Internet Firewalls

Einleitung:

• Elektronische Post (Electronic Mail) - EMail ist der wohl der bekannteste und am meisten genutzte Dienst im Internet. Die Probleme die sich aus der Nutzung von EMail ergeben stammen aus mehreren Richtungen. Einerseits ist sendmail, das sind in UNIX Systemen um die Verwaltung von EMails kümmert, bekannt für seine Sicherheitslücken, die zwar immer wieder geflickt werden, doch werden fast genauso schnell neue Bugs gefunden. Andererseits besteht die Gefahr, daß Benutzer Anweisungen, die sie über EMail erhalten (etwa: Bitte das Passwort sofort auf xyz ändern) unreflektiert befolgen wenn sich der Absender als Administrator ausgibt, und so Sicherheitslücken schaffen. Weiters besteht die Gefahr daß Benutzer unbewußt oder vorsätzlich Massenmails aussenden und so das Netz überfluten. Zuletzt sei auch noch erwähnt, daß es auch möglich ist Programme über EMail zu versenden. Damit besteht auch die Möglichkeit Viren und Trojanische Pferde über EMail einzuschleppen.
• File Transfer Protocol - FTP ist das wichtigste Protokoll wenn es darum geht Programme zu übertragen. Damit besteht natürlich die Gefahr, daß Viren oder Trojanische Pferde eingeschleppt werden. Viel wahrscheinlicher ist es allerdings daß mit unkontrolliertem FTP (intakte) Programme eingeschleppt werden, die aus Sicht des Netzwerkbetreibers unerwünscht sind (etwa Spiele, die während der Arbeitszeit die Mitarbeiter von der Arbeit abhalten oder raubkopierte Software, Pornos etc.). Umgekehrt besteht die Gefahr, daß Benutzer per (anonymous) FTP Daten (wissentlich oder unerwartet) für die Allgemeinheit zur Verfügung stellen die nicht für jedermann bestimmt sind. Ein weiteres Problem von FTP sind von jedermannbeschreibbare Filesysteme. Hier kann es vorkommen, daß Hacker den Plattenplatz zum geheimen Datenaustausch verwenden, indem einer die Daten per FTP aufspielt und ein anderer sie später von dort wieder abholt. Obwohl dies kein unmittelbares Sicherheitsrisiko ist, besteht doch das Problem, daß der Computerbetreiber zum unfreiwilligen Helfer krimineller Aktionen wird, und daß weiters Plattenplatz für Zwecke genutzt wird für die er nicht bestimmt war.
• Remote Login - Telnet (das wohl wichtigste Protokoll für Remote Login) galt lange Zeit als sicherer Dienst, da es erfordert, daß sich der Benutzer beim Computer identifiziert. Erst in letzter Zeit ist das Abhören der Passwörter bei der Login-Prozedur zum Problem geworden. Ein möglicher Ausweg aus diesem Problem ist die Verwendung von Einweg-Passwörtern. Anders ist die Situation bei rsh bzw. rlogin. Diese Dienste beruhen auf einem Vertrauen der Rechner untereinander und sind daher in nicht vertrauenswürdigen Netzen vollkommen unsicher.
• Usenet News - News ist ein sehr sicheres Protokoll. Das zentrale Problem besteht in dem enormen Datenvolumen, das schnell zur Erschöpfung des verfügbaren Plattenplatzes führen kann.
• Domain Name Service
- DNS ermöglicht eine Abbildung von Rechnernamen auf IP-Adressen. Auch wenn dieser Dienst kaum direkt von Menschen genutzt wird, so bildet er doch eine Grundlage für fast alle anderen Netzdienste. Damit bildet er auch eine zentrale Schwachstelle aller Netzdienste. Wenn DNS unterlaufen wird, so werden IP-Pakete (mit möglicherweise sensiblem Inhalt) an die falschen Rechner gesandt. Daher sollte der DNS-Server für das interne Netzwerk stets im Netzwerk enthalten (und damit geschützt) sein, und Meldungen externer DNS-Server nur mit Vorsicht verwendet werden.
• Internet Control Message Protocol - Das ICMP einzelne Rechner und insbesondere Router über den Zustand der Leitungen (up/down, relative Last) zu informieren, so daß diese geschickte Routineentscheidungen fällen können. Wenn diese Meldungen stets beherzigt werden, kann es passieren, daß interne Meldungen plötzlich über externe Knoten geroutet werden, weil diese (fälschlicherweise) vorgegaukelt haben, daß sie über gute Verbindungen zum eigentlichen Zielrechner verfügen.
• Es gibt noch andere praktisch wichtige Netzdienste (etwa HTTP, NFS, Time Service, X Windows, Print Server) die alle ihre speziellen Nutzen und Sicherheitsrisken haben. Aus Platzgründen (und da jede noch so komplette Aufzählung immer noch lückenhaft wäre) sollen sie hier nicht besprochen werden.

