Computervermittelte Kommunikation

cmclogo.gif

Kapitel 6B: Sicherheit


von Margarete Payer

mailto: payer@hbi-stuttgart.de


Zitierweise / cite as:

Payer, Margarete <1942 - >: Computervermittelte Kommunikation. -- Kapitel 6B: Sicherheit. -- Fassung 2003-10-08. -- URL: http://www.payer.de/cmc/cmcs06b.htm. -- [Stichwort].

Erstmals publiziert: 1995

Überarbeitungen: 1997-07-23; 1999-05-31 [grundlegende Neubearbeitung und Erweiterung]; 2002-05-24 [grundlegende Neubearbeitung und Erweiterung]; 2003-10-08 [Kleine Änderungen]

Anlass: Lehrveranstaltungen an der HdM (früher HBI bzw HDM) Stuttgart

©opyright: Dieser Text steht der Allgemeinheit zur Verfügung. Eine Verwertung in Publikationen, die über übliche Zitate hinausgeht, bedarf der ausdrücklichen Genehmigung der Verfasserin.

Dieser Text ist Teil der Abteilung Computervermittelte Kommunikation von Tüpfli's Global Village Library. 


Zur Inhaltsübersicht von Margarete Payer: Computervermittelte Kommunikation.


6B.0. Übersicht



6B.1. Das Internet -- der neue Wilde Westen



Abb.: Im Internet, dem globalen Wilden Westen fehlt ein Lucky Luke (©DELTA)

"But the Web is not without its risks. Hand-in-hand with stories of the Internet's gold rush are constant reminders that the 21st century Internet has all the safety and security of the U.S. Wild West of the 1860s. Consider:
  • In February 2000, web sites belonging to Yahoo, Buy.com, Amazon.com, CNN, E*Trade, and others were shut down for hours, the result of a massive coordinated attack launched simultaneously from thousands of different computers. Although most of the sites were back up within hours, the attacks were quite costly. Yahoo, for instance, claimed to have lost more than a million dollars per minute in advertising revenue during the attack.
  •  In December 1999, an attacker identifying himself as a 19-year-old Russian named "Maxim" broke into the CDUniverse web store operated by eUniverse Inc. and copied more than 300,000 credit card numbers. Maxim then sent a fax to eUniverse threatening to post the stolen credit cards on the Internet if the store didn't pay him $100,000. On December 25, when the company refused to bow to the blackmail attack, Maxim posted more than 25,000 of the numbers on the hacker web site "Maxus Credit Card Pipeline." This led to instances of credit card fraud and abuse. Many of those credit card numbers were then canceled by the issuing banks, causing inconvenience to the legitimate holders of those cards." Similar break-ins and credit card thefts that year affected Real-Names, CreditCards.com, EggHead.Com, and many other corporations.
  • In October 2000, a student at Harvard University discovered that he could view the names, addresses, and phone numbers of thousands of Buy.com's customers by simply modifying a URL that the company sent to customers seeking to return merchandise. "This blatant disregard for security seems pretty inexcusable." the student, Ben Edelman, told Wired News.
  • Attacks on the Internet aren't only limited to e-commerce sites. A significant number of high-profile web sites have had their pages rewritten during attacks. Those attacked include the U.S. Department of Justice, the U.S. Central Intelligence Agency, the U.S. Air Force, UNICEF, and the New York Times. An archive of more than 325 hacked home pages is online at http://www.antionline.com/archives/pages/ [Der Link ist tot. -- 2002-05-16].

Attacks on web servers are not the only risks we face on the electronic frontier:

  • On August 25, 2000, a fraudulent press release was uploaded to the computer of Internet Wire, an Internet news agency. The press release claimed to be from Emulex Corporation, a maker of computer hardware, and claimed that the company's chief executive officer had resigned and that the company would have to adjust its most recent quarterly earnings to reflect a loss, instead of a profit. The next morning, Emulex's share price plunged by more than 60%: within a few hours, the multi-billion-dollar company had lost roughly half its value. A few days later, authorities announced the Emulex caper had been pulled off by a single person — an ex-employee of the online news service, who had made a profit of nearly $250,000 by selling Emulex stock short before the release was issued.
  • Within hours of its release on May 4, 2000, a fast-moving computer worm called the "Love Bug" touched tens of millions of computers throughout the Internet and caused untold damage. Written in Microsoft Visual Basic Scripting Language (VBS), the worm was spread by people running the Microsoft Outlook email program. When executed, the worm would mail copies of itself to every email address in the victim's address book, then destroy every MP3 and JPEG file that it could locate on the victim's machine.
  • A growing number of computer "worms" scan the victim's hard disk for Microsoft Word and Excel files. These files are infected and then sent by email to recipients in the victim's address book. Not only are infections potentially started more often, but confidential documents may be sent to inappropriate recipients.

The Web doesn't merely represent a threat for corporations. There are cyberstalkers, who use the Web to learn personal information and harass their victims. There are pedophiles, who start relationships with children and lure them away from home. Even users of apparently anonymous chat services aren't safe: In February 1999, the defense contracting giant Raytheon filed suit against 21 unnamed individuals who made disparaging comments about the company on one of Yahoo's online chat boards. Raytheon insisted that the 21 were current employees who had leaked confidential information; the company demanded that the Yahoo company reveal the identities behind the email addresses. Yahoo complied in May 1999. A few days later, Raytheon announced that four of the identified employees had "resigned," and the lawsuit was dropped.

Even using apparently "anonymous" services on the Web may jeopardize your privacy and personal information. A study of the 21 most visited health-related web sites on the Internet (prepared for the California HealthCare Foundation) discovered that personal information provided at many of the sites was being inadvertently leaked to third-parties, including advertisers. In many cases, these data transfers were in violation of the web sites' own stated privacy policies." A similar information leak, which sent the results of home mortgage calculations to the Internet advertising firm DoubleClick, was discovered on Intuit's Quicken.com personal finance site."

[Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. --  S. XI - XIV. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

April 7, 2002

Cyber crime bleeds U.S. corporations, survey shows; financial losses from attacks climb for third year in a row

SAN FRANCISCO — The Computer Security Institute (CSI) announced today the results of its seventh annual "Computer Crime and Security Survey."

The "Computer Crime and Security Survey" is conducted by CSI with the participation of the San Francisco Federal Bureau of Investigation's (FBI) Computer Intrusion Squad. The aim of this effort is to raise the level of security awareness, as well as help determine the scope of computer crime in the United States.

Based on responses from 503 computer security practitioners in U.S. corporations, government agencies, financial institutions, medical institutions and universities, the findings of the "2002 Computer Crime and Security Survey" confirm that the threat from computer crime and other information security breaches continues unabated and that the financial toll is mounting.

Highlights of the "2002 Computer Crime and Security Survey" include:

  • Ninety percent of respondents (primarily large corporations and government agencies) detected computer security breaches within the last twelve months.
  • Eighty percent acknowledged financial losses due to computer breaches.
  • Forty-four percent (223 respondents) were willing and/or able to quantify their financial losses. These 223 respondents reported $455,848,000 in financial losses.
  • As in previous years, the most serious financial losses occurred through theft of proprietary information (26 respondents reported $170,827,000) and financial fraud (25 respondents reported $115,753,000).
  • For the fifth year in a row, more respondents (74%) cited their Internet connection as a frequent point of attack than cited their internal systems as a frequent point of attack (33%).
  • Thirty-four percent reported the intrusions to law enforcement. (In 1996, only 16% acknowledged reporting intrusions to law enforcement.)

Respondents detected a wide range of attacks and abuses.
Here are some examples of attacks and abuses:

  • Forty percent detected system penetration from the outside.
  • Forty percent detected denial of service attacks.
  • Seventy-eight percent detected employee abuse of Internet access privileges (for example, downloading pornography or pirated software, or inappropriate use of e-mail systems).
  • Eighty-five percent detected computer viruses.
For the fourth year, we asked some questions about electronic commerce over the Internet. Here are some of the results:
  • Ninety-eight percent of respondents have WWW sites.
  • Fifty-two percent conduct electronic commerce on their sites.
  • Thirty-eight percent suffered unauthorized access or misuse on their Web sites within the last twelve months. Twenty-one percent said that they didn't know if there had been unauthorized access or misuse.
  • Twenty-five percent of those acknowledging attacks reported from two to five incidents. Thirty-nine percent reported ten or more incidents.
  • Seventy percent of those attacked reported vandalism (only 64% in 2000).
  • Fifty-five percent reported denial of service (only [sic!] 60% in 2000).
  • Twelve percent reported theft of transaction information.
  • Six percent reported financial fraud (only 3% in 2000).

Patrice Rapalus, CSI Director, remarks that the "Computer Crime and Security Survey," has served as a reality check for industry and government:

"Over its seven-year life span, the survey has told a compelling story. It has underscored some of the verities of the information security profession, for example that technology alone cannot thwart cyber attacks and that there is a need for greater cooperation between the private sector and the government. It has also challenged some of the profession's 'conventional wisdom,' for example that the 'threat from inside the organization is far greater than the threat from outside the organization' and that 'most hack attacks are perpetrated by juveniles on joy-rides in cyberspace.' Over the seven-year life span of the survey, a sense of the 'facts on the ground' has emerged. There is much more illegal and unauthorized activity going on in cyberspace than corporations admit to their clients, stockholders and business partners or report to law enforcement. Incidents are widespread, costly and commonplace. Post-9/11, there seems to be a greater appreciation for how much information security means not only to each individual enterprise but also to the economy itself and to society as a whole. Hopefully, this greater appreciation will translate into increased staffing levels, more investment in training and enhanced organizational clout for those responsible for information security."

Executive Assistant Director (EAD) Bruce J. Gebhardt, former Special Agent in-Charge FBI San Francisco, stresses the need for the cooperation between the government and the private sector that the annual survey reflects.

"The United States' increasing dependency on information technology to manage and operate our nation's critical infrastructures provides a prime target to would be cyber-terrorists. Now, more than ever, the government and private sector need to work together to share information and be more cognitive of information security so that our nation's critical infrastructures are protected from cyber-terrorists."

CSI, established in 1974, is a San Francisco-based association of information security professionals. It has thousands of members worldwide and provides a wide variety of information and education programs to assist practitioners in protecting the information assets of corporations and governmental organizations.

The FBI, in response to an expanding number of instances in which criminals have targeted major components of information and economic infrastructure systems, has established the National Infrastructure Protection Center (NIPC) located at FBI headquarters and the Regional Computer Intrusion Squads located in selected offices throughout the United States. The NIPC, a joint partnership among federal agencies and private industry, is designed to serve as the government's lead mechanism for preventing and responding to cyber attacks on the nation's infrastructures. (These infrastructures include telecommunications, energy, transportation, banking and finance, emergency services and government operations). The mission of Regional Computer Intrusion Squads is to investigate violations of Computer Fraud and Abuse Act (Title 8, Section 1030), including intrusions to public switched networks, major computer network intrusions, privacy violations, industrial espionage, pirated computer software and other crimes."

[Quelle: http://www.gocsi.com/press/20020407.html. -- Zugriff am 2002-05-23]


6B.2. Arten von Sicherheit


"If you send out email, it's important to make sure that the email doesn't contain viruses - but it is equally important to make sure that you are not sending the email to the wrong person, or sending it out against the recipient's wishes. It's important to make sure that credit card numbers are encrypted before they are sent over the Internet, but it's equally important to make sure that the numbers are kept secure after they are deccrypted at the other end."

[Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. -- S. XVIf. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Die wichtigsten Arten von Sicherheit sind:


6B.3. Quellen von Sicherheitsproblemen


Die Hauptursache von Sicherheitsproblemen sind natürlich die Angreifer und zwar

Motive der bewussten Angreifer sind vielfältig, z.B.:

Bei den Angreifern darf man nicht die Geheimdienste vergessen, besonders Die National Security Agency (NSA) der USA [Webpräsenz: http://www.nsa.gov/. -- Zugriff am 2002-05-23] . Zu glauben, irgendeine Form der Telekommunikation werde nicht von der NSA "abgehört", ist naiv. Dies gilt seit dem Terroranschlag auf das World Trade Center umso mehr.

"Obwohl das Leben für die NSA inzwischen vielleicht etwas komplizierter ist und das Belauschen anderer in den kommenden Jahren womöglich noch schwieriger werden wird, ist ein großer Teil dieser Kritik übertrieben. Die Behörde ist heute ganz gewiss nicht dabei, »taub zu werden worauf Michael Hayden nachdrücklich hinweist. »Eine Kritik lautet, wir seien allwissend und läsen von allen Leuten die E-Mail«, sagte er, »und die andere lautet, wir würden blind und taub. Beides kann aber nicht stimmen.«

Informationen zufolge, die der Autor für das vorliegende Buch eingeholt hat, hat es die NSA geschafft, Mittel und Wege zu finden, um alle diese neuen Technologien anzuzapfen darunter auch Glasfaserkabel, und sie hievt heute mehr Kommunikationen an Bord als je zuvor. Dies wurde bei einer streng geheimen Diskussion hinter verschlossenen Türen am 30. September 1999 in den Räumen der NSA enthüllt. Teilnehmer waren der stellvertretende NSA-Direktor für Dienstleistungen, Terry Thompson, sowie Angehörige der technischen Belegschaft der Behörde.

