Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Stärken
• Hohe Geschwindigkeit durch Routing auf IP-Ebene
• Billig in der Anschaffung
• Anti spoofing Mechanismen
• Spoofing von Broadcasts für IPX, IP...
• PROXY ARP
Schwächen
• Bieten keinen Schutz vor TCP Angriffen
• Zuviele offene Ports > 1024
• Keine Kenntnis von Protokollen
• Keine Zustandsinformationen über Verbindungen
• Keine Authentifizierung
• Keine Cluster möglich
• Hoher Wartungsaufwand in großen Netzwerken
• Log-Server stets notwendig
• Unflexibel, nur einseitig einsetzbar
• Schwierig zu programmieren
Als Firewall Router werden häufig Router mit Filtereigenschaften bezeichnet. Besser wäre
die Bezeichnung Paketfilter. Wenn man den Werbeaussagen der Hersteller glauben darf,
dann sind deren Eigenschaften inzwischen recht umfangreich, sie beherrschen das Filtern
nach IP - Nummern, Ports, Protokollen, bieten Schutz gegen spoofing und DoS-Angriffe,
die auf den TCP/IP-Stack zielen, bieten NAT oder Masquerading an. Anscheinend gibt es
kaum noch Unterschiede zu echten Firewalls. Weit gefehlt! In der Praxis reichen solche
Filter nicht mehr aus, insbesondere beim Einsatz von komplexeren Protokollen, wie FTP,
RPC, NFS, NIS, SMB, SQL u.s.w.. Den Firewall-Routern fehlen fast immer Kenntnisse
über die Protokollmechanismen und somit sind sie auch nicht in der Lage, die Inhalte von
wichtigen Protokollen zu interpretieren
So ist der Administrator gezwungen, fast alle Ports oberhalb der privilegierten Ports (>
1024) und evtl. auch einige unterhalb (111, RPC-Portmapper für PDC oder RPC)
freizuschalten. Dieses ermöglicht dann direkte, vielfältige Angriffe auf Server hinter dem
Firewall-Router, angefangen von DoS-Angriffen, bis hin zu Tricks, die ein wenig in die
Protokollmechanismen eingreifen, z.B. FTP PORT-Umleitung auf einen Telnet-Zugang
(Siehe PASV-Mechanismus). Firewall-Router besitzen keinerlei Statusinformationen über
die benutzten Ports, z.B. von welchem Rechner diese initiiert wurden, welche Protokolle
zu den Ports gehören und warum (NFS, RPC).
Für viele Protokolle müssen Ports oberhalb von 1024 für Zugriffe von außerhalb
freigegeben werden, was zu unzähligen Sicherheitslöchern führt. Es gibt zahlreiche Tricks,
die Fehler in Betriebssystemen hinter dem Firewall-Router ausnutzen, um diesen
durchtunneln zu können. Weiterhin besitzen diese Firewall-Router keine User-
Authentifizierungsmechanismen.
Firewall-Router besitzen keinen vollständigen TCP/IP-Stack. Sie sind nur in der Lage, auf
IP-Ebene Pakete weiterzuleiten. Daher überprüfen sie einige Dinge bei der Weiterleitung
auf andere Netzwerkinterfaces nicht.
Das sind z.B. IP-Fragmentierung, TCP-Prüfsummen, Offsets bei Sequenznummern, Flags
in IP- und TCP-Headern (Näheres siehe: Angriffsvarianten auf TCP/IP-Stacks). Die
meisten der o.a. Angriffsvarianten auf einen Server hinter dem Firewall-Router werden
nicht abgefangen. So haben sich einige Hersteller aus Gründen des Marketings kurz damit
beholfen, indem sie die Bytefolge (Signatur) von bekannten Angriffen aufgezeichnet
haben, und diese dann aus dem Datenstrom herausfiltern. Mit Werkzeugen, wie Ballista
oder IPSEND, ist es einem Angreifer leicht möglich, Signaturen zu erzeugen, die noch
Erstellt von Doc Gonzo - http://kickme.to/plugins