אינך צריך לדאוג לזייף את ה- IP מחיבור אחר, מכיוון שחבילות TCP שהוחזרו לא יגיעו לתוקף בתרחיש זה.

אז כל מה שאתה צריך לדאוג לגבי זה איך קל לתוקף לעשות שימוש באותה IP:

• האם אותה IP משותפת בין מספר מחשבים במשרד?
• האם ניתן להשתמש ב- IP זה ב- WiFi? עד כמה נשמרת הסיסמה כאשר מבקר אומר 'האם אוכל להשתמש ב- WiFi שלך'?
• האם כל המחשבים עם גישה לאותו IP מאובטחים היטב ויש להם משתמשים מוכשרים?

אם ה- IP אינו שמור היטב, עליך לשאול

• בנוסף ל- IP, האם תוכל לאחסן קובץ cookie במכונה היחידה המורשית?
  (כלומר שימוש מוגבל בתכונה זכור אותי)

אני מציין את הלקוח שלך שלא השתמש בתכונה 'זכור סיסמה' כפי שמפתה לעשות.

כמו כן, עד כמה התוכן שלך מאובטח ?

• מהם הנזקים של אנשים בלתי מורשים שנצפה בתוכן?
• איזה סוג של תוקפים יימשך לתוכן שלך?

כפי שאחרים ציינו, IP זיוף לבדו אינו מהווה בעיה כאן מכיוון שלחיצת היד השלושה עבור TCP לא תושלם.

חטיפת BGP בשילוב עם זיוף IP עלול לגרום להתקפה תיאורטית במקצת כאן אם אתה משתמש בכתובות ציבוריות ברשימת הגישה שלך. במקרה זה התוקף יזייף את כתובת ה- IP ברשימת הגישה כך שהתנועה מגיעה מ- IP המהימן, והוא יכניס נתבים לטבלאות ה- BGP העולמיות כדי לנתב מחדש את התעבורה לרשת שלו. בדרך זו, תושלם לחיצת יד TCP תלת-ממדית.

כפי שאמרתי, זה רחוק מלהיות מתקפה נפוצה מכיוון שהיא דורשת כישורים נוספים וגישה לרשתות ללא סינון מסלולים נכון, אך זה ניתן להיעשות. חטיפות BGP אינן נדירות. למרות שרובם תאונות, חטיפות BGP שימשו להתקפות.

אז כדי לענות סוף סוף על שאלתך: אם אתה מעריך את הנתונים שלך, אל תסמוך רק על חיבור המבוסס על כתובת ה- IP המקורית.

הייתי אומר ש זיוף IP הוא די הרבה על השולחן כאן. שום דבר לא מונע מאנשים שיש להם גישה לתשתית מרכז הנתונים (למשל עובדים) לזייף מנות IP עם הכתובת ללא סיסמה, ולתפוס את התשובה על ידי שינוי תצורת הנתב, או התחברות למקום הנכון והאזנה במצב מופקר.

ה- OP מעניק למעשה גישה לאתר לספק האחסון שלהם או לכל מי שיוכל לפרוץ את הספק האמור.

כפי שכבר הוצגו בתשובות האחרות, ניתן לעקוף את מערכת האבטחה הזו. אבל זה דורש קצת מאמץ. השאלה הבאה היא, על מה אתה מתכוון להגן ומה שווה גישה קלה יותר ומה העלות כשעוקפים את ההגנה. מכיוון שאתה יכול לצפות לעקוף אותו.

בדרך כלל משתמשים בהגנה זו. למשל באקדמיה כדי לאפשר גישה לקריאה לעיתונים מתוך רשת האוניברסיטאות. זה מאפשר גישה קלה יותר לכתב העת עבור פרופסורים וסטודנטים. אם 1% מהאנשים שניגשים לכתבי העת אינם חוקיים, זה זניח. אם 0.01% מהאנשים שניגשים ל- PII של בסיס הנתונים של הלקוחות שלך אינם חוקיים, יש לך בעיה גדולה.

כל התשובות לעיל מצוינות, אך טכניות. השתמש בניהול האבטחה כנקודת מבט, חשוב על המידע שאתה מגן עליו.

אם נדרש אימות לא כדי לקרוא את המידע הזה (בראייה ציבורית או פרטית) ), כלומר אינך מעוניין להגן עליו.

אם משרד, ליותר מאדם אחד יש גישה אליו, ישנם כמה שיקולי אבטחה שהמשרד אולי אפילו לא שוקל ( חומת אש, ללא wifi מוגן באמצעות סיסמה / wep, כל אחד יכול לחבר מכשיר לרשת), כלומר אתה מסתמך על צד שלישי לגבי הגישה של מידע זה.

