Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 2. SICHERHEITSPROBLEME
ein Paket vom Rechner C über seine Schnittstelle S1 erhält und feststellt, daß er das Paket über S1
an den Router R2 weiterleiten muß, kann C eine ICMP redirect (Abbildung 2.5) Nachricht senden,
um ihm mitzuteilen, daß weitere Pakete mit diesem Ziel direkt an den Router R2 geschickt werden
können. Ein Angreifer kann ein ICMP redirect mit gefälschter Absenderadresse an einen Rechner
senden, so daß dieser seine Pakete nicht an einen Router, sondern an den Rechner des Angreifers
absendet [Bellovin 1989]. Auch reagieren manche Router auf ICMP redirect Nachrichten mit einer
Änderung ihrer Routing-Tabellen. Dies sollten sie i.d.R. nicht tun, da die Netztopologie in der näheren
Umgebung des Routers bekannt sein dürfte und Informationen über Topologieveränderungen nicht
von einem beliebigen, entfernten Rechner stammen können [Cheswick & Bellovin 1996].
0 7
15 16 31
Type = 5 Code = 0 - 3
Checksum
Router IP address to be used
IP header and first 8 bytes of datagram
Code:
0
2
for Network
1
3
for Host
for Service & Host
for Service
Abbildung 2.6: „ICMP redirect“ Datagramm
2.5.4 TCP
TCP (Transmission Control Protocol) bietet die verbindungsorientierte, korrekte Übertragung von Anwendungsdaten
an. Zu diesem Zweck setzt TCP bestimmte Mechanismen ein, die mögliche Reihenfolgevertauschungen
von Datagrammen auflösen und Übertragungsfehler korrigieren. Hierfür werden
die Pakete jeweils mit einer Sequenznummer versehen und empfangene Bytes durch sog. Acknowledgements
bestätigt. Auch Verbindungen können von fremden Rechnern unterbrochen, gefälscht und sogar
übernommen werden. Wesentlicher Mechanismus ist dabei das Fälschen der IP-Absenderadresse.
Das Problem des Angreifers besteht darin, daß die Antworten des Servers 2 an den im Paket angegebenen
Absender zurückgeschickt werden; sie sind für den Angreifer also i.A. nicht sichtbar. Dies
bedeutet, daß die entsprechenden Sequenznummern dieser Antwortsegmente geraten werden müssen,
um den Empfang zu bestätigen. Zudem wird ein Angreifer verhindern müssen, daß vom realen Client
keine Reset-Pakete an den Server gesendet werden, da ein unvorhergesehenes Paket die Verbindung
beenden kann. I.d.R. wird als Absender die IP-Adresse eines Rechners angegeben, der entweder nicht
in Betrieb ist oder aber durch einen gezielten Denial-of-Service-Angriff lahmgelegt wurde (z.B. Syn
Flooding, Abschnitt 2.5.4).
Denial-of-Service-Angriffe über TCP
Mittels TCP läßt sich ein Rechner daran hindern, weitere Verbindungen entgegenzunehmen. Dies geschieht
durch das Senden von Verbindungsanfragen (gesetztes SYN Bit), wobei das zurückkommende
2 Im folgenden wird der Rechner, der einen Verbindungsaufbau initiiert (Systemaufruf connect), als Client bezeichnet,
und der Rechner, der diese Verbindung entgegennimmt (Systemaufrufe listen, accept), wird Server genannt.
32 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen