Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 1. GRUNDLAGEN: INTERNET-PROTOKOLLE
ßen (Abbauen) definiert. Der Endpunkt eines Netzwerk-Datenstroms wird in der OSI-Terminologie
als „Service Access Point“ (SAP) bezeichnet. In UNIX heißt die Implementierung eines SAPs Socket.
Ein (TCP)Socket verhält sich aus Sicht der Programmiererin ähnlich wie ein Dateideskriptor (d.h. die
Operationen Öffnen, Lesen, Schreiben und Schliessen für Dateideskriptoren können auch auf Sockets
angewendet werden), wobei das Lesen von Daten einer Empfangsoperation entspricht und das Schreiben
von Daten einer Sendeoperation entspricht.
Netzwerk-Dateideskriptoren (Sockets) werden mit dem Aufruf socket() erzeugt. Danach gibt es
zwei Wege. Soll der Socket zur Annahme von Verbindungen dienen, (z.B. für Server) oder soll lediglich
eine Verbindung zu einem anderen Rechner aufgebaut werden (typischerweise bei Clients). Die
Art des (TCP)Sockets wird nur durch die (für die Programmiererin nicht direkt sichtbaren) Zustände
des TCP-Automaten bestimmt. Welchen Zustand der Automat einnimmt, bestimmt die Programmiererin
durch die weiteren Systemaufrufe.
Zunächst kann dem Socket eine IP-Adresse und eine Portnummer mittels bind() zugeordnet werden.
Für Server-Sockets ist dieser Schritt zwingend, bei Client Sockets wird dies notfalls vom Betriebssystem
während des connect() Aufrufs nachgeholt (das Betriebssystem ordnet dann eine nach
betriebssysteminternen Regeln gewählte Portnummer zu).
Für Server-Sockets wird der Socket mit listen() in den gleichnamigen Zustand versetzt (in Abbildung
1.7 der Übergang mit passive open nach LISTEN). In diesem, auch als halboffen bezeichnetem
Zustand, wartet der Socket auf Verbindungsaufbauwünsche. Der Aufruf accept() nimmt einen solchen
Wunsch entgegen und bewirkt zweierlei: Vom Socket wird eine Kopie erzeugt und der Programmiererin
zurückgegeben, während der alte Socket im Zustand LISTEN bleibt, damit weitere Verbindungen
angenommen werden können. Der alte Socket repräsentiert weiter den Endpunkt einer halboffenen
Verbindung (nur an Empfänger-IP-Adresse und Empfänger-TCP-Portnummer gebunden), während
der neue, von accept() zurückgelieferte Socket den Endpunkt einer vollständigen Verbindung
repräsentiert und zur weiteren Kommunikation mit dem fremden Host genutzt wird.
Clients nehmen mittels connect() Verbindung zum Server auf (was dem Übergang active open von
CLOSED nach SYN-SEND in Abbildung 1.7 entspricht) und können unmittelbar danach mit der Kommunikation
beginnen.
Die weiteren Aufrufe und ihr Zusammenhang mit den Zustandsübergängen des TCP-Automaten und
den einzelnen Feldern im TCP-Kopf wird nun in den folgenden Abschnitten 1.4.3, 1.4.4 und 1.4.5
genauer behandelt.
1.4.3 Verbindungsaufbau
Der Verbindungsaufbau bei TCP wird als Three-Way-Handshake bezeichnet, weil dabei drei Datenpakete
zwischen den beteiligten Rechnern ausgetauscht werden, wie Abbildung 1.7 zeigt.
Der Initiator der Verbindung beginnt, in dem er ein Paket mit dem SYN-Flag zum Kommunikationspartner
sendet. Die Sequenznummer wird dabei vom Betriebssystem zufällig gewählt. Der Partner
antwortet mit einem Datenpaket, das zwei Aufgaben hat. Erstens wird der Empfang des ersten Paketes
bestätigt. Dazu wird im Antwortpaket das ACK-Flag gesetzt und eine Bestätigungsnummer gewählt,
die der Sequenznummer des ersten Paketes entspricht. Zweitens wird durch eine eigene Sequenznummer
und das SYN-Flag die Annahme der Verbindung dem Initiator gegenüber bestätigt. Der Initiator
bestätigt den Empfang des zweiten Paketes durch Senden eines Antwortpaketes, in dem das ACK-Flag
gesetzt ist und die Bestätigungsnummer der Sequenznummer ·1 des Partners entspricht. Obwohl das
12 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen