Sicher surfen in fremden Netzen

Bahnhöfe, Hotels, Cafés, Flughäfen – WLAN-Hotspots gibt es mittlerweile an fast jeder Ecke, und wer ein Notebook sein eigen nennt, möchte unterwegs auf die unendlichen Weiten des Internets nicht gerne verzichten. Aber auch beim Surfen im Uni-Netz, auf Kongressen oder bei einem Bekannten befindet man sich normalerweise in einem Netzwerk, welches nicht unter der eigenen Kontrolle ist und bei dem nicht mit Gewissheit gesagt werden kann, wer mit welchen Privilegien dort ebenfalls Zugriff hat.

Dabei muss man sich im Klaren darüber sein, dass der gesamte Datenverkehr, welcher über unverschlüsselte Protokolle (http, POP3, SMTP, IMAP, IRC, ICQ, MSN usw.) erfolgt, von anderen Teilnehmern des Netzes mitgelesen (und im schlimmeren Fall sogar verändert) werden kann. Dies ist in einem WLAN sogar noch wesentlich einfacher als in geswitchten Netzen, da die per Funk übertragenen Pakete ähnlich wie bei einem Hub von jeder Netzwerkkarte im Promiscuous-Mode mitgeschnitten werden können.

Eine sichere Lösung wäre ein VPN, jedoch ist der Aufwand, ein solches einzurichten, vergleichsweise hoch, und nicht jedem steht die dafür benötigte Infrastruktur (dedizierter Server bzw. vServer mit in den Kernel einkompilierten tun/tap-Devices) zur Verfügung. Dieses kleine Tutorial soll zeigen, wie man schnell und einfach mit Bordmitteln von Mac OS X eine sichere Verbindung heraus aus unsicheren Netzen erstellt. Voraussetzung ist jedoch der Zugriff per SSH auf einen vertrauenswürdigen Server. (Dieser Server benötigt selbstverständlich seinerseits Zugriff auf das Internet; in meinem Fall ist es ein gemieteter vServer.)

Wer einmal wissen möchte, welche Daten im Klartext durch die Leitung gehen, kann diese mit dem Kommandozeilenprogramm tcpdump mitschneiden.

sudo tcpdump -A -s 2048
gibt die Pakete auf dem Terminal aus, die Option -w ~/Desktop/capture.pcap speichert den Mitschnitt als Datei auf dem Desktop. Mit dem CocoaPacketAnalyzer kann diese dann komfortabel betrachtet und durchsucht werden.

Das Kommandozeilenprogramm ssh ist vielleicht bekannt als sicherer Ersatz für telnet oder ähnliche Software, die ein Terminal eines entfernten Rechners lokal zur Verfügung stellen. Tatsächlich bietet es jedoch viele weitere Funktionen, wie beispielsweise Portweiterleitung oder die Basis für sichere Alternativen zu FTP und RCP (SFTP und SCP).

Für unseren Zweck ist die Möglichkeit interessant, dass sich der ssh-Client wie ein SOCKS-Server verhalten kann. Dies ist nicht weiter kompliziert, ein Aufruf von

ssh -fND 4223 user@server
stellt eine Verbindung zu server her, loggt sich mit user ein, fragt nach dessen Passwort und startet auf server einen SOCKS-Proxy. Lokal werden jetzt alle Verbindungen auf Port 4223 verschlüsselt zu server weitergeleitet und die Verbindung von dort aus hergestellt. ACHTUNG! Es ist nicht die gesamte Strecke vom Client (also dem Notebook) bis zum (Web-)Server (beispielsweise einer besuchten Webseite) verschlüsselt; lediglich die Verbindung bis zum eigenen Server. Von dort aus erfolgt (wenn kein verschlüsseltes Protokoll verwendet wird) die Verbindung weiterhin unverschlüsselt. Dies reicht aber aus, um eventuellen Mitlesern in fremden, unsicheren Netzen vorzubeugen.

Der Parameter -f weist ssh an, in den Hintergrund zu gehen, so dass auf dem Terminal weiter gearbeitet werden kann. Die Ausführung von Remote-Kommandos wird mit -N vermieden; -D port startet das lokale, dynamische Port-Forwarding. Weitere Informationen gibt es wie gewohnt per man ssh.

Jetzt müssen die Programme noch so konfiguriert werden, dass sie localhost:4223 auch als SOCKS-Proxy verwenden. Dies kann man entweder in jedem Programm einzeln tun oder man verwendet eine entsprechend konfigurierte Netzwerkumgebung.

Eine solche Umgebung kann in den Netzwerk-Systemeinstellungen erstellt werden. Dazu muss aus der Liste der Umgebungen “Umgebung bearbeiten” ausgewählt werden – dort findet sich, etwas versteckt, die Möglichkeit, eine neue Umgebung anzulegen. In dieser Umgebung muss dann für jedes Netzwerkgerät, welches verwendet werden soll (vermutlich Ethernet und Air-Port) unter “Weitere Optionen” -> “Proxies” localhost:4223 als SOCKS-Proxy eingetragen werden.

Wenn alles funktioniert hat und die Umgebung ausgewählt wurde, kann man das Ergebnis mit einem Aufruf von wieistmeineip.com überprüfen. Hostname und IP sollten jetzt die des verwendeten Servers sein. Programme mit SOCKS-Unterstützung wie beispielsweise Safari können jetzt sicher verwendet werden, wer unbedingt Software verwenden will/muss, die keine native SOCKS-Unterstützung bietet, sollte sich tsocks mal anschauen.