Debian nutzt per Defaut einige Programme, die sogenannte "Netlink-Sockets" benutzen, die PIDs dieser Programme sieht man z.b. in /proc/net/netlink:
felix@debian6:/proc/net$ more netlink
sk Eth Pid Groups Rmem Wmem Dump Locks Drops
ffff88042f83a000 0 0 00000000 0 0 (null) 2 0
ffff88042fa7d800 4 0 00000000 0 0 (null) 2 0
ffff88042fa0dc00 10 0 00000000 0 0 (null) 2 0
ffff88042def3000 15 -4181 00000002 0 0 (null) 2 0
ffff88042def2400 15 1308 00000002 0 0 (null) 2 0
ffff88042f83a800 15 0 00000000 0 0 (null) 2 0
ffff88042ea77000 15 -4180 00000000 0 0 (null) 2 0
ffff88042c607800 15 1710 00000002 0 0 (null) 2 0
ffff88042e8fb400 15 108 00000001 0 0 (null) 2 0
ffff880422213800 15 1704 00000002 0 0 (null) 2 0
ffff88042ea76800 15 -4179 00000000 0 0 (null) 2 0
ffff88042c602000 16 1063 00000001 0 0 (null) 2 0
ffff88042f83d800 16 0 00000000 0 0 (null) 2 0
Hinter den PIDs 1710, 1308, 1704, etc. verbergen sich dann z.B. der X-Server, "gvfs" --> "Gnone Virtual File System" udisks-Daemon --> "Automount", etc.
Das Netlink-Protokoll soll wohl die direkte Kommunikation zwischen "Kernelspace" und "Userspace" ermöglichen und benutzt gemäss einer Uralt-Dokumentation von 2004 "UDP-like" Netzwerk-Ports.
Aus "Understanding and Programming with Netlink Sockets" , Neil Horman, 2004
"Netlink Sockets are connectionless and operate in much the same way UDP sockets do. Messages are sent to receipients on an open netlink socket via the sendto and sendmsg library calls, ...."
Gemäss Dokumentation sind auch umfangreiche Manipulationen an Paketen etc. möglich.
Nun stellt sich für mich die Frage, ob diese Art der Sockets nicht potentiell ein Sicherheitsrisiko darstellen können, da ich keinerlei Dokumentation über das "Routing" dieser Pakete gefunden habe.
Also nun die Fragen:
- Werden diese Pakete über die physische Netzwerkschnittstelle des Computer geschickt, sind sie also auch auf anderen Computern empfangbar?
- Kann damit eine Art Computer-zu-Computer Kommunikation realisiert werden?
- Gibt es einen Filter für diese Art von Paketen (z.B. auf 127.0.0.1) beschränken?
- Warum überhaupt Netlink-Sockets benutzen und keine klassischen Unix-Sockets?
Es gab bereits Sicherheitsprobleme mit Netlink, so z.B. im Dezember 2014 von Cisco gemeldet: http://tools.cisco.com/security/center/ ... rtId=36652
Hier ging es um ein lokales Problem, bei dem der Angreifer root-Rechte erlangen konnte. Leider kein Patch für die aktuellen Kernel-Versionen.
Danke und viele Grüsse
Felix
