|
1
|
|
|
2
|
|
|
3
|
|
|
4
|
|
|
5
|
|
|
6
|
|
|
7
|
|
|
8
|
|
|
9
|
|
|
10
|
|
|
11
|
|
|
12
|
|
|
13
|
|
|
14
|
|
|
15
|
|
|
16
|
- 802.11a 54 Mbps, 5 GHz
keine ETSI-Zulassung! (9/1999)
- 802.11b 11 Mbps, 2.4 GHz (9/1999)
- 802.11d „World Mode“
(u.a. Roaming zwischen Ländern) (6/2001)
- 802.11e Quality Of Service
- 802.11g Higher Data Rate (> 20 Mbps) (6/2003)
- 802.11i Authentication und Sicherheit
(inkl. WPA) (6/2004)
|
|
17
|
|
|
18
|
|
|
19
|
|
|
20
|
|
|
21
|
|
|
22
|
- Logische Trennung des Datenstroms auf Layer 2
- Verschiedene Typen
- Statisch (Port basierend): per Definition in Switch
- Dynamisch (MAC basierend): per „Tag“ im Ethernet-Paket
- Tag (4 Byte): zwischen Source Address und Type-Field
- VID (VLAN ID): 4096 Adressen („farbliche Kennzeichnung“)
|
|
23
|
|
|
24
|
|
|
25
|
|
|
26
|
|
|
27
|
|
|
28
|
|
|
29
|
|
|
30
|
|
|
31
|
|
|
32
|
|
|
33
|
|
|
34
|
|
|
35
|
|
|
36
|
|
|
37
|
|
|
38
|
|
|
39
|
|
|
40
|
|
|
41
|
|
|
42
|
|
|
43
|
|
|
44
|
- Länge relativ zum Beginn des Datenbereichs im Orginal-Datagram
- Ermöglicht Zusammensetzen in richtiger Reihenfolge
- Wert 0 bei:
- Standard Datagram
(= nicht fragmentiert)
- 1. Fragment
|
|
45
|
|
|
46
|
|
|
47
|
|
|
48
|
|
|
49
|
|
|
50
|
|
|
51
|
|
|
52
|
|
|
53
|
|
|
54
|
|
|
55
|
|
|
56
|
|
|
57
|
|
|
58
|
|
|
59
|
|
|
60
|
|
|
61
|
|
|
62
|
|
|
63
|
|
|
64
|
|
|
65
|
|
|
66
|
|
|
67
|
|
|
68
|
|
|
69
|
|
|
70
|
|
|
71
|
|
|
72
|
|
|
73
|
|
|
74
|
- PPP-Pakete werden in Ethernet Pakete „eingepackt“
- (Ethernet-) Typefields: 88-63 (Discovery Stage),
88-64 (Session Stage)
- max. MTU: 1492 (PPPoE-Header + PPP-Protocol-ID)
- zweistufiges Konzept:
- Server-Suche/ Server-Auswahl (Discovery-Stage)
„stateless“ bis zum Aufbau einer PPP-Verbindung
- Verbindungsaufbau (Session Stage)
|
|
75
|
|
|
76
|
|
|
77
|
|
|
78
|
|
|
79
|
|
|
80
|
|
|
81
|
- Routing Header (Source Route) - Next
Header = 43
- Fragmentation Header (nur Host) -
Next Header = 44
- Authentication Header - Next
Header = 51
- ESP-Header - Next Header = 50
|
|
82
|
|
|
83
|
|
|
84
|
|
|
85
|
|
|
86
|
|
|
87
|
|
|
88
|
|
|
89
|
|
|
90
|
|
|
91
|
|
|
92
|
|
|
93
|
|
|
94
|
|
|
95
|
|
|
96
|
|
|
97
|
|
|
98
|
|
|
99
|
|
|
100
|
|
|
101
|
|
|
102
|
|
|
103
|
|
|
104
|
|
|
105
|
|
|
106
|
|
|
107
|
|
|
108
|
|
|
109
|
|
|
110
|
|
|
111
|
|
|
112
|
|
|
113
|
|
|
114
|
|
|
115
|
|
|
116
|
|
|
117
|
|
|
118
|
|
|
119
|
|
|
120
|
|
|
121
|
|
|
122
|
|
|
123
|
|
|
124
|
|
|
125
|
- Verhindert Rückrouten (reverse route)
- Updates, die über eine bestimmte Schnittstelle gesendet werden,
berichten nicht über Routen, die über diese Schnittstelle gelernt
wurden
- Updates, die über eine bestimmte Schnittstelle gesendet werden
kennzeichnen jedes über diese Schnittstelle erlernte Netzwerk als nicht
erreichbar
(Split Horizon with poisoned reverse)
- spart Ressourcen
- verhindert Routing-Schleifen
|
|
126
|
- Subnetzmasken werden nicht mit der Ziel-Adresse verbreitet
- Zieladresse befindet sich direkt in dem mit dem Router verbundenen
Netzwerk:
- Subnetzmaske der NIC wird verwendet
- Zieladresse befindet sich in „Remote-Netzwerk“:
- Default-Subnetzmaske wird verwendet
- Unterstes und oberstes Subnetz - alles „0“
(Hauptnetz-Netzwerknummer) bzw. alles
„1“ (Broadcast des Hauptnetzes) - können nicht genutzt werden
|
|
127
|
|
|
128
|
|
|
129
|
|
|
130
|
|
|
131
|
|
|
132
|
- 2005: 150.000 – 175.000
- 2006: 200.000
- 2011: 370.000 (geschätzt)
- 2020: 2. Mio. (möglich/ befürchtet)
- Belegter Speicherplatz heute: mind. 10 MB/ Router
- IPv6 verschärft die Probleme:
Verdopplung der Einträge pro Rechner
|
|
133
|
- Besitzen keine Adressierungsfunktion auf Layer 3
- Adressierung von Netzwerken nicht möglich
- Vertreter:
- NetBIOS/ NetBEUI (NetBIOS Extended User Interface)
- DEC LAT
- DLC
|
|
134
|
|
|
135
|
|
|
136
|
|
|
137
|
|
|
138
|
|
|
139
|
|
|
140
|
|
|
141
|
|
|
142
|
|
|
143
|
|
|
144
|
|
|
145
|
|
|
146
|
|
|
147
|
- RST muss gesendet werden, wenn ein Segment offensichtlich nicht zu einer
existierenden Verbindung gehört
- Bei nicht existierenden (CLOSED) Verbindungen
- Bei Bestätigung (ACK) eines (noch) nicht gesendeten Segments
- RST darf nicht gesendet werden, wenn nicht klar ist, ob Segment zu einer
existierenden Verbindung gehört
