Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

entspricht exakt derjenigen, die im Checkpoint Firewall-1 "SynDefender Gateway" zum
Einsatz kommt.
14.19 TCP sequence number checking
SINUS Firewall kann einige weitere Angriffe wirkungsvoll bekämpfen, die vielen Anbietern
noch Probleme bereiten:
Spoofing
• Sequence number guessing
Erstellt von Doc Gonzo - http://kickme.to/plugins
Das Erraten der Sequenznummer ist ein Angriff der nur in derselben
collision domain funktioniert. Nach der Herstellung einer normalen ftp
oder telnet Verbindung kann ein Angreifer, sofern zwischen Client und
Server TCP Pakete mit Seriennummern ausgetauscht werden, die einem
bestimmten Muster folgen. Beispielsweise ist es unter BSD-UNIX üblich
die Inkrements dieser Seriennummern auf 128.000 festzusetzen. In dem
falle, daß ein Angreifer die TCP- Sequenznummern im Vorhinein
bestimmen kann, ist es ihm somit möglich, in einen Datenstrom seine
eigenen Befehle mit hinein zu schleusen. Wenn er aufgrund dessen, daß
er ja alle Pakete, die bisher zwischen Client und Server ausgetauscht
wurden, zudem noch in der Lage ist, die Prüfsummen korrekt vorher zu
berechnen und schneller, als der "echte" Client zu senden, dann hat der
die Verbindung übernommen. Dieser Trick wird noch sehr häufig
angewendet und ist unter "session hijacking" bekannt. Allerdings sind
hierzu noch einige Voraussetzungen notwendig. Erstens muß er schneller
auf den Server zugreifen können, als der echte Client, zweitens muß er
gleichzeitig "gespoofte" Pakete erzeugen und sämtliche zwischen Client
und Server ausgetauschten Pakete mitlauschen können, und zudem
einen schnellen Rechner besitzen. Programme, die diese Berechnungen
durchführen, gibt es überall im Internet zu finden. Der Aufenthaltsort des
Angreifers muß sich also entweder sehr nahe am Client oder am Server,
oder irgendwo zwischen diesen beiden Clients befinden. Hierzu müßte er
sich direkt in eine der Verbindungsleitungen auf dem Weg zwischen
Client und Server einklinken. Ohne diese Voraussetzungen würde ein
solcher Angriff kaum sofort gelingen, und die Firewall würde einen
solchen Angriff schnell bemerken können.
• TCP Prüfsummen
Die Überprüfung der TCP - Prüfsummen bei einigen Firewalls im Falle
dessen, daß ein SYN, RST oder FIN Segment eintrifft, wird vom TCP/IP
Stack nicht mehr durchgeführt. Ein Angreifer kann also, wenn er weiß,
daß die Firewall diese nicht mehr korrekt durchführt, Pakete so
konstruieren, daß mehrere simultane, genau vorher berechnete
Sequenzen dann durch die Firewall tunneln können, wenn eine der
Sequenzen ein RST oder FIN enthält. Die bis dahin im Eingangsbuffer
des TCP/IP Stacks eingegangenen Pakete werden also als Pakete mit
korrekter Prüfsumme betrachtet, und vom äußeren Filter (outbound) an
den inneren Filter (inbound) übergeben, den diese Pakete dann auch,
sofern sie korrekt berechnet wurden, überqueren können. Alle anderen
Hilfspakete werden dann schon am äußeren Filter gelöscht, sie haben
dann aber schon ihren Zweck erfüllt. Um diesen Angriff ausführen zu
können, muß der Angreifer sich sehr nahe an der Firewall selber
befinden, da es hierbei auf exaktes Timing im Millisekundenbereich oder
weniger ankommt.