WPAD

WPAD (Web Proxy Auto-Discovery) ist ein Protokoll, das es Webbrowsern und Betriebssystemen ermöglicht, den Speicherort einer Proxy Auto-Configuration (PAC)-Datei automatisch zu ermitteln. Diese Datei definiert, wie Client-Anwendungen für den Internetzugang eine Verbindung zu einem Proxyserver herstellen sollen.

Überblick über WPAD

WPAD vereinfacht die clientseitige Proxy-Konfiguration, indem es die Notwendigkeit manueller Einstellungen eliminiert. Anstatt jede Client-Anwendung (z. B. Webbrowser, systemweite Proxy-Einstellungen) mit der IP-Adresse und dem Port eines Proxyservers zu konfigurieren, können Administratoren eine einzige PAC-Datei veröffentlichen. Clients, die für die Verwendung von WPAD konfiguriert sind, lokalisieren und laden diese Datei automatisch herunter und führen dann ihre JavaScript-Logik aus, um den geeigneten Proxyserver für eine bestimmte URL zu bestimmen. Dies ist besonders nützlich in großen Organisationen oder dynamischen Netzwerkumgebungen, in denen sich Proxy-Einstellungen häufig ändern oder je nach Netzwerkstandort variieren können.

Wie WPAD funktioniert: Erkennungsmethoden

WPAD verwendet zwei primäre Methoden zur Erkennung der PAC-Datei: DHCP und DNS. Clients versuchen typischerweise zuerst die DHCP-Erkennung und greifen auf DNS zurück, wenn DHCP fehlschlägt oder die WPAD-Informationen nicht bereitstellt.

DHCP-Erkennung

Die DHCP-Methode (Dynamic Host Configuration Protocol) beinhaltet, dass der DHCP-Server Clients die URL der PAC-Datei bereitstellt.

1. Client-Anfrage: Wenn ein für WPAD konfigurierter Client eine IP-Adresse von einem DHCP-Server erhält, fordert er spezifische DHCP-Optionen an.
2. DHCP-Option 252: Der DHCP-Server kann so konfiguriert werden, dass er Option 252 (Proxy Auto-Discovery) in seinem Lease-Angebot enthält. Der Wert dieser Option ist eine Zeichenfolge, die die URL der wpad.dat-Datei enthält (z. B. http://wpad.example.com/wpad.dat).
3. Abruf der PAC-Datei: Der Client empfängt die URL und versucht, die wpad.dat-Datei vom angegebenen Speicherort herunterzuladen.

DNS-Erkennung

Wenn die DHCP-Erkennung erfolglos ist oder nicht konfiguriert wurde, versuchen Clients typischerweise eine DNS-basierte Erkennung.

1. Hostname-Konstruktion: Der Client konstruiert eine Reihe potenzieller Hostnamen für den WPAD-Server, indem er schrittweise Komponenten aus seinem eigenen Domainnamen entfernt. Wenn der FQDN eines Clients beispielsweise host.sub.example.com ist, versucht er, wpad.sub.example.com, dann wpad.example.com und schließlich wpad.com aufzulösen (obwohl letzteres aus Sicherheitsgründen oft blockiert wird).
2. DNS-Abfrage: Für jeden konstruierten Hostnamen (z. B. wpad.example.com) führt der Client eine DNS-Abfrage nach einem A-Record (oder AAAA-Record für IPv6) durch.
3. Abruf der PAC-Datei: Wenn eine DNS-Auflösung erfolgreich ist, bildet der Client eine URL http://<aufgelöste_IP-Adresse>/wpad.dat oder http://<aufgelöster_Hostname>/wpad.dat und versucht, die PAC-Datei herunterzuladen.

Vergleich von DHCP- und DNS-Erkennung

Die PAC-Datei (Proxy Auto-Configuration)

Der Kern von WPAD ist die PAC-Datei, die typischerweise wpad.dat genannt wird. Diese Datei ist ein JavaScript-Skript, das eine einzige Funktion definiert: FindProxyForURL(url, host). Wenn ein Client auf eine URL zugreifen muss, ruft er diese Funktion auf und übergibt die Ziel-URL und ihren Hostnamen. Der Rückgabewert der Funktion bestimmt, wie der Client vorgehen soll.

Anforderungen an die PAC-Datei

• Dateiname: Muss wpad.dat heißen.
• MIME-Typ: Der Webserver, der wpad.dat hostet, muss sie mit dem korrekten MIME-Typ bereitstellen: application/x-ns-proxy-autoconfig. Ohne dies können einige Clients die Datei möglicherweise nicht verarbeiten.

