Tunnel und verdeckte Kanäle im Netz

Transkript

1 Tunnel und verdeckte Kanäle im Netz

2 Steffen Wendzel Tunnel und verdeckte Kanäle im Netz Grundlagen, Protokolle, Sicherheit und Methoden

3 Steffen Wendzel Kammeltal, Deutschland ISBN DOI / ISBN (ebook) Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. Springer Vieweg Springer Fachmedien Wiesbaden 2012 Dieses Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlags. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier. Springer Vieweg ist eine Marke von Springer DE. Springer DE ist Teil der Fachverlagsgruppe Springer Science+Business Media

4 Vorwort Tunneling und verdeckte Kanäle was hat es damit auf sich? Beide Themen sind in der heutigen IT-Welt von großer Bedeutung. Tunnel ermöglichen die Kommunikation durch praktisch beliebige Netzwerke und sind insbesondere für den Umstieg auf IPv6 von elementarer Bedeutung. Verdeckte Kanäle können etwa Journalisten und der politischen Oposition in Ländern mit Internetzensur helfen, sicher regimekritische Informationen zu übertragen. Auf der anderen Seite dienen verdeckte Kanäle auch der Exfiltration geheimer Unternehmensdaten und sollten daher nach Möglichkeit administrativ unterbunden werden, um den Diebstahl von Know-How zu verhindern. Welches Ziel verfolgt dieses Buch? Es soll Studenten der höheren Semester sowie Professionals eine Einführung in die Thematik des Tunnelings und der verdeckten Kanäle geben. Dabei unterscheiden sich beide Teile des Werks in ihrer Zielsetzung: Während der erste Teil kurz die Grundlagen der modernen Netzwerke wiederholt (Kapitel 2), führt Kapitel 3 in alle gängigen Tunnelingverfahren ein und soll so einen Überblick und ein Verständnis für das Tunneling ermöglichen. Erst auf dieser Grundlage sind auch Konfigurationen in der Praxis realisierbar (diese sind allerdings sehr von System und Use- Case abhängig und können daher im Umfang des Titels nicht abgedeckt werden). Im zweiten Teil des Titels wird hingegen eine Einführung in das geheime Tunneling und die Forschungsthematik der verdeckten Kanäle vorgenommen. Doktoranden, Wissenschaftlern und Masterstudenten sollen die aktuellen Forschungsthemen der verdeckten Kanäle erläutert werden. H.G. Eßer veröffentlichte bereits zuvor ein Buch im Themenfeld, konzentrierte sich dabei allerdings ausschließlich auf verdeckte Zeitkanäle (timing channels) und zudem auf den speziellen Kontext von Web-Services. Ich empfehle sein Buch für die zusätzliche Auseinandersetzung mit Zeitkanälen. Das vorliegende Werk ist folglich das erste, welches verdeckte Kanäle ganzheitlich betrachtet. Es basiert auf meiner jahrelangen intensiven Auseinandersetzung mit dem Thema. Große Teile dieses Buches basieren auf meiner Diplomarbeit an der Hochschule Kempten (zwei Abschnitte aus Kapitel 4, Details in Kapitel 7), auf meiner Masterarbeit an der Hochschule Augsburg (Kapitel 6) und auf meiner bisherigen Doktoratszeit an der FernUniversität in Hagen (Kapitel 7). Kapitel 2 basiert zum Großteil auf dem Anhang des»praxisbuch Netzwerksicherheit«von 2007, wurde allerdings erweitert, aktualisiert und freundlicher Weise vom Galileo Press-Verlag zur Publikation in diesem neuen Buch freigegeben. Dank Frau Christel Roß, Herrn Bernd Hansemann und Frau Maren Mithöfer danke ich für die Betreuung des Buchprojekts und dafür, dieses Buch durchgesetzt zu haben. Ich danke Judith Stevens-

