Samstag, 29. Mai 2010


Topthema

Donnerstag, 11. Oktober 2007 | Topthema

About Security #126: Gefahren durch fremde Hardware

(Link zum Artikel: http://www.entwickler.de/php/kolumnen/038605)

Fremde Hardware, die von Mitarbeitern oder Besuchern in das Unternehmen mitgebracht wird, kann zu einer Gefahr f�r das Unternehmen werden. Den Anfang macht die heute gebr�uchlichste "Mitnahme-Hardware":

USB-Massenspeicher

USB-Massenspeicher verbinden gro�e Kapazit�ten und schnelle Zugriffszeiten mit oft sehr kleinen Abmessungen. Sie erm�glichen zwei Angriffe: Zum einen k�nnen dar�ber Schadprogramme eingeschleust, zum anderen gro�en Datenmengen unauff�llig kopiert werden. Zum Einschleusen von Schadprogrammen muss der Angreifer meist nur einen entsprechend pr�parierten USB-Stick einem Mitarbeiter zuspielen. Dessen Neugier f�hrt dann dazu, dass er den USB-Stick an seinem Arbeitsplatzrechner anschlie�t. Je nach Konfiguration startet der Sch�dling danach automatisch (Autorun/Autostart) oder wird vom Mitarbeiter beim Start eines anscheinend harmlosen Programms mit gestartet. Ebenso k�nnen durch pr�parierte Dateien Schwachstellen in Anwendungsprogrammen ausgenutzt werden. Zur Ausnutzung der AutoRun-Funktion zur Installation eines Virus siehe auch den 'Standpunkt Sicherheit' vom 24. September 2007. Autorun und Autostart sollten deshalb, wenn m�glich, deaktiviert werden.

N E U ! Security aktuell
T�glich aktuelle Security-Infos!

Sowohl b�swillige Mitarbeiter als auch Eindringlinge, die sich Zugriff auf einen Rechner verschaffen konnten, k�nnen daf�r vorbereitete USB-Massenspeicher verwenden, um automatisch bestimmte Daten auf den Massenspeicher zu kopieren. Dieser 'Podslurping' genannte Angriff ist ebenso einfach wie effektiv: �ber die Autorun-Funktion von Windows wird ein Programm gestartet, das vorher festgelegte Dateien auf den Massenspeicher, z.B. einen USB-Stick oder MP3-Player, kopiert.

Ein USB-Ger�t k�nnte au�erdem au�er der offiziellen Funktion weitere, versteckte Funktionen enthalten. Es k�nnte z.B. als Tastatur agieren und beim Anschluss an einen Rechner automatisch vorher festgelegte Angriffe durchf�hren. Da man einem solchen Ger�t diese Funktion nicht ansieht, k�nnte z.B. eine explizit erlaubte, inzwischen pr�parierte USB-Festplatte beim Anschluss an einen Rechner zu einem Angriff f�hren.

About Security: Die komplette Serie

Als naheliegendste Gegenma�nahme bietet es sich an, die USB-Anschl�sse zu deaktivieren oder mechanisch unzug�nglich zu machen. Konnte man fr�her bei Arbeitsplatzrechnern problemlos auf Diskettenlaufwerke verzichten, ist das beim USB-Anschluss zumindest heutzutage nicht mehr m�glich, da er auch f�r den Anschluss von Tastatur und Maus ben�tigt wird. Da "gar kein USB-Anschluss" nicht m�glich ist, muss eine feinere L�sung gefunden werden. Die einfachste M�glichkeit besteht darin, alle USB-Massenspeicher auf Betriebssystemebene zu verbieten. Eine entsprechende Anleitung f�r Windows XP gibt es hier. Danach k�nnen noch Tastatur und Maus genutzt werden, aber keine USB-Massenspeicher. Oft ist aber die Nutzung bestimmter Massenspeicher erw�nscht, sodass eine genauere Steuerung, welche Ger�te zugelassen sind und welche nicht, ben�tigt wird. In Windows Vista l�sst sich der Zugriff auf USB-Ger�te �ber die Gruppenrichtlinien relativ fein steuern. Zusatzprogramme, wie z.B. die im Bericht von der CeBIT 2006 vorgestellten, erlauben au�er der Kontrolle von USB-Ger�ten auch die anderer Peripherieger�te einschlie�lich Bluetooth oder WLAN.

Firewire-Ger�te

Ein weiteres Problem sind Firewire-/IEEE1394-Ger�te. Au�er den gleichen Angriffsm�glichkeiten wie bei USB-Ger�ten stellen sie ein weiteres Risiko dar, das erstmals 2004 beschrieben wurde (PacSec/core04: 0wned by an iPod - hacking by Firewire; 21C3: Hacking with Fire; CanSecWest/core05: FireWire - all your memory are belong to us): Die OHCI-Spezifikation (Open Host Controller Interface) erlaubt Clients den direkten Zugriff auf den Speicher des Hosts. Dabei werden s�mtliche Beschr�nkungen des Betriebssystems umgangen. Ein b�sartiges Ger�t kann nahezu beliebige Speicherbereiche lesen und schreiben. Dies kann ausgenutzt werden, um vertrauliche Daten wie z.B. Passw�rter zu lesen, die eigenen Benutzerrechte zu erh�hen oder beliebigen Code einzuschleusen. Ein Angreifer, der Zugang zu einem Firewire-Port hat, kann dadurch die vollst�ndige Kontrolle �ber das jeweilige Ger�t erlangen. OHCI sieht Schutzfunktionen vor, die �ber Filter den Zugriff generell verhindern oder die Kontrolle dem Betriebssystem des Hosts �bertragen. Diese sind jedoch teilweise nicht implementiert, schwierig zu konfigurieren oder arbeiten fehlerhaft.

Als Gegenma�nahme bleibt, sofern Schutzfunktionen nicht vorhanden sind oder nicht korrekt funktionieren, nur die M�glichkeit, die Firewire-Schnittstelle zu deaktivieren oder mechanisch unzug�nglich zu machen.

WLAN-Access-Points

Ein von einem Mitarbeiter zur eigenen Bequemlichkeit installierter WLAN-Access-Point stellt eine gef�hrliche Hintert�r in das lokale Netz dar: Ein Angreifer kann dar�ber unter Umgehung s�mtlicher Schutzfunktionen in das Netz eindringen. Dagegen helfen regelm��ige Kontrollen des Netzwerks auf fremde Ger�te.

Ab der n�chsten Folge geht es wieder um die Sicherheit von Webanwendungen, zuerst um Cross-Site-Request-Forgery.

Wenn Sie Fragen oder Themenvorschl�ge haben, k�nnen Sie diese gerne an die angegebene E-Mail-Adresse senden oder im Security-Forum einbringen!

Carsten Eilers

About Security � �bersicht zum aktuellen Thema "Mobile Security - Notebooks und fremde Hardware"

Kommentare

Folgende Links könnten Sie auch interessieren