Beispiel einer grundlegenden PAC-Datei

function FindProxyForURL(url, host) {
    // Direkter Zugriff für interne Domains
    if (isPlainHostName(host) ||
        dnsDomainIs(host, ".example.com") ||
        isInNet(myIpAddress(), "192.168.1.0", "255.255.255.0")) {
        return "DIRECT";
    }

    // Proxy-spezifischen Traffic über einen Haupt-Proxy leiten
    if (shExpMatch(url, "*.google.com/*")) {
        return "PROXY proxy1.example.com:8080";
    }

    // Aller andere Traffic geht über einen primären Proxy mit Failover zu einem sekundären
    return "PROXY proxy1.example.com:8080; PROXY proxy2.example.com:8080; DIRECT";
}

Häufige Rückgabewerte der PAC-Datei

• DIRECT: Direkt mit dem Ziel verbinden, ohne einen Proxy zu verwenden.
• PROXY host:port: Den angegebenen HTTP-Proxyserver verwenden. Mehrere Proxys können für Failover angegeben werden (z. B. PROXY proxy1:8080; PROXY proxy2:8080).
• SOCKS host:port: Den angegebenen SOCKS-Proxyserver verwenden.

Vorteile von WPAD für Proxy-Dienste

• Zentralisierte Verwaltung: Administratoren können Proxy-Einstellungen für ein gesamtes Netzwerk von einem einzigen Ort aus verwalten (die wpad.dat-Datei auf einem Webserver).
• Dynamische Konfiguration: Proxy-Einstellungen können sich basierend auf der Client-IP-Adresse, der Ziel-URL, der Tageszeit oder anderer in der PAC-Datei definierter Logik ändern. Dies unterstützt komplexe Routing-Anforderungen.
• Mobilität: Laptops oder mobile Geräte konfigurieren ihre Proxy-Einstellungen automatisch neu, wenn sie zwischen verschiedenen Netzwerken (z. B. Bürolan, Gast-WLAN) wechseln, die unterschiedliche WPAD-Konfigurationen bereitstellen.
• Lastverteilung und Failover: PAC-Dateien können mehrere Proxyserver angeben, wodurch Clients den Datenverkehr verteilen oder automatisch zu einem alternativen Proxy wechseln können, wenn der primäre nicht verfügbar ist.
• Granulare Kontrolle: Spezifische Arten von Datenverkehr (z. B. interne Ressourcen, sichere Websites) können den Proxy umgehen, während andere über ihn geleitet werden, was Leistung und Sicherheit optimiert.

Nachteile und Sicherheitsbedenken

Obwohl WPAD Komfort bietet, birgt es mehrere Sicherheitsrisiken und betriebliche Herausforderungen:

• Man-in-the-Middle (MITM)-Angriffe:
  • DNS-Spoofing: Ein Angreifer kann DNS-Antworten für wpad.domain.tld fälschen und Clients zu einem bösartigen WPAD-Server umleiten.
  • DHCP-Spoofing: Ein Angreifer kann einen bösartigen DHCP-Server einrichten, um Clients eine bösartige WPAD-URL bereitzustellen.
  • Bösartige PAC-Dateien: Wenn ein Client eine bösartige PAC-Datei herunterlädt, kann der Angreifer den gesamten Datenverkehr über seinen Proxy umleiten, Daten abfangen oder modifizieren oder sogar den Zugriff auf kritische Dienste blockieren.
• Single Point of Failure: Wenn der WPAD-Server oder der Webserver, der die wpad.dat-Datei hostet, nicht verfügbar ist, verlieren Clients ihre Proxy-Konfiguration und möglicherweise den Internetzugang, es sei denn, die PAC-Dateilogik berücksichtigt ein Failover auf DIRECT.
• DNS-Suchreihenfolge-Schwachstelle: Clients hängen bei der DNS-Erkennung oft ihre Domänensuffixe an wpad an. Wenn sich ein Client in einem Netzwerk mit einem kurzen Domänensuffix befindet (z. B. company.local), könnte er wpad.local oder sogar wpad.com abfragen (wenn local nicht konfiguriert ist). Ein Angreifer, der diese generischen Domänen kontrolliert, könnte eine bösartige wpad.dat-Datei hosten. Viele moderne Browser und Betriebssysteme mindern dies, indem sie die WPAD-Erkennung für Top-Level-Domains wie .com oder .local verhindern.
• Leistungs-Overhead: Der WPAD-Erkennungsprozess (DHCP, DNS-Lookups) und die Ausführung der PAC-Datei können eine leichte Verzögerung beim Herstellen von Verbindungen verursachen, obwohl dies normalerweise vernachlässigbar ist.
• Umgehungspotenzial: Anspruchsvolle Benutzer oder Malware können WPAD-Einstellungen umgehen, insbesondere wenn diese nicht durch andere Netzwerksteuerungen erzwungen werden.
• MIME-Typ-Fehlkonfiguration: Ein falscher MIME-Typ auf dem Webserver (z. B. text/plain anstelle von application/x-ns-proxy-autoconfig) kann dazu führen, dass Clients die wpad.dat-Datei ignorieren.

WPAD für einen Proxy-Dienst konfigurieren

Die Implementierung von WPAD umfasst mehrere Schritte, um sicherzustellen, dass Clients Ihren Proxy-Dienst erkennen und nutzen können.

1. Erstellen Sie die PAC-Datei (wpad.dat):

   • Entwickeln Sie die JavaScript-Logik für FindProxyForURL, die Ihre Proxy-Routing-Regeln definiert.
   • Testen Sie die PAC-Datei gründlich mit Tools oder Browser-Entwicklerkonsolen, um sicherzustellen, dass sie wie erwartet funktioniert.

