Diplomarbeit an der Fachhochschule München. Konzeption und Realisierung eines Firewallsystems zur Internet-Intranet Kopplung

Transkript

1 dip Nächste Seite: Inhalt Inhalt Index Diplomarbeit an der Fachhochschule München Konzeption und Realisierung eines Firewallsystems zur Internet-Intranet Kopplung Verfasser: Klaus Bauer Studiengang: Informatik/Technik Matrikelnummer: Studiengruppe: 07IF8T Erstprüfer: Frau Prof Dr U Kirch-Prinz Zweitprüfer: Herr Prof Dr W Marke Ort: CameloT - Frank Bartels Pfälzer-Wald-Str 70 D München Betreuer: Herr Frank Bartels Zeitraum: bis Westerham, den 29 September 1999 Inhalt (1 of 5) [ :15:46]

2 dip Abbildungsverzeichnis Tabellenverzeichnis Einführung Einleitung Ziele dieser Arbeit Warum Sicherheit? Wer sind die Angreifer? Auswirkungen von Systemeinbrüchen Bedrohungen durch das Internet Probleme und Gefahren durch das Internet für das eigene LAN Definitionen und Begriffe Softwarefehler Manipulierter Programmcode - trojanische Pferde Schlecht konfigurierte und administrierte Systeme Schlecht gewählte Passwörter Social Engineering Viren Viren durch Disketten Komplettpakete - vorinstallierte Software Viren aus dem Internet Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Schwachstellen des ICMP-Protokolls - Internet Control Message Protokoll RFC 792 Schwachstellen im TCP-Protokoll - Transmission Control Protokoll RFC 793 Schwachstellen im UDP-Protokoll - User Datagram Protokoll RFC 768 ARP Address Resolution Protokoll RFC 826 Routing Interior Routing Protokolle Exterior Routing Protokolle RPC-Dienste - Remote Procedure Call NFS - Network File System RFC 1094, 1813 NIS - Network Information Service Schwachstellen der Internetdienste Telnet RFC 854 Dateitransfer (2 of 5) [ :15:46]

3 dip Schutzmaßnahmen DNS - Domain Name Service RFC 1034,1035 WWW - World Wide Web SNMP-Protokoll - Simple Network Management Protokoll RFC 1157 NNTP - Network News Transfer Protokoll RFC 977 NTP - Network Time Protokoll RFC 1305 IRC - Internet Relay Chat RFC 1459 UUCP - Unix to Unix Copy X-Windows BSD-UNIX,,r``-Komandos LPD - Printerdaemon Fingerd - fingerdaemon RFC 1196 Maßnahmen zum Schutz vor den Gefahren durch das Internet Erstellung eines Netzwerksicherheitskonzeptes Firewalls Anforderungen Zielsetzung Risikoanalyse Formulierung von Sicherheitsrichtlinien Erstellung eins Implementationsplans Einführung eines Sicherheitsprozesses Funktionsprinzip Definitionen und Begriffe Arten von Firewalls Firewall-Architekturen IP-Protokoll ICMP-Protokoll TCP-Protokoll UDP-Protokoll ARP-Protokoll Routing Protokolle RPC-Dienste TELNET Dateitransfer (3 of 5) [ :15:46]

4 dip DNS World Wide Web (WWW) Archie SNMP NNTP NTP IRC UUCP X-Windows Die,,r``-Kommandos LPD Fingerd Authentisierung Einmal-Paßworte Kryptographie Intrusion Detection Systeme (IDS) Angriffssimulatoren Schutz vor Viren Schutz vor Angriffen von innen Trends und zukünftige Entwicklungen Praxisteil: Entwicklung und Realisation eines Firewallkonzeptes zur Anbindung eines LAN an das Internet Sicherheitskonzept Zielsetzung Risikoanalyse Erstellung der Sicherheitsrichtlinien (Sicherheitspolitik) Auswahl des Betriebssystems Auswahl der Hardware Bastion Host Router Firewall-Architektur Konfiguration des Routers Konfiguration des Bastion-Host Installation des Betriebssystems Konfiguration des Betriebsystems (4 of 5) [ :15:46]

5 dip Schluß Ausblick Schlußbemerkung Literatur Index Über dieses Dokument Klaus Bauer (5 of 5) [ :15:46]

6 Inhalt Nächste Seite: Abbildungsverzeichnis Aufwärts: dip Vorherige Seite: dip Index Inhalt Inhalt Abbildungsverzeichnis Tabellenverzeichnis Einführung Einleitung Ziele dieser Arbeit Warum Sicherheit? Wer sind die Angreifer? Auswirkungen von Systemeinbrüchen Bedrohungen durch das Internet Probleme und Gefahren durch das Internet für das eigene LAN Definitionen und Begriffe Softwarefehler Manipulierter Programmcode - trojanische Pferde Schlecht konfigurierte und administrierte Systeme Schlecht gewählte Passwörter Social Engineering Viren Viren durch Disketten Komplettpakete - vorinstallierte Software Viren aus dem Internet Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Schwachstellen des ICMP-Protokolls - Internet Control Message Protokoll RFC 792 Schwachstellen im TCP-Protokoll - Transmission Control Protokoll RFC 793 Schwachstellen im UDP-Protokoll - User Datagram Protokoll RFC 768 ARP Address Resolution Protokoll RFC 826 Routing Interior Routing Protokolle (1 of 4) [ :15:49]

7 Inhalt Exterior Routing Protokolle RPC-Dienste - Remote Procedure Call NFS - Network File System RFC 1094, 1813 NIS - Network Information Service Schwachstellen der Internetdienste Schutzmaßnahmen Telnet RFC 854 Dateitransfer DNS - Domain Name Service RFC 1034,1035 WWW - World Wide Web SNMP-Protokoll - Simple Network Management Protokoll RFC 1157 NNTP - Network News Transfer Protokoll RFC 977 NTP - Network Time Protokoll RFC 1305 IRC - Internet Relay Chat RFC 1459 UUCP - Unix to Unix Copy X-Windows BSD-UNIX,,r``-Komandos LPD - Printerdaemon Fingerd - fingerdaemon RFC 1196 Maßnahmen zum Schutz vor den Gefahren durch das Internet Erstellung eines Netzwerksicherheitskonzeptes Firewalls Anforderungen Zielsetzung Risikoanalyse Formulierung von Sicherheitsrichtlinien Erstellung eins Implementationsplans Einführung eines Sicherheitsprozesses Funktionsprinzip Definitionen und Begriffe Arten von Firewalls Firewall-Architekturen IP-Protokoll ICMP-Protokoll (2 of 4) [ :15:49]

8 Inhalt TCP-Protokoll UDP-Protokoll ARP-Protokoll Routing Protokolle RPC-Dienste TELNET Dateitransfer DNS World Wide Web (WWW) Archie SNMP NNTP NTP IRC UUCP X-Windows Die,,r``-Kommandos LPD Fingerd Authentisierung Einmal-Paßworte Kryptographie Intrusion Detection Systeme (IDS) Angriffssimulatoren Schutz vor Viren Schutz vor Angriffen von innen Trends und zukünftige Entwicklungen Praxisteil: Entwicklung und Realisation eines Firewallkonzeptes zur Anbindung eines LAN an das Internet Sicherheitskonzept Zielsetzung Risikoanalyse Erstellung der Sicherheitsrichtlinien (Sicherheitspolitik) Auswahl des Betriebssystems Auswahl der Hardware (3 of 4) [ :15:49]

