W poprzednim wpisie padło zdanie, które trzeba teraz rozwinąć: każdy adres IP jest unikalny w sieci. Skoro jest unikalny, to ktoś albo coś musi pilnować, żeby dwa urządzenia nie dostały tego samego numeru. I musi wiedzieć, komu ten numer właśnie przydziela.
Odpowiedź składa się z dwóch elementów. Pierwszy to MAC Address, czyli stały identyfikator karty sieciowej. Drugi to serwer DHCP, który rozdaje adresy IP automatycznie, bez chodzenia od komputera do komputera. Oba są podstawą działania każdej sieci, w domu i w firmie. Oba są też punktem zaczepienia dla ataków, więc bezpiecznik musi rozumieć nie tylko to, że działają, ale jak dokładnie.
Co to jest MAC Address?
Każde urządzenie, które łączy się z siecią, ma kartę sieciową. Może być wbudowana w laptopa, może być modułem Wi-Fi w telefonie, może być osobną kartą w serwerze. I ta karta sieciowa ma swój własny, unikalny identyfikator: MAC Address.
Najprościej porównać go do numeru PESEL. Tak jak każdy człowiek ma swój PESEL, tak każde urządzenie ma swój MAC Address. Z jedną różnicą: PESEL-u nie oszukasz, a Mac Address da się już trochę oszukać i zmienić. To temat na osobny materiał, ale zapamiętaj ten fakt, bo wróci pod koniec artykułu przy omawianiu zabezpieczeń.
Druga rzecz, którą trzeba wiedzieć o Mac Addressie: pracuje w warstwie drugiej modelu OSI. Model OSI to sposób opisania komunikacji sieciowej w warstwach, gdzie każda odpowiada za inny fragment całości. O samym modelu będzie więcej w kolejnych odcinkach. Na razie zapamiętaj samo oznaczenie: warstwa druga, czyli layer 2, nazywana też skrótowo L2.
Jak sprawdzić swój Mac Address
W Windowsie wystarczy otworzyć wiersz poleceń i wpisać:
ipconfig /all
W wyniku pojawi się pole Adres fizyczny i to właśnie jest Mac Address Twojej karty sieciowej.
Dlaczego Mac Address wygląda tak dziwnie
Zapis Mac Addressu różni się w zależności od systemu i producenta. Raz zobaczysz pary znaków oddzielone dwukropkami, raz myślnikami, raz kropkami. Windows, Linux, iOS i Android potrafią to pokazać na kilka sposobów.
| Sposób zapisu | Przykład |
|---|---|
| Pary oddzielone dwukropkami | 00:1A:2B:3C:4D:5E |
| Pary oddzielone myślnikami | 00-1A-2B-3C-4D-5E |
| Grupy oddzielone kropkami | 001A.2B3C.4D5E |
Niezależnie od formatu jedna rzecz się nie zmienia: zawsze zobaczysz tylko cyfry od 0 do 9 i litery od A do F. Dzieje się tak, ponieważ Mac Address zapisywany jest w systemie szesnastkowym (heksadecymalnym), a ten ma dokładnie 16 znaków: dziesięć cyfr i sześć liter. Innych znaków tam po prostu nie będzie. Adres budowany jest w postaci par znaków, na przykład 00, 1A, 2B.
Po co komu serwer DHCP
Wiesz już, co to adres IP i co to Mac Address. Wiesz też z poprzedniego odcinka, że adresy IP dzielą się na statyczne i dynamiczne. Czas na te dynamiczne, czyli na serwer DHCP.
W dużych sieciach nad adresacją bardzo trudno zapanować. Ręczne pilnowanie w Excelu albo w jakimkolwiek innym narzędziu, kto ma jaki adres, bywa naprawdę kłopotliwe, a przy odpowiedniej skali wręcz nierealne.
