TechTalk

Ich möchte Euch diesen großartigen Vortrag von Joanna Rutkowska sehr ans Herz legen. Diese Aufnahme des Linux-Magazin stammt aus dem letztjährigen DFN-Workshop "Sicherheit in vernetzten Systemen" zu dem ich mich fast angemeldet hätte, wenn mir die Tagungsgebühren nicht so hoch gewesen wären. Wenn alle Vorträge ähnlich interessant gewesen sind, hätte ich mich wohl nicht geärgert, hätte ich mich angemeldet.

In Ihrem Vortag hält Rutkowska ein sehr überzeugendes Plädoyer für die Bedeutung des Aspektes der Erkennung von kompromittierten Systemen. Sie kritisiert die einseitige Fokussierung auf den Aspekt der Prävention und trifft damit bei mir voll ins Schwarze, da auch in meinem Bewußtsein die Prävention stehts die größte Bedeutung besaß und Erkennung zwar nicht unbedeutend, aber doch nachrangig war. Denn: wer ein integeres System will, der muß den Einbruch verhindern. Erkennung greift erst im Schadensfall.

Genau hier hakt Rutkowska jedoch sehr überzeugend ein. Sie argumentiert, dass die Vergangenheit gezeigt habe, dass Systeme, die man sicher glaubte, nur allzu oft doch kompromittiert werden konnten, weil Sicherheitslücken ausgenutzt wurden. Hat man nun ein System, dass eine Lücke hatte, so hat man mit der Prävention ein Problem. Denn selbst wenn man sofort nach Bekanntwerden der Lücke einen Patch einspielt, so kann man sich nie sicher sein, dass die Lücke in der Vergangenheit nicht ausgenutzt worden ist. Prävention hat also immer eine zeitliche Komponente, eine Geschichte, die sich rückwirkend nicht ändern lässt. Behebe ich eine Lücke jetzt, habe ich sie in der Vergangenheit noch lange nicht behoben. Ich müßte also nach jeder neuen Lücke um die Sicherheit meines Systems fürchten. Daran änderten auch verbesserte präventive Maßnahmen nichts.
Anders die Erkennung. Verbessere ich die Erkennung, greift diese Verbesserung oftmals "zeitlos". Ich erhöhe damit nicht nur die Wahrscheinlichkeit gegenwärtige Einbrüche zu detektieren, sondern ich erhöhe ebenfalls die Wahrscheinlichkeit vergangene Einbrüche aufzuspüren. Systeme zur Prüfung der Systemintegrität sind also im Grunde die andere Medaille sicherer Systeme. Ohne Detektion macht Prävention keinen Sinn. Da Prävention keine Sicherheit bieten kann, müssen wir immer auf der Hut sein, ob präventives Maßnahmen nicht doch versagten. Sie bemüht das passende Bilder des "Yin-Yan der Sicherheit". Die Balance muß stimmen und die Erkennung von Schadsoftware darf nicht als lästiges Stiefkind der Sicherheit betrachtet werden.

Sie definiert im folgenden verschiedenen Typen von Schadsoftware und klammert einen Bereich, nämlich jenen von selbst installierten Programmen, z.B. von selbstinstallierter Schadesoftware, die die üblichen API's für Programme benutzt und nicht irgendwelche Schwächen ausnutzt oder andere Systembestandteile kompromittiert, aus. Ihre Klassifikation überzeugt ebenso wie die skizzierten Lösungsansätze, die im übrigen auch deutlich machen, warum die Installation von handelsüblicher Antiviren-Software keine Lösung, sondern manchmal sogar Teil des Problems ist.

Ich kann jedem, der sich für dieses Thema interessiert (für IT'ler sollte es m.E. Pflichtstoff sein), nur empfehlen sich das Video und die Slides anzugucken. Das sind 90 sinnvoll investierte Minuten. Ich zumindest habe ein paar Aha-Effekte erlebt und bin dem Linux-Magazin für diesen Service schönen Service, der einige andere interessante Vorträge bietet, dankbar.

Mich nervt schon seit längerem der missionarische Eifer den manche meiner Bekannten packt seit sie einen Mac besitzen. Um das mal deutlich zu sagen: ich habe keine Lust mehr auf dummes Drohnengeblubber. Zugestanden sei: Eure Geräte haben die schönste Optik. Die verbreitete Vorstellung aber, im Besitz des besten aller Systeme zu sein, die kann man nur als naiv und dumm bezeichnen. Das manches, was zu solchen Bewertungen verführen mag, reine Geschmacksfragen sind, lasse ich in meiner Kritik mal außen vor. Tatsache ist: Mac OS X hat, wie jede verbreitete Betriebssystem, Vorzügen, aber auch Schwächen. Die ach so gepriesene Usability etwa erweist sich als Chimäre: wer gerne und viel mit der Tastatur arbeitet wird die OS X-GUI wenig mögen. Richtig ärgerlich aber sind schon seit langem die Schwächen in Punkto Sicherheitsfragen. Apple schafft es seit Jahren unsichere Software auszuliefern und zeigt dies auch in der jüngst erschienen Version ihres Betriebssystems wieder. Heise Security schrieb dazu:

Die Firewall von Mac OS X Leopard versagte in allen Tests: Sie ist standardmäßig nicht aktiviert und selbst wenn sie der Anwender einschaltet, verhält sie sich nicht so, wie er es erwartet. Netzwerkverbindungen zu nicht-autorisierten Diensten sind weiterhin möglich und selbst in der restriktivsten Einstellung "Alle eingehenden Verbindungen blockieren" lässt sie Zugriffe aus dem Internet auf Systemdienste zu. Auch wenn die hier aufgezeigten Probleme und Ungereimtheiten keine Sicherheitslöcher in dem Sinne darstellen, dass jemand über sie in einen Mac einbrechen könnte, ist Apple gut beraten, schleunigst nachzubessern.