9 Inhalt Literatur Index Schluß Bastion Host Router Firewall-Architektur Konfiguration des Routers Konfiguration des Bastion-Host Installation des Betriebssystems Konfiguration des Betriebsystems Ausblick Schlußbemerkung Klaus Bauer (4 of 4) [ :15:49]

10 Abbildungsverzeichnis Nächste Seite: Tabellenverzeichnis Aufwärts: dip Vorherige Seite: Inhalt Inhalt Index Abbildungsverzeichnis Anzahl Hosts im Internet, Quelle [RIPE] Anzahl sicherheitsrelevanter Vorfälle, Quelle: [CERT-1] Wahrnung von AOL an seine User, Quelle: [CT-3/99] Der TCP/IP-Protokollstack Ein IP-Datagramm IP-Adreßformate ICMP-Nachrichtenformat Aufbau des TCP-Headers TCP-Sitzung, Quelle: [FSI-96] UDP-Header Active-mode FTP Verbindung, Quelle: [BIF-96] Passive-mode FTP Verbindung, Quelle: [BIF-96] FTP-PORT-Angriff Struktur einer DNS-Anfrage, Quelle: [Black-95] Rechner mit Internetanschluß, Quelle: wwwnwcom/zone/hostsgif Auswirkungen von rhosts-einträgen Sicherheitsprozß Eine Firewall trennt das LAN vom Internet Prinzip von Proxy-Verbindungen, Quelle: [BIF-96] S 62 Dual-Homed Host Architektur, Quelle [BIF-96] S 64 Screened Host Architektur, Quelle [BIF-96] S 65 Screened Subnet Architektur (mit zwei Routern), Quelle: [BIF-96], S 68 Hauptkonfigurationsmenu des BinGO-ISDN Routers Das WAN-Partner Konfigurationsmenu WAN-Partner PPP-Konfigurationsmenu NAT-Konfiguration Konfiguration von IP Access Filtern Automatische Proxykonfiguration beim Netscape Communicator (1 of 2) [ :15:52]

11 Abbildungsverzeichnis Klaus Bauer (2 of 2) [ :15:52]

12 Tabellenverzeichnis Nächste Seite: Einführung Aufwärts: dip Vorherige Seite: Abbildungsverzeichnis Inhalt Index Tabellenverzeichnis Motivationen der Angreifer Bedeutung des Code-Feldes bei Destination unreachable Bedeutung des Code-Feldes bei Redirect Parameter zur Identifikation einer TCP-Verbindung Portmapper-Tabelle, Quelle: [FSI-96],S 41 Inhalt eines DNS-Resource-Records Die r-befehle Umgang mit ICMP-Meldungen, Quelle [BIF-96] S 305 RIP-Filterregeln, Quelle: [BIF-96] S 300 SMTP-Filterregeln, Quelle: [BIF-96] S 215 POP-Filterregeln, Quelle: [BIF-96] S 219 Telnet-Filterregeln, Quelle: [BIF-96] S 239 TFTP-Filterregeln, Quelle: [BIF-96] S 235 FTP-Filterregeln, Quelle: [BIF-96] S 226 DNS-Filterregeln, Quelle: [BIF-96] S 281 Gopher-Filterregeln, Quelle: [BIF-96] S 261 WAIS-Filterregeln, Quelle: [BIF-96] S 261 Archie-Filterregeln, Quelle: [BIF-96] S 264 Http-Filterregeln, Quelle: [BIF-96] S 253 Nntp-Filterregeln, Quelle: [BIF-96] S 246 Ntp-Filterregeln, Quelle: [BIF-96] S 307 UUCP-Filterregeln, Quelle: [BIF-96] S 237 X11-Filterregeln, Quelle: [BIF-96] S 316 Fingerd-Filterregeln, Quelle: [BIF-96] S 268 Challenge Response-Kombinationen Klaus Bauer [ :15:53]

13 Einführung Nächste Seite: Einleitung Aufwärts: dip Vorherige Seite: Tabellenverzeichnis Inhalt Index Einführung Unterabschnitte Einleitung Ziele dieser Arbeit Warum Sicherheit? Wer sind die Angreifer? Auswirkungen von Systemeinbrüchen Klaus Bauer [ :15:54]

14 Einleitung Nächste Seite: Ziele dieser Arbeit Aufwärts: Einführung Vorherige Seite: Einführung Inhalt Index Einleitung Ich arbeite seit Februar '97 bei dem Internetprovider CameloT in Germering CameloT bietet Internetanschluß für Privat- und Firmenkunden an Häufig bekommen wir Anfragen von Unternehmen, die ihr besthendes LAN an das Internet anbinden möchten Durch die Anbindung eines Firmennetzwerkes an das Internet ergeben sich viele Vorteile aber auch Gefahren für die Sicherheit des Firmen-LAN Aus diesem Grund haben wir uns dazu entschlossen, ein Produkt zu entwickeln das einen sicheren und kostengünstigen Anschluß von kleinen bis mittleren Firmennetzwerken an das weltweite Datennetz ermöglicht Das Produkt ist ein PC mit eingebautem ISDN-Router, der die Nutzung des Internet von jedem Arbeitsplatzrechner im LAN ermöglicht Zur Entwicklung des Systems wurden alle gängigen Internetdienste und Protokolle auf ihre Schwachstellen in Bezug auf Sicherheit untersucht Im nächsten Schritt wurden für die betrachteten Dienste und Protokolle Sicherheitsmaßnahmen erarbeitet, auf deren Grundlage ein Firewallkonzept entwickelt wurde In der Grundkonfiguration werden durch das System die Dienste , WWW und SSH angeboten Weitere Dienste, zb Printserver, DHCP-Server, Fileserver usw können bei Bedarf zusätzlich bereitgestellt werden Diese Arbeit behandelt den Sicherheitsaspekt des Produktes Unterabschnitte Ziele dieser Arbeit Warum Sicherheit? Wer sind die Angreifer? Auswirkungen von Systemeinbrüchen Nächste Seite: Ziele dieser Arbeit Aufwärts: Einführung Vorherige Seite: Einführung Inhalt Index Klaus Bauer [ :15:55]

15 Index Nächste Seite: Über dieses Dokument Aufwärts: dip Vorherige Seite: Literatur Inhalt Index Angriffe von innen Schutz vor Angriffen von Angriffssimulatoren Angriffssimulatoren ARP ARP Address Resolution Protokoll ARP-Protokoll Authentisierung Authentisierung Einmal-Paßworte Einmal-Paßworte Challenge-Response Einmal-Paßworte Chipkarten Einmal-Paßworte S/Key Einmal-Paßworte Smart Card Einmal-Paßworte starke Authentisierung Basion Host Aufbau Aufbau eines Bastion Host Bastion Host Konfiguration Konfiguration des Bastion-Host Betriebssystem FreeBSD Auswahl des Betriebssystems Linux Auswahl des Betriebssystems (1 of 11) [ :16:01]

16 Index BSD-r-Kommandos Die,,r``-Kommandos Gefahren BSD-UNIX,,r``-Komandos Client Definitionen und Begriffe Dateitransfer Dateitransfer Dateitransfer FSP FTP FSP - File Service FSP FTP TFTP TFTP Gefahren FTP - File Transfer Gefahren TFTP - Trivial File Denial-of-Service Definitionen und Begriffe DNS DNS Konfiguration DNS Konfiguration des DNS-Systems Schwachstellen DNS - Domain Name Gefahren ausführbarer Code MIME-Extensions - Multipurpose Internet MIME MIME-Extensions - Multipurpose Internet POP SMTP POP - Postoffice Protokoll (2 of 11) [ :16:01]

17 Index Konfiguration SMTP-Protokoll SMTP-Protokoll - Simple Mail MIME MIME-Extensions POP POP-Protokoll qmail Konfiguration Konfiguration des Mail-Systems SMTP SMTP-Protokoll Finger Fingerd Gefahren Fingerd - fingerdaemon RFC Firewall Firewalls Access router see Exterior Router Architekturen Firewall-Architekturen Dual-Homed Dual-Homed Host Architektur Screened Host Screened Host Architektur Screened Subnet Screened Subnet Architektur Varianten Mischformen Arten Arten von Firewalls ip-aliasing Arten von Firewalls ip-masquarading Arten von Firewalls NAT (3 of 11) [ :16:01]

18 Index Arten von Firewalls Paketfilter Arten von Firewalls Proxy Arten von Firewalls Bastion Host Definitionen und Begriffe Choke router see Interior Router DMZ Funktionsprinzip Dual-homed Host Definitionen und Begriffe Exterior Router Definitionen und Begriffe Funktionsprinzip Funktionsprinzip Grenznetz see Perimeter network Interior Router Definitionen und Begriffe Packet Filtering Definitionen und Begriffe Perimeter network Definitionen und Begriffe Proxy Server Definitionen und Begriffe Screened Host Firewall-Architektur Screened Subnet Firewall-Architektur Screens Funktionsprinzip Gateway Definitionen und Begriffe Hacker Definitionen und Begriffe (4 of 11) [ :16:01]

19 Index Host Definitionen und Begriffe ICMP Angriffe Schwachstellen des ICMP-Protokolls - IDS Schutzmaßnahmen ICMP-Protokoll Schwachstellen Schwachstellen des ICMP-Protokolls - Intrusion Detection Systeme (IDS) Internet Protokoll Angriffsmethoden Schwachstellen des IP-Protokolls - Aufgaben Schwachstellen des IP-Protokolls - Schutzmaßnahmen IP-Protokoll Schwachstellen Schwachstellen des IP-Protokolls - TCP/IP-Protokollstack Schwachstellen des IP-Protokolls - Version 4 Schwachstellen des IP-Protokolls - Internet Worm Softwarefehler IP-Spoofing Definitionen und Begriffe Schwachstellen des IP-Protokolls - IRC IRC Gefahren IRC - Internet Relay Kryptographie Kryptographie LPD Kerberos Kryptographie (5 of 11) [ :16:01]

20 Index LPD Gefahren LPD - Printerdaemon Mail see NNTP NNTP NTP Gefahren NNTP - Network News NTP Gefahren NTP - Network Time Packet-Sniffing Definitionen und Begriffe Paketfilter dynamische Arten von Firewalls statische Arten von Firewalls Playback-Attack Definitionen und Begriffe Proxy Applikation-Proxy Arten von Firewalls RFC automatische Konfiguration Konfiguration des HTTP-Proxy Ciruit-Proxy Arten von Firewalls squid Konfiguration des HTTP-Proxy Schwachstellen des IP-Protokolls - Risikoanalyse detaillierte Risikoanalyse Grundschutzansatz (6 of 11) [ :16:01]

21 Index Risikoanalyse Router Definitionen und Begriffe BinGO -PC Router Konfiguration Konfiguration des Routers Routing Routing Routing Protokolle RPC BGP EGP BGP Border-Gateway-Protokoll RFC 1771 BGP-Protokoll Angriffe BGP Border-Gateway-Protokoll RFC 1771 EGP - Exterior Gateway OSFP OSFP-Protokoll OSPF OSPF Open Shortest Path RIP Angriffe OSPF Open Shortest Path RIP Version 2 Routing-Information-Protokoll RIP-Protokoll Angriffe RIP Version 2 Routing-Information-Protokoll RPC-Dienste NFS NIS NFS NIS Schwachstellen RPC-Dienste - Remote Procedure NFS NIS NFS - Network File (7 of 11) [ :16:01]

22 Index NIS - Network Information Secure Shell Konfiguration Konfiguration von SSH Server Definitionen und Begriffe Sicherheitskonzept Erstellung eines Netzwerksicherheitskonzeptes CIA Anforderungen Implementationsplan Erstellung eins Implementationsplans Risikoanalyse Risikoanalyse Sicherheisprozeß Einführung eines Sicherheitsprozesses Sicherheitsrichtlinien Formulierung von Sicherheitsrichtlinien Zielsetzung Zielsetzung SNMP SNMP Gefahren SNMP-Protokoll - Simple Network Social Engineering Social Engineering TCP Angriffe Schwachstellen im TCP-Protokoll - Schutzmaßnahmen TCP-Protokoll Schwachstellen Schwachstellen im TCP-Protokoll - Telnet TELNET Gefahren Telnet RFC (8 of 11) [ :16:01]

23 Index Tripwire Konfiguration Konfiguration von Tripwire Trojaner Manipulierter Programmcode - trojanische UDP Angriffe Schwachstellen im UDP-Protokoll - Schutzmaßnahmen UDP-Protokoll Schwachstellen Schwachstellen im UDP-Protokoll - UUCP UUCP Gefahren UUCP - Unix to Viren Schutz Schutz vor Viren Virus Viren Webserver apache Konfiguration Konfiguration des Webserver WWW WWW - World Wide World Wide Web (WWW) ActiveX ActiveX Gefahren HTTP - Hyper Text ActiveX Archie Archie CGI Gefahren Archie Gefahren (9 of 11) [ :16:01]

24 Index Cookies Cookies HTTP - Hyper Text Gefahren Cookies Download Gefahren HTTP - Hyper Text fehlerhafte Software HTTP - Hyper Text Gopher Gopher Gefahren GOPHER RFC 1436 HTTP HTTP Java Gefahren HTTP - Hyper Text Java Gefahren HTTP - Hyper Text Java MIME Gefahren HTTP - Hyper Text S-HTTP S-HTTP Wais Gefahren S-HTTP - Secure Hyper WAIS X-Windows X-Windows Gefahren WAIS - Wide Area Gefahren X-Windows (10 of 11) [ :16:01]

