硅云资讯硅云资讯

专注服务中小网站
11万+用户信赖

TCP/IP协议的安全认识

买了硅云云服务器的小伙伴们可能会经常碰到一些网络层面上的概念,尤其是TCP/IP协议,出现的频率非常高,TCP/IP协议作为网络通信的标准协议,是一组不同层次上的多个协议的组合。

ip路由

什么是TCP/IP协议?


TCP/IP协议,由于在其设计初期过分强调其开放性和便利性,却没有认真仔细考虑到它的安全性问题,因此协议中存在有诸多的安全漏洞。协议缺陷造成的安全漏洞,很多时候会被黑客直接用来攻击受害者主机系统。

今天,我们来讲讲TCP/IP协议自身所存在的安全问题。虽然TCP/IP协议是由多个协议组合而成的,但本文只重点指出TCP协议和IP协议的安全问题。


一、TCP协议的安全问题

TCP使用“三次握手”机制来建立一条连接,握手的第一个报文为SYN包;第二个报文为SYN/ACK包,表明它应答第一个SYN包,同时继续握手的过程;第三个报文仅仅是一个应答,表示为ACK包。若A方为连接方,B为响应方,其间可能的威胁有:

1、攻击者监听B方发出的SYN/ACK报文。
2、攻击者向B方发送RST包,接着发送SYN包,假冒A方发起新的连接。
3、B方响应新连接,并发送连接响应报文SYN/ACK。
4、攻击者再假冒A方对B方发送ACK包。

这样攻击者便达到了破坏连接的作用,若攻击者再趁机插入有害数据包,则后果更严重。

TCP协议把通过连接而传输的数据看成是字节流,用一个32位整数对传送的字节编号。初始序列号(ISN)在TCP握手时产生,产生机制与协议 实现有关。攻击者只要向目标主机发送一个连接请求,即可获得上次连接的ISN,再通过多次测量来回传输路径,得到进攻主机到目标主机之间数据包传送的来回 时间RTT。已知上次连接的ISN和RTT,很容易就能预测下一次连接的ISN。若攻击者假冒信任主机向目标主机发出TCP连接,并预测到目标主机的 TCP序列号,攻击者就能伪造有害数据包,使之被目标主机接受。


二、IP协议的安全问题

IP协议在互连网络之间提供无连接的数据包传输。IP协议根据IP头中的目的地址项来发送IP数据包。也就是说,IP协议在路由IP包时,对IP头中提供的IP源地址不作任何检查,并且认为IP头中提供的IP源地址,即为发送该包机器的真实IP地址。这样,许多依靠“IP源地址”做确认的服务,将会产生问题并且会被非法入侵,其中最典型的就是利用“IP欺骗”引起的各种攻击。

以防火墙为例,一些网络的防火墙只允许网络信任的IP数据包通过,但是由于不检查IP数据包中的IP源地址,是否为发送该包的源主机的真实IP地址,因此攻击者可以采用“IP源地址欺骗”的方法,来绕过这种防火墙。比如用户在硅云有一台云服务器,攻击者想要攻击这台云服务器,可通过向该云服务器的ip发送数据包(经过改造,攻击者的本地IP是虚假的),从而绕过了防火墙。

另外有一些以IP地址作为“安全权限分配依据”的网络应用,攻击者很容易使用“IP源地址欺骗”的方法获得特权,从而给被攻击者造成严重的损失。事实上,每一个攻击者都可以利用IP协议不检验IP头中提供的IP源地址的特点,填入伪造的IP地址来进行攻击,隐藏自己真实的IP地址,从而使自己难以被发现。


三、TCP协议安全问题的防范措施

对于SYN Flood攻击,目前还没有完全有效的方法,但可以从以下几个方面加以防范:

1、对系统设定相应的内核参数,使得系统强制对超时的SYN请求连接数据包的复位,同时通过缩短超时常数和加长等候队列使得系统能迅速处理无效的SYN请求数据包。

2、建议在该网段的路由器上做些配置的调整,这些调整包括限制SYN半开数据包的流量和个数。

3、建议在路由器的前端多必要的TCP拦截,使得只有完成TCP三次握手过程的数据包才可以进入该网段,这样可以有效的保护本网段内的服务器不受此类攻击。


四、IP协议安全问题的防范措施

1、 抛弃基于地址的信任策略。这是最简单的方法。

2、进行包过滤。如果网络是通过路由器接入Internet(因特网)的,那么可以利用路由器来进行包过滤。确认只有内部LAN(局域网)可以使用信任关系,而内部LAN(局域网)上的主机对于LAN(局域网)以外的主机要慎重处理。路由器可以过滤掉所有来自于外部而希望与内部建立连接的请求。

3、使用加密技术。阻止IP欺骗的一种简单的方法是,在通信时要求加密传输和验证。当有多种手段并存时,加密方法可能最为适用。








未经允许不得转载:硅云官网 » 硅云资讯 » TCP/IP协议的安全认识
活动款云服务器CVM
1G 内存
40G/20G 磁盘
1核 CPU
1Mbps 带宽
适合中型网站、APP应用等
159元/年原价612元/年
云虚拟主机CVH
普惠一型 型号
100M 容量
50M 数据库
5Mbps 共享带宽
适合个人网站、企业官网
8元/月均价16元/月
云服务器CVM
通用G2 型号
1GiB起 内存
1核起 vCPU
1M起 带宽
适合个人网站、企业官网
39元/月起均价69元/月

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址