• Minimale Privilegien - Jeder Knoten und Benutzer im Netzwerk bekommt nur genau jene Rechte, die er zur Erfüllung seiner Aufgabe unbedingt benötigt und nicht mehr (aber auch nicht weniger).
• Mehrstufige Verteidigung - Wenn einer Verteidigungslinie durch einen Angreifer überwunden wird, so hat er damit nicht uneingeschränkte Gewalt über das System, sondern steht zunächst vor einer weiteren Verteidigungslinie. Natürlich läßt sich dieses System nicht auf unbegrenzt viele Ebenen ausdehnen, doch jede zusätzlich Linie kostet den Angreifer Zeit, und gibt dem Systemadministrator die Chance etwas gegen die Attacke zu unternehmen.
• Zentraler Verbindungsknoten mit Drosselfunktion- Dadurch daß aller Verkehr durch einen Knoten muß, ist es möglich durch das überwachen (und ggf. unterbinden) einer Verbindung einen Angreifer abzuwehren. Es ist viel einfacher einen (auch großen) Knoten zu überwachen als eine Vielzahl kleiner Verbindungen.
• Schwächstes Glied - Jede Kette ist nur so stark wie ihr schwächstes Glied. Ein Angreifer wird immer den am wenigsten verteidigten Punkt suchen und dort angreifen. Es macht also etwa wenig Sinn EMails scharf zu überprüfen, aber FTP freizugeben.
• Ausfallsicher - Jedes noch zu gute Sicherheitssystem hat seine Schwächen. Es ist niemals möglich im Vorhinein an alle möglichen Sonderfälle zu denken und diese mit Regeln abzudecken. Daher ist es nötig sich zu überlegen, was in unbekannten Situationen zu tun ist. Dazu bieten sich primär zwei Philosophien an:
  • Alles was nicht explizit verboten ist, ist erlaubt. - Erst wenn ein Dienst als zu gefährlich im Verhältnis zu seinem Nutzen erkannt wird, wird er verboten. Der Nachteil dieses Ansatzes besteht darin, daß eine Entscheidung immer erst dann getroffen wird, wenn bereits ein Schaden eingetreten ist. Es ist sogar möglich, daß ein Angreifer bewußt auffälliges Problem erzeugt, das die Aufmerksamkeit des Systemadministrators beansprucht um gleichzeitig eine unbemerkte Attacke starten zu können.
  • Alles was nicht explizit erlaubt ist, ist verboten. - Hier ist von vorne herein alles verboten und damit maximale Sicherheit gegeben. Erst wenn ein Dienst auf das Verhältnis von Nutzen zur Sicherheitsrisiko überprüft wurde wird er freigegeben. Damit ist die Nutzung neuartiger Dienste zwar etwas schwerfälliger, doch werden auch alle neuen Gefahren automatisch abgeschirmt. Aus Sicht der Systemsicherheit ist diese Philosophie der liberaleren Ersten weit überlegen.
• Diversitäre Systeme - Wenn alle Komponenten eines Sicherheitssystems aus einer Hand stammen, besteht stets die Gefahr, daß alle die gleiche Schwachstelle enthalten, und bei einem Angriff gemeinsam überwunden werden können. Je unterschiedlicher die Systeme, desto unwahrscheinlicher sind gemeinsame Fehler (desto komplizierter, weil uneinheitlicher, aber auch die Installation und Wartung).
• Mitarbeit aller Betroffenen - Es ist unbedingt erforderlich bei allen Benutzer des Netzwerkes Verständnis für die Notwendigkeit der gewählten Sicherheitsmaßnahmen zu erzeugen und sie (mehr oder minder) freiwillig zur Mitarbeit an der Systemsicherheit zu gewinnen. Menschen, die das Gefühl haben, daß ihnen eine Maßnahme (die sie nicht verstehen) gegen ihren Willen aufgezwungen wird, entwickeln eine erstaunliche Kreativität und Einsatzfreude wenn es darum geht, die unbeliebte Maßnahme zu umgehen.
• Einfachheit - Je simpler ein System ist, desto weniger Möglichkeiten gibt es Fehler zu machen und desto weniger Kosten entstehen dafür diese Fehler zu beheben.

