Заголовок обрывается на полуслове, и тем не менее вы всё отлично поняли. И ведь хватило нескольких букв и контекста, чтобы восстановить недостающее слово. Похожий принцип работает и с зашифрованным трафиком: чтобы делать выводы о происходящем внутри соединения, не всегда нужно видеть содержимое.
Поэтому защищенный шифрованием трафик можно анализировать, не расшифровывая. И начать такой анализ стоит с самой простой характеристики — размера сообщений.
Под катом вы узнаете:
— как определить способ авторизации в SSH без расшифровки данных;
— что может рассказать о сетевом трафике размер его пакетов;
— почему исправление уязвимости, раскрывающей длину пароля, создает точный индикатор способа авторизации.
Итак, поехали!