Abo
  • Services:
Anzeige
In 10-Sekunden-Paketen analysierter Netzwerktraffic verrät manches über den verschlüsselten Inhalt.
In 10-Sekunden-Paketen analysierter Netzwerktraffic verrät manches über den verschlüsselten Inhalt. (Bild: Brandon Niemczyk/Prasad Rao)

Seitenkanalangriffe: Was verschlüsselte Kanäle verraten

Durch die statistische Analyse des Netzwerkverkehrs eines verschlüsselten SSH-Tunnels gelang es Forschern, Rückschlüsse auf das verwendete Programm zu ziehen. Das entsprechende Tool wurde samt Quellcode veröffentlicht.

Anzeige

Wer sich in potenziell gefährlichen oder zensierten Netzwerken bewegt, nutzt gerne verschlüsselte Tunnellösungen, um Netzwerkanwendungen über eine gesicherte Verbindung nach außen zu leiten. Gerne verwendet werden dafür etwa SSH oder OpenVPN. Doch auch wenn die Daten verschlüsselt sind, kann eine Analyse der übertragenen Daten trotzdem vieles über die Verbindung verraten.

Auf der Black Hat 2014 präsentierten die beiden bei HP angestellten Sicherheitsforscher Brandon Niemczyk und Prasad Rao ein Tool, mit dem sich der Datenverkehr analysieren lässt. In vielen Fällen konnten die Forscher dabei Rückschlüsse ziehen, welche Anwendung gerade über den verschlüsselten Kanal genutzt wird.

Das Analysetool Pacumen

Brandon Niemczyk erklärte, dass es in den vergangenen Jahren bereits einige Forschungsarbeiten zu dem Thema gab. Allerdings hätten sie alle einen Nachteil: Nie wurde der dazugehörige Code veröffentlicht. Die Ergebnisse seien oft unklar und in vielen Fällen nicht nachvollziehbar gewesen. Außerdem hätten sich fast alle bisher veröffentlichten Forschungsarbeiten auf einzelne Applikationen bezogen.

Niemczyk und Rao haben nun ein Tool namens Pacumen entwickelt, mit dem sich verschlüsselter Netzwerkverkehr analysieren lässt. Der Code ist in Python geschrieben und wurde unter einer BSD-Lizenz auf Github veröffentlicht. Ein wissenschaftliches Hintergrundpapier gibt es ebenfalls.

Vorlage erstellen

Um das Tool zu nutzen, muss zunächst ein sogenannter Classifier für eine Anwendung erstellt werden. Als Beispiel wurde Skype über einen SSH-Tunnel verwendet, die beiden Forscher wiesen aber darauf hin, dass Pacumen auch für beliebige andere Tunnellösungen und für viele Anwendungen funktioniert. Dabei sei "Anwendung" im weiteren Sinne zu verstehen. So könne man etwa auch die Nutzung von Facebook im Chrome-Browser erkennen.

Um den Classifier zu erstellen, muss zunächst unter kontrollierten Bedingungen die entsprechende Anwendung über einen verschlüsselten Tunnel ausgeführt und idealerweise der Datenverkehr für mehrere Stunden mittels eines Netzwerksniffers wie Wireshark aufgezeichnet werden. Anschließend werden die gesnifften Datenpakete mit Pacumen analysiert.

Große Datenmengen benötigt

Mit dem erstellten Classifier können anschließend Datenpakete mit unbekanntem Inhalt analysiert werden. Das Tool gibt dann eine Wahrscheinlichkeit dafür aus, dass der Classifier zu den entsprechenden aufgezeichneten Daten passt. Um zuverlässig zu arbeiten, benötigt Pacumen Datenpaketaufzeichnungen von mehreren Stunden. Ideal seien mindestens 12 Stunden an Daten, sagten die Forscher. Das dürfte den Angriff in vielen Fällen unpraktikabel machen.

Während beim Erstellen des Classifiers idealerweise nur eine Applikation laufen sollte, funktioniert die anschließende Analyse der Datenpakete meistens auch dann, wenn mehrere Anwendungen gleichzeitig laufen.

Spezieller Algorithmus

Um die Daten zu analysieren, teilt Pacuman die Pakete in Einheiten von 10 Sekunden auf. Deren Größe wird dann mit statistischen Methoden mit dem Classifier verglichen. Hierfür verwendet Pacuman einen Entscheidungsbaum. Der entsprechende Algorithmus sei speziell für diesen Zweck angepasst worden, gängige Lehrbuch-Algorithmen hätten keine guten Ergebnisse geliefert, sagten die Sicherheitsexperten. Neben dem Entscheidungsbaum-Algorithmus hätten die Forscher auch versucht, eine statistische Analyse mit einem sogenannten Mixed-Gaussian-Algorithmus durchzuführen, das habe aber keine so guten Ergebnisse geliefert.

