Denial of service, nel campo della sicurezza informatica, indica un malfunzionamento dovuto a un attacco informatico (abbreviato attacco DoS, ) in cui si fanno esaurire deliberatamente le risorse di un sistema informatico che fornisce un servizio ai client, ad esempio un sito web su un server web, fino a renderlo non più in grado di erogare il servizio ai client richiedenti..
In un attacco distribuito di negazione del servizio ( abbreviato in DDoS), il traffico dei dati in entrata che inonda la vittima proviene da molte fonti diverse. L'esempio in analogia è quello di un gruppo di persone che affollano la porta d'ingresso o il cancello di un negozio o di un'azienda, e non consentendo alle parti legittime di entrare nel negozio o nel business, interrompono le normali operazioni. Ciò rende effettivamente impossibile fermare l'attacco semplicemente bloccando una singola fonte.
Oltre al senso primario di denial of service come azione deliberata ci si può riferire ad esso come azione accidentale, in seguito per esempio ad una errata configurazione, o come nel caso dell'effetto Slashdot.
Storia Alcune testimonianze mostrano che la prima dimostrazione di attacco DoS è stata fatta da Khan C. Smith nel 1997 durante un evento DEF CON che ha interrotto l'accesso a Internet alla Las Vegas Strip per oltre un'ora. Il rilascio del codice di esempio durante l'evento ha portato all'attacco online di Sprint, EarthLink, E-Trade e altre grandi aziende nell'anno a seguire.
Descrizione Gli attacchi vengono abitualmente attuati inviando molti pacchetti di richieste, di solito ad un server web, FTP o di posta elettronica saturandone le risorse e rendendo tale sistema "instabile" e non disponibile agli altri utenti. Qualsiasi sistema collegato ad Internet e che fornisca servizi di rete basati sul TCP è quindi soggetto al rischio di attacchi DoS. Inizialmente questo tipo di attacco veniva attuato da "cracker", come gesto di dissenso etico nei confronti dei siti web commerciali e delle istituzioni.
Gli attacchi DoS hanno la connotazione decisamente più "criminale" di impedire agli utenti della rete l'accesso ai siti web vittime dell'attacco. Per rendere più efficace l'attacco in genere vengono utilizzati molti computer inconsapevoli, detti zombie, sui quali precedentemente è stato inoculato un programma appositamente creato per attacchi DoS e che si attiva ad un comando proveniente dal cracker creatore. Se il programma maligno si è diffuso su molti computer, può succedere che migliaia di PC violati da un cracker, ovvero una botnet, producano inconsapevolmente e nello stesso istante un flusso incontenibile di dati che travolgeranno come una valanga anche i link più capienti del sito bersaglio.
Non solo i sistemi server possono essere vittime di un attacco DoS ma anche semplici utenti e client, sebbene questi attacchi siano molto meno frequenti e di nessun interesse per i cosiddetti cracker.
La probabilità sempre minore di incontrare sistemi veramente vulnerabili ha fatto sì che siano diminuiti gli attacchi DoS più eclatanti, però si è scoperta un'estrema vulnerabilità della rete per l'aumento costante della potenza operativa degli attuali personal computer e dell'accesso ad Internet tramite i sistemi DNS. L'implementazione del protocollo TCP/IP, che non garantisce particolare sicurezza sull'identificazione dei mittenti di pacchetti ma anzi ne protegge l'anonimato, può essere sfruttata per mascherarne la vera provenienza.
Trattandosi di connessioni apparentemente legittime, è impossibile bloccarle senza interrompere anche il flusso realmente inoffensivo. Però, limitando drasticamente il numero di sessioni aperte simultaneamente, l'impatto dell'attacco si riduce considerevolmente senza limitare il flusso dei pacchetti regolari. Anche limitando il discorso al blocco di un sito web esistono, e sono stati utilizzati, parecchi modi di ottenere questo risultato.
Di solito gli attacchi DoS possono essere sfruttati per richiedere un riscatto, come preludio di un altro attacco (magari bloccando un servizio di difesa o addirittura il servizio stesso per sostituirlo con uno falso), come atti vandalici o come una forma di protesta (Hacktivism).
Tassonomia dell'attacco Lo scopo di questo attacco è saturare la backlog queue con richieste di attivazione di un servizio (TCP SYN settato) oltre la scadenza dei relativi timeout e non consentendo alla vittima di completare il 3-way handshake; in questo modo non sarà in grado di gestire i SYN leciti a cui verrà negato il servizio.
Sintomi Lo United States Computer Emergency Readiness Team (US-CERT) ha identificato i seguenti sintomi di un attacco denial-of-service: prestazioni di rete insolitamente lente (apertura di file o accesso a siti Web); indisponibilità di un determinato sito web; incapacità di accedere a qualsiasi sito web; drammatico aumento del numero di e-mail di spam ricevute (questo tipo di attacco DoS viene detto "mail bombing"). Ulteriori sintomi possono includere: disconnessione di una connessione internet wireless o cablata; negazione a lungo termine dell'accesso al Web o di qualsiasi servizio Internet. Se l'attacco viene condotto su una scala sufficientemente ampia, intere regioni geografiche connesse ad Internet possono essere compromesse senza la conoscenza o l'intento dell'aggressore da parte di apparecchiature dell'infrastruttura di rete configurate in modo errato o inconsistenti.
Tipi di attacco Attacco diretto: l'attaccante interagisce direttamente con la vittima. In questo caso l'attaccante si dice reale e la vittima si dice di primo livello. Attacco indiretto: l'attaccante sfrutta terze parti per colpire la vittima. In questo caso l'attaccante si dice riflesso, le terze parti si dicono vittime di secondo livello e la vittima finale si dice vittima di primo livello.
