IP Spoofing sicher bei DDoS?

TheNew3000

TheNew3000

0
Hallo,
Ich habe letztens den Thread "ANONYM surfen - zwischen Irrglaube,Sicherheit und der NSA gelesen" ein wenig gelesen und habe mich dann aber gefragt, ob, wie in dem Thread gesagt, man bei einer DDoS Attacke erkannt werden kann ?

Wenn ja, wieso?
Und kann der ISP deine IP herausfinden? Wie lange dauert das und machen die das bei jedem DDoS-Angriff?

LG TheNew3000
 
Ich hab das Gefühl, dass du hier einiges durcheinander wirfst. Beim IP-Spoofing sendet Alice an Bob ein Paket mit der Adresse von Karl. Nun weiß aber Bob natürlich nicht, dass das Paket von Alice stammt und antwortet daher korrekterweise Karl, der davon aber wiederum nichts weiß. Alice bekommt jedoch von der Antwort an Karl nur dann etwas mit, wenn sie alle Pakete, die an Karl gesendet werden, mitschneiden kann (Man-in-the-Middle).

In Bezug auf einen DDoS-Angriff interessiert sich Alice auch garnicht für die Antwort. Karl ist hier das Opfer, Bob könnte z.B. ein von Alice kontrollierter Zombie-Rechner sein, oder auch ein ntp-Server.

In der Praxis funktioniert das heute zumindest in vielen entwickelten Ländern nicht mehr. Dein ISP sieht natürlich, wenn du Pakete mit einer fremden IP-Adresse im src-Feld raussendest. Bei großen Providern wie der Telekom wird das afaik inzwischen auch geblockt. Der einfachste Umweg ist daher über Zombie-Rechner, deren Verbleib aufgrund der große Masse meist weniger wichtig ist, sodass hier kein IP-Spoofing zum Einsatz kommen muss.
 
Ja das habe ich verstanden aber kann der ISP den Weg des Packetes zurückverfolgen ?
Und wie soll der ISP gespoofte packete erkennen?
 
Zuletzt bearbeitet:
TheNew3000 hat gesagt.:
Ja das habe ich verstanden aber kann der ISP den Weg des Packetes zurückverfolgen ?
Zum Vergrößern anklicken....

Überleg doch mal: Die gespooften Pakete nehmen folgenden Weg:

A --> R1 --> R2 --> R3 --> R4 --> B

B --> R4 --> R3 --> R5 --> C

Ri bezeichnet die Router auf dem Weg von A nach B. R1 wird von deinem ISP kontrolliert, R2, R3 und R4 von anderen Providern. Weiterhin kann man annehmen, dass Ri kein Logging besitzt, d.h. keine Verbindungsdaten speichert. Wenn A nun ein IP-Paket spooft, dann wird das zwar korrekt über o.g. Web an B geliefert, aber das Paket von B zurück an A kann nicht mehr zugestellt werden, weil es einen Router gibt, der das Paket in eine andere Richtung an ein anderes Ziel umleitet, da ja die dst-Adresse eine andere ist, als die von A.

Wie sähen die Ermittlungen aus? C würde erstmal B eines Angriffs beschuldigen. B ermittelt daraufhin, wer die falschen Antworten gestellt hat. Er besitzt jedoch nur die Adresse von C. Er kann zwar seinen Provider fragen, woher das Paket geliefert wurde, z.B. wenn der Provider die Verbindungsdaten speichert. Dieser sieht aber dann vermutlich auch nur, dass über R3 ein Paket mit der Adresse von C kam. Das Spiel kann man jetzt immer so weiter führen. Aufgrund der vielen Möglichkeiten ist es eher unwahrscheinlich, dass A als Angreifer ermittelt wird. A könnte sich hinter hunderten ISPs verbergen, das Paket könnte hunderte andere Routen genommen haben, usw.. Dein ISP kann wissen, dass es sich um ein gespooftes Paket handelt. Aber es ist unwahrscheinlich, dass die Ermittlungen überhaupt bis zu deinem ISP durchdringen werden und dieser ihnen das nun mitteilen kann.

edit:
Anders sieht es mit einem "Angreifer" aus, der alles sehen und verfolgen kann. Dieser könnte im Prinzip alle Pakete nachvollziehen und deinen Angriff somit erkennen.
 
Zuletzt bearbeitet:
Geht man von den Publikationen der Telekom aus, dann nein:

Um auszuschließen, dass gefälschte Anfragen aus dem eigenen DSL-Netz versendet werden, überprüft die Deutsche Telekom alle ausgehenden Anfragen auf IP-Spoofing. Ob Anfragen aus anderen Netzen korrekte Absender haben, kann die Telekom nicht nachvollziehen. Die entsprechende Kontrollfunktion liegt ausschließlich im Zuständigkeitsbereich des jeweils anderen Netzbetreibers.
Zum Vergrößern anklicken....
 
Aber wenn ich die IP Quelladresse verändere, sieht das doch so aus als würde es aus einem anderen Netz kommen oder nicht?

Und wie sieht es da mit anderen Anbietern aus?
Bei Googel habe ich da nichts gefunden...
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben