2 Typische Angriffe NS-2.1 1

Transkript

1 2 Typische Angriffe NS-2.1 1

2 Angreifer benötigt Kenntnisse von - Betriebssystemen - Netzinfrastruktur Rechte, typischerweise Systemzugang als - Normalbenutzer - Systemverwalter - Systementwickler physischen Zugang - zum Übertragungsmedium - zum Rechner, Router,... NS-2.1 2

3 Zur Erinnerung - die Internet-Protokollhierarchie: - IP leitet Datenpakete durch das Netzwerk zum Empfänger - TCP/UDP fügen Prozessadressierung (Ports) zu IP hinzu - TCP sichert darüber hinaus die Datenübertragung - Protokolldateneinheiten (PDUs) werden gekapselt Daten Benutzer TCP-Header Daten bzw. UDP-Header Daten Transportschicht IP-Header TCP/UDP-Header Daten Vermittlungsschicht MAC/LLC-Header IP-Header TCP/UDP-Header Daten Trailer Sicherungsschicht (Quelle: H. Ritter, Telematik, WS 05/06) NS-2.1 3

4 NS-2.1 4

5 2.1 Lauschangriffe (abhören, eavesdropping, sniffing) am Übertragungsmedium: leitungsgebunden: einfach bei Strom schwierig bei LWL nicht leitungsgeb.: sehr einfach! Voraussetzung: physischer Zugang zum Medium im vermittelnden Rechner: Lesen/Kopieren der zwischengespeicherten Nachrichten; sehr einfach möglich mit speziellen Programmen (sniffers)! Voraussetzung: Systemverwalter- Rechte NS-2.1 5

6 im Lokalnetz mit promiscuous mode*: Lesen/Kopieren der empfangenen Nachrichten; sehr einfach möglich mit sniffers! Voraussetzung: Systemverwalter- Rechte * promiscuous mode = im Lokalnetz spezieller Modus, in dem der Netzanschluss einer Station arbeitet: alle Pakete werden übernommen, nicht nur die an die Station adressierten Pakete NS-2.1 6

7 Beachte: Sniffer-Programme sind zweischneidig! Angreifer benutzt sie zu Angriffszwecken: Lauschangriff Verteidiger benutzt sie zu Verteidigungszwecken: Einbruchserkennung NS-2.1 7

8 Typische Sniffer-Programme: snort (primär für Einbruchserkennung) tcpdump (Unix) man tcpdump windump (Windows) ethereal (Unix) dsniff (Unix) monkey.org/~dugsong/dsniff snoop (Solaris) man snoop NS-2.1 8

9 Zum Beispiel tcpdump : lohr@lohr:~ $ tcpdump tcpdump: (no devices found) /dev/bpf0: Permission denied lohr@lohr:~ $ su root Password: lohr:/users/lohr root# tcpdump tcpdump: WARNING: en0: no IPv4 address assigned tcpdump: verbose output suppressed, use -v or -vv for full protocol listening on en0, link-type EN10MB (Ethernet), capture size 96 bytes ^C 0 packets captured 0 packets received by filter 0 packets dropped by kernel lohr:/users/lohr root# tcpdump -D 1.en0 Ethernet 2.fw0 FireWire 3.en1 Modem 4.lo0 loopback to local host 9

10 lohr:/users/lohr root# tcpdump -i4 -A -s150 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on lo0, link-type NULL (BSD loopback), capture size 150 bytes 09:49: localhost > localhost.ftp: P : (5) ack win <nop,nop,timestamp >...:...] pbla 09:49: localhost.ftp > localhost.51134: P 1:37(36) ack 5 win <nop,nop,timestamp > [flowlabel 0x42a24]...V...:] 'bla': command not understood. 09:49: localhost > localhost.ftp:. ack 37 win <nop,nop,timestamp >...^...] ^C 3 packets captured 3 packets received by filter 0 packets dropped by kernel lohr:/users/lohr root# 10

11 Durch Lauschangriff verletzte Schutzziele: Vertraulichkeit (der übertragenen Nutzdaten) Anonymität - wird verletzt durch Einsicht in die Verkehrsdaten: Ziel- und Absenderadressen) und als Folge der verletzten Vertraulichkeit: Zugangsschutz - wird verletzt, wenn ein Passwort abgelauscht wurde (password sniffing) NS

12 Gegenmaßnahmen: Verschlüsselung NS

13 2.2 Nutzdatenverfälschung Löschen/Abfangen von Nachrichten ist nicht direkt erkennbar Verstümmeln von Nachrichten (d.i. Sabotage) ist i.d.r. erkennbar (aber natürlich unerwünscht) Verfälschen von Nachrichten ist i.d.r. nicht erkennbar - somit besonders gefährlich Wiedereinspielen (replay) zuvor abgefangener Nachrichten(teile) dient i.d.r. der Verfälschung NS

14 Verletzte Schutzziele: Integrität (der übertragenen Nutzdaten) Gegenmaßnahmen: Verschlüsselung NS

15 Beachte: [Schicht 2 versus Schicht 3] Die Prüfsummen der Sicherungsschicht (CRCs) bieten Schutz gegen - zufällige oder gezielte - Verstümmelung bei der Nachrichtenübertragung zwischen zwei Stationen, aber keinen Schutz gegen Nachrichten-Verfälschung in einer vermittelnden (oder sendenden/empfangenden) Station! CRC im DLT (Routing) NS

16 Wichtig: welcher Transportdienst hat die Pakete auf den Weg geschickt? UDP: (user datagram protocol) verbindungslos, d.h. einzelne Nachrichten beschränkter Länge werden gesendet ("Datagramme") und stehen beziehungslos nebeneinander: - Eintreffen beim Empfänger wird nicht garantiert, - Reihenfolgetreue wird nicht garantiert. Konsequenz: Integritätsverletzung ist relativ leicht zu bewerkstelligen NS

17 TCP: (transmission control protocol) verbindungsorientiert, d.h. es wird ein Duplex-Kanal zwischen zwei Ports eingerichtet, und über diesen Kanal wird in beiden Richtungen je ein zuverlässiger Byte-Strom realisiert, (d.h. garantiert verlustfrei und reihenfolgetreu). Konsequenz: Zwar ist Sabotage einfach, Fälschung ist dagegen aufwendig. (session hijacking, 3) NS