Firewalls:

[ottonormalverbraucher]

Guten Morgen,

nachdem die Sicherheit von Softwarefirewalls nun mehrfach diskutiert wurde nun mal eine andere generelle Frage hinsichtlich Firewalls, die ich keinem Thread beantwortet fand.

Ich hoffe jemand der sich mit Systemprogrammierung befasst, liest diesen Thread. :-)

Läuft die Firewall vor dem Betriebssystem oder dahinter?
Ich mein die Firewall ist ja für ein Betriebsystem programmiert.
Als Beispiel nehmen wir mal Windows. Könnte wenn Windows wollte immer noch Daten an sich selber schicken?

Folgende Annahme: Wenn ich jedem PROGRAMM generell verbiete irgendetwas zu verschicken, geht dann noch etwas raus? Ich meine die Firewall läuft ja auf dem Betriebssystem. Deswegen müsste das Betriebssystem ja eigentlich mehr Rechte haben. Dann wiederum kann man mit der Firewall JEDEN POrt blockieren. Alle 65 000 oder so.

Nächste Frage:
Windows XP erlaubt ja das FAST USER SWITCHING. Das heißt, dass mehrere Benutzer gleichzeitig angemeldet sein können. Wenn ich mich nun als Administrator als erster einlogge und dann die Firewall starte und mich danach auslogge uns ich danach ein andere Benutzer einloggt, schützt ihn die Firewall dann auch oder nur den administrator. Im Systray wird das Symbol nämlich nicht angezeigt, der Prozess läuft im Taskmanager aber weiter.

Also mal als Strichgrafik:

internet
----------
   |
----------
firewall
---------
Admin|benutzer1|benutzer2|benutzer3|benutzer4| BETRIEBSYSTEM ????

oder eher so:

internet
----------
   |
----------
firewall|firewall|firewall betriebsystem
--------------------------------------------------------------------
Admin|benutzer1|benutzer2|benutzer3|benutzer4

[Christian Kruse]

Hallo ottonormalverbraucher,

Ich nehme mal an, du sprichst von Software-Firewalls.

Läuft die Firewall vor dem Betriebssystem oder dahinter?

Hehe, weder noch.

Als Beispiel nehmen wir mal Windows. Könnte wenn Windows
wollte immer noch Daten an sich selber schicken?

Prinzipiell Ja. Es wird sogar behauptet, dass Windows genau
sowas auch tut.

Folgende Annahme: Wenn ich jedem PROGRAMM generell
verbiete irgendetwas zu verschicken, geht dann noch etwas
raus? Ich meine die Firewall läuft ja auf dem
Betriebssystem. Deswegen müsste das Betriebssystem ja
eigentlich mehr Rechte haben. Dann wiederum kann man mit
der Firewall JEDEN POrt blockieren. Alle 65 000 oder so.

Zunaechst mal: 65536 :) 2^16.
Dann: das kommt auf die Implementation an. Bei Linux und
FreeBSD z. B. sind die Firewall-Funktionen im Kernel
integriert und die recht grosse Open-Source-Gemeinde sorgt
eigentlich recht sauber dafuer, dass da nichts
vorbeigeschummelt werden kann. Bei Windows ist das nicht der
Fall, nichts genaues weiss man also nicht.

Spricht man jedoch von einer Hardware-Firewall, so wird das
schlicht und ergreifend unmoeglich. Da muss der Datenstrom
physikalisch ueber diese Firewall laufen, und die hat dann
jede Moeglichkeit, da einzugreifen.

Gruesse,
 CK

[Andreas Korthaus]

Hallo!

Dann: das kommt auf die Implementation an. Bei Linux und
FreeBSD z. B. sind die Firewall-Funktionen im Kernel
integriert und die recht grosse Open-Source-Gemeinde sorgt
eigentlich recht sauber dafuer, dass da nichts
vorbeigeschummelt werden kann. Bei Windows ist das nicht der
Fall, nichts genaues weiss man also nicht.

Ich habe heute noch gelesen das z.B. die AVM-Fritz-Card z.B. die Windows XP Firewall umgeht, dafür eine eigne integriert hat, daran sieht man was genau diese Wert ist. Aber irgendwie finde ich die Quelle nicht mehr.

