Анализ Novell netware с точки зрения таксономии причин нарушения информационной безопасности

 

Сетевая ОС Novell NetWare является мощной и распространенной операционной системой для локальных сетей. Тем не менее, применение системного подхода позволило выявить наличие возможности нарушения безопасности по каждой из причин, описанных в предыдущей главе:

1. Выбор модели безопасности, несоответствующей назначению или архитектуре ВС;

2. Неправильное внедрение модели безопасности;

3. Отсутствие идентификации и/или аутентификации субъектов и объектов;

4. Отсутствие контроля целостности средств обеспечения безопасности;

5. Ошибки, допущенные в ходе программной реализации систем обеспечения безопасности;

6. Наличие средств отладки и тестирования в конечных продуктах:

7. Ошибки администрирования.

Ниже будет приведен анализ ОС Novell NetWare версий 3 (3.11 и 3.12) и 4 (4.1), основываясь на этой классификации.

В качестве модели безопасности у Novell NetWare выбрана дискретная модель разграничения доступа. Мандатная модель в этой ОС не поддерживается.

Из-за отсутствия мандатной модели разграничения доступа непосредственно следует, что пользователь с более высокими полномочиями (такой, как супервизор или менеджер группы) имеет возможность запускать программы, заданные пользователями с меньшими полномочиями. Таким образом, имеется потенциальная возможность запуска провизором троянского коня, внедренного в систему рядовым пользователем-злоумышленником,

Неправильное внедрение модели безопасности

Существуют шесть особенностей, которые могут быть отнесены к неправильному внедрению модели безопасности в Novell Netware.

Отсутствие подтверждения старого пароля при его смене.

Novell API предоставляет функцию ChangeBinderyObjectPassword (char *objectName, WORD objectType, char *oldPassword, char *newPassword), которая производит смену пароля пользователя. При этом сами пароли по сети не передаются, а используется значение, получаемое в результате хэширования. Как видно, эта функция требует знания старого пароля, хэш-значение которого используется для зашифровки хэш-значения нового пароля в момент передачи по сети. Таким образом, перехват информации в момент передачи по сети серверу ничего не даст злоумышленнику, т.к. он не знает старого пароля.

Такая схема представляется весьма надежной, однако при ее реализации пришлось исключить необходимость знания старого пароля для пользователя с правами супервизора и он может вызывать ее с третьим аргументом — пустой строкой (""). Это сделано для того, чтобы он мог менять пароль любого пользователя (не зная, естественно, его старого пароля).

Отсюда следует, что перехват такого вызова функции ChangeBinderyObjectPassword () (он реализован, например, в программе SYSCON) даст злоумышленнику хэш-значение нового пароля со всеми вытекающими отсюда последствиями.

 

Недостатки в реализации опций Intruder detection и Force periodic password changes.

Как ни парадоксально, но злоумышленник, используя средства защиты Novell NetWare, может заставить пользователя помочь ему овладеть хэш-значением пароля. Это произойдет в том случае, когда включено отслеживание попыток входа в систему под неправильным паролем (intruder detection). Злоумышленник может несколько раз попытаться войти в систему под любыми паролями, когда пользователь войдет под правильным паролем, ему сообщат о попытках несанкционированного доступа, и он захочет сменить пароль. Именно этого и добивался злоумышленник, готовый перехватить хэш-значение, единственный раз в этом случае передающийся по сети. Аналогичный результат получается при использовании периодической смены пароля (force periodic password changes).