Wykorzystanie kanałów skrytej komunikacji w mobilnych sieciach typu Ad-hoc

Bezprzewodowe sieci typu ad-hoc są środowiskiem bardzo podatnym na wszelkiego rodzaju manipulacje, mogące doprowadzić do zaistnienia i wykorzystania skrytych kanałów komunikacyjnych. Ze względu na brak infrastruktury monitorującej zachowanie poszczególnych węzłów, sieci typu MANET (Mobile Ad-hoc NETwork) są szczególnie narażone na wykorzystanie skrytych kanałów komunikacyjnych. W artykule przestawiono ogólną charakterystykę skrytych kanałów komunikacji oraz omówiono skryte kanały komunikacji w sieciach MANET.

 
Taking advantage of hidden communication channels in mobile ad-hoc networks

Wireless ad-hoc networks are the invironment very susceptible to all kinds of manipulations that can lead to arising and making use of hidden communication channels. Considering the lack of infrastructure that can monitor the behaviour of separate nodes, MANET (Mobile Ad-hoc NETwork) type networks are above all exposed to a danger of being sensitive to taking advantage of hidden communication channels. Presented is general characteristics of such channels and discussed are the ones occurring in MANET networks.

Wykorzystanie skrytych kanałów komunikacji (Covert Communication Channels) jest jedną z bardziej wyrafinowanych technik ataków, wymagającą znajomości budowy i mechanizmu działania protokołów stosowanych w atakowanej sieci. Dostęp do ukrytych kanałów komunikacji może całkowicie udaremnić wysiłek włożony we wdrożenie i stosowanie mechanizmów bezpieczeństwa.

Nawet przy braku autoryzacji dostępu węzła atakującego do danych strzeżonych, informacją wrażliwą przesyłaną za pomocą kanałów skrytej transmisji mogą być dane dotyczące topologii sieci i statystyk ruchu, dane protokołów routingu, rodzaj wykorzystywanych w sieci protokołów bezpieczeństwa i algorytmów kryptograficznych oraz używane klucze, a więc wszelkie dane pozyskiwane w fazie rekonesansu podczas ataku na sieć.

Ze względu na brak infrastruktury monitorującej zachowanie poszczególnych węzłów, sieci typu MANET (Mobile Ad-hoc NETwork) są środowiskiem szczególnie podatnym na wykorzystanie skrytych kanałów komunikacyjnych.

Charakterystyka skrytych kanałów komunikacyjnych

Pojęcie skrytych kanałów komunikacyjnych oznacza wszelkie metody wykorzystania protokołów komunikacyjnych do niejawnej transmisji danych; istnienie tych metod nie było pierwotnie zakładaną cechą danego protokołu. Dokument [1] zawiera odniesienia do następujących definicji skrytego kanału komunikacyjnego.

• Dany kanał komunikacyjny jest skryty, jeśli nie został stworzony albo zamierzony do transferu informacji w ogóle [2, 3].
• Kanały skryte to takie, które używają encji, normalnie nie interpretowanych jako obiekty z danymi, do transferu informacji z jednego podmiotu do innego [4].
• Dany jest niedyskrecjonalny (tj. obowiązkowy) model polityki bezpieczeństwa M oraz jego interpretacja I(M) w środowisku operacyjnym. Każda potencjalnie zachodząca komunikacja pomiędzy dwoma podmiotami polityki M – I(Sh) i I(Si) – jest uznana za skrytą, wtedy i tylko wtedy, gdy jest ona niedozwolona w M [5].
• Kanał skrytej komunikacji to kanał komunikacyjny który pozwala procesowi, należącemu do danego systemu, na transfer informacji w sposób łamiący politykę bezpieczeństwa przyjętą w tym systemie – definicja przyjęta w [1].

To, czy proces wymiany danych należy kwalifikować jako skrytą komunikację, zależy od polityki bezpieczeństwa ustalonej w systemie. Polityka bezpieczeństwa informacji jest zbiorem spójnych, precyzyjnych i zgodnych z obowiązującym prawem przepisów, reguł i procedur, według których dana organizacja buduje, zarządza oraz udostępnia zasoby i systemy informacyjne i informatyczne. Polityka powinna obejmować wskazanie możliwych rodzajów naruszenia bezpieczeństwa, scenariusze postępowania w takich sytuacjach i działania, które pozwolą uniknąć powtórzenia się incydentu. Polityka bezpieczeństwa definiuje ponadto poprawne i niepoprawne korzystanie z zasobów. Tylko wymiana danych ściśle zabroniona w przyjętej polityce jest uznawana za skrytą. Jeśli strony transmisji mogą, według przyjętej polityki bezpieczeństwa, dokonywać wymiany danych, a przekazują dodatkowo wrażliwe dane w sposób zaszyfrowany, mamy do czynienia ze zjawiskiem ukrywania informacji.

W praktyce niemożliwe jest całkowite wykluczenie możliwości istnienia skrytego kanału komunikacji. Najważniejszą jego cechą jest niewykrywalność.

Inne charakterystyki, jak przepustowość czy stopa błędów, w odróżnieniu od tradycyjnych kanałów komunikacyjnych, mają bardzo małe znaczenie.

Atakujący wprowadza informację w sposób niezakłócający normalnego działania mechanizmów sieciowych oraz tak, aby tylko określeni odbiorcy, znający zastosowany mechanizm steganograficzny, byli w stanie wykryć i odczytać tę informację. Wykorzystanie skrytych kanałów komunikacyjnych należy do grupy ataków aktywnych, wewnątrzsieciowych, przy czym wymaga także współdziałania drugiej strony nasłuchującej, wewnątrz lub na zewnątrz domeny bezpiecznej. Wykorzystanie skrytego kanału komunikacji wewnątrz zabezpieczonego obszaru sieci dotyczy sytuacji, kiedy istnieje ścieżka od węzła z większymi uprawnieniami do węzła nieuprawnionego do odbioru określonych informacji. W przypadku sieci bezprzewodowych nasłuch może być prowadzony poza bezpieczną domeną, z uwagi na otwarty charakter medium.

Skryte kanały komunikacji w sieciach MANET

Bezprzewodowe sieci typu ad-hoc są środowiskiem bardzo podatnym na wszelkiego rodzaju manipulacje, mogące doprowadzić do zaistnienia i wykorzystania skrytych kanałów komunikacyjnych. W przeciwieństwie do sieci z infrastrukturą, w przypadku sieci ad-hoc, organizacja i utrzymanie procesów zachodzących w sieci należą do zadań wszystkich węzłów wchodzących w jej skład. Decentralizacja tych działań daje możliwość do naruszania zasad, np. związanych z wymianą informacji sygnalizacyjnej służącej odkrywaniu i utrzymywaniu tras (m. in. podczas ataków typu black hole, gray hole oraz wormhole). Niektóre z proponowanych protokołów routingowych zawierają mechanizmy wykrywania i przeciwdziałania pewnemu zakresowi szkodliwych działań, jednak żaden z nich nie był ukierunkowany na zwalczanie problemu wykorzystania skrytych kanałów komunikacji.

Działanie protokołu routingu AODV

W publikacjach [6, 7] opisano, w jaki sposób można wykorzystać wiadomości protokołu AODV (Ad-hoc On-demand Distance Vector) [8] do przeprowadzenia skrytej komunikacji. Jest to routingowy protokół reaktywny, a więc żądania odkrycia drogi są generowane przez węzeł źródłowy, w chwili gdy zaistnieje potrzeba komunikacji z węzłem docelowym i tablica routingu węzła źródłowego nie zawiera poprawnej drogi do węzła docelowego.

Żądanie odkrycia drogi wysyłane jest w postaci wiadomości Route Request (RREQ), w trybie broadcastowym. Budowa wiadomości RREQ została przedstawiona na rysunku 1,

a funkcje poszczególnych pól wiadomości zostały opisane w tabeli 1.

Tabela 1. Opis pól wiadomości RREQ protokołu AODV

Wiadomość jest propagowana w sieci, do momentu kiedy dotrze do węzła poszukiwanego, bądź do węzła pośredniczącego, który zna drogę do węzła poszukiwanego. Wówczas do węzła źródłowego zwracana jest wiadomość Route Reply (RREP). Budowa wiadomości RREP została przedstawiona na rysunku 2.

W celu zmniejszenia ilości wiadomości RREQ propagowanych w sieci ad-hoc, używana jest technika expanding ring search (przeszukiwania w rozszerzającym się pierścieniu). Polega ona na określeniu przez węzeł źródłowy wartości czasu życia TTL (Time To Live) w nagłówku IP wiadomości RREQ i oczekiwaniu przez pewien czas na wiadomość RREP. Wartość TTL określa maksymalną ilość węzłów pośredniczących, które mogą przesłać żądanie RREQ. Jeśli czas oczekiwania na wiadomość RREP przekroczy założoną wartość, wówczas generowana jest nowa wiadomość RREQ, ze zwiększoną wartością TTL. Procedura jest powtarzana do osiągnięcia ustalonego progu wartości TTL.

W protokole AODV stosuje się numery sekwencyjne, aby zapobiec wystąpieniu pętli. Każdy węzeł utrzymuje w pamięci liczbę, zwaną numerem sekwencyjnym. Może ona ulec tylko zwiększeniu, i tylko w dwóch przypadkach: na chwilę przed generacją wiadomości RREQ (przez węzeł źródłowy) oraz na chwilę przed generacją wiadomości RREP (przez poszukiwany węzeł docelowy). W tablicy routingu każdego węzła każda droga jest powiązana z ostatnio znanym numerem sekwencyjnym, jaki został zwrócony w wiadomości RREP. Jeśli w odpowiedzi na wiadomość RREQ węzeł źródłowy otrzyma kilka poprawnych dróg, do tablicy routingu wpisuje drogę najnowszą, czyli związaną z największym numerem sekwencyjnym węzła docelowego.

Autorzy [6, 7] wskazują cztery kanały skrytej komunikacji, spośród których jeden jest poddany głębszej analizie i symulacji, ze względu na łatwość implementacji. Zaproponowane mechanizmy steganograficzne wykorzystywane do przeprowadzenia skrytej komunikacji polegają na:

1. nadawaniu wiadomości RREQ w odpowiednich momentach;
2. ingerencji w zawartość pola numeru sekwencyjnego węzła źródłowego w wiadomościach RREQ;
3. ingerencji w zawartość pola czasu życia we wiadomościach RREP;
4. ingerencji w zawartość pola zawierającego adres IP węzła docelowego w wiadomościach RREQ.

Założono, iż w procesie skrytej komunikacji biorą udział dwa węzły – nadawczy CT (Covert Transmitter) i odbiorczy CR (Covert Receiver). Wprowadzają one modyfikacje do generowanych i docierających do nich jednostek danych. Reszta węzłów wchodzących w skład sieci ad-hoc generuje i przekazuje wiadomości wyłącznie w sposób zgodny z opisem działania protokołu AODV [8].

Przykładowy covert channel w protokole AODV
– nadawanie wiadomości RREQ w odpowiednich momentach

Znaczna część skrytych kanałów komunikacyjnych wykorzystuje zależności czasowe. Jeśli węzeł odbiorczy mógłby rozróżnić opóźnienia pomiędzy generacją kolejnych wiadomości RREQ przez węzeł nadawczy, wówczas dodatkowa informacja (symbol S) mogłaby być odczytana z czasu generacji kolejnych wiadomości RREQ, np.:

gdzie:

S(Δt) – symbol odczytany przez węzeł CR za przedział Δt,
RREQ(Δt) – zdarzenie polegające na odebraniu przez węzeł CR pakietu RREQ nadanego przez węzeł CT w przedziale Δt.

Interpretacja symboli oraz określenie odpowiadającym im zdarzeń, czyli definiowanie alfabetu steganograficznego, zachodzi przy tworzeniu danego systemu skrytej komunikacji.

Przy wykorzystaniu takiego mechanizmu steganograficznego, kierunek skrytej oraz jawnej komunikacji odpowiadałby przedstawionemu na rysunku 3.

Rys. 3. Schemat działania kanału skrytej komunikacji z mechanizmem steganograficznym, polegającym na nadawaniu wiadomości RREQ w odpowiednich momentach

Podstawowym ograniczeniem przy implementacji tego kanału jest konieczność synchronizacji CT i CR, która jest problematyczna w przypadku sieci bezprzewodowych typu ad-hoc. Dodatkowo, CT nie może mieć pewności, iż wiadomość RREQ dotarła do CR, ze względu na duże prawdopodobieństwo utraty bądź uszkodzenia pakietu w medium charakteryzującym się dużym udziałem szumów. Jeśli ścieżka
między CT a CR składa się z dużej liczby skoków i istnieją ścieżki alternatywne, wówczas dodatkowo wiadomości RREQ mogą docierać do CR w innej, niż przy nadawaniu, kolejności.

Przykładowy covert channel w protokole AODV
– ingerencja w zawartość pola numeru sekwencyjnego węzła źródłowego

Przy generacji wiadomości RREQ, węzeł źródłowy wstawia aktualną wartość swojego numeru sekwencyjnego. Manipulując tą wartością można osadzić dodatkową informację. Proponowane są dwie metody ukrywania informacji:

• przez zmiany przyrostu numeru sekwencyjnego, np.:
  gdzie:
  
  • S – symbol odczytany przez CR,
  • ΔSN – przyrost numeru sekwencyjnego, obliczany w stosunku do ostatnio odebranego przez węzeł CR pakietu RREQ,
  • zdarzeniem interpretowanym przez węzeł CR jest odbiór każdego pakietu RREQ nadanego przez węzeł CT.
• przez zmianę ilości generowanych wiadomości RREQ w ustalonej jednostce czasu, np.:
  gdzie:
  
  • S(Δt) – symbol odczytany przez węzeł CR za przedział Δt,
  • ΔSN(Δt) – przyrost numeru sekwencyjnego, obliczany w stosunku do pierwszego odebranego przez węzeł CR pakietu RREQ w danym przedziale Δt,
  • zdarzeniem interpretowanym przez węzeł CR jest odbiór każdego pakietu RREQ nadanego przez węzeł CT.

Podobnie jak w przypadku skrytego kanału wykorzystującego nadawanie wiadomości RREQ w ustalonych
momentach, przy wykorzystaniu takiego mechanizmu steganograficznego, kierunek skrytej oraz jawnej komunikacji odpowiadałby przedstawionemu na rysunku 3.

Metoda zmian przyrostu numeru sekwencyjnego (2) nie wymaga synchronizacji między CT a CR, jednak działanie takie jest łatwe do wykrycia, ponieważ nie zostaną wygenerowane wiadomości o pośrednich numerach sekwencyjnych. Inna wada polega na możliwości szybkiego wyczerpania się puli numerów sekwencyjnych (232 możliwych wartości), co także może wzbudzić podejrzenia.

Druga metoda (3) wymaga synchronizacji między CT a CR, w celu ustalenia początku ustalonego okresu Δt, w którym zliczane będą żądania RREQ. Także jej dotyczy problem możliwości nazbyt szybkiego wyczerpania się puli numerów sekwencyjnych.

Przykładowy covert channel w protokole AODV
– ingerencja w zawartość pola czasu życia we wiadomościach RREP

Podczas generowania wiadomości RREP, z tablicy routingowej węzła pobierana jest aktualna wartość czasu życia drogi. Wskazuje ona, jak dawno droga była używana, przez węzeł generujący wiadomość RREP. Manipulacja zawartości pola czasu życia drogi daje możliwość przesłania odbiorcy wiadomości RREP dodatkowych informacji:

gdzie:

• • S(Δt) – symbol odczytany przez węzeł CR za przedział Δt,
• LT – wartość pola przyrost numeru sekwencyjnego, obliczany w stosunku do ostatnio odebranego przez węzeł CR pakietu RREQ,
• zdarzeniem interpretowanym przez węzeł CR jest odbiór każdego pakietu RREQ nadanego przez węzeł CT.