»Die Hochrechnungen, die wir vor fünf, sechs oder acht Jahren anstellten«, sagte Thompson, »um das immer größere Beschaffungsvolumen abzuschätzen und zu erfahren, was das für unsere Analytiker bedeutet, haben sich sämtlich bewahrheitet, was weitgehend der Arbeit zu verdanken ist, die Sie alle und andere geleistet haben. Was unseren Zugang zu Netzwerkdaten anbelangt und unsere Fähigkeit, sie zu beschaffen, so sind wir heute sehr viel weiter als früher. Das Gleiche gilt für Glasfaseroptik, Handy-Daten, für alle verschiedenen Kommunikationsformen, die unsere Ziele sind, und das hat für unsere Analytiker eine Menge Arbeitsmaterial zur Folge. Unsere Technik hält mit der Entwicklung ordentlich Schritt und trägt so dazu bei, die Rückstände zu verarbeiten und zu reduzieren. Es gibt jedoch noch immer große Anforderungen an die Menschen am Ende der Kette. Sie müssen nämlich herausfinden, was wichtig ist, und das läuft auf sprachliche Arbeit und nachrichtendienstliche Analyse hinaus.«

Thompson erklärte, wie die NSA in das Internet einbricht. Sie stelle dazu Personen ein, die über Spezialwissen über wichtige US-Unternehmen verfügten, die lebenswichtige Komponenten für das Netzwerk erstellten. Mit ihrer Hilfe könne die Agentur die Funktionsweise der Komponenten sozusagen »umdrehen«, um die Systeme zu belauschen. Zu den lebenswichtigsten Komponenten des Internet gehören sogenannte Router, Leitwegprogramme, die von Cisco Systems hergestellt werden, einem in Kalifornien ansässigen Unternehmen. Dies sind spezialisierte Mikrocomputer, die zwei oder mehr inkompatible Computernetzwerke miteinander verbinden. Sie sind so etwas wie eine Art Post, die entscheidet, welchen Weg die verschiedenen Nachrichten im Netz nehmen sollen. »Fast der gesamte Internet-Verkehr durchläuft das System eines Unternehmens: Cisco Systems«, heißt es in einem Werbespot von Cisco. Indem die NSA bei dieser »Post« die Schwachstellen und Verwundbarkeiten entdeckt, kann sie große Mengen elektronischer Post aufspüren und ablangen.

Während der Diskussion mit dem technischen Personal über kurzfristig bei der NSA arbeitende Wissenschaftler sagte Thompson: »Wenn man sich einen überschaubaren Zeitraum ansieht, zwei, drei oder fünf Jahre«, sagte er, »und sagt, nun, ich brauche nur diesen einen Mitarbeiter, um Cisco-Router umzudrehen, dann ist das ein gutes Beispiel für den Zeitraum von drei bis fünf Jahren, weil ich Cisco langfristig als den wichtigsten Hersteller von Router sehe, und dann brauche ich dieses Fachwissen nicht mehr. Aber heute brauche ich wirklich jemanden, auch in den nächsten Jahren, und zwar jemanden, der die Cisco-Router in- und auswendig kennt und mir zu verstehen hilft, wie man sie bei Ziel-Netzwerken einsetzt.«

Tatsächlich hat die NSA vor kurzem einen Ingenieur von Cisco eingestellt und zum obersten technischen Berater ihres neuen Umwandlungsbüros ernannt, das damit betraut ist, die Behörde in das neue Jahrhundert zu führen."

[Bamford, James: NSA : die Anatomie des mächtigsten Geheimdienstes der Welt. -- München : Bertelsmann, ©2001. -- ISBN 3570151514. -- S. 462f. -- Originaltitel: Body of secrets (2001). -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Außer den Angreifern gibt es folgende wichtigen Quellen von Sicherheitsproblemen, die in vielen Fällen erst eine Sicherheitsattacke ermöglichen:


6B.4. Methoden von Attacken auf die Sicherheit


Im Prinzip können Attacken auf zwei Arten eingeleitet werden:

Vorbemerkung: die Klassifikation der Attacken dient dazu, dass der Nutzer sich leicht Attackiermöglichkeiten merken kann, nicht dazu, eine vorliegende Attacke eindeutig zuzuordnen.


Abb.: Viren, Würmer, Trojaner [Bildquelle: http://library.thinkquest.org/C005965F/images/virus,1.gif?tqskip1=1&tqtime=0521. -- Zugriff am 2002-05-21]

Die wichtigsten Mittel für Attacken auf die Sicherheit sind:


6B.4.1. Social engineering



Abb.: Social engineering [Bildquelle: http://www.utoronto.ca/security/ouccp36.htm. -- Zugriff am 2002-05-22]

Social engineering: unter irgendeinem Vorwand versucht man von den Zuständigen entsprechende Informationen zu bekommen (romantisches Abendessen bei Kerzenlicht mit Netzwerkverwalter; Auftreten mit Arbeitskittel als angeblicher oder echter Wartungsbeauftragter, ohne sich zu legitimieren; Anfrage eines angeblich um die Sicherheit seiner Daten besorgten Kunden über Einzelheiten der getroffenen Sicherheitsvorkehrungen u.ä.). Auch über das Netz kommt solches Social engineering sehr häufig vor: z.B. wird ein unerfahrener Benutzer unter irgend einem Vorwand ("Es gibt ein Problem mit Ihrem Account") aufgefordert, in Plaintext sein Passwort zu nennen (bei AOL zeitweise direkt eine Seuche).

Die automatisierte Form von social engineering nennt man phishing: Programme, die social engineering e-mails an tausende oder zehntausend von Nutzern (z.B. von AOL) schicken, in denen die Empfänger z.B. aufgefordert werden Passwörter und Usernames oder Kreditkartenangaben zurückzuschicken. Z.B.: "Ihre Kreditkarte ist abgelaufen ..."


6B.4.2. Scanning


Scanning: Programme, die Sicherheitsmängel und -schwachstellen   in einem lokalen oder entfernten System automatisch aufspüren. Dies können auch Sicherheitstools sein, hochwirksame Werkzeuge zum Testen der Sicherheit eines Systems (wie z.B. SATAN). Diese Sicherheitsmängel kann man dann zu einer Attacke ausnützen

6B.4.3. Ausnützen von Sicherheitsmängeln in Betriebssystemen, Netzwerkprotokollen, Web-Server-Systemen usw.


Fast alle verbreiteten Betriebssysteme, Netzwerkprotokolle, Webbrowser usw. zeigen nach der Freigabe gravierende Sicherheitsmängel, die dann (hoffentlich) durch entsprechende Patches (Updates) geflickt werden. Deshalb ist es ratsam, für solche Software regelmäßig bei den Herstellern (z.B. Microsoft) nach entsprechenden Updates zu suchen.

6B.4.4. Backdoors (trap doors) (Hintertüren)


Backdoors sind Programmstücke in Anwendungs-Programmen oder Betriebssystemen, die faule Programmierer erstellt haben, um beim Testen von Programmen oder Betriebssystemen nicht jedesmal den ordnungsgemäßen Weg mit Berechtigungsnachweis usw. gehen zu müssen. Das berühmteste back door war die debug Option in sendmail: der Internet Worm im November 1988 nützte aus, dass Distributoren von sendmail (Sun, DEC u.a.) vergessen hatten, die debug Option aus dem Programm zu entfernen.


6B.4.5. Password cracking (Passwortknacken)


Password cracking (Passwortknacken): Techniken und Programme, die Passwörter entziffern oder auf andere Weise den Schutz durch Passwörter außer Kraft setzen. Besonders beliebt ist die Benutzung einer Wortliste (eines Lexikons) (dictionary attack): jedes Wort wird mit dem Passwort-Verschlüsselungssystem verschlüsselt und das Ergebnis mit den gestohlenen verschlüsselten Passwörtern verglichen: auf diese Weise kann man auch Passwörter entschlüsseln, die mit unumkehrbaren Verschlüsselungsverfahren verschlüsselt wurden. Gegen diese Methode hilft nur, dass nur Passwörter zugelassen werden, die nicht Bestandteil irgendeines Lexikons oder einer Wortliste sind (z.B.: das Passwort muss mindestens drei nichtalphabetische Zeichen enthalten). Auch sollten neue Passwörter deswegen immer vom System gegen Wortlisten gecheckt werden, bevor sie akzeptiert werden. 

"Was ist auf Anwenderseite zu beachten?

Die meisten User sind bei der Wahl eines sinnvollen Passwortes - wie geschildert - oft nicht sehr einfallsreich. Das Ausnutzen schlecht gewählter Passwörter ist daher auch eines der am weitesten verbreiteten Angriffsmittel von Hackern.

Bei der Vergabe von Passwörtern sollte man folgende Grundregeln beachten:

  • keine Passwörter unter 5 Zeichen
  • keine Verdoppelung, also nicht »HHaalloo«
  • keine Standardpasswörter
  • keine Geburtsdaten oder ähnliches
  • keine Wörter, die in Passwortlisten oder Wörterbüchern stehen könnten

Gute Passwörter bestehen aus:

  • mehr als 10 Zeichen
  • alphanumerischen Zeichenfolgen z.B. kml34Hs9
  • einem Mix aus Groß- und Kleinbuchstaben

Passwörter sind vollkommen sinnlos wenn:

  • überall dasselbe Passwort verwendet wird
  • ein Zettel, auf dem das Passwort steht, unter der Tastatur oder am Monitor liegt.
  • das Passwort in einer Datei auf dem Computer gespeichert ist.

Weiterhin sollte man das Passwort alle zwei bis vier \Vochen ändern. Durch diese Rotation wird ein Zugriff durch ein schon ausspioniertes Passwort wertlos."

[Vosseberg, Thomas: hackerz book : so greifen Hacker PC's an. -- Poing : Franzis, ©2002. -- ISBN 3772363458. -- S. 214. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

In sehr sicherheitssensitiven Bereichen ist die Verwendung von nur einmal verwendbaren Passwörtern (one time password) empfehlenswert: der Nutzer enthält eine Liste von Passwörtern, die er nacheinander "abarbeitet".


6B.4.6. Trojans (trojanische Pferde)



Abb.: Das trojanische Pferd [Bildquelle: http://theory.sci.univr.it/projects/p40/. -- Zugriff am 2002-05-21]

Trojans (Trojanische Pferde) sind Programme bzw. Programmteile, die angeblich eine nützliche Funktion erfüllen, in Wirklichkeit aber eine ganz andere, schädliche Tätigkeit ausüben (sei es Belästigung, Zerstörung, Ausschnüffeln, Fernsteuerung, Vorbereitung zum Einbruch). Trojanische Pferde können z.B. durch Veränderung oder Einfügung von Links auf nicht genügend gesicherte Websites oder durch Austausch von Files auf FTP-Servern auch dem vorsichtigen Nutzer unterschoben werden. Hierher gehören auch die Makro-Viren. die insbesondere mit Dateien von Office-Programmen als Makros verkleidet eingeschleppt werden. Ein Schutz gegen Trojanische Pferde ist die Authentifikation von Files durch den digitalen Fingerabdruck (digital fingerprint) (bzw. Signatur) nach MD5 (message digest algorithm 5): aufgrund des Files wird eine Zeichenkette von 32 Zeichen errechnet (z.B.: 2d50b2bffb537cc4e637dd1f07a187f4). Der Algorithmus ist so, dass es äußerst unwahrscheinlich ist, dass zwei Files die gleiche Zeichenkette erzeugen. Ein Vergleich mit der Zeichenkette zeigt, ob das File z.B. wirklich ein Update vom Softwarehersteller ist oder ein als Update getarntes Trojanisches Pferd.


6B.4.6.1. 0190-Dialer


 0190-Dialer sind eine spezielle Art von Trojanern. Sie setzen einen Internetzugang über die Telephonleitung (heute meist ISDN) voraus. Solche Dialer werden z.B. angepriesen als High-Speed-Zugang zu Erotik-Seiten. In Wirklichkeit erstellen sie einen DFÜ-Eintrag, um dann über ein installiertes Modem eine teure 0190-Nummer anzuwählen. So kann man tatsächlich im Internet und auch in geschützten Bereichen surfen. Der Vorteil für den Kunden: Alles läuft anonym, abgerechnet wird über die Telefonrechnung. 0190-Dialer nutzen die verschiedensten Tarnungen. Ein einfacher Klick auf einen Link einer Webseite kann teuer werden. Grundregel: Niemals Websites besuchen, die einem über unerwünschte e-mail zugesandt wurden! Ganz sicherer Schutz ist nur die 0190-Nummern von der Telekom für den eigenen Anschluss sperren lassen. Aktuelle Informationen zu 0190-Dialern: http://www.dialerschutz.de/. -- Zugriff am 2002-04-23.

6B.4.7. Abfangen von Daten


Abfangen von Daten ist möglich z.B. mit

6B.4.8. Abwandeln von System-Utilities oder Netzwerk-Utilities


Abwandeln von System-Utilities (besonders UNIX-Utilities) oder Netzwerk-Utilities, um so über Hintertürchen ins System zu kommen.

6B.4.9. Verbergen der eigenen Identität bzw. Vorspiegelung einer falschen Identität (spoofing, identity theft)


Techniken, die eigene Identität zu verbergen bzw. eine falsche Identität vorzuspiegeln (spoofing): Man verwendet Informationen, die man durch Utilities (wie z.B. finger) erhält, um eine falsche Identität vorzugeben. Auch Cookies können gefälscht werden: Cookies sind Identifikatoren im WWW, die beim Benutzer einer Web-Page gesetzt werden, um damit bestimmte Informationen zu speichern (z.B. Kundennummer, Lieferadresse, Kreditkartennummer). Durch die Fälschung oder den Diebstahl von Cookies kann man so u.U. unter einer falschen Identität Bestellungen ausführen und Ähnliches.


Abb.: Diebstahl der Identität [Bildquelle: http://www.fdic.gov/consumers/consumer/news/cnsum00/idthft.html. -- Zugriff am 2002-05-21] 

Eine wichtige Form von Diebstahl einer Identität ist Diebstahl von Kreditkarteninformationen.

Anonymität erlaubt auch straflosen Geheimnisverrat (z.B. anonyme Publikation von Geschäftsgeheimnissen) sowie anonyme Ehrabschneidung, Verleumdung u.ä.

Anonymität bzw. eine falsche Identität kann aber auch eine Form von Sicherheit sein: Sicherheit vor der Verfolgung durch Zensurbehörden, durch Arbeitgeber usw. wegen des Inhalts von Veröffentlichungen.

