ike-scan

IKE-Hosts (IPsec-VPN-Server) entdecken und identifizieren

Inhaltsverzeichnis

• Erstellen und Installieren
• Überblick
• Verwendung
• Implementierungsdetails
  • Host-Eingabe und Speicheranforderungen
  • Ratenbegrenzung
  • Cookie-Generierung und Identifizierung von Remote-Hosts
  • IKE-Paketdetails
  • Backoff-Fingerprinting
• Programmausgabe
• Beispiele
• Unterstützte Plattformen
• Weiterführende Literatur und RFCs
• Kontaktinformationen

Erstellen und Installieren

ike-scan verwendet die standardmäßigen GNU-Autoconf- und Automake-Werkzeuge, daher erfolgt die Installation über den normalen Ablauf:

• Führen Sie git clone https://github.com/royhills/ike-scan.git aus, um den Quellcode des Projekts zu erhalten
• Wechseln Sie mit cd ike-scan in das Quellverzeichnis
• Führen Sie autoreconf --install aus, um eine funktionsfähige ./configure-Datei zu erzeugen
• Führen Sie ./configure oder ./configure --with-openssl aus, um die OpenSSL-Bibliotheken zu verwenden
• Führen Sie make aus, um das Projekt zu erstellen
• Führen Sie make check aus, um zu überprüfen, ob alles wie erwartet funktioniert
• Führen Sie make install aus, um die Installation durchzuführen (dafür benötigen Sie root- oder sudo-Rechte)

Wenn Sie planen, das Knacken von Pre-Shared-Keys durchzuführen, sollten Sie ike-scan so konfigurieren, dass es die OpenSSL-Hash-Funktionen anstelle seiner eigenen Funktionen verwendet, da die OpenSSL-Funktionen normalerweise schneller sind. Stellen Sie dazu sicher, dass die OpenSSL-Include-Dateien und -Bibliotheken installiert sind, und führen Sie ./configure --with-openssl aus. Ob Sie OpenSSL verwenden oder nicht, hat keinen Einfluss auf die Funktionalität von ike-scan, sondern nur auf die Geschwindigkeit des Knackens von Pre-Shared-Keys mit psk-crack.

Einige Betriebssysteme installieren die OpenSSL-Header und -Bibliotheken standardmäßig; andere erfordern die Installation eines optionalen Pakets, z. B. unter Debian Linux müssen Sie das Paket libssl-dev installieren. Alternativ können Sie das OpenSSL-Tarball von http://www.openssl.org/ herunterladen und installieren.

Es sollte auf den meisten modernen Unix-ähnlichen Betriebssystemen erstellt werden können. Es funktioniert unter Windows mit Cygwin und kann als eigenständige Windows-ausführbare Datei verwendet werden, wenn cygwin1.dll vorhanden ist.

Wenn Sie das Windows-32-Binärpaket verwenden, lesen Sie bitte auch die Datei README-WIN32, die die Unterschiede bei der Ausführung auf der Windows-Plattform beschreibt.

Das Programm kann bekanntermaßen auf Linux, FreeBSD, OpenBSD, NetBSD, Win32/Cygwin, Solaris, MacOS X, HP Tru64, HP-UX und SCO OpenServer erstellt und ausgeführt werden. Weitere Informationen finden Sie im Abschnitt „UNTERSTÜTZTE PLATTFORMEN“ weiter unten.

Überblick

ike-scan entdeckt IKE-Hosts und kann sie auch mithilfe des Wiederholungs-Backoff-Musters identifizieren.

ike-scan kann folgende Funktionen ausführen:

• Entdeckung Ermittelt, welche Hosts in einem bestimmten IP-Bereich IKE ausführen. Dies geschieht durch Anzeige der Hosts, die auf die von ike-scan gesendeten IKE-Anfragen antworten.
• Identifikation Ermittelt, welche IKE-Implementierung die Hosts verwenden, und in einigen Fällen die Version der ausgeführten Software. Dies erfolgt auf zwei Arten: erstens durch UDP-Backoff-Fingerprinting, bei dem die Zeiten der IKE-Antwortpakete von den Zielhosts aufgezeichnet und das beobachtete Wiederholungs-Backoff-Muster mit bekannten Mustern verglichen wird; und zweitens durch Vendor-ID-Fingerprinting, das Vendor-ID-Nutzdaten der VPN-Server mit bekannten Vendor-ID-Mustern vergleicht.
• Transform-Enumeration Findet heraus, welche Transform-Attribute vom VPN-Server für IKE Phase-1 unterstützt werden (z. B. Verschlüsselungsalgorithmus, Hash-Algorithmus usw.).
• Benutzer-Enumeration Für einige VPN-Systeme: Entdeckung gültiger VPN-Benutzernamen.
• Pre-Shared-Key-Knacken Offline-Wörterbuch- oder Brute-Force-Passwort-Knacken für IKE Aggressive Mode mit Pre-Shared-Key-Authentifizierung. Dabei wird ike-scan verwendet, um den Hash und andere Parameter zu erhalten, und psk-crack (Teil des ike-scan-Pakets) führt das Knacken durch.

Das Konzept des Wiederholungs-Backoff-Fingerprintings wird in dem Dokument zum UDP-Backoff-Fingerprinting näher erläutert, das im ike-scan-Kit als UDP Backoff Fingerprinting Paper enthalten sein sollte.

Das Programm sendet IKE Phase-1-Anfragen (Main Mode oder Aggressive Mode) an die angegebenen Hosts und zeigt alle empfangenen Antworten an. Es behandelt Wiederholungen und erneute Übertragungen mit Backoff, um Paketverluste zu bewältigen. Es begrenzt auch die Bandbreite, die von den ausgehenden IKE-Paketen verwendet wird.

IKE ist das Internet Key Exchange-Protokoll, das von IPsec für den Schlüsselaustausch und die Authentifizierung verwendet wird. Nahezu alle modernen VPN-Systeme implementieren IPsec, und die überwiegende Mehrheit der IPsec-VPNs verwendet IKE für den Schlüsselaustausch. Main Mode ist einer der Modi, die für Phase-1 des IKE-Austauschs definiert sind (der andere definierte Modus ist der Aggressive Mode). RFC 2409 Abschnitt 5 legt fest, dass der Main Mode implementiert werden muss, daher kann erwartet werden, dass alle IKE-Implementierungen den Main Mode unterstützen. Viele unterstützen auch den Aggressive Mode.

Verwendung

Um die aktuelle Nutzungsinformationen anzuzeigen, führen Sie das ike-scan-Binary wie folgt aus:ike-scan -h

Additional documentation is provided on the NTA Monitor Wiki

To report bugs or suggest new features, please create a GitHub issue.

Implementation Details

Host Input and Memory Requirements

The hosts to scan can be specified on the command line or read from an input file using the --file=<fn> option. The program can cope with large numbers of hosts limited only by the amount of memory needed to store the list of host_entry structures. Each host_entry structure requires 45 bytes on a 32-bit system, so a class B network (65534 hosts) would require about 2.8 MB for the list. The hosts can be specified as either IP addresses or hostnames, however the program will store all hosts internally as IP addresses and will only display IP addresses in the output (ike-scan calls gethostbyname(3) to determine the IP address of each host, but this can be disabled with the --nodns option).

Rate Limiting

The program limits the rate at which it sends IKE packets to ensure that it does not overload the network connection. By default it uses an outbound data rate of 56000 bits per second. This can be changed with the --bandwidth option.

If you want to send packets at a specific rate, you can use the --interval option.

Cookie Generation and Remote Host Identification