Wie sicher sind Router (und Firewalls)?

Wie sicher sind Router (und Firewalls)?

Impressum | Werbung

Geizhals » Forum » Software »

Wie sicher sind Router (und Firewalls)? (17 Beiträge, 249 Mal gelesen)

Top-100 | Fresh-100

Du bist nicht angemeldet. [ Login/Registrieren ]

Angeregt durch einen hier http://forum.geizhals.at/t248506,1484328.html#1484328
entfachten Disput, möchte ich hier zur Diskussion stellen, welche Sicherheit man von Routern (und Firewalls) erwarten kann. Letztere in Klammer, da dieses Thema ja schon recht häufig diskutiert wurde.

Grundsätzlich würde ich die Sicherheit eines Routers (ob mit oder ohne Firewall) als trügerisch einordnen, da sie IMHO zwar gegen Attacken hilft die auf offenen Ports basieren, nicht jedoch gegen die "berühmten" Buffer overflow Lücken. Das Fatale an derlei ist ja, dass dadurch Angriffsszenarien denkbar werden, wo die Attacke quasi als Trittbrettfahrer auf einer zulässigen Verbindung daherkommt. Und dagegen hilft weder Firewall noch NAT.

Begründungen oder Widerlegungen und Beispiele sind herzlich willkommen.

Ich denke, Du triffst den Nagel auf den Kopf. Ein Router hilft dort, wo es um offene Ports geht. Und niemand sollte einen Port <1024 ohne zwingenden Grund öffnen... (dort spielt sich fast alles gefährliche ab, und selbst für normale Heim-Server sind diese Ports nicht nötig - sollten IMHO "professionellen" Servern vorbehalten bleiben)

Dort wo es um legale Verbindungen geht und die Pakete in keiner Form außergewöhnlich sind kann ein Router natürlich nichts ausrichten. Woher sollte er auch die Fehler des konkreten Anwendungsprogramms (oder Betriebssystems) kennen...

Live long and prosper!
LoneTiger

Natürlich kein ausreichender Schutz, aber er fängt schon sehr viel ab, was da so im Netz herumschwirrt. Vor allem das, was ohne dein Zutun auf deinen Rechner kommen könnte (Blaster und Co), dass es gegen das, was du aus dem Internet anforderst, auch wenn es Viren oder sonstigen gefährliche Inhalte sind.
Zur fehlerhaften Programmierung (im anderen Thread): Klar wird die Programmierung nicht 100% perfekt sein, aber Attacken, die auf spezielle Fehler in Router (für den privaten Gebrauch) zielen sind mir bis jetzt nicht bekannt, aber durchaus denkbar.
Allerdings sind Würmer und Co nur dann wirklich effizient, wenn es möglichst viele gleiche Opfer gibt (Also zum Beispiel Rechner mit MS-Betriebssystemen). Netgear-Router sind wohl nicht mehr ganz so häufig.

Suche im Forum
Suche im Internet (Google)
Was ist?
Forums-FAQa>
GH-Chat (IRC-Client muss installiert sein)
Kino 2004

So unterschreibe ich das zu 100%.

Mein Aha-Erlebnis war folgendes (vor etwa 1 1/2 Jahren):
* Perfekt gepatchter Rechner (http://www.windowsupdate.com meckert nichts an)
* d.h. auch neuester IE mit letztem kumulativem Patch
* aktive und gut konfigurierte Profifirewall (Kerio)
* Dann ein Besuch auf der Browsersecurity page vom Heise.

Und dann habe ich begonnen, mir Mozilla (damals noch) anzusehen. Mir war bis dato nicht klar, dass man mit frei im Internet zugänglichen Exploits IE/Windows/OE Express so leicht austricksen kann.

So lange man nur am Modem hängt ist es halb so schlimm. Aber bei Breitband und 24/7 muss man schon mit irgendwelchen Idioten da draussen rechnen.

Insofern sind die Router ganz gut, weil sie mal das Allerschlimmste abhalten. Aber warten wir mal ab....

ich häng mich da mal an

muß die nächsten paar tage 2 pc " säubern " die über einen router raus gehn ins net
trotz virenschutz fangen sie sich immer wieder was ein und die leute die diese PC benutzen sind ganz normale diablo 2 lod spieler die gerade mal http://diablo2.ingame.de/ und andere legalen sich anschaun
OS ist win 98 sec
bin schon mehr als ratlos wie ich die pc noch mehr " absichern " kann
also wenn ich soweit verstanden habe müßten eh schon das gröbst am router und co abprallen
----------------------------------------------------------------------------------
fall`s du meinen beitrag nicht verstehst einfach nachfragen und bitte nicht immer erwarten das ich einen roman schreibe damit mich jeder versteht

Nun ja. Das übliche ist halt Windowsupdate, Virenscanner, Firewall. Schau dir mal diese Threads an:
http://forum.geizhals.at/t248653.html
http://forum.geizhals.at/t223218.html

Suche im Forum
Suche im Internet (Google)
Was ist?
Forums-FAQa>
GH-Chat (IRC-Client muss installiert sein)
Kino 2004

ein router ist normalerweise sehr sicher. solange du eben nur die ports öffnest die du wirklich brauchst.

allerdings nützt der bester router nichts wenn die progamme und vor allem das betriebssystem sicherheitslücken aufweisen. also immer die neuesten updates einspielen.

wer dies berücksichtigt ist auf der sicheren seite.

zur kontroller neben einem virenscanner auch einen trojan scanner einsetzen.

Wer die Freiheit liebt, darf die Einsamkeit nicht scheuen!

Mit ein Router sind schon mal direkte Angriffe nicht mehr möglich. Du hast schliesslich eine interne IP-Adresse, der von aussen nicht sichtbar ist und nicht erreichbar ist (meistens der 192.168.x.y, die werden im Internet nicht geroutet!). Das bedeutet das jemand von draussen deine PC nie erreichen kann.
Der Gefahr besteht natürlich in 2 Fälle: du willst von draussen sichtbar sein und hast irgendwelche Ports forwarded (Gameserver, FTP, WosWasI). Hier kann der Attacker sehr wohl dein PC erreichen. Der andere Fall ist wenn du 'absichtlich' auf gefährliche Webseiten gehst: der Browsercheck von Heise ist so eine. Dafür kann der Router nix.

Ardjan

Ab 1.7.04 suche ich wegen Firmenschliessung einen neuen Job: www.besse.at/cv/lebenslauf.html
Mein Sohn: www.besse.at/samuel.
Achtung: Viruswarnung!

router != NAT...

Klar, aber wir reden hier über diese 08/15-Internet-Router. Ein WAN-Leitung für Chello, ADSL oder KabSi, und 4 100mbit-Ports fürs interne Netzwerk. Und soweit ich weiß, sind das alle NAT-Router, wie kann man sonst mehrere PCs ein IP-Adresse teilen lassen?

Ardjan

Ab 1.7.04 suche ich wegen Firmenschliessung einen neuen Job: www.besse.at/cv/lebenslauf.html
Mein Sohn: www.besse.at/samuel.
Achtung: Viruswarnung!

Ich versuchte nur diesem "router sind boese" gegenzuwirken. Wenn der Begriff "Router" dazu verkommt, ein Billig-Heimgeraet zum Teilen des Anschlusses zu sein, dann kann das Internet ja nicht mehr lang funktionieren.... ;o

also seid 2jahren bin ich nur mit meinenrouter "Netgear RP114" und sonst nix unterwegs. Dort sind nur die wichtigsten ports offen alle andern sind zu

viren check ich mit onlinechecks u spyware entfern ich mit adaware, spybot u pestpatrol

msblaster -> gepatched (nach ~3mal herunterfahren)
und sonst bis auf ~3viren nix gewesen

mfg

"gehts mi ned au..."

Darf ich aus der Tatsache, dass du trotz Routerverwendung Blaster eingefangen hast schliessen, dass
* entweder dein Router keine Firewallfunktion hat
oder
* diese deaktiviert war?

solange du bei einem "router" die firewall folgendermassen einstellst (und auch einstellen kannst) hast keine probleme:
Default: block all ports in both directions.
und dann machst jeden einzelnen port auf den du brauchst...und sonst nix

denn wennst einen server prozess auf deinen pc betreibst und den absichtlich raus lassen willst bist eh selber schuld.
zweitens kommen alle bisherigen würmer auf dermassen überflüssigen ports daher...zumindest auf ports die du fürs internet eh nicht brauchst.

nur leider versteht davon otto normal dau nichts....und manchen leuten ist es einfach ein wenig zu umständlich (mein hauptrechner ist in der DMZ weils mir einfach zu deppat ist für jeden test die firewall umzustellen)

bei servern ist das was anderes...dort sind die trittbrettfahrer...sprich DDOS attacken wirklich gefährlich...da hilft nur noch eine sehr mächtig firewall die überlast erkennt und dann blockiert....du bist zwar dennoch offline sobald der uplink zum netz ausgelastet ist aber der server ist nicht komprimitiert.

aber nachdem es admins gibt die eine software firewall verwenden wobei viele bei überlast dennoch packete durchlassen die sie nicht durchlassen sollten ist vielen DAUs einfach nicht zu helfen...die gehören sowiso abgeschossen!
--

"Wo Unrecht zu Recht wird, wird Widerstand zur Pflicht." Bertolt Brecht

Also zuerstmal möchte ich sagen eine Firewall gibt mehr Sicherheit als, wenn ein Rechner direkt am Internet hängt und somit dem dem ganzen schutzlos ausgeliefert wird. Ich verwende seit langem eine Hardwarefirewall, die unter Ipcop 1.3 läuft und bin damit sehr zufrieden. Alle Portscans, Blaster etc. werden dort schon rausgefiltert........ das schöne ist noch der dhcp, so kann jeder zu mir kommen und seine Kiste bei mir ins Switch stöpseln.......

Ein gemütliches Webinterface hilft mir bei der Auswertung der Logs....... Ein alter ausgedienter Rechner reicht vollkommen und man ist auf keinen Hersteller angewiesen, der irgendwann ein Update für die Firmware herausbringt.
Daß man leider Routing-Protokolle umleiten kann etc. wird daran nichts ändern ob man direkt am Netz hängt oder zu hause einen kleinen Router hat.......
Sehr gut Fand ich da den Artikel von heise " Route666 " :
http://www.heise.de/security/artikel/44824
Aber trotzdem kann man in ruhe einen Rechner aufsetzen mit hardware Firewall,- möchte nur noch logs aus meinem IDS posten:

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung