Sicherheit im Internet

Die Situation im Jahr 1997 (c´t 13/1997, S. 169)

Immer wieder erreichen uns Hilferufe verunsicherter Leser, die von einer Sicherheitslücke ihres Browsers oder Betriebssystems gehört haben und nicht wissen, wie sie ihren Online-PC konfigurieren müssen, um noch sicher surfen zu können. Einige trauen sich ob der Horrormeldungen gar nicht mehr ins Netz.

Um einen Überblick zu schaffen, haben wir die wichtigsten bekanntgewordenen Sicherheitslöcher aus diesem Jahr (1997) zusammengetragen. Die Liste erhebt allerdings keinen Anspruch auf Vollständigkeit. Vielmehr sollte die stattliche Sammlung jedermann für das Thema Internet-Sicherheit sensibilisieren - auch wenn für die wenigsten der aufgeführten Angriffsvarianten Belege dafür vorliegen, dass sie auch wirklich ausgenutzt wurden: Die Tabelle gibt einen sehr eindrucksvollen Beleg dafür,

- wie vielseitig die Angriffsmöglichkeiten auf einen vernetzten PC sind, insbesondere

- dass ein Hacker potenziell jede Anwendung missbrauchen kann, auch wenn diese überhaupt keine Internet-Funktionen besitzt und

- welche Kreativität die Netzgemeinde beim Ausloten solcher Schwächen entwickelt.

Die Sicherheitslöcher haben sehr unterschiedliche Charakteristika, insbesondere auch in bezug darauf, wie einfach sie sich von einem Angreifer ausnutzen lassen. So beruhen einige der Probleme mit Microsoft-Produkten offensichtlich auf konzeptionellen Fehlern. Der Internet Explorer 3.0 erlaubte es etwa, mit Internet-Verknüpfungen (.url, Ink bzw. isp-Dateien, siehe Nr. 2 und 5) auch Anwendungen zu starten, die auf dem Rechner des Anwenders installiert waren. Ein bösartiger Zeitgenosse konnte also auf seiner Web-Seite einen solchen Link einbauen. Sobald sein Opfer darauf klickte, konnte der Verweis auf dessen Rechner etwa den Befehl ´c:\windows\command\deltree.exe c:\' starten - mit fatalen Folgen.

Andere Programme verfügen über ein sicheres Konzept, dessen Umsetzung jedoch teilweise fehlerhaft ist. Ein Beispiel hierfür ist Java. Die Laufzeitumgebung (Virtual Machine, VM) der Internet-Sprache ist so konstruiert, dass sie Applets von allen illegalen Zugriffen auf das darunterliegende Betriebssystem abhalten kann. Jedoch sind einige Fehler der VM bekanntgeworden, die es einem Cracker theoretisch ermöglichen, auf das System zuzugreifen. Allerdings erfordert dies einen sehr hohen Aufwand seitens des Angreifers: Er muss; die Schwächen auf unterster Ebene ausnutzen, etwa durch Programmierung in Java-Byte-Code.

Es ist davon auszugehen, dass weitere Fehler gefunden werden. Wer sich schützen will, sollte daher immer die aktuellste Version seiner Online-Anwendungen und Betriebssysteme benutzen. Insbesondere die 2er Versionen der Browser von Netscape und Microsoft werden von den Herstellern nicht mehr unterstützt und gelten als unsicher. Wer noch einen solchen Browser benutzt, sollte unbedingt auf eine neuere Version wechseln. Beta-Versionen (beziehungsweise im Microsoft-Jargon 'Preview Releases') sind ebenfalls unbedingt zu meiden, sie werden auch in der Tabelle nicht berücksichtigt. Betas sind per definitionem unfertige Programme, die zu einem öffentlichen Test freigegeben sind. Wer Wert auf Sicherheit legt, sollte mit fertigen Anwendungen ins Netz gehen und nicht Qualitätskontrolleur für die Software-Industrie spielen.

Um immer auf der sicheren Seite zu sein, sollte sich ein Online-Surfer ferner über aktuelle Sicherheitsprobleme auf dem laufenden halten. Die Hersteller versuchen, derartige Lücken so schnell wie möglich zu schließen. Meist bietet der Produzent bereits wenige Tage, nachdem ein Problem seiner Software bekannt wird, einen entsprechenden Patch auf seinem Web-Server. Für alle in der Liste aufgeführten Probleme gibt es mittlerweile sichere Versionen der betroffenen Produkte.

 

Die Situation im Jahr 1998 (c´t 2/1998, S. 192 ff.)