25 Index Klaus Bauer (11 of 11) [ :16:01]

26 Ziele dieser Arbeit Nächste Seite: Warum Sicherheit? Aufwärts: Einleitung Vorherige Seite: Einleitung Inhalt Index Ziele dieser Arbeit Nach dieser Einführung werde ich die Probleme und Gefahren, die eine Internetanbindung mit sich bringt, aufzeigen und erläutern Anschließend werde ich Maßnahmen zum Schutz des eigenen LAN vor diesen Bedrohungen vorstellen Im Besonderen werde ich dabei auf Firewalls eingehen Der nächste Abschnitt zeigt, wie man die Erkenntnisse aus den vorhergehenden Teilen in der Praxis anwendet, um ein LAN sicher an das Internet anschließen zu können Klaus Bauer [ :16:02]

27 Warum Sicherheit? Nächste Seite: Wer sind die Angreifer? Aufwärts: Einleitung Vorherige Seite: Ziele dieser Arbeit Inhalt Index Warum Sicherheit? Die Anzahl der Hosts mit Internetanschluß ist in den letzten Jahren stark angestiegen, wie Abbildung 11 zeigt Abbildung 11: Anzahl Hosts im Internet, Quelle [RIPE] Damit nimmt natürlich auch die Zahl der Internetbenutzer zu und damit auch die Zahl der potentiellen Angreifer Dies belegt Abbildung 12 (1 of 2) [ :16:05]

28 Warum Sicherheit? Abbildung 12: Anzahl sicherheitsrelevanter Vorfälle, Quelle: [CERT-1] Jedes Unternehmen, das ein EDV-System einsetzt, ist in der Regel darauf angewiesen, daß dieses reibungslos funktioniert Ein Ausfall des Systems, verursacht durch Sicherheitsprobleme bei der Internetanbindung, bedeutet meistens einen hohen finanzellen Schaden Deshalb ist es wichtig, sich mit dem Thema,,Sicherheit im Internet`` auseinanderzusetzen Klaus Bauer (2 of 2) [ :16:05]

29 Wer sind die Angreifer? Nächste Seite: Auswirkungen von Systemeinbrüchen Aufwärts: Einleitung Vorherige Seite: Warum Sicherheit? Inhalt Index Wer sind die Angreifer? Das Spektrum der möglichen Angreifer umfaßt im wesentlichen folgende Personengruppen: Firmenangehörige Personen aus dem Universitäts- und Schulumfeld Personen aus dem Konkurrenz/Wettbewerbs-Umfeld Hacker aus der Computer-Untergrundszene professionelle Hacker/Industriespione Bemerkenswert ist die Tatsache, daß die meisten Angriffe nicht von außen erfolgen, sondern durch die eigenen Mitarbeiter (oder ehemalige) durchgeführt oder zumindest ermöglicht werden Russell und Gangemi schreiben in [RuG91], daß schätzungsweise 80% aller Angriffe von Mitarbeitern durchgeführt werden Die verschiedenen Motivationen der Angreifer sind in Tabelle 11 aufgeführt Personengruppe Firmenangehörige Tabelle 11: Motivationen der Angreifer Personen aus dem Universitäts- und Schulumfeld Personen aus dem Konkurrenz/Wettbewerbs-Umfeld Hacker aus der Computer-Untergrundszene professionelle Hacker/Industriespione Motivation finanzielle Interessen, persönliche Gründe (zb Rache) Selbstbestätigung, Neugier, Spieltrieb erlangen eines Wettbewerbsvorteils, finanzielle Interessen Erweiterung der persönlichen Kenntnisse, sportlicher Wettkampf mit anderen Hackern, politische Gründe finanzielle Interessen (1 of 2) [ :16:06]

30 Wer sind die Angreifer? Nächste Seite: Auswirkungen von Systemeinbrüchen Aufwärts: Einleitung Vorherige Seite: Warum Sicherheit? Inhalt Index Klaus Bauer (2 of 2) [ :16:06]

31 Auswirkungen von Systemeinbrüchen Nächste Seite: Bedrohungen durch das Internet Aufwärts: Einleitung Vorherige Seite: Wer sind die Angreifer? Inhalt Index Auswirkungen von Systemeinbrüchen Nach einem erfolgreichen Angriff auf ein Computersystem ist mit folgenden Konsequenzen zu rechnen: Imageverlust Ein Eindringling kann weitreichenden Schaden anrichten indem er im Internet unter der Identität eines anderen Systemes oder Organisation auftritt Ein Angreifer könnte zb weitere Angriffe durchführen oder bösartige s versenden Vertraulichkeitsverlust Vertrauliche Daten könnten in falsche Hände gelangen, zb in die der Konkurrenz Datenverlust-manipulation Manche Angreifer machen es sich zum Ziel, Daten zu löschen oder zu manipulieren Eingeschränkte Verfügbarkeit Der Zugriff auf Daten kann verhindert werden oder nur noch eingeschränkt möglich sein Zeit- und Geldverlust Durch einen erfolgreichen Angriff einsteht auf jeden Fall für das betroffene Unternehmen ein finanzieller Verlust Die Systemadministratoren müssen nach Schäden suchen und diese wieder beheben Das kostet idr sehr viel Zeit und damit auch Geld Klaus Bauer [ :16:07]

32 Bedrohungen durch das Internet Nächste Seite: Probleme und Gefahren durch Aufwärts: dip Vorherige Seite: Auswirkungen von Systemeinbrüchen Inhalt Index Bedrohungen durch das Internet Unterabschnitte Probleme und Gefahren durch das Internet für das eigene LAN Definitionen und Begriffe Softwarefehler Manipulierter Programmcode - trojanische Pferde Schlecht konfigurierte und administrierte Systeme Schlecht gewählte Passwörter Social Engineering Viren Viren durch Disketten Komplettpakete - vorinstallierte Software Viren aus dem Internet Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Schwachstellen des ICMP-Protokolls - Internet Control Message Protokoll RFC 792 Schwachstellen im TCP-Protokoll - Transmission Control Protokoll RFC 793 Schwachstellen im UDP-Protokoll - User Datagram Protokoll RFC 768 ARP Address Resolution Protokoll RFC 826 Routing Interior Routing Protokolle RIP Version 2 Routing-Information-Protokoll RFC 1723 OSPF Open Shortest Path First RFC 2178 Exterior Routing Protokolle EGP - Exterior Gateway Protokoll BGP Border-Gateway-Protokoll RFC 1771 RPC-Dienste - Remote Procedure Call NFS - Network File System RFC 1094, 1813 NIS - Network Information Service Schwachstellen der Internetdienste (1 of 2) [ :16:10]

33 Bedrohungen durch das Internet SMTP-Protokoll - Simple Mail Transfer Protokoll RFC 821 MIME-Extensions - Multipurpose Internet Mail Extensions RFC 1521 POP - Postoffice Protokoll RFC 1725 Telnet RFC 854 Dateitransfer TFTP - Trivial File Transfer Protokoll RFC 1350 FTP - File Transfer Protokoll RFC 959 FSP - File Service Protokoll DNS - Domain Name Service RFC 1034,1035 WWW - World Wide Web GOPHER RFC 1436 WAIS - Wide Area Information Servers Archie HTTP - Hyper Text Transfer Protokoll RFC 2616 S-HTTP - Secure Hyper Text Transfer Protokoll Cookies ActiveX Java SNMP-Protokoll - Simple Network Management Protokoll RFC 1157 NNTP - Network News Transfer Protokoll RFC 977 NTP - Network Time Protokoll RFC 1305 IRC - Internet Relay Chat RFC 1459 UUCP - Unix to Unix Copy X-Windows BSD-UNIX,,r``-Komandos LPD - Printerdaemon Fingerd - fingerdaemon RFC 1196 Klaus Bauer (2 of 2) [ :16:10]

