Material zum Praktikumsversuch

Transkript

1 Material zum Praktikumsversuch Stand: Mai 2005, zusammengestellt von: Ulrich Greveler (Lehrstuhl NDS) Version 1.2 Grundpraktikum zur IT-Sicherheit Protokoll-Analyse mit Ethereal Lehrstuhl für Netz- und Datensicherheit ruhr-universität bochum Bitte beachten Sie, dass dieser Versuch im Raum IC4/58 stattfindet. Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 1

2 Sniffer (aus Wikipedia, der freien Enzyklopädie) Engere Bedeutung: "Sniffer" ist ein eingetragenes Warenzeichen des Herstellers "Network General"; es bezeichnet ein Produkt der sog. LAN-Analyse. Da dieses Produkt als eines der ersten auf dem Markt war, und da sein Name so eingängig ist, hat sich der Name "Sniffer" allgemein durchgesetzt zur Bezeichnung vielfältigster Produkte der LAN-Analyse. Allgemeine Bedeutung: Ein Sniffer (engl. "to sniff" für riechen, schnüffeln) ist eine Software, die den Datenverkehr eines Netzwerks empfangen und darstellen kann. Ein Sniffer kennt den so genannten nonpromiscuous mode und den Promiscuous Mode. Im non-promiscuous mode wird der ankommende und abgehende Datenverkehr des eigenen Computers gesnifft. Im Promiscuous Mode sammelt der Sniffer den gesamten Datenverkehr an die in diesen Modus geschaltete Netzwerkschnittstelle. Es werden also nicht nur die an ihn adressierten Frames empfangen, sondern auch die nicht an ihn adressierten. Der Adressat eines Frames wird in Ethernet-Netzwerken anhand der MAC-Adresse festgelegt. Weiterhin ist es von der Netzwerkstruktur abhängig, welche Daten ein Sniffer sehen kann. Werden die Computer mit Hubs verbunden, kann sämtlicher Traffic von den anderen Hosts mitgeschnitten werden. Wird ein Switch verwendet, ist nur wenig oder gar kein Datenverkehr zu sehen, der nicht für das sniffende System selbst bestimmt ist. Allerdings gibt es in diesem Fall mehrere Möglichkeiten wie z. B. ARP-Spoofing, um trotzdem die Frames empfangen zu können. Ein Switch darf also nicht als Sicherheitsfeature gesehen werden. Es gibt mehrere Gründe, einen Sniffer zu benutzen: * Diagnose von Netzwerkproblemen * Eindringungsversuche entdecken * Netzwerktraffic-Analyse und Filterung nach verdächtigem Inhalt * Datenspionage Der Promiscuous Mode bezeichnet einen bestimmten Empfangsmodus für netzwerktechnische Geräte. In diesem Modus liest das Gerät den gesamten ankommenden Datenverkehr, an die in diesen Modus geschaltete Netzwerkschnittstelle mit und gibt die Daten zur Verarbeitung an das Betriebssystem weiter. Normalerweise würde das Gerät nur die an sich selbst gerichteten Pakete verarbeiten, was zum Beispiel in Ethernetnetzen über das Auswerten der MAC-Adresse geschieht. Geräte, die diesen Modus benutzen, können Kombinationen aus Switch und Router, Netzwerktester oder auch normale Computer mit Anschluss an ein Netzwerk sein. Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 2

3 ETHEREAL MiniHowTo(von P.Südmeyer) Ethereal ist die wohl bekannteste Software zum komfortablen protokollieren von Netzwerkverbindungen. Sie bietet eine sehr gute Möglichkeit, die einzelnen Protokolle des TCP/IP-Modells anschaulich kennen zu lernen, Fehleranalysen durchzuführen, aber auch Verbindungen zu belauschen und dabei zum Beispiel Kennwörter unverschlüsselter Verbindungen zu erspähen. Das Programm ist für jede gängige Hardware-Plattform und ebenso für jedes gängige Betriebssystem erhältlich. Neben der hier vorgestellten grafischen Version, gibt es noch die Shell-basierte Umsetzung tethereal, welche ebenfalls auf dem Linux-Image installiert worden ist. Verbindungen protokollieren Nach dem Start von Ethereal klicken Sie auf Capture/Start (vgl. Abb.1). Im folgenden Menü (vgl. Abb2.) lassen sich diverse Einstellungen vornehmen. Wenn lediglich die eigene Verbindung mitgeschnitten werden soll, dann ist das Kreuz an der Stelle Capture packets in promiscuous mode nicht zu setzen. Wenn Sie das Kreuz setzen, dann werden alle über das Netzwerkkabel empfangenen Daten verarbeitet. Dieser Zustand ist im normalen Netzwerkbetrieb nicht üblich, da die Netzwerkschnittstelle damit stark belastet wird. Die weitere Grundkonfiguration ist für die üblichen Anwendungen bereits gut zu gebrauchen. Um den Vorgang zu starten klicken Sie auf OK. Abb.1: Startbildschirm Abb.2: Konfiguration Während des Scanvorgangs lässt sich bereits beobachten, was für Pakettypen mitgeschnitten werden (vgl. Abb.3). Um den Vorgang abzuschließen klicken Sie Stop. Protokoll auswerten Nach klicken des Stop-Buttons wird der mitgeschnittene Datenverkehr angezeigt (vgl. Abb.4). Im oberen Fenster finden Sie die mitgeschnittenen Pakete, in chronologischer Reihenfolge. Im mittleren Bereich lassen sich die genauen Paketinhalte im Klartext betrachten, während im untersten Fenster die HEX-Darstellung zu finden ist. Weil in vielen Fällen mehrere Verbindungen parallel ablaufen, ist es zunächst schwer, einen guten Überblick über die Daten zu gewinnen. Ethereal bietet daher die Möglichkeit, alle zu einer bestimmten Verbindung gehörenden Pakete zu separieren. Klicken Sie dazu mit der rechten Maustaste auf ein Paket der gewünschten Verbindung. Wenn Sie nun im erscheinenden Kontextmenü auf Follow TCP Stream klicken, wird die gewählte Verbindung einzeln dargestellt; zusätzlich erscheint in einem neuen Fenster die gesamte Kommunikation im Klartext. Versuchen Sie beispielsweise, eine mitgeschnittene Sitzung Ihres Webbrowsers auf diese Weise zu betrachten, Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 3