Ein an Identitätsvorpiegelung angrenzender Fall sind Domain Names, die aus häufigen Vertippungen bekannter Domain Names bestehen (z.B. banh.de).


6B.4.10. Missachtung des Datenschutzes



Abb.: Schnüffeln verboten! [Bildquelle: http://www.datenschutz-berlin.de/infomat/clipart.htm. -- Zugriff am 2002-05-21]

Missachtung des Datenschutzes: Sammeln personenbezogener Daten ohne ausdrückliche Zustimmung des Betroffenen: Anonymität ist auch ein wichtiger Aspekt des Datenschutzes: je mehr das Internet zum Ort wird, in dem Transaktionen aller Art (Einkauf usw.) durchgeführt werden, um so wichtiger sind Vorkehrungen gegen Nutzer-Profile, die den "gläsernen Internetbürger" erzeugen könnten. Deshalb beinhalten die meisten elektronischen Bezahlungssysteme, die für das Internet entwickelt werden Anonymität, zumindest in einem bestimmten Grad. [S. dazu: Fandrich, Dan: How private are "private" electronic payment systems?. -- Zugriff am 2002-04-23. -- URL:  http://www.npsnet.com/danf/emoney-anon.html].

Wie schwierig und schwach Datenschutz durch die Globalisierung geworden ist, zeigt Stefan Krempl unter der treffenden Überschrift "Datensammler agieren global, Datenschützer lokal : bezüglich Datenschutz driften die USA und Europa auseinander." [In. Neue Zürcher Zeitung. -- 1999-05-21. -- S.54: Je nach Untersuchung sammeln 85 bis 93% der US-Web-Sites personenbezogene Daten, wobei nur 14 bis bestenfalls nur 66% von ihnen die Besucher darüber informieren, d.h. selbst im besten Fall sammeln 33% dieser US-Web-Sites personenbezogene Daten ohne den Besucher darüber zu informieren, geschweige denn seine Zustimmung einzuholen. Die Studie mit den optimistischeren Zahlen (Stand 13.5.1999): Georgetown Internet Privacy Policy Study / Mary J. Culnan. -- URL: http://www.msb.edu/faculty/culnanm/gippshome.html. -- Zugriff am 2002-04-23

Zwei die Situation treffend bezeichnendes Zitate:

"Wie wenig sich amerikanische Web-Händler um den Datenschutz kümmern und wie einfach sie bereits heute die EU-Bestimmungen umgehen, macht der englische Ableger von Amazon.com -- das Königreich ist eines der wenigen Länder der EU, die die strenge Richtlinie bereits umgesetzt haben -- deutlich: in der Privacy Policy [http://www.amazon.co.uk/exec/obidos/subst/help/privacy.html/026-4516565-9235618. -- Zugriff am 2002-04-23]  wird der Buchliebhaber schlicht darauf hingewiesen, dass die eingegebenen Informationen außerhalb des 'Europäischen Wirtschaftsgebiets' verarbeitet werden: 'Indem sie Ihre Bestellung abschicken, stimmen Sie diesem transfer zu.'[Please note that the information you enter will be transferred outside the European Economic Area for the purposes of processing by Amazon.co.uk and its affiliates. By submitting your order, you consent to this transfer.] "

[Stefan Krempl. -- In: Neue Zürcher Zeitung. -- 1999-05-21]

"Solche Methoden [der klassischen Spionage] werden heutzutage nicht mehr gebraucht. Statt dessen erlaubt das Internet den Nachrichtendienstlern, die öffentliche Meinung aus ihren gemütlichen Büros heraus zu überwachen - und das sogar ohne Gesetzesübertretung. Man braucht keinen Durchsuchungsbefehl, um die Aktivitäten einer verdächtigen Person im Internet zu studieren, d.h. jeder Geheimdienst kann sich Programme und Tools aus dem Internet beschaffen, um Daten über Dritte zu sammeln. Gleichermaßen braucht auch niemand eine Erlaubnis, um mit Hilfe des Internets Listen mit Leuten zusammenzustellen, die verdächtig sind, in illegale oder umstürzlerische Aktivitäten verwickelt zu sein; eine solche Erlaubnis wird erst fällig, wenn solche Daten auf privaten Systemen - etwa eines Internetproviders abgelegt sind. Mit Hilfe einer gerichtlichen Befugnis kann ein Nachrichtendienst jedoch beispielsweise auf die Protokolldateien des Providers, gespeicherte E-Mails (soweit vorhanden) und beliebige andere Daten zugreifen, die in Zusammenhang mit einem Verdächtigen stehen.

Wenn Sie radikale politische Ansichten vertreten, dann sollten Sie diese für sich behalten (oder einen Fortgeschrittenenkurs für Kryptografie besuchen), denn die modernen Suchmaschinen sind in der Lage, Newsgroup-Beiträge sogar nach Personengruppen (wie beispielsweise nach Mitgliedern einer kriminellen Vereinigung) zu kategorisieren. Sie können Ihren letzten Heller darauf verwetten, dass Kirk Lyons, Rechtsanwalt amerikanischer Neonazis (sein Klientenverzeichnis liest sich wie ein »Wer ist wer?« der Rassisten in den USA), strikt vom FBI überwacht wird.

Seien Sie also gewarnt: Das Usenet ist keinesfalls ein Forum, in dem Sie Ihr Recht auf freie Meinungsäußerung entfalten sollten, sondern vielmehr ein Ort, wo Sie sich der ganzen Welt ungeschützt ausliefern. Und das ist erst der Anfang: 60 Prozent aller Websites, die Sie besuchen, protokollieren Ihre Bewegungen (und bei den großen Kommerzsites sind es wohl sogar 80 Prozent). Die Fortschritte bei der digitalen Schnüffelei ermöglichen es inzwischen fast jedem, der einen Computer bedienen kann, zum elektronischen Spitzel zu werden.

Vor kurzem hat das FBI Carnivore vorgestellt. Carnivore ist ein System, das sich in ein Computernetzwerk hängt und dann die gesamte Netzwerkkommunikation überwacht. Das System hat zu einem Aufschrei bei amerikanischen Anwälten geführt, vorzugsweise weil es geeignet ist, nicht nur einen einzelnen (oder eine Gruppe von) Verdächtigen zu belauern, der (oder die) zu Recht überwacht wird, sondern den gesamten Datenverkehr aufzuzeichnen, der in diesem System auftritt. Neulich wurden dann - erzwungen auf der Basis des amerikanischen Grundrechts auf Informationsfreiheit - etwa 600 Dokumente veröffentlicht, die mit Carnivore im Zusammenhang stehen. Aus diesen Informationen hat SecurityFocus.com einen interessanten Überblick zusammengestellt:

Dokumente, die dem EPIC (Electronic Privacy Information Center, Informationszentrum zum Schutz der Privatsphäre im Bereich digitaler Daten) infolge des Rechts auf Informationsfreiheit zugekommen sind, legen dar, dass »Carnivore« in der Lage ist, alle Aktivitäten des Überwachungsobjekts (vulgo: Verdächtigen) im Internet zu überwachen und - in Kombination mit anderen Tools des FBI - Webseiten so zu rekonstruieren, wie sie das Überwachungsobjekt beim Surfen im Internet zu sehen bekam.

Zugegeben, das ist praktisch zum Aufspüren und Überwachen illegaler Aktivitäten von Verdächtigen, aber was ist mit all den unschuldigen Benutzern, deren Privatsphäre unbemerkt verletzt wurde? Das FBI teilt der Öffentlichkeit jedenfalls nicht mit, was es mit den von Carnivore gesammelten Daten anstellt.

WEGWEISER

Wenn Sie am Carnivore-System interessiert sind, dann sollten Sie sich den Artikel »Carnivore Details Emerge« von Kevin Poulsen unter http://online.securityfocus.com/news/97[. -- Zugriff am 2002-05-26] nicht entgehen lassen. Viele weitere Informationen finden Sie auch auf der Site des EPIC unter http://www.epic.org/privacy/carnivore/foia_documents.html[. -- Zugriff am 2002-05-26] ."

[anonymous: Der neue Hacker's Guide : Sicherheit im Internet und im lokalen Netz. -- München : Markt + Technik, ©2001. -- ISBN 3827259312. -- S. 183f. {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

"The Moral High Ground

Here is a simple but workable policy that we recommend for web sites that are interested in respecting personal privacy:

  • Do not require users to register to use your site.
  • Allow users to register with their email addresses if they wish to receive bulletins.
  • Do not share a user's email address with another entity without that user's explicit permission for each organization with which you wish to share the email address.
  • Whenever you send an email message to users, explain to them how you obtained their email addresses and how they can get their addresses off your mailing list.
  • Do not make your log files publicly accessible.
  • Delete your log files when they are no longer needed.
  • If your log files must be kept online for extended periods of tune, remove personally identifiable information from them.
  • Encrypt your log files if possible.
  • Do not give out personal information regarding your users.
  • Discipline or fire employees who violate your privacy policy.
  • Tell people about your policy on your home page, and allow your company to be audited by outsiders if there are questions regarding your policies."

 [Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. -- S. 601. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Eine Internet-Norm zur Angabe darüber, wie auf einer Website mit der Privatsphäre des Benutzers umgegangen wird, ist das Platform for Privacy Preferences Project (P3P):

"The Platform for Privacy Preferences Project (P3P), developed by the World Wide Web Consortium, is emerging as an industry standard providing a simple, automated way for users to gain more control over the use of personal information on Web sites they visit. At its most basic level, P3P is a standardized set of multiple-choice questions, covering all the major aspects of a Web site's privacy policies. Taken together, they present a clear snapshot of how a site handles personal information about its users. P3P-enabled Web sites make this information available in a standard, machine-readable format. P3P enabled browsers can "read" this snapshot automatically and compare it to the consumer's own set of privacy preferences. P3P enhances user control by putting privacy policies where users can find them, in a form users can understand, and, most importantly, enables users to act on what they see."

[Quelle: http://www.w3.org/P3P/. -- Zugriff am 2002-05-23] 

Microsofts Internet Explorer 6.0 unterstützt beschränkt P3P.


6B.4.11. E-mail Bomben und Spamming



Abb.:Aufforderung der University of Wisconsin <Madison> an die Universitätsangehörigen, nicht bei Spamming mitzuwirken [Bildquelle: http://wiscinfo.doit.wisc.edu/badgirt/ror/spam.gif. -- Zugriff am 2002-05-21]

E-mail Bomben: das Opfer wird mittels entsprechender Programme ständig mit der gleichen mail "bombardiert". Spamming ist das Zusenden von unerwünschter e-mail (vor allem Werbung). Beides stiehlt dem Empfänger Speicherplatz und Zeit, ja kann zum Zusammenbruch eines Systems wegen Zumüllung der Festplatten führen.

"Die Versprechen des Internets ins Absurde verkehrt

Wie machtlos Gesetze gegenüber den ohnehin meist anonym und aus dem digitalen Niemandsland operierenden Spammern sind, beweist die »Opt-Out«-Option, die heutzutage die Fußzeile vieler Spams schmückt. Wer auf das gnädige Angebot, an eine so genannte »Remove«-Adresse zu antworten, um angeblich ein für allemal aus dem Verteiler gestrichen zu werden, eingeht, kommt in der Regel vom Regen in die Traufe. Die Spammer erhalten die wertvolle Bestätigung, dass sich hinter der E-Mail-Adresse eine real existierende Person verbirgt und vervielfachen sogar die Frequenz der Attacken. Vollkommen hilflos sind alle Filter und Gesetze gegenüber einer besonders perfiden Abart des Spammings. Wie eine elektronische Plage breiten sich Kettenbriefe im Netz aus, bei denen die Empfänger aus ebenso durchsichtigen wie undurchsichtigen Gründen angehalten werden, die E-Mail an möglichst viele Adressaten weiterzuleiten. Appelliert wird dabei nicht nur an die Habgier, sondern immer öfter auch an die Gutmütigkeit: Krebskranken Kindern einen letzten Wunsch zu erfüllen, afghanische Frauen vom Schleierzwang zu erlösen, Nazis aus Newsgroups zu verbannen sind die Vorwände für fadenscheinige und völlig überflüssige Rundsendungen, die jahrelang kursieren und letztlich auch seriöse, weil ordentlich datierte und mit gültigen Absender- und Webadressen versehene Kampagnen in Misskredit bringen.

Spam wird es wahrscheinlich so lange geben, solange es Menschen gibt, die darauf hereinfallen. ...

Vom Neurotiker bis zum Spam-Liebhaber

Wer Opfer von Spamming wird, kann im Prinzip zwischen drei verschiedenen Reaktionen wählen:

  • Die vernünftigste dürfte wohl darin bestehen, die unerwünschte E-Mail ebenso zu ignorieren wie die Prospekte von großen Einkaufshäusern, die spätnachmittags den Briefkasten vollstopfen, oder wild plakatierte Konzertankündigungen.
  • Die neurotische Variante ist ebenfalls aus der Offline-Welt bekannt: Woche für Woche versuchen gereizte Nachbarn aufs Neue, Halbwüchsige, die sich mit dem Austragen von Gratis-Drucksachen ihre erste Mark selbst verdienen, auf die Einhaltung von kleinen »Werbung verboten! «-Plaketten zu verpflichten. Solche Charaktere scheinen mittlerweile den Sprung in die Online-Welt geschafft zu haben und antworten auf jede Veranstaltungsankündigung mit einer automatisch generierten Mitteilung an die »abuse.net«-Clearingstelle.
  • Die dritte und vielleicht raffinierteste Antwort aber lautet: Spam zu goutieren oder gar zu verklären."

 [Florian Schneider. -- In: Netzpiraten : die Kultur des elektronischen Verbrechens / Armin Medosch ... (Hrsg.) -- Hannover : Heise, ©2001. -- (Telepolis). -- ISBN 3882291885. -- S. 110f. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.4.12. List-Linking


List linking: das Opfer wird mittels spezieller Programme ohne sein Wissen bei verschiedenen (möglichst regen) Mailing-Lists subskribiert: dadurch wird sein e-mail-Postfach überflutet.