2. Hosten Sie die PAC-Datei auf einem Webserver:

   • Stellen Sie wpad.dat auf einem zugänglichen Webserver bereit (z. B. Apache, Nginx, IIS).
   • Stellen Sie sicher, dass der Webserver so konfiguriert ist, dass er wpad.dat mit dem MIME-Typ application/x-ns-proxy-autoconfig bereitstellt.
     • Apache: Fügen Sie AddType application/x-ns-proxy-autoconfig .dat zu httpd.conf oder einer .htaccess-Datei hinzu.
     • Nginx: Fügen Sie types { application/x-ns-proxy-autoconfig dat; } zu nginx.conf hinzu.
     • IIS: Fügen Sie einen MIME-Typ-Eintrag für die .dat-Erweiterung mit dem Typ application/x-ns-proxy-autoconfig hinzu.

3. Konfigurieren Sie DHCP:

   • Konfigurieren Sie auf Ihrem DHCP-Server Option 252 (Proxy Auto-Discovery) für die relevanten Scopes.
   • Setzen Sie den Zeichenfolgenwert auf die vollständige URL Ihrer PAC-Datei (z. B. http://wpad.example.com/wpad.dat).

4. Konfigurieren Sie DNS:

   • Erstellen Sie in Ihrem internen DNS-Server einen A-Record (oder CNAME) für wpad.<ihre_domain.tld>, der auf die IP-Adresse des Webservers zeigt, der wpad.dat hostet.
   • Beispiel: Ein A-Record für wpad.example.com, der auf 192.168.1.100 zeigt.

5. Client-Konfiguration:

   • Stellen Sie sicher, dass Client-Betriebssysteme und Browser so konfiguriert sind, dass sie "Einstellungen automatisch erkennen" oder "Automatisches Proxy-Konfigurationsskript verwenden". Dies ist oft die Standardeinstellung.
   • Für Windows-Clients finden Sie diese Einstellung typischerweise unter Internetoptionen -> Verbindungen -> LAN-Einstellungen.

WPAD deaktivieren

In Umgebungen, in denen WPAD inakzeptable Sicherheitsrisiken birgt oder nicht erforderlich ist, kann es deaktiviert werden:

• Gruppenrichtlinie (Windows): Administratoren können Gruppenrichtlinienobjekte (GPOs) verwenden, um die automatische Proxy-Erkennung für Domänen-verbundene Maschinen zu deaktivieren.
• Registrierung (Windows): Manuelle Registrierungsänderungen können WPAD deaktivieren. Der Schlüssel HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections enthält Einstellungen wie DefaultConnectionSettings und SavedLegacySettings, in denen WPAD-Flags geändert werden können.
• Browser-Einstellungen: Die meisten Browser haben eine Einstellung, um die automatische Proxy-Erkennung explizit zu deaktivieren.
• Netzwerkkonfiguration: Konfigurieren Sie keine DHCP-Option 252 und erstellen Sie keinen wpad-DNS-Eintrag.

Best Practices für Proxy-Dienste mit WPAD

• Sichern Sie den WPAD-Endpunkt: Stellen Sie sicher, dass der Webserver, der wpad.dat hostet, gehärtet und regelmäßig gepatcht wird. Erwägen Sie die Verwendung von HTTPS für die wpad.dat-Bereitstellung, obwohl nicht alle Clients HTTPS für die WPAD-Erkennung vollständig unterstützen, insbesondere ältere.
• Validieren Sie PAC-Dateien: Überprüfen Sie regelmäßig den Inhalt Ihrer wpad.dat-Datei auf Korrektheit und um das Einschleusen bösartigen Codes zu verhindern.
• Überwachen Sie die WPAD-Nutzung: Protokollieren Sie Anfragen für wpad.dat auf Ihrem Webserver, um ungewöhnliche Zugriffsmuster oder potenzielle Angriffe zu erkennen.
• Implementieren Sie Netzwerksegmentierung: Isolieren Sie den WPAD-Server und die Proxy-Infrastruktur von allgemeinen Benutzernetzwerken.
• Schulen Sie Benutzer: Informieren Sie Benutzer über die Bedeutung von Proxy-Einstellungen und die Risiken, die mit deren Deaktivierung oder der Verbindung zu nicht vertrauenswürdigen Netzwerken verbunden sind.
• Erwägen Sie Alternativen für sensible Umgebungen: Für hochsichere oder sensible Umgebungen sollten Sie eine explizite Proxy-Konfiguration über Gruppenrichtlinien oder Mobile Device Management (MDM)-Lösungen in Betracht ziehen, die eine direktere Kontrolle und weniger Abhängigkeit von Erkennungsprotokollen bieten.
• Blockieren Sie WPAD für externe Domänen: Konfigurieren Sie interne DNS-Server so, dass die Auflösung von wpad für Domänen außerhalb Ihrer Organisationskontrolle (z. B. wpad.com, wpad.org) verhindert wird. Dies mindert die DNS-Suchreihenfolge-Schwachstelle.