OS-Fingerprinting
aus Wikipedia, der freien Enzyklopädie
Unter dem Begriff OS-Fingerprinting versteht man die Erkennung von Betriebssystemen durch die Beobachtung diverser Reaktionsweisen der Systeme aus der Ferne. Zur Erkennung des Betriebssystems können aktive, als auch passive Methoden Verwendung finden.
Aktive Methoden kennzeichnen sich dadurch, dass gezielte Aktionen ausgeführt werden, die vom Zielsystem auf eine bestimmte Art beantwortet werden. Die Analyse dieser Antworten liefert Informationen über die Netzwerkprotokoll-Suite und damit Informationen zum System bzw. Kernel.
Passive Methoden zeichnen sich dadurch aus, dass sie absolut latent durchgeführt werden können. Bei diesen Methoden wird ausschließlich der ablaufende Datenverkehr zwischen dem Beobachter und dem Zielsystem bewertet und analysiert. So kann beispielsweise eine einfache Websitzung durch die gleichzeitige Analyse durch ein passives OS-Fingerprinting detaillierte Informationen zu einem Zielsystem offerieren.
Informationsquellen, die beim Fingerprinting zur Analyse herangezogen werden, sind beispielsweise:
- Ethernet Frame (MTU)
- IP-Kopfdaten (bsp. IP ID)
- TCP-Kopfdaten (bsp. Reaktion auf bestimmte Flags, Inkrement-Verhalten)
- Dienst Antworten (Banner Grabbing)
Für die Analyse diverser Kopfdaten bieten sich diverse Programme an, da sich eine manuelle Analyse der übertragenen Pakete sehr mühsam gestaltet. Eine einfache und zugleich von fast jedem System aus mögliche Beschaffung von Informationen über ein Zielsystem bzw. dessen Dienste bietet sich durch die Verwendung von "telnet". Durch einen Verbindungsversuch auf einen offenen Port am Zielsystem offenbaren sich meist schon diverse Informationen.
Beispiel:
user@host$ telnet ftp.dell.com 21 Trying 143.166.170.10... Connected to ftp.ins.dell.com. Escape character is '^]'. 220 Microsoft FTP Service <- Banner
Die dadurch gelieferte Rückantwort (Banner) enthält im günstigsten Fall sowohl Informationen zum eingesetzten Dienst, als auch zum verwendeten Betriebssystem. Diese Technik wird auch als Banner Grabbing bezeichnet und steht auch manchen Portscannern zur Verfügung.
Da bei den Tests des aktiven OS-Fingerprinting auch Methoden eingesetzt werden, die die Stabilität des Zielsystems gefährden, können sie durchaus als Angriff gewertet werden, was rechtliche Konsequenzen haben kann.