34 Probleme und Gefahren durch das Internet für das eigene LAN Nächste Seite: Definitionen und Begriffe Aufwärts: Bedrohungen durch das Internet Vorherige Seite: Bedrohungen durch das Internet Inhalt Index Probleme und Gefahren durch das Internet für das eigene LAN Das Internet ist ein weltweiter Zusammenschluß von Computernetzwerken, die alle das TCP/IP (Transmission Control Protocol/Internet Protocol) als gemeinsames Protokoll zur Kommunikation nutzen Der Aufbau des Internets wurde nicht auf Sicherheit ausgelegt, sondern vielmehr darauf, daß Informationen zwischen den verschieden Teilnetzwerken zuverlässig ausgetauscht werden konnten Daraus ergeben sich vielfältige Gefahren für das eigene Netzwerk Unterabschnitte Definitionen und Begriffe Softwarefehler Manipulierter Programmcode - trojanische Pferde Schlecht konfigurierte und administrierte Systeme Schlecht gewählte Passwörter Social Engineering Viren Viren durch Disketten Komplettpakete - vorinstallierte Software Viren aus dem Internet Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Schwachstellen des ICMP-Protokolls - Internet Control Message Protokoll RFC 792 Schwachstellen im TCP-Protokoll - Transmission Control Protokoll RFC 793 Schwachstellen im UDP-Protokoll - User Datagram Protokoll RFC 768 ARP Address Resolution Protokoll RFC 826 Routing Interior Routing Protokolle RIP Version 2 Routing-Information-Protokoll RFC 1723 OSPF Open Shortest Path First RFC 2178 Exterior Routing Protokolle EGP - Exterior Gateway Protokoll (1 of 2) [ :16:12]

35 Probleme und Gefahren durch das Internet für das eigene LAN BGP Border-Gateway-Protokoll RFC 1771 RPC-Dienste - Remote Procedure Call NFS - Network File System RFC 1094, 1813 NIS - Network Information Service Schwachstellen der Internetdienste SMTP-Protokoll - Simple Mail Transfer Protokoll RFC 821 MIME-Extensions - Multipurpose Internet Mail Extensions RFC 1521 POP - Postoffice Protokoll RFC 1725 Telnet RFC 854 Dateitransfer TFTP - Trivial File Transfer Protokoll RFC 1350 FTP - File Transfer Protokoll RFC 959 FSP - File Service Protokoll DNS - Domain Name Service RFC 1034,1035 WWW - World Wide Web GOPHER RFC 1436 WAIS - Wide Area Information Servers Archie HTTP - Hyper Text Transfer Protokoll RFC 2616 S-HTTP - Secure Hyper Text Transfer Protokoll Cookies ActiveX Java SNMP-Protokoll - Simple Network Management Protokoll RFC 1157 NNTP - Network News Transfer Protokoll RFC 977 NTP - Network Time Protokoll RFC 1305 IRC - Internet Relay Chat RFC 1459 UUCP - Unix to Unix Copy X-Windows BSD-UNIX,,r``-Komandos LPD - Printerdaemon Fingerd - fingerdaemon RFC 1196 Klaus Bauer (2 of 2) [ :16:12]

36 Definitionen und Begriffe Nächste Seite: Softwarefehler Aufwärts: Probleme und Gefahren durch Vorherige Seite: Probleme und Gefahren durch Inhalt Index Definitionen und Begriffe Bevor auf die einzelnen Gefahren eingegangen werden kann, müssen noch folgende häufig vorkommende Begriffe und Definitionen beschrieben werden: Gateway Unter einem Gateway versteht man die Hard- und Software, um verschiedene Netze miteinander zu verbinden oder an andere Netze durch Protokollumsetzung anzuschließen Ein Gateway hat die Aufgabe, Nachrichten von einem Rechnernetz in ein anderes zu übermitteln, wofür vor allem die Übersetzung der Kommunikationsprotokolle notwendig ist; es kann also auch als eine Art Protokollkonverter betrachtet werden Ein Gateway wird durch einen speziell dafür eingesetzten Rechner realisiert Dies bezieht sich auch auf die Verknüpfung von nicht-normkonformen Netzen wie ISDN, SNA, DECnet usw Quelle: [LdD-V70] Router Router verbinden Subnetze auf der Vermittlungsschicht des OSI-Referenzmodells Man unterscheidet zwischen Einzelprotokoll-Routern, Multiprotokoll-Routern und hybriden Routern Einzelprotokoll-Router (Single Protocol Router): Der Einzelprotokoll-Router verbindet LAN -Subnetze auf der Basis eines einzelnen LAN-Protokolls Die Verbindung kann eine LAN-LAN-Verbindung oder eine LAN-WAN -Verbindung, meistens über X25, teilweise auch X21 sein Das klassische Beispiel für einen Einzelprotokoll-Router ist ein X25-Vermittlungsknoten, da ja das Routing seinen Ursprung vermutlich mehr im Weitverkehrsbereich als im LAN-Bereich hat Multiprotokoll-Router sind in der Lage, mehrere Protokolle parallel zu handhaben Da die Schicht 3 für alle aktuell etablierten Industriestandards unterschiedlich ist, ist die Router-Kopplung hinsichtlich der höheren Schichten protokollabhängig, dh, ein Router muß alle Protokolle verstehen, die er bearbeiten soll Über verschiedene Protokoll-Stacks (Implementierung mehrerer Schicht-3-Protokolle), die in einem Gerät implementiert sind, werden verschiedene logische Netzwerke jeweils untereinander verbunden Quelle: [LdD-V70] Host Als Host wird in dieser Arbeit ein Computer mit Netzwerkanschluß bezeichnet Client Der Begriff Client wird in dieser Arbeit entweder für Programme verwendet, die mit einem zugehörigen Server-Programm kommunizieren oder aber für Arbeitsplatzrechner, die mit Server-Rechnern kommunizieren Server Der Begriff Server wird für Programme, die einen Dienst anbieten (zb Mailserver), oder zur Bezeichnung von Rechnern, die anderen Computern Dienste anbieten, verwendet (1 of 2) [ :16:13]

37 Definitionen und Begriffe IP-Spoofing Unter IP-Spoofing versteht man das Fälschen von IP-Pakten Denial-of-Service Mit denial-of-service meint man das Lahmlegen eines Dienstes, zb DNS durch gezielte Angriffe, so daß der betroffene Dienst keine Anfragen mehr beantworten kann Packet-Sniffing Packet-sniffing bedeutet, daß der Datenverkehr abgehört wird Playback-Attack Bei diesem Angriff werden zuvor erspähte Datenpakete zu einem späteren Zeitpunkt nochmal versendet Hacker Der Begriff Hacker wird hier für Personen verwendet, die sich unerlaubt Zugang zu Computernetzwerken verschaffen Nächste Seite: Softwarefehler Aufwärts: Probleme und Gefahren durch Vorherige Seite: Probleme und Gefahren durch Inhalt Index Klaus Bauer (2 of 2) [ :16:13]

