PCs im Heimnetz gegenseitig schützen

Internet Internet Sicherheit
#1

Hallo,

Ich habe folgende Konfiguration:

DSL-Anschluss
DSL-Router (Easybox 802)
LAN
PC1 mit Vista Home
PC2 Betriebssystem unbekannt
PC2 ist wegen der Kabelführung am am selben LAN-Anschluss des Routers wie PC1 angeschlossen, über einen Ethernet-Switch

PC2 wird gehört einem Mitbewohner, der den DSL-Anschluss mitbenutzen darf. Meine Fragen:

  1. Wie kann ich den PC1 vor Zugriffen aus dem PC2 zuverlässig schützen?

  2. Ist es darüber hinaus möglich, zu verhindern, dass PC2 den LAN-Traffic zwischen PC1 und Router lesen kann?

Grüße
Axurit

#2

Hi Axurit,

  1. Wie kann ich den PC1 vor Zugriffen aus dem PC2 zuverlässig
    schützen?

Das ist kompliziert zu erklären bis praktisch unlösbar. - Hängt von den Fähigkeiten des Users UND von der Windowsversion (Home/Pro) UND von den eingesetzten Richtlinen/Firewalls ab.

  1. Ist es darüber hinaus möglich, zu verhindern, dass PC2 den
    LAN-Traffic zwischen PC1 und Router lesen kann?

Ja/Nein. - Zu ausufernd, um es hier zu erklären. - Entweder hast Du ein grundsätzliches Vertrauen in den Mitbenutzer DEINES Netzwerkes, oder Du solltest es ernsthaft gänzlich lassen! - Nicht übertrieben; ist so.

Es gibt unzählge Tools, die in der Lage sind, den Netzwerkverkehr „abzuhören“. — Wie sagte schon der gestorbene Fontane, auch wenn er Computer noch nicht einmal erahnt hat: „…das ist ein zu weites Feld.“
:wink:

Ro

#3
  1. Wie kann ich den PC1 vor Zugriffen aus dem PC2 zuverlässig
    schützen?

Das ist kompliziert zu erklären bis praktisch unlösbar. -
Hängt von den Fähigkeiten des Users UND von der Windowsversion
(Home/Pro) UND von den eingesetzten Richtlinen/Firewalls ab.

Ich schrieb doch: Vista Home. Versuchs doch einfach mal zu erklären, ganz blöd bin ich auch nicht, meine Kenntnisse liegen aber leider bei Linux. Reicht es aus, keine Dateifreigaben einzurichten? Brauche ich eine käufliche Firewall oder reichen die Bordmittel von Vista Home? Kann ich im Router das Routing von PC1 nach PC2 verhindern?

  1. Ist es darüber hinaus möglich, zu verhindern, dass PC2 den
    LAN-Traffic zwischen PC1 und Router lesen kann?

Ja/Nein. - Zu ausufernd, um es hier zu erklären.

Es gibt unzählge Tools, die in der Lage sind, den Netzwerkverkehr „abzuhören“.

Das weiss ich und mache es selbst mit Wireshark. Eben deswegen frage ich, ob es eine Möglichkeit gibt, das in der beschriebenen Konfiguration zu verhindern. Wenn es sein muss, hänge ich zwischen die beiden PCs einen Router, einen Layer-3-Switch oder was auch immer man mir hier empfiehlt. Meiner Meinung nach kommen aber die Pakete, die zwischen PC1 zum DSL-Router ausgetauscht werden gar nicht auf das LAN zum PC2, da ja ein Ethernet-Switch dazwischen hängt. Der sollte diese Pakete herausfiltern.

+----------+ +----------+ +---+
|DSL-Router|-------|Eth-Switch|------|PC1|
+----------+ +----------+ +---+
 |
 |
 +---+
 |PC2|
 +---+

…das ist ein zu weites Feld."

Für dich vielleicht.

#4

Hi,

wenn Du Tools wie „wireshark“ kennst UND diese zu nutzen weißt und Du Dich grundlegend mit Netzwerktechnologie auskennst, frage ich mich, warum Du hier Hilfe suchst.

Die spitze Anmerkung

…das ist ein zu weites Feld."
Für dich vielleicht.

habe ich gelesen. - Entweder fragst Du ernsthaft nach Hilfe, oder Du solltest ganz lassen! - Dies ist ein Forum, in welchem Hilfe gegeben wird, wenn jemand ehrlich Hilfe wünscht. - Wenn Dein Stolz dies nicht zulässt, dann vermeide es, in einem Forum zu fragen!