4 dann werden Ihnen die http-kommandos, sowie der html-code der Webseite angezeigt. Mit dieser Methode lässt sich die belauschte Verbindung wesentlich angenehmer auswerten. Denselben Effekt kann man durch das manuelle Definieren von Filtern erzielen. Die Filtermethoden von Ethereal sind sehr mächtig, sollen hier aber nicht weiter betrachtet werden. Um wieder die Gesamtansicht zu erhalten, klicken Sie auf den Clear-Button. Zur genaueren Analyse eine Verbindung, ist die Suchfunktion sehr gut zu gebrauchen. Damit lassen sich sowohl die Rohdaten im Hex-Code, als auch die für den Menschen gut lesbaren ASCII-Informationen durchsuchen. Klicken Sie auf Edit/Find Packet und im folgenden Menü auf String. Nun können Sie beispielsweise bei einer mitgeschnittenen FTP-Verbindung nach dem Schlüsselwort USER oder PASS suchen. In unmittelbarer Nähe zum jeweiligen Schlüsselwort werden Sie den Benutzernamen und das zugehörige Passwort finden. Nach demselben Prinzip lassen sich auch die Zugangsdaten eines Mailkontos ermitteln, da die Mailprotokolle POP, IMAP und SMTP als solche, genauso wie FTP, keine Verschlüsselung vorsehen. Bei verschlüsselnden Verbindungsprotokollen ist das Ausspähen von (Benutzer)daten im Allgemeinen nicht mehr möglich. Als Derivat für FTP wird heutzutage das zur SSH-Suite gehörende SFTP verwendet, genauso wie man bei Mailkonten immer mehr dazu übergeht, die Kommunikation über eine SSL- Verbindung zu realisieren. Abb.3: Der Capture-Vorgang Abb.4: Auswertung Abb.5: Passwort Suchen Abb.6: Gefundenenes Passwort Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 4

5 Versuch Versuchsaufbau Nach den einleitenden Informationen erhalten Sie nun eine konkrete Versuchsbeschreibung. Auf den Rechnern ist SuSE 9.1 oder höher (d.h. Linux) installiert. Sie bearbeiten den Versuch mit Kommandozeilen-Befehlen und GUIs. Sie können eine Shell und einen Editor Ihrer Wahl benutzen: falls Sie keine Präferenz bzw. Kenntnisse haben, wird bash und pico vorgeschlagen. Bitte keine Passwörter verändern, da der Versuchsaufbau noch benötigt wird! Für diesen Versuch arbeiten Sie unter root und praktikum. Das Passwort wird für den Versuch jeweils auf gesetzt. Zum einfachen Datenaustausch zwischen den Usern bitte das Verzeichnis /tmp/ benutzen. Die Beschreibungen der einzelnen Schritte enthalten die Vorgabe in fetter Schrift und die Erläuterungen dazu jeweils in normaler Schrift. Falls Sie etwas nicht verstehen, fragen Sie bitte zu Beginn den Mitarbeiter, der das Praktikum betreut. Ziel ist es, dass Sie die Vorgabe jedes Schrittes erfüllen und das Ergebnis für sich dokumentieren. Schreiben Sie am besten bei jedem Schritt das Zwischenergebnis auf, damit der Bericht vollständig den Versuch abdeckt. Unvollständige Berichte werden vom Versuchsleiter nicht akzeptiert, was dazu führen kann Sie die Schritte dann noch mal durchführen müssen. Schritt 1: Machen Sie sich mit der Netzwerktopologie vertraut (Plan hängt an der Wand). Stellen Sie fest, welche IP-Adresse(n) ihr PC hat und welche anderen Rechner er via TCP/IP erreichen kann. Stellen Sie Abweichungen zum Plan fest. Dokumentieren Sie das Ergebnis sorgfältig, wie auch alle folgenden Ergebnisse. Schritt 2: Aktivieren Sie den Sniffer. Sniffen Sie für 5 Minuten die Netzwerksegmente, die für Sie (in Bezug auf Sniffen) erreichbar sind. Erstellen Sie anschließend eine stichpunktartige Auswertung des Ergebnisses. Deaktivieren Sie den Sniffer. Schritt 3: Aktivieren Sie den Sniffer. Führen Sie dann mehrere TCP-Protokolle aus, die Passwörter übertragen (wählen Sie selbst die Protokolle, mind. zwei). Deaktivieren Sie dann den Sniffer. Suchen Sie die Passwörter im Daten-Mitschnitt und geben Sie die Position an; geben Sie auch an, wie man solche Passwörter protokollabhängig schnell finden kann (wenn man sie vorher nicht kennt). Deaktivieren Sie den Sniffer. Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 5

