Ochrana webových serverů proti vybraným útokům

Mgr. Michal Šafránek

Diplomová práce

Protecting webservers against specified attacks

Anotace:

Tato práce popisuje problematiku ochrany webových serverů proti útokům typu odepření služby (denial-of service, dále jen "DoS") a útokům na autentizační mechanismy. Na základě těchto informací poté navrhuje seznam opatření, která dopad DoS útoků snižují. Následně je též navržen nový autentizační mechanismus, který je odolný proti většině běžných útoků. Jedním z druhotných cílů při návrhu tohoto mechanismu byla zpětná kompatibilita na úrovni rozhraní vůči existujícím webovým aplikacím. V úvodní kapitole je čtenář seznámen s principem fungování TCP/IP a HTTP. Následuje kapitola popisující útoky na HTTP, která je rozdělena na dvě části - DoS útoky a útoky na autentizační mechanismy. Další kapitola podrobně rozebírá jednak evoluci návrhu nového autentizačního mechanismu a jednak jeho konečnou verzi, která je následně podrobena analýze z hlediska ochrany proti dříve popsaným útokům. Kapitola též obsahuje detaily referenční implementace. Předposlední kapitola popisuje výsledky testování navrženého autentizátoru v praxi - test z pohledu uživatele a test výkonový. Závěrečná kapitola obsahuje shrnutí celé práce a možné výhledy do budoucna. K práci je přiloženo CD, které obsahuje referenční implementaci navrženého systému a celý text v elektronické podobě. Systém se při praktickém testu osvědčil - poskytuje dostatečný výkon a zároveň jej uživatelé shledali vyhovujícím. Dále je zmíněna možnost masového nasazení systému, neboť i kdyby nebylo možno využít přímo referenční implementaci, určenou pro webový server Apache, je text práce dostatečným výchozím podkladem pro implementace alternativní.

Abstract:

This work describes problems related to protecting webservers against Denial-of-Service attacks (henceforth DoS) and authentication-mechanisms related attacks. Based on this description it offers list of possible solutions how to mitigate DoS attacks. It also describes new authentication scheme which is resistant against most common attacks. One of the secondary objectives of proposed scheme was backward compatibility with existing web applications on interface level. In the first chapter we introduce TCP/IP and HTTP protocol (for those who aren't very familiar with them). Following chapter describes attacks on HTTP. It's divided into two parts -- DoS attacks and attacks to authentication mechanisms. Next chapter describes in great detail not only the proposed authentication scheme but also its evolution. Proposed version is then analyzed with regard to previously described attacks. This chapter also contains details about reference implementation. Next chapter describes tests performed on this reference implementation -- both performance and end-user tests. Final chapter contains brief recap and possible future work. Text comes with accompanying CD-ROM containing reference implementation and text in pdf form. Proposed scheme was found adequate -- it performs well (compared to mod_auth from Apache's distribution) and it proved to be easy-to-use in end-user test. It's also noted that this scheme is ready for real-world deployment because even though reference implementation is for Apache only, the text itself provides firm base for alternative implementations.

Klíčová slova

authentication mechanism, authentication-mechanism attacks, denial-of-service attacks, http, password cracking, protection of "http basic" authentication, session theft, Turing test, webserver protection, autentizační mechanismus, hádání hesel, krádež sezení, ochrana "http basic" autentizace, ochrana webových serverů, Turingův test, útoky na autentizační mechanismy, útoky typu odepření služby

Jazyk práce: čeština

Datum vytvoření / odevzdání či podání práce: 10. 2. 2006

Obhajoba závěrečné práce

• Obhajoba proběhla 10. 2. 2006
• Vedoucí: prof. RNDr. Václav Matyáš, M.Sc.

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Informatika / Informatika