(kein Paket wird gesendet)
|
|
148
|
|
|
149
|
|
|
150
|
- Erhöhung der Übertragungsgeschwindigkeit während einer Verbindung
- Verdopplung der MSS pro RTT
- Ab Slow-Start-Threshholds –
nur noch Erhöhung um 1 MSS
- Beginnt neu bei jedem Error
- Slow-Start-Threshold wird halbiert
- FTP schneller als HTTP
- http://www-vs.informatik.uni-ulm.de/teach/ws06/rn1/TCPVerstopfungskontrolle.pdf
|
|
151
|
|
|
152
|
|
|
153
|
|
|
154
|
|
|
155
|
|
|
156
|
|
|
157
|
|
|
158
|
|
|
159
|
|
|
160
|
|
|
161
|
|
|
162
|
|
|
163
|
|
|
164
|
|
|
165
|
|
|
166
|
|
|
167
|
|
|
168
|
|
|
169
|
|
|
170
|
|
|
171
|
|
|
172
|
|
|
173
|
|
|
174
|
|
|
175
|
|
|
176
|
|
|
177
|
|
|
178
|
|
|
179
|
|
|
180
|
|
|
181
|
|
|
182
|
|
|
183
|
|
|
184
|
|
|
185
|
|
|
186
|
|
|
187
|
|
|
188
|
|
|
189
|
|
|
190
|
- Envelope
- Kommunikation zwischen Client und Server
- Beginnt mit „Steuerkommandos“: HELO/ EHLO
- nicht sichtbar
- Header
- Bestandteil der E-Mail (vgl. „Body“)
- Enthält Einträge des Clients bzw. der Server
- Einträge nicht authentisch
|
|
191
|
|
|
192
|
- S: 220 test.de SMTP server ready
C: HELO xyz.de. beliebig!
S: 250 xyz.de., pleased to meet you
C: MAIL From:adam@xyz.de beliebig!
S: 250 <adam@xyz.de> Sender ok
C: RCPT To:eva@test.de muss existieren
S: 250 <eva@test.de> Recipient ok
C: RCPT TO:tom@test.de muss existieren
S: 250 <tom@test.de> Recipient ok
C: DATA
S: 354 Enter mail
C: Hallo Eva, hallo Tom!
C: Beispiel für den Mail-Versand mit SMTP.
C: Adam
C: .
S: 250 Mail accepted
C: QUIT
S: 221 test.de delivering mail
|
|
193
|
|
|
194
|
- 211 System-Status oder System-Hilfe
- 214 Hilfe - Informationen zum Ausführen eines Kommandos
- 220 Server bereit
- 221 Server beendet Verbindung
- 250 Kommando ausgeführt
- 251 Keine lokale Mailbox; Weiterleitung an "forward-path“
- 252 Überprüfung der Empfängeradresse nicht möglich; Die Nachricht wird
dennoch versendet
- 354 Starte Empfang der Mail; Beenden mit "CRLF". "CRLF“
- 421 Service nicht verfügbar; Verbindung wird beendet
- 450 Aktion nicht ausgeführt - Mailbox nicht verfügbar
- 451 Aktion abgebrochen - Fehler beim Ausführen
- 452 Aktion abgebrochen - Nicht genügend System-Speicher
- 500 Syntax-Fehler - Kommando unbekannt
- 501 Syntax-Fehler - Parameter oder Argument falsch
- 502 Kommando unbekannt / nicht implementiert
- 503 Falsche Reihenfolge der Kommandos
- 504 Parameter unbekannt / nicht implementiert
- 550 Aktion nicht ausgeführt - Mailbox nicht erreichbar (nicht gefunden,
kein Zugriff)
- 551 Mailbox nicht lokal; "forward-path" versuchen
- 552 Aktion abgebrochen - Fehler bei der Speicherzuweisung
- 553 Aktion nicht ausgeführt - Mailbox-Name nicht erlaubt (Syntax
inkorrekt)
- 554 Transaktion fehlgeschlagen (beim Verbindungsaufbau: Kein
SMTP-Service verfügbar)
|
|
195
|
|
|
196
|
|
|
197
|
- Received: by xyz.de. id AABBCC; Mon, 19 Nov 2001 12:34:56 +0100
Received: from adam1 (47110815@[192.168.80.201]) by
fwd00.xyz.de
with smtp id 166Cyz1KXYRsC; Tue, 20 Nov 2001 16:38:45 +0100
From: adam@xyz.de (Adam)
To: eva@test.de (Eva)
Subject: Beispiel-Mail
Date: Mon, 19 Nov 2001 12:34:56 +0100
Reply-To: adam@xyz.de
Message-ID: 1234567890.Adam@xyz.de
- Disposition-Notification-To: adam@xyz.de
- MIME-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
X-Mailer: Winzigweich Ausschau, Build 1.2.3.4.5
|
|
198
|
|
|
199
|
|
|
200
|
- Received: from inbound2.psi.neteu.net (EHLO inbound2.psi.neteu.net)
([154.15.201.165])
- by mstore.psi.neteu.net (MOS 3.8.2-GA FastPath queued)
- with ESMTP id CJK65564 (AUTH via LOGINBEFORESMTP);
- Fri, 05 Oct 2007 06:02:55 +0200 (CEST)
- Received: from mailfilter1.psi.neteu.net (EHLO
mailfilter1.psi.neteu.net) ([154.15.200.26])
- by inbound2.psi.neteu.net (MOS 3.8.2-GA FastPath queued)
- with ESMTP id HLW03613;
- Fri, 05 Oct 2007 06:02:55 +0200 (CEST)
- Received: from fmmailgate05.web.de ([217.72.192.243])
- by mailfilter1.psi.neteu.net with esmtp (Exim 4.65)
- (envelope-from <hatschi@web.de>)
- id 1IdeOt-0001CC-3G
- for htschi@cyberspace.de; Fri, 05 Oct 2007 06:02:55 +0200
- Received: from web.de
- by fmmailgate05.web.de (Postfix) with SMTP id E54F42ED0872
- for <htschi@cyberspace.de>; Fri,
5 Oct 2007 06:02:54 +0200 (CEST)
- Received: from [87.178.27.130] by freemailng0801.web.de with HTTP; Fri,
05 Oct 2007 06:02:54 +0200
- Date: Fri, 05 Oct 2007 06:02:54 +0200
- Message-Id: <1866780544@web.de>
- From: Hans Tschi <hatschi@web.de>
- To: htschi@cyberspace.de
|
|
201
|
- Return-Path: <ksr@bptdesign.com>
- Received: from inbound1.psi.neteu.net […](AUTH via LOGINBEFORESMTP);
- Sat, 03 Nov 2007 03:51:25 +0100 (CET)
- Received: from mailfilter1.psi.neteu.net (EHLO
mailfilter1.psi.neteu.net) ([154.15.200.26])
- […]
- Received: from [77.66.146.66] (helo=comp)
- by mailfilter1.psi.neteu.net with esmtp (Exim 4.65)
- (envelope-from <ksr@bptdesign.com>)
- id 1Io96Y-00019d-V5
- for htschi@cyberspace.de; Sat, 03 Nov 2007 03:51:24 +0100
- Received: from [77.66.146.66] by smtp.secureserver.net;
Sat, 3 Nov 2007 05:50:04 +0300
- From: Volksbanken Raiffeisenbanken<16092007shrt@volksbank.de>
- To: <htschi@cyberspace.de>
- Subject: Volksbanken Raiffeisenbanken AG: 02/11/2007
- Date: Sat, 3 Nov 2007 05:50:04 +0300
- MIME-Version: 1.0
- X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
- Message-ID: <01c81ddd$619ac510$4292424d@ksr>
|
|
202
|
- Absender-Adresse stimmt nicht mit Mailserver überein
(u.U. nur in IP-Adresse des Envelopes erkennbar)
- Kein Absender
- Zeitsprünge in Übertragung
- Header-Feld „User-Agent“ zeigt nicht auf ein bekanntes E-Mail
Programm
(korrekt: User-Agent: Thunderbird 2.0.0.6 (Windows/20070728))
- Eine oder mehrere Zeilen komplett in Großbuchstaben
- Verweis, dass Mail nach „Senate Bill 1618“ kein Spam sei
(der Verweis ist irrelevant und gerade ein Indiz für Spam)
- Mail besteht nur aus (Remote) Bildern
- Eintrag in Adresse (vor @) findet sich in Subject-Feld („Betreff“)
wieder
|
|
203
|
- Beschreibung:
- Mini-Bilder (1 Pixel), die von einem externen Server abgerufen werden
- In allen HTML-Mails möglich
(Achtung: HTML muss nicht erkennbar sein)
- Einsatzbereich:
- Überprüfung der Existenz einer E-Mail
- Zuordnung von
- E-Mail-Adresse ó
IP-Adresse (Webbug)
- E-Mail-Adresse ó Gerät
(Cookie)
- Schutz:
- Offline Lesen von E-Mails
- Blocken externer IP-Adressen durch E-Mail-Client
- Verbieten von Cookies
|
|
204
|
- SMTP after POP
- E-Mail-Server überschreibt „FROM“ Feld
(z.B. T-Online)
- SSL bzw. TLS
- Digitale Unterschrift/ Nutzung von Zertifikaten
|
|
205
|
- http://www.th-h.de/faq/headerfaq.php
hat-h.de: „E-Mail-Header lesen und verstehen“
- http://www.tecchannel.de/kommunikation/e-mail/401772/index.html
Tec Channel: „So funktioniert E-Mail“
- http://www.gurusheaven.de/security/email_know_how.htm
eMail Know-How - Tipps & Tricks zur Sicherheit
- http://www.stopspam.org/email/headers.html
„Reading E-Mail-Headers“
- http://www.bsi.de/literat/studien/antispam/antispam.pdf
BSI: „Anti-Spam Strategien“
|
|
206
|
- Darunter liegende Schicht: Transport Schicht (TCP)
- TCP/UDP-Port-Nr.: 110
- ermöglicht dem Client das „Abholen“ von E-Mail von einem Mail-Server
- User-Authentisierung erfolgt über Username/ Password
- unterstützt keine Veränderung der Mail auf dem Server (abgeholte Mail
wird i.a. gelöscht)
- (Gegensatz: IMAP4 [Internet Message Access Protocol] - RFC 2060)
|
|
207
|
- S: +OK POP3 server ready
C: user glaser
S: +OK
C: pass tschitschi
S: +OK
C: LIST
S: +OK 2 messages (320 octets)
S: 1 120
S: 2 200
S: .
C: RETR 1
S: +OK 120 octets
S: <Server sendet Nachricht 1>
S: .
C: DELE 1
S: +OK message 1 deleted
C: RETR 2
S: +OK 200 octets
S: <Server sendet Nachricht 2>
S: .
C: DELE 2
S: +OK message 2 deleted
C: RETR 3
S: -ERR no such message
C: QUIT
S: +OK
|
|
208
|
- Spezifiziert die Übertragung von 8-Bit (Nicht-ASCII) Zeichen (Umwandlung
in 7 Bit Zeichen)
- Zusätzliches Header-Field: MIME-Version
- Definiert
- fünf „Top-Level“ Media-Types
(text, image, audio, video, application, multipart)
- viele Sub-Types
(text/plain, text/ richtext, …)
- Secure MIME (S/MIME) spezifiziert in RFC 3850/ 3851
- Nutzung auch im Web-Umfeld
|
|
209
|
|
|
210
|
|
|
211
|
|
|
212
|
|
|
213
|
|
|
214
|
|
|
215
|
|
|
216
|
|
|
217
|
|
|
218
|
|
|
219
|
- gTLD (Generic TLD):
- ccTLD (Country Code TLD)
- z.B.: de, ch, uk, us,
to (Tonga),
tv (Tuvalu),
by (Belorussland)
- sTLD (Sponsored TLD)
- z.B.: jobs, info, mobi, post, mail, travel, xxx, tel (Dez. 2008)
|
|
220
|
- <Rechnername>.<Subdomain>.<Domain>.<TLD>
- Hinweis:
- Im DNS kann kein Protokoll abgelesen werden!