Wyobraź sobie prostą sytuację. Trzeba zmienić serwer DNS (czyli usługę, która zamienia nazwy stron na adresy IP) albo bramę domyślną (urządzenie, przez które ruch wychodzi poza Twoją sieć). Przy adresach ustawianych ręcznie trzeba przekonfigurować każde urządzenie z osobna, praktycznie podejść fizycznie do każdego komputera i zmienić ustawienia. W życiu trzeba sobie ułatwiać, a nie utrudniać. Od tego jest serwer DHCP.
Jak DHCP przydziela adres IP: proces DORA
Przydział adresu podzielony jest na cztery etapy, a ich pierwsze litery tworzą skrót DORA.
| Etap | Kto wysyła | Co się dzieje |
|---|---|---|
| Discover | Klient | Twój laptop, komputer albo telefon wysyła pakiet Discovery, żeby sprawdzić, czy w sieci jest jakikolwiek serwer DHCP |
| Offer | Serwer DHCP | Serwer odpowiada informacją, jakie ma dostępne adresy IP i z jakimi parametrami |
| Request | Klient | Klient odpowiada serwerowi, jaki adres chciałby otrzymać |
| Acknowledge | Serwer DHCP | Serwer potwierdza, że adres został klientowi przyznany |
Jedno zastrzeżenie co do nazwy. Nie przywiązuj się do skrótu DORA, bo w cyberbezpieczeństwie ostatnich lat oznacza on coś zupełnie innego. DORA to unijne rozporządzenie dość mocno regulujące rynek finansowy. Akurat przy DHCP skrót się idealnie pokrywa, ale jeśli powiesz komuś z branży „DORA”, w stu procentach nie pomyśli o DHCP, tylko o tym rozporządzeniu.
Zrozumienie tych czterech kroków ma znaczenie praktyczne dla bezpiecznika, bo istnieją ataki, które wykorzystują właśnie ten proces.
Co jeszcze można ustawić w serwerze DHCP
Serwer DHCP nie rozdaje wyłącznie adresów IP. Razem z adresem przekazuje komplet ustawień sieciowych:
- maskę podsieci, czyli informację, jak duża jest sieć i które adresy do niej należą,
- bramę domyślną, czyli adres urządzenia wypuszczającego ruch na zewnątrz,
- serwery DNS,
- cały szereg dodatkowych parametrów, przekazywanych jako tak zwane DHCP Options.
Przykład z praktyki: jeśli w sieci stoi centralka VoIP albo telefony VoIP (telefonia przez internet), odpowiednimi DHCP Options wskazujesz urządzeniom, gdzie tej centralki szukać. Nie trzeba podawać niczego ręcznie, klient pobiera te informacje automatycznie.
To bardzo mocno ułatwia pracę. Kiedy zachodzi zmiana w sieci, nie robisz nic ręcznie na komputerach. Zmieniasz ustawienia na serwerze DHCP, a konfiguracja rozjeżdża się do użytkowników sama.
Dzierżawa adresu, czyli nic nie jest na zawsze
Adres, który dostajesz z DHCP, nazywamy dzierżawą (ang. lease) i jest tymczasowy. Od administratora sieci zależy, jak długo dana konfiguracja ma być przypisana do komputera. Może to być dzień, może godzina, a może 15 minut.
DHCP spoofing, czyli fałszywy serwer w Twojej sieci
Skoro komputer sam szuka serwera DHCP i przyjmuje od niego ustawienia, to atakujący ma otwartą furtkę. Atak nazywa się DHCP spoofing i w bardzo dużym skrócie polega na tym, że napastnik podszywa się pod Twój serwer DHCP, żeby przekazać użytkownikowi własną konfigurację.
Konsekwencje wynikają wprost z tego, co DHCP rozdaje. Jeśli przestępcy uda się oszukać Twój komputer, żeby przyjął ustawienia z fałszywego serwera, może:
- podmienić bramę domyślną i przepuścić cały Twój ruch przez własne urządzenie,
- podmienić serwery DNS, przez co zapytania nie trafią do wewnętrznego serwera DNS firmy, tylko do serwera kontrolowanego przez cyberprzestępców.