• IP-Paket Filter - Für jedes IP-Paket wird allein auf Basis der in ihm enthaltenen Information (Source und Destination IP-Adresse, Portnummer, Status-Bits) entschieden ob es durch die Firewall darf oder nicht. Da hier keine Statusinformation aufbewahrt werden muß, lassen sich solche Regeln gut in einem Router abarbeiten. Die meisten kommerziellen Router auch können mit (mehr oder minder komplexen) Regeln programmiert werden, doch ist zu beachten, daß viele Implementierungen nicht intuitiv zu verwenden (und daher fehleranfällig in der Verwendung), oder selbst fehlerhaft sind. Fig.2: Ein Router zwischen internem Netz und dem Internet filtert IP-Pakete.
  
• Proxy Systeme filtern den Datenstrom auf Applikationsebene (Application Level Gateway). Sie nehmen dazu eine Vermittungsposition zwischen den Rechnern des internen Netzes und dem Internet ein. Wenn ein interner Rechner einen externen Server ansprechen will, so sendet er seine Daten nicht direkt dorthin, sondern statt dessen an den Proxy. Dieser kommuniziert nun im eigenen Namen mit dem externen Rechner und sendet das Ergebnis an den internen Rechner weiter. Dabei erscheint es dem externen Host so, als würde die Kommunikation vom Proxy ausgehen; die Existenz des internen Rechners wird also verschleiert. Allerdings sind nicht alle Protokolle unmittelbar für die Nutzung mit einem Proxy-Server geeignet. Teilweise ist es möglich durch geringfügige Anpassung des Benutzerverhaltens Protokolle über Proxy-Server zu nutzen, die sonst nicht dafür geeignet wären. Welche Protokolle das im einzelnen sind, wird später besprochen. Fig.3: Nur der Proxy Server kommuniziert mit dem Internet. Alle internen Rechner arbeiten über den Proxy.

Formen von Firewalls

Eine technisch sehr simple Lösung setzt darauf, einen Rechner mit zwei (oder mehr) Netzanschlüssen (= Dual Homed Host) als Firewall einzusetzen. Dabei wird ein Anschluß mit dem externen Netzwerk verbunden und der (die) andere(n) mit dem internen Netz. Der Rechner kann nun alle Pakete die zwischen internem und externen Netzwerk passieren sowohl auf IP-Paket Ebene als auch auf Applikationsebene filtern. Das Problem dieser Lösung besteht darin, daß ein Rechner die einzige Verteidigung darstellt, und gleichzeitig eine relativ komplizierte (und damit fehleranfällige) Aufgabe zu erfüllen hat. Weiters werden IP-Pakete in einem Dual-Homed Host oft automatisch auf sehr tiefer Ebene des Betriebssystems geroutet, so daß es nötig ist, weitgehend in das Betriebssystem einzugreifen um diese Funktion auszuschalten und einen Filter zu installieren.

