Was soll das Wissen um die interne IP bringen?

[Mingfu]

Bei der internen IP wird es sich in aller Regel um eine Adresse aus einem privaten Netzbereich (10.x, 192.168.x, ...) handeln. Das fängt normalerweise jeder Internetprovider ab und leitet es nicht weiter. Auch viele Router dürften das schlucken, wenn es vom externen Interface kommt. Wie soll ferner ein Paket mit einer solch internen Zieladresse durch den Internetprovider ausgerechnet zum Anschluss des Betroffenen geroutet werden? Es ist ja nicht dessen normale externe Adresse für die das Routing entsprechend eingetragen ist.

Blieben noch Angriffe der Form, dass jemand in eine Website Code einfügt, so dass der Browser dann Daten vom Router abruft (z. B. über einen eingebetteten unsichtbaren Frame) und ggf. den Router dadurch manipuliert (z. B. um Ports zu öffen). Nur verwenden die meisten dafür ohnehin Standardadressen (192.168.x.1) - da braucht man eigentlich das konkret verwendete Subnetz gar nicht wissen, weil es nur wenige Möglichkeiten gibt, die sich schnell durchprobieren lassen.

Ich weiß also nicht, wie das Wissen um die interne IP bei irgendeinem Angriff wirklich hilfreich sein soll.

[buntspexxt]

Hmmm....Überschrift gelesen und danach den Kommentar abgesondert?

Hättest Du den _ersten_ Satz des Artikels zumindest gelesen, dann wäre Dir dieses Detail aufgefallen: "[...]Über eine Webseite können sowohl externe als auch interne IP-Adressen von Skype-Benutzern angezeigt werden. [...]"

[Mingfu]

Was willst du damit sagen? Die externe IP-Adresse ist logischerweise herausfindbar - sonst könnte man gar keinen Kontakt zu anderen Teilnehmern aufbauen. Die externe IP-Adresse zu einem Namen zu finden, ist also nichts, was irgendwie weltbewegend wäre. Der einzig relevante Punkt dieser Diskussion kann also nur die interne IP-Adresse sein - nichts Anderes.

[spYro]

Leider auch falsch.
Es würde eine ID ausreichen bzw. eine verschlüsselte IP.
Und was man mit der internen IP anfangen soll?
Wenn du die externe IP hast, kommst du als Hacker bis zum Router.
Wenn du die interne IP hast, kannst du direkt auf den Client zugreifen.
Abgesehen davon ist es nunmal wirklich WIRKLICH komisch, dass Skype die internen IPs in allen Datenpaketen weiterschickt.

[Mingfu]

spYro schrieb:
--------------------------------------------------------------------------------
> Es würde eine ID ausreichen bzw. eine verschlüsselte IP.

Wie soll das gehen? Um eine Netzwerkverbindung aufzubauen braucht es zwangsläufig eine IP-Adresse. Da kannst du nichts mit irgendeiner ID anfangen. Die externe IP-Adresse ist bei Netzwerkverbindungen nicht schützbar - die ist öffentlich bekannt. Daran kannst du nichts ändern.

> Und was man mit der internen IP anfangen soll?
> Wenn du die externe IP hast, kommst du als Hacker bis zum Router.
> Wenn du die interne IP hast, kannst du direkt auf den Client zugreifen.

Wie bitte? Was nützt dir die Information, dass ein Client die IP 192.168.8.25 hat? Wie willst du darauf zugreifen - das ist eine private IP-Adresse, die leitet normalerweise kein Internetprovider weiter. Das geht ja schon langsam in Richtung des 127.0.0.1-Hacks hier...

[tunnelblick]

spYro schrieb:
--------------------------------------------------------------------------
> Und was man mit der internen IP anfangen soll?
> Wenn du die externe IP hast, kommst du als Hacker bis zum Router.

nein.

"we have computers, which can beat your computers"

[tunnelblick]

Mingfu schrieb:
--------------------------------------------------------------------------------
> Ich weiß also nicht, wie das Wissen um die interne IP bei irgendeinem
> Angriff wirklich hilfreich sein soll.

hmm, also es könnte evtl. rückschlüsse auf das firmennetzwerk geben. bspw. könnte ja auch eine öffentliche ip genattet werden, was auch nicht so unüblich ist.

