nektere zpusoby obrany jsem zde nabidnul k diskusi, jine jiste doplni nekdo dalsi.

Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).