Wir hatten uns dem Thema bereits in Heft 13/97 ausgiebig gewidmet. Mittlerweile sind jedoch einige Tools hinzugekommen, die Schutz vor Angriffen aus dem Internet versprechen. Um das Fazit vorwegzunehmen: den absoluten Schutz vor Spionen, Datenklauern und Saboteuren gibt es nicht. Man kann das Risiko jedoch weitgehend minimieren, um ohne große Angst durchs Internet zu surfen. Ich möchte Ihnen hierzu einige Strategien nahelegen: Zunächst gilt es, das Hauptwerkzeug des Surfers, den Web-Browser, sicher zu konfigurieren. Ferner existieren Tools, mit deren Hilfe sich die Gefahren minimieren lassen, die von aktiven Inhalten wie Java und ActiveX ausgehen. Außerdem sollte man sensible Daten, etwa lizenzierte Originalsoftware, vor Diebstahl schützen. Und schließlich kann es nicht schaden, aus dem Netz geladene Software gründlich auf Virenbefall zu prüfen. Eine ausführliche Anleitung zur Browser-Konfiguration hatten wir in Heft 13/97 auf Seite 176 gegeben. Dabei kam heraus, dass es Netscape-Anwender um einiges einfacher haben als die Anhänger des Microsoft Internet Explorer. Der Netscape Navigator unterstützt kein ActiveX, die Technik, von der das größte Gefahrenpotential ausgeht. Während aus dem Web geladene Java-Applets in einer sogenannten Sandbox ablaufen und im Normalfall keinerlei Zugriffsmöglichkeiten auf das Dateisystem haben, dürfen ActiveX-Controls alles: Daten auf der Festplatte lesen, schreiben und löschen sowie über das Internet verschicken. Den einzigen Schutz stellen dabei sogenannte Zertifikate dar, welche die vertrauenswürdige Herkunft der Controls belegen sollen - mehr ein Feigenblatt denn ein Sicherheitsmechanismus. Wer den Netscape Browser mittels eines Plug-ins ActiveX-fähig macht, tut sich damit also keinen Gefallen. Doch auch die Sandbox von Java bietet keine absolute Sicherheit. Die Technik von Java ist offengelegt, sodass Sicherheitslücken früher oder später aufgedeckt werden. Die derzeit bekannten Lücken zu nutzen setzt allerdings weit mehr Know-how voraus, als die Programmierung eines gewalttätigen ActiveX-Controls.

Als weitere aktive Technik hat Netscape JavaScript eingeführt. Da JavaScript ebenfalls in einer Sandbox läuft und keinen Zugriff auf lokale Daten hat, geht davon nur ein geringes Gefahrenpotential aus. So können modifizierte Adressleisten vorgaukeln, man befände sich auf einem ganz anderen Server, und den Anwender dazu verleiten, vertrauliche Daten mitzuteilen.

Beim Einrichten des Internet Explorers gilt: keine Kompromisse. Unter 'Ansicht/InternetOptionen/Sicherheit' sollte man für die Internet-Zone die angepasste Einstellung wählen und zunächst alle Optionen (insbesondere für ActiveX) deaktivieren oder auf 'Hohe Sicherheit' setzen. Lediglich den Download von Dateien und die unverschlüsselte Übertragung von Formulardaten auf Nachfrage kann man getrost aktivieren. Um dann allerdings vom Microsoft-Server ein Online-Update für den Explorer zu beziehen, muss; man kurzfristig auf 'Mittlere Sicherheit' zurückschalten. Wer Java zulassen möchte, tut dies am besten über den Punkt 'Hohe Sicherheit'; JavaScript (bei Microsoft JScript genannt) wird unter dem Punkt 'Active Scripting' aktiviert.

Java 1.1 bietet digitale Signaturen, über die der Browser die Herkunft und Integrität eines Applets verifizieren kann. Gleichzeitig existiert die Möglichkeit, für bestimmte Applets die Fesseln der Sandbox zu lösen. Um diese Möglichkeit, für die ähnliche Vorbehalte wie für ActiveX gelten, zu nutzen, kann man die Java-Einstellungen des Internet Explorers unter Windows 95 auf 'Benutzerdefiniert' setzen. Dazu muss; zunächst der Registry-Eintrag 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\JavaVM\Security\EditCustomPermissions' mit dem Programm regedit auf ´1´ geändert werden. Eine Beschreibung aller dann zugänglichen Java-Optionen würde den Rahmen dieses Artikels sprengen: immerhin erhält man mit der rechten Maustaste zu jedem Punkt einen (englischen) Hilfetext.