- Protokoll nur in der URL:
- Protokoll:// Rechnername.Subdomain.Domain.TLD
- z.B.
- http://test.abt-1.gmg.com
|
|
221
|
|
|
222
|
|
|
223
|
|
|
224
|
|
|
225
|
|
|
226
|
|
|
227
|
|
|
228
|
|
|
229
|
|
|
230
|
|
|
231
|
|
|
232
|
|
|
233
|
|
|
234
|
|
|
235
|
|
|
236
|
|
|
237
|
|
|
238
|
|
|
239
|
|
|
240
|
|
|
241
|
|
|
242
|
|
|
243
|
|
|
244
|
|
|
245
|
|
|
246
|
|
|
247
|
|
|
248
|
|
|
249
|
|
|
250
|
|
|
251
|
|
|
252
|
|
|
253
|
|
|
254
|
|
|
255
|
|
|
256
|
|
|
257
|
|
|
258
|
|
|
259
|
|
|
260
|
|
|
261
|
|
|
262
|
|
|
263
|
|
|
264
|
|
|
265
|
|
|
266
|
|
|
267
|
- Analoges Signal: wird digitalisiert und komprimiert
- Digitales Signal: wird in IP-Datenpakete verpackt
- IP-Pakete: werden übertragen via (W)LAN/ MAN/ WAN
- ggf. Priorisierung
- VoIP-Server: Aufgaben der Telefonanlage
(Vermittlung, Leistungsmerkmale etc.)
- VoIP-Gateway: Schnittstelle zum „klassischen“ Telefon-Netz
(oft in VoIP-Server integriert)
|
|
268
|
- SIP (Session Initiation Protocol)
- RFC 3261 – Proposed Standard
- Darunter liegende Schicht: Transport Schicht (TCP)
- TCP/UDP Port-Nr.: 5060, 5061 (SIP-TLS)
- steuert Verbindungsauf-/ abbau zwischen zwei oder mehr Partnern
(„Signaling Protocol“)
- HTTP-ähnlich
- einfach (wenig komplex)
|
|
269
|
- SDP (Session Description Protocol)
- RFC 4566 – Proposed Standard
- Darunter liegende Schicht: Transport Schicht (TCP)
- TCP/UDP Port-Nr.:
- 1297 (SDP Proxy)
- 3242 (SDP-ID)
- 3935 (SDP-Portmapper)
- verwaltet Kommunikationssitzung („Streaming Media“)
- verhandelt die zwischen den Endpunkten Codecs, Transportprotokolle usw.
|
|
270
|
- RTP (Realtime Transport Protocol)
- RFC 3550 – STD0064
RFC 3551
- Darunter liegende Schicht: Transport Schicht (UDP)
- UDP/TCP-Port-Nr.:
- 5004 (RTP Media Data)
- 5005 (RTP Control Protocol)
- Ende-zu-Ende-Transport
- keine Ende-zu-Ende-Kontrolle
|
|
271
|
- H.323
- ITU-T-Standard seit 1996
(International Telecommunication Union)
- Ursprung in Festnetz-Technologie
(„robustes“ Protokoll)
- Unterprotokolle:
- H.225.0 Setup
- Q.931 Signalisierung
- H.245 Telefonie
- H.450 weitere Dienste/ Leistungmerkmale
(z.B. Parken, Rückruf, Rufweiterleitung, Namensübermittlung)
- unterstützt Videokonferenz, Datenkonferenz, Synchronisation Audio/
Video
- Zentrale Komponente „Gatekeeper“
|
|
272
|
- Laufzeit/ Echo problematisch (vor allem:
WLANS)
- QoS (Priorisierung) dringend notwendig
- Sprachqualität schlecht/ von Bandbreite abhängig
- Verschlüsselung nur bedingt möglich
(z.B. nicht bei Gesprächen ins Festnetz)
- DOS-Atacken wie bei allen Netzwerkanwendungen
- Leistungs-/
Komfortmerkmale fehlen (z.B. Anklopfen, „Rückruf bei besetzt“)
- Implementierung komplex (Layer 7!)
