Kleiner Lauschangriff gegen Windows-Fernwartung
Ein Designfehler im Remote Desktop Protokoll bietet jedem im Firmennetzwerk die Möglichkeit, die Zugangsdaten zu fernadministrierten Windows-Servern auszuhorchen.
Hinter Microsoft Windows Terminal Server und Remote-Desktop-Verbindungen in Windows XP stecken Dienste, die entferntes Anmelden und Arbeiten auf dem Rechner ermöglichen. Ursprünglich von Citrix entwickelt, um eine begrenzte Anzahl an Softwarelizenzen für viele Benutzer auf einem Server zugänglich zu machen, ergaben sich nach Lizenzierung durch Microsoft für die daraus entwickelten Terminal Services weitere logische Einsatzszenarien. Endlich ist auch ein Windows-Server vollständig aus der Ferne zu administrieren, die Fernwartung und Support von Benutzerrechnern fordert dem Administrator nicht mehr in jedem Fall eine Marathon-Strecke im Hause ab.
Selbst für den Privatgebrauch kommen die Terminal Services in Form des kleinen Bruders namens Remote Desktop zum Einsatz. So kann der begabte Enkel seinem weit entfernt lebenden Großvater dank der in Windows XP eingebauten Remote-Desktop-Unterstützung bei seinen Rechnerproblemen helfen.
Terminal Services und Remote Desktop setzen auf das Remote-Desktop-Protokoll (RDP) auf. Für Unix und Linux gibt es mit rdesktop einen RDP-Client, der das entfernte Windows auch auf den lokalen KDE- oder Gnome-Desktop holt.
Designfehler
Allerdings weist RDP eine gravierende Design-Schwäche auf: Client und Server müssen sich nicht gegenseitig authentifizieren. Aller Verschlüsselungsaufwand ist vergebens, wenn sich ein nicht vorgesehener Rechner in die Kommunikation unbemerkt einklinken kann. Schon im April 2003 zeigte Erik Forsberg in einem Advisory einen erfolgreichen Man-In-The-Middle-Angriff (MITM) gegen RDP-Sitzungen.
Der Verkehr zwischen Client und Server ließ sich unbemerkt über eine dritte Station mittels ARP-Spoofing umleiten und mitprotokollieren (siehe [1]). So konnte er die RC4-Schlüssel, mit denen die RDP-Verbindungen gesichert werden, erschnüffeln und zum Entschlüsseln des Traffics nutzen. Nach diesem MITM-Angriff lagen die Passwörter für den Serverzugriff dann im Klartext vor.
