Кибероружие и кибербезопасность. О сложных вещах простыми словами

При возможности настройки опции «автоответ» в зависимости от вызывающей линии (интерком) она представляет реальную угрозу прослушивания разговоров, ведущихся в помещении. Злоумышленник. получивший привилегии администрирования УАТС, может создать интерком-группу, включив в нее атакуемую линию и свой номер, изменить сигнал вызова со своей линии на «запись тишины» и получить тем самым возможность прослушивать любые разговоры в помещении, всего лишь сделав вызов на данную линию. Конечно, эта схема обладает некоторыми незначительными демаскирующими признаками, о которых надо сказать: 1) в зависимости от модели аппарата сам факт включения микрофона может отражаться индикаторами. 2) эта линия в момент прослушивания будет «занята» при попытке вызова извне, 3) существует определенный риск поднятия прослушиваемым абонентом трубки для выполнения своего вызова. Однако это совсем не исключает возможности выполнения успешного и скрытного прослушивания, особенно в тех ситуациях, когда в прослушиваемом помещении идет активное обсуждение того пли иного вопроса, а телефонный аппарат установлен так. что его индикаторы не видны присутствующим.

1.4.3.3. Угроза наличия недокументированных возможностей IP-аппаратов

Недокументированные возможности современных аппаратов (в особенности IP) являются еще одной угрозой для конфиденциальности речевой информации даже в особо защищаемых помещениях. Программное обеспечение современных IP-телефонов представляет собой сложный программный комплекс, в т. ч. реализующий стек протоколов TCP IP. и может содержать:

• недокументированные возможности, специально внесенные разработчиками аппарата в целях упрощения его тестирования пли на определенных этапах разработки (введения новых функциональных возможностей) аппаратов;

• случайные ошибки в реализации протокола, например приводящие к уязвимостям класса «переполнение буфера» и позволяющие в итоге получить полный контроль над программным обеспечением аппарата до его перезагрузки.

Конкретным реальным примером угрозы первой группы является действительно имевшаяся в одной пз первых версий ПО возможность отправки на IP-телефоны наиболее популярных моделей 7940 и 7960 компании Cisco Systems Inc. специального управляющего XML-сообшения CiscoIPPhoneExecute, которое среди прочих универсальных возможностей (ускоренный набор номера, эмуляция нажатия клавиш и т. п.) могло включать микрофон аппарата и передавать абсолютно весь голосовой трафик на указанный в XML-сообщенпи IР-адрес.

1.4.3.4. Угроза прослушивания IР-трафика в момент передачи по сети

К сожалению, различные варианты реализаций угроз прослушивания телефонных разговоров, сегодня реализуемых для всех современных компьютерных сетей, использующих в своей структуре широковещательные сегменты (Ethernet, в т. ч. коммутируемый, радио-Ethernet и т. п.), создают еще один уровень потенциальных атак на все известные сегодня системы IP-телефонип. При отсутствии шифрования трафика на сетевом пли более высоких уровнях модели OSI существует сразу несколько вариантов нарушения конфиденциальности передаваемых сообщений.

Так, в условиях отсутствия у злоумышленника административных прав на активное сетевое оборудование наиболее эффективной в коммутируемых Ethernet-сетях является атака типа ARP spoofing, выполняющая несанкционированное изменение таблицы маршрутизации на канальном (МАС) уровне с помощью специально сформированных злоумышленниками (или спецслужбами противника) ARP-пакетов. Также к раскрытию определенной части передаваемой информации может привести перевод коммутатора в режим концентратора с помощью посылки большого количества фальшивых пакетов (MAC storm), хотя надо сказать, что этот способ обладает определенными демаскирующими признаками, выражающимися в резком снпжешш качества работы сети (эффекты «эхо» и «пропадание слов»).

При получении злоумышленником каким-то образом административных прав на коммутирующем или маршрутизирующем оборудовании (например, в результате специальной атаки на компьютер администратора или при перехвате его пароля, передававшегося в открытом виде) у него появляются гораздо более мощные средства перехвата IP-трафика. Они включают:

— возможность активации на коммутаторах «зеркальных» (SPAN) портов, получающих абсолютно точную копию передаваемого по определенным портам трафика;

— использование иных технологии «ответвления» трафика от производителей сетевого оборудования, например:

• протокола ERSPAN (Encapsulated Remote SPAN), инкапсулирующего каждый перехватываемый пакет в пакет протокола GRE, что позволяет мгновенно передавать его по IP-сетям, причем без каких-либо ограничений дальности;

• опции IP Traffic Export, реализующей «ответвление» трафика при его маршрутизации на 3-м уровне модели OSI.