cryptolok/ghostinthenetUltimate Network Stealther, das Linux zu einem Geist im Netz macht und vor MITM/DOS/scan schützt.
Ultimativer Netzwerk-Stealther, der Linux zu einem Geist im Netz macht und vor MITM/DOS/Scan schützt
Eigenschaften:
Abhängigkeiten:
Einschränkungen:
Das grundlegende und primäre Netzwerkprotokoll ist ARP für IPv4 und NDP (ICMPv6) für IPv6, das sich in der Sicherungs- und Vermittlungsschicht befindet und die Hauptkonnektivität in einem LAN bereitstellt.
Trotz seiner Nützlichkeit und Einfachheit weist es zahlreiche Sicherheitslücken auf, die zu einem MITM-Angriff und einem Verlust der Vertraulichkeit führen können.
Das Patchen eines so weit verbreiteten Standards ist praktisch unmöglich.
Eine sehr einfache, aber gleichzeitig effektive Lösung besteht darin, ARP- und NDP-Antworten auf einer Schnittstelle zu deaktivieren und beim Broadcasting sehr vorsichtig zu sein.
Angesichts der Vielfalt der Implementierungen bedeutet dies, dass niemand im Netzwerk mit einem solchen Host kommunizieren kann, es sei denn, der Host ist selbst dazu bereit.
Der ARP/NDP-Cache wird danach schnell gelöscht.
Hier ist ein Beispielschema:
A >>> Ich brauche die MAC-Adresse von B >>> B
A <<< Hier ist sie <<< B
A <<< Ich brauche die MAC-Adresse von A <<< B
A >>> Ich gebe sie nicht >>> B
Um die Privatsphäre zu erhöhen, wird empfohlen, die MAC-Adresse zu fälschen, was eine bessere Tarnung bietet.
Außerdem muss der Hostname geändert werden (insbesondere bei Verwendung von DHCP, wobei in diesem Fall alle Leases freigegeben werden müssen).
All dies ist mit einfachen Befehlen im Linux-Kernel und einem Skript möglich, das alles automatisiert.
Kein ARP/NDP bedeutet keine Konnektivität, also absolute Tarnung und Undurchsichtigkeit auf der Netzwerk-/Sicherungsschicht.
Dies schützt vor allen möglichen DOS- und MITM-Angriffen (ARP, DNS, DHCP, ICMP, Port Stealing) und ist weitaus weniger ressourcenintensiv als ArpON.
Eine solche Abwehrmaßnahme impliziert die Unmöglichkeit, gescannt zu werden (nmap, arping).
Außerdem beeinträchtigt es aus Host-Sicht keine normale Internet- oder LAN-Verbindung.
Wenn Sie eine Verbindung zu einem Host herstellen, wird dies autorisiert, aber kurz nach Beendigung der Kommunikation vergisst der Host Sie, da ARP/NDP-Tabellen ohne eine neue Anfrage nicht lange bestehen bleiben.
Aufgrund der großen Kompatibilität und Plattformübergreifung ist es auch für Offsec/Pentest/Redteaming sehr nützlich.
Du siehst alle, aber niemand sieht dich, du bist ein Geist.
Abwehrmaßnahmen und eine echte Überwachung des Netzwerks erfordern eine tiefgreifende Neukonfiguration von Betriebssystemen, IDPSen und aller anderen Geräte, daher kaum realisierbar.
Sie können das Skript nach der Verbindung zum Netzwerk oder direkt davor ausführen:
sudo ./GhostInTheNet.sh on eth0
Dies aktiviert die Lösung bis zum Neustart.
Wenn Sie es stoppen möchten:
sudo ./GhostInTheNet.sh off eth0
Natürlich müssen Sie das Skript zuerst ausführbar machen:
chmod u+x GhostInTheNet.sh
Das ARP/NDP-Protokoll kann zu Verteidigungszwecken ausgenutzt werden.
Jetzt ist Ihr Poisontap buchstäblich nicht erkennbar und Ihr Tails ist noch anonymer.
Sie sollten sich über IPv6 informieren.
„Sterne, verbergt euer Licht; Lasst nicht das Licht meine schwarzen, tiefen Wünsche sehen.“ William Shakespeare, Macbeth