طرق المنافذ

الاعتبارات الأمنية

من جانب آخر، فضلًا عن التخفيف من هجمات القوة الغاشمة على كلمات المرور والنمو الحتمي في السجلات المرتبطة بشفرة العملية، فإن طرق المنافذ تحمي كذلك من عمليات استغلال الثغرات الأمنية في البروتوكول. إذا تم اكتشاف ثغرة يمكن أن تعرض الخدمة للخطر في تكوينها الافتراضي، فإن استخدام منفذ يطرق على منفذ الاستماع يقلل من احتمالية التسوية حتى يتم تحديث البرنامج أو العملية. سيستمر تقديم المستعملين المصرح لهم بمجرد تقديمهم تسلسل الضربة الصحيح بينما سيتم تجاهل محاولات الوصول العشوائية.

وفي هذا السياق، لا ينبغي النظر إلى طرق طرق المنافذ إلا كجزء من إستراتيجية شاملة للدفاع عن الشبكة توفر الحماية ضد الهجمات العشوائية والموجهة، وليس كحل مستقل كامل.

إضافةً إلى ذلك، تجاهل متخصصو أمن الشبكات إلى حد كبير طرق طرق المنافذ كحل في الماضي نظرًا لأن عمليات التنفيذ المبكرة اعتمدت فقط على توفير مجموعات المنافذ الصحيحة لتحقيق الوصول. تتضمن أنظمة طرق المنفذ الحديثة ميزات مثل تجزئة التشفير الآمنة والقوائم السوداء والقوائم البيضاء واستجابات الهجوم الديناميكي لزيادة قدرة النظام. تعد طرق عرض المنفذ وسيلة فعالة لتعظيم موارد الخادم على الشبكات المواجهة للإنترنت.

وفي هذا الصدد، طرق طرق المنفذ المطبقة بشكل صحيح لا تقلل من الأمان العام للنظام. إنه إجراء فعال يوفر طبقة إضافية من الأمان مع الحد الأدنى من عبء موارد الخادم. في أسوأ الأحوال، تقدم أنظمة مثل طرق المنافذ مشكلات أمنية جديدة من خلال سوء التنفيذ أو فضح مواقف الإدارة المتضاربة من خلال مواقف مثل تعويض المخاطر.

كذلك، طرق المنافذ هي وظيفة إضافية مرنة وقابلة للتخصيص في النظام. إذا اختار المسؤول ربط تسلسل ضرب بنشاط مثل تشغيل برنامج نصي شل، فيمكن بسهولة دمج التغييرات الأخرى مثل تطبيق قواعد جدار الحماية الإضافية لفتح منافذ لعناوين IP محددة في البرنامج النصي. يتم استيعاب الجلسات المتزامنة بسهولة.

وفي السياق ذاته، باستخدام استراتيجيات مثل: الطول الديناميكي ومجموعة الطول يمكن أن يقلل من احتمالية اختراق تسلسلات الضربة القاضية إلى ما يقرب من الصفر.

نظرة عامة

ومن جهة أخرى، عادةً ما يتم تنفيذ طرق عرض المنفذ من خلال تكوين برنامج خفي لمشاهدة ملف سجل جدار الحماية لمحاولات الاتصال بنقاط معينة، ثم تعديل تكوين جدار الحماية بحسب ذلك. يمكن كذلك إجراؤه على مستوى النواة (باستخدام مرشح حزمة على مستوى النواة مثل iptables  ) أو من خلال عملية مساحة المستعملين التي تفحص الحزم على مستوى أعلى (باستخدام واجهات التقاط الحزمة مثل بي كاب pcap)، مما يسمح باستخدام بالفعل منافذ TCP «المفتوحة» لاستخدامها ضمن تسلسل الضربات.

وعلى صعيد آخر، المنفذ "knock" نفسه مشابه للمصافحة السرية ويمكن أن يتكون من أي عدد من TCP أو UDP أو حتى في بعض الأحيان ICMP وحزم بروتوكولات أخرى إلى المنافذ المرقمة على الجهاز الوجهة. يمكن أن يكون تعقيد الضربة أي شيء من قائمة مرتبة بسيطة (مثلًا منفذ TCP 1000، منفذ TCP 2000، منفذ UDP 3000) إلى تجزئة مشفرة تعتمد على الوقت وتعتمد على المصدر وعوامل أخرى.

