Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03285.jsonl.gz/2060

So nach langer Zeit komme ich endlich wieder dazu, einen Blogbeitrag zu schreiben. Im Moment stehe ich im Abschluss der Informatiklehre und muss darum Prioritäten setzten ;-).
Heute habe ich eine interessante Unterhalten mit jemandem gehabt. Dabei sind wir schnell vom Broadcast auf die MAC-Adresstabelle eines Switches und davon auf MAC flooding gekommen. Damit man das Ganze versteht hole ich ein wenig aus.
Funktionsweise eines Hubs
Wir nehmen an, dass 4 Computer und 1 Webserver an einem Hub angeschlossen sind. Ein Computer greifft nun auf den Webserver zu. Der Hub erhält vom Computer ein Packet, in welchem die MAC-Adresse des Webservers steht. Da der Hub aber keine MAC-Adresstabelle führt, sendet er das Packet aus allen Ports raus. Mit einem Netzwerksniffer, wie zum Beispiel Wireshark, kann somit der Netzwerktraffic von allen 4 Computern inkl. dem Webserver gesnifft werden. Hubs werden heute nur noch selten eingesetzt, da sie unnötig Netzwerktraffic verursachen, sich angeschlossene Geräte die Bandbreite teilen müssen und sie einfach veraltet sind.
Funktionsweise eines Switches
Wir nehmen an, dass 4 Computer und 1 Webserver an einem Switch angeschlossen sind. Ein Computer greifft nun auf den Webserver zu. Der Switch erhält vom Computer ein Packet, in welchem die MAC-Adresse des Webservers steht. Da er den Webserver noch nicht kennt, sendet er das Packet aus allen Ports raus. Der Webserver meldet sich beim Switch, hey das Packet ist für mich, ich habe diese MAC-Adresse. Jetzt kommt der Unterschied zum Hub. Der Switch trägt jetzt die MAC-Adresse des Webserver und den Port in einer MAC-Adresstabelle ein. Kommt wieder ein Packet, in welchem die MAC-Adresse des Webserver steht, weiss der Switch aus welchem Port er das Packet senden muss. Er sendet das Packet nur noch aus dem richtigen Port und nicht mehr aus allen Ports raus. Somit kann der Netzwerktraffic nicht mehr von einem Gerät, dass am Hub angeschlossen ist, gesnifft werden.
Den Switch zu einem Hub machen
Der Speicherplatz des Switches für die MAC-Adresstabelle ist beschränkt. Ist der Speicher voll, werden die ältesten Einträge gelöscht und die Neuen werden eingetragen. Dabei muss ein Packet wieder mindestens einmal aus allen Ports versendet werden, damit der Switch wieder die Zuordung von MAC-Adresse zu Port hat. Flutet man den Switch mit unsinnigen MAC-Adressen, ist die MAC-Adresstabelle ständig voll und Packete müssen wieder an alle im Netzwerk versendet werden, weil die Zuordung von MAC-Adresse zu Port fehlt. Der Switch wird zu einem Hub. Wie bei einem Hub kann der ganze Netzwerkverkehr gesnifft werden.
Praxis
Tja, da das Gesetz in der Schweiz ebenfalls enger wurde werde ich mich hüten, hier eine Schritt für Schritt Anleitung zu erstellen. Schade, hätte ich gerne gezeigt ^^. Wie man aber einen Switch oder ein LAN mit MAC-Adressen fluten kann findet man sehr schnell im Internet und wie man Packete snifft wissen die meisten Leser dieses Blogs ebenfalls ;-). Hier gibt es ein gutes Video, das zeigt, wie bei einem CISCO Switch ein Angriff abgewehrt werden kann: Cisco Layer 3 Switch MAC Flood Attack.
Vorteile und Nachteile des Angriffs
Vorteile
- Sehr einfach umzusetzen
- Funktioniert in einfachen Netzwerken wie zum Beispiel Heimnetzwerk
- Für Lernzweck geeignet
Nachteile
- Erzeugt starke Last im Netzwerk
- Angriff wird sehr einfach entdeckt
- Teurere Switches haben einen grösseren Speicher für die MAC-Adresstabelle
- Teurere Switches haben diverse Sicherheitsmechanismen um den Angriff abzuwehren
Fazit
Dieser Angriff ist sehr einfach umzusetzen, kann dementsprechend auch sehr einfach erkannt und abgewehrt werden. Flutet man einen Switch mit MAC-Adressen wird dies als Angriff gewertet, also auf keine Fall in einem fremden Netzwerk, sondern nur im eigenen Netzwerk testen.
Ich gehe nach dem Motto, Angriff ist die beste Verteidigung. Nur wenn man Angriffe kennt, kann man diese auch abwehren ;-).