Drafts - ICMP attacks against TCP !!

Recientemente, el conocimiento sobre vulnerabilidades se ha elevado sobre las amenazas contra el Protocolo TCP en una forma exponexial. Incluyendo los ataques ocultos llamados "connection-reset". Estos ataques se basan en enviar segmentos forjados del TCP a cualesquiera de las puntos finales del TCP (endpoints) , requiriendo al atacante poder establecer el four-tuple que identifica la conexión que se atacará.
Mientras que estos ataques eran sabidos por la comunidad de investigación, eran considerados ser irrealizables. Sin embargo, los aumentos en disponibilidad de la ancho de banda, y el uso de cabeseras más grandes del TCP han hecho estos ataques factibles. Varias soluciones se han propuesto a eliminan o reducir el mínimo impacto de estos ataques. Sin embargo, todavía hay una posibilidad de realizar un número de ataques contra el protocolo del TCP, por medio de ICMP. Estos ataques incluyen, entre otros, ataques ocultos del "connection-reset".
Mas informacion ICMP Attack: http://www.sans.org/rr/whitepapers/threats/477.php
Si bien es cierto este tema no esta claramente tomado por las comunidades investigadoras es latente que esto tendra una evolucion con el manejo de nuevas estrategias de ataque sobretodo en base al Protocolo ICMP V 6.0. Ah simple vista podriamos hacer una analisis de como funciona estos ataques explicando los metodos y tools que se utilizan.
Claramente podemos decir que el número típico de los paquetes requeridos para realizar cualesquiera de estos ataques es cerca de 16000 (en muchos casos, el atacante requiere pocos paquetes). Esto significa que incluso con un link de 128kbps, tomará el atacante mucho menos que un minuto para realizarlos. Dentro de las aplicaciones que pueden ser afectadas a modo de ejemplo veremos las siguientes:

Un tipico proxy podria verse asi:
Let's say we want to prevent users from accessing the web site 192.168.0.1. If the web proxy address is 10.0.0.1, we can attack it and run any of the tools like: icmp-xxxx -c 10.0.0.1:1024-65535 -s 192.168.0.1:80 -t serverWith this attack, all the clients that are using the proxy 10.0.0.1 cannot access the webserver at 192.168.0.1

O tambien un mail server:
Think about two major e-mail providers. Let's say one is 10.0.0.1, and the other one is 192.168.0.1. Let's DoS the mail transfers from 10.0.0.1 to 192.168.0.1: icmp-xxxx -c 10.0.0.1:1024-65535 -s 192.168.0.1:25 -t clientLet's also DoS the mail transfers from 192.168.0.1 to 10.0.0.1: icmp-xxxx -c 192.168.0.1:1024-65535 -s 10.0.0.1:25 -t client

Hasta con poseer una NAT y se expecifican las instrucciones y se puede atacar todo el segmento de IP de nuestra red privada con solo un atake.
Existe una idea no muy clara con este concepto o estrategia, pero es importante decir que no todas las medidas de seguridad protegen estos atakes ICMP como lo dice SecuriTeam:
* The TCP MD5 option does not protect you from these attacks
* IPSec does not protect you from these attacks
* You cannot filter all ICMP messages
* Relying on fragmenttion has many potential problems (read Mogul's "Fragmentation considered harmful" classic, or the recent Matthis' "Fragmentation considered very harmful")
* The minimum IPv4 MTU is 68. If you ignore ICMP messages that claim MTU's lower than X (where X>68), then there's a high chance your TCP connections may stall

Es por esto que le dejo un interezante articulo y RFC publicados en la web site Gont's ---- Drafts ICMP Attack:
http://www.gont.com.ar/drafts/icmp-attacks-against-tcp.html
Gont, F., "ICMP attacks against TCP", September 2005, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-tcpm-icmp-attacks-04.txt
-----------------------------------------------------------------------------------------------
Gont, F., "ICMP attacks against TCP", August 2004, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-tcpm-icmp-attacks-00.txt
Gont, F., "ICMP attacks against TCP", September 2004, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-tcpm-icmp-attacks-01.txt
Gont, F., "ICMP attacks against TCP", December 2004, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-tcpm-icmp-attacks-02.txt
Gont, F., "ICMP attacks against TCP", December 2004, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-tcpm-icmp-attacks-03.txt
Gont, F., "Increasing the payload of ICMP error messages", August 2004, Internet Draft
http://www.gont.com.ar/drafts/draft-gont-icmp-payload-00.txt
---------------------------------------------------------------------------------------------
Tools usadas para estos atakes:
http://www.securiteam.com/tools/5ZP0S1FGAA.html
Para más informacion:
http://www.securiteam.com/securityreviews/5VP0H2AGLY.html