Identificación de la pila TCP/IP

La identificación de la pila TCP/IP consiste en la detección remota de las características de una implementación de pila TCP/IP . La combinación de parámetros puede utilizarse para inferir el sistema operativo de la máquina remota (también conocida como identificación del sistema operativo ) o incorporarse a una huella digital del dispositivo .

Ciertos parámetros dentro de la definición del protocolo TCP quedan a discreción de la implementación. Los distintos sistemas operativos, e incluso las distintas versiones de un mismo sistema operativo, establecen valores predeterminados diferentes para estos parámetros. Al recopilar y analizar estos valores, es posible diferenciar entre los distintos sistemas operativos e implementaciones de TCP/IP. Los campos de TCP/IP que pueden variar incluyen los siguientes:

• Tamaño inicial del paquete (16 bits)
• TTL inicial (8 bits)
• Tamaño de la ventana (16 bits)
• Tamaño máximo del segmento (16 bits)
• Valor de escalado de ventana (8 bits)
• Indicador "no fragmentar" (1 bit)
• Bandera "sackOK" (1 bit)
• Bandera "nop" (1 bit)

Estos valores pueden combinarse para formar una firma de 67 bits, o huella digital, para la máquina objetivo. ^{[ 1 ]} A menudo, basta con inspeccionar los campos TTL inicial y tamaño de ventana para identificar correctamente un sistema operativo, lo que facilita la tarea de realizar la identificación manual del sistema operativo. ^{[ 2 ]}

La protección contra la vulnerabilidad de la huella digital se logra limitando el tipo y la cantidad de tráfico al que responde un sistema de defensa. Algunos ejemplos incluyen el bloqueo de máscaras de direcciones y marcas de tiempo del tráfico de mensajes de control ICMP salientes , y el bloqueo de respuestas de eco ICMP . Una herramienta de seguridad puede alertar sobre posibles ataques de huella digital: puede identificar otra máquina con una configuración de huella digital al detectar su huella digital. ^{[ 3 ]}

Deshabilitar la identificación TCP/IP proporciona protección contra los escáneres de vulnerabilidades que buscan atacar máquinas que ejecutan un sistema operativo específico. La identificación facilita los ataques. Bloquear estos mensajes ICMP es solo una de las defensas necesarias para protegerse completamente contra los ataques. ^{[ 4 ]}

Dirigido al datagrama ICMP, un ofuscador que se ejecuta sobre IP en la capa de Internet actúa como una "herramienta de limpieza" para confundir los datos de huella digital TCP/IP. Existen herramientas para Microsoft Windows , ^{[ 5 ]} Linux ^{[ 6 ]} y FreeBSD . ^{[ 7 ]}

Lista de herramientas de identificación TCP/OS

• Zardaxt.py ^{[ 8 ]} – Herramienta pasiva de código abierto para la identificación de huellas digitales TCP/IP.
• Ettercap : identificación pasiva de la pila TCP/IP.
• Nmap : análisis exhaustivo de la pila activa.
• p0f – Identificación completa de la pila TCP/IP de forma pasiva.
• NetSleuth: herramienta gratuita de análisis y detección de huellas digitales pasivas.
• PacketFence ^{[ 9 ]} – NAC de código abierto con huella digital DHCP pasiva.
• Satori: identificación pasiva de CDP , DHCP, ICMP, HPSP , HTTP , TCP/IP y otras pilas de protocolos.
• SinFP: identificación de huellas digitales activas/pasivas de un solo puerto.
• XProbe2: identificación activa de la pila TCP/IP.
• queso - herramienta muy conocida de finales de los 90 que ya no se actualiza para los sistemas operativos modernos.

• Detección remota del sistema operativo mediante la técnica de huella digital de la pila TCP/IP (2.ª generación).