Naja...

Grüße
Andreas

[ottonormalverbraucher]

Hi,

ja aber das Betriebssystem hat doch nur 2^16 Ports.
Selbst mit einer eigenen Implementierung muss es doch einen dieser benutzen, oder sehe ich das falsch.

Wenn die Firewall nun alles dicht macht.Also für jeden POrt jedes Protokoll sperrt. Wie soll das dann gehehn?

Danke

[wahsaga]

hi,

ja aber das Betriebssystem hat doch nur 2^16 Ports.

ein betriebsystem hat gar keine "ports".

tcp/ip arbeitet mit ports, um mehrere verbindungen mit unterschiedlichen inhalten von einem client/zu einem server gleichzeitig nutzen zu können.

Selbst mit einer eigenen Implementierung muss es doch einen dieser benutzen, oder sehe ich das falsch.

die dekstop firewall kann idR. nur die implementierung des tcp/ip-stacks überwachen, die beim betriebssystem standard ist.
wenn jetzt aber ein programm seinen eigenen stack mitbringt(*), dann kann die firewall da gar nicths gegen machen, weil sie von der existenz dieses stacks gar nichts _weiss_.

gruss,
wahsaga

(*) bezüglich der wahrscheinlichkeit, dass es damit erfolg haben wird, beachte auch carstens antwort, [pref:t=57990&m=325213].

[ottonormalverbraucher]

Hi,

ok nehmen wir mal an mit Windows XP seinen über FAST USER SWITCHING
3 user eingeloggt. Es gibt 3 Partitionen.

User A Berechtigung auf Partition 2 zuzugreifen.
User B Berechtigung auf Partition 3 zuzugreifen.
User C Berechtigung auf Partition 4 zuzugreifen.

Alle drei haben Berechtigung auf Partition 1(Windowx xp) zuzugreifen.

Wenn jetzt Benutzer B ein Programm gestartet hat das Sichherheitslücken hat. Und angenommen ein Hacker kommuniziert mit diesem Programm. Hat das Programm dann die gleichen Benutzerrechte wie der Benutzer der es gestartet hat? Oder kann es auch alle Partitionen zugreifen?

Danke 1000x!!!

[wahsaga]

hi,

Folgende Annahme: Wenn ich jedem PROGRAMM generell verbiete irgendetwas zu verschicken, geht dann noch etwas raus? Ich meine die Firewall läuft ja auf dem Betriebssystem. Deswegen müsste das Betriebssystem ja eigentlich mehr Rechte haben. Dann wiederum kann man mit der Firewall JEDEN POrt blockieren. Alle 65 000 oder so.

eine software-firewall kann m.w. nur den tcp/ip-stack überwachen, der vom betirebsystem standardmässig verwendet wird.

wenn ein programm also seine eigene implementierung des tcp/ip-stacks mitbringt, oder das betriebssystem noch eine zweite neben der "offiziellen" hat, dann kann es wahrscheinlich munter daten in alle welt schicken, von denen die firewall nicht den hauch eines bytes mitbekommt.

gruss,
wahsaga

[Carsten]

Hi Wahsaga,

wenn ein programm also seine eigene implementierung des tcp/ip-stacks mitbringt, oder das betriebssystem noch eine zweite neben der "offiziellen" hat, dann kann es wahrscheinlich munter daten in alle welt schicken, von denen die firewall nicht den hauch eines bytes mitbekommt.

Das ist der (Haupt)Kritikpunkt an Paketfiltern (bislang fälschlicherweise 'Firewalls' genannt) die auf dem selben Rechner laufen.
Es hängt allerdings vom Betriebssystem ab, wie leicht es einem Programm gemacht wird einen Parrallelpfad zur Netzwerkkarte dazuzumogeln.
Grundsätzlich ist es möglich das zu verhindern, praktisch ist ein Schutz nicht vorhanden (Win9x), wird oft nicht benutzt (2000/XP mit Administrator-User) oder er ist löchrig (ungepflegte Systeme).

Gruss,
  Carsten