Hi!
Da ich grad dabei bin, mich mit Verschlüsselungstechniken zu beschäftigen, ergibt sich bei mir folgende Frage:
Wenn ich eine (vorrangig TCP-)Nachricht an eine IP schicke, wo kann diese Nachricht dann abgefangen werden? Packet Sniffer können dies jeweils an den zwei beteiligten Rechnern tun. Welche Angriffsmöglichkeiten ergeben sich dabei zusätzlich?

Dabei ist v.a. der Einsatz im LAN gedacht. Aber ein Einsatz über VPN ist ebenfalls möglich.

Gruß
alias5000


Moderiert von raziel: Topic aus Algorithmen, Optimierung und Assembler verschoben am So 27.05.2007 um 07:36

Alle Rechner die die Datenpakete passieren, wenn deren Netzwerkkarte sich im Promiscuous-Modus befinden

Wann befindet die sich in dem genannten Modus normalerweise?

Wenn ich mich im non-Promiscuous-Modus befinde, werden Pakete, die die Netzwerkkarte bekommt, aber nicht für diesen Rechner bestimmt sind, nicht an das OS weitergegeben und sind damit nicht abfangbar. Richtig?

An wen gehen Datenpakete, wenn ich an eine IP im LAN etwas sende?
Wenn ich z.B. nen Router im LAN habe, geht die Nachricht von Rechner1 zum Router zu Rechner2. Oder erhalten andere Rechner diese Nachricht auch, obwohl sie diese gar nicht verarbeiten sollen?

Muss eine Netzwerkkarte im Promiscuous-Modus sein, wenn ihr PC Routerfunktionen (o.ä., sprich, dass dieser bedingt durch die Netzwerkkonfiguration, Nachrichten von Rechner1 zu Rechner2 über seinen laufen hat) hat?
Meine Netzwerkkarte kann ich beliebig in den Promiscuous-Modus setzen, oder geschieht das automatisch?

Gruß
alias5000

@Team: Ich weiß, das sind deutlich mehr, als eine Frage, aber die hängen hier verdammt stark zusammen

Zitat:

Wann befindet die sich in dem genannten Modus normalerweise?

Nur wenn der Treiber explizit dazu aufgefordert wird

Zitat:

Wenn ich mich im non-Promiscuous-Modus befinde, werden Pakete, die die Netzwerkkarte bekommt, aber nicht für diesen Rechner bestimmt sind, nicht an das OS weitergegeben und sind damit nicht abfangbar. Richtig?

Ja.

Zitat:

Meine Netzwerkkarte kann ich beliebig in den Promiscuous-Modus setzen, oder geschieht das automatisch?

Geschiet normalerweise durch die Installation eine speziellen Treibers (WinPCap bei Ethereal/WireShark)

Moin!

alias5000 hat folgendes geschrieben:

Wenn ich mich im non-Promiscuous-Modus befinde, werden Pakete, die die Netzwerkkarte bekommt, aber nicht für diesen Rechner bestimmt sind, nicht an das OS weitergegeben und sind damit nicht abfangbar. Richtig?

Ähm, korrekt wäre "promiscous mode" und meint: die Karte(!) filtert nicht nach der eigenen MAC-Adresse, sondern nimmt alle Pakete an (Broadcasts gehen sowieso immer durch).

alias5000 hat folgendes geschrieben:

An wen gehen Datenpakete, wenn ich an eine IP im LAN etwas sende? Wenn ich z.B. nen Router im LAN habe, geht die Nachricht von Rechner1 zum Router zu Rechner2. Oder erhalten andere Rechner diese Nachricht auch, obwohl sie diese gar nicht verarbeiten sollen?

Das hängt davon ab, wie dein Netz/LAN aufgebaut ist. Mit "alle Rechner" meinte mkinzler sicherlich nicht nur PCs, sondern auch sonstige Netzwerkkomponenten, also Switche/Hubs, Router, Printserver, etc.
Evtl. hast du auch noch übersehen, dass die IP-Adressen nicht der unterste Layer in der Kommunikation sind, die tatsächliche Adressierung im LAN erfolgt auf MAC-Adress-Basis. Hier treffen dann Switche bereits eine Auswahl, wo das Paket "zu sehen" ist. Bei deinem Konkreten Beispiel: PC1 an PC2 im LAN: PC1 stellt bereits fest, dass PC2 im LAN erreichbar ist und gibt eine entsprechende MAC an, so dass der Switch das Paket auch nur an PC2 weiterleitet (das würde ein Hub nicht tun, der verteilt an alle anderen), so dass der Router das Paket erst gar nicht zu sehen kriegt.

alias5000 hat folgendes geschrieben:

Muss eine Netzwerkkarte im Promiscuous-Modus sein, wenn ihr PC Routerfunktionen (o.ä., sprich, dass dieser bedingt durch die Netzwerkkonfiguration, Nachrichten von Rechner1 zu Rechner2 über seinen laufen hat) hat?

