Kredyt hipoteczny dla firm
2006-01-20 05:00:00

Reklama:

Kredyt hipoteczny dla firmOd jesieni tego roku 25C3 ) w Berlinie, Fabian Yamaguchi z grupy hakerskiej Pheonelit zaprezentował możliwe i przetestowane scenariusze ataków na ten podstawowy protokół internetowy, a także porady na temat profilaktyki i obrony. W wielu implementacjach TCP można znaleźć poważne błędy, których powstawaniu sprzyja sama specyfikacja protokołu. Trzeba pamiętać, że pionierzy Internetu Od dłuższego czasu wiadomo, że protokół TCP jest podatny na ataki wykorzystujące flagę RST (connection reset). Usterkę tę zademonstrował po raz pierwszy Paul Watson w 2004 roku. W jej przypadku atakujący musi poznać jedynie numer transmisji, aby być w stanie spowodować przerwanie transferu danych. Jako środek zaradczy eksperci opracowali między innymi niezbyt szczelne rozszerzenie protokołu zapewniające lepszą wydajność, a także wprowadzili mechanizm generowania losowych adresów źródłowych (Source Port Randomization). Jednak według Yamaguchiego ulepszenia te nie uszczelniły dostatecznie protokołu. W przypadku protokołu sieciowego teoretycznie pożądane jest, aby możliwa była obsługa jak największej liczby połączeń jednocześnie. Dlatego też programiści wprowadzili do protokołu funkcję typu backlog, która nie znajdowała się w oryginalnej specyfikacji. Jest ona używana w sytuacji, kiedy zostaje nawiązanych zbyt dużo połączeń i występuje zagrożenie przeciążenia pamięci urządzenia aktywnego lub systemu. Ten sztuczny limit można jednak stosunkowo łatwo dostosować do własnych potrzeb, choćby za pomocą ataku typu SYN flood , przy jednoczesnym utrzymywaniu półotwartych połączeń i uzyskiwaniu w ten sposób dodatkowych zasobów. Przeciw tego rodzaju atakom DoS istnieją już odpowiednie metody ochronne. Trudniej z kolei zapobiec podobnie skonstruowanemu atakowi, określanemu mianem connection flooding. W tym wypadku w krótkim czasie mnożone są połączenia, których serwer nie jest w stanie dostatecznie szybko zaakceptować. Odpowiedzialność za wdrożenie odpowiednich środków zaradczych leży tutaj nie po stronie administratora serwisu internetowego, lecz po stronie twórców usług bazujących na protokole TCP. Muszą oni zadbać o to, aby dana aplikacja internetowa nie przyjmowała np. kilku tysięcy połączeń jednocześnie i aby okres, jaki upływa do momentu zasygnalizowania przyjęcia połączenia był odpowiednio krótki. Do tej pory czasy te były zdecydowanie zbyt długie i wynosiły nawet od siedmiu do dziesięciu minut. Błędy implementacyjne mogą jeszcze bardziej ułatwiać przeprowadzanie tego rodzaju ataków. Przykładowo, mechanizm kontroli przepływu danych zawiesza się z reguły w sytuacji, kiedy otrzyma (zmanipulowaną) informację mówiącą o tym, że w pamięci zostało tylko kilka wolnych bajtów. Oprócz tego można otwierać połączenia, które w ogóle nie mogą być zrealizowane w warstwie sesyjnej protokołu. Inna forma ataku może być oparta na metodzie, za pomocą której kontroluje się ilość danych transmitowanych przez TCP do konkretnej sieci. Już w latach 80. występowały w tym miejscu awarie z powodu przeciążonych łączy. Atakujący może np. oszukać protokół, symulując łącze gigabitowe, w rezultacie czego po stronie odbiorcy otworzy się szerokie okno TCP z powodu domniemanego zagrożenia przeciążeniem łącza. Paradoksalnie właśnie to może sprawić, że faktycznie przeciąży się sieć. Ponadto możliwe jest zasygnalizowanie przyjęcia pakietu, zanim on rzeczywiście nadejdzie, co z kolei umożliwia niebezpieczne zwiększenie częstotliwości wysyłania. Bob Sherwood opublikował raport na temat tego rodzaju problemów, prezentując w nim metody obronne, które jednak do tej pory nie zyskały uznania. Według Yamaguchiego największym problemem przy tego rodzaju atakach jest fakt, że w celu opracowania skutecznej metody obronnej należałoby gruntownie zmodernizować stosowane na całym świecie implementacje architektury TCP. Odbiorca danych musiałby być zobowiązany do potwierdzenia faktycznego otrzymania pakietów za pomocą odpowiedniej sumy kontrolnej. Istnieje wprawdzie rozwiązanie kompatybilne wstecz, ale może ono powodować nowe problemy i musi być najpierw odpowiednio przeanalizowane. Prognozując przyszłe formy ataków, haker wskazał ponownie na kwestię kontroli transmisji, która może zostać zakłócona przez jednokrotne wysłanie bardzo dużej ilości danych. W takiej sytuacji kolejny pakiet nie mógłby już zostać przetworzony. Szef Yamaguchiego, haker o pseudonimie FX, podkreślił, że praktykowane przez Dana Kaminskiego częściowe ujawnianie problemów z systemem DNS (Domain Name System) nie jest zbyt dobrym rozwiązaniem. W takich sytuacjach firmy zajmujące się bezpieczeństwem są szturmowane przez panikujących klientów, którym na dobrą sprawę nie można w żaden sposób pomóc. Dlatego też po pojawieniu się pogłosek na temat luk w TCP poprosił on hakerów z działu badawczego grupy Phenoelit o odpowiednie wyjaśnienia. Kredyt hipoteczny dla firm Kredyt inwestycyjny dla firm na zakup lub budowę nieruchomości oraz refinansowanie poniesionych nakładów - wprowadził do swojej oferty Fortis Bank Polska.   Waluta Kurs ( PLN ) Kredyt przeznaczony jest dla małych i średnich przedsiębiorstw, w tym dla osób prowadzących jednoosobową działalność gospodarczą lub wykonujących wolny zawód, zainteresowanych zakupem, czy też budową nieruchomości. Atutem kredytu Fortis Banku jest długi, 15-letni okres kredytowania oraz szeroki zakres celów – nie tylko zakup lub budowa nieruchomości, w której kredytobiorca prowadzi lub zamierza prowadzić działalność gospodarczą, ale także zakup lub budowa nieruchomości przeznaczonej na wynajem, refinansowanie poniesionych nakładów inwestycyjnych, spłata kredytu w innym banku. Kredyt ten można zaciągnąć w PLN, USD albo EUR. Jego oprocentowanie jest zmienne, oparte o stawkę WIBOR/ LIBOR/ EURIBOR 1M (w zależności od waluty), powiększoną o negocjowaną marżę banku. Standardowym zabezpieczeniem kredytu jest hipoteka na kredytowanej nieruchomości.

January 4th, 2007 by Author

Posted in Suspendisse iaculis | Edit | 23 Comment »