Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

zu entfernen. Damit kann der DNS - Server das UDP Protokoll nicht mehr verwenden.
(Leider machen nicht alle DNS Server dieses Spiel mit)
Fassen wir einmal die Unterschiede zwischen TCP und UDP zusammen:
TCP Pakete
• SYN Bit bei Verbindungsaufbau
• Nach dem Verbindungsaufbau werden Port > 1024 verwendet (BSD-
Konvention)
• Der Kernel kennt alle angeforderten Pakete
• ACK Bit bei allen anderen Paketen gesetzt
• SYN+ACK Bit wird abgelehnt
• Prüfsummen werden vom Kernel generiert
• Verlorene Pakete werden vom Kernel neu angefordert
• TCP besitzt einen großen Overhead
• Protokolle, wie FTP benötigen eine besondere Behandlung (PASV)
UDP Pakete
• UDP besitzt kein SYN oder ACK Bit
• Nach dem Verbindungsaufbau werden dieselben Ports verwendet
• Der Kernel muß UDP Pakete ins Intranet freigegeben haben
• Es werden keine Prüfsummen generiert
• Verlorene Pakete sind verloren
• UDP ist effizient
• Viele Protokolle verwenden TCP und UDP
Die Nachteile bei der Sicherheit von UDP müssen teilweise von den
Anwendungsprogrammen abgefangen werden. Hierzu gehören:
• Generierung von Prüfsummen
• Evtl. Neuanforderung von verlorenen Paketen
• Absprache über verwendete Ports > 1024
• Eingrenzung von verwendeten Ports
• Verknüpfung von TCP und UDP Paketen (DNS, NFS....)
Welche Auswirkungen hat dies auf die Firewallregeln ? Zuerst muß festgestellt
werden, wie die Firewall mit UDP Paketen umgeht. Hierzu kann man entweder einige
Tests durchführen, oder - den Quellcode anschauen. Wir möchten z.B. wissen, ob auf der
Firewall generell alle UDP Pakete aus dem Internet freigegeben werden müssen, oder ob
die Firewall genau weiß, wann ein Paket gesendet wurde, und ob ein Datenstrom auf
genau diesem Port zurück erwartet wird. UDP Pakete von anderen Hosts mit anderen
Ports sollte sie ablehnen können. Im Gegensatz zu normalem Paketfiltering beherrscht
natürlich LINUX das dynamische Paketfiltering. LINUX führt stets sowohl für TCP und
UDP Tabellen, in denen vermerkt wird, ob ein Paket aus dem Internet angefordert wurde,
welche IP - Nummern beteiligt sind, und welche Ports diese Benutzen. Ein Angreifer hätte
dann wohl kaum Chancen, von außerhalb irgendeinen Server hinter der Firewall zu
erreichen zu können.
Wie ist es denn mit Spoofing ? Gespoofte TCP Pakete werden erkannt und
abgelehnt, wie ist das mit UDP Paketen ? Nun, der Test auf gespoofte Pakete wird auf
der IP Ebene vorgenommen. Da TCP und UDP auf IP Ebene aufsetzen, existiert also
auch hier Schutz vor spoofing.
Wo liegen also die angeblichen Gefahren von UDP ? Nun, um die Gefahren genau
abschätzen zu können, muß man bei der Installation der Firewall genau wissen, ob ein
Erstellt von Doc Gonzo - http://kickme.to/plugins