在完全交换的网络上对密码进行数据包嗅探真的是一个问题吗？

Question

我管理着许多需要用户 telnet 访问的 linux 服务器。目前，用户的凭据本地存储在每台服务器上，密码往往很弱，不需要更改密码。登录很快将与 Active Directory 集成，这是一个受到更严密保护的身份。

考虑到我们有一个完全交换的网络，因此任何黑客都需要将自己插入用户的计算机和服务器之间，是否真的担心从 LAN 嗅探用户的密码？

Answer 1

这是一个合理的担忧，因为有一些工具可以实现arp 中毒（欺骗），让您让计算机相信您是网关。一个示例且相对易于使用的工具是使整个过程自动化的ettercap。它会让他们的计算机相信您是网关并嗅探流量，它还将转发数据包，因此除非有IDS 运行，否则整个过程可能是透明且未被发现的。

由于这些工具可供孩子们使用，这是一个相当大的威胁。即使系统本身并不那么重要，人们也会重复使用密码，并且可能会将密码暴露给更重要的事情。

交换网络只会使嗅探更加不方便，而不是困难或困难。

Answer 2

是的，但这不仅仅是因为您使用 Telnet 和弱密码，而是因为您对安全的态度。

良好的安全性是层层递进的。你不应该认为因为你有一个好的防火墙，你的内部安全可能很弱。您应该假设在某个时间点，您的防火墙会受到威胁，工作站会感染病毒，并且您的交换机会被劫持。可能所有的同时。你应该确保重要的事情有好的密码，不太重要的事情也有。您还应该尽可能对网络流量使用强加密。设置很简单，在 OpenSSH 的情况下，使用公钥让您的生活更轻松。

然后，您还必须注意员工。确保每个人都没有为任何给定的功能使用相同的帐户。当有人被解雇并且您需要更改所有密码时，这对其他人来说是一种痛苦。您还必须通过教育确保他们不会成为网络钓鱼攻击的受害者（告诉他们，如果您曾向他们索要密码，那是因为您刚刚被解雇并且无法再访问！其他任何人都没有理由问。），以及基于每个帐户的细分访问权限。

由于这对您来说似乎是一个新概念，因此您最好选择一本关于网络/系统安全的书。的“系统和网络管理的实践”第7章介绍这个话题有点一样，“基本系统管理”，这两者我建议你阅读反正。还有专门针对该主题的整本书。

Answer 3

是的，这是一个大问题，因为对于一些简单的 ARP 中毒，您通常可以在不实际位于正确的交换机端口的情况下嗅探 LAN，就像在过去的集线器时代一样 - 而且它也很容易做到。