Cybersecurity and privacy risk assessment of point-of-care systems in healthcare: A use case approach
Tartalomjegyzék
TCP/IP protokollhierarchia |
---|
Alkalmazási protokollok |
DHCP · DNS · FTP · HTTP · IMAP · IRC · POP3 · SIP · SMTP · SNMP · SSH · Telnet · BitTorrent |
Szállítási protokollok |
Hálózati protokollok |
Adatkapcsolati protokollok |
Ethernet · Wi-Fi · Token-Ring · FDDI · PPP |
Fizikai protokollok |
RS-232 · 100Base-TX · 1000Base-TX · 10Base2 · 10Base-T |
A dinamikus állomáskonfiguráló protokoll (angolul Dynamic Host Configuration Protocol, rövidítve DHCP) egy számítógépes hálózati kommunikációs protokoll.
Az IETF RFC 1541, majd később a 2131 határozza meg.
Ez a protokoll azt oldja meg, hogy a TCP/IP hálózatra csatlakozó hálózati végpontok (például számítógépek) automatikusan megkapják a hálózat használatához szükséges beállításokat. Ilyen szokott lenni például az IP-cím, hálózati maszk, alapértelmezett átjáró stb.
A DHCP szerver-kliens alapú protokoll, nagy vonalakban a kliensek által küldött DHCP-kérésekből, és a szerver által adott DHCP-válaszokból áll.
A DHCP-vel dinamikusan oszthatóak ki IP-címek, tehát a hálózatról lecsatlakozó számítógépek IP-címeit megkapják a hálózatra felcsatlakozó számítógépek, ezért hatékonyabban használhatóak ki a szűkebb címtartományok.
3 féle IP-kiosztás lehetséges DHCP-vel:
- kézi (MAC-cím alapján)
- automatikus (DHCP-vel kiadható IP-tartomány megadásával)
- dinamikus (IP-tartomány megadásával, de az IP-címek „újrahasznosításával”)
Biztonság
Amióta a DHCP-szerverek IP-címet és csatlakozást biztosítanak bárkinek, akinek fizikai kapcsolata van a hálózattal, a DHCP megkönnyítette a betöréseket. Amíg a tapasztaltabb támadóknak nem okoz gondot használható IP-cím találása és a többi beállítást kézzel elvégezni, addig az amatőrök a szolgáltatás erőforrásainak lefoglalásával okoznak gondot.
Védelem nélküli, vezeték nélküli hálózat (WLAN) esetén a DHCP bárkinek hozzáférést biztosít a sugárzás hatókörén belül a hálózathoz, beleértve az internethasználatot és azokhoz az adatokhoz való hozzáférést is, amit mások nem védenek. Vezetékes hálózat (LAN) esetén a támadónak fizikai kapcsolatra van szüksége, ahová a betörést nehezebb észrevétlenül kivitelezni.
DHCP és a tűzfal
A tűzfalak általában határozottan korlátozzák a DHCP adatforgalmát. A DHCP client-server specifikációja több különböző esetet ír le, amikor a csomagoknak a 0x00000000 forráscímmel vagy a 0xffffffff célcímmel kell rendelkezniük. Az Anti-spoofing-irányelvet használó tűzfalak gyakran megállítják ezeket a csomagokat. A többközpontú DHCP-szerverek különleges karbantartást és még bonyolultabb kiépítést igényelnek.
A DHCP engedélyezéséhez a rendszergazdáknak különböző típusú csomagok áthaladását kell engedélyezni a szerveroldali tűzfalon. Minden DHCP-csomag UDP-datagramként halad tovább; az összes kliensoldali csomag forrása a 68-as és célja a 67-es port; a szerveroldalon ez pont fordítva. Például egy szerveroldali tűzfalnak engedélyezni kell a következő típusú csomagokat:
* Bejövő csomag a 0.0.0.0 címről vagy dhcp-pool-tól a dhcp-ip felé * Bejövő csomag bármely címről a 255.255.255.255 cím felé * Kimenő csomag a dhcp-ip-től dhcp-pool vagy a 255.255.255.255 cím felé
Ahol a dhcp-ip jelképezi a DHCP-szerver címét, a dhcp-pool pedig amiket a szerver hozzárendelt a kliensekhez.