Eine günstigere Lösung (die allerdings mehr Hardware benötigt) besteht darin die Filterung auf IP-Paket Ebene von der Applikationsebene zu trennen. Dazu wird zwischen das interne Netzwerk und das Internet ein filternder Router installiert, der verhindert daß beliebige Knoten des internen Netzes direkt Daten nach außen senden. Nur der Bollwerksrechner darf Daten über den Router mit externen Rechnern kommunizieren. Alle anderen Knoten müßen sich an ihn wenden, so daß leicht auf Applikationsebene gefiltert werden kann. Durch die Zweiteilung entstehen automatisch zwei Verteidigungsebenen. Damit ist auch der Bollwerksrechner selbst bereits vor Angriffen geschützt, doch sollte nie übersehen werden, daß ein Angreifer, der den Router unter seine Kontrolle gebracht hat auf dem Netzwerk (auf dem auch aller interner Datenverkehr läuft) mithören kann, ohne den Bollwerksrechner zu überwinden.

Um eine klarere Trennung von internem und externem Datenverkehr zu erreichen kann es klug sein (unter wiederum erhöhtem Hardwareaufwand) ein eigenes peripheres Netz zu errichten auf dem nur der (oder die) Bollwerksrechner sitzen. So kann ein Eindringling, selbst wenn er den externen Router und/oder den Bastion Host in seiner Gewalt hat noch immer nicht den rein internen Verkehr mithören.

Da Router relativ sichere Geräte sind ist es auch möglich den internen und externen Router in ein Gerät zusammen zu ziehen um so den Hardwareaufwand zu vermindern. Das setzt natürlich voraus, daß der Router hinreichend flexibel ist und sowohl eingehende als auch ausgehende Pakete filtern kann. Die Filter-Regeln des Routers müssen sicherstellen, daß nie direkt Daten vom internen zum externen Netz fließen, sondern daß das periphere Netzwerk stets Quelle oder Ziel jedes Pakets ist.

Alternativ ist es möglich einen Dual-Homed Host als Bollwerksrechner zu verwenden und dadurch den externen Router zu sparen. Das führt zwar zu etwas größerer Verwundbarkeit des Bollwerksrechners und bringt nicht die gleiche Geschwindigkeit wie ein echter Router, doch sind die Sicherheitsverluste gering und die Datenrate im Internet wird oft durch die Bandbreite des Netzzugangs und nicht durch die Kapazität des Routers bestimmt.

Allerdings ist es nicht tunlich den internen Router mit dem Bollwerksrechner zu vereinen, da nun wieder alle rein internen Datenströme am Bollwerksrechner vorbeikommen und bei einer Überwindung dieses Rechners dem Angreifer offenliegen.

Auch ist es unklug (etwa zum Zweck der Durchsatzsteigerung) mehrere interne Router zu verwenden. Nun besteht die Gefahr, daß der schnellste Weg von einem internen Knoten zu einem anderen über einen internen Router auf das periphere Netzwerk und über den anderen internen Router wieder ins interne Netz führt. Somit würden rein interne Daten über das periphere Netzwerk geleitet, wo sie (vergleichsweise) einfach abgehört werden können.

Allerdings ist es durchaus möglich mehrere interne Netze an den internen Router der Firewall anzuschliessen, da die Daten bei diesem Ansatz nicht auf das periphere Netzwerk gelangen. Somit ist diese Lösung gleich sicher wie die in Fig.6 dargestellte.

Natürlich muß das Netzwerk hinter der Firewall nicht (wie bisher stets gezeichnet) aus einem linearen Strang bestehen. Vielmehr ist es ohne Probleme möglich beliebig komplexe Topologien hinter der Firewall einzusetzen.

Wenn innerhalb des internen Netzwerkes Teile mit höherem und niedrigerem Sicherheitsniveau bestehen kann auch hier eine Firewall als Trennlinie eingesetzt werden.

Online Literatur: