Protokół automatycznego wykrywania serwera proxy sieci Web

Protokół automatycznego wykrywania serwera proxy sieci Web ( WPAD ; niemiecki  „ protokół automatycznego rozpoznawania serwera proxy sieci Web ” ) to protokół, za pomocą którego klienci sieciowi (np. Przeglądarka ) mogą automatycznie znaleźć serwery proxy, które mają być używane w sieci komputerowej, przy użyciu funkcji automatycznej konfiguracji serwera proxy (PAC) Na przykład plik jest zapisywany pod możliwym do odgadnięcia adresem URLhttp://wpad.example.com/wpad.dat . Format pliku Proxy Auto-Config został pierwotnie opracowany przez Netscape Communications w 1996 roku dla Netscape Navigator 2.0.

WPAD umożliwia poinstruowanie wszystkich klientów internetowych w organizacji, aby używali tych samych serwerów proxy bez konieczności konfigurowania każdego z nich indywidualnie. Jest to obsługiwane przez popularne przeglądarki Mozilla Firefox , Google Chrome i Internet Explorer w obecnych wersjach, ale także przez inne programy i środowiska graficzne, takie jak Unity .

fabuła

WPAD został zaprojektowany przez konsorcjum Inktomi Corporation , Microsoft , RealNetworks i Sun Microsystems (obecnie Oracle Corporation ). WPAD jest udokumentowany jako projekt internetowy , który jednak wygasł w grudniu 1999 r. Niemniej jednak WPAD jest nadal obsługiwany przez wszystkie popularne przeglądarki. W Internet Explorerze wprowadzono WPAD w wersji 5 .

kontekst

Aby poinstruować wszystkie przeglądarki w organizacji, aby wybierały serwer proxy zgodnie z tymi samymi regułami, bez konieczności ręcznego konfigurowania wszystkiego, potrzebne są dwie technologie.

Standard Proxy Auto Config (PAC)
Tworzony jest plik konfiguracyjny centralnego proxy. (Szczegóły w odpowiednim artykule).
Standard Web Proxy Autodiscovery Protocol (WPAD)
Gwarantuje to, że poszczególne przeglądarki automatycznie znajdą ten plik. O tym jest ten artykuł.

Standard WPAD definiuje kilka alternatywnych metod, za pomocą których administrator systemu może opublikować lokalizację pliku konfiguracyjnego proxy:

Przed zapytaniem o pierwszą stronę przeglądarka internetowa, która zna metodę, wysyła żądanie DHCPINFORM do lokalnego serwera DHCP, a następnie używa adresu URL podanego w opcji WPAD odpowiedzi. Jeśli serwer DHCP nie ma wymaganych informacji, używany jest serwer DNS. Jeśli na przykład FQDN (w pełni kwalifikowana nazwa domeny) komputera pc.department.branch.example.comto, przeglądarka będzie sprawdzać następujące adresy URL jeden po drugim, aż znajdzie plik konfiguracyjny serwera proxy.

  • http://wpad.department.branch.example.com/wpad.dat
  • http://wpad.branch.example.com/wpad.dat
  • http://wpad.example.com/wpad.dat
  • http://wpad/wpad.dat
  • Prawdopodobnie również http://wpad.com/wpad.dat(patrz # Bezpieczeństwo )

Uwagi

  • DHCP ma wyższy priorytet niż DNS: jeśli DHCP dostarcza adres URL WPAD, żadne zapytanie DNS nie jest wykonywane.
  • Podczas zapytania DNS pierwsza część adresu (która prawdopodobnie reprezentuje identyfikator klienta) jest usuwana i zastępowana przez wpad. Następnie przechodzi w górę w hierarchii, usuwając więcej części nazwy domeny, aż znajdzie plik WPAD-PAC lub opuści organizację.
  • Przeglądarka próbuje odgadnąć, gdzie kończy się organizacja. To oszacowanie dotyczy domen według wzorca firma.comlub universitaet.educzęsto, ale jest na przykład company.co.uknieprawidłowe (patrz # Bezpieczeństwo ).
  • W przypadku zapytania DNS ścieżka do pliku konfiguracyjnego to zawsze wpad.dat. Z protokołem DHCP można używać dowolnego adresu URL. Z tradycyjnych powodów nazwy plików PAC są często proxy.pac(oczywiście pliki o tej nazwie są ignorowane przez wyszukiwanie DNS WPAD).
  • Zapytanie DNS z Microsoft Internet Explorer 6 pod Windows XP wysyła jako hostadres IP, dlatego serwer WWW WPAD powinien być skonfigurowany w taki sposób, aby można go było zaadresować jako oparty na nazwie VirtualHost ze wszystkimi możliwymi nazwami hostów w żądaniu HTTP / 1.1

Przykład dla Apache: 

NameVirtualHost 192.168.xx.yy
ServerName wpad.sub.domain.tld
ServerAlias wpad
ServerAlias 192.168.xx.yy

Lista kontrolna

Aby WPAD działał, musi być spełnionych kilka warunków.