- Interoperabilität wegen verschiedener Standards geringer
(vgl. SIP, H.323)
|
|
273
|
- Permanente Erreichbarkeit nicht gewährleistet („always on“, feste IP)
- Notspeisung fehlt (Problem: Stromausfall)
- Rufnummer-Zuordnung problematisch/ nicht abschließend geklärt
- Notruf-Nummern nicht direkt anwählbar (z.B. 110, 112)
- Standort-Erkennung problematisch (vgl. Notruf-Nummern)
|
|
274
|
- http://www.voip-information.de/ umfassende Seite zum Thema VoIP und
Umfeld
- http://www.teltarif.de/i/voip.html allgemeine Beschreibung
- http://www.elektronik-kompendium.de/sites/net/0503131.htm allgemeine
Beschreibung
- http://www.markenprofi.de/was-ratgeber/feld-1/nr-117/ allgemeine
Beschreibung
- http://www.zdnet.de/i/wp/VoIP_whitepaper_DE_SonicWALL.PDF Sicherheits-,
Implementierungsprobleme
- http://www.stemmer.de/service/workshops/mws2002/download/voip_vs_dect.pdf WLAN
VoIP vs. DECT (besonders Seiten 31, 32)
|
|
275
|
|
|
276
|
|
|
277
|
|
|
278
|
|
|
279
|
|
|
280
|
|
|
281
|
|
|
282
|
|
|
283
|
|
|
284
|
|
|
285
|
|
|
286
|
|
|
287
|
|
|
288
|
|
|
289
|
|
|
290
|
|
|
291
|
|
|
292
|
|
|
293
|
|
|
294
|
|
|
295
|
|
|
296
|
|
|
297
|
- Packet-/ Port-Filter-Firewall (Router)
- arbeitet auf IP-Address-/ Port-Ebene
(Layer 3 + 4)
- Application Level Firewall
- arbeitet auf Anwendungsebene
(Layer 5 - 7)
- Stateful [Packet] Inspection Firewall (SPI)/
Stateful Packet Filter Firewall (SPF)
- arbeitet zwischen Schicht 3 und 7 (je nach Bedarf)
- „kennt“ Zustand der Verbindungen („dynamische Paket-Filterung)
|
|
298
|
- Vorteile:
- Schnell
- Einfach zu implementieren
- Kostengünstig
- Nachteil
- Nur begrenzte Sicherheit
(Address Spoofing, Dienste-Tunneling, Fragmentierungs-Attacke)
- Schwierigkeiten bei UDP
- Schlechte Statistik-/ Logging-Funktionen
- Komplexe Filterregeln
|
|
299
|
- Vorteile:
- Hohe Sicherheit
- Gute Logging-/ Protokollierungs-Möglichkeiten
- Content-Filtering
- Caching
- Authentisierung möglich
- Interne Netzstruktur bleibt komplett verborgen
- Nachteil
- Langsam
- Komplex zu implementieren
- Teuer
- Unflexibel bzgl. neuer Services
|
|
300
|
- Vorteile:
- Hohe Sicherheit
- Gute Logging-/ Protokollierungs-Möglichkeiten
- Gut skalierbar
- Geeignet für UDP-Protokolle
- Vergleichsweise schnell (aber langsamer als Packet Filter)
- Ggf. Content-Filtering (kein Caching!)
- Ggf. Authentisierung möglich
- Nachteil
- Sorgfältige Konfiguration notwendig
- Performante Rechner notwendig
- Teuer
|
|
301
|
- allow
- reject
- Weist Pakete mit Fehlermeldung zurück
- Firewall ist sichtbar
- drop/ deny
- Verwirft Pakete ohne Fehlermeldung
- Firewall ist unsichtbar (Achtung: ICMP-Pakete)
|
|
302
|
- IDS: Intrusion Detection
- Analysiert Datenstrom
(Y-Anschluss möglich)
- Arbeitet nur passiv
- IPS: Intrusion Prevention
- Analysiert Datenstrom
(direkt im Datenstrom)
- ergreift Gegenmaßnahmen
(Sperren des Rechners)
- Arbeitet dynamisch
(im Vergleich zu einer Firewall)
|
|
303
|
- Honeypot:
- einzelner Rechner, der Angreifer anlockt
- Mit interessantem Namen (z.B. forschungsrechner.basf-ag.de)
- Eigene Daemons (z.B. honeyd - http://www.honeyd.org/)
- Honeynet:
- ganzes Netz (http://www.honeynet.org/)
- bestehend aus mehreren Honeypots - ggf.
- Honeywall:
- Werden i.a. mit IDS bzw. IPS kombiniert
- Nutzung von Root-Kits
- Dienen der Erkennung neuer Angriffsversuche/ -techniken
- Weitere Infos: http://www.heise.de/netze/artikel/77373
|
|
304
|
- http://www.heise.de/netze/artikel/77373
(Heise: „Mit Honeynet Hacker fangen”)
- http://www.testticker.de/ipro/praxis/security/article20050703006.aspx
(Internet Professionell: „Falle für Hacker“)
- http://www.tecchannel.de/sicherheit/grundlagen/431426/
(Tecchannel: „Grundlagen: was Sie über Honeypots wissen müssen“)
- http://project.honeynet.org/
(„The Honeynet Project - engl.
inkl. Hoeywall auf CD: http://project.honeynet.org/tools/cdrom/)
|
|
305
|
|
|
306
|
- TCP Connect Scan
- TCP SYN-Scan
- TCP Stealth-Scan
- UDP-Scan
|
|
307
|
- Kompletter Verbindungsaufbau
- Antworten
- Verbindung erfolgreich
- RST à geschlossener Port
- Keine Anwort à Firewall
- Vorteil:
- Eindeutige Entscheidung möglich
- Keine Root-Rechte notwendig
- Nachteile:
- Rechner wird belastet
- Entdeckungsgefahr hoch
- Gegenmaßnahmen können eingeleitet werden
|
|
308
|
- Es wird nur ein SYN gesendet und auf die Antwort (ACK/ RST) gewartet
- Antworten:
- SYN ACK à Port ist
geöffnet
- RST à Port ist
geschlossen
- Keine Antwort à Portfilter
(Firewall) ist vorgeschaltet
(oder Rechner existiert nicht)
- Vorteil:
- Rechner wird gering belastet
- Eindeutige Entscheidung möglich
- Entdeckungsgefahr geringer (abhängig von Rechner, FW, IDS)
- Nachteil:
- Gegenmaßnahmen können eingeleitet werden
- Root-Rechte nötig
|
|
309
|
- Es wird ein ungültiges Paket gesendet
- Paket-/ Scan-Typ:
- FIN (Verbindungsende)
- FIN, URG, PUSH (ggf. ACK, SYN) (Xmas-Scan)
- Null (keine Flags)
- Antworten:
- <drop> à Port ist
geöffnet (Standard-Verhalten)
Achtung: Microsoft, Cisco … senden RST
- RST à Port ist
geschlossen
(oder auch nicht à Microsoft, Cisco etc.)
- Keine Antwort à Portfilter
(Firewall) ist vorgeschaltet – oder
Rechner existiert nicht
|
|
310
|
- Vorteile:
- Rechner kaum belastet
- Schwer zu erkennen („stealthy“) - kein formeller TCP-Zustand
- Nachteile:
- Ergebnisinvertierung: Antworten nur für geschlossene Ports
- Keine eindeutigen Antworten
- „False Positive“ bei Paketverlust/ Drop
- Microsoft, Cisco etc. verhalten sich nicht standard-konform:
RST auch bei offenem Port
- Root-Rechte nötig
|
|
311
|
- kein direkter Scan möglich
(keine Verbindungen/ keine Flags)
- Senden eines leeren Paketes
- Antworten:
- Keine Antwort: à § Port offen
§ Firewall
§ ICMP
gesperrt (häufig!)
- ICMP Port Unreachable à Port
geschlossen
- Problem: Keine zuverlässigen Aussagen möglich
|
|
312
|
|
|
313
|
- Site-To-Site: Verbindung von Standorten
(Network-To-Network)
- Client-To-Site: Remote Access
- Client-To-Client: Peer To Peer
|
|
314
|
- Technologie zur Kostenersparnis
- Keine Technologie für erhöhte Sicherheit
(„Was kommt nach dem Tunnel?“)
- Technologie zur Netzwerkstrukturierung
(z.B. userbezogene IP-Adressen)
|
|
315
|
|
|
316
|
|
|
317
|
- IPsec
- PPTP (Microsoft „alt“)
- L2TP (Microsoft „neu“) bzw.
L2TP/ IPsec („IPsec secured L2TP“)
- SSL
- Provider-Netze:
MPLS (Multiprotokoll Label Switching)
(vgl. RFC 4364)
|
|
318
|
- Layer 3 Protokoll
- IP-Tunneling (ausschließlich!)
- Paketverschlüsselung (beliebige Algorithmen)
- Paketintegrität (Hash-Based Message Authentication Code)
- Paketauthentifizierung („Abfallprodukt“ des HMAC)
- Benutzerauthenfizierung
- Schutz vor Replay-Angriffen
- Schlüsselmanagement
IKE (Internet Key Exchange) - UDP-Port-Nr.: 500 – RFC 4306)
- Primäre Aufgabe: Security-Protokoll
|
|
319
|
|
|
320
|
|
|
321
|
- Layer 2 (beinhaltet PPP)
- Tunneling aller Layer 3 Protokolle
(z.B. IP, IPX, AppleTalk)
- Keine Verschlüsselung
(è „IPsec secured
L2TP“)
- Benutzerauthentifizieung (keine Paketauthentifizierung)
- Primäre Aufgabe: Tunneling-Protokoll
|
|
322
|
|
|
323
|
- Darunter liegende Schicht: Transport Schicht (TCP)
- Für verschiedene Dienste nutzbar (Port-Nr.) – u.a.:
- https (443)
- nntp (563)
- ldap (636)
- ftp (data/ control) (989/ 990)
- telnet (992)
- pop3 (995)
- SSL: entwickelt von Netscape (1994)
TLS: RFC 4346 (Proposed Standard – 4/2006)
- Basiert auf dem Austausch von Zertifikaten (X.509)
- Algorithmen: RSA, RC4 (SSL v1, v2) bzw. D/H (TLS)
- SSL-VPN: Die Daten müssen u.U. bis zum Application Layer gereicht bzw.
„emuliert“ werden (SSL-Appliance auf Server)
|
|
324
|
- Tunneling
- Encapsulation
- Enveloping
|
|
325
|
|
|
326
|
- Symmetrische Verschlüsselung
- Asymmetrische Verschlüsselung
- Hybride Verschlüsselung
- Digitale Signatur
- Hash-Verfahren
- PKI/ Zertifikate
- Authentisierung
|
|
327
|
- Ältestes Verfahren
- Caesar-Verschlüsselung (z.B. ROT-13)
- XOR-Verschlüsselung
- Enigma
- Ein Schlüssel zum ver- und entschlüsseln
- Gebräuchliche Schlüssellängen:
- Algorithmen:
- Idea
- RC4
- CAST
- Blowfish
- DES/ Triple-DES
- AES
|
|
328
|
- Vorteile:
- Nachteile:
- Schlüsselübertragung unsicher
- Schlüsselverwaltung aufwändig
(bei n-Partnern 2n-1 Schlüssel notwendig)
|
|
329
|
|
|
330
|
- Relativ junges Verfahren
- 1975: Diffie & Hellman: erste Idee
- 1977: Rivest, Sharmir & Adleman: erstes Verfahren (RSA)
- Ein Schlüsselpaar zum ver- und entschlüsseln
(Prinzip „Briefkasten“)
- Public Key zum Verschlüsseln
- Private Key/ Secret Key zum Entschlüsseln
- Algorithmen (typische Schlüssellängen)
- RSA (1024 – 4096)
- Diffie-Hellmann (D/H) (768 – 3072)
- ECC/ Elliptic Curve Cryptography (160 – 300)
|
|
331
|
- Vorteile:
- Keine Probleme beim Schlüsselaustausch
- Ein Schlüssel für jeden Partner
- Nachteile:
- Langsam wg. Schlüssellänge
(ca. Faktor 1000 im Vergleich zur symmetr. Verschlüsselung; bei
RSA)
- Empfänger muss vor Verschlüsselung aktiv werden
(Public Key Generierung)
- Absolute, theoretische Sicherheit nicht erreichbar
|
|
332
|
|
|
333
|
- Kombiniert Vorteile aus symmetrischer und asymmetrischer Verschlüsselung
- Überwiegend eingesetztes Verfahren
(z.B. IPsec)
- Schlüsselwechsel während Übertragung möglich
(zusätzliche Sicherheit)
- Mehrere Empfänger möglich
|
|
334
|
- Text/ Datei wird mit symmetrischen Schlüssel
(Session Key) verschlüsselt
(schnell)
- Session Key wird zur Übermittlung von Sender zu Empfänger asymmetrisch
verschlüsselt
(sicher, nicht langsam)
- Mehrfachverschlüsselung des Session Keys möglich
