Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Der DFN-CERT in Hambung hat seit einigen Jahren eine äußerst einfache und scheinbar
unüberwindbare Sicherheitslösung im Einsatz, die weder eine Firewall noch einen Proxy
einsetzt. Wie besteht aus einem alten Paketfilter (DRAWBRIDGE), der die
Arbeitsstationen von dem Internet abtrennt. Über diesen Paketfilter wird über einen SSH-
Kryptokanal der externe WWW-Server administriert. Der WWW-Server ist ein in einer
chroot() Umgebung laufender und mit minimalen Userrechten ausgestatteter und minimal
modifizierter CERN-HTTPD Server. Als Betriebssystem arbeitet ein einfaches FreeBSD-
UNIX, dessen Funktionsumfang auf ein Minimum reduziert wurde. Diese Maßnahmen
wurden notwendig, da dieser Server wichtige Software zur Sicherung von
Betriebssystemen anbietet. Ein Einbruch hätte fatale Folgen. Eine Suchmaschine, die die
Inhalte des WWW-Servers indiziert, besitzt eine dedizierte Hardware. Sie ist zwar ähnlich
abgesichert, es konnte aber aufgrund der Komplexität keine Garantie für die Sicherheit
gegen »buffer overflows« gegeben werden. Da ist insofern nicht weiter wichtig, als das ein
Angreifer höchtens die Suchausgabe verfälschen, nicht aber die Dokumente auf dem
WWW-Server verändern kann. E-Mails werden von den Arbeitsstationen (kein Windows)
über den Paketfilter hinweg direkt von einem E-Mail-Server des DFN geladen. E-Mails
werden bei CERT wegen der Vertraulichkeit der Informationen generell verschlüsselt.
(PGP) Damit sind die Arbeitsstationen im Netzwerk nicht gegen trojanische Pferde
gesichert. E-Mails mit Attachments werden separat auf eine Floppy kopiert und auf einem
dedizierten Arbeitsplatzrechner ohne Netzwerkanschluß untersucht. Diese Konfiguration,
die über lange Jahre von Wolfgang Ley betreut und verbessert wurde, hat jahrelang jedem
Angriffsversuch standgehalten. Die Zahl der registrierten Angriffe geht in die Tausende.
Dies zeigt, daß ein vernünftiges Sicherheitskonzept, äußerst strenge
Sicherheitsvorschriften ein vielfaches mehr an Sicherheit bietet, als der Einsatz einer
Firewall in Verbindung mit einem beliebigen Server.
Sind die Firewall-Dämonen selber gegen »buffer overflows«
gesichert?
Genau kann man das nur sagen, wenn der Quellcode vorliegt. Das TIS FWTK (Gautlet)
hatte z.B ein solches Problem, welches über Jahre bestanden hat - es ist inzwischen
korrigiert. Betrachtet man die Aufgaben und Funktionsweisen einer modernen Firewall:
Authentifizierung, Filter, ....so ist klar, daß theoretisch im Falle, daß ein Programmierfehler
vorliegt, eine Firewall ebenso verletzbar ist, wie ein normales Betriebssystem. Fast alle
Firewallhersteller trennen den Firewalldämon, der sich zwischen 2 Netzwerkinterfaces im
Data-Link-Layer einklinkt von dem Administrations - Programm. Der Firewalldämon
(Filter...) selber ist nicht empfindlich, da er ja nur Pakete auf einem Netzwerkinterface
entgegennimmt, und nach einer Inspektion diese weiterleitet oder verwirft. Problematisch
ist stets die Administration aus der Ferne. Probleme, die z.B. bei SSH oder PGP
aufgetreten sind, zeugen davon, daß auch Dämonen, die eigens für starke
Verschlüsselung und Authentifizierung programmiert wurden, anfällig gegen buffer
overflows sind. Jede Art Fernadministration ist mit einem Risiko verbunden. Firewalls, die
remote über WWW-Browser mit SSL - Verschlüsselung administriert werden, sind evtl.
verletzbar. Das Sicherheitsproblem könnte dann beim WWW-Server liegen. Um
sicherzugehen, sollte auf einer Firewall neben dem Firewall - Programm und dem
dazugehörigen Konfigurationsprogramm kein anderer Dienst oder Programm aktiviert
sein. Dazu gehört auch die remote Administration. Es gibt allerdings auch Firewalls, die
(SPLIT)DNS Dienste und SMTP - Dienste anbieten (keine PROXY´s) Prinzipiell ist auch
hier ein buffer overflow möglich. Aus diesem Grunde sollten stets mehrere Firewalls von
unterschiedlichen Herstellern zum Einsatz kommen.
Wie entdecke ich einen Angriff mit »buffer overflow«
Ein Angriff mit »buffer overflow« ist nicht zu entdecken, da er im Idealfall nur ein paar
»^P^P^P« oder andere wirre Buchstaben in Logfiles hinterläßt. Diese »Relikte« werden
von allen Angreifern (die mir bisher untergekommen sind) beseitigt. Ein Einbruch kann nur
bemerkt werden, wenn man diese Buchstaben »trappt« und z.B, falls diese im Logfile
erscheinen, sofort, bevor der Angreifer die Spuren verwischen kann, den Server anhält
»halt« Dann kann man sich »post mortem« an die Spuren - Auswertung machen. Hierzu
muß man jedoch die Angriffe selber einmal »ausprobiert« haben. Angriffe mit
Erstellt von Doc Gonzo - http://kickme.to/plugins