6B.4.13. Flash bombs und war scripts


Flash bombs und War scripts: stören IRC (Internet Relay Chat)


6B.4.14. Denial-of-service attacks



Abb.: Denial-of-service Attacke auf Windows 2000 [Bildquelle: http://www.lac.co.jp/security/english/snsadv_e/21_e.html. -- Zugriff am 2002-05-22]

Denial-of-service attacks: Techniken, mit denen ein Service so überlastet wird, dass er zusammenbricht. Wird manchmal von Wettbewerbern verwendet, um die Kunden z.B. eines Internet Service Providers unzufrieden zu machen. Kann bei großen Anbietern Schäden (durch Ausfall) in mehrstelliger Millionenhöhe bewirken."

"Bei »Distributed Denial of Service «-Attacken (DDoS) geht es im Grundprinzip darum, einen Server mit möglichst so vielen Datenpaketen zu bombardieren, dass die ihm zur Verfügung stehende Bandbreite an Internetanbindung durch diesen unerwünschten Traffic verstopft wird, so dass »normale« Datenpakete, also z.B. Webserver-Abfragen von an dessen Angebot interessierten Usern, nicht mehr durchkommen. Die Methoden für diese Art von Angriffen haben sich mit der Entwicklung verschiedener Formen von DDoS-Attacken verfeinert. Über einschlägige Kanäle erhältliche Programme wie »Stacheldraht« oder »Tribal Flood  Net« geben relativ unerfahrenen Usern mächtige Angriffswaffen in die Hände, was den Medien-Hype über Script Kiddies nur weiter beflügelte. Doch jugendliche Hacker wollen sich eigentlich gar nicht mit diesem Begriff bezeichnet sehen und können sehr unwirsch reagieren, wenn sie sich zu Unrecht in diese Kategorie gesteckt fühlen.

 Diese Erfahrung machte der Computerfachmann Steve Gibson, dessen Firmenserver Opfer eines fortgesetzten DDoS-Angriffs wurde. In dem Fall, den er selbst im Netz ausführlich dokumentiert hat, fand eine DDoS-Attacke von über 400 weltweit verstreuten Windows-PCs aus statt, in die der Angreifer kleine Scripte (»Zombie« oder »Bot« genannt) eingeschleust hatte und die über spezielle IRC-Kanäle von ihrem »Herrn« gesteuert wurden. Die Anbindung von Gibsons Firma GRC ans Internet wurde mit riesigen Datenpaketen völlig überflutet. Da die Angriffe nicht aufhörten, machte sich der Betroffene auf zu Ermittlungen im Netz-Underground. Dank seiner Fähigkeiten als Althacker gelang es ihm, einen 13-Jährigen, der unter dem Nickname »Wicked« auftrat, als Urheber zu identifizieren und über eine Forumsseite mit ihm in Dialog zu treten. Wicked gab zu, Urheber der Angriffe zu sein, weil er aus zweiter Hand gehört habe, dass Gibson ihn als Script Kiddie bezeichnet hätte. Seine Netzanbindung habe er überflutet, um ihm seine Macht zu demonstrieren. Gibson, der durch eine kathartische Erfahrung gegangen war, schlussfolgerte,

  • dass er trotz aller Kenntnisse diesen Angriffen gegenüber wehrlos ist, folglich bekannte er, »ich gebe auf, du hast gewonnen«,
  • dass die Verletzlichkeit von Microsoft-Betriebssystemen, als »Zombies« für DDoS-Angriffe übernommen zu werden, einen Kern des Übels ausmacht und sich mit neuen Generationen, Windows 2000 und Windows XP noch verschlimmern werde,
  • dass ihm die Provider der User-Rechner, die als »Zombies« befallen wurden, nicht helfen konnten oder wollten bzw. einfach die Augen schlössen und
  • dass ihm auch das FBI nicht helfen konnte oder wollte.

Erst nachdem er seine Niederlage eingestanden hatte und seinem Gegenüber vermitteln konnte, dass er besagte Äußerung bezüglich »Script Kiddie« nie gemacht hatte, hörten »Wickeds« Attacken freiwillig auf. Gibson macht sich in der Folge daran, ein Tool gegen DDoS-Attacken zu entwickeln."

[Armin Medosch. -- In: Netzpiraten : die Kultur des elektronischen Verbrechens / Armin Medosch ... (Hrsg.) -- Hannover : Heise, ©2001. -- (Telepolis). -- ISBN 3882291885. -- S. 121f. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.4.15. Logische Bomben (logic bombs)


Logische Bomben (logic bombs): In Programmen versteckte gefährliche Programmteile, die durch bestimmte Ereignisse (bestimmtes Datum, Anwesenheit bestimmter anderer Files usw.) ausgelöst werden. Logische Bomben werden von Programmierern u.a. zu Erpressungsversuchen verwendet.
"Es ist nicht sicher, wann die erste Software-Bombe identifiziert wurde, aber ein klassisches Beispiel gab es 1988, als in einem Unternehmen in Texas namens IRA 168.000 Einträge der Gehaltsabrechnung gelöscht wurden. Der Grund war eine logische Bombe, die von einem Mitarbeiter mit dem Namen Burleson eingeschleust und sechs Monate nach dessen Weggang vom Unternehmen ausgelöst wurde."

[anonymous: Der neue Hacker's Guide : Sicherheit im Internet und im lokalen Netz. -- München : Markt + Technik, ©2001. -- ISBN 3827259312. -- S. 750. {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.4.16. Viren (viruses)


Ein Virus ist eine Codesequenz, die in ein Programm so eingebaut ist, dass sie bei der Ausführung des Programms ausgeführt wird und (zusätzlich) bewirkt, dass eine Kopie des Virus in andere Programme kopiert wird. Viren können isoliert nicht als Programm ablaufen, sondern sie brauchen ein Wirtsprogramm, als dessen Teil sie ausgeführt werden können.
Unterscheide:

Die häufigsten Wirkungen von Viren sind:

Ratschläge zur Vorbeugung von Virenbefall
  • "Lassen Sie alle [Virus-]Warnungen von Ihrer IT-Abteilung überprüfen. Wenn Sie selbst Manager oder Administrator sind, stellen Sie sicher, dass es eine allgemein bekannte Richtlinie gibt, nach der nur autorisierte Mitarbeiter Warnungen weitergeben dürfen. Dies verhindert Panikreaktionen, schränkt die Verbreitung von Hoaxes und anderen Fehlinformationen ein und verringert das Risiko, dass falsche Aktionen ausgeführt werden, was manchmal schlimmer sein kann als keine Aktion.
  • Vertrauen Sie niemals Anhängen in Ihren E-Mail-Nachrichten. Der Absender hat vielleicht keine bösartigen Absichten, aber möglicherweise hat er auch keine aktuelle Anti-Virus-Software. [Und vermeiden Sie selbst, anderen e-mail-Anhänge zu schicken, wenn es nicht unbedingt nötig ist. Bedenken Sie: unnötige e-mail-Anhänge sind eine Gefährdung ihres mail-Partners und damit eine grobe Unhöflichkeit!]
  • Denken Sie daran, dass Opfer von Wurmangriffen oft nicht wissen, dass sie Ihnen ein infiziertes E-Mail-Attachment gesendet haben. Es gibt keinen vertrauenswürdigen Account. Wenn Ihnen jemand ein Attachment sendet, den Sie nicht erwarten, überprüfen Sie, ob der Absender einen berechtigten Grund dafür hatte.
  • Verwenden Sie Anti-Virus-Software, und aktualisieren Sie diese regelmäßig. Fallen Sie aber nicht der Annahme zum Opfer, dass die aktuellsten Updates Sie unverwundbar machen.
  • Deaktivieren Sie den Windows Scripting Host, wenn Ihre Umgebung das zulässt.
  • Wenn Sie für Makroviren anfällige Anwendungen wie Word benutzen, stellen Sie sicher, dass Makros nicht standardmäßig aktiviert sind. In aktuellen Office-Versionen können Sie Makros als Standardoption in einem Dokument deaktivieren. Wenn Sie ein Dokument mit Makros aus einer vertrauenswürdigen Quelle erhalten, bitten Sie um eine Rückversicherung. Aber vertrauen Sie dieser Option nicht vollkommen.
  • Deaktivieren Sie das standardmäßige Booten von Disketten in den CMOS-Einstellungen. (Damit wird die Infizierung durch reine Boot-Sektor-Viren verhindert.)
  • Wenden Sie die aktuellsten Patches für Ihren Browser, Ihren Mail-Client, für Anwendungen, die Makros ermöglichen, und andere anfällige Anwendungen an.
  • Sichern, sichern, sichern."

[anonymous: Der neue Hacker's Guide : Sicherheit im Internet und im lokalen Netz. -- München : Markt + Technik, ©2001. -- ISBN 3827259312. --  S. 428f. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Weiterführende Ressourcen zu Viren:

Organisationen:

FAQ:

USENET:


6B.4.17. Würmer (worms)


Würmer sind Programme, die von Computer zu Computer kriechen, ohne selbst Programme auf den infizierten Computern zu verändern. Würmer können allerdings mit sich weitere Programme transportieren, die Programme auf den Wirtsmaschinen verändern


Abb.: e-mail mit dem berühmten Love-letter-Wurm, der am 2002-05-04 sich infolge der Dummheit von e-mail-Empfängern innerhalb weniger Stunden auf vielen Millionen Computern verbreiten konnte


6B.4.18. Bakterien (Kaninchen) (bacteria, rabbits)


Bakterien (Kaninchen) sind Programme, deren einzige Aufgabe es ist, sich so immens zu vermehren, dass sie einen Computer oder ein Netzwerk lahmlegen .

6B.4.19. Veränderung des Inhalts von Websites (tagging)


So kann z.B. eine Website so umgestaltet werden, dass sie dem Benutzer vorspiegelt, ihn zu einer (sicheren) Website des Websitebesitzers zu leiten, in Wirklichkeit leitet sie auf einen vom Angreifer kontrollierten Server (Fake), wo der ahnungslose Benutzer aufgefordert wird, Passwort usw. einzugeben, oder wo Trojanische Pferde als angebliche Updates von Zugangssoftware zum Herunterladen angeboten bekommt. Dies zeigt die Notwendigkeit, dass es nicht genügt, nur die Server mit strengen Sicherheitsvorkehrungen zu versehen, die selbst sicherheitsrelevanten Vorgängen dienen, sondern alle Server des Unternehmens!
"Aufgrund der vorliegenden Informationen über Design und Funktionsweise der entsprechenden Seite beginnt man nun einen Fake zu bauen. Dieser Fake würde den eigentlichen E-Banking-Rechner »spiegeln«, d.h. man leitet den Kunden von der Präsentation der lokalen Sparkasse durch den veränderten Link Zum Konto oder Onlinebanking direkt auf den Fake. Der Kunde hat nun dieselben Informationen und Optionen vor sich wie auf dem eigentlichen E-Banking-Rechner. Wenn nun z.B. bei einer Überweisung Eingaben gemacht werden, landen diese Daten dann in einer Logdatei. Da sämtliche Transaktionen nicht ausgeführt werden, sondern nur in die Logdateien wandern, sind die Transaktionsnummern weiterhin gültig. Zu Risiken und Nebenwirkungen fragen Sie Ihren Bankberater."

[Vosseberg, Thomas: hackerz book : so greifen Hacker PC's an. -- Poing : Franzis, ©2002. -- ISBN 3772363458. -- S. 58. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.4.20. Safe Hex


Viren, Würmer, Trojanische Pferde und Kaninchen können u.a. auf folgende Weisen in ein System kommen:

Vor Viren usw. schützt am besten Safe Hex (d.h. entsprechende Vorsichtsmaßnahmen, die der gesunde Menschenverstand vorgibt) plus regelmäßiger Checks mittels entsprechender Anti-Viren Software. Die einzige Möglichkeit, 100%ig gegen Viren usw. geschützt zu sein, ist, den Computer niemals zu starten oder zu benutzen (selbst in autorisierten Betriebssystemen kann ein böser Firmenmitarbeiter einen Virus versteckt haben!).


6B.5. Übersicht über die OSI Security Architecture


ISO hat zu OSI eine Security Architecture entwickelt (ISO 7498-2: OSI Basic Reference Model-Part 2: Security Architecture)). Darin werden die möglichen Sicherheitsmaßnahmen für die einzelnen Schichten behandelt.

Verschlüsselung Layer 1-7
Signaturen Layer 3,4,7
Zugriffskontrolle Layer 3,4,7
Daten-Integrität Layer 3,4,7
Berechtigungsnachweis Layer 3,4,7
Traffic-Padding Layer 1,3,6,7
Routing-Control Layer 1,3,7
Notarization Layer 7

Standards:

z.Zt. arbeiten ca. 40 Arbeitsgruppen an Sicherheitsstandards.


6B.6. Sicherheitsvorkehrungen


"Vorbeugen ist besser als heulen" gilt uneingeschränkt auch hier.


6B.6.1. Kompetente und zuverlässige Systemadministratoren


Gute Systemadministratoren erkennen und beheben ein Problem bevor die Nutzer etwas davon merken. Für den Benutzer muss das System auch in Sicherheitshinsicht möglichst transparent sein, d.h. er soll die Sicherheitsmaßnahmen nicht bemerken, sondern sich auf die Sicherheit des Systems verlassen können. Gute Systemadministratoren scannen z.B. sowohl ausgehende als auch einkommende e-mail auf Viren, Würmer u.ä. und lassen solche e-mail gar nicht weitergehen. Bei Befall von ausgehender e-mail wird der (evtl. unwissende) Absender sofort benachrichtigt und sein Konto bis zur Entfernung des Virus usw. gesperrt.

Bei guten (und teuren!) Hardware- und Software-Sicherheitssystemen muss darauf geachtet werden, dass die Administratoren die entsprechende (sehr komplexe!) Fachkunde haben bzw. sich umgehend erwerben, um die Sicherheitssysteme entsprechend zu konfigurieren, zu warten und die Logfiles und anderen Meldungen der Sicherheitssysteme auswerten zu können.


6B.6.2. Klare Richtlinien für Sicherheit und für den Notfall


Sicherheitsrichtlinien dürfen nicht nur im Kopf der Sicherheitsverantwortlichen existieren (oder meist nicht existieren), sondern müssen ausformuliert vorliegen. Die Punkte, die für die einzelnen Mitarbeiter wichtig sind, müssen so wie Richtlinien für den Brandfall oder Unfälle an leicht zugänglicher Stelle ausgehängt sein.

"Die meisten technisch orientierten Leute halten eine einheitliche und öffentliche Sicherheitspolitik für theoretisch wünschenswert, glauben aber aufgrund persönlicher Erfahrungen, dass es extrem schwierig ist, dieses Ziel zu erreichen. Spricht man zum Beispiel mit einem beliebigen Systemadministrator über das Thema Benutzer und Passwörter, muss man höchstwahrscheinlich einen langen Redeschwall über sich ergehen lassen. Jeder kennt eine Anekdote über die Unfähigkeit der Leute, mit Passwörtern umzugehen - dem einfachsten und verständlichsten Sicherheitsthema. Sei es der Professor, der behauptet, er sei so wichtig, dass er kein gutes Passwort brauche, oder der Mathematiker, der ein anderes Passwort benutzen sollte, da seines in einem englischen Wörterbuch stand (er erwiderte, dass er nicht das englische Wort benutze, sondern das gleich lautende russische Wort - und russische Wörter habe ihm niemand verboten). Solche Erfahrungen bestärken Systemadministratoren in der Meinung, ihre Benutzer seien nicht in der Lage, Sicherheitsfragen auf intelligente Art zu behandeln."

 [Zwicky, Elizabeth D. ; Cooper, Simon ; Chapman, D. Brent: Einrichten von Internet Firewalls. -- 2. Aufl. -- Beijing [u.a.] : O'Reilly, ©2001. -- ISBN 3897211696. -- S. 758. -- Originaltitel: Building Internet firewalls (2000). -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Die Sicherheitsrichtlinien müssen einen vernünftigen Kompromiss darstellen zwischen den Anforderungen

"Es ist unwahrscheinlich, dass Ihre Politik Sicherheit um jeden Preis verlangt, denn eine solche Politik wäre irrational. Es ist sinnvoll, andere Dinge so hoch zu bewerten, dass eine Einschränkung der Sicherheit gerechtfertigt ist.

Die meisten Häuser ließen sich durch Gitter vor den Fenstern besser absichern. Obwohl sich die meisten Leute besser schützen wollen, bringen sie keine Gitter vor den Fenstern an. Es gibt mehrere Gründe für diese bewusste Einschränkung der Sicherheit. Zunächst sind Gitter teuer und verhindern viele Verwendungszwecke eines Fensters (z.B. hindurchsehen oder bei einem Brand hinausklettern zu können). Viele Leute nehmen für andere Lösungen Kosten und Unbequemlichkeiten auf sich. Damit vermeiden sie vergitterte Fenster, selbst wenn das die billigste und bequemste Lösung wäre - aber es sieht schrecklich aus und verursacht Beklemmungen."

[Zwicky, Elizabeth D. ; Cooper, Simon ; Chapman, D. Brent: Einrichten von Internet Firewalls. -- 2. Aufl. -- Beijing [u.a.] : O'Reilly, ©2001. -- ISBN 3897211696. -- S. 759. -- Originaltitel: Building Internet firewalls (2000). -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

"Sie müssen sich darüber im klaren sein, dass unterschiedliche Leute ganz unterschiedliche Bedenken haben. Diese Vorbehalte hängen meist mit der jeweiligen Position zusammen, können aber auch persönliche Ursachen haben. Einige Beispiele:
  • Der Finanzchef macht sich Sorgen über die Kosten für die Sicherheit oder die Kosten, die durch zu geringe Sicherheit entstehen können. 
  • Der Direktor hat Angst vor negativen Schlagzeilen nach einem sicherheitsrelevanten Vorfall an Ihrem Standort oder dem möglichen Verlust oder Diebstahl geistigen Eigentums über das Internet oder andere Netzwerkverbindungen.
  • Ein Abteilungsleiter befürchtet die Veröffentlichung vertraulicher Berichte.
  • Ein Angehöriger des mittleren Managements möchte verhindern, dass seine Angestellten ihre gesamte Zeit mit Usenet-News oder im World Wide Web vergeuden.
  • Ein anderer Manager denkt an Viren in infizierter PC-Software aus dem Internet.
  • Wieder ein anderer Manager ist damit befasst,. Kunden den bestmöglichen Support über das Internet zu bieten.
  • Ein Professor möchte verhindern, dass andere Institutionen während seines Forschungssemesters auf seine Daten zugreifen können.
  • Ein Dozent befürchtet, dass Studenten die Lösungen für Tests von anderen Studenten stehlen oder sich die Tests gleich von den Dozenten besorgen.
  • Für die Benutzer müssen die Internet-Dienste verfügbar sein, die für ihre Arbeit wichtig sind.
  • Die Benutzer befürchten, bei zu hohen Sicherheitsauflagen nicht mehr zusammenarbeiten zu können.
  • Studenten befürchten, nicht mehr mit den Computern spielen zu können. Das ist aber Teil ihrer Ausbildung.
  • Diplomanden und Projektleiter hegen die Befürchtung, dass die Sicherheitsmaßnahmen zeitkritische Projekte behindern.

Sie müssen sich die Zeit nehmen, all diese unterschiedlichen und legitimen Bedürfnisse kennenzulernen und zu berücksichtigen. Vielleicht kommen Sie auch zu dem Schluss, dass sich die Leute über etwas Sorgen machen sollten, das ihnen gar nicht bewusst ist. Sie müssen sie über solche Fragen aufklären. Daher müssen Sie verstehen, welche Aufgabe sie erledigen, was sie vom Netz erwarten und wie hoch sie die Bedeutung der Sicherheitsmaßnahmen einschätzen. "

[Zwicky, Elizabeth D. ; Cooper, Simon ; Chapman, D. Brent: Einrichten von Internet Firewalls. -- 2. Aufl. -- Beijing [u.a.] : O'Reilly, ©2001. -- ISBN 3897211696. -- S. 770f. -- Originaltitel: Building Internet firewalls (2000). -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Es muss auch ein ausformulierter Notfallplan (Checkliste!) existieren, was im Ernstfall einer schweren Sicherheitsattacke schrittweise durchzuführen ist.

Weiterführende Ressourcen zum Notfallplan


6B.6.3. Regelmäßige und systematische Backups


Regelmäßige und systematische Backups (Sicherung auf externe Speichermedien oder andere Computer) erhöhen die Sicherheit in folgenden Fällen erheblich:

Systematische Backups bestehen aus Backups folgender Schichten:

"A Classic Case of Backup Horror

Sometimes, the weakest link in the backup chain is the human responsible for making the backup. Even when everything is automated and requires little thought, things can go badly awry. The following was presented to one of the authors as a true story. The names and agency have been omitted for obvious reasons.

It seems that a government agency had hired a new night operator to do the backups of their Unix systems. The operator indicated that she had prior computer operations experience. Even if she hadn't, that was okay—little was needed in this job because the backup was largely the result of an automated script. All the operator had to do was log in at the terminal in the machine room located next to the tape cabinet, start up a command script, and follow the directions. The large disk array would then be backed up with the correct options.

All went fine for several months, until one morning, the system administrator met the operator leaving. She was asked how the job was going. "Fine," she replied. Then the system administrator asked if she needed some extra tapes to go with the tapes she was using every night—he noticed that the disks were getting nearer to full capacity as they approached the end of the fiscal year. He was met by a blank stare and the chilling reply, "What tapes?"

Further investigation revealed that the operator didn't know she was responsible for selecting tapes from the cabinet and mounting them. When she started the command file (using the Unix dump program), it would pause while mapping the sectors on disk that it needed to write to tape. She would wait a few minutes, see no message, and assume that the backup was proceeding. She would then retire to the lounge to read.

Meanwhile, the tape program would, after some time, begin prompting the operator to mount a tape and press the return key. No tape was forthcoming, however, and the mandatory security software installed on the system logged out the terminal and cleared the screen after 60 minutes of no typing. The operator would come back some hours later and see no error messages of any kind.

The panicked supervisor immediately started day-zero dumps of all the computer's disks. Fortunately, the system didn't crash during the process. Procedures were changed, and the operator was given more complete training.

How do you know if the people doing your backups are doing them correctly?"

 [Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. --  S. 291. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.6.4. Gute Sicherheitssysteme (Hardware und Software)


Ohne dem Sicherheitsbedürfnis entsprechende gute Hardware-Firewalls und Sicherheitssoftware (Virenscanner usw.) geht es seit die Attacken epidemieartig zugenommen haben leider nicht mehr. Leider sind inzwischen leistungsfähige Mittel für Attacken so verbreitet (manche renommierte Verlage machen z.B. mit dem Vertrieb entsprechender Hacker-Tools ein gutes Geschäft), dass auch Systeme, die früher für Hacker uninteressant waren, jetzt häufigen Attacken ausgesetzt sind. Ausführlicheres zu den einzelnen Sicherheitskomponenten siehe unten.


6B.6.5. Äußere Sicherheit


Alle Sicherheitsvorkehrungen helfen wenig, wenn ein Server nicht sicher aufgestellt oder aufbewahrt ist. Sonst wird einfach der ganze Server oder seine Festplatte gestohlen. Auch für Clientcomputer ist physische Sicherheit wichtig, dass z.B. nicht jeder mobbende Kollege ohne weiteres den Computer seiner ungeliebten Kollegin in Betrieb setzen kann. Besonders gefährdet sind tragbare Computer (Laptops). Für sie gelten die gleichen Regeln gesunden Menschenverstandes wie für Brieftaschen. Es kann aber nützlich sein, alles Sicherheitssensitive auf dem Laptop zu verschlüsseln.


6B.6.6. Schwachstellenscanner


Jedes System muss regelmäßig auf die bis dahin bekannten Sicherheitsschwachstellen gecheckt werden. Eine aktuelle Liste der 20 häufigsten Sicherheitsschwachpunkte findet man unter:

http://www.sans.org/top20.htm. -- Zugriff am 2002-05-26

Mit dieser Liste kann man selbst das eigene System auf Schwachstellen checken.

Man kann auch Schwachstellenscanner einsetzen, das sind Programme, die ein System nach bekannten Sicherheitslücken absuchen. Frühe solche Programme waren:

Zur Zeit werden folgende Freeware-Schwachstellenscanner empfohlen:


6B.6.7. Intrusion-Detection-Systeme (IDS)


Intrusion Detection ist das Erkennen unerlaubter Handlungen seitens eines Unbefugten zum Zweck des Zugriffs auf ein System. Intrusion Detection Systeme sind Alarmanlagen für Anomalitäten und eventuelle Angriffe, keine Zugriffssteuerung (wie Firewalls), manche von ihnen können für eine Interaktion mit Firewalls konfiguriert werden.

Es gibt verschiedene Typen solcher Systeme, die wichtigsten sind:

Ein Freeware IDS ist

SNORT. -- URL: http://www.snort.org/. -- Zugriff am 2002-05-26

Eine administratorenfreundlichere Ausgabe von SNORT ist

ACID. -- URL: http://www.cert.org/kb/acid/. -- Zugriff am 2002-05-26


6B.6.8. Protokollierung (Buchführung, Auditing)


Eine nicht-löschbare und nicht-veränderbare Buchführung (Protokollierung) über Transaktionen ist nötig, um feststellen zu können, worauf Sicherheits-Probleme zurückzuführen sind. Auch zum gerichtlichen oder außergerichtlichen Nachweis einer Schädigung oder zum schadensersatzrelevanten Nachweis, dass eine Schädigung durch einen Teilnehmer des eigenen Systems nicht durch Fahrlässigkeit des Administrators ermöglicht wurden, sind Protokolle unerlässlich.


6B.7. Firewalls


Ein Firewall (Feuermauer) ist eine Hardware-Lösung, um ein Netzwerk bzw. ein Teilnetzwerk abzuschirmen. Ein Firewall beschränkt den Zugriff zwischen einem durch ihn geschützten Netzwerk und dem Internet oder zwischen mehreren Netzwerken (Teilnetzwerken). Der Verkehr zwischen geschütztem Netzwerk und Außenwelt ist nur über einen Router (Screening router) möglich oder über einen Computer (sog. Proxy Server) , der die Aufgabe eines Gateway hat. Durch entsprechende Vorkehrungen in Software und Hardware kann ein sehr hoher Abschirmungsgrad erreicht werden.

Oft denkt man bei Firewalls nur an die Bedrohungen vom Internet, aber wohl ebenso häufig sind Netzwerke von betriebsinternen Nutzern (Rache, Spionage, Mobbing ...) bedroht. So sind innerbetriebliche Firewalls (und andere Sicherheitsvorkehrungen!) ebenso von großer Bedeutung.

Die Sicherheitsexperten Garfinkel und Spafford warnen:

"One problem with firewalls is that organizations tend to adopt laxer internal security controls once a firewall is deployed. After all, the thinking goes, if a firewall is deployed and is keeping out the bad guys, why bother with internal controls such as encryption and passwords? The problem with this thinking is that it overlooks the fact that many attacks come from trusted insiders — according to the FBI, organizations should assume that 1% of their employees are malicious and acting against the organization's interests. Another problem with lax internal controls is that occasionally firewalls are bypassed; without strong internal controls, a failed or bypassed firewall will leave the organization wide open."