6 Schritt 4: Warten Sie auf das Zeichen des Betreuers! (Netzwerk-Vorbereitung erforderlich.) Aktivieren Sie den Sniffer für 5 Minuten. Deaktivieren Sie den Sniffer. Geben Sie das Ergebnis vollständig und in strukturierter Form wieder. Falls Passwörter ermittelt werden, loggen Sie sich testweise auf dem kompromittierten System ein, um das Ergebnis zu überprüfen. Schritt 5: Der Versuchsleiter stellt Ihrer Gruppe eine Datei mit Daten-Mitschnitten zur Verfügung. Stellen Sie mithilfe von Ethereal fest: - wie viele Kommunikationspartner beim Sniffen ermittelt wurden - welche Protokolle (in welcher Häufigkeit) verwendet wurden - ob Daten verschlüsselt / unverschlüsselt übertragen wurden - ob IDs / Passwörter ungesichert übertragen wurden (sorgfältig recherchieren) - welche Daten offensichtlich fehlen (versuchen Sie anhand der Daten ein Problem zu erkennen, das zu unvollständigen Mitschnitten geführt hat) Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 6

7 Voraussetzungen für die Teilnahme an diesem Versuch Grundkenntnisse zum Arbeiten unter Linux Sie müssen mit Kommandozeilen umgehen können! Dieses Dokument muss vorher gelesen werden; siehe Kontrollfragen zum Verständnis des Dokumentes Grundkenntnisse in TCP/IP sind erforderlich Machen Sie sich mit der Dokumentation zu Ethereal vertraut (es folgen einige Vorschläge, wo es eine Dokumentation gibt. Bei veralteten Links benutzen Sie bitte eine Suchmaschine Ihrer Wahl und suchen Sie nach einer aktuellen Dokumentation!): (Falls sie eine Voraussetzung nicht erfüllen, sprechen Sie unbedingt mindestens eine Woche vor dem Versuch den Versuchsleiter an, um das Wissen rechtzeitig aufholen zu können.) Kontrollfragen Eingangstestat: Sie sollen mindestens folgende Fragen beantworten können (bevor der Versuch beginnt): Was ist ein Sniffer? Was ist der Unterschied zwischen Sniffen und (Port-)Scannen? Welche Daten kann ein Sniffer auswerten? Was ist der Unterschied zwischen einer MAC- und einer IP-Adresse? Was hat Sniffen mit IT-Sicherheit zu tun? Was sind geswitchte Netzwerke? Welche Rolle spielen sie beim Sniffen? Wie snifft man trotzdem in geswitchten Netzwerken? Welche bekannten Protokolle übertragen Passwörter im Klartext? Wozu dienen die Protokolle ARP, IP, TCP, ICMP, DNS, POP3, http, FTP? Kann man nur im Ethernet sniffen? Schriftliche Versuchsauswertung Jedes Team fertigt eine schriftliche Auswertung an. Diese sollte insbesondere die bei jedem Schritt verwendeten Befehle enthalten (also unbedingt dokumentieren, was Sie bei der Versuchsdurchführung getan haben) und die Ausgabe der Befehle erläutern. Geben Sie bitte Ihre Einschätzung als Versuchsteam wieder, was Sie von diesen Tools halten. Bitte geben Sie auch Feedback, ob Sie den Praktikumsversuch als interessant empfunden haben und ob dieses Dokument für Sie bei der Versuchsdurchführung hilfreich war. Verbesserungsvorschläge sind willkommen! Die Versuchsauswertung ist schriftlich beim nächsten Termin mitzubringen oder bis dahin per an den Betreuer zu senden (PDF). Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 7

8 Weitere Links: Praktikumsversuch Ethereal Lehrstuhl Netz- und Datensicherheit 8