Sniffer blocken

[Casper 10]

Hallo zusammen,

 

habe heute mal ein ganz brisantes thema. thema datenschutz...

 

mir ist zu ohren gekommen, dass bei uns verschiedene leute mit sniffern arbeiten um den traffic verschiedener rechner abzuhören. betroffen sind email und z.b. icq sowie weitere Messenger.

Programme findet man ja in unmengen im i-net mit denen man sowas machen kann. z.b. http://www.networkingfiles.com/Monitor/icq_snif.html

 

wie lässt sich aber gerade soetwas verhindern? funktioniert das mit windows bordmitteln überhaupt? lässt sich der verkehr irgendwie verschlüsseln damit solche dinge nicht mehr vorkommen können? ist ja, wie ich meine und auch oben geschrieben habe schon ein brisantes thema. gerade der datenschutz wird ja hier eigentlich mit füssen getreten...

 

über eine lösung und antworten bin ich dankbar.

 

cu

Casper

[firefighter 10]

Siehe:

 

Promqry 1.0 und PromqryUI 1.0 - Netzwerkspione aufdecken (engl.) <http://go.microsoft.com/?linkid=2453356>

Dieser Artikel stellt Ihnen zwei Tools vor, mit denen Sie Netzwerkspione auf einem Computer unter Windows Server 2003, Windows XP oder Windows 2000 entdecken können.

 

Ansonsten ist es fast unmöglich Sniffer zu erkennen, da sie passiv arbeiten. Nur aktive Sniffer, die z.B. ARP Spoofing oder ähnliches nutzen, können andere Tools erkennen.

[Casper 10]

entdecken ist die eine sachen. verhindern die andere.

 

möchte das thema ohne große diskusion in der firma aus der welt schaffen und einfach alle rechner (wie auch immer) davor schützen...

[Necron 71]

Habt ihr einen Switch oder einen Hub?

Als Absicherung könnte IPSec dienen.

[Casper 10]

einen switch.

ipsec wäre aber wieder zu aufwendig. das bekommen wieder andere leute mit (inkl. chef).

[Necron 71]

Wenn ihr einen Switch habt, können die Leute nur eingehende Verbindungen zu ihrem Rechner oder ausgehende Verbindungen von ihrem Rechner sniffen, weil ein Switch die ganzen Datenpakete nicht an alle Switchports senden(wie ein Hub) sondern sie nur an die Switchports sendet für die sie bestimmt sind.

[the_brayn 10]

Hiho,

 

ein Netzwerk mit Switch kann man nicht so einfach sniffen. Guggst Du hier: http://forum.fachinformatiker.de/showthread.php?t=27385

 

Gruß Guido

 

Edith: hihi zu langsam *mist*

 

Edtih2:

weil ein Switch die ganzen Datenpakete nicht an alle Switchports senden(wie ein Hub) sondern sie nur an die Switchports sendet für die sie bestimmt sind

vorausgesetzt sie sind richtig konfiguriert.

[Casper 10]

hmm ok. ich teste morgen mal noch was.

 

aber wie sieht es grundsätzlich aus? müssen die programme z.b. icq die daten verschlüsseln damit soetwas nicht mehr vorkommen kann oder lässt sich der traffic andersweitig ausser über ipsec verschlüsseln?

 

in dem fall stellt ja eigentlich auch der proxy eine schwachstelle dar. hier kann ich ja auch schon mitloggen was die leute so treiben. das wäre dann vielleicht auch noch ein ansatzpunkt wo man was ändern könnte... am besten aber eben clientseitig. mit unserem proxy habe ich nämlich wenig am hut.

[firefighter 10]

Wenn ihr einen Switch habt, können die Leute nur eingehende Verbindungen zu ihrem Rechner oder ausgehende Verbindungen von ihrem Rechner sniffen, weil ein Switch die ganzen Datenpakete nicht an alle Switchports senden(wie ein Hub) sondern sie nur an die Switchports sendet für die sie bestimmt sind.

Das denkst auch nur du ;) such mal nach ARP Spoofing oder MAC-flooding.

 

siehe:

 

http://www.microsoft.com/germany/technet/datenbank/articles/600593.mspx

http://www.it-academy.cc/content/article_browse.php?ID=1242

http://de.wikipedia.org/wiki/ARP-Spoofing

[Necron 71]

Das denkst auch nur du ;) such mal nach ARP Spoofing oder MAC-flooding.

Jo, das ist die andere Gefahr. Die Frage ist aber, ob die Leute dort so etwas realisieren können.

[overlord 10]

hi casper,

also um dem ganzen generell entgegen zu wirken, würde ich den entscheidenden traffic (email,rdesktop,...) verschlüsseln!

gegen allen möglichen unfug im lan kann man ja was machen, aber auf das was jenseits deines routers passiert hast du ja keinen einfluß.

und bevor irgendjemand bei dir im lan bspw. die email-passwords mitsnifft -> lieber ein cert basteln und imaps oder pops verwenden! ;-)

[Casper 10]

arp spoofing wird zwar von den virenscannern meisstens erkannt, jedoch bekommen das die anwender in einem netz nicht mit. diese methode wollte ich morgen noch ausprobieren. soll ja angeblich auch funktionieren. morgen weiss ich mehr...

 

wenn das aber klappen soll, dann bin ich so naß wie vorher...

[the_brayn 10]

Hiho,

 

sniffen geht aber ohne weitere Angriffe auf den Switch nicht.

 

Gruß Guido

[overlord 10]

Jo, das ist die andere Gefahr. Die Frage ist aber, ob die Leute dort so etwas realisieren können.

wär mir zu heikel!!

nichts leichter als sich mit nem lappi ins lan auf nen beliebigen switch-port zu klinken, nen sniffer anschmeißen und mitzusnorcheln!!

selbst HTTPS (MITM)!!

was glaubt ihr denn, welcher "normale" anwender überhaupt die meldung vom fehlerhaften zertifikat liest und versteht was dort steht??!!

...nicht umsonst gibt es auch so viele pishing-opfer.

[Casper 10]

hi casper,

also um dem ganzen generell entgegen zu wirken, würde ich den entscheidenden traffic (email,rdesktop,...) verschlüsseln!

gegen allen möglichen unfug im lan kann man ja was machen, aber auf das was jenseits deines routers passiert hast du ja keinen einfluß.

und bevor irgendjemand bei dir im lan bspw. die email-passwords mitsnifft -> lieber ein cert basteln und imaps oder pops verwenden! ;-)

 

 

ja ok, aber wie verschlüssel ich das? ipsec kam mir die tage auch schon in den sinn. aber das ist zu aufwendig.

 

winxp und 2k verwenden doch bei der anmeldung an der domäne die keberos verschlüsselung. lässt sich soetwas nicht auch bei dem netzwerktraffic machen?

wobei die gegenstelle dann ja wieder den schlüssel bräuchte... hmmm