6. Sicherheitsüberlegungen
Dieses Kapitel diskutiert Sicherheitsauswirkungen der IPv4-ID-Feldaktualisierungen.
6.1 Datenschutzauswirkungen
Die ID-Feldgenerierungsstrategie kann Informationen über den Sender preisgeben:
- Datagramm-Senderate: Durch Beobachtung der ID-Wachstumsrate
- Geräte-Fingerprinting: Identifizierung von Gerätetypen durch ID-Muster
- Benutzeraktivitätsverfolgung: Verfolgung durch ID-Änderungen
Gegenmaßnahmen:
- Verwendung von Zufallswerten für atomare Datagramme
- Per-Flow-Zähler statt globaler Zähler
- Regelmäßiges Zurücksetzen der Zähler
- Zufällige Initialwerte
6.2 Fragmentierungsangriffe
IPv4-Fragmentierung kann für verschiedene Angriffe ausgenutzt werden:
6.2.1 Fragmentierungs-Reassemblierungsangriffe
Angreifer können:
- Ressourcenerschöpfung: Unvollständige Fragmente senden
- Reassemblierungsfehler: Fragmente mit gleicher ID aber unterschiedlichem Inhalt senden
- Firewall-Umgehung: Durch Fragmentierung Firewall-Prüfungen umgehen
Gegenmaßnahmen:
- Verwendung atomarer Datagramme (DF=1)
- Path MTU Discovery
- Begrenzung unvollständiger Fragmente
- Fragmentvalidierung
6.3 ID-Kollisionsangriffe
Angreifer können versuchen, die begrenzte ID-Kapazität auszunutzen:
- ID-Vorhersageangriff: Vorhersage von ID-Generierungsalgorithmen
- ID-Erschöpfungsangriff: Schnelle Erschöpfung des ID-Raums
- Reassemblierungs-Interferenzangriff: Gefälschte Fragmente mit gleicher ID senden
Gegenmaßnahmen:
- Randomisierte ID-Generierung
- Per-Flow-ID-Raum
- Transportschicht-Validierung
- IPsec
6.4 Denial-of-Service-Angriffe
IPv4-ID-Feldverarbeitung kann Ziel von DoS-Angriffen sein:
- Fragmentierungs-Flutangriff: Massive fragmentierte Datagramme
- ID-Erschöpfungsangriff: Schnelle Erschöpfung des Sender-ID-Raums
- Reassemblierungs-Ressourcenerschöpfung: Unvollständige Fragmente
Gegenmaßnahmen:
- Ratenbegrenzung
- Ressourcenverwaltung
- Priorisierte Verarbeitung atomarer Datagramme
- Firewall und Filterung
6.5 Vergleich mit IPv6
IPv6-Fragmentierung ist sicherer:
- End-to-End-Fragmentierung: Nur Quellknoten fragmentieren
- 32-Bit-Identifikationsfeld: Größerer ID-Raum
- Expliziter Fragmentierungsheader: Klarere und sicherere Verarbeitung
6.6 Empfehlungen
- Atomare Datagramme (DF=1) bevorzugen
- Randomisierte ID-Generierung verwenden
- Auf Transportschicht-Schutz vertrauen
- Überwachungs- und Erkennungsmechanismen einsetzen
- Regelmäßige Updates durchführen
Navigation: