Promiskuitní režim

Promiskuitní režim (anglicky promiscuous mode nebo zkráceně promisc mode) je v informatice označení pro speciální režim drátové síťové karty (NIC) nebo bezdrátové síťové karty (WNIC), který v počítačových sítích umožňuje zachytávat i síťovou komunikaci, která není přímo určena pro dané zařízení nebo počítač (tzv. packet sniffing). Režim používají analyzátory paketů pro zachytávání se na routerech, ale i na počítačích připojených k switchi nebo pro bezdrátových sítích nebo softwarových switchích hardwarové virtualizace.

Charakteristika

V sítích IEEE 802, kterými jsou Ethernet, token ring a IEEE 802.11 a v FDDI obsahuje každý snímek cílovou MAC adresu (Media Access Control). Síťová karta, která není v promiskuitním režimu, přijímá pouze rámce, které jsou určeny pro její MAC adresu nebo se nejedná o broadcasty, případně multicastové rámce. V promiskuitním režimu však síťová karta přijímá všechny rámce, což umožňuje počítači číst rámce určené pro jiné počítače nebo síťová zařízení.

Mnoho operačních systémů vyžaduje pro povolení promiskuitního režimu oprávnění správce. Síťový uzel v promiskuitním režimu může sledovat síťovou komunikaci, která mu není adresována pouze pokud přichází ze (nebo odchází do) stejné broadcastové domény (pro Ethernet a IEEE 802.11) nebo logického kruhu (pro token ring nebo FDDI). Počítače připojené do stejného rozbočovače (huby) splňují tuto podmínku, což je důvod, proč jsou použity síťové přepínače (switche) pro boj proti zneužívání promiskuitního režimu. Na routeru je možné monitorovat veškerý provoz, který se pomocí něho směruje.

Promiskuitní režim je často používán k diagnostice problémů s připojením k síti. Existují programy, které pomocí této funkce ukáží uživateli všechna data přenášená přes síť. Některé protokoly jako FTP a Telnet, přenáší data a hesla jako prostý text, bez šifrování, a síťové skenery mohou vidět tato data. Proto jsou počítačoví uživatelé vyzýváni, aby nepoužívali nezabezpečené protokoly jako Telnet a využívali bezpečnější protokoly, jako SSH.

Detekce promiskuitního režimu

Stejně jako může být promiskuitní režim použit ke škodlivým účelům (odposlech v síti), může být také využit pro detekci jiných síťových zařízení, které jsou v promiskuitním režimu. V promiskuitním režimu mohou některé programy posílat odpovědi na rámce, které byly adresovány jinému zařízení. Zkušení odposlouchávači (sniffer) tomu mohou zabránit (např. pomocí pečlivého nastavení firewallu).

Příkladem je odesílání pingu (ICMP echo request) se špatnou MAC adresou, ale správnou IP adresou. Pokud adaptér pracuje v normálním režimu, zahodí tento rámec a zařízení tak na tento ping neodpoví. Pokud je adaptér v promiskuitním režimu, rámec bude předán dál a IP stack zařízení (u kterého MAC adresa nemá žádný význam) na tento ping odpoví stejně jako na jakýkoliv jiný. Odposlouchávač tomu může zabránit tím, že na firewallu bude blokovat ICMP provoz.

Aplikace používající promiskuitní režim

Reference

V tomto článku byl použit překlad textu z článku Promiscuous mode na anglické Wikipedii.


Související články