سرورهاي پراکسي، شيوه عملکرد و کاربرد آنها

آموزش کامپيوتر :: آموزش شبکه و امنيت شبکه

موضوع: سرورهاي پراکسي، شيوه عملکرد و کاربرد آنها

براي کنکاوش بيشتر پيرامون بحث فيلتر و امنيت سرورهاي سرويس دهنده نياز به کسب اطلاعات در مورد اين نوع سرورها و کاربردهاي مختلف آنهاباشيم. از اين جهت در اين مقاله به کلياتي پيرامون خود سرورهاي فيلتر کننده که نوع سرور پراکسي مي باشند، مي پردازيم.

--------------------------------------------------------------------------------
مفهوم عامه پراکسي:

ابتدا يک نگاه بندازيم به اينکه اين سرورها چه کاربردي دارند و در حقيقت اصلا مي خواهيم چکار کنيم. زمانيکه شما به اينترنت متصل مي شويد، يک شخص با يک IP يعني آدرس شما هستيد در يک دنياي بزرگ. اين شخص براي گرفتن اطلاعات مورد نظرش مي تواند خودش بوسيله مرورگر خود يک درخواست بفرستد براي اطلاعات مورد نظرش و آنرا دريافت کرده و به نمايش بگذارد.

حال براي آنکه واضح تر روشن شود اينطور فرض کنيم که شما (شخصي که خواهان اطلاعات است) قصد داريد يک نفر را بکُشيد (فقط مثال است) براي اين کار، اگر طبق روش قبل باشد، تفنگ خود (مرورگر اينترنتي) خود را گرفته و به قصد کشتن طرف مقابل (دريافت اطلاعات درخواستي) از آن استفاده مي کنيد. حال بهتر نيست که يک مامور (پليس و يا کسي که حرفه اي باشد توي اين کار) را اجير کنيد تا اين کار را براي شما انجام دهد؟ آيا اين ماموري که شما مي فرستيد، حرفه اي تر نيست، و کار را بهتر انجام نمي دهد؟

اينجاست که نقش پراکسي مشخص مي شود. سرور پراکسي در حقيقت درخواست را از شما مي گيرد - بازيابي اطلاعات درخواستي- (يا همان سفارش کشتن شخص مورد نظر) و آنرا خود بصورت حرفه اي انجام داده و از نتايج آن شما را مطلع مي سازد.

--------------------------------------------------------------------------------
پراکسي از کجا بوجود آمد؟

در روزهاي اول وِب، کاربراي خانگي بسيار معدود بودند و اکثر کاربران اينترنتي، دانشمندان و محققاني بودند که از طريق ارگان خود، دانشگاه و يا موسسه خود به اينترنت متصل بودند. پهناي باند در آن زمان بسيار محدود بود و زمينه اطلاعات نيز بسيار نبود. زمانيکه يکي از اين سايتهاي تحقيقاتي که اکثرا حاوي اطلاعات استاتيک و ثابت بودند، به روز مي شدند اکثر کاربران اين شبکه ها اين صفحات را مي آوردند. مديران اين شبکه ها براي به اشتراک گذاشتن اينترنت در کل گروه و همچنين صرفه جويي در پهناي باند محدود موجود از سرورهاي پراکسي سود مي بردند. اين سرورها خود، يک بار درخواست براي صفحه مورد نظر را ارسال کرده و نسخه اي از آن را ذخيره مي کردند و در دفعات بعد آن را در پاسخ به درخواست کاربران داخلي ارسال مي کردند.

با گذشت زمان و افزايش چشمگير پهناي باند و همچنين نياز کاربران خانگي از استفاده از ساير متد ها و پروتوکولها استفاده از پراکسي کم رنگ تر شده است. پراکسي هاي وب که ما در بالا بررسي کرديم عمده ترين کاربرد پراکسي ها مي باشند.

از اين حرفها گذشته به يک سري از کاربردهاي پراکسي بپردازيم.

--------------------------------------------------------------------------------
مخفي کردن مشخصات کاربر:
يکي از بيشترين کاربردهاي سرورهاي پراکسي اين است که افرادي که در شبکه داخلي قرار دارند، يعني کاربران پشت سرور از ديد افرادي که در اينترنت قرار دارند محفوظ مي مانند. همانند Network Address Translation يا NAT اين قابليت سرورهاي پراکسي موجبات بوجود آمدن لايه اي امن و بين شبکه اي مي شود. اين قابليت سرور هاي پراکسي بر اساس مبناي کار اين سرورهاست. با وجود اين سرورها، تمامي دخواستهاي کاربران داخلي طوري به سرور مقصد در اينترنت فرستاده مي شود که گويي خود اين سرور اين اطلاعات را براي خود مي خواهد.