"we have computers, which can beat your computers"

[spYro]

Eh, doch.
Mit der externen IP kannst du Pakete an den Router schicken.

[spYro]

Du gehst immer davon aus, dass es keine Schwachstellen in den verwendeten Systemem gibt, oder?
...

[tunnelblick]

ja, das ist richtig. und dieser wird sie fein verwerfen, da es vorher keinen verbindungsaufbau von intern gab. um ein paket zu forgen, welches der router auch akzeptiert, ist doch weit mehr erforderlich, als nur die ip zu kennen...

"we have computers, which can beat your computers"

[Mingfu]

tunnelblick schrieb:
--------------------------------------------------------------------------------
>
> hmm, also es könnte evtl. rückschlüsse auf das firmennetzwerk geben. bspw.
> könnte ja auch eine öffentliche ip genattet werden, was auch nicht so
> unüblich ist.

Wer derartig viele öffentliche Adressen hat und zusätzlich NAT verwendet, wird aber in der Regel über Sachverstand und eine passend eingestellte Firewall verfügen. Das sollte also dort keine größere Gefährdung erzeugen.

Zumal: Wer in Firmennetzwerken Skype einsetzt, sollte auch grundsätzlich übelegen, ob das wirklich geeignet ist (um es mal sehr vorsichtig und zurückhaltend auszudrücken). SIP-basierte Lösungen wären hier in meinen Augen deutlich eher das Mittel der Wahl.



1 mal bearbeitet, zuletzt am 30.04.12 09:02 durch Mingfu.

[tunnelblick]

Mingfu schrieb:
--------------------------------------------------------------------------------
> tunnelblick schrieb:
> ---------------------------------------------------------------------------
> -----
> >
> > hmm, also es könnte evtl. rückschlüsse auf das firmennetzwerk geben.
> bspw.
> > könnte ja auch eine öffentliche ip genattet werden, was auch nicht so
> > unüblich ist.

> Wer derartig viele öffentliche Adressen hat und zusätzlich NAT verwendet,
> wird aber in der Regel über Sachverstand und eine passend eingestellte
> Firewall verfügen. Das sollte also dort keine größere Gefährdung erzeugen.

natürlich. trotzdem lassen sich rückschlüsse auf das "interne" netz ziehen. was man damit macht, ist dem hacker dann selbst überlassen ;)

> Zumal: Wer in Firmennetzwerken Skype einsetzt, sollte auch grundsätzlich
> übelegen, ob das wirklich geeignet ist (um es mal sehr vorsichtig und
> zurückhaltend auszudrücken). SIP-basierte Lösungen wären hier in meinen
> Augen deutlich eher das Mittel der Wahl.

auch das steht außer frage. es geht allein um die machbarkeit.

"we have computers, which can beat your computers"

[mrcdrc]

Mingfu schrieb:
> Wie bitte? Was nützt dir die Information, dass ein Client die IP
> 192.168.8.25 hat? Wie willst du darauf zugreifen - das ist eine private
> IP-Adresse, die leitet normalerweise kein Internetprovider weiter. Das geht
> ja schon langsam in Richtung des 127.0.0.1-Hacks hier...

Vorsicht, wenn Du es schaffst auf den Router zu kommen, dann kannst du natürlich ggf. von da aus auf das LAN zugreifen. Die Verbindung zwischen deinem Rechner und dem Router selbst läuft dabei immer über die ext. IP - von da ab dann über die interne.

Niemand hat hier von direkten Routen auf private IP's übers www geredet...

mrc

[tunnelblick]

mrcdrc schrieb:
--------------------------------------------------------------------------------
> Mingfu schrieb:
> > Wie bitte? Was nützt dir die Information, dass ein Client die IP
> > 192.168.8.25 hat? Wie willst du darauf zugreifen - das ist eine private
> > IP-Adresse, die leitet normalerweise kein Internetprovider weiter. Das
> geht
> > ja schon langsam in Richtung des 127.0.0.1-Hacks hier...
>
> Vorsicht, wenn Du es schaffst auf den Router zu kommen, dann kannst du
> natürlich ggf. von da aus auf das LAN zugreifen. Die Verbindung zwischen
> deinem Rechner und dem Router selbst läuft dabei immer über die ext. IP -
> von da ab dann über die interne.

naja, wenn man eh auf dem/den router ist/kommt, dann braucht man auch diesen "hack" nicht... und erst recht nicht die private ip.

