Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

einloggt) in schnellen Abständen an Arbeitsstationen in anderen Netzen. Der Swich merkt
sich dann den "neuen" Aufenthaltsort des Servers (MAC) und leidet die Pakete der sich
gerade einloggenden Arbeitsstation an den Recher des Angreifers weiter.
In vielen Fällen reicht auch schon eine ARP-Impfung in die sich einloggende
Arbeitsstation. Der Vorgang ist einfach. Ein ARP-Broadcast findet immer dann statt, wenn
ein Host die MAC Adresse zu einer IP - Nummer auf dem LAN sucht. Die bei Microsoft
(und einigen anderen Herstellern) fehlerhafte ARP-Implementierung nimmt auch
Informationen an, wenn kein Broadcast ausgesendet wurde, also der Host keinen
Informationsbedarf hat. Diese ARP-Impfung in den Host und MAC spoofing für den Switch
führen dann dazu, daß der sich einloggende Host an einem völlig anderen Server
anmeldet, das Paßwort übermittelt - und - dem Angreifer direkt in die Hände spielt.
Selbstverständlich muß dann dieser Loginversuch scheitern, in der Praxis vermutet der
User einen Tippfehler. Fehlgeschlagene Login-Versuche werden nicht ernst genommen.
Oft hat ein Angreifer nach dem ersten Angriff schon das korrekte Paßwort erhalten, und
kann den Angriff stoppen, die Spuren beseitigen und erst einmal verschwinden. Spätere
Nachforschungen in Logfiles werden keine Zusammenhänge aufdecken können.
Der Systemadministrator sollte immer und unbedingt nach einem fehlgeschlagenen
Loginversuch informiert, und das Paßwort schnellstens geändert werden. Viele Internet-
Provider setzen Switches zum Schutz vor Sniffern ein, kennen aber die Tricks der
Angreifer und die hierzu notwendigen Voraussetzungen meist nicht.
Viele Provider haben mit DoS-Angriffen auf Switches zu kämpfen - diese werden häufig
als Fehlfunktionen der Hardware gedeutet. Problematisch wird es, wenn ein Internet-
Verkehrsknotenpunkt betroffen ist, wie z.B. DECIX oder ECRC. Ein Angreifer, der Zugang
zu einem Host besitzt, der direkt an dem Switch angeschlossen ist, kann mit MAC
Spoofing und ARP-Impfungen den Datenverkehr zwischen Providern an diesem
Knotenpunkt völlig durcheinanderwürfeln.
Die enorm hohen Bandbreiten erlauben es kaum, IP/MAC-Spoofing zu entdecken. Hier
müssen besondere Maßnahmen ergiffen werden....
Umgehung von Switching Routern
Themen
• Broadcast
• Multicast
• Diskless workstations
Switches und Switching Router (Level-3/4) besitzen IP-Filter mit
Verschlüsselungsmechanismen, die sogenannte VPN's bilden können. Normale
Broadcast-Anfragen werden entweder geblockt oder gespooft (ARP..). Einige Broadcast-
Protokolle werden aber zugelassen, z.B. zum simultanen Booten von hunderten von
"diskless"-Arbeitsstationen. Der Mangel an Erfahrung mit den verschiedensten
Broadcast/Multicast-Modellen und - Einstellungen führt dann dazu, daß Angreifer trotz
Filter beliebige Daten in normalerweise nicht erreichbare Netze transferieren können.
DoS-Angriffe auf Arbeitsstationen und Server sind somit immer noch möglich.
Übersicht von Angriffsvarianten auf den TCP/IP-Stack
Angriffe auf den TCP/IP-Stack gehören inzwischen zu den besonders häufigen
DoS(Denial of Service)-Attacken. Unter Namen, wie OOB, NUKE, LAND, TEARDROP und
NEW FRAGMENTATION ATTACK bekannt geworden, führten diese zu ständigen
Störungen in Intra- und Internet. Einige dieser Pakete werden von Routern und sogar von
Firewalls nicht herausgefiltert, sodaß Firewalls ohne eigenen TCP/IP-Stack für ein- und
ausgehende Pakete (PROXY-Firewalls) hierbei das Betriebssystem nicht sichern können.
Erstellt von Doc Gonzo - http://kickme.to/plugins