DNS-Server Faken?

[hotti]

Moin,

Seit geraumer Zeit richten wir FTP-Netzlaufwerke für die Mitarbeiter ein, um das Arbeiten zu erleichtern. Nun ist es ja so, dass FTP prinzipiell unverschlüsselt ist. Da diese Laufwerke aber nur Uni-intern genutzt werden sollte das kein Problem sein - meiner Meinung nach.

Doch, es ist ein Problem: Der Maulwurf kann ja auch in der Firma sitzen. Ein weiteres Problem ergibt sich, wenn die Switches nicht richtig konfiguriert sind, Stichwort: Port-Security, Issue:

ein PC geht ins Netz, er braucht eine IP-Adresse und meldet sich mit seiner MAC-Adresse (ARP-Request). Jetzt passiert folgendes: der Switch muss kurzzeitig einen Broadcast auf Layer 2 senden, d.h., der Switch macht mal eben alle Ports auf, er wird kurzzeitig zu einem Hub, hierbei kann ein Maulwurf das Netz erforschen, mit den "richtigen" Werkzeugen sieht er alle anderen Geräte auch!

Port-Security: Switchports werden den MAC-Adressen fest zugeordnet (ja, das muss sein *G). Was machen wir jedoch mit dem Gastzugang? Ein Besucher kommt, same Prozedure as above. Aber die Zeit reicht nicht, alle IPs zu erforschen, also nimmt er ein Tool, was dem Switchport am laufenden Meter neue MAC-Adressen vorspielt. Aber auch dagegen gibt es ein Mittel; in der Switchkonfiguration wird eingestellt, dass der Port für eine bestimmte Zeit für unbekannte MACs gesperrt wird oder für immer sperrt und erst händisch wieder freigeschaltet werden muss (Administrator braucht Turnschuhe).

Mein Kollege meinte, dass man die Passwörter leicht mit einem Fake-DNS-Server sniffen könnte, indem man auf seinem PC einen DNS-Server aufsetzt, und eventuelle Signale umleitet.

Suchbegriffe: dns tunnel

Ist es aber nicht so, dass man sowohl DHCP als auch DNS-Serveradresse zugewiesen bekommt und den Request gar nicht an alle Rechner im Netz sendet? Abgesehen davon müsste der Fake-DNS-Server ja schneller antworten als der reguläre, oder?

Nameserver sind i.Allg. immer das erste Angriffsziel, denn die sind ziemlich nackisch ;-)

Hotti