Nein, natürlich nicht! Das Thema Adressierung solltest du vielleicht nochmal näher beleuten. Besonders der Zusammenhang zwischen IP und MAC beim Routing dürfte da bei dir noch etwas "Nachholbedarf" haben.

cu
Narses

Vielen Dank, ihr beiden!

Hast du Quellen, wo ich mir dieses Thema relativ grundlegend anlesen kann? Ich habe danach schon einmal ein wenig Ausschau gehalten, aber habe da kein wirklich zusammenhängendes Werk dazu gefunden (wikipedia z.B. )

Gruß
alias5000

Moin!

Hm, mit Quellen meinst du sicher Links leider nein, ausser den RFCs wüsste ich auf Anhieb nix, evtl. ist das Stichwort ARP (address resolution protocol) vielleicht noch was "wert".

Als "Hardware-Link" (=Buch) empfehle ich das TCP/IP-Kompendium (hrmpf, mir fällt grad der Name nicht ein, hat dieses Krabbenviech aufm Titel... ).

cu
Narses

Durch ARP POISION ROUTING lässt sich der Datenverkehr zweier Computer im LAN durchaus durch einen dritten leiten lassen, ohne, dass die beiden andern Rechner etwas davon mitbekommen. Es gibt einige Tools, bei denen man nur die IP-Adressen der beiden Rechner angeben muss, und schon wird alles über den eigenen Rechner geroutet.

Moin!

Womit wir beim Thema Risikobewertung wären. So einen Angriff würde ich eher gering bewerten, weil: wenn ein Angreifer schon so hohe Rechte auf einem System hat, dass er Zugriff auf die ARP-Tabelle erhält, dann brauchst du dir über Datenspionage im Netz glaub ich keine Gedanken mehr zu machen...

cu
Narses

Genauergesagt, man braucht überhaupt keine Rechte auf dem anderen System. Es reicht, wenn der Zielcomputer seine ARP-Tabelle ändert, sobald ein (von ihm nicht angeforderter) ARP-Reply hereinkommt, und das tun so ziemlich alle Rechner. Und es ist sehr einfach so einen "gefakten" ARP-Reply so versenden.

Moin!

Womit wir immernoch beim Thema Risikobewertung wären.

Chryzler hat folgendes geschrieben:

Es reicht, wenn der Zielcomputer seine ARP-Tabelle ändert, sobald ein (von ihm nicht angeforderter) ARP-Reply hereinkommt

OK, sagen wir mal mittleres Risiko, denn es muss immerhin auch noch LAN-Zugriff bestehen, was ja nicht grundsätzlich selbstverständlich ist! Intrusion-Detection-Systeme bzw. "gute" Firewalls sollten sowas aber fangen.

Diese low-level-Tricks sind aber insgesamt eher schwächliche Angriffe, da damit nur Klartext-Daten abgegriffen werden können - was nutzt dir das bei einem verschlüsselten Transfer? Nix... Wer wichtige Daten unverschlüsselt transportiert, hat per Definition kein Interesse an Sicherheit.

cu
Narses

Narses hat folgendes geschrieben:

Diese low-level-Tricks sind aber insgesamt eher schwächliche Angriffe, da damit nur Klartext-Daten abgegriffen werden können - was nutzt dir das bei einem verschlüsselten Transfer? Nix... Wer wichtige Daten unverschlüsselt transportiert, hat per Definition kein Interesse an Sicherheit.

Interessante Annahme, aber besonders bei Normalanwendern nicht immer gegeben. Oft muss man zwischen Komfort und Sicherheit abwägen. Und Klartextübertragung ist immer noch die mit dem höchsten Komfort. Klar kann ich mir ein IPsec-Netz einrichten, aber dafür brauche ich in der Regel zusätzliche Hardware, zusätzliche Software und ein nicht-triviales Maß an Know-How.
Abgesehen davon können Verschlüsselungsverfahren auch gebrochen werden, im einfachsten Fall durch die Wahl eines schwachen Passwortes oder schon durch die Verwendung eines schwachn Verschlüsselungsverfahrens.
Genauso ist es nicht immer zu vermeiden, unbekannte aus dem LAN auszusperren. Denke an ein Universitätsnetzwerk, ein Studentenwohnheim oder ein Firmennetzwerk, in dem du nicht beliebig Leute aussperren kannst, weil du selbst nur Benutzer und nicht Operator bist. Hier kannst du dir nicht aussuchen, ob ein Angreifer im Netzwerk ist, oder nicht. Wir haben in der Vorlesung mit dem (bekannten und leicht zugänglichen) WEP-Passphrase schon einigen Netzwerktraffic mitgesnifft und entschlüsselt. Ein Angriff auf den Passphrase selbst wäre bei längerer Aufzeichnungsdauer auch kein Problem gewesen.
Aber für das kleine Netzwerk zuhause besteht sicherlich keine Abhörmöglichkeit zwischen Rechner und Telefondose.