1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
|
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Lev Lamberov"
<define-tag description>обновление безопасности LTS</define-tag>
<define-tag moreinfo>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-1798">CVE-2015-1798</a>
<p>Если ntpd настроен на использование симметричных ключей для аутентификации удалённого
NTP-сервера или однорангового узла, то он проверяет правильность кода аутентификации (MAC) сообщения NTP в
полученных пакетах, но не проверяет, имеется ли вообще какой-либо MAC. Пакеты без
MAC принимаются как пакеты, содержащие правильный MAC. Это позволяет злоумышленнику MITM,
не имея симметричного ключа, отправлять ложные пакеты, которые принимаются
клиентом или одноранговым узлом. Злоумышленнику нужно знать временную отметку передачи,
чтобы отметка в его поддельном ответе соответствовала её, а ложный ответ должен дойти до
клиента раньше ответа настоящего сервера. Злоумышленнику не обязательно
выполнять роль передатчика пакетов между клиентом и сервером.</p>
<p>Аутентификация, использующая автоключ, не подвержена этой проблеме, поскольку в ней имеется проверка,
требующая, чтобы идентификатор ключа был больше NTP_MAXKEY. Это условие не выполняется для
пакетов, не имеющих MAC.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-1799">CVE-2015-1799</a>
<p>Злоумышленник, знающий, что NTP-узлы A и B соединяются друг с другом
(симметричная связь), может отправить пакет узлу A с адресом источника B,
что приведёт к установке переменных состояния NTP на A в значения, отправленные злоумышленником.
Затем узел A при следующем опросе отправит B пакет с начальной временной отметкой,
которая не совпадает с временной отметкой передачи B, и этот пакет будет сброшен.
Если злоумышленник периодически выполняет указанные действия на двух узлах, то они не смогут
синхронизироваться друг с другом. Эта ситуация, известная как отказ в обслуживании, и была
описана в <a href="https://www.eecis.udel.edu/~mills/onwire.html">https://www.eecis.udel.edu/~mills/onwire.html</a> .</p>
<p>Согласно этому документу, аутентификация NTP должна защищать
симметричные связи от этой атаки, но это не
так. Переменные состояния обновляются даже в том случае, когда аутентификация завершилась неудачно,
а одноранговые узлы отправляют пакеты с инициированными временными отметками, которые не совпадают
с временными отметками передачи на получающей стороне.</p>
<p>ntp-keygen на узлах с порядком байтов от младшего к старшему</p>
<p>Использование ntp-keygen для создания ключа MD5 на узлах с порядком байтов от младшего к старшему приводит
либо к возникновению бесконечного цикла, либо к тому, что создаётся ключ лишь из 93 возможных ключей.</p></li>
</ul>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2015/dla-192.data"
# $Id$
|
