Next: Richtlinien zur Verbesserung der
Up: Netzwerksicherheit durch IPSec
Previous: Abstreiten die sendende Person
Es werden nun einige Punkte aufgezählt, die nicht in den Sicherungsbereich von IPSec fallen.
- IPSec ist eingeschränkt auf den Transport von Internet-Protokollen.
- IPSec bietet keinen Schutz vor Viren oder anderen Programmen die z.B. einzelne
Tastendrucke aufzeichnen. (Kein Schutz vor Trojansichen Pferden, ...)
- IPSec bietet keinen Schutz, falls jemand Zugang zum geheimen Schlüssel
bekommen hat.
Die Sicherheit die IPSec bietet hängt immer von dem
Schlüssel ab. Liegt der Schlüssel z.B. auf einem Rechner der von
einem Hacker geknackt worden ist, so kann IPSec keinen
Schutz mehr bieten.
Nicht außer Acht gelassen werden sollte, daß auch verschlüsselte
Netzwerk-Pakete aufgezeichnet werden können. Dies hat zur Folge, daß
die Schlüssel bis hin zu ihrer Vernichtung mit besonderer Sorgfalt verwaltet
werden sollten.
Falls der Schlüssel auch erst Wochen oder Monate später in falsche
Hände gelangt, könnten die aufgezeichneten Netzwerk-Pakete
entschlüsselt werden.
Was Aufzeichnungen betrifft, kann man auch davon ausgehen, daß evtl.
die Gefahr besteht eine heute noch gut verschlüsselte Nachricht in
der Zukunft entschlüsseln zu können.
Wichtig in diesem Zusammenhang ist die Schlüssellänge, die je nach
Risikoeinschätzung ausreichend lang sein sollte.
- IPSec bietet z.T. keinen umfassenden Schutz vor Schnüfflern.
Bei der Nutzung von IPSec zur Sicherung einer Kommunikation sind für
Außenstehende mehr Komponenten des Netzverkehrs sichtbar als z.B. bei
der verbindungsorientierten Verschlüsselung. Je nachdem, wie IPSec
konfiguriert wurde, können Außenstehende feststellen, welche Rechner
an Ihren Standorten miteinander kommunizieren. Zumindest kann man
den Netzverkehr zwischen den Standorten ablesen. Ungeschützt sind
Informationen über Paketgröße, Anzahl der Verbindungen und Daten
in Protokollfeldern, die zu Netzwerkverkehrsanalysen ausgewertet werden.
- Cut-and-Paste und Rewrite Angriffe
IPSec kann je nach Konfiguration nicht vor Cut-and-Paste Angriffen schützen.
Wird IPSec eingesetzt um ein VPN einzurichten, ohne den AH-Header zu verwenden, so kann
der Netzverkehr aufgezeichnet werden und an eine dritte Person (Insider) innerhalb des
vertrauenswürdigen Standortes gesendet werden. Diese dritte Person
kann somit diese Nachrichten in Klartext empfangen, da die Nachricht vorher durch den
IPSec-Proxy entschlüsselt wurde.
Wird die Zieladresse durch den ESP-Tunnelmodus verborgen, so können immer noch
Rewrite-Angriffe gestartet werden. Wenn ein Angreifer ein im ESP-Tunnelmodus
verschlüsseltes Paket zwischen Person X und Person Y abfängt, so kann er das
abgefangene Paket an ein gesendetes Paket von Person X an den Insider anhängen,
um ein neues Paket zu erzeugen. Dieses Verfahren enthüllt dabei einige Daten,
selbst wenn es bei DES CBC angewendet wird.
Schutz bietet hier jeweils die Verwendung vom Authentication Header (AH).
- Replay Attacken
Sequenznummern werden zum Schutz von Replay Attacken eingesetzt. Jedoch kann
man hier nicht von einem kompletten Schutz von Replay-Attacken sprechen, es
handelt sich hierbei vielmehr um eine Erschwerung des Replay Angriffs.
Ein kompletter Schutz ist nicht möglich aufgrund der Notwendigkeit,
mit Pakete die verlorengegangen oder dupliziert worden sind, umgehen zu
müssen.
- IPSec schützt nicht gegen Angriffe, die auf Fehler in diversen
Server-Implementationen zurückzuführen sind.
IPSec kann nicht die Aufgabe eines Firewalls übernehmen. Durch IPSec erhält ein
Angreifer unter Umständen eine abgesicherte Verbindung zu einem unsicheren Server. Erst durch den
Einsatz eines Firewalls wird es möglich, Zugriffe nur auf Server im LAN zuzulassen,
bei denen eine sichere Implementation installiert ist.
Next: Richtlinien zur Verbesserung der
Up: Netzwerksicherheit durch IPSec
Previous: Abstreiten die sendende Person
Copyright Munich Network Management Team