[linux-l] sockets und ip's

[Oliver Bandel]

On Sun, Oct 12, 2003 at 12:57:50PM +0200, Olaf Radicke wrote:
> Am Sa, 2003-10-11 um 20.29 schrieb Oliver Bandel:
> > On Sat, Oct 11, 2003 at 01:48:49PM +0200, Olaf Radicke wrote:
> > > 
> > > Und ist es m??glich das ein Klient "l??gen" kann und von
> > > sich behaupten kann er sei ein anderer? Also sich in
> > > einer Sitzung "dazwischen schieben"? 
> > 
> > Ja, klar geht das.
> > Ist wohl im Moment noch nicht sehr ??blich, aber man kann das machen.
> > ??berall, wo Bits ??ber die Leitung gehen, kann man sich dazwischen
> > h??ngen.... in wieweit verschl??sselte Protokolle helfen, ist fraglich.
> > Kenne mich mit Krypto-Protokollen nicht so sehr aus, aber ich denke mal
> > (so aus dem Bauch heraus vermutet), da?? die IP-Adresse nicht
> > verschl??sselt ??bertragen wird... die Nutzdaten liegen ja nicht
> > in der selben OSI-Schicht wie die IP-Kenndaten.
> > Aber wenn man sich bei verschl??sselter Kommunikation dazwischen h??ngt,
> > dann mu?? man ja erst mal die Kommunikationsm??glichkeit aufbauen
> > k??nnen... sich also Authentifizieren.
> > In wieweit das auch exploitbar ist, wei?? ich nicht.
> 
> Ich habe mir da folgendes ??berlegt:
> 
> Bei jeder Antwort vom Server an den Klienten wird eine Frase 
> mitgeschickt. Bei der n??chsten Anfrage des Klienten muss selbiger
> eine md5 Summe aus seinem Passwort und der letzten Frase bilden
> und mitschicken. So kann der Server sehen das die Anfrage immer
> noch von dem selben kommt. Selbst wenn die Frase abgefangen wird,
> fielt noch das Passwort, das nie ??ber das Netz geschickt wird
> und nur der Server und der (richtige) Klient hat. Aber durch
> das md5 wird das nat??rlich auch wieder langsamer.


Was machst Du, wenn schon beim ersten Zugriff auf den Server
der da garnicht existiert?
Und statt dessen hockt da ein anderer, der sich als der eigentliche
ausgibt (der aber kurzzeitig mal vom Netz getrennt ist/wurde...)?!
Oder man setzt sich halt dazwischen - so man denn die Möglichkeit
hat, sich tatsächlich zwischen eine Verbindung zu setzen
(normalerweise ist ja nicht vorherbestimmt, wo die IP-Pakete lang laufen),
wenn also die Topologie der Anbindung das überhaupt ermöglicht...

Ciao,
   Oliver