Przy wykorzystaniu takiego mechanizmu steganograficznego, kierunek skrytej oraz jawnej komunikacji odpowiadałby przedstawionemu na rysunku 4, przy czym liczby w nawiasach oznaczają kolejność przesyłanych wiadomości.

Rys. 4. Schemat działania kanału skrytej komunikacji z mechanizmem steganograficznym, polegającym na ingerencji w zawartość pola czasu życia we wiadomościach RREP; nadawcą wiadomości RREQ jest węzeł CR

W tym skrytym kanale komunikacji, rolę CT pełni nadawca wiadomości RREP, które są wysyłane w odpowiedzi na zapytania RREQ. Jednak nie powinny one pochodzić bezpośrednio od CR, ponieważ prowadziłoby to do szybkiego ujawnienia skrytej transmisji. W takim przypadku schemat krytej komunikacji wygląda tak, jak zostało to przedstawione na rysunku 5.

Rys. 5. Schemat działania kanału skrytej komunikacji z mechanizmem steganograficznym, polegającym na ingerencji w zawartość pola czasu życia we wiadomościach RREP; nadawcą wiadomości RREQ nie jest węzeł CR

CT powinien zatem otrzymywać możliwie często wiadomości RREQ od innych węzłów. Nawet przy założeniu, że będą one występować, wiadomości RREP wysyłane są unicastowo do węzła źródłowego, więc CR może pominąć niektóre wiadomości, w szczególności gdy nie będzie znajdował się w obszarze bezpośredniej widoczności radiowej węzła CT. Przy zastosowaniu tego schematu skrytej komunikacji, węzeł CR jest niewykrywalny, ze względu na całkowicie pasywne działanie.

Przykładowy covert channel w protokole AODV
– ingerencja w zawartość pola zawierającego adres IP węzła docelowego

Dodatkowa informacja może być ukryta w adresie węzła docelowego wiadomości RREQ. W przypadku sieci składającej się z N węzłów, można przy pojedynczym żądaniu przenieść w ten sposób log2(N – 1) bitów informacji. Ten skryty kanał komunikacji nie wymaga synchronizacji między CT a CR, a dodatkowo kolejność odbioru jest zagwarantowana poprzez mechanizm numerów sekwencyjnych. Wiadomości RREQ rozsyłane są w trybie broadcastowym, więc prawdopodobieństwo ich niewychwycenia przez CR jest niskie. Węzły CT i CR współdzielą alfabet, który składa się z symboli odpowiadającym adresom wszystkich węzłów wchodzących w skład sieci, oprócz węzła CT – symbol i jest transmitowany, gdy CT generuje wiadomość RREQ z adresem węzła docelowego i. Dla przypadku pięciu węzłów tworzących sieć ad-hoc, schemat skrytej komunikacji opisuje zależność (5):

gdzie:

• S – symbol odczytany przez węzeł CR,
• IP – wartość pola z adresem węzła docelowego w pakiecie RREQ,
• zdarzeniem interpretowanym przez węzeł CR jest odbiór każdego pakietu RREQ nadanego przez węzeł CT.

Przy wykorzystaniu mechanizmu steganograficznego opisanego przez (2.5), wymiana wiadomości odbywałaby się według rysunku 6.

Rys. 6. Schemat działania kanału skrytej komunikacji z mechanizmem steganograficznym, polegającym na ingerencji w zawartość pola zawierającego adres węzła docelowego

Jedynym odstępstwem od reguł ustalonych w standardzie AODV jest samokontrola zapotrzebowania na trasy przez CT, tzn. węzeł nadawczy może generować wiadomości RREQ do każdego wybranego węzła docelowego niezależnie od reguł czasowych ustanowionych w specyfikacji protokołu, nawet gdy zna już do niego trasę. W celu uniknięcia wykrycia, CT nie powinien zbyt często generować żądań RREQ o drogę do tego samego węzła docelowego. W wyniku symulacji przeprowadzonej w [6, 7] uzyskano średnią  przepustowość skrytego kanału komunikacyjnego na poziomie 1- 2 [bit/s] przy prawdopodobieństwie straty ok. 0,6. Kanał ten jest bardzo trudny do wykrycia: CR jest całkowicie niewykrywalny ze względu na pasywne działanie; natomiast odkrycie działania i ustalenie tożsamości CT jest możliwe w przypadku stosowania monitoringu procedur odkrywania drogi AODV. Węzeł CT powinien uwiarygodniać swoje  działania, poprzez wykorzystywanie dróg, których odkrycia żądał. W przeciwnym wypadku węzeł docelowy może nabrać podejrzeń, kiedy występuje duża liczba żądań odkrycia drogi do niego, a nie jest przeprowadzana żadna transmisja z jej użyciem.

Skryte kanały w innych protokołach
wykorzystywanych w sieciach MANET

Inne publikacje wskazują na możliwość przeprowadzenia skrytej komunikacji przy zastosowaniu protokołu routingu DSR [9], a także z wykorzystaniem protokołów warstw niższych, np. protokołów MAC bazujących na algorytmie drzewa rozpinającego [10]. W ostatnim przypadku możliwość skrytej komunikacji jest jednak ograniczona tylko do sąsiednich węzłów.

Podsumowanie

Steganografia protokołowa daje potencjalnemu atakującemu możliwość przesłania danych wrażliwych na zewnątrz domeny bezpiecznej, w sposób niezauważalny dla systemów monitorowania i filtrowania wiadomości, przy użyciu kanału o niskiej lub bardzo niskiej przepływności. Wykorzystywane są do tego odpowiednie części nagłówków protokołów działających w sieci. Atakujący modyfikuje je w taki sposób, aby zapewnić poprawne, ciągłe i niepodejrzane działanie protokołu, przy jednoczesnym zawarciu danych wrażliwych obieranych przez urządzenie nasłuchując, którym może być węzeł w niezabezpieczonej domenie, posiadający możliwość wykrywania i interpretacji skrytej transmisji.

Istnieje wiele nieopisanych technik wykorzystania skrytych kanałów komunikacyjnych. Przy projektowaniu nowych protokołów należy ograniczyć możliwość wykorzystania już opublikowanych możliwości wykorzystania skrytych kanałów komunikacji.

Możliwe jest przeprowadzenie skrytej komunikacji bez ingerencji w zawartość nagłówków wiadomości zarządczych, wymienianych podczas niezakłóconego działania sieci. Kanały skrytej komunikacji charakteryzujące się taką właściwością są najtrudniejsze do wykrycia i niemożliwe jest całkowite wykluczenie możliwości ich wykorzystania. Z kolei zbyt restrykcyjne i wrażliwe metody monitoringu i  interpretacji zachowania węzłów stosowane w celu identyfikacji i eliminacji takich kanałów mogą powodować dużą ilość błędnych alarmów (typu false-positive) i wpływać niekorzystnie na właściwy proces przekazu informacji w sieci.

Dziedzina obejmująca skryte kanały komunikacji w danych zarządczych sieci ad-hoc nie była dotąd badana na szeroką skalę, a nieliczne publikacje wskazują na duży potencjał tego kierunku badań. Nowatorskie podejście może polegać na próbie wykorzystania skrytych kanałów komunikacji do wspomagania systemu zabezpieczeń sieci, np. poprzez użycie przedstawionych mechanizmów w procesie uwierzytelniania węzłów mobilnej sieci typu ad-hoc w momencie formowania się sieci lub zmian w jej topologii.

Autor

Krzysztof Parobczak
Opiekun naukowy: dr hab. inż. Grzegorz W. Różański, prof. WAT
Wojskowa Akademia Techniczna, Wydział Elektroniki

LITERATURA