[Garfinkel, Simson ; Spafford, Gene: Web security, privacy & commerce. -- Baijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. -- S. 431. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Firewalls können:

Firewalls können nicht

Ein Firewall kann:

Die Grundfunktionen eines Firewall sind:

Zu diesen Grundfunktionen kommen heute meist folgende Funktionen hinzu

Ein Firewall besteht aus drei "Komponenten":

Man unterscheidet drei Haupttypen von Firewalls:

cmc0623.gif (10353 Byte)

Abb.: Proxy Server teilen den Datenverkehr in einen internen und einen externen auf: der interne Datenverkehr (und damit z.B. die IP-Adressen) ist völlig abgeschirmt vom externen Datenverkehr. Bei Zugriffen von internen Clients auf externe Server, wird interner Datenfluss durch Umpaketierung im Proxy in externen Datenfluss übersetzt.

Man unterscheidet:

Mögliche Konfigurationen Webserver-Firewall-LANs

cmc0626.gif (6594 Byte)

Abb.: Firewall zwischen Webserver und LAN

cmc0627.gif (6345 Byte)

Abb.: Firewall zwischen Internet und Webserver + LAN

cmc0628.gif (8711 Byte)

Abb.: Zwei Firewalls, Abschirmung der inneren LANs gegeneinander durch Firewalls, Verbindung der inneren LANs durch äußeres LAN

Oft verwenden Firewalls, um Eindringlinge zu täuschen sacrificial hosts oder decoys (Köder): Web Server und dergl., die dem Eindringling vorgaukeln, dass er ins innere Netzwerk oder ins System eingebrochen ist, die aber in Wirklichkeit nicht zum inneren System gehören und die den Eindringling so ablenken.

Für Firewalls gibt es den IETF (Internet Engineering Task Force) Standard SOCKS. Näheres s.:

About SOCKS. -- URL: http://spiderman.socks.nec.com/aboutsocks.html. -- Zugriff am 2002-04-23

Obwohl Firewall eine sinnvolle Einrichtung sind, gilt auch für die besten Firewalls:

"Firewalls Offer Little Protection

In recent years, many organizations have created firewalls to prevent break-ins from the outside network. But there are many ways that information can be smuggled through even the most sophisticated firewall. Consider:

  • The information could be sent by electronic mail.
  • The information could be encrypted and sent by electronic mail.
  • The information could be sent via HTTP using GET or POST commands.
  • The information could be encoded in domain name service queries.
  • The information could be posted in a Usenet posting, masquerading as a binary file or image.
  • The information could be placed in the data payload area of IP ping packets.
  • An attacker program could scan for the presence of a modem and use it.

Confidential information can be hidden so that it appears innocuous. For example, it can be encrypted, compressed, and put in the message ID of mail messages. The spaces after periods can be modulated to contain information. Word choice itself can be altered to encode data. The timing of packets sent over the network can be modulated to hide still more information. Some data hiding schemes are ingenious; information that is compressed, encrypted, and hidden in this manner is mathematically indistinguishable from noise.

Computers that are left on 24 hours a day can transmit confidential information at night, when such actions are less likely to be observed. They can scan the keyboard for activity and only transmit when the Screensaver is active (indicating that the computer has been left alone)."

 [Garfinkel, Simson ; Spafford, Gene: Web security, privacy & commerce. -- Baijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. -- S. 321. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


Weiterführende Ressourcen zu Firewalls:

Ressourcen in Printform:

Zwicky, Elizabeth D. ; Cooper, Simon ; Chapman, D. Brent: Einrichten von Internet Firewalls. -- 2. Aufl. -- Beijing [u.a.] : O'Reilly, ©2001. -- 904 S. : Ill. --  ISBN 3897211696. -- Originaltitel: Building Internet firewalls (2000). -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.8. Verschlüsselung (encryption, encipherment)


Verschlüsselung wandelt Ausgangsdaten (plaintext) in verschlüsselte Daten (ciphertext) um. Dazu verwendet man eine bestimmte (mathematische) Verschlüsselungsfunktion und ein spezielles Passwort zur Verschlüsselung, den Schlüssel (key).

Schwachpunkte trotz Verschlüsselung:

Kriterien für die Güte (strength) einer Verschlüsselung:

Die Güte der Verschlüsselung ist auch von der Schlüssellänge abhängig. Kurze Schlüssel sind durch Ausprobieren aller möglichen Schlüssel leichter knackbar als lange Schlüssel. Dies gilt uneingeschränkt für Schlüssellängen von 56 Bits, nicht aber unbedingt für längere Schlüssel. Eine Schlüssellänge von 256 Bits bietet nicht unbedingt signifikant mehr wirkliche Sicherheit als eine Schlüssellänge von 168 Bits oder 128 Bits!


Weiterführende Ressourcen zu Verschlüsselung:

FAQ:

Ressourcen in Printform:


6B.8.1. Verschlüsselungsverfahren


Wichtige brauchbare Verschlüsselungsverfahren sind:

Bei der Verschlüsselung (Chiffrierung) unterscheidet man:


6B.8.1.1.  Symmetrische Verfahren: Private Key Encryption


Symmetrische Verfahren nennt man Verfahren, bei denen sowohl zum Verschlüsseln als auch zum Entschlüsseln dieselbe Funktion bzw. derselbe Schlüssel verwendet wird.

Algorithmen, die bei symmetrischen Verfahren üblich sind:

Cracking DES : secrets of encryption research, wiretap politics and chip design / Electronic Frontier Foundation. -- Sebastopol, CA : O'Reilly, 1998. -- ISBN 1565925203. --  ["Es war 5.10 Uhr am Morgen des 15. Juli 1998, als die Electronic Frontier Foundation (EFF) die den Data Encrytion Standard (DES) im DES Challenge II der RSA-Labors geknackt hatte. Der von der EFF gebaute Rechner war eine Sensation: Der erste frei erhältliche Computer, mit dem es möglich war, mit dem 56-Bit-DES-Schlüssel der US-Regierung verschlüsselte Nachrichten einfach zu knacken. " "Cracking DES liegt nur in gedruckter Form vor, da es nach den US-Exportbestimmungen für Verschlüsselungs-Software ein Verbrechen ist, solche Informationen im Internet zu veröffentlichen. Dafür ist dieses Buch so gestaltet, dass das Einscannen in einen Computer sehr einfach ist. Übrigens engagiert sich die EFF natürlich auch gegen solcherlei Exportrestriktionen. "]. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}


6B.8.1.2. Asymmetrische Verfahren: Public Key Encryption


6B.8.1.2.1. Grundzüge von Public Key Encryption


Ein Hauptproblem bei den konventionellen Encryption-Techniken ist, wie man den Schlüssel auf eine sichere Weise unter den Beteiligten verteilen kann. Dieses Problem umgeht Public Key Encryption.

Der Empfänger verschlüsselter Nachrichten besitzt zwei Schlüssel:

Der öffentliche Schlüssel kann veröffentlicht werden und kann offen allen Kommunikationspartnern zur Verfügung gestellt werden. Den privaten Schlüssel besitzt nur der Empfänger und niemand sonst (es gibt für ihn also kein Problem der Verteilung). Will jemand dem Empfänger eine verschlüsselte Nachricht übermitteln, verwendet er zur Verschlüsselung den öffentlichen Schlüssel. Die so verschlüsselte Nachricht kann nur mit dem privaten Schlüssel entschlüsselt werden (nicht mit dem öffentlichen!).

Das Hauptproblem bei Public Key Verfahren ist das Schlüsselmanagement (Verteilung der Public Keys): wie kann ich sicher sein, dass der Public Key auch wirklich der Public Key des Empfängers ist? Eine Lösung sind Schlüsselserver von zertifizierenden Autoritäten (Certification Authority, Trust Center). Grundsätzlich soll man nur Public Keys benutzen, wenn man sich über seine Echtheit sicher sein darf (grundsätzlich keine Public Keys, die man über e-mail, Mailboxen und aus anderen unzuverlässigen Quellen hat).

Ein internationaler Standard für Public Key Zertifikation ist X.509 v3

Data:

Version: 0 (OxO)
Serial Number: 02:41:00:00:01
Signature Algorithm: MD2 digest with RSA Encryption
Issuer: C=US, O=RSA Data Security, Inc., OU=Secure Server Certification Authority
Validity: Not Before: Wed Nov 9 15:54:17 1994; Not After: Fri Dec 31 15:54:17 1999
Subject: C=US, O=RSA Data Security, Inc., OU=Secure Server Certification Authority
Subject Public Key Info:

Public Key Algorithm: RSA Encryption
Public Key:

Modulus: 00:92:ce:7a:cl:ae:83:3e:5a:aa:89:83:57: ....
Exponent: 65537 (Ox10001)

Signature Algorithm: MD2 digest with RSA Encryption
Signature: 88:d1:d1:79:21:ce:e2:8b: ....

Beispiel eines Zertifikats nach X.509 v3 (Dateneinträge gekürzt)

Ein kommerzielles Zertifizierungsunternehmen ist z.B.: VeriSign. -- URL: http://digitalid.verisign.com/. -- Zugriff am 2002-04-23

Ein Problem von Public Keys und entsprechenden Zertifikaten ist, dass sie universelle Identifikatoren darstellen, mit denen es sehr leicht ist, Online-Tätigkeiten des Schlüsselinhabers zu verfolgen (Datenschutz!).


cmc0609.gif (8621 Byte)

Abb.: Schematische Gegenüberstellung von Public Key und Private Key


6B.8.1.2.2. Schlüssel-Hinterlegung: Key escrow und Key recovery


Schlüssel-Hinterlegung (Key escrow) wurde entwickelt, um Strafverfolgungsbehörden sowie Geheimdiensten die Möglichkeit zu geben, den Nachrichtenverkehr zu überprüfen und trotzdem gleichzeitig eine gewisse Vertraulichkeit durch Public Key Encryption zu ermöglichen.

Der Unterschied zur klassischen Public Key Methode ist, dass nicht nur der Teilnehmer den Private Key (der hardwaremäßig auf einem Chip verwirklicht ist) erhält, sondern dass auch zwei Behörden je die Hälfte jedes Private Key besitzen. Wenn Behörden einen Lauschangriff starten wollen, müssen sie von den beiden Behörden die beiden Hälften des Private Key anfordern und die beiden Hälften dann zusammenfügen zum Private Key. In den USA war diese Methode mit dem Namen Clipper heiß umstritten.

Nachdem Key escrow in den USA am Widerstand der Bürgerrechtslobbyisten gescheitert war, legte Präsident Clinton 1996 als neuen Vorschlag: Key recovery vor: danach wäre es möglich, dass eine öffentliche Stelle mittels ihres Private Key einen Schlüssel "wiederherstellt".


6B.8.1.3. Steganographie


Steganographie ist eine Methode der Datenversteckung: Graphische Files, Sound Files usw. enthalten viele Datenbereiche, die nicht genutzt werden oder die nicht signifikant für den Inhalt sind. Steganographie ersetzt diese Bereiche durch informative Daten (z.B. verschlüsselte e-mail). Die Files schauen dann aus wie z.B. normale graphische Files, ohne dass jemand beim Versenden irgendwie Verdacht schöpfen würde, dass ausgerechnet in diesem File Daten versteckt sind.

cmc0625.bmp (151254 Byte)

Abb.: Wenn Sie auf dieses Bild klicken, erhalten Sie ein Bitmap-Bild des Katers Tüpfli, in dem Kapitel 1 von "Computervermittelte Kommunikation" durch das Programm Steganos for Windows verschlüsselt und versteckt ist . Sie können das Bitmap-Bild mit Steganos for Windows 95/98/NT  [URL: http://www.demcom.com/. -- Zugriff am 2002-04-23]  entschlüsseln. Passwort: murrli

Weiterführende Ressourcen zu Steganographie:


6B.8.1.4. Sprachverschlüsselung


Das zusätzliche Problem bei Sprachverschlüsselung ist, dass Verschlüsselung und Entschlüsselung praktisch in Echtzeit geschehen müssen (man will ja nicht lange Wartezeiten in Kauf nehmen beim mündlichen Verkehr).


6B.8.2. Softwarelösungen


6B.8.2.1. PEM -- Privacy-Enhanced Mail


PEM (Privacy-Enhanced Mail ist ein Standard für sichere e-mail auf dem Internet. PEM verwendet DES für die Verschlüsselung und RSA für die Schlüsselverteilung: [RFC 1421. -- Zugriff am 2002-04-23, RFC 1422. -- Zugriff am 2002-04-23, RFC 1423. -- Zugriff am 2002-04-23, RFC 1424. -- Zugriff  2002-04-23]

Eine Implementation von PEM ist RIPEM -- Riordan's Internet Privacy-Enhanced Mail.


