NAT Slipstreaming 2.0 ставит под удар все устройства во внутренней сети

NAT Slipstreaming 2.0 ставит под удар все устройства во внутренней сети

NAT Slipstreaming 2.0 ставит под удар все устройства во внутренней сети

Новый вариант PoC-атаки NAT Slipstreaming позволяет открыть интернет-доступ к любому сетевому устройству, находящемуся за файрволом или преобразователем сетевых адресов (NAT). Злоумышленнику нужно будет лишь заманить пользователя на сайт с вредоносным JavaScript-сценарием. В случае успеха он сможет нарушить нормальную работу сети и даже внедрить в нее зловреда — к примеру, шифровальщика.

Первоначальная версия NAT Slipstreaming тоже предполагает использование JavaScript-кода и открывает возможность для обхода политик безопасности браузера (CVE-2020-16043), а также специализированных средств защиты внутренней сети.

Отрабатывая в браузере жертвы, вредоносный скрипт в фоновом режиме отправляет запрос на сервер злоумышленника. Эти пакеты проходят через NAT / файрвол и возвращают ответ, способный ввести в заблуждение NAT-транслятор: при парсинге тот обнаруживает мошеннический пакет SIP, сигнализирующий о намерении веб-приложения установить контакт с источником запроса.

В таких случаях NAT на лету добавляет правило, разрешающее повторное соединение, и подключает соответствующий модуль ALG (application level gateway, шлюз прикладного уровня). В итоге автор атаки сможет получить удаленный доступ к сервисам TCP/UDP целевого устройства на порту 5060 или 5061.

После публикации PoC-эксплойта разработчики Chrome, Safari, Firefox и Microsoft Edge выпустили патчи, вводящие блокировку портов, используемых NAT Slipstreaming. Однако впоследствии выяснилось, что эти меры лишь отчасти решили проблему.

Новый вариант NAT Slipstreaming (2.0) расширяет возможности потенциального злоумышленника, позволяя получить интернет-доступ ко всем сетевым устройствам за NAT или защитным экраном. Принципиальная схема атаки сохранилась, единственным важным отличием является использование VoIP-протокола стандарта H.323 вместо SIP.

Такая замена позволяет использовать JavaScript для отправки на подставной сервер множественных запросов FETCH на порту 1720 (браузеры его не блокируют). Поскольку H.323 предусматривает переадресацию телефонных вызовов, автор атаки имеет возможность путем манипуляций с ответами сервера заставить NAT открыть доступ к любому IP-адресу во внутренней сети, притом на нужном порту.

 

Атака NAT Slipstreaming 2.0 особенно опасна для устройств, админ-интерфейс которых слабо защищен или вовсе не требует аутентификации, — офисных принтеров, промышленных контроллеров, IP-камер.

К сожалению, патчинг браузеров в данном случае не способен кардинально решить проблему. Корнем зла, по словам авторов NAT Slipstreaming 2.0, является ненадежная реализация NAT. Эта технология создавалась в те времена, когда интернет-сообщество больше волновал грядущий дефицит IPv4-адресов, чем вопросы обеспечения безопасности. Современные NAT-трансляторы по-прежнему используют морально устаревшую систему ALG, наличие которой открывает возможность для обхода защиты. 

Родители имеют право на разрешать снимать ребенка. Но есть исключения

Родители имеют право запретить съёмку своего ребёнка или размещение таких материалов в открытом доступе без явного согласия. Однако есть исключения: например, если ребёнок не является главным объектом в кадре или участвует в коллективном действии.

Юрист Мария Пишняк прокомментировала для «Российской газеты», в каких случаях требуется согласие родителей на съёмку и дальнейшую публикацию материалов с участием детей, а когда можно обойтись без него.

Такие споры традиционно обостряются перед выпускными в образовательных учреждениях — от детских садов до школ.

Подобные мероприятия почти всегда сопровождаются фото- и видеосъёмкой, а затем материалы появляются в соцсетях, родительских чатах в мессенджерах или фотостоках. При этом изображения людей, в том числе детей, относятся к персональным данным. Их обработку регулирует профильный закон, а за нарушения предусмотрены серьёзные штрафы.

Как напоминает Мария Пишняк, понятие «публичное размещение» шире публикаций в интернете. К нему относится и использование фотографий офлайн: например, в печатных буклетах, стенгазетах или на досках почёта. В таких случаях нужно письменное согласие родителей. При этом они могут разрешить саму съёмку, но запретить публичное размещение её результатов.

Самый строгий порядок действует для снимков и роликов, где ребёнок является центральным объектом. Например, если он позирует один, с другом или с учителем, участвует в индивидуальном конкурсе либо получает ленту выпускника.

Если же ребёнок не находится в центре кадра, согласие родителей обычно не требуется. Это касается групповых активностей: спектаклей, танцев, коллективных конкурсов, хорового пения и других массовых выступлений.

На этом фоне важно учитывать, что Роскомнадзор резко активизировал проверки сайтов на соблюдение законодательства о персональных данных. Нарушения, связанные с размещением фотографий, входят в число самых распространённых претензий регулятора.

RSS: Новости на портале Anti-Malware.ru