Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

die PROXY´s unter NT so einzurichten, daß ein solcher Angriff nicht möglich ist. Wird
dieser PROXY von einem Nicht-Fachmann für Security installiert, sind Einbrüche nicht zu
verhindern. Diese Server sind fast nicht gegen viele Arten von DoS Angriffen zu sichern
und auch für »buffer overflows« empfänglich. Es gibt zahlreiche Anbieter von PROXY-
Firewalls für Windows 95/98 oder NT 4.0. Alle setzen auf dem TCP/IP-Stack von Microsoft
Windows auf. Die Administration erfolgt entweder über die Arbeitsstation selber, oder aber
»remote«, entweder über Zusatzsoftware oder über den Browser. In diesem Moment ist
die Gefahr existent, daß ein Angreifer mit einem überlangen String schon bei der
Paßwortabfrage einen »buffer overflow« initiieren kann, auch wenn diese über SSL- oder
SSH-Verschlüsselung läuft. Die Arbeitsstation gehört in diesem Moment nämlich logisch
gesehen zur Firewall hinzu. Während der gesamten anderen Zeit wird diese Arbeitsstation
häufig von dem Systemadministrator zum »surfen« und zum Lesen von E-Mails benutzt.
Ein Angreifer ist während dieser Zeit in der Lage, diese Arbeitsstation mit einem
trojanischen Pferd unter seine Kontrolle zu bringen, oder zumindest das »shared secret«,
z.B den SSH-Schlüssel und das Paßwort in seinen Besitz zu bringen. SSH und vermutlich
auch andere Verschlüsselungs/Authentifizierungssoftware ist gegen »buffer overflows«
anfällig. Mit Kenntnis des Schlüssels, des Paßwortes und unter Anwendung von
»spoofing« ist der Angreifer in der Lage, die Firewall auszuschalten.
S.u.S.E LINUX Firewall
S.u.S.E zeichnet sich stets durch einfache Installation und die besonders in Deutschland
gefragte ISDN-Unterstützung aus. Seit Version 5.3 (6.0) hat S.u.S.E eine Firewall -
Konfiguration und eine Installationsanleitung mitgeliefert. Wie schon oben erwähnt, ist
diese Firewall erwiesenermaßen von innen her, z.B über den SSH-Dämon anzugreifen.
Katastrophal sind aber die vorgeschlagenen Installationshinweise und der dort
vorgeschlagene Aufbau, der gegen alle Regeln verstößt, die in Standardbüchern, z.B
»Einrichten von Internet Firewalls« als gefährlich bezeichnet werden. Die LINUX Firewall
arbeitet hier als »bastion host«, was angesichts der großen Probleme mit »buffer
overflows« von LINUX schon ein Problem darstellt. Die Firewall ist hier zwischen Router
zum Internet und dem Intranet angesiedelt. Bei entsprechender Einstellung der Variablen
»FW_FRIENDS«, »FW_MAILSERVER«, »FW_DNSSERVER«,
»FW_WWWSERVER«......werden Server, die im Intranet zusammen mit den
Arbeitsstationen stehen, für den Zugriff aus dem Internet freigegeben. Im Falle, daß dort
ein Server mit bekannten Sicherheitsproblemen installiert ist, z.B LINUX Server oder
Windows NT Exchange-Server, kann ein Angreifer aus dem Internet direkt einen »buffer
overflow« dort initiieren, und diesen dann als »trojanisches Pferd« für weiteres
gebrauchen. (Es wird völlig übersehen, daß es »reverse proxies« gibt, die eine ähnlichen
Aufbau erlauben, deren Technik ist aber eine völlig andere. Diese ist so nicht in LINUX
verfügbar.) Ein Hinweise auf einen internen Router, also eine zweite Absicherung gegen
Zugriffe auf das Intranet fehlt völlig. Die DMZ ist nicht existent. Es wird auch nicht darauf
hingewiesen, daß LINUX auch in der S.u.S.E Version 6.0 gegen »buffer overflows« nicht
geschützt ist, und Dämonen weder in »chroot() « Umgebung gestartet sind, noch es
verboten ist, auf der Firewall X-Windows u.ä zu starten. Einige kleinere »spoofing« Fehler
in der Konfiguration bezüglich der MASQUERADING-Dämonen (FTP, VDO_LIVE, CU-
See-Me, IRC, Quake....) addieren sich zu der Tatsache, das überhaupt keine Firewall
jemals einen IRC/Quake-Client zulassen sollte. Alle IRC-Clients lassen sich »remote
fernsteuern« , ein großes Sicherheitsrisik o. Sowohl IRC als auch Quake sind bekannt
dafür, daß sie unbekannten aus dem Internet Zugriff auf die Arbeitsstation hinter der
Firewall geben. LINUX ist bekannt für seine Fehler im TCP/IP-Stack, die in DoS Angriffe
enden können. Die im Kernel eingebaute Firewall basiert auf dem TCP/IP-Stack, ist also
gegen TCP/IP DoS Angriffe nicht abgesichert. In der Installationsanleitung findet sich auch
keinerlei Hinweis darauf. Insgesamt kann man diesen Firewall - Aufbau nur als
»katastrophal« bezeichnen. Diese Firewall sollte man auch nicht »zusätzlich« zu einer
bestehenden einsetzten. Die Gefahr, daß diese Firewall einem DoS Angriff zum Opfer
fällt, ist sehr groß.
Firewallkonfiguration des DFN-CERT
Erstellt von Doc Gonzo - http://kickme.to/plugins