עכשיו אתה צריך לעשות את חישובים, כמה זה יעלה אם מידע זה ילך לידיים הלא נכונות? שווה שמשתמשים יוכלו לגשת אליו ללא סיסמה?

בוא ניצור שני תרחישים:

1. זוהי רשימה פנימית של מאכלים שהמסעדה הפנימית מכינה גם תפריט.
2. זוהי רשימה של לקוחות עם נתוני כרטיסי האשראי שלהם.

ברור ששני התרחישים הם קיצוניים, כל אחד בדרך זו. אך המאבק בשימושיות מול ביטחון יימשך לנצח. פעם קיבלתי בקשה כמו "תן למשתמש להתחבר, גם אם הסיסמה אינה נכונה, אך כמעט נכונה". זאת מכיוון שמנכ"ל כלשהו, ​​שלא יכול להקליד את הסיסמה שלו נכון, כועס כשהיישום דוחה את ניסיון הכניסה הזה.

ערוך ניתוח של כל הסיכונים, העלויות, היתרונות והחסרונות, אתה לא ' לא צריך לקבל אותם , אם אתה חושב שזה מסוכן מדי, הביא את זה למנכ"ל / CISO שלך, ותן לו להחליט בשבילך, מכיוון שלא יהיה לך דם על הידיים כשמשהו רע יקרה. בנוסף, בדרך כלל יש להם נקודת מבט וחשיבות שונה לגבי העסק.

הנה קצת משיק, אבל אני חושב שזו עצה טובה - קבלת חריגים ביטחוניים היא לרוב מדרון חלקלק. יהיה חכם לא לחשוף את קיומו של המעקף הקטן שלך לכל מי שאינו זקוק לדעת - או במוקדם או במאוחר יהיו לך כל מיני בקשות להשבית אבטחה ב- X / Y / Z, כי אתה עשה חריג לפני וזה לא שבר כלום!

אני יכול פשוט להיות פסימי לגבי המשתמשים. במקום להשבית את הכניסה בצד השרת, האם הם לא יכלו להתקין מנהל סיסמאות בצד שלהם? כבונוס זה יאפשר להם להשתמש בסיסמאות אקראיות מאובטחות באופן מתמטי.

זה בהחלט רעיון רע.

להלן התרחישים שבהם הוא עלול להיכשל:.

1. האם לכל עובד בארגון יש אישורי כניסה? האם שאר העובדים אמינים? עליך לשקול את האפשרות שהעובדים החדשים יוכלו גם להוריד את כל התוכן ואז להפיץ אותו לאנשים שאין להם אישורי כניסה.

2. אם עובד משאיר את המחשב הנייד שלו מסתובב, כל אחד יכול לקרוא את התוכן אם העובד מחובר ל- VPN.

יכולות להיות התקפות נוספות בהתבסס על סוג היישום של יישום האינטרנט.

הסתכלות על כתובת ה- IP היא פשוט דרך אחרת לאימות. אם זה רעיון טוב או רע תלוי.

פעולה זו בדרך כלל פירושה לעבור למצב אימות פחות מאובטח. באמצעות שם משתמש וסיסמה אתה מאמת את משתמש הקצה, תוך שימוש בכתובת ה- IP אתה מאמת התקן רשת (בו אנשים רבים יכולים להשתמש). זה מגדיל את הסיכון להפרת יעדי הסודיות. הסיבה לכך היא שאתה פותח וקטורי התקפה חדשים שיכולים לשמש תוקף (למשל תוקפים או עובדים לא מורשים ברשת הלקוח יכולים לקרוא תוכן; טעויות בתצורת ה- proxy יכולות לחשוף תוכן לציבור; התקפות סקריפטים בין אתרים עשויות להפוך ליותר סבירות / מעשיות. ; CMS שלך מאחורי הקיר כנראה רגיש יותר להתקפות; ...).

מצד שני אתה מקל על הגישה לנתונים, מה שמגדיל את רמת הזמינות (גם מטרת אבטחה) בגלל מספר היבטים (למשל, אי אפשר לשכוח סיסמה, סיכון מופחת לשגיאות במהלך אימות).

בסופו של דבר אתה מקבל הסכמה מוגברת של המשתמשים. אל תזלזלו בנקודה זו! משתמשים משועממים נוטים לערער את ביטחונך על ידי בחירת סיסמאות חלשות או התנהגות אנושית דומה.

אם הלקוח שלך חושב שהקשר בין סיכון מוגבר לחיסיון לבין היתרונות לעומת זאת מקובל, תן ל אותו חזק> להחליט ולקחת את הסיכון הזה. עבור לאימות מבוסס IP ועבוד עם לקוח מאושר.