38 Softwarefehler Nächste Seite: Manipulierter Programmcode - trojanische Aufwärts: Probleme und Gefahren durch Vorherige Seite: Definitionen und Begriffe Inhalt Index Softwarefehler Das Schreiben korrekter Software scheint für die Informatik ein unlösbares Problem darzustellen[fsi-96] Fehler in Programmen haben in der Vergangenheit häufig zu Einbrüchen in Computersysteme geführt oder zumindest einen Ausfall einzelner Rechner bewirkt Eine der wohl spektakulärsten und bekanntesten Attacken war der Internet Worm, der in wenigen Stunden mehrere tausend Systeme lahmlegte Der Internet Worm nutzte einen Fehler in der ANSI C Library Funktion gets() aus Für weitere Informationen zum Internet Worm siehe [worm] Ein anderes sehr bekanntes Beispiel für schwerwiegende Sicherheitslücken aufgrund von Fehlern in der Implementation ist das in der UNIX-Welt weitverbreitete Mailprogramm sendmail Aber auch alle anderen Betriebssysteme enthalten fehlerhafte Software Windows95 konnte zb mit einem Programm Namens WinNuke zum Absturz gebracht werden Dabei wurde ein Fehler in der Implementierung der TCP/IP-Software ausgenutzt Ein aktuelles Beispiel: Mit der Version 5 des InternetExplorers von Microsoft ist es für den Betreiber einer Website möglich, eine Datei auf dem Rechner eines Besuchers der Site auszuspähen, deren Name allerdings bekannt sein muß[ct-8/99] Nächste Seite: Manipulierter Programmcode - trojanische Aufwärts: Probleme und Gefahren durch Vorherige Seite: Definitionen und Begriffe Inhalt Index Klaus Bauer [ :16:18]

39 Manipulierter Programmcode - trojanische Pferde Nächste Seite: Schlecht konfigurierte und administrierte Aufwärts: Probleme und Gefahren durch Vorherige Seite: Softwarefehler Inhalt Index Manipulierter Programmcode - trojanische Pferde Ein,,Trojanisches Pferd`` ist ein offensichtlich nützliches Programm, das versteckte Funktionen enthält, die Sicherheitsbedrohungen für das System darstellen Ein,,Trojanisches Pferd`` führt Aktionen aus, die der Anwender nicht beabsichtigt hat[ca-9902] Oft verwenden Angreifer diese Methode, um sich Zutritt zu einem System zu verschaffen Die manipulierten Programme werden dann auf dem Zielsystem hinterlegt oder im Internet zum Download angeboten Das CERT Coordination Center schreibt in seinem Bericht [ca-9902], daß die Zahl der Angriffe durch Trojanische Pferde Anfang 1999 angestiegen sei Startet ein Anwender ein derartig manipuliertes Programm, beginnt es seine versteckten Funktionen auszuführen Zu den Aktionen, die von Trojanern ausgelöst werden, zählen: Löschen von Files Übermitteln von Files an den Autor des Trojaners Verändern von Files Installieren von Programmen,Viren oder weiteren Trojanern Aufzeichnen von Passworteingaben Durchführen von weiteren Sicherheitsangriffen, zb, um unter Unix Root-Rechte zu erlangen Klaus Bauer [ :16:19]

40 Schlecht konfigurierte und administrierte Systeme Nächste Seite: Schlecht gewählte Passwörter Aufwärts: Probleme und Gefahren durch Vorherige Seite: Manipulierter Programmcode - trojanische Inhalt Index Schlecht konfigurierte und administrierte Systeme Bei der Installation und Konfiguration von Betriebssystemen werden häufig die Standardeinstellungen verwendet Dadurch macht man es Angreifern sehr leicht, in ein solches System einzubrechen, da die Voreinstellungen oft sehr viele bekannte Sicherheitslücken beinhalten Bei einer Standardinstallation werden häufig Gastzugänge angelegt, bei manchen Systemen sogar ohne Passwort Aber selbst wenn ein Passwort vergeben wurde, kann man meist in der Dokumentation zu dem System nachlesen, welche Accounts mit welchen Passwörtern standardmäßig angelegt werden Oft werden per Voreinstellung alle möglichen Internetdienste mitinstalliert, wie zb tftp (ein sehr gefährlicher Dienst, siehe Abschnitt 21531) Eine weitere Gefahrenquelle ist die Installation veralteter Versionen von Programmen mit bekannten Sicherheitslücken Durch falsche Konfiguration von Softwarepaketen (ftp-server, web-server) können ebenfalls Sicherheitslöcher entstehen Fehlerhafte oder schlampige Systemadministration kann die Sicherheit eines Systems ebenfalls erheblich beeinträchtigen Klaus Bauer [ :16:20]

41 Schlecht gewählte Passwörter Nächste Seite: Social Engineering Aufwärts: Probleme und Gefahren durch Vorherige Seite: Schlecht konfigurierte und administrierte Inhalt Index Schlecht gewählte Passwörter Die besten Sicherheitstvorkehrungen helfen nichts, wenn es einem Angreifer gelingt, in den Besitz der Passwortdatei eines Systems zu gelangen Der Grund dafür ist, daß in einer solchen Datei mit nahezu 100%iger Sicherheit sehr leicht zu entschlüsselnde Passwörter enthalten sind Im Internet gibt es genügend Programme (zb crack), die man dafür verwenden kann Wenn ein Angreifer ersteinmal Zugang zu einem System hat, ist es nur noch eine Frage der Zeit, bis er auch den Administrator-Account,,gehackt`` hat Aber auch ohne im Besitz der Passwortdatei zu sein, ist es möglich, in ein System einzudringen, wenn die Passwörter schlecht gewählt wurden Schlechte Passwörter stellen eine große Gefahr für die Sicherheit eines Systemes dar Nur allzu oft Verwenden Benutzer als Passwort Wörter, die etwas mit Ihrer Person zu tun haben (Vorname, Geburtsdatum usw) Verfügt ein Angreifer über solche Informationen, hat er gute Chancen diesen Account durch einfaches Ausprobieren zu kompromitieren Klaus Bauer [ :16:21]

