ike-scan

Scopri e identifica gli host IKE (Server VPN IPsec)

Indice dei contenuti

• Costruzione e installazione
• Panoramica
• Utilizzo
• Dettagli implementativi
  • Inserimento host e requisiti di memoria
  • Limitazione della velocità
  • Generazione del cookie e identificazione dell'host remoto
  • Dettagli dei pacchetti IKE
  • Fingerprinting tramite backoff
• Output del programma
• Esempi
• Piattaforme supportate
• Ulteriori letture e RFC
• Informazioni di contatto

Costruzione e installazione

ike-scan utilizza i tool standard GNU autoconf e automake, quindi l'installazione segue il processo normale:

• Eseguire git clone https://github.com/royhills/ike-scan.git per ottenere il codice sorgente del progetto
• Eseguire cd ike-scan per entrare nella directory del sorgente
• Eseguire autoreconf --install per generare un file ./configure valido
• Eseguire ./configure oppure ./configure --with-openssl per utilizzare le librerie OpenSSL
• Eseguire make per compilare il progetto
• Eseguire make check per verificare che tutto funzioni come previsto
• Eseguire make install per installare (sono necessari i permessi di root o sudo per questa parte)

Se si prevede di effettuare il cracking di chiavi pre-condivise, è consigliabile configurare ike-scan per utilizzare le funzioni hash di OpenSSL invece delle funzioni integrate, poiché quelle di OpenSSL sono generalmente più veloci. Per farlo, assicurarsi di avere i file include e le librerie di OpenSSL installati, ed eseguire configure come ./configure --with-openssl. L'uso o meno di OpenSSL non influisce sulla funzionalità di ike-scan, ma solo sulla velocità del cracking delle chiavi pre-condivise con psk-crack.

Alcuni sistemi operativi installano gli header e le librerie di OpenSSL per impostazione predefinita; altri richiedono l'installazione di un pacchetto opzionale, ad esempio su Debian Linux è necessario installare il pacchetto libssl-dev. In alternativa, è possibile scaricare e installare il tarball di OpenSSL da http://www.openssl.org/

Dovrebbe compilare sulla maggior parte dei sistemi operativi Unix-like moderni. Funziona su Windows con Cygwin e può essere utilizzato come eseguibile Windows autonomo quando cygwin1.dll è presente.

Se si utilizza il pacchetto binario Windows-32, leggere anche il file README-WIN32 che descrive le differenze nell'esecuzione sulla piattaforma Windows.

Il programma è noto per compilare ed eseguire su Linux, FreeBSD, OpenBSD, NetBSD, Win32/Cygwin, Solaris, MacOS X, HP Tru64, HP-UX e SCO OpenServer. Per maggiori dettagli, consultare la sezione "PIATTAFORME SUPPORTATE" di seguito.

Panoramica

ike-scan rileva gli host IKE e può anche identificarli utilizzando il pattern di backoff della ritrasmissione.

ike-scan può eseguire le seguenti funzioni:

• Rilevamento Determinare quali host in un dato intervallo IP stanno eseguendo IKE. Ciò viene fatto visualizzando quegli host che rispondono alle richieste IKE inviate da ike-scan.
• Fingerprinting Determinare quale implementazione IKE stanno utilizzando gli host e, in alcuni casi, determinare la versione del software in esecuzione. Questo viene fatto in due modi: in primo luogo tramite fingerprinting UDP backoff che registra i tempi dei pacchetti di risposta IKE dagli host target e confronta il pattern di backoff di ritrasmissione osservato con pattern noti; in secondo luogo tramite fingerprinting Vendor ID che confronta i payload Vendor ID dei server VPN con pattern di vendor ID noti.
• Enumerazione delle transform Trovare quali attributi transform sono supportati dal server VPN per IKE Phase-1 (ad es. algoritmo di crittografia, algoritmo hash, ecc.).
• Enumerazione degli utenti Per alcuni sistemi VPN, scoprire nomi utente VPN validi.
• Cracking di chiavi pre-condivise Eseguire cracking offline di password tramite dizionario o forza bruta per IKE Aggressive Mode con autenticazione a chiave pre-condivisa. Questo utilizza ike-scan per ottenere l'hash e altri parametri, e psk-crack (che fa parte del pacchetto ike-scan) per eseguire il cracking.

Il concetto di fingerprinting tramite backoff di ritrasmissione è discusso in dettaglio nel documento sul fingerprinting UDP backoff, che dovrebbe essere incluso nel kit ike-scan come UDP Backoff Fingerprinting Paper.

Il programma invia richieste IKE phase-1 (Main Mode o Aggressive Mode) agli host specificati e visualizza le eventuali risposte ricevute. Gestisce il retry e la ritrasmissione con backoff per far fronte alla perdita di pacchetti. Limita anche la quantità di larghezza di banda utilizzata dai pacchetti IKE in uscita.

IKE è il protocollo Internet Key Exchange, il meccanismo di scambio di chiavi e autenticazione utilizzato da IPsec. Quasi tutti i moderni sistemi VPN implementano IPsec e la stragrande maggioranza delle VPN IPsec utilizza IKE per lo scambio di chiavi. Main Mode è una delle modalità definite per la phase-1 dello scambio IKE (l'altra modalità definita è Aggressive Mode). L'RFC 2409 sezione 5 specifica che Main Mode deve essere implementata, quindi ci si aspetta che tutte le implementazioni IKE supportino Main Mode. Molte supportano anche Aggressive Mode.

Utilizzo

Per visualizzare le informazioni sull'utilizzo corrente, eseguire il binario ike-scan in questo modo:ike-scan -h

Additional documentation is provided on the NTA Monitor Wiki

To report bugs or suggest new features, please create a GitHub issue.

Implementation Details

Host Input and Memory Requirements

The hosts to scan can be specified on the command line or read from an input file using the --file=<fn> option. The program can cope with large numbers of hosts limited only by the amount of memory needed to store the list of host_entry structures. Each host_entry structure requires 45 bytes on a 32-bit system, so a class B network (65534 hosts) would require about 2.8 MB for the list. The hosts can be specified as either IP addresses or hostnames, however the program will store all hosts internally as IP addresses and will only display IP addresses in the output (ike-scan calls gethostbyname(3) to determine the IP address of each host, but this can be disabled with the --nodns option).

Rate Limiting

The program limits the rate at which it sends IKE packets to ensure that it does not overload the network connection. By default it uses an outbound data rate of 56000 bits per second. This can be changed with the --bandwidth option.

If you want to send packets at a specific rate, you can use the --interval option.

Cookie Generation and Remote Host Identification