اين خصوصيات سرورهاي پراکسي از آنجا ناشي مي شود که لايه انتقال داده ها transport layer بين کاربران داخلي و سرورهاي اينترنتي وجود ندارد. اين خود موجب آن مي شود که از طرف سرورهاي اينترنتي و يا کاربران بر روي اينترنت نتوان ردگيري و يا حتي حمله به کاربران داخلي واقع در پشت سرورهاي پراکسي کرد. اين لايه انتقال يعني اينکه هيچ پل ارتباطي بين کاربر درخواست کننده و سرور بيرون نيست کاربر سرور پراکسي را به عنوان همان سرور بيروني قبول مي کند و درست با آن همانطور برخورد مي کند که انگار سرور بيروني است. در همين حال سرور بيرون هم سرور پراکسي را يک کاربر مي بيند و با آن به همان روال کار مي کند که يک کاربر کار مي کند.

حال اگر کاربر مستقيما اطلاعات را از سرور بيروني دريافت کند، سرور بيروني بايد بداند که به کي دارد اطلاعات مي دهد و به همين دليل مشخصات کاربر را کامل دريافت مي کند. براي ارسال اطلاعات و پاسخ به درخواست هم راه ارتباطي مستقيمي بين اين دو برقرار مي شود. پس اگر اين سرور مي تواند با کاربر ارتباط داشته باشد، هکر ها و عوامل موزي هم مي توانند اين کار را انجام دهند. اما در صورتيکه از سرور پراکسي استفاده شود تمام مسير افراد بيروني براي رديابي و اذيت به خود سرور پراکسي ختم مي شود.

خوب ممکن است پيش خود سوال کنيد که اين همه سرور توي ISP و يا ICP وجود دارند، کار آنها چيست؟ اين سرورها و روترها و يا حتي فايرولها کارشان دوباره نويسي پاکتها مي باشد. اين سرورها با توجه به مقصد و مبدا پاکتها را طوري مي نويسند که به مقصد برسند ولي خود، عامل مستقيم براي شما نمي شوند. البته راههايي نيز ابداع شده است که سرورهاي پراکسي را بطور مخفي به کار گيرند اين شرکتهاي سرويس دهنده، اما بعنوان سرور پراکسي کاربرد نخواهند داشت.

يک جلوه ديگر مخفي کردن کاربران، ويژگي استفاده چند کاربره از پراکسي ها در محلهايي مي باشد که محدوديتهاي ارتباطي وجود دارد. مثلا زمانيکه مي خواهيد از يک IP و يا يک خط ارتباطي چند دستگاه بطور همزمان ارتباط داشته باشند. در اينجاست که سرور پراکسي آن يک ميزبان است که دنياي بيرون به رسميت مي شناسد و تمام کاربران داخلي با عنوان اين پراکسي شناخته مي شوند. از اين جهت هم مي باشد که سرورهاي پراکسي کوچک خانگي هم از مشهوريت خاصي برخوردارند.

--------------------------------------------------------------------------------
آزمون ماهيت اطلاعات:
منظور از اين آزمون، تطبيق محتويات درخواست و پاسخ آن با استانداردهاي تبيين شده براي پروتوکول مورد نظر مي باشد. اين بحث دو مزيت دارد اما اصلي ترين و مهمترين آن آزمونهايي مي باشد که جلوگيري از exploit و يا هک شدن هم کاربر و هم سرور را فراهم سازد. تطبيق اطلاعات دريافتي و ارسالي، به اين معني مي باشد که موارد و يا دستوراتي که در بسياري موارد از طريق درخواستهاي غير استاندارد به کاربران تحميل مي شود، را دريافت و آنها را در چارچوبي که طبق استاندارد هاي تعريف شده براي هر پروتوکول قرار مي دهد، و در صورتيکه در اين چارچوب قرار نگيرد، پاسخي مبتني بر آن به درخواست کننده مي فرستد.

براي روشن تر شدن مطلب به بحثي پيرامون يک سرور مي پردازيم. اکثر مي دانيم sendmail – سندميل – يک سرور پست الکترونيکي تحت سيستم عامل *NIX مي باشد. اين سرور در نسخه هاي اول توسط کاربران هک مي شد. سندميل زماني که پيامي را دريافت مي کند، به مقدار سايزي که در ابتداي پيام (header) نوشته شده است از حافظه براي ذخيره آن جدا مي کند. در صورتيکه سايز حقيقي پيام از سايزي که در پيام گفته شده بيشتر باشد، مابقي پيام به صورت برنامه اي اجرايي درون برنامه سندميل اجرا شده و به هکر اين اختيار را مي دهد که از طريق آن دسترسي کامل به سرور داشته باشد.

حال به مثالي ساده تر براي طرف کاربر مي پردازيم. در مرورگرهاي ابتدايي اينترنتي، در صورتيکه در سايتي، لينک®0; با تعداد کاراکتر بيشتر از 255 کاراکتر در سايت وجود داشته باشد و بر آن کليک شود، مرورگر لينک را به 255 کاراکتر تقليل داده، سپس اجرا مي کند. اين بدان معني است که آنچه از اين تعداد کاراکتر فراتر باشد را مرورگر به عنوان يک دستور اجرا مي کند. از اين روش بسياري از هکر ها براي دستيابي به کامپيوتر طرف و خرابکاري در آن زمان استفاده مي کردند. اين مثال و مثال قبل به روشني خطر اجراي دستورات پنهاني و دستيابي به رايانه ها را چه در سمت سرور و چه براي کاربران روشن مي کند.

آنچه تا بحال خوانديم براي روشن شدن چگونگي عمل اين نوع روش نفوذ بود اما در اينجا اشاره اي به حجم و ميزان خسارتي که از طريق اين روش مي تواند بر يک شبکه داشته باشد بپردازيم. مايکروسافت با بلوغ سرور IIS (Internet Information Server) خود در نسخه هاي 4 و 5 خود را در سرويس دهي اينترنتي مطرح کرد. اين سرورها که صفحات اينترنتي را نمايش مي دادند، در طول زمان بيشتر مضر براي مايکروسافت جلوه دادند تا سودمند. حتما سايتهاي بسياري را که توسط روش ابلاغ درخواستهاي غير استاندارد هک شده اند به گوشتان رسيده است. مهمترين نقاط ضعف IIS هم همين روش بود. يک هکر مي توانست با ارسال متد پست (post) به اين سرور با تعداد کاراکتري بيش از آنچه که مي تواند پردازش کند دسترسي کامل به سرور مذکور پيدا کند و يا با ارسال درخواستهايي نا مفهوم به ماجولهاي IIS با DLL هاي مختلف که مهمترين آنها Search و Legacy Database بود. اين روشهاي هک چنان مرسوم شده بود که هکرها با نوشتن اسکريپتهاي خودکار بر روي کامپيوترهاي هک شده، هزاران سرور را در طول چند ساعت هک کنند. مايکروسافت هم که بسياري از سرويسهاي قابل ارائه خود را مبتني بر اين سرور طراحي کرده بود، مانند پلتفرم .NET بدليل از دست دادن اعتبار IIS از دست داد و کمتر شرکتي مايل به استفاده از هيچيک از آنها مي شد.

براي مبارزه با اين پديده، مايکروسافت تعداد کثيري (صدها) update و بروزرساني هاي آني براي IIS در اختيار کاربران آن و شرکتها قرار داد. اما با وجود اسکريپتها و آگاهي از وجود ايرادات در نرم افزار زماني که هزاران سرور بدان آلوده مي شدند، روشي مناسب براي جلوگيري از اآن نبود. سرورهاي پراکسي در اين زمان موثر ترين راه حل جلوگيري و حل و فسخ اين مشکل شناخته شده و بکار گرفته شدند. از اين باب است که تمام سايتهاي شرکت مايکروسافت پشت نوعي از اين سرورها قرار دارند. حتي مي بينيم که در مورد نرم افزار هاي امن از جمله آپاچي، خود اين سرور ماجول پراکسي براي ساير وب سرورها دارد. روشي که در اين مبحث بدان پرداختيم روشي، پيشگيرانه مي باشد که در تمام دنيا از آن استفاده مي شود و تطبيق متدها و درخواستها با استانداردها قبل از ارسال به سرور مقصد در حال حاضر استانداردي در راه اندازي سرورهاي ميزباني امن مي باشد.

مطلب بعدی :: مطلب قبلی