Die einzige Möglichkeit, sich gegen derartige Analysemethoden zu wehren, ist laut Niemczyk das Padden aller Datenpakete, so dass alle Datenpakete dieselbe Größe haben. Auch müssten immer dann, wenn keine Daten übertragen werden, Dummy-Datenpakete verschickt werden. Das Problem: Derartige Ansätze verschlechtern die Performance solcher Tunnelanwendungen drastisch.

Was Pacuman deutlich macht: Auch wenn Daten mit sicheren Methoden verschlüsselt sind, verraten die übertragenen Daten bei Netzwerkanwendungen dennoch einiges über den Inhalt. Die Geschwindigkeit und die Menge der Daten sind Seitenkanäle, aus denen sich Rückschlüsse ziehen lassen. Auch bei der CRIME-Attacke und der BREACH-Attacke, die die Kompressionsfunktionen von TLS und HTTP angreifen, handelt es sich um einen solchen Seitenkanalangriff.


eye home zur Startseite
oliver.n.h 08. Aug 2014

ich Frage mich wie schwierig es wird wenn man vpn und ssh nutzt oder gar 2x vpn und ssh...



Anzeige

Stellenmarkt
  1. Allgäuer Überlandwerk GmbH, Kempten
  2. Seven2one Informationssysteme GmbH, Karlsruhe
  3. Detecon International GmbH, Köln, Frankfurt am Main, München
  4. T-Systems International GmbH, Leinfelden-Echterdingen, Bonn, Bremen, Hamburg, München


Anzeige
Hardware-Angebote
  1. 699,00€
  2. 1.299,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Mehr dazu im aktuellen Whitepaper von IBM


  1. Denza 400

    Chinesische Mercedes-B-Klasse fährt 400 km elektrisch

  2. Microsoft

    Office für Mac 2016 auf 64 Bit aufgerüstet

  3. Warenzustellung

    Schweizer Post testet autonome Lieferroboter

  4. Playstation auf Windows

    PC-Offensive von Sony

  5. Mongoose

    Samsung erklärt M1-Kerne des Galaxy S7 und Note 7

  6. Summit Ridge

    Das kann AMDs CPU-Architektur Zen

  7. Sandscout

    Angriff auf Apples Sandkasten

  8. Analogue Nt mini

    Neue NES-Famicom-Konsole kostet 450 US-Dollar

  9. Ministertreffen

    Kryptische Vorschläge zur Entschlüsselung von Kommunikation

  10. Microsoft

    Outlook 2016 versteht Ünicöde nicht so richtig



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Lernroboter-Test: Besser Technik lernen mit drei Freunden
Lernroboter-Test
Besser Technik lernen mit drei Freunden
  1. Künstliche Muskeln Skelettroboter klappert mit den Zähnen
  2. Cyborg Ein Roboter mit Herz
  3. Pleurobot Bewegungen verstehen mit einem Robo-Salamander

Mobilfunk: Eine Woche in Deutschland im Funkloch
Mobilfunk
Eine Woche in Deutschland im Funkloch
  1. Netzwerk Mehrere regionale Mobilfunkausfälle bei Vodafone
  2. Hutchison 3 Google-Mobilfunk Project Fi soll zwanzigmal schneller werden
  3. RWTH Ericsson startet 5G-Machbarkeitsnetz in Aachen

No Man's Sky im Test: Interstellare Emotionen durch schwarze Löcher
No Man's Sky im Test
Interstellare Emotionen durch schwarze Löcher
  1. No Man's Sky für PC Läuft nicht, stottert, nervt
  2. No Man's Sky Onlinedienste wegen Überlastung offline
  3. Hello Games No Man's Sky bekommt Raumstationsbau

  1. Re: PS4 Controller + Bluetooth

    HxR | 08:31

  2. Re: In der Firma nutzen wir Thunderbird...

    AllDayPiano | 08:31

  3. Re: Also muss ich das Spiel bereits haben oder nicht?

    mw (Golem.de) | 08:30

  4. Re: Kann man den fuer verschiedene Raeume...

    Esquilax | 08:28

  5. Re: Geil! Auch mit Xbox Controller möglich?

    mw (Golem.de) | 08:26


  1. 08:28

  2. 07:59

  3. 07:50

  4. 07:37

  5. 07:21

  6. 02:45

  7. 17:30

  8. 17:15


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel