[論文レビュー] TCP SYN Cookie Vulnerability

Dakshil Shah, Varshali Kumar|arXiv (Cornell University)|Jul 20, 2018

IPv6, Mobility, Handover, Networks, Security参考文献 1被引用数 3

ひとこと要約

この論文は、接続状態の追跡を排除することでDoS攻撃を軽減することを目的としたTCP SYN cookieが、初期シーケンス番号（ISN）を8通りの有効な組み合わせで予測可能であるため、攻撃者が正当な接続を偽装できる深刻な脆弱性を引き起こしていることを示している。著者らは、故意に作成されたACKパケットを用いてこの脆弱性を実行し、接続のスプーフィングと偽のログの挿入に成功した。実験では、制御された環境下で攻撃が実現可能であることが確認され、実世界の環境ではセッションの偽装や監査ログの改ざんを可能にする可能性がある。

ABSTRACT

TCP SYN Cookies were implemented to mitigate against DoS attacks. It ensured that the server did not have to store any information for half-open connections. A SYN cookie contains all information required by the server to know the request is valid. However, the usage of these cookies introduces a vulnerability that allows an attacker to guess the initial sequence number and use that to spoof a connection or plant false logs.

研究の動機と目的

• TCP SYN cookieが接続状態の追跡を排除することでDoS攻撃を防止することを目的としているが、その中で生じるセキュリティリスクを調査すること。
• SYN cookieにおけるISN生成メカニズムが、ACKパケットのみを用いても正当な接続を偽装可能であることを実証すること。
• 実環境またはエミュレートされたネットワーク環境において、接続の偽装と偽装アクセスログの挿入が実際に可能かどうかを評価すること。
• 監査ログの整合性、特に法的証拠としての有効性が求められる環境における影響を強調すること。
• この脆弱性が、冤罪や追跡回避の目的で悪用される可能性があるため、公開を提言すること。

提案手法

• 攻撃者はSYN洪水攻撃を実行し、バックログキューがオーバーフローすることでサーバーがSYN cookieモードに移行するのを誘発する。
• 攻撃者マシンは偽装されたIPアドレスを設定し、受信パケットを破棄することでRST応答を防ぎ、静かに接続を偽装する。
• 予測されたISNを含むACKパケットを生成するが、タイマーとMSS値の8通りの有効な組み合わせにより、ISNの下位24ビットのみを予測すれば十分である。
• 非線形な増分戦略を用いてISN空間を効率的にカバーし、サーバーの応答タイミングと時刻同期に基づいて最適化する。
• 攻撃の成功は、Apacheサーバーのログに接続完了の記録が残っているかを確認することで検証される。tcpdumpによるパケットキャプチャはバッファオーバーフローの影響で信頼性が低いため使用しない。
• 仮想マシン環境および実際のLAN環境の両方で実験を行い、異なるネットワーク条件下での実現可能性を評価する。

実験結果

リサーチクエスチョン

• RQ1 SYN cookieが有効な状態で、攻撃者がSYNパケットを送信せず、ACKパケットのみを用いてサーバーへのTCP接続を偽装できるか？
• RQ2 SYN cookie生成における有効なISNの組み合わせ数はどの程度で、それが接続偽装を可能にするほど効率的に予測可能か？
• RQ3 攻撃のタイミングとサーバー応答の遅延が、ISN予測の成功率にどの程度影響を与えるか？
• RQ4 この脆弱性が監査ログの整合性およびセキュリティ調査におけるフォレンジック証拠に及ぼす実用的影響は何か？
• RQ5 この攻撃は実世界のネットワークで実現可能か？また、パubリックネットワークや無線ネットワーク環境ではどのような制限があるか？

主な発見

• 攻撃は仮想マシン環境および実際のLAN環境の両方で成功し、制御された条件下での接続スプーフィングが技術的に可能であることを実証した。
• 有効なISNの組み合わせ数は、以前のバージョンの32通りから8通りに減少したが、SYN cookieの構造が予測可能であるため、依然として効率的な予測が可能である。
• サーバーの応答タイミングと時刻同期に基づく最適な攻撃タイミングをとることで、成功までの所要時間が26分未満に短縮され、一部の試行では開始後1分以内に成功した。
• パブリック無線ネットワークでは、ネットワークの不安定さと混雑状態が原因で攻撃に失敗し、クラッシュやパケット送信の中断が発生した。
• サーバーのログには、偽装されたACKパケットに有効なISNが含まれている場合にのみ接続完了の記録が残っており、攻撃が偽のアクセス記録を作成したことを確認した。
• この脆弱性は監査ログの整合性に対して深刻な脅威をもたらす。偽装されたアクセスログは、無実の人物を陥れる目的や、悪意ある活動を隠蔽するために悪用される可能性がある。