Het gebruik van Network Address Translation (NAT) maakt bedrijfsnetwerken kwetsbaar voor hackers, aldus beveiligingsonderzoeker Robert "RSnake" Hansen. Het komt erop neer dat niet routeerbare IP-adressen, zoals beschreven in de Internet Engineering Task Force's RFC 1918 standaard, door bedrijven als beveiliging worden gebruikt. Deze IP-adressen hebben daarnaast ook als functie om op het aantal publieke IP-adressen te besparen. Veel ondernemingen gaan ervan uit dat, omdat de adressen niet via het internet toegankelijk zijn, aanvallers er geen misbruik van kunnen maken. De meeste intranet IP-adressen vallen in de 10.* en 192.168.* range. Daardoor komt het aantal waarschijnlijk subnetten neer op 1280 adressen (256 adressen maal 5 subnetten). Dit kan echter voor collisions zorgen waar twee verschillende netwerken vanuit een IP perspectief gelijk lijken. Een aanvaller zou dit kunnen gebruiken om denial of service aanvallen uit te voeren of toegang tot het interne bedrijfsnetwerk te krijgen. Sommige van deze aanvallen gebruiken de mogelijkheid van de browser om IP-adresgegevens in de cache te bewaren. Ook onthult Hansen een lek in de routering van VPN's, waardoor een aanvaller het netwerk van een partner of thuiswerkers kan compromitteren.
Zinloos
Om de aanval te laten slagen is een aantal zaken vereist. Zo moeten de aanvallers de VPNs kunnen vertellen wat te routeren. Als het VPN alleen maar tussen de IP-adressen van de beide partijen routeert, dan neemt de effectiviteit van de aanval snel af. Het zou dan alleen nog werken tegen de IP-adressen die gerouteerd mogen worden. Als oplossing adviseert Hansen bedrijven om geen IP-adressen te gebruiken, maar interne domeinnamen. Een aanvaller moet dan weten hoe de IP-adressen aan de DNS gekoppeld zijn.
Ook het gebruik van SSL/TLS op alle interne apparaten zou voor een "mis-match" zorgen als de aanvaller het JavaScript over HTTPs cachet. Verder is het verwijderen van alle scripting en dynamische content van de browser een mogelijkheid, hoewel Hansen opmerkt dat dit z'n beperkingen heeft. "Het vertrouwen op RFC1918 en de ingebouwde beveiligingsfuncties binnen de browser om gebruikers te beschermen is zinloos. De same origin policy van de browser geldt niet als het IP-adres hetzelfde is, en RFC1918 moet per definitie hetzelfde zijn. RFC1918 is dan ook een slecht alternatief voor IPv6."
bron: security.nl