Zeroconf и обнаружение системы в беспроводных сетях

Question

Я задал этот вопрос в Ask Ubuntu относительно моей системы, отображаемой по умолчанию в сетях. В ответе, который я принял, говорится, что пока я не использую компоненты avahi и samba , я не буду отображаться там, где отображаются компьютеры в сети. Единственным возможным исключением является zeroconf при отсутствии DHCP-сервера.

Мой вопрос: почему zeroconf делает мой компьютер уязвимым для обнаружения через сети? Это применимо к беспроводным сетям?

Я сделал грубое предположение о zeroconf , используя ответ на вопрос Ask Ubuntu в качестве основы, что адресный блок, используемый для самоконфигурации, одинаков во всех системах - поэтому при отсутствии сервера DHCP поиск систем в сети с использованием адресный блок zeroconf качестве эталона облегчит поиск компьютеров в сети.

Наконец, я хотел бы повторить, что я уже знаю, что независимо от того, что я делаю, я все еще открыт для фырканья, так что не беспокойтесь троллингом с этим.

Answer 1

Zeroconf сообщает сети «эй, я здесь, и у меня есть эти услуги для вас!«По умолчанию это объявляется в локальной сети как широковещательная рассылка, так что каждый компьютер в локальной сети может видеть его.

Это может быть невероятно полезно, позволяя вам настроить домашнюю сеть без какого-либо администрирования центральных серверов, поскольку ресурсы просто появляются, когда они подключены; например, принтеры внезапно появляются в вашем списке возможных мест назначения для задания на печать.

Если вы находитесь в сети, которой не доверяете, вы, возможно, не захотите, чтобы ваш компьютер танцевал вверх и вниз по сети, говоря: «Посмотрите на меня, посмотрите на все, что у меня работает!«поскольку он объявляет поверхность атаки - вещи, которые могут иметь проблемы с безопасностью.

Если ваша система в остальном абсолютно безопасна, нет проблем с объявлением о том, что у вас есть. Но совершенно безопасная система - это фантазия. Таким образом, между удобством и секретностью нужно найти компромисс, чтобы сделать его немного сложнее.

На практике злоумышленник в любом случае может узнать, что вы используете. Но их исследование вашей системы может привести к срабатыванию системы обнаружения вторжений в сети. (Если в вашей кофейне есть IDS, то найдите летающих свиней на улице и переключитесь на другую кофейню.)

Поэтому, как злоумышленник, гораздо проще и безопаснее дождаться, пока чей-то компьютер объявит: «Привет, я здесь, и у меня есть для вас музыкальный ресурс, общее хранилище файлов, служба входа в систему и…».

Answer 2

mDNS и DNS-SD объявляют о наличии сервисов во всей сети, к которой подключен компьютер. Если вы не доверяете текущей сети, вы можете заблокировать ее исходящие пакеты.