ومن ناحية أخرى، أغلب أجهزة بورت نوك (portknocks) عبارة عن أنظمة ذات حالة من حيث أنه إذا تم استلام الجزء الأول من «الضربة القاضية» بنجاح، فلن يسمح الجزء الثاني غير الصحيح للمستعمل البعيد بالمتابعة، وفي الواقع، لن يعطي المستعمل البعيد أي فكرة عن مدى المسافة التي يمر بها تسلسل فشلوا. عادةً ما يكون المؤشر الوحيد للفشل هو أنه في نهاية تسلسل الضربة القاضية، لا يتم فتح المنفذ المتوقع فتحه. لا يتم إرسال حزم إلى المستعمل البعيد في أي وقت.

علاوةً على ذلك، يستمع برنامج بورت نوك portknock الخفي على جهاز جدار الحماية إلى الحزم الموجودة على منافذ معينة (إما عبر سجل جدار الحماية أو عن طريق التقاط الحزم). سيحمل مستعمل العميل أداة مساعدة إضافية، والتي يمكن أن تكون بسيطة مثل netcat أو برنامج ping معدل أو معقدة مثل مولد التجزئة الكامل، ويستعملها قبل محاولة الاتصال بالجهاز بالطريقة المعتادة.

كذلك، في حين أن هذه التقنية لتأمين الوصول إلى شياطين الشبكة البعيدة لم يتم تبنيها على نطاق واسع من قبل مجتمع الأمن، فقد تم استخدامها بنشاط في الكثير من الجذور الخفية حتى قبل عام 2000.

الفوائد

ومن ناحية أخرى، يعد تنفيذ هذه التقنية أمرًا سهلاً، حيث يستعمل كحد أدنى برنامج نصي شل على الخادم وملف دفعي لنظام التشغيل Windows أو أداة مساعدة لسطر الأوامر على العميل. يعتبر الحمل على كل من الخادم والعميل من حيث حركة المرور واستهلاك وحدة المعالجة المركزية والذاكرة ضئيلاً. شياطين طرق المنفذ ليست معقدة في البرمجة؛ أي نوع من الثغرات الأمنية داخل الكود واضح وقابل للتدقيق.

كذلك، يتم استخدام طرق المنافذ كجزء من دفاع في إستراتيجية العمق. حتى إذا تمكن المهاجم من الوصول إلى المنفذ بنجاح، فلا تزال آليات أمان المنفذ الأخرى سارية، إلى جانب آليات مصادقة الخدمة المعينة على المنافذ المفتوحة.

في هذا الإطار، بمجرد توفير تسلسل ضرب المنفذ الناجح لفتح منفذ، تفتح قواعد جدار الحماية بشكل عام المنفذ فقط على عنوان IP الذي قدم الضربة الصحيحة، مما يضيف وظائف ديناميكية لسلوك جدار الحماية. بدلاً من استخدام القائمة البيضاء لعناوين IP الثابتة المكونة مسبقًا على جدار الحماية، سيتمكن المستعمل المصرح له الموجود في أي مكان في العالم من فتح أي منفذ ضروري دون مساعدة من مسؤول الخادم. يمكن كذلك تكوين النظام للسماح للمستعمل المصادق عليه بإغلاق المنفذ يدويًا بمجرد انتهاء الجلسة أو لإغلاقه تلقائيًا باستخدام آلية المهلة. لإنشاء جلسة جديدة، سيُطلب من المستعمل البعيد إعادة المصادقة باستخدام التسلسل الصحيح.

وعلى صعيد آخر، يتجنب نظام ضرب المنفذ المطبق على منافذ مثل SSH مشكلة هجمات كلمات المرور بالقوة الغاشمة على عمليات تسجيل الدخول. في حالة SSH ، لا يتم تنشيط برنامج SSH الخفي بدون ضرب المنفذ الصحيح، ويتم تصفية الهجوم بواسطة مكدس TCP / IP بدلاً من استخدام موارد مصادقة SSH. بالنسبة للمهاجم، يتعذر الوصول إلى البرنامج الخفي حتى يتم توفير منفذ النقر الصحيح.

وفي هذا السياق، يتطلب هزيمة حماية طرق المنافذ هجمات واسعة النطاق بالقوة الغاشمة من أجل اكتشاف حتى التسلسلات البسيطة. يتطلب هجوم القوة الغاشمة المجهول ضد تسلسل TCP ثلاثي الضربات (مثل المنفذ 1000، 2000، 3000) مهاجمًا لاختبار كل ثلاثة منافذ في النطاق (1-65535) ثم فحص كل منفذ بين الهجمات للكشف عن أي تغييرات في المنفذ الوصول إلى النظام المستهدف. نظرًا لأن طرق عرض المنفذ هي حسب تعريف الحالة، فلن يتم فتح المنفذ المطلوب حتى يتم استلام تسلسل رقم ثلاثة منافذ صحيح بالترتيب الصحيح ودون تلقي أي حزم متداخلة أخرى من المصدر. يتطلب سيناريو متوسط الحالة ما يقرب من 141 تريليون (655353 / 2) حزم لتحديد رقم صحيح ثلاثي المنافذ. هذه التقنية، جنبًا إلى جنب مع التسلسلات الأطول أو الأكثر تعقيدًا وتجزئة التشفير، إلى جانب الحد من محاولات الدفع، وتجعل محاولات الوصول الناجحة للمنافذ صعبة للغاية.

