entwickler.com

In About Security #3 lernten Sie einige technische Schutzfunktionen kennen. In dieser Folge erfahren Sie etwas über den physikalischen Schutz der IT-Systeme sowie weitere organisatorische Maßnahmen. Die zum Teil sehr umfangreichen Maßnahmen werden dabei an einigen ausgewählten Punkten verdeutlicht.

Angriffe von innen

Um Angriffe von innen abzuwehren, muss der Zugang zu den Rechnern sowie der Zugriff auf die Rechner sehr restriktiv gehandhabt werden. Jeder Mitarbeiter erhält nur die Rechte, die er zur Erfüllung seiner Aufgaben wirklich benötigt. Damit muss ein Angreifer, um an sein Ziel zu gelangen, nicht irgendeinen beliebigen Angestellten bestechen oder mit Social Engineering überlisten, sondern einen Angestellten mit den notwendigen Berechtigungen.

Vertraulichkeit und Integrität der Daten sind auch gefährdet, wenn sie das IT-System verlassen. Vertrauliche Daten sollten daher vor einer Übertragung über das Internet oder dem Versand auf einem Datenträger immer verschlüsselt werden. Auch Ausdrucke dürfen nicht einfach ohne weitere Behandlung als Altpapier entsorgt werden. Denn sonst reicht es, wenn der Anbieter etwas im Altpapier wühlt, um die Daten zu erhalten und alle Schutzfunktionen zu unterlaufen. Weitere organisatorische Maßnahmen sind z.B. regelmäßige Backups und Regeln für das Verhalten im Schadensfall. Dabei ist z.B. auch zu klären, wo Backups aufbewahrt werden. Zum einen müssen diese ebenfalls geschützt werden, denn für den Angreifer ist es egal, ob er die Daten oder deren Backup kopiert bzw. stiehlt. Zum anderen müssen sie vom IT-System getrennt aufbewahrt werden, sodass bei einer Zerstörung des IT-Systems die Backups weiter zur Verfügung stehen. Dazu kommt dann der Schutz der Hardware vor Gefahren wie Blitzschlag, Feuer, Stromausfall usw., auf den hier aber nicht weiter eingegangen werden soll. Alle Maßnahmen zusammen definiert man in einer Sicherheitsrichtlinie (Security Policy).

Gefahren durch mitgebrachte Hardware

Eine relativ neue Gefahr für die IT-Sicherheit soll nun noch etwas näher betrachtet werden: Hardware, die von Mitarbeitern oder Besuchern in das Unternehmen mitgebracht wird.
Ein Problem sind USB-Massenspeicher mit ihren großen Kapazitäten und schnellen Zugriffszeiten. Manchen USB-Speichern sieht man ihre Funktion nicht einmal an, weil sie z.B. in Uhren oder Taschenmesser integriert sind. Sowohl böswillige Mitarbeiter als auch Eindringlinge, die sich Zugriff auf einen Rechner verschaffen konnten, können damit beliebige Programme einschleusen und installieren oder auch große Datenmengen vom Rechner kopieren. Ein USB-Gerät könnte außerdem außer der Funktion als Massenspeicher weitere, versteckte Funktionen enthalten. Z.B. könnte es als Tastatur agieren und beim Anschluss an einen Rechner automatisch Angriffe durchführen. Da man einem entsprechenden Gerät diese Funktion nicht ansieht, könnte eine explizit erlaubte externe Festplatte, mit der ein Außendienstmitarbeiter Daten transportiert, beim Anschluss an einen Rechner zu einem Angriff führen.

Ein weiteres Problem sind Firewire-/IEEE1394-Geräte. Neben der Funktion als Massenspeicher gibt es dabei ein weiteres Risiko: Die OHCI-Spezifikation (Open Host Controller Interface) erlaubt Clients den direkten Zugriff auf den Speicher des Hosts. Dabei werden sämtliche Beschränkungen des Betriebssystems umgangen. Ein bösartiges Gerät kann daher nahezu beliebig Speicherbereiche lesen und schreiben. Dies kann ausgenutzt werden, um vertrauliche Daten wie z.B. Passwörter zu lesen. Auch ist es möglich, die eigenen Benutzerrechte zu erhöhen oder beliebigen Code einzuschleusen. Ein Angreifer, der Zugang zu einem Firewire Port hat, kann damit die vollständige Kontrolle über das jeweilige Gerät erlangen. OHCI sieht auch Schutzfunktionen vor, die über Filter den Zugriff generell verhindern oder dem Betriebssystem des Hosts die Kontrolle übertragen. Diese sind jedoch teilweise nicht implementiert, schwierig zu konfigurieren oder arbeiten fehlerhaft. Gefährdet sind alle Geräte, die die entsprechenden Funktionen zur Verfügung stellen und bei denen keine Schutzfunktion aktiviert ist. Möglich sind zurzeit das Lesen und Schreiben unter Mac OS X und FreeBSD sowie das Lesen unter Linux. Nicht möglich sind das Schreiben unter Linux sowie Lesen und Schreiben unter Windows. Dies kann sich aber durchaus in der Zukunft ändern. (Nachtrag 2008: Für weitere Informationen siehe "Standpunkt Sicherheit" vom 10. März 2008)

Als Gegenmaßnahme bleibt, sofern die Schutzfunktionen nicht vorhanden sind oder nicht korrekt funktionieren, nur die Möglichkeit, die Firewire-Schnittstelle zu deaktivieren oder mechanisch unzugänglich zu machen. Ebenso wie USB- und Firewire-Geräte können auch alle anderen Peripheriegeräte, die Unbefugte an das IT-System anschließen, eine potenzielle Gefahr darstellen. Daher sollten auf allen Rechnern nur die Treiber vorhanden und die Schnittstellen aktiviert sein, die benötigt werden.

In dieser und den vorhergehenden Folgen erhielten Sie eine kurze Einführung in den umfangreichen Bereich "IT-Sicherheit". Ab der nächsten Folge wird es konkret. Es geht um eine typische Schwachstelle und ihre Folgen: Den Pufferüberlauf (Buffer Overflow).

Carsten Eilers

About Security – Übersicht zum aktuellen Thema "Einführung":

• About Security #1: IT-Sicherheit – Was ist das eigentlich?
• About Security #2: Angriffsszenarien
• About Security #3: Eindringlinge abwehren
• About Security #4: Gefährdung aus der Peripherie