Security Labor MitM-Demonstration 12. November 2018

Security Labor Das Labor als Teil des Moduls IT-Security Vermittlung von IT-Sicherheits-Praxis 14 Versuche à 4-8 Lektionen zu diversen Themen Sichere Konfiguration von Systemen Angriffe und Schutzmöglichkeiten Sensibilisierung: Sicher ist nur, das nichts sicher ist

Demo: Man-in-the-Middle-Attack Auch Monkey-in-the-Middle genannt :-D Ziel Man schleicht sich zwischen Sender und Empfänger einer Nachricht ein, um die Kom- munikation abzuhören oder zu manipulieren. Anwendung Passwörter oder Kreditkarten-Daten fischen, Transaktionen beim Online-Banking übernehmen, oder einfach die Kommunikation von jemandem überwachen.

Eine Technik für MitM: ARP-Poisoning In einem lokalen Ethernet-Netzwerk können wir das Address Resolution Protocol verwenden, um uns zwischen zwei Kommunikationspartner zu platzieren. Der Angriff Man gibt sich dem Opfer gegnüber als Server aus, und dem Server gegenüber als normaler Client. Man missbraucht deren Vertrauensbeziehung.

Data Link Layer: Das Address Resolution Protocol Zwischen Link- und IP-Layer im TCP/IP-Modell ARP wurde 1982 in RFC826 standardisiert Findet MAC-Adressen zu bestimmten IP-Adressen Beispiel: Request - Response Bob sendet MAC-Broadcast (FF-FF-FF-FF-FF-FF): „Wer hat die IP-Adresse 192.168.1.1?“ Alice antwortet gezielt an Bob: „Du erreichst mich unter 00-16-FC-CD-29-93.“ Bob speichert Adressen von Alice in seiner ARP-Tabelle. Frage: Was sieht ein Beobachter am gleichen Switch/Hub?

ARP-Request und -Reply

ARP Poisoning Wer ist Alice? Bob Alice ICH bin Bob! ICH bin Alice! Alice IP: 192.168.1.1 MAC: 00:1d:7e:ab:a9:7a Mallory Bob IP: 192.168.1.2 MAC: 00:15:c5:46:57:d8 Mallory IP: 192.168.1.3 MAC: 00:00:00:00:af:fe

Demonstration Netzwerk-Sniffer auf Mallory starten Ping von Bob zu Alice => ARP-Tabelle von Bob anzeigen => Mallory sieht nur den ARP-Request (Broadcast) ARP-Spoofing auf Mallory starten Ping von Bob zu Alice => ARP-Tabelle von Bob anzeigen => Ping geht via Mallory! Alice von Bob aus per Web-Interface konfigurieren http://192.168.1.1 HTTP Basic Authentication mitlesen Frage: Warum werden viele Pakete doppelt angezeigt?

HTTP Baisc Authentication umgeleitet und gesnifft Credentials: [Benutzername]:[Passwort]

HTTP-Request zu Alice weiterleiten

Schutzmassnahmen ARP-Tabelle statisch konfigurieren Netzwerk in mehrere Broadcast-Domains segmentieren Detektieren mittels Intrusion Detection System IPv6 verwendet kein ARP Authentifizierung mittels 802.1x Verschlüsselung und Authentifizierung mittels IPSec, SSL, usw.

Mehr zum Thema Die Versuche zum Thema Protocol Analysis auf http://www.networkinglabor.ch Audit-Versuche zum Thema Netzwerk-Sicherheit auf http://www.securitylabor.ch Versuche zum Thema Switching/VLAN, WirelessLAN und VPN auf http://www.networkinglabor.ch