Die Konfiguration des Netscape Navigators fällt hingegen übersichtlicher aus: Unter 'Edit/Preferences/Advanced' findet man in Version 4.04 drei sicherheitsrelevante Einstellungen: Java, JavaScript und AutoInstall. Letzteres sollte man nur aktivieren, sofern man eine Komponente des Communicators von Netscapes Web-Server nachinstallieren möchte. Zudem bietet der Navigator ebenfalls einen Signaturmechanismus für Java Applets und JavaScript-Programme. Solche Programme können dann beim Anwender Sonderrechte anfordern, um etwa das lokale Dateisystem zu beschreiben. Auch hier ist Vorsicht angebracht, insbesondere sollte man diese Sonderrechte für ein bestimmtes Applet nicht permanent, sondern allenfalls zur einmaligen Ausführung setzen. Echte Sicherheit gibt es also nur, wenn alle aktiven Techniken deaktiviert bleiben. Doch Java, JavaScript und leider auch ActiveX finden immer häufiger Anwendung im Web, sodass der Vorsichtige viele Seiten nicht korrekt angezeigt bekommt. Leider fehlt dann auch häufig eine aussagekräftige Meldung, welche Option man vorübergehend aktivieren muss;, um ein entsprechendes Angebot wahrnehmen zu können. Auch die Möglichkeit des Internet Explorer, aktive Komponenten nur auf Nachfrage zuzulassen, bringt in der Praxis wenig Freude: Das Surf-Erlebnis leidet dann erheblich unter ständig aufgehenden Dialogboxen, die erfahrungsgemäß nach kurzer Zeit ohne nachzudenken bestätigt werden.

Einen Ausweg aus dieser Situation versprechen Zusatz-Tools, welche die Sicherheitslücken in Java und ActiveX schließen sollen.

Hier folgen die Besprechungen folgender Produkte: eSafe Protect v1.1 / WebScanX v.3.12 / Secure4U 3.0 / Stoplight ELS / SurfinShield Xtra 2.0 Rev. 6.06. / Win-Secure-It 2.0

Fazit: Keines der Programme kann überzeugen. Preise: 80 DM (WebScanX), 217 DM (SurfinShield Xtra), andere Produkte in US-$ (29-80). .

 

Netscape Navigator ganz ohne Cookies (PCO 5/98, S. 108)

Beim Thema Internet-Sicherheit sind immer wieder auch Cookies im Gespräch. Mit Hilfe dieser speichern Web-Seiten bekanntlich Informationen über den Surfer, die beim nächsten Besuch eine individuellere Seitengestaltung erlauben. Wem dies zu intim wird, der kann sich durch den Einsatz eines speziellen Tools oder durch das Verbieten von Cookies im Browser schützen. Eine bombenfeste und denkbar einfache alternative Methode ist es, einfach die Cookie-Datei mit einem Schreibschutz zu versehen, nachdem man sie zuvor geleert hat. In der Praxis ist dies jedoch leider nur bei Netscape-Browsern möglich. Hier aktiviert man in den Einstellungen der Datei "cookies.txt" im jeweiligen User-Verzeichnis die Option Schreibgeschützt. Beim Internet Explorer hat Microsoft dieser Methode einen Strich durch die Rechnung gemacht, da dort jeder Cookie in einer eigenen Datei gespeichert wird, die sich zudem gemeinsam mit dem kompletten Browser-Cache (\Windows\Temporary Internet Files) in einem Verzeichnis befindet.

 

Wer nicht 'alles oder nichts' will, muss; entweder für jedes Cookie eine Dialogbox bedienen (bisweilen bis zu 20 Mausklicks pro Seite) oder eben ein zusätzliches Cookie-Utility benutzen. Cookie Pal erlaubt auf komfortable Weise, sowohl vorhandene Cookies zu bearbeiten als auch beim Besuch eines neuen Servers 'ein für allemal' oder fallweise zu entscheiden. Auch die sofortige Sperre einer gesamten Domain ist möglich. Der Junk buster arbeitet als lokaler Filter gegen Cookies, Werbebanner und sonstige unerwünschte Übertragungen im WWW-Datenstrom (HTTP). Bei der Konfiguration merkt man dem Programm allerdings seine Herkunft aus der Unix-Welt an: die Filterregeln muss; der Anwender von Hand in (kommentierte) Textdateien eintragen. Da das Tool nicht auf Browser-Ebene arbeitet, bietet es keine Möglichkeiten, bereits gespeicherte Cookies zu verwalten. Auch Regeln 'on the fly' einzutragen ist nicht seine Sache. Für jede WWW-Site, die cookies setzen können soll, ist eine Zelle in den Konfigurationsdateien fällig. Dafür filtert der Junkbuster aber auch beliebige URLs anhand von Servern oder Teilstrings - etwa lade 'nichts von *.doobleclick. net' oder 'keine /*.*banner'. Das Ausblenden von 'Referrer-Headern', die einem WebServer mitteilen, von welcher Seite der Surfer auf sein neues Ziel verwiesen wurde, verwischt die Spuren des Surfers im Netz. Außerdem kann eine Junk buster-Installation als Proxy für ein ganzes LAN dienen. (c´t 12/98)

 

Banking

Das Internet nutzen