Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Authentifizierung mittels Paketfilter

Frage Sicherheit Firewall

Mitglied: teret4242

teret4242 (Level 1) - Jetzt verbinden

02.02.2014 um 15:07 Uhr, 1639 Aufrufe, 6 Kommentare

Hallo,

es ist ja bekannt, dass Paketfilter so ihre Schwächen haben (Tunneling etc.). Allerdings gibt es ja auch einfachere Methoden, um einen Paketfilter überlisten zu können. Man benützt quasi die IP-Adresse eines Hosts, von dem man weiß, diesem werden mehr Rechte vom Paketfilter gewährt als einem selbst.

Nun stellt sich mir die Frage, ob es eine Möglichkeit gibt, diesen einfachen Angriff z.B. durch eine Authentifizierung am Paketfilter abwehren zu können?


LG

Mitglied: aqui
02.02.2014, aktualisiert um 15:51 Uhr
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach... Schon gar nicht bei Content aware Firewalls oder Routern, da ist dann auch mit Tunneling usw. Schicht im Schacht !
Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen. Bessere Switches und auch Router machen das mit 802.1x oder einer Web Authentisierung so quasi wie ein Hotspot.
Näheres zu diesen Verfahren erklären dir diese Forumstutorials:
http://www.administrator.de/wissen/netzwerk-zugangskontrolle-mit-802-1x ...
bzw.
http://www.administrator.de/wissen/wlan-oder-lan-gastnetz-einrichten-mi ...
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:12 Uhr
Zitat von aqui:
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI
Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach...

Aus welchem Grund soll das dann nicht mehr so einfach sein? Wir reden hier ja von ausgehendem Datenverkehr, nicht von eingehendem...

Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen.

Klar, 802.1X wäre sicherlich eine der besten Möglichkeiten. Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren. Ist der Host bzw. User allerdings erstmal autorisiert, dann wird immer noch nicht geprüft, ob der Host mit der IP-Adresse xy tatsächlich der Host ist, der die IP-Adresse normalerweise haben sollte.
Bitte warten ..
Mitglied: aqui
02.02.2014, aktualisiert um 16:26 Uhr
Aus welchem Grund soll das dann nicht mehr so einfach sein?
Weil du dann z.B. als Angreifer die TCP Connection States mitberücksichtigen musst und dann ist das Faken einer IP oder Mac bzw. 2 Wege Datenstrom nicht mehr ganz so einfach. Ganz unterbinden kannst du es nicht, das ist richtig.
Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren
802.1x geht soweit das du pro User auch dynamische Port Accesslisten auf diese User vergeben kannst. Es hat den Vorteil das bei online Änderung der IP oder der Mac der EaPoL Sitzungsschlüssel verworfen wird und eine Neuauthentisierung erforderlich ist.
Eine 100% wasserdichte Lösung gibt es mit .1x aber nur wenn du mit Client Zertifikaten arbeitest, allerdings schützt das auch nicht direkt vor dem Überlisten von ACLs durch Fake IPs.
Wie immer ist nur die Kombination mehrer Verfahren erfolgreich unter anderem auch das Detektieren von Duplicate IPs durch dynmasiches Auswerten von doppelten ARPs oder Gratious ARPs mit einem IDS System und dem Distribuieren von Logout ACLs.
Damit würdes du ein Netzwerk wasserdicht machen. Rein mit Packet ACLs ist es nicht zu 100% zu machen.
Bitte warten ..
Mitglied: Lochkartenstanzer
02.02.2014, aktualisiert um 16:33 Uhr
Zitat von teret4242:

durch eine Authentifizierung am
Paketfilter abwehren zu können?

Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

lks
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:36 Uhr
Zitat von aqui:
Rein mit Packet ACLs ist es nicht zu 100% zu machen.

Wäre auch zu einfach gewesen... Gibt es vielleicht Paketfilter die nicht nur auf Schicht 3/4 aktiv sind, sondern auch auf Schicht 2 (MAC-Adressen)? Dann wäre es zumindest nicht ganz so einfach wie rein IP-basierte ACL's.
Bitte warten ..
Mitglied: teret4242
02.02.2014 um 16:38 Uhr
Zitat von Lochkartenstanzer:
Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

Und das unterstützen Paketfilter? Oder welche Art von Firewallmechanismus meinst du damit?
Bitte warten ..
Ähnliche Inhalte
Windows Netzwerk
Domänen Authentifizierung über Internet (11)

Frage von EditorialBagPipe zum Thema Windows Netzwerk ...

LAN, WAN, Wireless
gelöst WLAN Authentifizierung über Zertifikat (3)

Frage von Phill93 zum Thema LAN, WAN, Wireless ...

Sicherheit
Störung bei Ebay- und Paypal-Authentifizierung (9)

Information von DerWoWusste zum Thema Sicherheit ...

Netzwerkgrundlagen
gelöst Experte für RADIUS-Authentifizierung (16)

Frage von osze90 zum Thema Netzwerkgrundlagen ...

Neue Wissensbeiträge
Windows Server

Umstellung SHA 1 auf SHA 2 - Migration der CA von CSP auf KSP

Tipp von Badger zum Thema Windows Server ...

Windows 10

Quato DTP94 unter Windows 10 x64 installieren und verwenden

Anleitung von anteNope zum Thema Windows 10 ...

Windows 10

Win10 1703 und Nutzerkennwörter bei Ersteinrichtung - erstaunliche Erkenntnis

(15)

Erfahrungsbericht von DerWoWusste zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Windows 10
Windows 10 im Unternehmen? (26)

Frage von zorlayan zum Thema Windows 10 ...

LAN, WAN, Wireless
Ping u. DNS geht am Rechner nicht mehr (19)

Frage von Kuemmel zum Thema LAN, WAN, Wireless ...

Festplatten, SSD, Raid
Raid 1 2 SSD mit Windows Server 2016 (17)

Frage von jaywee zum Thema Festplatten, SSD, Raid ...

Voice over IP
Über Fritzfax over IP gehen nur einige Faxe (12)

Frage von shearer9 zum Thema Voice over IP ...