predpazvane ot sniffing

Zdraveite ,
Iskam da popitam po tema koqto veroqtno se e komentirala veche (no nishto ne namerih po neq) - sniffing-a i ima li predpazvane ot nego.
Qsno mi e che shte mi otgowoite chrez VLAN-i cryptirani tuneli i t.n. , no v moq sluchai stava duma za ravnopravna mreja s okolo 400-500 PC-ta svyrzani pomejdu si posredstvom switch-ove i hubowe.I taka kak razbiram che me sniffat (po tochno arp sniff) ? - prepylva mi se arp tablicata (moje i da gresha ,molq popravete me ako e taka).Ima li nachin (progwamka) za Linux za otkrivane na hostove koito sa v promiscuous mode i kak da se predpaza ot tova neshto sniffing-a ?
Hrumna mi ideqta da zadam mac addresite na kartite na hostovete s koito imam vryzki i vsichki ostanali da gi sloja primerno 00:00:00:00:00:00 ,no me znam dali shte ima nqkakyv polojitelen efekt


Predvaritelno Vi blagodarq za syvetite

Ne sym mnogo siguren no mislia 4e po4ti niama takava vyzmojnost. Kazvam po4ti stoto ne sym napylno siguren. Zna4i 4etoh dosta forumi i helpove po toz vypros i si napravih zaklu4enieto - moje da ne e viarno - 4e nisto ne zavisi ot teb - imam v predvid nastroikite . Programite za sniff prosto se nastroivat taka 4e packetite da preminavat prez tiah - tova stava s MAC adresite . Za tova mislia 4e ideiata MAC - niama da pomogne. Zanimavah se s programata ettercap izvestno vreme i vlizah v tehnia forum. Tam pro4etoh 4e ush niakakyv si bil napravil niakakyv script za tova ama na men ne mi se viarvashe i ne mu obyrnah vniamanie
Syjaliavam ako sym te podvel :)

Не говори глупости, че това с мак адресите има да го разкавам .. :))

IP протоколът работи върху ethernet протокола. Познай кои адреси използва ethernet протоколът, за да стигат пакетите до целта си. Разбираш ли какво ще се случи като сетнеш всички тези адреси на една и съща стойност?
Аз не съм пробвал, но ще да е интересно :)

А това, че ти се препълва arp таблицата не означава нищо, освен в някои редки случаи - проблем на собствената ти машина, но на мрежа с 400 рс-та не знам, може да си е напълно нормално ..
Няма по какво да засечеш, че те снифят.
Обаче никой не може да снифи нещо, което не минава през машината му, така че разкарай хъбовете и остави само switch-ове.
А за да не те снифят на някой рутер - ползвай SSH и всякакви протоколи с SSL.



______________

истината е увивно растение

S powechko jelanie switch-owete mogat da prorabotqt kakto hub-owe ..., na arp based sniffing-a mnogo ne mu puka che izpolzwash samo switchowe (ot lichen opit go znam) , za SSH sym syglasen (pone za v2) ,dokato SSL syshto ima wyzmojnost za sniffene (dekriptirane na celiq trafik) ...
Po wyprosa s MAC addressite , nikyde ne kazwam che shte setna WSICHKI na edna stoinost a samo tezi koito ne mi trqbwat, ostanalite shte gi setna na realnite im stoinosti , no neznam towa dali shte reshi problema

arp cache poisoning - active sniffing taka narechenoto
port bridgeing ili kakto go narechesh no GW interface-a ti ima edin mac adres ... ideiata e da izlajesh samia switch che tozi mac adres koito e na gw interfeisa vsashtnost ne e tam a e na porta na koito si varzan ti .. togava tezi switches deto sa po $30 primerno niamat vazmojnostta da reshat sami adjeba koi mac na kade e i zatova vsichki paket prednaznacheni za gw interfeisa gi preprashtat i na tozi port na koito ti si go izlagal .. toest poluchavash vsichko koeto otivam kam gw-a

spasenie: niama osven da si pusnesh arpwatch i toi da ti reportva koi si smenia mac adresi i drugi takiva .. pri takav opit za port bridgeing se poluchavato 50-60 maila ot arp watch s FLIP-FLOP na daden mac adres

arp cache overflow sashto taka sashtetvuva i to pak se otnasia za evtinite switches .. arp cache tablicata v samia switch si ima opredelen razmer pamet (primerno 128k) .. kogato tia se prepalni (s fake arp zaiavki) switch-a niama miasto kade da sloji novite mac adresi i zapochva da raboti kato hub toest preprashta vsichkia trafik na vsichki portove .. tova sashto se otnasia za evtinite switches
i ot tova [ak niama kakvo da te spasi osven arpwatch koito moje da ti reportne che niakoi prai svinshtini ..