"we have computers, which can beat your computers"

[mrcdrc]

tunnelblick schrieb:
--------------------------------------------------------------------------------
> mrcdrc schrieb:
> ---------------------------------------------------------------------------
> -----
> > Mingfu schrieb:
> > > Wie bitte? Was nützt dir die Information, dass ein Client die IP
> > > 192.168.8.25 hat? Wie willst du darauf zugreifen - das ist eine
> private
> > > IP-Adresse, die leitet normalerweise kein Internetprovider weiter. Das
> > geht
> > > ja schon langsam in Richtung des 127.0.0.1-Hacks hier...
> >
> > Vorsicht, wenn Du es schaffst auf den Router zu kommen, dann kannst du
> > natürlich ggf. von da aus auf das LAN zugreifen. Die Verbindung zwischen
> > deinem Rechner und dem Router selbst läuft dabei immer über die ext. IP
> -
> > von da ab dann über die interne.
>
> naja, wenn man eh auf dem/den router ist/kommt, dann braucht man auch
> diesen "hack" nicht... und erst recht nicht die private ip.

Ja, das hatte ich mir beim schreiben auch gedacht...*

mrc

[Tantalus]

spYro schrieb:
--------------------------------------------------------------------------------
> Du gehst immer davon aus, dass es keine Schwachstellen in den verwendeten
> Systemem gibt, oder?
> ...

Wenn aber der Router, der ja gemeinhin auch DHCP-Server spielt, eine Schwachstelle hat, die einem Angreifer Zugriff auf den Router verschafft, ist es für den Angreifer auch ein leichtes, die internen IPs herauszufinden. Das Netz weiss er ja schon mal, und in 99% der Fälle stehen die IPs der internen Clients direkt in der DHCP-Liste des Routers.

Gruß
Tantalus

___________________________

Man sollte sich die Ruhe und Nervenstärke eines Stuhles zulegen. Der muss auch mit jedem Arsch klarkommen.

[Hugo1of2]

in meiner Firma müsste der "Angreifer" nur jemanden von unserer IT-Firma kennen und kann dann mit der internen IP genau sagen von welchem Arbeitsplatz mit welchem Nutzer da angerufen wurde.

Manchmal will man halt im internet auch mal anonym bleiben. Wenn Skype jedesmal interne UND externe IP's rausgibt, wird einem das aber nur unnötig erschwert.

Ist doch also egal wie klein oder groß das Risiko ist. Es ist unnötig die interne IP zu übertragen und demzufolge sollte es unterlassen werden.

[tunnelblick]

inwiefern die übermittlung der internen ips durch skype momentan nötig oder unnötig ist, können wohl nur die entwickler von skype abschließend beurteilen.

"we have computers, which can beat your computers"

[Tantalus]

Hugo1of2 schrieb:
--------------------------------------------------------------------------------
> in meiner Firma müsste der "Angreifer" nur jemanden von unserer IT-Firma
> kennen und kann dann mit der internen IP genau sagen von welchem
> Arbeitsplatz mit welchem Nutzer da angerufen wurde.

Dann ist die Sicherheitslücke aber nicht Skype, sondern der Mitarbeiter der IT-Firma.

Gruß
Tantalus

___________________________

Man sollte sich die Ruhe und Nervenstärke eines Stuhles zulegen. Der muss auch mit jedem Arsch klarkommen.

[tingelchen]

Eigentlich zu 100% ;) Denn wie soll der DHCP-Server eine IP vergeben wenn er keine Liste vergebener oder noch freier IP's führt? Aber selbst wenn der "Router" nicht DHCP-Server spielt, kann man immer noch die IP's herausfinden. Über die ARP Table oder das NAT-System direkt bzw. Firewall die in der Regel das NAT übernimmt.

Da aber der Großteil der internen Netze Heimanwender sind, haben sie fast alle das gleiche Netz: 192.168.0.0/24 :) Wobei der "Router" in diesem Fall fast immer die interne IP 192.168.0.1 hat.