42 Social Engineering Nächste Seite: Viren Aufwärts: Probleme und Gefahren durch Vorherige Seite: Schlecht gewählte Passwörter Inhalt Index Social Engineering Unter,,Social Engineering`` versteht man das Sammeln von Informationen durch das Vortäuschen falscher Tatsachen Dies kann auf verschiedenste Art und Weise geschehen Am häufigsten geschieht dies wohl per Dazu schreibt ein Angreifer eine an die Benutzer eines Systems, in der er sich als Administrator ausgibt und die User zu bestimmten Handlungen auffordert, zb ihr Passwort auf einen bestimmten Wert zu setzen oder ein bestimmtes Programm zu starten (Trojaner? siehe Abschnitt 23) Das dies eine reale Bedrohung darstellt, zeigt Abbildung 21 Abbildung 21: Wahrnung von AOL an seine User, Quelle: [CT-3/99] Eine andere Methode, an Accountdaten zu gelangen, ist ebenfalls sehr vielversprechend: Per Telefon ruft der Angreifer User an und gibt sich als Systemverwalter aus Mit etwas Geschick ist es meist kein Problem, dem Benutzer vertrauliche Informationen zu entlocken Dies müssen nicht unbedingt Passwörter sein, einem Angreifer können auch Informationen über das Firmennetzwerk selbst sehr hilfreich sein, zb verwendete Betriebssysteme, Internetdienste, Hardware oder IP-Adressen, um nur einige relevante Parameter zu nennen Mit diesem Wissen kann man dann andere Angriffsmethoden anwenden und der Angerufene wird niemals auf die Idee kommen, daß die Herausgabe seiner Informationen zu einem Angriff auf das Firmen-LAN geführt haben Diese Methode mag vielleicht auf den ersten Blick als sehr banal erscheinen, aber das Sicherheitsbewußtsein ist bei den meisten Anwendern kaum oder gar nicht vorhanden Hinzu kommt, daß ein normaler Anwender überhaupt keine Vorstellung davon hat, daß viele Angriffe ohne die entsprechenden Informationen über ein Firmen-LAN nicht möglich wären (Für den einen ist es nur eine IP-Adresse, für den anderen der Weg ins Firmennetz) (1 of 2) [ :16:27]

43 Social Engineering Nächste Seite: Viren Aufwärts: Probleme und Gefahren durch Vorherige Seite: Schlecht gewählte Passwörter Inhalt Index Klaus Bauer (2 of 2) [ :16:27]

44 Viren Nächste Seite: Viren durch Disketten Aufwärts: Probleme und Gefahren durch Vorherige Seite: Social Engineering Inhalt Index Viren Ein Computer-Virus ist eine nicht selbständige Programmroutine, die sich selbst reproduziert und dadurch vom Anwender nicht kontrollierbare Manipulationen in Systembereichen, an anderen Programmen oder deren Umgebung vornimmt [bsi-1] Allein in der Bundesrepublik Deutschland wird jedes Jahr ein Schaden in dreistelliger Millionenhöhe durch Computer-Viren verursacht Viren können folgende Funktionen ausführen: Anzeigen von Bildschirmanimationen Abspielen von Lauten oder Melodien über den PC-Lautsprecher Manipulation, Löschen von Daten Manipulation von Programmen Die ersten beiden Punkte werden meist von harmlosen Viren ausgeführt Dabei entsteht in der Regel kein wirklicher Schaden Es gibt aber viele solcher harmloser Viren, die Schäden verursachen, weil sie schlecht programmiert und fehlerhaft sind Das Gefahrenpotential, das von Viren ausgeht, die eine oder beide der oben letztgenannten Funktionen ausführen, ist hingegen sehr groß Man stelle sich nur vor, ein Virus durchsucht das System nach Accountdaten, zb für Homebanking oder Internetzugang und übermittelt diese dann an den Autor Viren können auf verschiedene Arten in ein LAN bzw ein System gelangen: Unterabschnitte Viren durch Disketten Komplettpakete - vorinstallierte Software Viren aus dem Internet Nächste Seite: Viren durch Disketten Aufwärts: Probleme und Gefahren durch Vorherige Seite: Social Engineering Inhalt Index Klaus Bauer [ :16:30]

45 Viren durch Disketten Nächste Seite: Komplettpakete - vorinstallierte Software Aufwärts: Viren Vorherige Seite: Viren Inhalt Index Viren durch Disketten Eine Hauptquelle für Computer-Viren sind Disketten Da Disketten häufig unter den Anwendern ausgetauscht werden, sind sie bestens zur Verbreitung von Viren geeignet Auch auf Disketten mit Orginal-Software wurden schon Viren gefunden Gerade Disketten mit Treibersoftware für irgenwelche Peripheriegeräte (Maus, Graphikkarten usw) waren nicht immer virenfrei Das liegt meist daran, daß der Hersteller aus Kostengründen keine Virenprüfung durchführt oder ein veraltetes Virenprogramm einsetzt Klaus Bauer [ :16:31]

46 Komplettpakete - vorinstallierte Software Nächste Seite: Viren aus dem Internet Aufwärts: Viren Vorherige Seite: Viren durch Disketten Inhalt Index Komplettpakete - vorinstallierte Software Immer mehr PC werden mit vorinstallierter Software verkauft Auch auf diesem Wege gelangen Viren in das Firmen-LAN IBM lieferte einige Systeme aus, auf denen sich ein Virus befand Der Grund dafür war, daß bei der Virenüberprüfung ein veralteter Virusscanner eingesetzt wurde Klaus Bauer [ :16:33]

47 Viren aus dem Internet Nächste Seite: Schwachstellen des IP-Protokolls - Aufwärts: Viren Vorherige Seite: Komplettpakete - vorinstallierte Software Inhalt Index Viren aus dem Internet Die meisten Viren gelangen mittlerweile aus dem Internet in die Firmennetze Hautsächlich gelangen Viren per in ein Computernetzwerk, aber auch beim Herrunterladen von Software oder beim Websurfen kann man sich Viren einfangen s können Daten als Attachment enthalten, zb MS-Word-Dokumente, Bilder oder Programme, die mit einem Virus infiziert sind Immer beliebter werden MACRO-Viren, die in diversen MS-Dokumenten (Excel,Word) enthalten sein können Jüngstes Beispiel für einen solchen MACRO-Virus:,,Melissa`` siehe CA Melissa-Macro-Virushtml Software, die zum Download angeboten wird, kann mit einem Virus versehen worden sein Siehe dazu auch Trojanische Pferde in Abschnitt 23 Bei der Nutzung des WWW reicht oftmals ein Mausklick an einer bestimmten Stelle auf der jeweiligen Webseite aus und neben der Übertragung der Daten wird gleich die entsprechende Applikation gestartet Beispiel: Download eines mit einem MACRO-Virus versehenen MS-Worddokuments Der Browser erkennt dieses als solches und startet Word zum Anzeigen des Dokuments Wenn nun in Word die Macro-Funktionen eingeschaltet sind, wird der MACRO-Virus automatisch aktiviert Dies funktioniert allerdings nur, wenn der Webbrowser dies unterstützt, was alle neuen Browser tun Nächste Seite: Schwachstellen des IP-Protokolls - Aufwärts: Viren Vorherige Seite: Komplettpakete - vorinstallierte Software Inhalt Index Klaus Bauer [ :16:34]

48 Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Nächste Seite: Schwachstellen des ICMP-Protokolls - Aufwärts: Probleme und Gefahren durch Vorherige Seite: Viren aus dem Internet Inhalt Index Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Im Internet wird seit 1982 das Internet Protokoll Version 4 eingesetzt Seit längerer Zeit wird an einer neueren Version des Protokolls (IPv6) gearbeitet Da jedoch noch nicht abzusehen ist, wann es zum Einsatz kommt, wird in dieser Arbeit nicht weiter darauf eingegangen IP-Protokoll bedeutet in dieser Arbeit immer Version 4 wie sie in RFC spezifiziert ist Das IP-Protokoll hat eine Reihe von Schwachstellen, da sein Design nicht auf Sicherheit ausgelegt war IP wurde entwickelt, um Datenpakete (IP-Pakte) von einem Rechner zu einem anderen zu transportieren Das Internet Protokoll ist ein verbindungsloses Protokoll zum Austausch von Daten zwischen zwei Rechnern ohne vorherigen Verbindungsaufbau IP macht die Netzzugangsschicht für die Transportschicht unsichtbar, dadurch ist es möglich verschiede Netztypen an ein IP-Gateway anzuschließen IP hat keine Mechanismen zur Flußsteuerung (Reihenfolge der Datenpakete) oder zur Verläßlichkeitsprüfung (sind alle Daten angekommen) In Abbildung 22 ist der TCP/IP-Protokollstack graphisch dargestellt Abbildung 22: Der TCP/IP-Protokollstack Das IP-Protokoll hat folgende Aufgaben: Definition eines Datagramms Ein Datagramm ist die kleinste Übertragungseinheit im Internet Abbildung 23 zeigt den Aufbau eines IP-Datagramms (1 of 4) [ :16:42]

49 Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Abbildung 23: Ein IP-Datagramm Definition des Adreßschemas Um Pakte von einem Rechner zu einem anderen zu senden werden, IP-Adressen verwendet Abbildung 24 zeigt den Aufbau der verschieden IP-Adressen für die Version 4 des IP-Protokolls In der Praxis sind nur die Class A, B und C Adressen relevant Links ist jeweils der Wert des bzw der höchstwertigen Bit angegeben (2 of 4) [ :16:42]

50 Schwachstellen des IP-Protokolls - Internet Protokoll RFC 791 Abbildung 24: IP-Adreßformate Datentransport zwischen Netzzugangsschicht und Transportschicht Routing IP holt sich aus dem Header die Zieladresse heraus; wenn diese im eigenen Netz liegt, wird das Paket zugestellt, ansonsten wird es an die IP-Forwarding-Routine weitergeleitet Fragmentierung Wenn ein Datagramm auf seinem Weg zum Zielrechner durch verschiedene Netze geroutet wird, kann der Fall eintreten, daß die MTU (Maximal Transmission Unit) der Netze unterschiedlich sind Wenn das IP-Datagramm größer als die MTU des Netzes ist, muß IP das Paket in kleinere Fragmente aufteilen Dieser Vorgang wird Fragmentierung genannt Jedes Fragment erhält dabei einen eigenen IP-Header (siehe Abbildung 23) dabei werden die Felder Identifikation, Flags und Fragmentnummer zur eindeutigen Identifizierung des Fragments gesetzt Fragmentierte Pakete können für Firewall-Systeme, die auf Paketfilterung basieren eine Gefahr darstellen, da nur das erste Fragment TCP- bzw UDP-Header-Informationen enthält (vgl Fragmentation-Angriff) Falls die Fragmente wieder in ein Netz mit einer größeren MTU kommen, werden sie durch IP wieder zusammengesetzt Dies bezeichnet man als Defragmentierung IP kann durch folgende Methoden angegriffen werden: IP-Spoofing Unter IP-Spoofing versteht man das Fälschen der Quelladresse in einem IP-Datagramm Dieser Angriff ist in [CA-9621] genau beschrieben Wenn man Dienste anbietet, die zur Authentisierung nur die IP-Adresse nutzen, kann ein Angreifer mit dieser Methode Zugang zu diesen Services erlangen Zum Beispiel sind folgende Dienste durch IP-Spoofing angreifbar: RPC, siehe Abschnitt 214 NFS, siehe Abschnitt 2141 BSD UNIX,,r``-Kommandos, siehe Abschnitt 218 IP-Spoofing bildet die Grundlage für zahlreiche weitere Angriffe, zb Hijacking oder SYN-Flooding (siehe Abschnitt 210) Ein bekannter Angriff, der IP-Spoofing benutzt, ist Land Dazu werden IP-Pakete erzeugt, bei denen Quell-IP-Adresse und Quell-Port gleich Ziel-IP-Adresse und Ziel-Port sind Dies führt bei manchen Systemen zu einem Absturz In [CA-9728] ist dieser Angriff genauer beschrieben Fragmentation-Angriff Es gibt zwei unterschiedliche Formen dieser Attacke: Tiny-Fragment-Attack Ziel dieser Attacke ist es, durch geschickte Fragmentierung von IP-Pakten Filterregeln eines Paketfilters zu umgehen Dieser Angriff ist in [RFC-1858] detailiert beschrieben Dabei versucht der Angreifer, seine Nutzdaten (zb TCP-Pakete) in so kleine Fragmente zu zerlegen, daß ein statischer Paketfilter seine Regeln bezüglich des TCP-Headers nicht mehr anwenden kann Paketfilter, die nur das erste Fragment untersuchen, könnten Beispielsweise dadurch ausgetrickst werden, daß man im ersten Fragment nur einen Teil des TCP-Headers ablegt, zb nur den Source Port, Destination Port und die Sequence Number Im zweiten Fragment werden die restlichen TCP-Header Informationen (ACK-Bit, Flags usw) abgelegt Kann das erste Fragment den Filter passieren, so könnte ein Angreifer eine eingehende TCP-Verbindung zb TELNET durch den Filter schleusen 22, da die Information, ob es sich um das erste Paket (ACK-Bit nicht gesetzt) einer TCP-Verbindung handelt oder nicht, im zweiten Fragment enthalten ist, was aber von vielen Paketfiltersystemen nicht mehr geprüft wird Overlapping-Fragment-Attack Dieser Angriff ist auch unter dem Namen Teardrop bekannt und in [CA-9728] beschrieben Die zweite Variante macht sich eine Eigenart des derzeitigen Reassemblierungsalgorithmus von IP zu nutze Der Algorithmus läßt es zu, daß neu eingetroffene Fragmente Teile von bereits empfangenen Fragmenten überschreiben können Wie oben beschrieben, erhalten Fragmente zur Identifizierung ihrer Position im Datenstrom eine Fragmentnummer (Offset) Diese setzt sich aus dem Offset des vorhergehenden Fragments plus dessen Größe in Bytes zusammen Das erste Fragment hat immer den Offset 0, das zweite 0 puls Größe des ersten, das dritte Offset des zweiten plus Größe des zweiten Fragment usw Dadurch ist es einem Angreifer möglich, eine Folge von Paketen zu erzeugen, in denen das erste Fragment harmlose TCP-Header-Informationen enthält, die ein Paketfilter durchläßt Ein zweites Fragment mit einem Offset größer als Null könnte nun andere TCP-Header-Informationen enthalten Wird der Offset des zweiten Fragmentes nun kleiner gewählt als die Größes des ersten Fragmentes, so können die TCP-Header-Informationen des ersten Fragmentes durch die des zweiten überschrieben werden Dieser Angriff wird ebenfalls in [RFC-1858] genau beschrieben Tunneln Durch die Fragmentierung von IP-Pakten geht nützliche Information, die für Filterentscheidungen notwendig ist, verloren, da nur das erste Fragment noch Portnummern besitzt Dadurch könnte ein Angreifer, der einen Komplizen im zu schützenden Netz hat, (3 of 4) [ :16:42]