Attacchi portati da un singolo host Questi tipi di attacco, provenendo da un'unica fonte, sono potenzialmente rintracciabili.
Syn-Flood Storicamente il Syn-Flooding rappresenta il capostipite degli attacchi DoS, che trova le sue dirette radici nel Ping of Death. Il termine Syn Flooding, letteralmente tradotto con "inondazione di pacchetti di tipo Syn", nasce dal fatto che tutte le volte che un utente fa clic su un collegamento ipertestuale di una pagina web richiede l'apertura di una connessione (di tipo TCP) verso quel sito; questo avviene seguendo una serie di passi, il primo dei quali consiste nell'invio di un pacchetto TCP che richiede l'apertura di una connessione.
Tutte le regole di funzionamento del protocollo TCP esigono che il sistema risponda allocando alcune risorse (in pratica memoria) per la connessione. Programmando opportunamente un semplice PC, è possibile richiedere l'apertura di diverse migliaia di connessioni al secondo, che "inondando" il server e ne consumano rapidamente tutta la memoria, bloccandolo o mandandolo in crash.
Il punto debole di questo tipo di attacco è che il computer attaccante deve essere in grado di mandare il flusso di pacchetti attraverso la connessione ad Internet fino al server attaccato.
Diversamente, l'utente malintenzionato deve poter fornire delle "credenziali" di accesso valide per usufruire della vulnerabilità insorta nel sistema operativo e portare a termine, efficacemente, l'attacco al sito bersaglio.
I pacchetti dannosi predisposti con un indirizzo IP falsificato (cioè modificato rispetto a quello originale), procureranno al computer "vulnerabile" una situazione temporanea di Denial of Service; tuttavia, poiché le connessioni che sono normalmente disponibili sono lente per tutti (per soggetti ben intenzionati così come per soggetti malintenzionati), questo tipo di attacco diventa impraticabile, nel senso che non dà il risultato atteso (cioè appunto la congestione del server)
Un esempio potrebbe essere il seguente: l'attaccante invia una serie di richieste alla sua vittima e la macchina server, sulla quale vengono eseguiti dei servizi, non sarà in grado di gestire tutte le richieste e i servizi stessi andranno in crash, risultando prima molto rallentati e poi, successivamente, inaccessibili. In questa maniera, un utente qualunque non sarà in grado di accedere ai servizi, ricevendo un errore di richiesta scaduta o timeout.
L'attacco Syn-Flood usa strumenti che rientrano nella categoria Tribe Flood Network (TFN) ed agisce creando delle connessioni che si rivelano aperte a metà.
Il protocollo classico usato nei DoS è l'ICMP (usato soprattutto negli attacchi Ping): inviandone a milioni si riuscirà a bloccare l'operatività di qualunque sito Internet, ma trattandosi di un modello di attacco "uno a uno", ad un pacchetto in uscita corrisponderà la ricezione di un solo pacchetto al sistema attaccato.
Occorrerà quindi che i cracker possano disporre di un gran numero di PC client "controllati", anche se non è così facile "inoculare" il codice maligno in un numero tanto elevato di macchine, grazie all'azione specifica di antivirus, patch di sicurezza e tecnici informatici.
Smurf Una modalità di attacco più sofisticata, detta Smurf attack, utilizza un flusso di pacchetti modesto, in grado di passare attraverso una normale connessione via modem, ed una rete esterna (evidentemente mal configurata) che agisce da moltiplicatore di pacchetti, i quali si dirigono infine verso il bersaglio finale lungo linee di comunicazione ad alta velocità.
Tecnicamente, vengono mandati uno o più pacchetti di broadcast verso una rete esterna composta da un numero maggiore possibile di host e con l'indirizzo mittente che punta al bersaglio (broadcast storm).
Ad esempio può venir usata una richiesta echo ICMP (Internet Control Message Protocol), precedentemente falsificata da chi attua materialmente l'attacco informatico.
Si noti che questo tipo di attacco è possibile solo in presenza di reti che abbiano grossolani errori di configurazione dei sistemi (nello specifico nella configurazione dei router) che le collegano tra loro e con Internet. R-U-Dead-Yet? (RUDY) L'attacco RUDY ha l'obiettivo di colpire le applicazioni Web portando all'inattività delle sessioni rese disponibili dal server. Proprio come Slowloris, RUDY mantiene le sessioni interrotte utilizzando dei POST senza fine e inviando degli header con un contenuto arbitrariamente grande.
DDoS a scopo di estorsione Nel 2015, le botnet DDoS come DD4BC sono cresciute diventando sempre più importanti, prendendo di mira le istituzioni finanziarie. Gli estorsori cibernetici di solito iniziano con un attacco di basso livello e un avvertimento che un attacco più grande sarà eseguito se un riscatto non verrà pagato in Bitcoin. Gli esperti di sicurezza raccomandano di non pagare mai il riscatto poiché gli aggressori tendono a entrare in un regime estorsivo esteso una volta che riconoscono che l'obiettivo è pronto a pagare.
Attacchi da più host In questi attacchi il bersaglio viene attaccato contemporaneamente da più fonti, rendendo difficile rintracciare l'attaccante originario. DDoS Una variante di tale approccio è il DDoS (Distributed Denial of Service), dal funzionamento identico ma realizzato utilizzando numerose macchine attaccanti che insieme costituiscono una botnet.
Naturalmente gli attaccanti tendono a non esporsi direttamente, in questo caso per le forze dell'ordine sarebbe infatti semplice risalire ai computer utilizzati per l'attacco. Per evitare di essere individuati, gli attaccanti infettano preventivamente un numero elevato di computer con dei virus o worm che lasciano aperte delle backdoor a loro riservate, anche per avere a disposizione un numero sufficiente di computer per l'attacco. I computer che sono controllati dall'attaccante vengono chiamati zombie.