Die Entgegnung, dass Apple dies (zumindest teilweise) mittlerweile getan hat, ändert nichts am Kernproblem und zeigt nur, dass einige Apple-Verfechter wie PR-Drohnen argumentieren, deren primäres Ziel die Verbreitung des Systems ist, nicht aber eine kritische Würdigung dessen. Denn: das Kernproblem ist nicht diese Sicherheitslücke (oder eine der vielen anderen, die in der Vergangenheit aufgetraucht sind), sondern das Apple keine tragfähigen Sicherheitskonzepte entwickelt und seine Produkte vor dem Shipping offenbar nicht auf Sicherheitskriterien hin überprüft. Wie wäre es anders zu erklären, dass gerade so einfach zu entdeckende und behebende Mängel erst durch einen schnellen, einfachen, externen Test auffallen?

Jeder Apple-Gläubige dieser Welt täte mir einen Gefallen (und würde sich nicht länger so blosstellen) wenn er sich mir gegenüber mit missionarischem Eifer zurückhalten würde und die Betriebssystemfrage erst dann wieder aufbrächte, wenn das rationale Denken wieder eingesetzt hat. Ich hab genug Bullshit gehört und hinreichend Weitblick um auch über mein präferiertes Betriebssystem hinausschauen zu können. Wer meint mich mit strunzdoofem Marketing beglücken zu müssen, macht sich nur lächerlich und provoziert mich höchstens dazu mal wieder zu erklären, warum mir im Zweifelsfall ein Windows das kleinere Übel wäre und warum ein modifizierter BSD-Kern noch kein gutes Betriebssystem macht...

Seit geraumer Zeit setze ich den Firefox zunehmend nicht nur zum Entwickeln von Webseiten ein, sondern er verdrängt zumindest momentan den zuvor von mir präferierten Konqueror auf beim normalen surfen. Deshalb war ich in letzter Zeit öfters irritiert, wenn ich mit Google etwas suchte und dann urplötzlich mit der Frage konfrontiert wurde, dass Site XYZ gerne ein paar Cookies setzen möchte und ob ich dies denn zulassen wolle.

Heute war ich genervt und schmiss den Sniffer an. Und tatsächlich: wie vermutet prefetched der Firefox Web-Seiten. Es ist möglich, dieses Verhalten zu ändern. In den detaillierten Konfigurationseinstellungen, die sich mittels about:config finden lassen, befindet sich ein passender Schalter. Mittels network.prefetch-next kann man den Mechanismus einfach und schnell ausschalten. Standardmäßig ist er in Firefox 2.0 aktiviert.

Der genaue Mechanimus war mir allerdings nicht klar. Es gibt haufenweise Links die erklären wie man prefetching abschaltet, aber kaum welche, in denen erklärt wird, wie es läuft. Also guckte ich mir die HTML-Auszeichnungen der Ergebnisseite Googles an...

Das Domain Name System ist für eine Reihe interessanter Anwendungszwecke zu gebrauchen. Eine Möglichkeit ist etwa das Abfragen öffentlicher Schlüssel und ihrer Fingerprints. Das in RFC 4398 standardisierte DNS-CERT ist vergleichsweise komplex und erfreut sich bislang keiner großen Verbreitung. Das von Werner Koch vorgeschlagene Verfahren namens "Public Key Association" (PKA) erfreut sich ebenfalls keiner weiten Verbreitung, ist aber sehr einfach zu realisieren, sofern man Zugriff auf die relevanten Zonefiles hat.

... scheint in Punkto Sicherheit ein wirklich miserables System zu sein. Das hört man immer wieder. Via Köhntopp und Fefe fand ich folgenden sehr aufschlußreichen Bericht:

But, my dear mac friend, you may say, 'oh but the firewall!', and as previously pointed out by Jay Bealle, the firewall is useless as implemented. To bypass the TCP filter, you just need to fragment your packets because it will accept any fragment, to bypass the UDP filter you just need a source port of 53 or 67, because it allows anything with these source ports through.

Und dies ist nur das offenkundigste Beispiel für die Schwächen des Systems. Der Autor kommt zu dem Schluß...

So we have a faulty firewall, a soft platform, ignorant users and developers that don't truly understand what they're doing and extreme monoculutre; what we really have is a recipe for disaster.

... und bewarb sich daraufhin bei Apple auf die Stelle eines Sicherheitsspezialisten. Was dann folgt ist durchaus unterhaltsam und lesenswert.

Nils machte mich dankenswerterweise darauf aufmerksam: "Skype liest BIOS-Daten aus", berichtet der Heise-Newsticker.

Es ist mir schon lange ein Rätsel, wie so viele Menschen dem Produkt von Leuten, die mit einem anderen Produkt Spyware unter die Leute brachten, vertrauen können. Abgesehen davon allerdings gibt es, wie ich im letzten Jahr mehrfach berichtete, auch gute technische Gründe gegen Skype. Angefangen bei bewußt verursachten Interoperatibilitätsproblem durch Verwendung eines proprietären Protokolles bei gleichzeitiger Nichtimplentierung von verbreitetenden Standards bis hin zu mangelnder technischer Vertrauenswürdigkeit. Dass das Protokoll gebrochen wurde und Skype theoretisch fernsteuerbar ist hat leider auch kaum einen Anwender interessiert - in meinem Bekanntenkreis leider selbst solche mit technischen Background nicht.

Dabei kann man sich behelfen. Ich werde im Laufe dieses Jahres Lösungen vorstellen, die gute Alternativen bieten.