NAT maakt netwerken kwetsbaar voor hackers
Het gebruik van Network Address Translation (NAT) maakt bedrijfsnetwerken kwetsbaar voor hackers, aldus beveiligingsonderzoeker Robert "RSnake" Hansen. Het komt erop neer dat niet routeerbare IP-adressen, zoals beschreven in de Internet Engineering Task Force's RFC 1918 standaard, door bedrijven als beveiliging worden gebruikt. Deze IP-adressen hebben daarnaast ook als functie om op het aantal publieke IP-adressen te besparen. Veel ondernemingen gaan ervan uit dat, omdat de adressen niet via het internet toegankelijk zijn, aanvallers er geen misbruik van kunnen maken.
De meeste intranet IP-adressen vallen in de 10.* en 192.168.* range. Daardoor komt het aantal waarschijnlijk subnetten neer op 1280 adressen (256 adressen maal 5 subnetten). Dit kan echter voor collisions zorgen waar twee verschillende netwerken vanuit een IP perspectief gelijk lijken. Een aanvaller zou dit kunnen gebruiken om denial of service aanvallen uit te voeren of toegang tot het interne bedrijfsnetwerk te krijgen. Sommige van deze aanvallen gebruiken de mogelijkheid van de browser om IP-adresgegevens in de cache te bewaren. Ook onthult Hansen een lek in de routering van VPN's, waardoor een aanvaller het netwerk van een partner of thuiswerkers kan compromitteren.
Zinloos
Om de aanval te laten slagen is een aantal zaken vereist. Zo moeten de aanvallers de VPNs kunnen vertellen wat te routeren. Als het VPN alleen maar tussen de IP-adressen van de beide partijen routeert, dan neemt de effectiviteit van de aanval snel af. Het zou dan alleen nog werken tegen de IP-adressen die gerouteerd mogen worden. Als oplossing adviseert Hansen bedrijven om geen IP-adressen te gebruiken, maar interne domeinnamen. Een aanvaller moet dan weten hoe de IP-adressen aan de DNS gekoppeld zijn.
Ook het gebruik van SSL/TLS op alle interne apparaten zou voor een "mis-match" zorgen als de aanvaller het JavaScript over HTTPs cachet. Verder is het verwijderen van alle scripting en dynamische content van de browser een mogelijkheid, hoewel Hansen opmerkt dat dit z'n beperkingen heeft. "Het vertrouwen op RFC1918 en de ingebouwde beveiligingsfuncties binnen de browser om gebruikers te beschermen is zinloos. De same origin policy van de browser geldt niet als het IP-adres hetzelfde is, en RFC1918 moet per definitie hetzelfde zijn. RFC1918 is dan ook een slecht alternatief voor IPv6."
ik vind het maar vrij zwak. ik zie niet hoe je verder kan routeren.
En ja als je vindt dat VPN kwetsbaarder zijn.. wel ja duh, als je geconnecteerd wordt met het locale lan lijkt me dat ook wel logisch. Maar dan moet je eerst nog inloggen..
Gebruik van NAT is ten alle tijden veiliger dan alles op publieke IP adressen gooien. Wat dat betreft kan je rustig stellen dat gebruik van NAT security verhogend is.
Je moet verder natuurlijk wel bijvoorbeeld anti-spoofing rules opnemen in je firewall of router access-lists, zodat je verkeer van buiten wat gebruik maakt van de private IP adressen (of van adressen in public ranges die je intern gebruikt bij niet ge-NAT verkeer) dropt d.m.v. network ingress filtering.
Voor wat meer technische informatie omtrent network ingress filtering :
Cisco: Network Ingress Filtering ACL Template
http://www.ciscoblog.com/archives/2008/11/template_parame.html
RFC2827 - Network Ingress Filtering: Defeating Denial of Service
http://www.faqs.org/rfcs/rfc2827.html
RFC 3704 - Ingress Filtering for Multihomed Networks
http://tools.ietf.org/html/rfc3704
mijn 2cent
Onzin, een netwerk zonder NAT is minder veilig. Dus NAT maakt netwerken (ietsje) minder kwetsbaar.
"Veel ondernemingen gaan ervan uit dat, omdat de adressen niet via het internet toegankelijk zijn, aanvallers er geen misbruik van kunnen maken. "
Managers die zo denken leveren natuurlijk wel een security risk op ;)
Het gaat al fout op het moment dat de evil user op het netwerk kan koppelen en blijkbaar zonder enig probleem wordt voorzien van een IP adres. Tenzij het gaat om een insider. Als man in the middle moet jouw netwerkkaart in promiscuous mode worden gezet en je het verkeer kunt afluisteren. Een switch maakt het dan al een stuk lastiger. Iedereen weet ook dat insiders in de top staan wat betreft security problemen
Security gaat voor mij gepaard volgens het Defence In Depth principe, waarbij een maatregel op zich vrij zinloos is.
Alle op zich staande security maatregelen zijn te ondermijnen.
Ook ben ik het er mee eens dat NAT niet is ontworpen voor security, maar wel degelijk een onderdeel is van het Defence In Depth principe.
Of zou hij per ongeluk DNSSec bedoelen....
LW
EJ
Het aantal adressen in een 10.x.x.x reeks is errug groot, en hij slaat voor het gemak 172.16.x.x - 172.31.x.x range over.
Wel erg wazig allemaal.
Het punt wat verder gemaakt wordt is dat als je een VPN opzet naar een potentieel kwaadaardig netwerk (evil admin scenario), iemand vanuit dat netwerk jouw interne netwerk kan hacken. Lijkt me niet zo heel schokkende conclusie.
De enige 'standaard' extra beveiliging die je hebt als je NAT draait is dat je voor de NAT zelf per definitie een packet filter moet hebben (de NAT machine). Verder biedt het absoluut geen beveiliging die je niet gewoon met een packet filter kunt realiseren.
Uh? Waar slaat deze opmerking nou op zeg..
Uh? Waar slaat deze opmerking nou op zeg..
nat is bedacht om het dreigend tekort aan ip adressen op te heffen. ipv6 is bedacht om het dreigend tekort aan ip adressen op te heffen...
Lijkt me nogal evident.
EJ
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
