Schutz vor Sniffer (Cain & Abel)

[cryspy]

Hi,

Wie kann man sich vor einem Sniffer schützen? Mir geht es insbesondere um den Cain & Abel Sniffer, der so ziemlich den ganzen Netzwerk Traffic abfängt, und so mit alle Passwörter mitbekommt, die unverschlüsselt versendet werden (meist nur beim Login) und das sind unwahrscheinlich viele!

mfg cryspy

[lordy]

Entweder nur verschlüsselte Protokolle verwenden, wie z.B:

- POP3S

- IMAPS

- HTTPS

Oder im LAN IPSec verwenden.

[cryspy]

Wenn es nur so einfach wär

Also mal so bei uns in der Schule.

Der Sniffer würde den Traffic von den ausgewählten PCs erst zu sich holen und dann erst an den Server weitergeben und der Server schickt das halt wieder an dier Web-Server...

Und da das PW beim Login noch unverschlüsselt zum Sniffer kommt, ist das ein großes Problem. Ein Kumpel und ich haben das mal daheim getestet, beim Login wird alle sim Klartetxt nagezeigt danach ist es meistens verschlüsselt. Bei web.de wars die ganze Zeit im Klartext!!!

[derJan]

Oder tunnel dich über ssh raus - hier hab ich vor etwas längerer Zeit mal ne Anleitung dafür geschrieben. Funktioniert so auch auf unixoiden Betriebssystemen, unter Windows hilft putty bzw. plink

[cryspy]

Danke, ich werde die 2 WinDOS-Progs mal testen

[dgr243]

cain & abel ist übrigens kein reiner sniffer

setz dich mal mit den themen arp und ip spoffing auseinander.

schutzfunktionen dagegen sind features die sich am einfachsten auf netzwerkebene implementieren lassen

davon ab sind unverschlüsselte passwörter natürlich immer ein gewisses risiko. aber das haben die vorredner ja schon geschrieben was man dagegen tun kann

[derJan]

vielleicht hilft dir auch meine (kurze) Präsentation zu ARP weiter, die ich neulich mal in der BS gehalten hab: http://derjan.devzero.de/public/ARP.pdf

[marstro]

Ist zwar schon was älter, aber gegen ARP Spoofing/Poisoning hilft das nette kleine Tool Xarp. Einfach mal googlen.

Vielleicht hilft der Beitrag ja dem einen oder anderen.

[dgr243]

Xarp mag es aber zum Beispiel überhaupt nicht, wenn irgendwo HSRP / VRRP im Einsatz ist.

Mal ganz davon abgesehen, dass ich einer Software niemals die Sicherheitsfunktionen zugestehe, die ich in Hardware direkt am Switch wesentlich einfacher einstellen kann

[Guybrush Threepwood]

Naja ein normales switch lässt sich ja auch so aushebeln das es sich stattdessen wie ein Hub verhält und ein Layer 3 Switch ist glaub ich ein gutes Stück teurer wie ein normales.

Also kurz gesagt eine Hardwarelösung ist zwar oft sicherer als eine Softwarelösung aber dafür auch teurer. Muss man also je nach Einsatzzweck abwägen.

[dgr243]

Um einen (vernünftigen) Layer 2 Switch zu einem Hub "umzufunktionieren" musst du ihn "nur" mit Traffic überladen.

ABER

- den Traffic musst du erstmal zustande bringen. Ein normaler 100 bzw. 1000mbit Client schafft das nicht

- du brauchst also zwingend mehrere Clients die genügend Dampf haben um diesen Zustand herbeizuführen

- wenn du diese Anzahl Clients zusammenbekommst als Angreifer, dann ist dein gesamtes Sicherheitskonzept so löchrig, dass auch jede andere Variante funktionieren würde

- Selbst wenn kannst du immer noch über entsprechende Funktionen des Switches dafür sorgen, dass Clients die Gefahr laufen den Switch zu überlasten automatisch vom Netz getrennt werden

Ich mein wir reden hier ja nicht von 0815 Soho Switches für 5 Euro, sondern schon von vernünftiger und managebarer Hardware.

[truebsalgeblaese]

Nö,

da brauche ich nicht viel Traffic, sondern nur den richtigen.

Ich muss nur genug (gefakte) Macs verwenden, um den Mac-Puffer im Switch zum platzen zu bringen und schon hab ich meinen Hub....

tsg

[dgr243]

Wenn deine Switchkonfig an Access Ports mehr als eine MAC überhaupt zulässt (Stichwort Port Security) hast du sicherlich recht

[WeedWeed]

Schoenen guten tag, ich bin neu hier, ich dachte erst ich kenn mich etwas aus mit pc, dann entdeckte ich dieses forum, nun weis ich das ich mich ueberhaupt nicht auskenne.

Es geht um Dieses tool Cain, der netzwerksniffer, mein problem ist, ich wohne in einer wg mit vielen leuten, netzwerk, zocker, und ich hab cain getestet, die usernames und passwoerter leuchten im klartext in der liste auf, das ein problem, ich google schon die ganze nacht nach schutz gegen cain, leider ohne erfolg wie googletypisch, gib bei google porno ein kommen tausend seiten, such bei google was vernuenftiges, ergebniss = 0.

Das einzigst gescheite finde ich hier, nur ich verstehe nur bahnhof, ist mir zu hoch ich komm nicht dahinter.

meine frage ist ganz einfach, was kann ich tun das meine passwoerter bei KEINEM cain mehr aufleuchten, oder zumindest verschleiert und nicht gleich klartext?

kann ich das als amateur schnell begreifen oder kann ich mich nachm abendkurs an der volkshochschule umschauen?

Im prinzip muss irgendein mitbewohner hier cain doppelklicken, schon kann er meine loggins sehen, ich fuehle mich gelinde gesagt nicht wirklich wohl in so einer situation.

[marstro]

Ist zwar schon was älter, aber gegen ARP Spoofing/Poisoning hilft das nette kleine Tool Xarp. Einfach mal googlen.

Vielleicht hilft der Beitrag ja dem einen oder anderen.

......

[WeedWeed]

Danke, das tool verhindert zwar die auspioniererei nicht, aber wenigstens wird man gewarnt.

[marstro]

Edit: Unsinn geschrieben. ^^

Bearbeitet 30. September 2009 von marstro

[WeedWeed]

wer? ich? weil ich mich nich auskenn oder was?

[marstro]

Nein, ich. Deswegen das "Edit" davor. Hatte quatsch geschrieben.

[WeedWeed]

ahsoo

[Gnork]

Der Sniffer würde den Traffic von den ausgewählten PCs erst zu sich holen und dann erst an den Server weitergeben und der Server schickt das halt wieder an dier Web-Server...

Naja das ist aber nicht so einfach möglich. Das geht dann schon in die Kategorie Man-In-The-Middle wo man plötzlich selbst als Gateway fungiert und so der gesamte Traffic über das eigene Medium verläuft. So etwas könnte man z.B. über Gratuitous ARP / ARP-Spoofing realisieren.

Aber das Sniffen ist halt normalerweise nur in ungeswitchten Netzwerken möglich, die man selbstverstänldich vermeiden sollte. Wie aber schon abgesprochen wurde kann man durch Überladen des Switches ein ungeswitchtes Netzwerk erzeugen, was aber auch durch entsprechende Gegenmaßnahmen (port security z.B. - wie auch schon angesprochen wurde) verhindert werden kann.