A rejtett csatorna olyan kommunikációs csatorna, amely olyan módszerrel küld információt, amelyet eredetileg nem erre szántak.
A rejtett csatorna fogalmát Butler Lampson "A Note of the Confinement Problem" című művében vezették be először 1973. október 10- én , mint "(csatornák) egyáltalán nem alkalmasak információ továbbítására, mint például egy segédprogram hatása a rendszerindítás" [1] . Leggyakrabban a rejtett csatorna parazita a fő csatornán: a rejtett csatorna csökkenti a fő csatorna áteresztőképességét. A külső megfigyelők általában nem észlelik, hogy a fő adatátviteli csatorna mellett van egy további. Ezt csak a küldő és a fogadó tudja. Például a szteganográfiábana rejtett üzeneteket grafikus képekbe vagy egyéb adatokba úgy kódolták, hogy a változások a szemnek nem voltak észrevehetők, de az üzenet címzettje dekódolni tudta a titkosított üzenetet.
A rejtett csatorna nevét onnan kapta, hogy még a biztonságos operációs rendszerek beléptető rendszerei elől is el van rejtve, mivel nem használ olyan legitim átviteli mechanizmusokat, mint az olvasás és az írás, így hardveres biztonsági mechanizmusok sem észlelhetik, sem felügyelhetik. amelyek a biztonságos operációs rendszerek mögött állnak. Valós rendszerekben a rejtett csatorna létrehozása szinte lehetetlen, és gyakran a rendszer teljesítményének figyelésével is kimutatható; emellett a rejtett csatornák hátránya az alacsony jel/zaj arány és az alacsony adatsebesség (másodpercenként több bit nagyságrendű). Manuálisan is eltávolíthatók a biztonságos rendszerekből, nagy biztonsággal a bevett rejtett csatornaelemzési stratégiák segítségével.
A rejtett csatornákat gyakran összekeverik a legitim csatornákkal, amelyek alacsony bizalommal támadják meg az ál-biztonságos rendszereket, olyan sémákat használva, mint a szteganográfia , vagy még kevésbé kifinomult sémák, amelyek célja a tiltott tárgyak jogi információkkal ellátott objektumok belsejében való elrejtése. A törvényes csatornák adatrejtő sémákat használó ilyen használata nem rejtett csatornák, és nagyon megbízható rendszerekkel megakadályozható.
A rejtett csatornák áthaladhatnak a biztonságos operációs rendszereken, és speciális intézkedéseket igényelnek az ellenőrzésükhöz. A rejtett csatornák megfigyelésének egyetlen bevált módszere az úgynevezett rejtett csatornaelemzés. Ugyanakkor a biztonságos operációs rendszerek könnyen megakadályozhatják a törvényes csatornákkal való visszaélést (vagy illegális használatát). Gyakran a legális csatornák elemzése rejtett tárgyak esetében helytelenül kerül bemutatásra, mint az egyetlen sikeres intézkedés a legális csatornák illegális használata ellen. Mivel ez a gyakorlatban azt jelenti, hogy nagy mennyiségű szoftver elemzésére van szükség, már 1972-ben kimutatták, hogy ezek az intézkedések nem hatékonyak [2] . Ennek ismerete nélkül sokan úgy vélik, hogy egy ilyen elemzés segíthet megbirkózni a legális csatornákkal kapcsolatos kockázatokkal.
A TCSEC az Egyesült Államok Védelmi Minisztériuma által meghatározott szabványok összessége .
A rejtett csatorna Lampson definícióját a TCSEC [2] átfogalmazta, hogy utaljon arra, hogyan továbbíthatók az információk egy biztonságosabb rétegből a kevésbé biztonságos rétegbe. Megosztott számítástechnikai környezetben nehéz teljesen elkülöníteni egy folyamatot azoktól a hatásoktól, amelyeket egy másik folyamat gyakorolhatott a működési környezetre. A küldési folyamat egy rejtett csatornát hoz létre, amely modulál valamilyen állapotot (például szabad terület, valamilyen szolgáltatás elérhetősége, indítási időtúllépés stb.), amelyet a fogadási folyamat észlelhet.
A kritériumok kétféle rejtett csatornát határoznak meg:
Az Orange Book néven is ismert kritériumok [3] megkövetelik, hogy a memória rejtett csatorna elemzését a B2 osztályú rendszer követelményei közé sorolják, és az idő rejtett csatorna elemzését a B3 osztály követelményei közé.
A rejtett csatornák lehetőségét nem lehet teljesen kiküszöbölni, de gondos rendszertervezéssel és elemzéssel nagymértékben csökkenthető.
