Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

schreiben, und per E-Mail an Mitarbeiter von Unternehmen zu versenden. Dieses von mir
verwendete .EXE Programm hat einen Portscan über alle IP-Nummern des
Netzwerkesbereiches der Arbeitsstation und einige Broadcast Pakete in das Intranet
versendet. Keine der Firmen hat diese bemerkt und Nachforschungen angestellt. Einige
Systemadministratoren haben bei einer anschließenden Besprechung diese zwar Scans
bemerkt, konnten jedoch die Ursache und Herkunft nicht ergründen.
Abschließend möchte ich behaupten, daß man jede Person die eine Zertifizierung als
MCSD besitzt und die die Möglichkeiten kennt (nach der Lektüre diese Handbuches
spätestens hat sie diese), wie man Angriffswerkzeuge schreibt, schon als potentiellen
Cracker betrachten muß, der über das Wissen verfügt, in beliebige Unternehmen
vorzudringen, und Informationen aus diesen in das Internet zu entführen.
32. Was Hersteller kommerzieller Firewalls verschweigen
Es gibt eine ganze Menge von kleinen Details, die Hersteller von renomierten Firewalls
gerne verschweigen. Man trifft auf diese Details dann, wenn man aus den RFC´s sich ein
ganz bestimmtes Protokoll heraussucht, und dieses genau analysiert. Im Quellcode von
LINUX 2.0 und 2.2 ist im Verzeichnis /usr/src/linux/net/ipv4 der Code der REALAUDIO,
CUSEEME und VDOLIVE Videokonferencing Protokolle zu finden.
Eine Besonderheit bei vielen Videokonferencing Protokollen ist, daß diese auf UDP
Übertragungen beruhen. Darin enthalten ist das RTP (Real Time Protocol), welches für
einen Ausgleich bei Schwankungen der Übertragungsgeschwindigkeit sorgt. Allen
Protokollen gemeinsam ist, daß die Übertragung durch ein TCP Paket z.B. auf Port 554
und 7070 (REALAUDIO) initiiert wird. Daraufhin sorgt der PROXY- Mechanismus dafür,
daß für eine Zeit von ca. 30 Sekunden die Firewall für UDP Pakete aus dem Internet
transparent wird. Das bedeutet, daß ein Surfer hinter der Firewall für Angriffe von dem
REALAUDIO Server und von beliebigen anderen Host im Internet, die mit gespooften
Adressen arbeiten, verletzlich wird. Diese systematischen Löcher in Firewalls wurden in
keinem mir bekannte Falle auch nur erwähnt oder sogar getestet. Dasselbe betrifft auch
RPC, also Protokolle, die sich aus TCP und UDP Paketen zusammensetzen. RPC´s
werden insbesondere von PDC´s und BDC's unter NT benutzt, also den Primary Domain
Controller in Netzwerken mit mehreren NT Servern.
Haben Sie sich noch nicht gefragt, über welchen Port, mit welchen
Verschlüsselungsalgorithmen und mit welchen Standard Paßworten sich Windows NT
Server untereinander austauschen ? Das Problem wird insbesondere dann interessant,
wenn es darum geht, die Security Policy umzusetzen. Angenommen, jede einzelne
Abteilung eines Unternehmens wird mit einer eigenen LINUX Firewall ausgestattet und
kann selber bestimmen, wer worauf Zugriff haben darf. Das komplexe RPC Protokoll muß
dann über die Firewall hinweg übertragen werden. Welche Ports werden von Windows NT
geöffnet, welche Protokolle werden wie übertragen, und wann können Ports wieder
geschlossen werden. Alle diese Fragen sollten Sie im mitgelieferten Handbuch Ihres
Betriebssystems und Ihrer Firewall finden.
Ein weiteres Problem betrifft SQL Datenbanken, welche mit Firewalls gesichert werden
müssen. In vielen Fällen ist die Vertraulichkeit der Daten für Unternehmen
überlebenswichtig. Leider hat es in der Vergangenheit mit u.a. auch mit ORACLE und
MSQL vor kurzem Fälle von Buffer Overflows gegeben, sodaß wichtige Daten des
Unternehmens ins Internet verschwunden sind.
Welche Parameterlängen kann der Firewall-Proxy abfangen, um Buffer Overflows zu
vermeiden ? Wird die Syntax der SQL Statements auf Zulässigkeit geprüft ? Wie man
schon erahnen kann, muß mit kommerziellen Firewalls und Betriebssystemen erheblich
kritischer umgegangen werden.
Erstellt von Doc Gonzo - http://kickme.to/plugins