TCP/IPスタックのフィンガープリンティング

TCP/IPスタックフィンガープリンティングとは、 TCP/IPスタック実装の特性をリモートで検出することです。検出されたパラメータの組み合わせは、リモートマシンのオペレーティングシステム（ OSフィンガープリンティングとも呼ばれる）を推測するために使用したり、デバイスフィンガープリントに組み込んだりすることができます。

TCPプロトコル定義内の特定のパラメータは、実装に委ねられています。異なるオペレーティングシステム、あるいは同じオペレーティングシステムの異なるバージョンでは、これらの値のデフォルト値が異なります。これらの値を収集して調べることで、さまざまなオペレーティングシステムやTCP/IPの実装を区別することができます。TCP/IPで変動する可能性のあるフィールドには、次のものがあります。

• 初期パケットサイズ（16ビット）
• 初期TTL（8ビット）
• ウィンドウサイズ（16ビット）
• 最大セグメントサイズ（16ビット）
• ウィンドウのスケーリング値（8ビット）
• 「断片化しない」フラグ（1ビット）
• 「sackOK」フラグ（1ビット）
• 「nop」フラグ（1ビット）

これらの値を組み合わせることで、対象マシンの 67 ビット署名、つまり指紋を形成できます。^{[ 1 ]}初期 TTL とウィンドウ サイズ フィールドを調べるだけで、多くの場合、オペレーティングシステムを正常に識別できるため、手動での OS 指紋の特定作業が容易になります。^{[ 2 ]}

指紋認証による攻撃の入り口に対する防御は、防御システムが応答するトラフィックの種類と量を制限することによって実現されます。例としては、送信ICMP制御メッセージトラフィックからのアドレスマスクとタイムスタンプのブロック、およびICMPエコー応答のブロックが挙げられます。セキュリティツールは、潜在的なフィンガープリンティングを警告することができます。つまり、フィンガープリントを検出することで、別のマシンがフィンガープリンティング構成を持っていると照合することができます。^{[ 3 ]}

TCP/IPフィンガープリンティングを禁止することで、特定のオペレーティングシステムを実行しているマシンを標的とする脆弱性スキャナーから保護されます。フィンガープリンティングは攻撃を容易にします。これらのICMPメッセージをブロックすることは、攻撃から完全に保護するために必要な多くの防御策の1つにすぎません。^{[ 4 ]}

ICMPデータグラムをターゲットとする難読化ツールは、インターネット層のIP上で動作し、TCP/IPフィンガープリンティングデータを混乱させる「スクラビングツール」として機能します。これらは、 Microsoft Windows ^{[ 5 ]} 、Linux ^{[ 6 ]}、およびFreeBSD ^{[ 7 ]}に存在します。

TCP/OSフィンガープリンティングツール一覧

• Zardaxt.py ^{[ 8 ]} – パッシブなオープンソースのTCP/IPフィンガープリンティングツール。
• Ettercap – パッシブTCP/IPスタックフィンガープリンティング。
• Nmap – 包括的なアクティブスタックのフィンガープリンティング。
• p0f – 包括的なパッシブTCP/IPスタックフィンガープリンティング。
• NetSleuth – 無料のパッシブフィンガープリンティングおよび分析ツール
• PacketFence ^{[ 9 ]} – パッシブDHCPフィンガープリンティングを備えたオープンソースNAC。
• Satori – パ​​ッシブCDP、DHCP、ICMP、HPSP、HTTP、TCP/IP、およびその他のスタックフィンガープリンティング。
• SinFP – シングルポートアクティブ/パッシブフィンガープリンティング。
• XProbe2 – アクティブなTCP/IPスタックのフィンガープリンティング。
• queso - 1990年代後半からよく知られているツールだが、現代のオペレーティングシステム向けにはもはやアップデートされていない。

• TCP/IPスタックフィンガープリンティングによるリモートOS検出（第2世代）