Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Authentifizierung mittels Paketfilter

Frage Sicherheit Firewall

Mitglied: teret4242

teret4242 (Level 1) - Jetzt verbinden

02.02.2014 um 15:07 Uhr, 1633 Aufrufe, 6 Kommentare

Hallo,

es ist ja bekannt, dass Paketfilter so ihre Schwächen haben (Tunneling etc.). Allerdings gibt es ja auch einfachere Methoden, um einen Paketfilter überlisten zu können. Man benützt quasi die IP-Adresse eines Hosts, von dem man weiß, diesem werden mehr Rechte vom Paketfilter gewährt als einem selbst.

Nun stellt sich mir die Frage, ob es eine Möglichkeit gibt, diesen einfachen Angriff z.B. durch eine Authentifizierung am Paketfilter abwehren zu können?


LG

Mitglied: aqui
02.02.2014, aktualisiert um 15:51 Uhr
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach... Schon gar nicht bei Content aware Firewalls oder Routern, da ist dann auch mit Tunneling usw. Schicht im Schacht !
Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen. Bessere Switches und auch Router machen das mit 802.1x oder einer Web Authentisierung so quasi wie ein Hotspot.
Näheres zu diesen Verfahren erklären dir diese Forumstutorials:
http://www.administrator.de/wissen/netzwerk-zugangskontrolle-mit-802-1x ...
bzw.
http://www.administrator.de/wissen/wlan-oder-lan-gastnetz-einrichten-mi ...
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:12 Uhr
Zitat von aqui:
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI
Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach...

Aus welchem Grund soll das dann nicht mehr so einfach sein? Wir reden hier ja von ausgehendem Datenverkehr, nicht von eingehendem...

Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen.

Klar, 802.1X wäre sicherlich eine der besten Möglichkeiten. Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren. Ist der Host bzw. User allerdings erstmal autorisiert, dann wird immer noch nicht geprüft, ob der Host mit der IP-Adresse xy tatsächlich der Host ist, der die IP-Adresse normalerweise haben sollte.
Bitte warten ..
Mitglied: aqui
02.02.2014, aktualisiert um 16:26 Uhr
Aus welchem Grund soll das dann nicht mehr so einfach sein?
Weil du dann z.B. als Angreifer die TCP Connection States mitberücksichtigen musst und dann ist das Faken einer IP oder Mac bzw. 2 Wege Datenstrom nicht mehr ganz so einfach. Ganz unterbinden kannst du es nicht, das ist richtig.
Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren
802.1x geht soweit das du pro User auch dynamische Port Accesslisten auf diese User vergeben kannst. Es hat den Vorteil das bei online Änderung der IP oder der Mac der EaPoL Sitzungsschlüssel verworfen wird und eine Neuauthentisierung erforderlich ist.
Eine 100% wasserdichte Lösung gibt es mit .1x aber nur wenn du mit Client Zertifikaten arbeitest, allerdings schützt das auch nicht direkt vor dem Überlisten von ACLs durch Fake IPs.
Wie immer ist nur die Kombination mehrer Verfahren erfolgreich unter anderem auch das Detektieren von Duplicate IPs durch dynmasiches Auswerten von doppelten ARPs oder Gratious ARPs mit einem IDS System und dem Distribuieren von Logout ACLs.
Damit würdes du ein Netzwerk wasserdicht machen. Rein mit Packet ACLs ist es nicht zu 100% zu machen.
Bitte warten ..
Mitglied: Lochkartenstanzer
02.02.2014, aktualisiert um 16:33 Uhr
Zitat von teret4242:

durch eine Authentifizierung am
Paketfilter abwehren zu können?

Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

lks
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:36 Uhr
Zitat von aqui:
Rein mit Packet ACLs ist es nicht zu 100% zu machen.

Wäre auch zu einfach gewesen... Gibt es vielleicht Paketfilter die nicht nur auf Schicht 3/4 aktiv sind, sondern auch auf Schicht 2 (MAC-Adressen)? Dann wäre es zumindest nicht ganz so einfach wie rein IP-basierte ACL's.
Bitte warten ..
Mitglied: teret4242
02.02.2014 um 16:38 Uhr
Zitat von Lochkartenstanzer:
Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

Und das unterstützen Paketfilter? Oder welche Art von Firewallmechanismus meinst du damit?
Bitte warten ..
Ähnliche Inhalte
Virtualisierung
Virtual Box VM über Proxy mit Authentifizierung kein Internetzugriff (1)

Frage von blade999 zum Thema Virtualisierung ...

Windows Server
Sharepoint - Win10 fragt nach erneuter Authentifizierung, Win8.1 nicht (4)

Frage von DerWoWusste zum Thema Windows Server ...

Microsoft
LDAP-RADIUS Authentifizierung VPN bei abgelaufenen Kennwort. (8)

Frage von UnbekannterNR1 zum Thema Microsoft ...

Netzwerke
Mieter WLAN mit Authentifizierung und Bandbreitenmanagement (3)

Frage von routetonowhere zum Thema Netzwerke ...

Neue Wissensbeiträge
Sicherheits-Tools

Sicherheitstest von Passwörtern für ganze DB-Tabellen

(1)

Tipp von gdconsult zum Thema Sicherheits-Tools ...

Peripheriegeräte

Was beachten bei der Wahl einer USV Anlage im Serverschrank

(9)

Tipp von zetboxit zum Thema Peripheriegeräte ...

Windows 10

Das Windows 10 Creators Update ist auf dem Weg

(6)

Anleitung von BassFishFox zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Batch & Shell
gelöst ZIP-Archive nach Dateien durchsuchen und Pfade ausgeben (33)

Frage von evinben zum Thema Batch & Shell ...

Router & Routing
Routingproblem in Homerouter-Kaskade mit Raspi (20)

Frage von Oldschool zum Thema Router & Routing ...

Server
Freenas schlechte Schreib Performance bei NFS (16)

Frage von janosch12 zum Thema Server ...

C und C++
Methode multiple return values (8)

Frage von mayho33 zum Thema C und C ...