علاوةً على ذلك، يؤدي استخدام تجزئات التشفير داخل تسلسل ضرب المنفذ للدفاع ضد استنشاق الحزمة بين الأجهزة المصدر والهدف، مما يمنع اكتشاف تسلسل ضرب المنفذ أو استخدام المعلومات لإنشاء هجمات إعادة تشغيل حركة المرور لتكرار تسلسل ضربات المنفذ السابقة.

ومن ناحية أخرى، يسمح السلوك المصحوب بالحالة لطرق المنفذ للعديد من المستعملين من عناوين IP مختلفة المصدر أن يكونوا على مستويات مختلفة من مصادقة طرق المنفذ في وقت واحد، مما يسمح للمستعمل الشرعي بتسلسل الضربة الصحيح عبر جدار الحماية بينما يكون جدار الحماية نفسه في منتصف هجوم منفذ من عدة عناوين IP (بافتراض عدم استهلاك النطاق الترددي لجدار الحماية بالكامل). من أي عنوان IP مهاجم آخر، ستظل المنافذ الموجودة على جدار الحماية تبدو مغلقة.

المساوئ

في هذا الإطار، - الأنظمة التي لا تستعمل تجزئات التشفير معرضة لهجمات انتحال عنوان IP . تستعمل هذه الهجمات، وهي شكل من أشكال رفض الخدمة، وظيفة طرق المنفذ لإغلاق عناوين IP المعروفة (مثل محطات إدارة المسؤول) عن طريق إرسال حزم بعنوان IP مخادع إلى منافذ عشوائية. الخوادم التي تستعمل العنونة الثابتة معرضة بشكل خاص لهذه الأنواع من رفض الخدمة لأن عناوينها معروفة جيدًا.

من جانب آخر، - قد تكون طرق طرق المنفذ مشكلة على الشبكات التي تعرض زمن انتقال عالٍ. يعتمد ضرب المنفذ على وصول الحزم بالتسلسل الصحيح للوصول إلى وظائفها المصممة. من ناحية أخرى، تم تصميم TCP / IP ليعمل من خلال تجميع الحزم خارج الترتيب في رسالة متماسكة. في هذه الحالات، الحل الوحيد هو أن يستمر العميل في إعادة إرسال التسلسل الصحيح للحزم على أساس دوري حتى يتم التعرف على التسلسل من قبل الخادم.

وعلى صعيد آخر، - لا يمكن استخدام طرق عرض المنفذ كآلية مصادقة وحيدة للخادم. من منظور أمني، يعتمد طرق طرق المنفذ البسيطة على الأمن من خلال الغموض؛ يؤدي النشر غير المقصود لتسلسل الضربة القاضية إلى تسوية جميع الأجهزة التي تدعم التسلسل. علاوة على ذلك، طرق طرق المنافذ غير المشفرة عرضة لاستنشاق الحزم. يمكن لتتبع الشبكة ذي الطول المناسب اكتشاف تسلسل الضربة الصحيح من عنوان IP واحد وبالتالي توفير آلية للوصول غير المصرح به إلى خادم وبالتالي الشبكة المتصلة. بمجرد اختراقها، تصبح ملفات السجل على الجهاز مصدرًا لتسلسلات طرق صحيحة أخرى، مما يكشف عن نقطة فشل أخرى. حلول مثل التعامل مع كل تسلسل نقر على أنه كلمة مرور لمرة واحدة هزيمة هدف الإدارة المبسطة. في الممارسة العملية، يجب أن يتم دمج طرق طرق المنافذ مع أشكال المصادقة الأخرى التي ليست عرضة لإعادة التشغيل أو هجمات man-in-the-middle حتى يكون النظام بأكمله فعالاً.

وعلى صعيد آخر، - طرق (طَرق المنافذ) تعتمد كليا على متانة برنامج طرق على المنفذ. سيؤدي فشل البرنامج الخفي إلى رفض وصول جميع المستعملين إلى المنفذ ومن منظور قابلية الاستخدام والأمان، فهذه نقطة فشل فردية غير مرغوب فيها. تعمل تطبيقات طرق المنفذ الحديثة على تخفيف هذه المشكلة من خلال توفير برنامج خفي لمراقبة العملية والذي سيعيد تشغيل عملية خفية لطرق المنفذ الفاشلة أو المتوقفة.