* Thomas Marciniak wrote on Sun, Feb 27, 2000 at 18:20 +0100:
On Don, 24 Feb 2000, Steffen Dettmer wrote:
* Thomas Marciniak wrote on Tue, Feb 22, 2000 at 13:37 +0100:
On Die, 22 Feb 2000, Ekkard Gerlach wrote:
Du kannst ja Verschlüsselung verwenden, also Authentifizierung per CHAP und Login per SSH.
Oder Firewall vor alles, bis auf SSH Port. Authentifizierung nur, um dumme DoS zu unterbinden, SSH macht dann Sicherheit.
Die Firewall schützt aber nicht vor Abhören auf dem Übertragungsweg. Firewall ist natürlich sinnvoll und sollte auf jedem Rechner, auf den von außen zugegriffen werden kann, aktiv sein.
:) OK, was versteht wer unter Firewall :) Ich meinte hier mehr einen zentralen Paketfilter, evtl. auch ein Application GW oder TCP Relay, macht ja hier keinen Unterschied. Ein Problem, was passieren könnte, wäre folgendes: man baut ein ppp Connect auf, der führt von (z.B.) VPN-GW zum anderen VPN-GW (was ja auch ein Laptop allein sein könnte!). Diese fahren irgenteinen Datenstrom, z.B. einen SSH-Tunnel. Dieser muß ja als "normale" TCP Conection durchgehen. Wenn man nun z.B. die Firewall komplette diese IPs durchlassen bzw. forwarden (NAT, Relay oder was auch immer da lauft), läßt man neben ssh ja auch telnet etc. durch. Damit kommt man dann zwar nicht an die Verbindung, kann aber u.U. durch diese Öffnung der (falsch konfigurierten) Firewall schlüpfen. Zusätzlich kann es auch sein, das man die freigegebenen Ports mißbraucht (z.B. durch einen Helfer intern ssh auf chipher none gestellt wird, und die Verbindung dann hijackt, welche erlaubt ist, weil port 22 offen ist) usw.
Gibt es auf dem _angewählten_ Linux-PC Möglichkeiten bei root-login das root-Passwort abzuhören ?
Klar, das ist einfach: gepatchtes login / ssh / pam (je nachdem, was Verwendung findet) installieren (gibt's evtl. fertig in einem root kit oder so). Ja, und wenn es ein triviales Passwort ist (z.B. "hallo124" oder so'n kram), ist es auch mit entsprechende Hacktools aus der shadow zu kriegen. Root-Rechte jeweils vorrausgesetzt.
Wenn der Angreifer bereits root-Rechte hat, dann hat er entweder bereits das root-Paßwort, oder er nutzt einen buffer-overflow, der ihm root-Rechte verschafft. Dann ist das root-Paßwort eigentlich nur interessant, wenn root dieses Paßwort auch auf anderen Rechnern nutzt.
Na ja, nur reicht es eben, wenn der Angreifen auf der Maschine root-Zugriff hat, auf der der Client läuft. Das ist ja das gemeine. Nehmen wir mal an, das wäre der Arbeitsplatz PC. Dieser wird gehackt (mit physikalischem Zugriff, z.B. Startdiskette). Damit kann dort ssh getauscht werden (nicht sshd). Dann macht der Admin ein ssh auf die "heisse Maschine". Der Attacker bekommt root-pw (bzw. Passphrase) mit, und kann dann selbst auf die Maschine connecten. Usw. Er kann dann so Account nach Account aufbrechen, und das fällt schwer auf (die Zugriffe kommen vom "richtigen" Rechner usw.). Damit ist ein Root-Passwort oder Zugang IMMER interessant. Ein Useraccount ist auch schon ein halber root-Account (für die pessimisten/Paranoiker - bis zum nächsten Bug ;)). Außerdem kann man mit einem root-Account sniffen (z.B. NT Domainkennwörter), damit Trojaner installieren, die wiederrum Tastendrücke und Sessions sniffen etc. etc. oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com