Idee für Sicherungssoftware

[Jens22]

Hallo,
ich halte generell nichts von Firewalls die über etliche Umwege meinem System zich Informationen vorenthalten, womit ich bisher eigendlich nur probs hatte.

Zusätzlich sind PFWs auf Servern .... naja kontraproduktiv.

Also ich hab aktuell für meine Ausbildung nen Abschlussprojekt am laufen in dessen Zuge ich viel mit ARP zu tun hab ... und Gott weiss ARP ist ne rieeeesige Sicherheitslücke. Da kahm ich auf die Idee die nachteile von ARP, und zwar das man soziemlich allem quatsch über ne andere mac adresse zu ner IP erzählen kann, zu seinem Vorteil nutzt.

Beispielsweise folgendes: Ein Rechner in nem öffentlichen Netzwerk der nur da ist um ins Inet zu gehen / nur mit bestimmten Rechnern zu kommunizieren.

Dort ist er relativ ungeschützt, und sicherheitsscans gegen den Rechner können Problemlos durchgeführt werden.

Nun ist die Idee das Problem an der Wurzel zu beseitigen: Allen Rechnern mit Ausnahme des Gateways und der Rechner mit denen man noch kommunizieren soll wird ne falsche Mac vom zu schützenden Rechner vorgetäuscht. Damit währen Schan / hackprogramme am Angreiferlaptop sinnlos, solange kein ARP-änder schutz vorhanden ist (und die sind sehr selten).

Damit verlaufen die angriffe im nichts. Bei Windowssystemen ist die ARP tabelle so aufgebaut das wenn Arp änderungen nicht an sie adressiert sind sie auch nicht darauf reagieren, egal ob dieses ARPreply packet neue Informationen enthällt. Damit währe man relativ sicher dabei keine ungewollten Änderungen vorzunehmen.

Was haltet ihr davon, ist das sinnvoll sowas zu machen?

(machbar auf jedenfall)
mfg

 

[networker]

Die MAC-Adresse kommt doch ohnehin nur bis zum ersten Router. Was genau möchtest du denn bewirken?

Mirko

 

[Jens22]

Wie gesagt ich rede vom Netzwerk, nicht vom Inet. Hab ich doch geschrieben oder O.O
Und bewirken: Der PC ist gegen die anderen Netzwerkteilnehmer abgeschirmt. Ist das nicht aus der Beschreibung hervorgegangen?

 

[ICHdasICH]

du sniffst einmal den traffic aller boxen mit, und hast die mac. nen statischer eintrag in deiner arp-tabelle, und die menge der probleme fuer dich hat sich.

alternativ sendest du saemtliche pakete an das defaultgw, dieses leitet sie da weiter, da es die mac haben muss.

use pf. use iptables. use an operatingsystem.

Mfg ich

 

[0711]

Wie gesagt ich rede vom Netzwerk, nicht vom Inet. Hab ich doch geschrieben oder O.O
Und bewirken: Der PC ist gegen die anderen Netzwerkteilnehmer abgeschirmt. Ist das nicht aus der Beschreibung hervorgegangen?

ähm subnetting? vlans?

ich denke nicht dass es ein switch gibt der eine derartige sat zulässt...
selbst wenn, was machst du wenn einer deinen arp cache im switch volllaufen lässt?
wie verhinderst du den zugriff aufs defaultgw?

oder verstehe ich dich falsch?!

 

[Jens22]

Hm hab ich das "öffentliches netzwerk" in ner unsichtbaren schrift geschrieben? xD

Also ich meine ein Netzwerk bei dem man keinen Einfluss auf die Netzwerkstruktur hat. Und statische Einträge macht so weit ich weiss kein OS automatisch wenn man die macs dynamisch zugewiesen werden.

aber ich stosse hier auf fachleute die mit ihrem wissen möglichst gründe suchen warum es nicht geht und die ausgangsbeschreibung kaum beachten .... von daher ist das leider zum scheitern verurteilt ...

 

[Jean Pernod]

Wieso so ein Aufwand, wenn es Programme gibt (zB ArpWatch), die offensichtlich gefälschte Pakete erkennen können.
Deine Methode würde zwar auch gehen, aber ist wohl um einiges umständlicher, zudem erkennst du dann nie die "Störenfriede".

 

[burni87]

was ich mich frage:

wieso schützt man seinen rechner vorm internen netzwerk ?

was passiert wenn einer seine mac adresse temporär ändert ?

hoffe ich hab nix überlesen

 

[Jean Pernod]

burni87: W(lan) in der Uni, irgendwelche Hotspots...
Ob er die Mac-Adresse ändert oder nicht ist egal.

 

[blogscreen]

schon mal von vlan gehört?

 

[Jean Pernod]

ich zitiere mal den Threadersteller:

Hm hab ich das "öffentliches netzwerk" in ner unsichtbaren schrift geschrieben? xD

Also ich meine ein Netzwerk bei dem man keinen Einfluss auf die Netzwerkstruktur hat. Und statische Einträge macht so weit ich weiss kein OS automatisch wenn man die macs dynamisch zugewiesen werden.

 

[networker]

Ich habe den tieferen Sinn der Aktion immer noch nicht verstanden. Du möchtest potentiellen Angreifern im LAN also eine falsche MAC vorgaukeln? Richtig? Sollen diese ARP-Replys vom "Opfer" selber kommen? Dann muss man aber auch sicher verhindern, dass dieser PC andere Broadcast mit seiner echten MAC sendet. Die kommen ja auch beim Angreifer an.

Ich würde da doch eher auf VLANs oder gar PVLANs setzen.

Mirko

 

[ICHdasICH]

networker: ack.

wobei ich auch vlans kritisch sehe. if there is a plug, there is a connection. willst du einen rechner aus dem netz raushalten, musst du das netzwerkkabel aus seiner dose halten. (vgl: http://www.fefe.de/switch/ )

blogscreen: nimm dir den link zu herzen.

Mfg ich

 

[blogscreen]

deinen?

 

[ICHdasICH]

ja.

 

[Jens22]

Hm Jean Pernod ist wohl der einzige ders verstanden hat ^^

ich versuchs trotzdem nochmal (versuch nr. 3).
Ich rede von Netzwerken, in denen man keinen Einfluss auf die Netzerkstruktur hat (für den Fall das es am Wort netzwerkstruktur lag: Damit ist der Aufbau des Netzwerkes gemeint).

Für Vlans muss dies vorher eingerichtet sein, oder man muss es selber machen, was dem "kein zugriff" wieder nicht entspricht. Mit "öffentliches Netzwerk" meinte ich ein Netzwerk das von mehreren Rechern die nicht zentral von der Selben Person / der Selben Gruppe betreut werden. Da hätten wir dan z.b. ein Wlan, ein Studentenwohnheim, ein kleines Netzwerk das sich sonstwo befindet. Auch innerhalb von Vlans gibt es angreifer solange man nicht ein Vlan für sich allein beansprucht.

Soweit alles klar?

Nun ist die Idee, an jedem Rechner, unter denen sich ein potentieller Angreifer befinden könnte, ARP Packete zu schicken, in denen die eigene MAC gefälscht wird, und somit angriffe ins leere laufen. Erwünschte hosts werden vom ARP spoofing ausgeschlossen, beispielsweise der gateway.

mfg