En examinant les caractéristiques du trafic (taille des paquets, intervalle entre chaque paquets, symétrie de la connexion,...) indépendamment de son contenu on peut généralement déterminer beaucoup de choses. Donc si le tunnel est utilisé pour faire passer du HTTP par exemple, ça va se voir (si on est observateur).
En pratique, sshow utilise ce genre de technique pour récupérer des informations sur les mots de passes qui passent dans une connexion ssh : http://www.openwall.com/articles/SSH-Traffic-Analysis et fl0p (mentionné dans p0f/docs/existential-notes.txt) généralise la technique avec une base de signature qui peut s'appliquer à tout type de trafic (SSL, SSH,...) : http://lcamtuf.coredump.cx/
Un admin réseau qui souhaite laisser passer le SSH vers l'extérieur est il donc condamné à autoriser également le port forwarding ?
Dans le cas général, je pense que oui. En pratique, il peut détecter certains types de trafic avec une fiabilité relativement grande et décider de sévir en conséquence (automatiquement bloquer la connexion, logguer les infractions suspectées et investiguer en examinant le poste client concerné, faire un rapport à la direction,...) ou non.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# passive traffic analysis
Posté par Krunch (courriel, site web personnel) . En réponse au message Détecter le remote port forwarding via SSH. Évalué à 2.
En examinant les caractéristiques du trafic (taille des paquets, intervalle entre chaque paquets, symétrie de la connexion,...) indépendamment de son contenu on peut généralement déterminer beaucoup de choses. Donc si le tunnel est utilisé pour faire passer du HTTP par exemple, ça va se voir (si on est observateur).
En pratique, sshow utilise ce genre de technique pour récupérer des informations sur les mots de passes qui passent dans une connexion ssh : http://www.openwall.com/articles/SSH-Traffic-Analysis et fl0p (mentionné dans p0f/docs/existential-notes.txt) généralise la technique avec une base de signature qui peut s'appliquer à tout type de trafic (SSL, SSH,...) : http://lcamtuf.coredump.cx/
Du côté de la défense, le plus efficace pour brouiller les pistes semble être de multiplexer. Voir par exemple http://events.ccc.de/congress/2010/Fahrplan/events/4140.en.html ou http://events.ccc.de/congress/2006/Fahrplan/events/1478.en.html (les vidéos sont sur le wiki du Congress correspondant et probablement dans le google).
Donc pour répondre à la question :
Dans le cas général, je pense que oui. En pratique, il peut détecter certains types de trafic avec une fiabilité relativement grande et décider de sévir en conséquence (automatiquement bloquer la connexion, logguer les infractions suspectées et investiguer en examinant le poste client concerné, faire un rapport à la direction,...) ou non.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.