A titkos csatornák felderítését megnehezítheti a legális csatornák médiajellemzőinek használatával, amelyeket a felhasználók soha nem ellenőriznek vagy ellenőriznek. Például egy program meghatározott, szinkronizált módon nyithat meg és zárhat be egy fájlt, amely egy másik folyamat számára bitsorozatként értelmezhető, így rejtett csatornát képez. Mivel a jogos felhasználók valószínűleg nem próbálnak mintát találni a fájlok megnyitásakor és bezárásakor, az ilyen típusú rejtett csatornák sokáig észrevétlenek maradhatnak.
Hasonló eset a " port knocking " technológia. Általában az információ továbbításakor a kérések időbeni eloszlása nem fontos, és nem is figyelik, de a "port kopogtatás" használatakor jelentőssé válik.
Handel és Sanford kísérletet tettek a perspektíva kiterjesztésére és a rejtett csatornákra való összpontosításra a hálózati protokollok általános modelljében. Érvelésük alapjául az OSI hálózati modellt veszik , majd jellemzik a rendszer azon elemeit, amelyek segítségével elrejthetők az adatok. Az elfogadott megközelítés előnyökkel jár a Handel és a Sanford-hoz képest, mivel az utóbbi olyan szabványokkal foglalkozik, amelyek ellentétesek a használt hálózati környezetekkel és architektúrákkal. Ezenkívül nem dolgoztak ki megbízható gyorsírási sémát.
Mindazonáltal általános elveket állapítottak meg az adatok elrejtésére az OSI-modell mind a hét rétegében. Amellett, hogy javasolták a fenntartott protokoll fejlécmezők használatát (ami könnyen észlelhető), Handel és Sanford javasolta az időzítési csatornák lehetőségét is a fizikai réteg CSMA/CD működésére vonatkozóan.
Munkájuk a következő paraméterek szerint határozza meg a rejtett csatorna értékét:
Bemutattam egy rejtett csatornaelemzést is, amely azonban nem veszi figyelembe olyan problémákat, mint: interakció az említett módszerekkel a hálózati csomópontok között, a csatorna kapacitásának becslése, az adatrejtés hálózatra gyakorolt hatása. Ráadásul a módszerek alkalmazhatósága a gyakorlatban nem igazolható maradéktalanul, mivel az OSI modell mint olyan élő rendszerekben nem létezik.
Girling volt az első ember, aki elemezte a titkos csatornákat a LAN-környezetben. Munkája a helyi hálózatokra (LAN-okra) összpontosít, amelyekben három látszólagos rejtett csatorna van meghatározva - kettő a memóriában és egy az időben. Ez valós példákat mutat a lehetséges sávszélességekre a LAS egyszerű rejtett csatornáihoz. A speciális LAS-környezethez a szerző bevezette az elfogó fogalmát, amely egy adott adó működését figyeli a LAN-ban. A titkos adásban részt vevő felek az adó és az elfogó. Girling szerint a rejtett információk a következő módok bármelyikén közölhetők:
Rowland konkrétabb megközelítést alkalmazott. A TCP/IP protokollcsomag IP és TCP fejlécére összpontosítva Rowland az IP azonosító mező, valamint a TCP start sorszám és nyugtázási sorszám mezők segítségével következtet a helyes kódolási és dekódolási módszerekre. Ezeket a módszereket egy egyszerű alkalmazásban valósítják meg, amelyet a 2.0-s kernelen futó Linux rendszerekre írnak.
Rowland egyszerűen bizonyítja a rejtett csatornák TCP / IP-ben való létezésének gondolatát, valamint azok használatát. Ennek megfelelően munkája ezen a területen gyakorlati áttörésként értékelhető. Az általa alkalmazott kódolási és dekódolási módszerek a korábban javasolt munkákhoz képest pragmatikusabbak. Ezeket a módszereket a rendszer olyan biztonsági mechanizmusok figyelembevételével elemzi, mint például a tűzfal hálózati címfordítása.
Ezeknek a rejtett átviteli módoknak a kimutathatatlansága azonban kérdéses. Például abban az esetben, ha a TCP-fejléc sorszámmezőjével műveleteket hajtanak végre, egy olyan sémát alkalmaznak, amelyben az ábécét minden alkalommal titokban továbbítják, de ennek ellenére ugyanazzal a sorszámmal kódolják.
Ezenkívül a sorszám mező, valamint a nyugtázási mező használata nem lehetséges az angol ábécé ASCII kódolására hivatkozva, ahogy javasoltuk, mivel mindkét mező figyelembe veszi bizonyos hálózati csomagokhoz kapcsolódó adatbájtok fogadását. .
Az adatok TCP/IP protokollcsomagban való elrejtésének a következő fontos szempontjai vannak: