Tunnel

Tunnel = Simulation/Virtualisierung eines Kommunikationsprotokolls innerhalb eines anderen.

• Prinzip: Auf jedem universellen Rechner kann man jeden anderen simulieren.
• Tunnel auf verschiedenen OSI-Schichten (= Netzebenen) möglich.
• Kryptographische Maskierung möglich.
• Besonders gut einsetzbar, da universell: http-Tunnel (Port 80) bzw. https-Tunnel (Port 443, verschlüsselt).

• Am Ziel Auswertung durch
  • Plugin,
  • Java-VM,
  • als Skript oder Objekt im Browser,
  • über XML-Mechanismen,
  • SOAP,
  • ...
• Wichtige Anwendung: VPN - Erweiterung des lokalen Netzes über das (unsichere) Internet.
• Open-Source-Lösungen mit SSL oder SSH.
• Open VPN
• Auch kommerzielle Lösungen.

Problem: Datenexport und -import nicht kontrollierbar, von verschlüsselter Web-Kommunikation nicht zu unterscheiden.

Skype

• Telefonieren über das Internet (Voice over IP, VoIP)
  • einschl. Anrufweiterleitung, Videotelefonie
  • Nebennutzen: Instant Messaging, Chat, Dateiübertragung
• Dezentrale Vermittlung über P2P-Netz
• Firewalls werden getunnelt,
  • beliebige Ports nutzbar, vorzugsweise 443,
  • Erreichbarkeit von Rechnern trotz NAT!

Sicherheitsprobleme

• Neue Dimension: Tunnel-Eröffnung für jedermann per Mausklick.
• Jeder, der im Firmennetz einen PC mit Administrationsrechten hat, kann sich selbst eine Einwahlmöglichkeit von außen schaffen.
• Jede Sicherheitslücke in der Software öffnet das Firmennetz schutzlos zum Internet.
• Da die Tunnelung verschlüsselt erfolgt, gibt es keine Möglichkeit, eine solche Verbindung durch Inhalts-Filterung zu erkennen.
• Da ein Standard-Port verwendet wird, gibt es keine Möglichkeit, die Verbindung auf IP-Ebene zu erkennen.
• Da Skype ein Netz aus verteilten Servern nach dem P2P-Prinzip aufbaut, gibt es auch keine Möglichkeit die Nutzung durch Sperrung von Zieladressen zu unterbinden.
• Start von Skype i. d. R. beim Rechnerstart (wegen Telefonie-Funktion).
• Somit Verbindung vom Firmennetz in die Außenwelt hergestellt, die für beliebige Zwecke genutzt werden kann; Verbindungsversuch von außen kann als solcher nicht erkannt werden, da die Verbindung ja schon von innen her geöffnet ist.
• Offene Skype-Verbindungen sind von außen zu entdecken;
  • wesentliches Funktionsmerkmal von Skype.
  • Voraussetzung: externer Angreifer kennt den User-Namen (da in Skype signalisiert wird, wer von den Kontakten in der persönlichen Kontaktliste gerade online ist).
  • Restriktion aufgrund von Schwachstellen im System evtl. umgehbar.
• Selbsteinschätzung: »Skype ist sicher« - ein sehr eingeschränktes Verständnis von Sicherheit!