Mit Gruß,
Ro

#5

Ich frage hier, weil meine eigenen Kenntnisse nicht ausreichen, um die Aufgabenstellung zu lösen. Zum einen habe ich null Ahnung von Windows und zum anderen habe ich mir meine Netzwerkkenntnisse ad-hoc angeeignet und frage daher im Zweifel lieber nach.

Ich dachte, hier gäbe es vielleicht echte Experten. Und wenn ich null Ahnung hätte, dann würde ich mir einen Fachmann gegen Geld nach Hause kommen lassen.

Also nochmal meine Fragen:

Wie kann ich sicherstellen, dass niemand aus dem lokalen Netz auf die Daten eines PCs zugreifen kann, auf dem Winows Vista Home läuft.

Reicht der vohandene Ethernet-Switch aus, um zu verhindern, dass von einem der daran hängenden PC der Traffic zwischen dem anderen PC und dem Router mitgesnifft werden können.

#6

Hallo Axurit,

  1. Wie kann ich den PC1 vor Zugriffen aus dem PC2 zuverlässig
    schützen?

Das ist kompliziert zu erklären bis praktisch unlösbar. -
Hängt von den Fähigkeiten des Users UND von der Windowsversion
(Home/Pro) UND von den eingesetzten Richtlinen/Firewalls ab.

100%ige Sicherheit gibt es einfach nicht. Alles eine Frage der kriminellen Energie :wink: Da man schon Hacker mieten und Trojaner kaufen kann, können reiche Deppen auch eine Gefahr sein!

Ich schrieb doch: Vista Home. Versuchs doch einfach mal zu
erklären, ganz blöd bin ich auch nicht, meine Kenntnisse
liegen aber leider bei Linux. Reicht es aus, keine
Dateifreigaben einzurichten?

Meiner Meinung nach nicht, u.a. wegen folgenden Sachen:

-> http://www.computerwissen.de/windows/updates/windows…

-> http://www.drwindows.de/windows-anleitungen-und-faq/…
-> http://wiki.winboard.org/index.php/%C3%9Cbersicht_de…

-> http://windows.microsoft.com/de-DE/windows-vista/Upd…
-> http://windows.microsoft.com/de-DE/windows/downloads…

-> http://windows.microsoft.com/de-DE/windows-vista/Why…

Brauche ich eine käufliche
Firewall oder reichen die Bordmittel von Vista Home?

-> http://technet.microsoft.com/de-de/security/cc184923…

-> http://www.userchannel.de/sonntagsseite/newsseite.ph…
-> http://www.oberthal-online.de/pfw.html

-> http://www.soehnitz.de/itsicherheit/virenscannersinn…

Kann ich
im Router das Routing von PC1 nach PC2 verhindern?

Wenn du die Routingtabelle bearbeiten kannst, dass einfach keine Kommunikation zwischen beiden möglich ist lokal ja ( Umgehung durch Internet/Proxy-Server möglich ) Siehe aber meine Hinweise zum Switch weiter unten!

-> http://de.wikipedia.org/wiki/Routingtabelle

  1. Ist es darüber hinaus möglich, zu verhindern, dass PC2 den
    LAN-Traffic zwischen PC1 und Router lesen kann?

Ja/Nein. - Zu ausufernd, um es hier zu erklären.

Es gibt unzählge Tools, die in der Lage sind, den Netzwerkverkehr „abzuhören“.

Wenn die Verbindung gut verschlüsselt ist, dann ist das Abhören erstmal sinnlos. Man sollte aber bedenken, dass man verschlüsselte Pakete auch auf leistungsstarken Großrechnern entschlüsseln lassen kann, in einigen Jahren die Hardware um einiges besser ist, oder Sicherheitslücken gefunden werden, oder wenn Bruteforce etwa 1 Jahr dauert, sich das für jemanden doch lohnen kann warten zu können…

-> http://de.wikipedia.org/wiki/Mooresches_Gesetz

-> http://de.wikipedia.org/wiki/Bruteforce
-> http://de.wikipedia.org/wiki/Passwort#Wahl_von_siche…

-> http://de.wikipedia.org/wiki/Virtual_Private_Network

Das weiss ich und mache es selbst mit Wireshark. Eben deswegen
frage ich, ob es eine Möglichkeit gibt, das in der
beschriebenen Konfiguration zu verhindern. Wenn es sein muss,
hänge ich zwischen die beiden PCs einen Router, einen
Layer-3-Switch oder was auch immer man mir hier empfiehlt.
Meiner Meinung nach kommen aber die Pakete, die zwischen PC1
zum DSL-Router ausgetauscht werden gar nicht auf das LAN zum
PC2, da ja ein Ethernet-Switch dazwischen hängt. Der sollte
diese Pakete herausfiltern.