5 VI Lemoine (Galileo Press) für die Möglichkeit, Inhalte aus unserem alten»praxisbuch Netzwerksicherheit«(2. Aufl., 2007) in diesem Buch verwenden zu dürfen. 1 Übernommene Inhalte (dies betrifft nur Teile von Kapitel 2 und einen Abschnitt aus Kapitel 3) habe ich selbstverständlich einer Aktualisierung und einer Erweiterung unterzogen. Bei der fachlichen Durchsicht des Manuskripts durfte ich auf die Unterstützung von Jörg Keller, Sebastian Schinzel und Sebastian Zander zurückgreifen, die jeweils unterschiedliche Abschnitte durchsahen. Vielen Dank an dieser Stelle! Sollte dieses Buch dennoch Fehler beinhalten, so ist der Grund dafür allein bei meiner Person zu suchen. Ich wünsche allen Lesern bei der Auseinandersetzung mit diesem sowohl praktischen, als auch akademischen Thema viel Freude. Konstruktives Feedback zum Buch ist explizit erwünscht. Augsburg im Mai 2012 Steffen Wendzel Über den Autor Steffen Wendzel ist Autor mehrerer Fachbücher. Er studierte Informatik mit Schwerpunkt Netzwerktechnik, Betriebssysteme und Wirtschaftsinformatik an der Hochschule Kempten und Informatik mit Schwerpunkt der sicheren Netzwerke an der Hochschule Augsburg. Derzeit finalisiert er seine Doktorarbeit zu einem Spezialbereich der verdeckten Kanäle am Lehrstuhl für Parallelität und VLSI an der FernUniversität in Hagen. Weiterhin ist Herr Wendzel als wissenschaftlicher Mitarbeiter im Rahmen von Lehre und Forschung an der Hochschule Augsburg tätig. Aufbau dieses Buches Nach einem einführenden Kapitel, in dem verschiedene Begrifflichkeiten erläutert werden, führt Kapitel 2 in die Grundlagen von TCP/IP insofern ein, als sie für das Verständnis der folgenden Kapitel von Belang sind. Kapitel 3 behandelt legitime Tunnelingverfahren. Dabei werden insbesondere verschiedene Protokolle vorgestellt, die für den Umstieg von IPv4 auf IPv6 von Bedeutung sind. Kapitel 4 betrachtet hingegen das nicht legitime, geheime Tunneling, wie es von der Hacking-Community seit Mitte der 90er und parallel in der wissenschaftlichen Community Ende der 80er Jahre betrachtet wurde. Die dort vorgestellten Verfahren sind folglich tatsächlich bereits verdeckte Kanäle, aber auch ohne den wissenschaftlichen Kontext derselben vollständig zu verstehen. Genau dieser wissenschaftliche Kontext wird in Kapitel 5 eingeführt, woraufhin Kapitel 6 die Detektions- und Präventionsmethoden für verdeckte Kanäle behandelt, die in den letzten Jahrzehnten innerhalb der Forschung entwickelt wurden. Abschließend gibt Kapitel 7 einen Einblick in die fortgeschrittenen Themen der verdeckten Kanäle und betrachtet dabei insbesondere Ergebnisse eigener Forschungsarbeiten. 1 Das Praxisbuch Netzwerksicherheit ist nur noch antiquarisch erhältlich.

6 Inhaltsverzeichnis 1 Einführung 1 2 TCP/IP-Grundlagen für das Tunneling Einleitung Einige Worte zum OSI-Modell Die wichtigen Protokolle Link Layer: ARP Internet Layer: IPv Internet Layer: ICMPv Internet Layer: IGMP Internet Layer: IPv Internet Layer: ICMPv Transport Layer: UDP Transport Layer: TCP Application Layer: HTTP Application Layer: Domain Name System Tunneling-Protokolle Serial Line Internet Protocol (SLIP) Das Point-to-Point-Protokoll (PPP) Layer 2 Tunneling Protocol (L2TP) Dual Stacks und IPv6 over IPv4 gemäß RFC IPIP und IP-in-IP Generic Packet Tunneling bei IPv Teredo General Routing Encapsulation (GRE) IPSec Point-to-Point Tunneling Protocol (PPTP) SOCKS Tunneling im Bereich der Gebäudeautomatisierung Sicherheitsaspekte von regulären Tunneln Geheimes Tunneling Geheimes Tunneling im LAN Geheimes Tunneling auf dem Internet Layer Geheimes Tunneling über ICMP Geheimes Tunneling über TCP und UDP... 78

7 VIII Inhaltsverzeichnis 4.5 Geheimes Tunneling über Plaintext-Protokolle Protocol Hopping Covert Channels Protocol Channels Grundlagen verdeckter Kanäle Was ist ein verdeckter Kanal? Anwendungsgebiete verdeckter Netzwerkkanäle Abgrenzung zu Seitenkanal-Angriffen Arten verdeckter Kommunikationskanäle Non-interference: Verdeckte Kanäle im MLS-Kontext Umgang mit verdeckten Kanälen Prävention und Detektion verdeckter Kanäle Shared Resource Matrix Methodology Covert Flow Trees Code-Modifikationen nach Agat ACK-Filter Store And Forward Protocol (SAFP) Die Pump Einweg-Links (Blind Write-Up) Upwards Channel Quantized Pump Spurious Processes Approach Fuzzy Time zur Einschränkung von Timing Channels in VMs Paketnormalisierung Drei Verfahren zur Zeitkanal-Detektion nach Cabuk et al Zeitkanal-Detektion nach Zander Zeitkanal-Detektion nach Berk et al Detektion in Geschäftsprozessen Früherkennung in VoIP-Kommunikation Detektion von ISN-basierten Covert Channels Fortgeschrittene Themen für verdeckte Kanäle Übersicht Optimierte Speichernutzung für PHCC Protokollwechsel und Forwarding optimieren Das Normalisierungsproblem der NEL-Phase Limitierung von Protokoll-wechselnden Kanälen Verdeckte Kanäle in der Gebäudeautomation Anhang 163 Literaturverzeichnis 165 Sachverzeichnis 175