基于 TCP/IP 侧信道的互联网尺度 NAT 设备穿透研究
密码学与安全
2023-11-30 v1
摘要
网络地址转换（NAT）在保护内部局域网设备免受来自公共互联网的恶意直接访问方面发挥着至关重要的作用。然而，近期研究表明在某些特定情况下可穿透 NAT 设备。被穿透的 NAT 设备可被攻击者利用为跳板，滥用原本无法访问的内部网络资源，从而导致严重的安全后果。本文旨在对 NAT 设备开展互联网尺度的渗透测试。我们的研究与以往研究的主要区别在于其基于 TCP/IP 侧信道。我们梳理了相关研究文献中的 TCP/IP 侧信道，发现共享 IPID 侧信道最适合用于 NAT 穿透测试，因为它满足我们研究的三项要求：通用性、伦理性和鲁棒性。基于该侧信道，我们开发了一种自适应扫描器，能够以非常非侵入的方式在 5 天内完成互联网尺度扫描。评估表明，我们的扫描器在受控网络与真实网络中均有效。我们的测量结果显示，超过 30,000 个网络中间盒潜在易受 NAT 穿透攻击。它们分布在 154 个国家和 4,146 个不同组织中，表明 NAT 穿透构成了严重的安全威胁。
引用
@article{arxiv.2311.17392,
title = {An Internet-wide Penetration Study on NAT Boxes via TCP/IP Side Channel},
author = {Xuan Feng and Shuo Chen and Haining Wang},
journal= {arXiv preprint arXiv:2311.17392},
year = {2023}
}