IEEE-SP 2012勉強会で担当した論文「Off-Path TCP Sequence Number Inference Attack - How Firewall Middleboxes Reduce Security」の資料です。

1. Session 7
Network Security
2012年6月19日
筑波大学 金岡 晃

2. Session 7: Network Security
• Scalable Fault Localization under Dynamic Traffic
Patterns
– Xin Zhang (Carnegie Mellon University), Chang Lan
(Tsinghua University), and Adrian Perrig (Carnegie Mellon
University)
• Peek-a-Boo, I Still See you: Why Efficient Traffic
Analysis Countermeasures Fail
– Kevin P. Dyer (Portland State University), Scott E. Coull
(RedJack, LLC), Thomas Ristenpart (University of
Wisconsin-Madison), and Thomas Shrimpton (Portland State
University)slides
• Off-Path TCP Sequence Number Inference Attack - How
Firewall Middleboxes Reduce Security
– Zhiyun Qian and Z. Morley Mao (University of Michigan)
2012/6/19 2IEEE-SP 2012 勉強会

3. OFF-PATH TCP SEQUENCE NUMBER INFERENCE
ATTACK - HOW FIREWALL MIDDLEBOXES REDUCE
SECURITY
2012/6/19 3IEEE-SP 2012 勉強会

4. Abstract
• これまで
– TCP初期シーケンス番号の予測
• IPAから報告書もでてます。P.4
– http://www.ipa.go.jp/security/vuln/documents/vuln_TCPIP.pdf
• 初期シーケンス番号が予測可能なので、TCP偽造パケットを正規パケットとして
受信させることが可能
– 乱数化による対応→RFC 6528（2012年！）
– ベンダによる対応：Cisco,Checkpoint, Juniper
• この対応が裏目
– サイドチャネル的にパケットを見ていると、シーケンス番号が予測で
きてしまうことを発見
– TCP Sequence Number Inference Attack
• この攻撃によりTCPハイジャックが可能
– HTTPハイジャック、悪意のあるJavascriptを入れ込むことも
• そういうファイアウォールがどれだけあるか、各キャリアのファイ
アウォール状況を調べてみたら、149のなかの31.5%がこの攻撃に脆
弱
• 実証コードをつくってみて、Android端末でFacebookログイン画面
をハイジャックすることができた
2012/6/19 4IEEE-SP 2012 勉強会

5. TCP Sequence Number Inference Attack
• Sequence-Number-Checking Firewalls
– Window Size
– Left-only or right-only window
– Windows moving behavior
• Threat Model
– On-site TCP injection/hijackiing
– Off-site TCP injection
– Establish TCP connection using spoofed IP
• Obtaining Feed back - Side Channels
– OS packet counters
– IPIDs from responses of intermediate
middleboxes
2012/6/19 5IEEE-SP 2012 勉強会

6. Sequence-Number-Checking Firewalls
• Cisco, Checkpoint,
Juniper
• Checking by
– Window Size
– Left-only or
right-only window
– Windows moving
behavior
2012/6/19 6IEEE-SP 2012 勉強会

7. Trying to infer sequence number
2012/6/19 7IEEE-SP 2012 勉強会

8. Identified TCP Sequence number inference
attacks and their requirements
2012/6/19 8IEEE-SP 2012 勉強会

9. Reset-the-server hijacking
2012/6/19 9IEEE-SP 2012 勉強会

10. Preemptive-SYN hijacking
2012/6/19 10IEEE-SP 2012 勉強会

11. Hit-and-run hijacking
2012/6/19 11IEEE-SP 2012 勉強会

12. 実装と評価
• Client Platform: Android Smartphones
• Network: Nation-wide carrier (GGSN level)
• Firewall:F ound in carrier’s GGNSs
2012/6/19 12IEEE-SP 2012 勉強会

13. Establish TCP connection using spoofed IPs
2012/6/19 13IEEE-SP 2012 勉強会

14. ネットワークの調査
• Android MarketにあるMobileAppを利用
– Network Performance, policyを調べ報告
• 2011年4月25日～10月17日まで調査
– 149キャリア：Mobile Country Code（MCC）とMobile Network Code
（MNC）で一意に識別されるキャリア
• 3つのタイプのSequence-Number-Checking Firewallを探す
– 47のキャリアで見つかった
– 10のキャリアが疑わしい
– 47のうち、24のキャリアで中間者ホップ（Intermediate hops）に反応
2012/6/19 14IEEE-SP 2012 勉強会

15. 脆弱なアプリ、サイト
• Facebook/Twitter
– デスクトップ/モバイル用アプリのログイン画
面は非SSL
• 銀行サイト
– 68サイトを調査
– 4サイトが非SSLのログイン画面を持つ
2012/6/19 15IEEE-SP 2012 勉強会

16. アプリへの攻撃
• Facebookアプリ
– 2011年10月5日にアップデートされたバージョンのアプリを利用
• ログインページを入れ替えることはできなかった
– いくつかの点を見つけた
• メインページはHTTP接続
• 重要なJavascriptがHTTPで取得されている
• Windows Live Messengerアプリ
– 悪意のあるリンクをポストすることに成功
• 株アプリ
– Google financeがHTTPで株価情報を表示している
– インジェクション可能
• 広告
– AdMobで提供される広告がHTTP
– 入れ替え可能
動画あり
2012/6/19 16IEEE-SP 2012 勉強会