Technische Realisierungen von Sperren im Internet

Transkript

1 Technische Realisierungen von Sperren im Internet Prof. Dr. Universität Regensburg Lehrstuhl Management der Informationssicherheit 1

2 Technische Realisierungen von Sperren im Internet Problemstellung Löschen rechtswidriger e im Inland möglich Löschen rechtswidriger e im ggf. unmöglich Zugang erschweren DNS-Sperre IP-Adressen sperren (IP-Paketfilter) Zwangsproxy mit URL-Sperre Hashwertbasierter Filter Umgehungsmöglichkeiten von Sperren Open DNS Peer-to-Peer-Netze Anonymisierer Verschlüsselung 2

3 Problemstellung: Löschen rechtswidriger e im Inland Inland Sobald Kenntnis von Rechtswidrigkeit hat, ist er zur Sperrung verpflichtet (TMG). Der ist damit vom Netz genommen. 3

4 Problemstellung: : Löschen ggf. unmöglich kann nicht einfach vom Netz genommen werden. Es soll der Zugang erschwert werden. 4

5 Ohne DNS-Sperre ruft auf: DNS Browser 1. sendet DNS-Request: 2. empfängt DNS-Antwort:

6 Ohne DNS-Sperre Browser sendet: DNS 6

7 Mit DNS-Sperre sendet der DNS-Server eine»falsche«antwort ruft auf: DNS Browser 1. sendet DNS-Request: 2. DNS-Server sieht Sperrliste durch (Treffer!) 2. empfängt DNS-Antwort:

8 Mit DNS-Sperre landet der im WWW auf Stopp-Seite Browser sendet: DNS STOP Stopp-Seite ( ) BKA erhält Zugriffsprotokolle 8

9 Mit DNS-Sperre werden auch legale Seiten u.u. blockiert Browser sendet: DNS STOP Stopp-Seite ( ) DNS-Sperre blockiert *alle* Seiten auf Server. 9

10 Mit DNS-Sperre und direkter Eingabe der IP-Adresse gibt IP-Adresse direkt ein: DNS STOP Stopp-Seite ( ) DNS-Sperre bleibt wirkungslos, da keine DNS- Anfragen gestellt werden. 10

11 Mit DNS-Sperre und Open DNS ruft auf: DNS DNS Browser 1. sendet DNS-Request: 2. empfängt DNS-Antwort:

12 Mit DNS-Sperre und Open DNS ruft auf: DNS DNS Browser 1. sendet DNS-Request: 2. empfängt DNS-Antwort:

13 Detaillierte Beschreibung der Problematik unter 13

14 DNS-Sperre Direkte Eingabe der IP-Adresse Es werden keine DNS-Anfragen gestellt. Nutzung von Open DNS Manuelles Eintragen offener DNS-Server beim umgeht Sperre. Nutzung von Peer-to-Peer- Diensten Peers machen sich fast ausnahmslos über IP- Adressen gegenseitig bekannt. DNS-Sperren bleiben nahezu wirkungslos. 14

15 Blocken der IP-Adresse wirkt DNS Paketfilter Paketfilter findet IP-Adresse in Sperrliste und wirft Datenpakete einfach weg. Kombinierbar mit DNS-Sperre. 15

16 Blocken der IP-Adresse wirkt auch auf legale Seiten auf Server DNS Paketfilter Auch die IP-Sperre blockiert zunächst *alle* Seiten auf Server. 16

17 Blocken der IP-Adresse, kombiniert mit Zwangsproxy Paketfilter mit Zwangsproxy findet */evil/illegal.gif in Sperrliste Paketfilter mit Zwangsproxy findet Pfad auf illegalen in Sperrliste und blockiert Weiterleitung. 17

18 Blocken der IP-Adresse, kombiniert mit Zwangsproxy Paketfilter mit Zwangsproxy Paketfilter mit Zwangsproxy prüft Pfad, findet nichts Verdächtiges und lässt Request durch. 18

19 Untertunneln des Zwangsproxy mittels Anonymisierer (verschlüsselt) Anonymizer Paketfilter mit Zwangsproxy Zwangsproxy müsste alle (legalen) Anonymisierer (im ) ebenfalls in Sperrliste aufnehmen. 19

20 Hashwertbasierte Techniken Paketfilter mit Zwangsproxy und Hashwertfilter findet Hashwert von illegal.gif in Sperrliste Von jedem illegalen wird ein Hashwert berechnet und in die Sperrliste aufgenommen. 20

21 Hashwertbasierte Techniken weiterer Paketfilter mit Zwangsproxy und Hashwertfilter findet Hashwert von pic.gif in Sperrliste Hashwertbasierte Filter finden den unabhängig vom Speicherort, solange er nicht verändert wird. 21

22 Hashwertbasierte Techniken Hashfunktionen sind Einwegfunktionen Aus einem lässt sich leicht der Hashwert berechnen, die Rücktransformation (Hashwert->) ist nicht möglich. Vorteile: Provider kennt zwar Hashwerte, aber weder deren Adressen noch deren e Kein Risiko des Bekanntwerdens kompletter Sperrlisten Nachteile: Verschlüsselte e sind auch damit nicht erkennbar Modifikation eines einzigen Bits: Scanner versagt 22

23 Technische Realisierungen von Sperren im Internet Problemstellung Löschen rechtswidriger e im Inland möglich Löschen rechtswidriger e im ggf. unmöglich Zugang erschweren DNS-Sperre IP-Adressen sperren (IP-Paketfilter) Zwangsproxy mit URL-Sperre Hashwertbasierter Filter Umgehungsmöglichkeiten von Sperren Open DNS Peer-to-Peer-Netze Anonymisierer Verschlüsselung 23

24 Herdict 24

25 25

26 Technische Realisierungen von Sperren im Internet Problemstellung Löschen rechtswidriger e im Inland möglich Löschen rechtswidriger e im ggf. unmöglich Zugang erschweren DNS-Sperre IP-Adressen sperren (IP-Paketfilter) Zwangsproxy mit URL-Sperre Hashwertbasierter Filter Umgehungsmöglichkeiten von Sperren Open DNS Peer-to-Peer-Netze Anonymisierer Verschlüsselung 26

27 Prof. Dr. Lehrstuhl Management der Informationssicherheit Universität Regensburg D Regensburg WWW: Phone Telefax