Novel Approaches for Network Covert Storage Channels
Steffen Wendzel · Publikationsdatenbank der Fraunhofer-Gesellschaft (Fraunhofer-Gesellschaft) · 2013
Ende der 80er Jahre wurden die ersten verdeckten Kanäle (covert channels) für Netzwerke vorgestellt. Dabei handelt es sich um Kanäle, die eine Policy-brechende Kommunikation realisieren und deren Detektion und Verhinderung als schwierig zu betrachten ist. Daten verdeckter Kanäle werden dabei meist in ungenutzten Bereichen von Netzwerkpaketen untergebracht. In den beiden folgenden Jahrzehnten erschienen diverse Arbeiten, die weitere verdeckte Kanäle { insbesondere für TCP/IP { aufzeigen konnten. Durch diese vorhergehenden Arbeiten kann es heute als einfach betrachtet werden, neue verdeckte Kanäle in weiteren Netzwerkprotokollen zu finden. Gegenstand dieser Dissertation ist deshalb nicht die Vorstellung neuer verdeckter Kanäle innerhalb von Netzwerkprotokollen (mit exemplarischer Ausnahme von BACnet), sondern die generelle Verbesserung und Unterbindung derselben. Heute finden verdeckte Kanäle insbesondere bei Botnetzen Anwendung. Mithilfe dieser Technologie ist es Botnetzen möglich, unentdeckt zu kommunizieren und Angriffe zu koordinieren. Die Weiterentwicklung verdeckter Kanäle seitens der Angreifer (etwa Botnetzentwickler) kann primär das Ziel verfolgen, diese Kanäle funktionsreicher und schwieriger detektierbar zu gestalten. Aus diesem Grund muss die Forschung ebenfalls das Ziel verfolgen, verdeckte Kanäle zu verbessern. Nur wenn dies gelingt, können rechtzeitig Gegenmaßnahmen entwickelt werden, um verdeckte Kanäle zu verhindern. Gleichzeitig sind verdeckte Kanäle als Dual-Use-Gut zu betrachten und können etwa Journalisten eine schwer detektierbare Übertragung regimekritischer Informationen in zensierten Netzwerken ermöglichen. Ein neuerer Ansatz, verdeckte Kanäle zu verbessern, besteht in der Einbettung von Steuerprotokollen (sog. Mikroprotokollen). Dabei handelt es sich um Protokolle, deren Headerbereiche in den versteckten Daten des Kanals untergebracht werden. Mikroprotokolle erweitern einen verdeckten Kanal um Features wie Reliability, Kompatibilität zu alten Protokollversionen oder dynamisches Routing. Im angesprochenen Kontext von Botnetzen können Mikroprotokolle nicht nur den verdeckten Kanal steuern, sondern auch Befehle für einen Bot beinhalten (etwa einen Befehl zum Versenden einer Spamnachricht) während der eigentliche (ebenfalls versteckt übertragene) Payload (etwa ein Fragment einer Spam-Mail) abhängig vom jeweiligen Befehl interpretiert wird. Diese Arbeit zeigt erstmals auf, dass Mikroprotokolle besondere Ansprüche hinsichtlich ihrer Verdecktheit erfüllen müssen { eine Anforderung, die bei anderen Netzwerkprotokollen nicht gegeben ist. Je mehr Anomalien ein Mikroprotokoll im Netzwerkverkehr verursacht, umso wahrscheinlicher ist die Detektion eines verdeckten Kanals. Im ersten Teil (Kapitel 3 und 4) dieser Arbeit werden erstmals Ansätze für die Entwicklung solcher Mikroprotokolle vorgestellt. Zum einen wird dabei die Größe des Mikroprotokolls minimiert: Durch eine geringere Protokollgröße müssen entsprechend weniger Bits im ausgenutzten Netzwerkprotokoll manipuliert werden, wodurch weniger Anomalien im Netzwerkverkehr entstehen. Zum anderen wird ein Verfahren vorgestellt, dass die Konformität eines Mikroprotokolls zum ausgenutzten Netzwerkprotokoll sicherstellt und dadurch ebenfalls Anomalien verhindert. Für die exakte Auseinandersetzung mit der Thematik wird die bestehende Terminologie des Forschungsgebietes verfeinert. Ebenfalls erst einige Jahre alt ist die Idee, verdeckte Kanäle adaptiv zu gestalten, sie also automatisch an sich ändernde Netzwerkumgebungen anzupassen. In diesem Kontext stellt die vorliegende Arbeit ein Zwei-Armeen-Problem in der Initialisierungsphase von verdeckten Kanälen vor, der so genannten Network Environment Learning Phase. Für dieses Problem werden Lösungsvorschläge diskutiert. Verdeckte Kanäle mit Mikroprotokollen können Verbindungen über mehrere Kanäle hinweg simultan realisieren. Solche Kanäle, die ihr Übertragungsprotokoll transparent wechseln können, nennen sich Protocol Hopping Covert Channels. Die Bitraten- Limitierung dieser Protocol Hopping Covert Channels und der verwandten Protocol Channels (die versteckte Informationen durch die Verwendung bestimmter Protokolle signalisieren) war bisher nicht möglich. Diese Dissertation stellt erstmals ein Verfahren zur Limitierung beider Kanaltypen vor und evaluiert dessen Effizienz und Nutzen. Der zweite Teil (Kapitel 5) behandelt erstmals verdeckte Kanäle und Seitenkanäle in der Gebäudeautomation. Dabei wird das Schadpotential solcher Kanäle betrachtet. Dieses Schadpotential liegt insbesondere in der Überwachung von Personen und im Umgehen von Sicherheitsmechanismen der TCP/IP-Netze einer Organisation. Es wird zudem gezeigt, dass zwei verschiedene Arten von verdeckten Kanälen in der Gebäudeautomation existieren: High- und Low-Level-Kanäle. Erstere werden über die Interaktion mit den Sensoren und Faktoren im Gebäude realisiert, letztere sind typische Netzwerkkanäle, die insbesondere ungenutzte Bereiche in Netzwerkpaketen ausnutzen. Weiterhin werden verschiedene Methoden zur Vermeidung von High- und Low-Level- Kanälen präsentiert und analysiert.