Quire

Reflection attack

From Quire, the open reference··1 min read

Il reflection attack è un tipo di attacco informatico volto a colpire sistemi di autenticazione di tipo challenge-response, che usano lo stesso protocollo di comunicazione in entrambe le direzioni (ovvero, ciascuna parte utilizza lo stesso protocollo per autenticarsi con l'altra parte). L'idea alla base di questo tipo di attacco è di imbrogliare la vittima chiedendogli una soluzione (response) alla sua stessa sfida (challenge).[1]

Attacco#edit

In linea di massima, l'attacco è condotto come segue:

  1. L'attaccante inizia la connessione con la vittima.
  2. La vittima chiede all'attaccante di autenticarsi, inviandogli una sfida (challenge).
  3. L'attaccante inizia una seconda connessione con la vittima chiedendogli di identificarsi tramite la stessa challenge.
  4. La vittima risponde alla sfida con la risposta corretta.
  5. L'attaccante invia il response corretto nella prima connessione.

Se il protocollo di autenticazione non è progettato attentamente, la vittima che riceve la risposta la accetterà in quanto corretta e lascerà all'attaccante un canale di connessione autenticato (mentre il secondo canale verrà abbandonato).

Contromisure#edit

La contromisura più comune a questo tipo di attacco è la seguente: la vittima inserisce il suo codice di identificazione nel response alla challenge. In questo modo, se a sua volta riceve un response contenente il suo ID, può semplicemente scartarlo.[2]

  1. Alice inizia la connessione con Bob
  2. Bob sfida Alice inviandogli un nonce. {\displaystyle B\rightarrow A:N}
  3. Alice risponde inviando il suo identificatore e il nonce crittati usando la chiave comune {\displaystyle K_{ab. {\displaystyle A\rightarrow B:\{A,N\}K_{ab
  4. Bob decifra il messaggi, controllando che provenga da Alice e non da lui stesso assicurandosi che contenga l'identificatore {\displaystyle A} e non {\displaystyle B}. Se il nonce è quello inviato da lui, accetta il messaggio.

Un'altra possibile soluzione è usare protocolli (o chiavi crittografiche) differenti per le due direzioni di autenticazione.

Note#edit

  1. ^ (EN) Andrew S. Tanenbaum, Computer Networks, 4ª ed., 2002, pp. 787-790, ISBN 0-13-038488-7.
  2. ^ (EN) Ross J. Anderson, Security Engineering: A Guide to Building Dependable Distributed Systems, 1ª ed., 2001, pp. 20–22, ISBN 0-471-38922-6.

Voci correlate#edit

Categories Tecniche di attacco informaticoSicurezza di rete

This article is mirrored from “Reflection attack” on Italiano Wikipedia, revision 151113973, written by Wikipedia's contributors and licensed CC BY-SA 4.0. Editing it here creates a Quire copy with its own history.

Synced with Wikipedia revision 151113973 · just now