Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

SUN SOLARIS und SUN Firewall 1st, Checkpoint Firewall-1
SUN Solaris 2.6 kann man als relativ stabiles, aber keinesfalls als sicheres
Betriebssystem bezeichnen. Die Firewall ist ein bewährtes Produkt und installiert sich
zwischen Kernel und Anwendungsprogramme. Mitgeliefert ist HAYSTACK Software, die
z.B. Zugriffe auf den Server protokolliert und entsprechend der Uhrzeit auch einzelnen
Usern den Zugriff verbieten kann. Da aber ein Angreifer auch tagsüber angreifen kann, ist
dieses Werkzeug nicht als Sicherung geeignet. Beschreiben wir also eine Standard-
Installation von Solaris 2.6 mit Firewall 1st , mit Netscpe SuitSpot 3.5 und SUN Netra-I,
einem Administrationswerkzeug, bestehend aus einer Sammlung von CGI-Skripten.
Eingesetzt werden soll dieser Server in Verbindung mit einem CISCO Router zur
Anbindung an das Internet, als PROXY-Cache, als WWW-Server nach außen und als
Intranet-Server nach innen. Abgesichert ist dieser durch Firewall 1st, installiert auf dem
»bastion host« selber. Als weitere Software wird Netscape SUITSPOT Pro, einer
Sammlung von WWW-Server, Mailserver, NEWS-Server, Kalender-Server, Netscape
Cache-Server installiert, erreichbar von innen und außen. Der Netscape Enterprise-Server
basierend auf dem Code von Apache-Server und der Netscape Proxy ist identisch mit
dem SQUID-PROXY-Cache. Über Netra-I lassen sich diese Dämonen (weniger
komfortabel) konfigurieren. Netra-I besteht aus einfachen CSH CGI-Skripten ohne
jedwelche Absicherung, die unter UNIX entsprechend der Bedeutung geboten wäre
(chroot(), UserAccount). Es sind ohne weiteres »buffer overflows« ausführbar. Angesichts
der bekannten »buffer overflows« für den Apache-Server und der Lücken in SQUID ist
dies ein gravierendes Sicherheitsproblem. Solaris 2.6 ist per default nicht so eingestellt,
daß »stack/heap execution« untersagt ist, ein weiteres Problem, welches zudem schlecht
dokumentiert ist. Die Firewall kann auch den Zugriff von außerhalb auf Dämonen des
Servers erlauben, was schwerwiegende Folgen haben kann. Mit einem »buffer overflow«
ist somit ein Angreifer in der Lage, die Firewall in »nichts« aufzulösen. Weitere
Angriffpunkte ergeben sich durch eingeschleuste Attachments an E-Mail, die direkt
bekannte »buffer overflows« gegen gestartete Dämonen auf der Firewall ausführen.
Insgesamt ist es sogar einem erfahrenen Systemadministrator nicht zuzutrauen, das
Betriebssystem dieser Firewall genügend abzusichern, angesichts der schlechten
Dokumentation, unsicheren Defaulteinstellungen und fehlenden Warnhinweisen der
Firewall selber. Für SUN als Träger der Firewall spricht nur die Qualität der Software, die
Stabilität und Leistungsfähigkeit des Betriebssystems und die Tatsache, daß man dieses
System sicher machen kann, mit entsprechender Vorbildung und Erfahrung im »cracken«
von UNIX, aber wer hat die schon. Schließlich muß die Sicherheit ja auch nachgewiesen
werden können.........bzw. die Unsicherheit der Default-Installationseinstellungen.
Insgesamt ist das Konzept eines »bastion hosts« der sich selber durch die Firewall sichert,
äußerst fragwürdig.
Windows NT 4.0 als Gateway zum Internet
Zahlreiche kleinere Unternehmen besitzen Windows NT 4.0 Server. Installiert sind
Fakturierungsprogramme für Windows Clients. Aus Sparsamkeitsgründen wurde in den
Windows NT-Server eine ISDN-Karte installiert und WinGate/MS-PROXY als PROXY-
Server installiert. Ein E-Mail-Server holt zeitgesteuert E-Mails von draußen herein und zur
Auslieferung bereit liegende werden simultan ausgeliefert. Ein Portscan ergibt, daß Ports
des PROXY´s nach außen hin geöffnet sind. Eine Recherche im Internet ergibt, daß ein
»buffer overflow« existiert und zudem der PROXY keine Absicherung gegen »spoofing«
hat. Ein Angreifer, der genügend nahe (bis auf wenige Hops) an den DIAL-IN- Router
herankommt, um diesem beim Abholen seiner E-Mail gespoofte Pakete zuzusenden, ist
so in der Lage, jeden beliebigen Server innerhalb des Netzwerkes zu erreichen, durch den
PROXY hindurch. Ein »buffer overflow« wäre leicht möglich, aber wenn es schon
»spoofing« tut. Mit »gespooften« Paketen ist es einem Angreifer möglich, interne IP-
Adressen durch das äußere Gateway in das Netz hinein zu schicken, vorausgesetzt, daß
er nahe genug an den DIAL-IN Router herankommt. Gespoofte Pakete werden
normalerweise von Providern nicht weitergeleitet. So kann er z.B den Microsoft PROXY,
Wingate o.ä. durchtunneln, und im Unternehmen großen Schaden anrichten (ein
bekannter Fehler). Die Bezeichnung PROXY für diese Software ist gerechtfertigt, jedoch
fehlen die wesentlichen Eigenschaften eines Firewall-Routers. Theoretisch ist es möglich,
Erstellt von Doc Gonzo - http://kickme.to/plugins