Personal Firewalls

Alexander Bernauer

CCC Ulm

alexander.bernauer@ulm.ccc.de

http://copton.korrektes.net

den Teufel mit dem Belzebub...

Problem Nr. 1

Programme haben Bugs

Buffer Overflow

fehlende Robustheit

offene Ports

Windows Dienste per Default an

Betriebssystem erschwert Einblick in Hintergründe

Buffer Overflow

Code

void fatal(const char* c) {

char buffer[256];

strcpy(c, buffer);

...

}

Stack

-- niedrige Addressen

buffer

...

buffer

frame pointer

return

c

-- hohe Addressen

smashing the stack for fun and profit:

http://www.phrack.org/phrack/49/P49-14

Problem Nr. 2

binary only Applikationen

Spyware

Addware

Propagierte Lösung

Personal Firewall

kontrolliert ein- und ausgehende Verbindungen

offene Ports sind nicht mehr erreichbar

nur authorisierte Prozesse dürfen nach außen verbinden

bei Angriffen wird Alarm geschlagen!!1!

Funktionsweise

+-----------------+

| Browser |

+-----------------+

+------------------+

| WSock32.dll |

+------------------+

--------------------------| |---------------------

Syscall

User Space

Ring 4

Kernel Space

Ring 0

Alles sicher oder was?

You can't improve security of an untrusted system by installing another untrustworthy piece of software. http://www.fefe.de/pffaq/

ärgern, umgehen, exploiten

Ärger Nr. 1

ICMP blocken (stealth mode)

Path MTU Discovery

Host ist trotzdem sichtbar

de.comp.security.firewall FAQ

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

Ärger Nr.2

False Positives

Portscans

Slow Server Response

Proximity Probes

Spoofing

dynamic IP

Liste typischer Fehlmeldungen:

http://www.dslreports.com/forum/remark,2169468%7Eroot=security,

1%7Emode=flat

Ärger Nr. 3

User befragen

Nachweis der Funktionalität

User beruhigen

sinnlos

wegklicken

User kann nicht entscheiden

ￄÄrger Nr. 4

Neue Probleme

Rechner lahm

Netz lahm

Zugriff auf bestimmte Ressourcen gehen nicht

Probleme mit anderen Applikationen

...

de.comp.security.firewall

Umgehen Nr.1

Tunnel

HTTP

DNS

ICMP

...

Personal Firewall austricksen

http://home.arcor.de/nhb/pf-austricksen.html

Umgehen Nr. 2

Faken

indirekter Zugriff über Wirt Programm

IE Plugin

gefälschte Meta-Infos in .exe Datei

Name

Versionsinformationen

Company

http://www.pcflank.com/art21.htm

Umgehen Nr. 3

Angriff auf die Architektur

WSock32.dll nicht verwenden

WSock32.dll austauschen

Happy99

Hybris

Umgehen Nr. 4

Angriff aus dem User Space

Firewall ausschalten

neue Filterregeln definieren

Umgehen Nr. 5

lokale Manipulation

OLE

Message Hooks

Angriffe auf die Mensch-Maschinen Schnittstelle

http://fdik.org/amm.pdf

Exploit Nr. 1

Code Injection

WM_TIMER an Fenster der Firewall

Callback zeigt in eigenen Code

Code wird im Prozess der Firewall ausgeführt

Exploit Nr. 2

Angriffe von außen

Buffer overflow in der PF

Witty

DoS

indirektes DoS gegen Dritte

Exploit Nr. 3

Codebasis vergrößert

Wahrscheinlichkeit für Bug steigt

Systemkomplexität steigt

Unvorhesagbare Interaktion zu anderen Programmen

Was tun?

Windows Dienste einfach abschalten

WinXP Firewall aktivieren

Router mit Firewall verwenden

OpenSource verwenden

Links

Windows Dienste abschalten:

http://www.ntsvcfg.de/

http://www.dingens.org/_index.html

smashing the stack for fun and profit:

http://www.phrack.org/phrack/49/P49-14

ohne Worte

http://www.bsi-fuer-buerger.de

http://www.personalfirewallday.org/

Licht und Schatten

http://www.heise.de/security

Quellen

Personal Firewall austricksen

http://home.arcor.de/nhb/pf-austricksen.html

de.comp.security.firewall FAQ

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

Liste typischer Fehlmeldungen:

http://www.dslreports.com/forum/remark,2169468%7Eroot=security,

1%7Emode=flat

http://cert.uni-stuttgart.de

Leak Tests

http://www.pcflank.com/art21.htm

2004-05-19T15:19:20