estestveno ima spasenie ot vsichkite tezi neshta no ne mislia che mojesh da si pozvolish da smenish vseki switch s takav za minimum $250 che i na gore :)

то не е arp sniff, а е arp spoof и се оправя със сегментиране на мрежата и наслагване на рутиращи устройства от по-висок клас между сегментите (примерно 486-ци за по 30 лева, с по няколко мрежови карти и подходящ OS) и имам предвид хубави switch-ове, не за тях да даваш по 30 лева
иначе и monitoring на arp протокола - няма лошо

и имам предвид SSL със сертификати и SSH с key-ове

достатъчно е човек да си изгугли и прочете домашното
какво знами МАС адрес, който не ти трябва? като не ти трябва - изключи машината от мрежата, що трябва да правиш disaster?



______________

истината е увивно растение

Да, въпросът и преди се е дискутирал тук. Първо, в никакъв случай не слагай еднакви MAC адреси в един LAN. По-добре направо им изключи мрежите, да не се мъчат.

В shared media мрежа (коаксиален кабел или хъбове) наистина не можеш да се предпазиш от подслушване на некриптирана връзка, но затова пък е елементарно да хванеш чия мрежова карта е в промискуитетен режим.

Представи си как работи TCP/IP стекът: на всеки фрейм, който пристига от жицата му се проверява destination MAC адреса и ако не съответства на този на мрежовата карта, която го получава, фреймът се изхвърля. Хубаво обаче в промискуитетен режим всички пакети се пращат нагоре. Тоест, необходимо е да направиш поотделно ping на всички машини в мрежовия сегмент, но с грешен dest. MAC адрес. На този ping ще отговори единствено машината, чиято мрежова карта е в промискуитетен режим, понеже всички останали ще са изхвърлили фрейма.

Понеже е въпрос, който ми стана интересен, макар и в момента да не ми влиза пряко в работата, свърших това, което всеки, на който му влиза в работата би трябвало да направи в подобни случаи, сещаш се кое е.

[линк]
виж частта `Further Reading`, особено материалите от IBM

отделно, че има още хиляди места, където има подробна информация по проблема.



______________

истината е увивно растение

pro4etoh vnimatelno vsi4ki mneniq, ama ne6to ne mi stana qsno. vseizvestno e, 4e pri carta UTP ima6 RX i TX. kak se pazi6 ot carta na koqto fizi4eski ne e varzan TX. Demek ima6 samo RX?!

haide sega da ne se pravim na po-golemi experti ot kolkoto sme

Представи си как работи TCP/IP стекът: на всеки фрейм, който пристига от жицата му се проверява destination MAC адреса и ако не съответства на този на мрежовата карта, която го получава, фреймът се изхвърля.

moje bi triabva da se konsultirash s manuala ili syotvetnoto rfc i da spresh da izmisliash novi (psevdo) teorii?

но затова пък е елементарно да хванеш чия мрежова карта е в промискуитетен режим.

lol. pyrvo, procheti malko za passive sniffing. sled tova otbeleji fakta, che vsichki icmp protokoli mogat da bydat zabraneni s 1/2 red komanda, a dori ne se i nalaga kartata da ima ip address (...), za da sniffi syvsem dovolno trafika.

a picha s vyprosa - ami, ethernet kato e zamislian kato tehnologia ot xerox, vyobshte celta ne e bil da e siguren, a da byde lesno izpolzvaem na pyrvo vreme m/u office buildingite. vyzmojnost da predpazish ot eavesdropping ne kodiran trafik (v takava mreja) e nikakyv. imash edin edinstven variant - implementirai ipv6 na vsichki mashini. tam ima esp, as i drugi encryption headeri, koito ti spasiavat denia. trudno, no umno.