Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Authentifizierung mittels Paketfilter

Frage Sicherheit Firewall

Mitglied: teret4242

teret4242 (Level 1) - Jetzt verbinden

02.02.2014 um 15:07 Uhr, 1616 Aufrufe, 6 Kommentare

Hallo,

es ist ja bekannt, dass Paketfilter so ihre Schwächen haben (Tunneling etc.). Allerdings gibt es ja auch einfachere Methoden, um einen Paketfilter überlisten zu können. Man benützt quasi die IP-Adresse eines Hosts, von dem man weiß, diesem werden mehr Rechte vom Paketfilter gewährt als einem selbst.

Nun stellt sich mir die Frage, ob es eine Möglichkeit gibt, diesen einfachen Angriff z.B. durch eine Authentifizierung am Paketfilter abwehren zu können?


LG

Mitglied: aqui
02.02.2014, aktualisiert um 15:51 Uhr
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach... Schon gar nicht bei Content aware Firewalls oder Routern, da ist dann auch mit Tunneling usw. Schicht im Schacht !
Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen. Bessere Switches und auch Router machen das mit 802.1x oder einer Web Authentisierung so quasi wie ein Hotspot.
Näheres zu diesen Verfahren erklären dir diese Forumstutorials:
http://www.administrator.de/wissen/netzwerk-zugangskontrolle-mit-802-1x ...
bzw.
http://www.administrator.de/wissen/wlan-oder-lan-gastnetz-einrichten-mi ...
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:12 Uhr
Zitat von aqui:
Diese lapidare Aussage gilt aber nur für einfache, statische Paketfilter und ist nur sehr bedingt richtig. Bei einer SPI
Firewall oder einem Router der SPI States in den Filtern mit berücksichtigt ist das dann nicht mehr so einfach...

Aus welchem Grund soll das dann nicht mehr so einfach sein? Wir reden hier ja von ausgehendem Datenverkehr, nicht von eingehendem...

Du kannst aber auch eine Authentisierung erzwingen um überhaupt aus einem Segment rauszukommen.

Klar, 802.1X wäre sicherlich eine der besten Möglichkeiten. Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren. Ist der Host bzw. User allerdings erstmal autorisiert, dann wird immer noch nicht geprüft, ob der Host mit der IP-Adresse xy tatsächlich der Host ist, der die IP-Adresse normalerweise haben sollte.
Bitte warten ..
Mitglied: aqui
02.02.2014, aktualisiert um 16:26 Uhr
Aus welchem Grund soll das dann nicht mehr so einfach sein?
Weil du dann z.B. als Angreifer die TCP Connection States mitberücksichtigen musst und dann ist das Faken einer IP oder Mac bzw. 2 Wege Datenstrom nicht mehr ganz so einfach. Ganz unterbinden kannst du es nicht, das ist richtig.
Allerdings auch nur um einen Host/User generell für das Netzwerk/VLAN zu authentifizieren
802.1x geht soweit das du pro User auch dynamische Port Accesslisten auf diese User vergeben kannst. Es hat den Vorteil das bei online Änderung der IP oder der Mac der EaPoL Sitzungsschlüssel verworfen wird und eine Neuauthentisierung erforderlich ist.
Eine 100% wasserdichte Lösung gibt es mit .1x aber nur wenn du mit Client Zertifikaten arbeitest, allerdings schützt das auch nicht direkt vor dem Überlisten von ACLs durch Fake IPs.
Wie immer ist nur die Kombination mehrer Verfahren erfolgreich unter anderem auch das Detektieren von Duplicate IPs durch dynmasiches Auswerten von doppelten ARPs oder Gratious ARPs mit einem IDS System und dem Distribuieren von Logout ACLs.
Damit würdes du ein Netzwerk wasserdicht machen. Rein mit Packet ACLs ist es nicht zu 100% zu machen.
Bitte warten ..
Mitglied: Lochkartenstanzer
02.02.2014, aktualisiert um 16:33 Uhr
Zitat von teret4242:

durch eine Authentifizierung am
Paketfilter abwehren zu können?

Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

lks
Bitte warten ..
Mitglied: teret4242
02.02.2014, aktualisiert um 16:36 Uhr
Zitat von aqui:
Rein mit Packet ACLs ist es nicht zu 100% zu machen.

Wäre auch zu einfach gewesen... Gibt es vielleicht Paketfilter die nicht nur auf Schicht 3/4 aktiv sind, sondern auch auf Schicht 2 (MAC-Adressen)? Dann wäre es zumindest nicht ganz so einfach wie rein IP-basierte ACL's.
Bitte warten ..
Mitglied: teret4242
02.02.2014 um 16:38 Uhr
Zitat von Lochkartenstanzer:
Du könntest nur Hosts vorbeilassen, die per IPsec mit dir kommunizieren (Host-to-Host-Konfiguration).

Und das unterstützen Paketfilter? Oder welche Art von Firewallmechanismus meinst du damit?
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(3)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
LAN, WAN, Wireless
gelöst 802.1x Authentifizierung - NPS - RADIUS MAC (4)

Frage von LKaderavek zum Thema LAN, WAN, Wireless ...

Windows Server
Frage zu Microsoft NPS + Radius Authentifizierung auf Switchen (5)

Frage von Axel90 zum Thema Windows Server ...

Sicherheit
Störung bei Ebay- und Paypal-Authentifizierung (9)

Information von DerWoWusste zum Thema Sicherheit ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
gelöst Server erkennt Client nicht wenn er ausserhalb des DHCP Pools liegt (28)

Frage von Mar-west zum Thema LAN, WAN, Wireless ...

Windows Server
Server 2008R2 startet nicht mehr (Bad Patch 0xa) (18)

Frage von Haures zum Thema Windows Server ...

Outlook & Mail
Outlook 2010 findet ost datei nicht (18)

Frage von Floh21 zum Thema Outlook & Mail ...