  • Aby korzystać z protokołu DHCP, serwer DHCP musi być skonfigurowany w taki sposób, aby dostarczał site-localopcję 252 ( auto-proxy-config) z ciągiem znaków o wartości http://xxx.yyy.zzz.qqq/wpad.dat, przy czym xxx.yyy.zzz.qqqmusi to być adres IP serwera WWW. (Lepiej byłoby użyć nazwy domeny zamiast numerycznego adresu IP). Jeśli używasz serwera DHCP firmy Microsoft , powinieneś sprawdzić to na server optionskażdym serwerze, jak również scope optionsw każdym obszarze.
  • Ponadto, aby korzystać z DHCP, komputer musi być klientem DHCP. Innymi słowy, przeglądarki (Internet Explorer i Firefox) nie wysyłają własnych (nowych) żądań DHCP, lecz korzystają jedynie z wcześniej przypisanej opcji WPAD 252 (kiedy adres IP był początkowo przypisany do karty sieciowej przez DHCP). Jeśli protokół DHCP _nie_ jest aktywny w ustawieniach karty sieciowej, przeglądarka również nie wyśle ​​żądania DHCP.
  • Aby korzystać z DNS, wymagany jest rekord DNS dla hosta o nazwie WPAD.
  • edytuj listę blokad DNS dla serwera DNS systemu Windows 2003 z biuletynem MS09-008 [1]
  • w przypadku serwera DNS systemu Windows 2008 edytuj artykuł w witrynie Technet dotyczący listy blokowania DNS dotyczący listy blokowania DNS
  • Host WPAD musi być w stanie dostarczyć witrynę internetową .
  • W obu przypadkach serwer WWW musi być skonfigurowany w taki sposób, aby dostarczał pliki .dat z typem MIMEapplication/x-ns-proxy-autoconfig .
  • Plik o nazwie wpad.dat musi znajdować się w katalogu głównym serwisu WPAD.
  • Przykłady plików PAC w artykule Proxy Auto-Config .

bezpieczeństwo

Chociaż upraszcza konfigurację przeglądarek internetowych organizacji, z protokołem WPAD należy postępować ostrożnie, ponieważ nawet małe błędy mogą prowadzić do poważnych ataków.

  • Osoba atakująca w sieci może skonfigurować serwer DHCP, który wyprowadza adres URL złośliwego skryptu PAC.
  • Czy dana organizacja ma domenę we wzorcu company.co.uklub company.comi jest w sieci nie jest dostępna http://wpad.company.co.uk/wpad.datlub jest http://wpad.company.com/wpad.datdostępna, więc niektóre przeglądarki mają http://wpad.co.uk/wpad.datlub http://wpad.com/wpad.datnadal pytają, ponieważ mogą zagwarantować brak rozróżnienia między domeną organizacji a domeną najwyższego poziomu lub krajową . Dostęp do serwera WWW z domen wpad, takich jak, http://wpad.com/pokazują to bardzo wyraźnie.

Osoba atakująca może użyć pliku WPAD do przekierowania wszystkich przeglądarek z zapytaniami do ich serwerów proxy, a następnie przechwycenia i zmodyfikowania całego ruchu.

Dlatego należy upewnić się, że wszystkie serwery DHCP w organizacji mogą być zaufane i że wszystkie domeny WPAD, które mogą wynikać z odpowiedniej domeny, znajdują się pod kontrolą odpowiedniej organizacji.

Oprócz tych zagrożeń WPAD w zasadzie pobiera plik JavaScript, który działa we wszystkich przeglądarkach w systemie, nawet jeśli JavaScript został wyłączony na stronach internetowych.

Indywidualne dowody

  1. ↑ Format pliku automatycznej konfiguracji proxy Navigatora . W: Netscape Navigator Documentation . Marzec 1996. Zarchiwizowane od oryginału w dniu 7 marca 2007 r. Źródło 10 lutego 2015 r.
  2. ^ Paul Gauthier: Web Proxy Auto-Discovery Protocol (INTERNET-DRAFT) . W: IETF . 28 lipca 1999 r. Źródło 10 lutego 2015 r.
  3. ↑ Chromium # 18575: Platformy inne niż Windows: WPAD (automatyczne wykrywanie proxy) nie testuje DHCP . 5 sierpnia 2009. Źródło 10 lutego 2015.
  4. ↑ Firefox # 356831 - autowykrywanie proxy nie sprawdza DHCP (opcja 252) . 16 października 2006. Źródło 10 lutego 2015.

linki internetowe