-> http://de.wikipedia.org/wiki/Sniffer

Weiterhin ist es von der Netzwerkstruktur abhängig, welche Daten ein Sniffer sehen kann. Werden die Computer mit Hubs verbunden, kann sämtlicher Traffic von den anderen Hosts mitgeschnitten werden. Wird ein Switch verwendet, ist nur wenig oder gar kein Datenverkehr zu sehen, der nicht für das sniffende System selbst bestimmt ist. Allerdings gibt es in diesem Fall mehrere Möglichkeiten wie z. B. ARP-Spoofing, ICMP-Redirects, DHCP-Spoofing oder MAC-Flooding, um trotzdem die Frames empfangen zu können. Ein Switch darf also nicht als Sicherheitsfeature gesehen werden.

Also ein Switch ist nicht so sicher und eine Sicherheitslücke, da du den Router noch so schön konfigurieren kannst, die Kommunikation zwischen PC1 und PC2 durch den Switch unabhängig vom Router funktioniert. Lese möglichst viele Artikel zum Thema Sniffer und Abwehrmaßnahmen:

-> http://www.buha.info/board/showthread.php?t=29787
-> http://www.google.de/search?sclient=psy&hl=de&source…

…das ist ein zu weites Feld."

Der Weg ist das Ziel :wink:

Grüße Roman

#7

Ich frage hier, weil meine eigenen Kenntnisse nicht
ausreichen, um die Aufgabenstellung zu lösen. Zum einen habe
ich null Ahnung von Windows und zum anderen habe ich mir meine
Netzwerkkenntnisse ad-hoc angeeignet und frage daher im
Zweifel lieber nach.

Ich dachte, hier gäbe es vielleicht echte Experten. Und wenn
ich null Ahnung hätte, dann würde ich mir einen Fachmann gegen
Geld nach Hause kommen lassen.

Also nochmal meine Fragen:

Wie kann ich sicherstellen, dass niemand aus dem lokalen Netz
auf die Daten eines PCs zugreifen kann, auf dem Winows Vista
Home läuft.

Indem Du z.B. ein Domainenmodell aufbaust (kann z.B. ein Linx Samba Server machen). Dabei können sich NUR User an der Domäne anmelden (Userrechte, etc. sollten dabei eingebunden werden). Dazu baust Du z.B. noch einige Firewallregeln unter iptables ein, die auch nur den Verkehr zum/vom Internet zulassen, aber nicht ins „normale“ Netzwerk.
Manche Router können dies auch bewerkstelligen, aber ob das die Easybox so detailiert kann weis ich nicht. Müsste im Handbuch stehen.

Reicht der vohandene Ethernet-Switch aus, um zu verhindern,
dass von einem der daran hängenden PC der Traffic zwischen dem
anderen PC und dem Router mitgesnifft werden können.

Der Traffic kann nur mitgesnifft werden wenn sich der Angreifende PC ZWISCHEN dem anzugreifenden PC und dem Switchport hängt oder der Switch einen entsprechenden Überwachungsport hätte. Wie gesagt probiere es mit Whireshark aus Du wirst feststellen, das Du so normal nur Deinen eigenen Traffic sehen kannst (btw.: Anders wäre es im WLAN, aber das ist hier ja nicht der Fall).
Btw.: Bei Netzwerk Hubs (die heute nicht mehr ganz so üblich sind) wäre das noch möglich, bei Switchen aber nicht.
Also müsstest Du nur sicherstellen, das niemand was am Kabel oder den Switchports ändert.

Gruß
h.

1 Like
#8

Guten Tag,

generell kann auf eine Datei auf einem VISTA-Rechner nur ein Benutzer zugreifen, dem dafür Rechte eingeräumt wurden. Dazu sind im Allgemeinen Benutzername und Kennwort erforderlich. Das Risiko eines Angriffes hängt dabei von der Passwortstärke und der Sorgfalt bei der Benutzerfreigabe ab.
Man kann nicht verhindern, dass ein Teil des LAN-Datenverkehr zwischen PC1 und Router von PC2 mitgelesen werden kann. Nur wird eine „normaler Datenspanner“ damit kaum was anfangen können.
Bei jedem anonymen Hotspot sind die Risiken um ein vielfaches größer als in einer eingrenzbaren über LAN-verbundenen Wohngemeinschaft.

LG Culles

#9

Moin,

Der Traffic kann nur mitgesnifft werden wenn sich der
Angreifende PC ZWISCHEN dem anzugreifenden PC und dem
Switchport hängt oder der Switch einen entsprechenden
Überwachungsport hätte.

Im Normalfall. Unbedingt verlassen würde ich mich darauf nicht. Stichwort: arp-poisoning.

Gruß
Stefan

#10

Hallo allerseits,
in so einem Fall gibt es wahrscheinlich nie 100%-ige Sicherheit. Aber wenn Axurit schon die Möglichkeit befürchtet, daß sein Mitbewohner schwere Hacker- und Lauschangriffe auf seinen Datenverkehr ausführt, die das Wissen von Otto Normaluser übersteigen, dann sollte er die Sache lieber sein lassen, wie wohl Ronny schon sagte.
Mit meinem guten Freund, den ich schon seit Jahren kenne, würde ich mein Netzwerk teilen, ohne meinen Rechner in einen Hochsicherheitstrakt zu verwandeln. Einfach weil ich weiss, daß er nie mein Vertrauen mißbrauchen würde.
Bei meinem Nachbarn, mit dem ich eigentlich ein ganz gutes Verhältnis habe, würde mir das wahrscheinlich nicht einfallen.
Will damit sagen, daß ich das ganze eher für ein psychologisches (Vertrauen oder nicht) als ein technisches Problem halte. Mir ist zwar nicht ganz klar, wie hier „Mitbewohner“ zu verstehen ist (gleiche Wohnung, WG?), aber ich kann mir vorstellen, daß es für den Mitbewohner eventuell unter einem Vorwand kein Problem wäre, bei Abwesenheit in das Zimmer von Axurit zu gelangen und dort ein Abbild der FP auf DVD zu brennen. Bei soviel krimineller Energie sind dann sämtliche Switche usw. eh für die Katz.

Viele Grüße
Marvin

#11

Aber wenn Axurit schon die Möglichkeit befürchtet, daß sein Mitbewohner schwere Hacker- und Lauschangriffe auf seinen Datenverkehr ausführt, die das Wissen von Otto Normaluser übersteigen, dann sollte er die Sache lieber sein lassen, wie wohl Ronny schon sagte.

Von „schweren Hacker- und Lauschangriffen“ war nirgends die Rede. Es ging mir um den nach heutigem Stand der Technik mit vernünftigem Aufwand möglichen Schutz.

Mit meinem guten Freund, den ich schon seit Jahren kenne, würde ich mein Netzwerk teilen, ohne meinen Rechner in einen Hochsicherheitstrakt zu verwandeln.

Trotzdem würdest du vielleicht dafür sorgen, dass er nicht ohne besonderen Aufwand deine Dateien lesen kann. Deshalb hätte mich schon interessiert, wie man das bei Windows Vista Home konkret macht.

ich kann mir vorstellen, daß es für den Mitbewohner eventuell unter einem Vorwand kein Problem wäre, bei Abwesenheit in das Zimmer von Axurit zu gelangen und dort ein Abbild der FP auf DVD zu brennen.

Da hätte er außer viel Arbeit und ein paar bespielten DVDs nichts davon, denn meine Daten sind verschlüsselt.

Gruß
Axurit

#12

Hi,

Trotzdem würdest du vielleicht dafür sorgen, dass er nicht
ohne besonderen Aufwand deine Dateien lesen kann. Deshalb
hätte mich schon interessiert, wie man das bei Windows Vista
Home konkret macht.

Naja, auf dem „kleinen Dienstweg“ kannst Du Deine „privaten“ Daten z.B. mit Truecrypt in einen verschlüsselten Container ablegen.
Die „öffentlichen“ Daten kannst Du dann normal auf der Festplatte oder im Netzwerk ablegen.

ich kann mir vorstellen, daß es für den Mitbewohner eventuell unter einem Vorwand kein Problem wäre, bei Abwesenheit in das Zimmer von Axurit zu gelangen und dort ein Abbild der FP auf DVD zu brennen.

Da hätte er außer viel Arbeit und ein paar bespielten DVDs
nichts davon, denn meine Daten sind verschlüsselt.

Naja, dann ist doch alles gut.

Gruß
h.

1 Like
#13

Da hätte er außer viel Arbeit und ein paar bespielten DVDs
nichts davon, denn meine Daten sind verschlüsselt.

Naja, dann ist doch alles gut.

Sorry, meine Anfrage war missverständlich formuliert. Es geht nicht um meinen (Linux-)PC sondern um den eines Bekannten. Aber die Anfrage ist ohnehin hinfällig, da ich gerade einen ehemaligen Kollegen getroffen habe, der CCNA Security ist. Der wird das bei Gelegenheit erledigen.

Gruß
Axurit

#14

Hallo,

versorge bitte deinen Cisco-Netzwerkexperten mit den richtigen Informationen, damit er nicht so blöd darsteht wie wir hier.

Culles

2 Like