(Mehrfachempfänger)
- Nachteil:
- Empfänger muss vor Verschlüsselung aktiv werden
(Public Key Generierung)
|
|
335
|
|
|
336
|
- Nutzt Public Key Verfahren
- Verwendung der Schlüssel spiegelverkehrt zur asymmetrischen (RSA-)
Verschlüsselung
- Verschlüsselung mit Private Key des Senders
- Entschlüsselung mit dem Public Key des Senders
- „Quersumme“ (genau: Hash) über Text/ Datei
- Hash wird verschlüsselt
- Konsequenz
- Überprüfung des Absenders (Authentizität)
- Modifikationen am Text feststellbar
- Text für jeden lesbar
|
|
337
|
- „Quersumme“ über Datei/ Text
- Eigenschaften
- Feste Länge
- MD-5 (Message Digest): 128 Bit
- SHA-1 (Secure Hash Algorithm): 160 Bit
- SHA-512: 512 Bit
- Unumkehrbar
- Eindeutig (keine Kollisionen - ideal);
nicht berechenbar (kollisions-resistent - real)
|
|
338
|
- Standard: X.509
- Dient der Ausstellung, Beglaubigung und Verteilung von öffentlichen
Schlüsseln/ Zertifikaten
- Ist hierarchisch aufgebaut
- Certification Authority (CA) - oberste Instanz:
- Stellt Zertifikate aus
- Erstellt Sperrlisten sog. Certificate Revocation List (CRL)
- Sub-CAs möglich (Delegation von Aufgaben)
- Registration Authority (RA):
- Zuordnung: Person ó
Zertifikat
- Aufwand abhängig von Klasse/ Verwendungszweck des Zertifikats
- Zertifizierung zwischen zwei „Bäumen“ möglich:
Cross-Zertifizierung
- Gegensatz: „Web Of Trust“ (vgl. PGP)
|
|
339
|
- Dienen der Zuordnung und „Beglaubigung“ des Public Keys
- Inhalt (gemäß X.509):
- Öffentlicher Schlüssel des Zertifikat-Inhabers
- Signatur der ausstellenden CA
- Gültigkeitsdauer
- Extensions
- Formate:
- PEM (.crt)
- DER (.der)
- PKCS#12
- Text (.txt)
- Kostenlose Zertifikate:
http://www.cacert.org
|
|
340
|
|
|
341
|
|
|
342
|
|
|
343
|
|
|
344
|
|
|
345
|
|
|
346
|
|
|
347
|
- Darunter liegende Schicht: Transport Schicht (UDP)
- UDP/ TCP-Port: 1812 (alt: 1645)
- Protokoll (Verfahren) zur Authentisierung von Rechnern, Netzzugängen
(802.1x) und Applikationen
- AAA-Server
Authentication, Authorization, Accounting
|
|
348
|
- Authentisierungs-Informationen in zentraler Datenbank
(z.B. User-ID, Password,
IP-Adresse, Tunnel-Typ etc.)
- Mehrere Geräte/ Applikationen greifen auf einen zentralen Datenbestand
zu
- Operative Vereinfachung/ Kostenersparnis
- Sicherheitsfaktor
- Genormte Schnittstelle für weitere Verfahren
(z. B. RSA SecurID)
|
|
349
|
- 1 Point-to-Point Tunneling Protocol (PPTP)
- 2 Layer Two Forwarding (L2F)
- 3 Layer Two Tunneling Protocol (L2TP)
- 4 Ascend Tunnel Management Protocol (ATMP)
- 5 Virtual Tunneling Protocol (VTP)
- 6 IP Authentication Header in the Tunnel-Mode (AH)
- 7 IP-in-IP Encapsulation (IP-IP) (s. RFC 2003)
- 8 Minimal IP-in-IP Encapsulation (MIN-IP-IP)
- 9 IP Encapsulating Security Payload in the Tunnel-Mode (ESP)
- 10 Generic Route Encapsulation (GRE)
- 11 Bay Dial Virtual Services (DVS)
- 12 IP-in-IP Tunneling (s. RFC 1853)
|
|
350
|
- 1 IPv4 (IP version 4)
- 2 IPv6 (IP version 6)
- 3 NSAP – NSAP = “Network Service Access Point”
- 4 HDLC (8-bit multidrop)
- 5 BBN 1822
- 6 802 (includes all 802 media plus Ethernet "canonical
format")
- 7 E.163 (POTS) – POTS = “Plain Old Telephone Service”
- 8 E.164 (SMDS, Frame Relay, ATM)
- 9 F.69 (Telex)
- 10 X.121 (X.25, Frame Relay)
- 11 IPX
- 12 Appletalk
- 13 Decnet IV
- 14 Banyan Vines
- 15 E.164 with NSAP format subaddress
|
|
351
|
|
|
352
|
|
|
353
|
- Überbegriff für alle Verfahren zur Adress-Umsetzung
- Spezielle Bedeutung:
1-zu-1-Adressumsetzung
(N-to-N-NAT)
|
|
354
|
- Direkte Zuordnung von Adressen unterschiedlicher Netzwerke
- Öffentliche Adressen ó
private Adressen
(Einsparung öffentlicher Adressen)
- Private Adressen ó private
Adressen
(z.B. bei Firmenübernahmen)
- Beispiel für 2.)
Fusion zweier Netze (A und B), die beide schon 192.168.x.x.