Efekt dla użytkownika jest taki, że wpisując adres swojej poczty czy Outlooka, trafia w rzeczywistości na inną stronę, bez żadnego widocznego sygnału, że coś jest nie tak. To już jest dość duże zagrożenie.
Jak się bronić: trzy warstwy zabezpieczeń
Port security
W każdym lepszym switchu (urządzeniu łączącym komputery w sieci lokalnej) znajdziesz funkcję port security. Pozwala ona określić, jakie Mac Addressy mogą pracować na danym porcie. Konfiguracja może działać tak, że kiedy ktoś z niedozwolonym Mac Addressem spróbuje się uwierzytelnić, port na switchu przechodzi w stan shutdown i przestaje być dostępny.
To niepełne zabezpieczenie, bo, jak już wiesz, Mac Address w komputerze da się dowolnie zmienić. Ale cyberprzestępca musiałby najpierw poznać listę Twoich Mac Addressów i idealnie trafić w ten dozwolony na konkretnym porcie, co bywa skomplikowane. To jest właśnie duży plus tego rozwiązania.
DHCP snooping
Druga usługa, uruchamiana również na switchu, nazywa się DHCP snooping. Uwaga na nazwę, bo brzmi podobnie do ataku, a robi coś przeciwnego: to mechanizm obronny.
Działa tak, że definiujesz, na których portach albo w których VLAN-ach (logicznie wydzielonych fragmentach sieci) mogą pojawiać się serwery DHCP. Jeśli ograniczysz to na przykład do VLAN-u pierwszego albo do portu numer 10, wszystkie odpowiedzi DHCP przychodzące z innego portu czy VLAN-u zostaną automatycznie wycięte na switchu. Cyberprzestępca, który podłączy się do Twojej sieci i spróbuje wystawić swój fałszywy serwer DHCP, po prostu tego nie osiągnie.
Network Access Control (NAC)
Ostatnie, ale chyba najważniejsze rozwiązanie to Network Access Control, w skrócie NAC. To już bardzo rozbudowane narzędzie, które weryfikuje komputer wpuszczany do sieci na podstawie certyfikatu, adresu, przynależności do domeny i całego szeregu innych kryteriów.
Trzeba jednak znać koszty. Rozwiązania NAC są zwykle dość drogie, a wersje open source mogą nie działać idealnie albo będą wymagały bardzo dużo czasu na konfigurację i późniejsze zarządzanie. Mimo to w większych firmach, a nawet w średnich, warto się nad NAC-em zastanowić. Poziom bezpieczeństwa w organizacji rośnie po jego wdrożeniu bardzo mocno.
Co zapamiętać z tego odcinka
- Mac Address to PESEL urządzenia, przypisany do karty sieciowej i działający w warstwie drugiej modelu OSI (L2). Sprawdzisz go poleceniem
ipconfig /allw polu „Adres fizyczny”. - Mac Address zapisany jest szesnastkowo, w parach znaków, więc zobaczysz w nim tylko cyfry 0-9 i litery A-F. Format zapisu zależy od systemu i producenta.
- DHCP rozdaje adresy IP automatycznie w procesie czterech kroków: Discover, Offer, Request, Acknowledge. Razem z adresem przekazuje maskę, bramę, DNS i dodatkowe opcje.
- Przydzielony adres to dzierżawa, czyli rzecz tymczasowa, o której czasie życia decyduje administrator.
- DHCP spoofing pozwala przejąć ruch przez podmianę bramy i serwerów DNS. Obrona to port security, DHCP snooping na switchu i w poważniejszych wdrożeniach NAC.
W poprzednim odcinku „Drogi Bezpiecznika” omawialiśmy adres IP oraz różnicę między adresacją statyczną a dynamiczną. W kolejnych materiałach wracamy do dwóch wątków tylko zasygnalizowanych tutaj: modelu OSI oraz tego, jak konkretnie zmienia się Mac Address urządzenia.
