Knocking on heaven's port

Mein Hauptargument gegen Portknocking besteht darin, dass die (einfachste) Variante den Zugriff auch ausschließlich anhand einer Sequenz von Paketen freigibt, die in einer festgelegten Reihenfolge an definierte Ports geht. In einem solchen Fall ist für einen aufmerksamen Angreifer relativ einfach, das passende Pattern anhand des Netzwerktraffics herauszubekommen.

Zum Glück ist dieses Verfahren nicht die einzige Möglichkeit, Ports auf "Zuruf" zu öffnen. Die Webseiten des Projekts geben Auskunft über verschiedenste Implementierungen, die unter verschiedenen Betriebssystemen laufen, und sich zum Teil auch massiv hinsichtlich ihrer Vorgehensweise unterscheiden. Hier mal eine kleine Auswahl (ganz ohne Wertung):

- cerberus basiert auf speziellen ICMP-Paketen, das in der Lage ist, nach der Überprüfung durch eigene Authentifizierungsmechanismen bestimmte Befehle auf dem Server auszuführen.

- COK hingegen ist speziell auf die Vermeidung solch (o.g.) Replay-Attacken (z.B. anhand von mitgesnifftem Traffic) durch One-Time-Passwords (OTP) getrimmt.

- cryptknock hingegen verlässt sich auf ein verschlüsseltes "shared secret", das innerhalb von drei UDP-Paketen (inkl. DH-Schlüsselautausch) abläuft.

- fwknop bedient sich der IPTables, und ist in der Lage, auch "Multiprotokoll-Klopfen" zuverlässig zu erkennen, und beherrscht auch Rijandel-verschlüsselte Pakete.

- knockd ist eine der lätesten und bekanntesten Implementierungen des Portknocking mit diversen Features. Es handelt sich dabei um einen Daemonen, der in der Lage ist, relativ weit unten im Protokollstack eingehenden Traffic zu erkennen.

- webknocking geht einen ganz anderen Weg, und macht seine Aktionen abhängig von der Betrachtung veeschiedener, im Vorfeld definierten Webseiten auf dem System.

Darüber hinaus gibt es noch zig andere, die mehr oder weniger aufwendig zu installieren und/oder bedienen sind. Der o.g. Link sollte eine recht gute Übersicht diesbezüglich bieten.

Ich für meinen Teil musste wieder einmal erkennen, dass die genauere Betrachtung einer solchen Thematik immerhin ein paar Voruteile ausräumen kann. Innerhalb der nächsten Zeit werde ich jedenfalls einmal ein paar verschiedene Varianten ausprobieren, alleine um die "Alltagstauglichkeit" des Portknocking mal getestet zu haben. Irgendwie muss man ja mal mitreden können...

Kleine Anekdote am Rande:
Vor rund zwei Jahren hatte ich mal eine Idee für einen ganz anderen Ansatz, der erheblich höher im Protokollstack angesiedelt war. Die Theorie basierte dabei darauf, dass eine GPG-signierte / -verschlüsselte Mail an einen eigens dafür angelegten Account auf dem System gesendet werden muss, die optimalerweise ein "einfaches", besser One time-Passwort enthält. Diese Mail wird daraufhin entschlüsselt und verifiziert, und soweit alles zusammen passt, wird (z.B.) der Port freigeschaltet, bzw. der Dienst, der darauf lauscht dadurch gestartet.
Ich hielt es seinerzeit für eine recht gut Idee, jedenfalls erschien sie mir "sicherer" als das Abklopfen einiger Ports.

Wer jetzt lachen möchte, kann das jedenfalls gerne tun. Sollte sich (wider Erwarten) jemand finden, der Interesse an einer Umsetzung hat, kann sich natürlich gerne bei mir melden.