nutzen
Netz B nutzt darüber hinaus 10.x.x.x schon komplett
- Netz A: 172.16.x.x à Netz
B: 192.168.x.x
- Netz B: 172.16.x.x à Netz
A: 192.168.x.x
- Normales Routing für 10.x.x.x
|
|
355
|
- Synonyme:
- NAT (Achtung: Verwechlungsgefahr)
- NPAT (Network and Port Address Translation)
- 1-to-N-NAT
- Masquerading
- Kopplung privater Netze mit einer öffentlichen
IP-Adresse an das Internet
- Identifikation/ Zuordnung findet im PAT-Router statt
- Private IP-Adressen/ Ports erhalten dynamisch Ports zugewiesen
|
|
356
|
|
|
357
|
- Alle Rechner des privaten Netzes können auf das Internet zugreifen
- Probleme bei der Nutzung von FTP
(vgl. aktiver/ passiver FTP)
- Zugriff aus dem Internet in das private Netz ist nicht bzw. nur
eingeschränkt möglich
- WICHTIG:
Ein PAT-Router ist nicht automatisch eine Firewall
|
|
358
|
- Ohne manuellen Eingriff am Router nicht möglich
- Zusätzliche Funktionalität/ Konfiguration notwendig
- Port Forwarding
- Virtueller Server
|
|
359
|
- Einem (eingehenden) Destination-/ Server-Port wird
ein festes Ziel (private IP-Adresse bzw. Socket) zugewiesen
- Pro Destination-Port immer nur ein Ziel möglich
- Aber:
Mehrere Server pro Rechner realisierbar
(z.B. FTP- und Web-Server)
|
|
360
|
- Probleme im Umfeld von NAT/ PAT
bei
|
|
361
|
- Problem:
Adressen werden dynamisch vergeben und können nicht
freigeschaltet werden
- Kommunikation erfolgt immer mit Destination-Ports
- Lösung:
|
|
362
|
|
|
363
|
- Darunter liegende Schichten: Transport Schicht/ Layer 4:
- UDP (Binding Request)
- TLS (Shared Secret Requests)
- UDP/TCP Port-Nr.: 3478
- Einsatz von STUN-Server:
kennt die öffentlichen/ privaten Adressen beider Partner
- Erkennt NAT-Devices
- Teilt anfragenden Applikationen öffentliche Adresse mit
- STUN-Server Download unter: http://sourceforge.net/projects/stun/
|
|
364
|
- Server teilt beteiligten Clients die öffentlichen Port-Nr. des anderen
mit
- Beide Clients starten Kommunikationsversuch über diese Ports
- Ports werden in beiden Richtungen genutzt
- Firewall/ PAT-Router wird „freigeschossen“
|
|
365
|
- Es existiert eine Verbindung zu externem Server (mit öffentlicher IP und
Port-Nr.
- A erhält öffentliche Port-Nr. (und öffentlicher IP-Adresse) von B – und
umgekehrt
(durch Server)
- A sendet Paket an B mit interner Source und als Destination öffentlicher
Port-Nr. von B
NAT-Device A wird für alle eingehenden Pakete mit Destination öffentliche
Port-Nr. A und öffentlichem Absender B geöffnet
- Das Paket scheitert an NAT B-Device
- B sendet Paket an A mit interner Source und Destination öffentlicher
Port-Nr.
von A
NAT B-Device wird für alle eingehenden Pakete mit Destination öffentlicher
Port-Nr. von B geöffnet
- Das Paket passiert NAT A-Device (vgl. 3)
- Antwortpaket von A passiert nun auch NAT B-Device (vgl. 5)
|
|
366
|
- Existierende Verbindungen zu externem Server S:
- A (intern): Source: 4321 Destination: 1234
- A (extern): Source: 62000 Destination: 1234
- B (intern): Source: 4321 Destination: 1234
- B (extern): Source: 31000 Destination: 1234
|
|
367
|
- A erhält öffentliche Port-Nr. (und öffentlicher IP-Adresse) von B
– und umgekehrt (durch Server)
- A sendet Paket an B mit Source 4321 bzw. 62000 und Destination 31000.
NAT-Device A wird für alle eingehenden Pakete mit Destination 62000
bzw. 4321 geöffnet
- Das Paket scheitert an NAT B-Device (noch nicht „gepunched“)
- B sendet Paket an A mit Source 4321 bzw. 31000 und Destination 62000.
NAT B-Device wird für alle eingehenden Pakete mit Destination 31000
bzw. 4321 geöffnet.
- Das Paket passiert NAT A-Device (vgl. 3).
- Antwortpaket von A passiert nun auch NAT B (vgl. 5)
|
|
368
|
|
|
369
|
|
|
370
|
- Problem:
- Änderungen im Header nicht möglich
(Verschlüsselung)
- Änderungen im Header machen das Paket ungültig (Authentifizierung)
- IKE (UDP-Port-Nr.: 500) funktioniert nicht mit mehreren Rechnern hinter
NAT-Device
- Lösung:
- Adressumsetzung muss vor IPsec erfolgen
- NAT-Traversal (NAT-T)
|
|
371
|
- Untersucht ob NAT-Geräte auf Verbindungspfad existieren
- Überprüft, ob beide Peers NAT-T unterstützen
- Kapselt IP-Pakete in (Standard-)UDP-Pakete
UDP/TCP-Port-Nr.: 4500
- Sendet NAT-Keep-Alive Pakete
|
|
372
|
|
|
373
|
- Wireshark (ehemals: Ethereal)
Netzwerk-Protokoll-Analyzer für Windows
Download: http://www.wireshark.org bzw. http://www.ethereal.com/
- Nmap
Der Portscanner (UNIX, LINUX, DOS)
Download: http://www.insecure.org/nmap/
- Advanced Portscanner bzw. Advanced LAN-Scanner
Windows-Portscanner
Downloads:
http://www.radmin.com/radmin/utility/pscanner.php/ bzw. http://www.radmin.com/radmin/utility/lscan.php
- Neotrace
Grafisches Traceroute-Frontend für Windows
Download: http://www.zdnet.de/downloads/prg/e/0/de0DE0-wc.html
|
|
374
|
|
|
375
|
|
|
376
|
- Hein, Mathias: TCP/IP im Einsatz - mitp (Datacom)
ISBN 3-8266-4094-2
- Hunt, Craig: TCP/ IP Netzwerk- Administration - O'Reilly,
ISBN 3-8972-1110-6
- Doyle, Jeff: Routing TCP/IP - Markt und Technik (Cisco Press - CCIE
#1919)
ISBN 3-8272-533-3
- Dittler, Hans Peter: IPv6 - das neue Internet Protokoll - dpunkt-Verlag;
ISBN 3-932588-18-5
- Tanenbaum, Andrew S. - Computer Networks (engl.) - Prentice Hall
ISBN 0-13-066102-3
|
|
377
|
- Lipp, Manfred: VPN - Virtuelle Private Netzwerke. Aufbau und Sicherheit
–
Addison-Wesley - ISBN 978-3827322524
- Honeypot Project: Know Your Enemy. Mit CD-ROM: Learning About Security
Threats
Addison-Wesley – ISBN: 978-0321166463
|
Notizen