6B.8.2.2. PGP


PGP ist ein von Phil Zimmermann 1991 freigegebenes Programmpaket für Public Key zur Verschlüsselung für digitale Unterschriften und Authentikation. Als Verschlüsselungsverfahren verwendet PGP:

Das Vorgehen mit PGP illustrieren folgende Beispiele:

  1. Einfache Verschlüsselung
    1. Margarete Payer verschlüsselt den Text mit dem Public Key von Alois Payer

      ¨PGPÁÁNé382wU‚ÍÇ7¢ÀÈ#GÊCʄåŠÃ%ŸÒ­e$šL.•
      FY$a»Šø³³ò¾þ·Ï#•¶"(²nXýrö&‘=âȋÒ/ä–,"5+½9lf68ý?M 
      x[ÈdHMArñm°];†E•ä¨oÒpmN„få8»Æq¾¨3ÄôA°Hö
      8$^ZÌ4L%r0ýkA\_õIv`œb‡°?ÿŽ§àRð›)¨`b,u|n<j觳—\
      ‹WÇ.mjp¬¸r   Ðj&127;)3'¶pz]ñqvWå5ç$&127;⏿LŽ÷
      2($* ؏©Ë|?|¼à3’ÏXm§A3¶Ëmâ¦ýíUsÍí0î,££óÛq÷¼ 
      £dîÅI–eÐô¤i#4V1uƪ?+nå4ĎX¦ûµ7ÇÂØyâò¦~&127;©^‚ý%–ƒí"
      þÉcݜ±ŠI øƒ2U}ÖGXòýv`aÂWwït@{֑(®Xِ–ßñ؁p§$D4ø">
      i`žª-ÆW€¾¤—Kÿ¯¨ØfÞ;‹+ŒÓ{÷mG™T:LŠM]ž/¼£ç¢²l~
      7×Èßý¡…V€LŽþwwëWjҎUVó—þ„ v’a&127;؛À |ÐuìÐ>æ@"ÓjÔ^
      œ·Ê0/æ"GO`Øt1Õ@´B‘"°À·ÉÀÌÓ_ªÂ¾Æ•«‰ë†doŒLö2?ô:9yD
      Ô¥ñH‰©)ÂÍãAž·¦ôƸmИJØlÛ";"VYë‰ífÆW7„¨^†æ)ËX{ Ï–¥6î%
      èP7½5‘Ê{ëÀ¢C)ãAÇVs)¯ð,àžfݽԨ'æ_G®Ì)?ۗž…Ÿ¿T+ßÛÜÂä
      õ´q)£4V£PsYÓz-u€¸ð6l-JŸHÄPÞþ~ˆï2VHi6-À§ËYl5–}×ÂG9F
      LÚâ „}="zÄr´„âû ÷qÀw‚ë,/ÐŒ}"ÊÛ»w>‚ÄÃÍË\šûå:ü€Æ/ÙJšàêêC»„
      7à-Yç|YË=ã]ߍӒG:<õ~.0éÄ:\}…°ö+¥jí¸M_ñ™êÃX؅%µ7|Ô÷ü‹)
      °p»¹à¶çqƒ@hï•þª‡u˲ñ‡ºxË:·Pð¼2IK@â²æÜ}â&’2=µ[å[NÙåSø5p
      ¸\š4o Áèå:A
    2. Margarete Payer sendet den verschlüsselten Text an Alois Payer
    3. Alois Payer entschlüsselt mit seinem Private Key die Nachricht:

      "PGP ist ein von Phil Zimmermamm 1991 freigegebenes Programmpaket zur Verschlüsselung, für digitale Unterschriften und Authentikation. Als Verschlüsselungsverfahren verwendet PGP:

      • für die Verschlüsselung IDEA
      • für die digitale Unterschrift MD5 (Message Digest Algorithm 5, s. RFC 1321)
      • für Authentikation und Public Key

      Das Vorgehen mit PGP illustrieren folgende Beispiele: "

  2. Digitale Signatur:
    1. Margarete Payer signiert mit ihrem Private Key die Nachricht an Alois Payer:

      ‰ ? 7R8Ù£>Š—ðù¶³Ñø  ÃÅÜ>•Ë½_l¢è5®çMc  •Ê^ÇW>àëVfº°mº9T'X‡

    2. Margarete Payer sendet die Nachricht an Alois Payer
    3. Alois Payer verifiziert mit Margarete Payers Public Key ihre Unterschrift:

      PGP bestätigt: Signer: Margarete Payer <payer@hbi-stuttgart.de> ; Signed: 31.05.99 10:32:04

  3. Kombination von Verschlüsselung und Signatur:
    1. Margarete Payer verschlüsselt die Nachricht mit dem Public Key von Alois Payer und signiert mit dem Private Key von Margarete Payer
    2. Margarete Payer sendet die Nachricht an Alois Payer
    3. Alois Payer entschlüsselt die Nachricht mit dem Private Key von Alois Payer und verifiziert die Signatur mit dem Public Key von Margarete Payer

Weiterführende Ressourcen zu PGP:

Download von PGP als Freeware:

FAQ:

Ressourcen in Printform:


6B.8.3. Hardwarelösungen


Claus Schönleber nennt folgende Ebenen, auf denen Sicherheit bestehen muss, damit man von optimaler hardwaregestützter Sicherheit sprechen kann:

[Schönleber, Claus: Verschlüsselungsverfahren für PC-Daten. -- Poing : Franzis, ©1995. -- ISBN 3772350437. -- S. 159.]


6B.8.4. Verfahren des Knackens von Verschlüsselungen


Einige der Verfahren, wie Verschlüsselungen geknackt werden sind:

Manchmal muss man aber überhaupt nicht entschlüsseln, sondern fängt eine verschlüsselte Nachricht mit bekanntem oder vermutetem Inhalt (z.B. "Ok, abgemacht!") ab und verwendet sie selber! (Playback Attack) (Ein gewisser Schutz dagegen sind z.B. Zeitstempel, die zumindest den unbegrenzten Gebrauch solcher abgefangener Nachrichten verunmöglichen).


6B.9. Berechtigungsnachweis (authentication)


Berechtigungsnachweis (Beglaubigung, Authentikation, Authentifikation, Authentifizierung) geschieht prinzipiell auf folgende Weise:

Das größte Netz mit einheitlichem Berechtigungsnachweisverfahren ist z.Zt. SWIFT -- Society for Worldwide Inter-Bank Financial Telecommunication. Über Swift läuft der elektronische Geschäftsverkehr von über 1000 Bankorganisationen in über 50 Ländern. Der Algorithmus von SWIFT ist nicht veröffentlicht. [Homepage: http://www.swift.com/. -- Zugriff am 2002-04-23]


6B.10. Signaturen (Unterschriften)


Signaturen sind Nachrichten, mittels derer der Empfänger beweisen kann, dass ein bestimmter Absender ihm eine bestimmte Nachricht tatsächlich übersandt hat. Eine Signatur soll also verhindern, dass ein Empfänger fälschlich behaupten kann, eine Nachricht (z.B. Bestellung, Geldzusage) vom Empfänger erhalten zu haben. Eine Signatur soll auch verhindern, dass ein Absender fälschlich behaupten kann, eine Nachricht nicht gesandt zu haben.

In Deutschland gilt

Offizielle Liste der gemäß diesem Gesetz akkreditierten Zertifizierungsdienstanbieter: http://www.regtp.de/tech_reg_tele/start/in_06-02-04-00-00_m/. -- Zugriff am 2002-05-25

Beispiel eines Trust Center:

D-Trust. -- Webpräsenz: https://www.d-trust.net. -- Zugriff am 2002-05-25

Als Beispiel eines rechtsgültigen Signatursystems  "D-TRUST P-Zert":
"Das Komplettpaket zur Digitalen Signatur

Das IHK Startpaket besteht aus Chipkarte, Kartenlesegerät und Signatur-Software (als CD-Rom).

Chipkarte : Dies ist die SmardCard in der Größe einer Kreditkarte, die von einer Zertifizierungsstelle, der D-TRUST GmbH) individuell und auf Antrag für einen User ausgestellt wird. Auf der Karte befindet sich der vor fremder Einsichtnahme geschützte private Schlüssel des Users und die manipulationsgeschützte Signatur-Software. Die Karte wird aktiviert, indem sie der User in das Chipkartenlesegerät einführt und die geheime, nur ihm bekannte PIN-Nummer eingibt. Sollten Sie die Karte einmal verlieren, müssen Sie umgehend die Sperrung Ihres Zertifikats veranlassen.

Kartenlesegerät : In das Chipkartenlesengerät wird die Chipkarte eingeführt und von dort gelesen. Es gibt unterschiedliche Modelle von Chipkartenlesegeräten: Beispielsweise können diese in Tastaturen integriert sein oder in den Laufwerkschacht eines PC-Gehäuses eingesetzt werden. In der DE-CODA-Standardausstattung zur digitalen Signatur ist das extern an den PC anzuschließende Kartenlesegerät "Chipdrive micro 110" der deutschen Firma Towitoko enthalten, das platzsparend und preisgünstig ist.

Anwendungssoftware mit Signaturfunktion, die von der ComNetMedia AG entwickelt wurde.

Die Kosten für dieses Gesamtpaket betragen pro Jahr 56,84 Euro (incl. MwSt. ) bei einer dreijährigen Zertifikatsgültigkeit. Nach drei Jahren muss die Chipkarte (das Zertifikat) neu ausgestellt werden. "

[https://www.d-trust.net/ihk/content/ausstattung.html . -- Zugriff am 2002-05-25]

Das Bundesamt für Sicherheit in der Informationstechnik gibt folgende Hinweise für die Praxis bei elektronischen Signaturen:
"Was hat eine Firma zu tun, wenn sie für ihre rechnergestützten Geschäftsprozesse Elektronische Signaturen im Internet anwenden will? Welche Aktivitäten sind aus programmtechnischer, gerätetechnischer und organisatorischer Sicht zu realisieren? Welche zeitlichen Aufwände und Kosten werden bei der Erarbeitung und Anwendung eingeschätzt?

Hier gibt es zwei Möglichkeiten:

  1. Sie können eine der Standardlösungen verwenden z.B. gemäß Gesetz bestätigte/zugelassene Produkte von SignTrust, Telesec .... siehe Webseite der Regulierungsbehörde für Telekommunikation und Post oder etwas "einfachere" nicht gesetzkonforme Lösungen, die für viele Anwendungsgebiete jedoch durchaus ausreichen können - siehe Webangebot des BSI zum Thema SPHINX. Dann können Sie pro Arbeitsplatz an HW-/SW-Lösungen der reinen Signaturanwendung mit Kartenleser, Karte, etc. mit ca. 50.- bis 80.- EUR rechnen - fragen Sie jedoch lieber direkt beim Anbieter nach.
  2. Sie müssen selbst entwickeln. Dann müssen Sie die Anforderungen hierzu bezüglich Ihrer speziellen Anwendung z.B. aus dem Gesetz ableiten. Beraten kann Sie hierbei eine der Bestätigungsstellen: im BSI Herr Dr. Schöller, Tel.: 01888 9582-115, beim TÜVIT in Essen, sowie debisZert in Bonn. "

[http://www.bsi.de/esig/faq/practice.htm. -- Zugriff am 2002-05-25]

Für Signaturen kann das Public Key Verfahren angewandt werden:

  1. der Absender verschlüsselt die Signatur mit seinem Private Key
  2. der Empfänger verifiziert die Signatur mit dem Public Key des Absenders

Signaturen (bzw. digitale Fingerabdrücke -- digital fingerprints, wie sie auch genannt werden) kann man mittels der Algorithmen der MD Serie (Message Digest algorithms) herstellen. MD5 errechnet aufgrund des Files eine Zeichenkette von 32 Zeichen  (z.B.: 2d50b2bffb537cc4e637dd1f07a187f4). Der Algorithmus ist so, dass es äußerst unwahrscheinlich ist, dass zwei Files die gleiche Zeichenkette erzeugen. Ein Vergleich mit der Zeichenkette zeigt, ob das File wirklich vom angegebenen Urheber stammt. MD5 wird in RFC 1321 definiert: http://www.cis.ohio-state.edu/htbin/rfc/rfc1321.html. -- Zugriff am 2002-04-23.

Signaturen können mit Digital Timestamping, einem von Bellcore entwickelten Verfahren, noch mit einem Datum versehen werden. Dies ermöglicht z.B. nachzuweisen, dass ein Dokument nicht von dem rechtmäßigen Inhaber der Signatur stammen kann, da die Datumsangabe nach dem Zeitpunkt liegt, zu dem der Inhaber seine Signatur als gestohlen meldete.

Signaturen können auch auf Smart-Cards oder Chipkarten gespeichert sein.

cmc0629.gif (3550 Byte)

Abb.: Der Chip einer Chipkarte (z.B. Krankenversicherungskarte) ist ein Mikroprozessor


6B.11. Notarielle Beglaubigung (notarization)


Der "Notar" ist eine spezielle Stelle im Netz, die auf Anfrage Nachrichten samt ihrem Sender und ggf. dem Datum mit einem nur ihm bekannten Schlüssel verschlüsselt. Tauscht nun ein Sender S mit einem Empfänger E eine Nachricht aus, so schickt der Sender die Nachricht zuerst zum Notar - verschlüsselt mit einem ihnen beiden bekannten Schlüssel oder durch ein Public Key Verfahren. Der Notar verschlüsselt die Nachricht mit einem nur ihm bekannten Schlüssel und sendet sie S zurück, der sie einerseits E übermittelt und abspeichert. E speichert sich die Nachricht ab und sendet sie zur Entschlüsselung dem Notar. Der Notar entschlüsselt sie, merkt sich die Entschlüsselung für E und sendet die Nachricht dann unter Verwendung des gemeinsamen Schlüssels des Notars resp. von E. zurück. Die notariell verschlüsselte Nachricht kann nun von beiden Seiten zum Nachweis der tatsächlich übersandten Nachricht dienen, denn der Notar kann jederzeit die von ihm verschlüsselte Nachricht auf Anfrage wieder entschlüsseln." (Barz, 1995, S. 260)

Auch Schlüssel können so durch eine zentrale Stelle notariell beglaubigt werden.


6B.12. SSL-Protokoll (Secure Socket Layer Protocol)


Das SSL-Protokoll arbeitet auf der Ebene des Internet-Tranfer-Control-Potocol (TCP). Es dient dazu, eine sichere Verbindung zwischen zwei  Netzwerkknoten herzustellen. Im Unterschied zu HTTP (Port 80) läuft es über Port 443. Es dient vor allem finanziellen Transaktionen (z.B. Durchgabe von Kreditkarteninformationen und persönlichen Daten beim Online-Shopping).

Das SSL-Protokoll erfüllt folgende Aufgaben:

SSL schützt allerdings nicht gegen die häufigsten Angriffe bei Geldtransaktionen über das Internet, nämlich direkte Angriffe auf die Computer von Kunden bzw. Händler, wo man die relevanten Daten stiehlt, umleitet bzw. verändert.


6B.13. Traffic Padding (Verkehrs-Füllsel)


Eine Möglichkeit Rückschlüsse zu ziehen, auch wenn die Nachrichten selbst nicht entschlüsselbar sind, ist traffic analysis: aus der Häufigkeit des Datenverkehrs sucht man Rückschlüsse zu ziehen. Traffic Padding (Verkehr-Füllsel) verhindert traffic analysis. Der Sender sendet ununterbrochen einen Datenstrom: immer dann, wenn keine verschlüsselten Nachrichten in den Datenstrom eingespeist werden, generiert ein Zufallsgenerator Zeichen. So ist es für einen Beobachter, der keinen Schlüssel hat, unmöglich zwischen echten Daten und Füllsel zu unterscheiden und eine traffic analysis ist unmöglich.


6B.14. Routing Control


Die Routing Mechanismen leiten die Datenpakete nur über Lauschangriffs-sichere Unternetzwerke, Knoten usw.


6B.15. Zugriffskontrolle (access control)


Man kann unterscheiden:


6B.16. Datenintegrität


Zur automatischen Kontrolle der Datenintegrität kann man Techniken ähnlich wie bei der Fehlerkontrolle verwenden (z.B. checksum). Wenn diese checksum geeignet verschlüsselt ist, kann ein Angreifer zwar die Daten verändern, aber nicht die Checksum, so dass aus der nun nicht mehr zutreffenden checksum auf eine Veränderung geschlossen werden kann. Ähnlich kann man verschlüsselte Sequenzennummern für Datenpakete verwenden.


6B.17. Aufzeichnung


Vgl. z.B.


6B.18. Anonymität


Anonymität kann durch Anonymity Server hergestellt werden. Anonymity Server (Anonymous Remailer) sind Server, die es verunmöglichen, die Herkunft einer Nachricht aufzuspüren. Der Verfasser sendet seine Nachricht an den Anonymity Server. Der Anonymity Server zerstört jede Möglichkeit, die Herkunftsroute aufzuspüren, und verteilt die Nachricht an die Adressaten weiter, z.B. an entsprechende Newsgroups. Allerdings ist es leicht, den ganzen Datenverkehr zu überprüfen, der zu den bekannten Remailern geht. So sind Remailer für Geheimdienste eher willkommene Erleichterungen zum Datensammeln.

Es gibt auch kommerziell betriebene Proxies, die den anonymen Webzugang ermöglichen: Bei jedem Zugriff auf eine Web-Page werden im Logfile die IP-Nummer des Zugreifenden sowie einige andere Angaben erfasst und gespeichert.

193.171.6.37 - - [15/Apr/1998:13:10:22 +0200] "GET /judentum/jud123.gif HTTP/1.0" 200 3898 "http://www.payer.de/judentum/jud509.htm" "Mozilla/2.0 (compatible; MSIE 3.02; Update a; Windows 95)"
193.171.6.37 - - [15/Apr/1998:13:11:22 +0200] "GET /judentum/jud61.gif HTTP/1.0" 200 50856 "http://www.payer.de/judentum/jud509.htm" "Mozilla/2.0 (compatible; MSIE 3.02; Update a; Windows 95)"
194.59.190.10 - - [15/Apr/1998:13:20:19 +0200] "GET /exegese/exeg08.htm HTTP/1.0" 200 31343 "-" "ramBot xtreme 6.7.4"
134.155.56.87 - - [15/Apr/1998:13:28:01 +0200] "GET /rellink.htm HTTP/1.0" 200 3459 "http://machno.hbi-stuttgart.de/~payer/" "Mozilla/3.01Gold (Win95; I)"
193.174.75.154 - - [15/Apr/1998:13:34:38 +0200] "GET /cifor/cif00.htm HTTP/1.0" 304 - "http://altavista.digital.com/cgi-bin/query?pg=q&what=web&kl=de&q=margarete+payer+forstwissenschaft" "Mozilla/3.0Gold (Win95; I; 16bit)"
193.174.75.154 - - [15/Apr/1998:13:34:41 +0200] "GET /cifor/ciflogo.gif HTTP/1.0" 200 10027 "http://www.payer.de/cifor/cif00.htm" "Mozilla/3.0Gold (Win95; I; 16bit)"

Ausschnitt aus einem Logfile von www.payer.de

Ein Anonymizer bewirkt, dass im Logfile nicht die IP-Adresse des Nutzers erfasst wird, sondern die IP-Adresse des Anonymizer. Bei fest zugeordneten IP-Adressen (bei festen Internetverbindungen) ist es möglich für jeden angeschlossenen Computer (und damit oft auch über einzelne Nutzer) aufgrund der Logfiles Nutzungsprofile zu erstellen.  Hier kann ein Anonymizer Abhilfe schaffen. Allerdings gilt auch für Anonymizer, dass einem niemand garantieren kann, dass nicht Geheimdienste dabei kräftig mitmischen, wenn sie nicht gar den Anonymizer selbst betreiben. Auch ist Datenschutz nur so weit gewährleistet wie die Betreiber seriös sind und auch nicht aus Patriotismus Nutzer an die staatlichen Stellen verraten.

Bei dynamisch zugeordneten IP-Adressen (bei Dial-Up-Verbindungen: bei jeder Einwahl bekommt der Nutzer vom Internet Service Provider eine andere IP-Adresse zugewiesen) ermöglichen diese Aufzeichnungen nicht ein Nutzungsprofil des individuellen Nutzers zu erstellen. Für solche Nutzer ist ein Anonymizer nur interessant, um an US-Software zu kommen, die dem Exportverbot unterliegt (z.B. Hochleistungsverschlüsselungssoftware): in solchen Fällen verweigern US-Server deutschen IP-Adressen den Zugriff. Beim Zugriff über einen US-Anonymizer hat man eine amerikanische IP-Adresse ...

Da der direkte Zugang zu Anonymity Servern durch Firewalls oder durch Internet Provider (z.B. in China, Saudi-Arabien) gesperrt sein kann, entwickelte SafeWeb Triangle Boy:

"In attempt to keep close tabs on users' online traffic and filter out content on the Web they deem "inappropriate," corporations, governments, and other entities have begun to block access to SafeWeb.

Triangle Boy is SafeWeb's response to Internet censorship. It is a free, peer-to-peer application that volunteers download onto their PCs so that users who have been blocked from SafeWeb (or any other site) can circumvent firewalls and filtering software and regain access to the site.

So what does this mean? It means that NO ONE can effectively block access to SafeWeb, and therefore NO ONE can block access to any site on the Web.

With Triangle Boy, users everywhere can have free, private and secure access to an uncensored Web. Here are some key features of Triangle Boy:

  • Requests are transmitted to SafeWeb via Triangle Boy, but Web content is returned DIRECTLY to the user via IP spoofed packets (see Network Diagram).


    Abb.: Diagramm  von Triangle Boy [Bildquelle: http://www.safeweb.com/tboy_whitepaper.html. -- Zugriff am 2002-05-21]

  • All communications are encrypted using 128-bit SSL. The key exchange is between SafeWeb and the user only, so the Triangle Boy machine CANNOT eavesdrop on the communications.
  • Users will receive an automatic warning alerting them to inspect our digital certificate to ensure that they are connected to SafeWeb through a legitimate Triangle Boy machine, and not through a fake one.

[Quelle: http://www.safeweb.com/tboy_service.html. -- Zugriff am 2002-05-21]



Abb.: Logo®

Ein radikaler Vorstoß ist Freenet (free network project) [Webpräsenz: http://freenetproject.org/. -- Zugriff am 2002-05-23]:

"Noch radikaler ... ist Freenet. Es etabliert ein paralleles Internet, das zensurresistent, anonym und effizient Informationen publizieren und abrufen lässt. Ziel ist die völlige Abschaffung von Urheberrechten und der freie Zugang zu allen Daten im Netz für jeden.

Derzeit arbeiten rund 400 Entwicklerinnen und Entwickler um den schottischen Studenten Ian Clarke an dem Prototypen. In dem völlig dezentralen Netz darf es keine zentralen Kontrollpunkte mehr geben. Einfach ist dies nicht. Clarke und seine Entwickler haben mit Problemen der Skalierbarkeit, der Effizienz und der Netzlastverteilung zu kämpfen. Implementiert wird das System in Java, um Plattformunabhängigkeit zu erreichen.

Schon jetzt zeigen Simulationen, dass das Netz relativ stabil ist: Bis zu 20 Knoten können gezielt geschlossen werden und bis zu 30 Prozent zufällig ausfallen, ohne dass das Netz zusammenbricht. Nutzer können sich auf die Echtheit der empfangenen Daten verlassen: Der Inhalt einer Datei ist über eine Prüfsumme an ihren Namen gebunden. Allerdings lassen sich Dateien noch nicht gezielt suchen."

[Christiane Schultzki-Haddouti. -- In: Netzpiraten : die Kultur des elektronischen Verbrechens / Armin Medosch ... (Hrsg.) -- Hannover : Heise, ©2001. -- (Telepolis). -- ISBN 3882291885. -- S. 187. --  {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Weiterführende Ressourcen zu Anonymität:

Öffentlicher kommerzieller Proxy für anonymen Webzugriff:


6B.19. Einige wichtige Sicherheitsaspekte bei Internetzugang


cmc0608.gif (7707 Byte)

Abbildung: Sicherheitsrisiken während der Datenübertragung im Internet

Sicherheit im Internet bedeutet:


6B.19.1. "Sicherer Web-Server"


Der Begriff "sicherer Web-Server"  ("secure web server") wird von der Werbung missbraucht:

"What Is a "Secure Web Server?"

In recent years, the phrase secure web server has come to mean different things to different people:

  • For the software vendors that sell them, a secure web server is a program that implements certain cryptographic protocols, so that information transferred between a web server and a web browser cannot be eavesdropped upon.
  • For users, a secure web server is one that will safeguard any personal information that is received or collected. It's one that supports users' privacy and won't subvert their browsers to download viruses or other rogue programs onto their computers.
  • For a company that runs one, a secure web server is one that is resistant to a determined attack over the Internet or from corporate insiders.

A secure web server is all of these things, and more. It's a server that is reliable. It's a server that is mirrored or backed up, so that it can be reconstituted quickly in the event of a hardware or software failure. It's a server that is expandable, so that it can adequately service large amounts of traffic.

Unfortunately, when vendors use the phrase "secure web server," they almost always are referring to a web server that implements the SSL cryptographic protocol. These protocols allow web browsers and servers to exchange information without the risk of eavesdropping by parties with access to the messages in transit. Such encryption is widely regarded as a prerequisite for commerce on the Internet.

As this book demonstrates, while cryptographic protocols are certainly useful for protecting information that is sent over the Internet from eavesdropping, they are not strictly necessary for web security, nor are they sufficient to ensure it. Many of the most dramatic computer security problems of recent years involved web servers that implemented cryptographic protocols: the attackers simply stole the credit card numbers after they had been decrypted by the web server and stored in a relational database.

To avoid confusion, this book uses the term cryptographically enabled web server, rather than "secure web server," to describe a web server that implements cryptographic protocols. As we'll see, web security requires far more than mere cryptographic protection against simple eavesdropping."

[Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. --  S. 11. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.19.2. Web-Browser als Einbruchstellen



Abb.: Auf jedem unvorsichtig benutzten Webclient müsste stehen: "Big brother inside", denn ein solcher Computer macht es verschiedensten "Big brothers" leicht, fast alles zu beobachten.

Moderne Webbrowser sind hochkomplizierte Programme, die eine große Anzahl von Sicherheitsproblemen mit sich führen:


6B.19.3. Heruntergeladene Software und Browser-Erweiterungen seriöser Firmen


"Downloaded Software and Web Browser Extensions

In recent years, a large number of companies have developed companion software designed to be downloaded and installed by Internet users.

Examples of such software include the Real Audio player, the Macromind Shockwave player, and Google's "Google Bar." Almost always, this software is distributed for free and Internet users are strongly encouraged to install it.

In many cases, these software downloads are benign. But in a significant number of instances, these programs have been found to leak considerable information back to the companies that are distributing them. For example:

In October 1999, computer security expert Richard Smith discovered that the RealJukeBox music player monitored the music that its users were listening to and sent this information back to Real.corn's servers. Included in the information sent back was an identification number, allowing the company to identify each of its users: "To make matters worse, it even collected this data when the computer was not connected to the Internet and arranged to transmit it later. This behavior arguably had little to do with the functionality originally offered to consumers."

Likewise, Richard Smith discovered that a program called CometCursor, which changed the cursor of a browser to match the "theme" of the visited web site, was silently tracking and transmitting browser records when users browsed member web sites.

In a follow-up survey of 16 browser extension programs, Smith and four other researchers found that half of the browser programs transmitted significant amounts of personal information from the user's web browser to the company that had created the browser add-in program.

They wrote:

We believe that the number of unreported but significant privacy problems in Internet software far exceeds the number of reported privacy-related cases. We also think that most of these unreported problems are best explained by oversight on the part of developers and entrepreneurs unfamiliar with common privacy pitfalls. The Internet is still a relatively new deployment environment, and little guidance is available to those who want to do the right thing. By showing some privacy consequences of early decisions, we hope to help minimize future lapses."

 [Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. --  S. 243.  -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]


6B.19.4. "Anstößige" und jugendgefährdende Webinhalte


Es gibt verschiedenste Filter-Programme, mit denen man für Kinder/Jugendliche/Angestellte den Zugang zu bestimmten Websites oder Webinhalten sperren kann.

Es gibt hier verschiedene Techniken:

Filter-Programme können installiert werden auf

Eine wirkliche Gefährdung von Kindern und Jugendlichen kann daher kommen, dass sie mit Kriminellen (Kinderschändern), die ihre Identität verbergen, z.B. e-mail- oder chat-Freundschaften schließen, und sich dann irgendwohin locken lassen. Dieses Problem kann man -- ebenso wie andere Probleme des Umgangs von Kindern mit dem Internet -- nicht durch Zensurprogramme lösen, sondern nur durch eine Anleitung zum vernünftigen Internetgebrauch.


6B.20. Sicherheit von e-commerce und Zahlungssystemen im Internet


Ein spezielles Problem für die Sicherheit bieten naturgemäß Transaktionen von Geld über das Internet. Fälschungssichere und vor unbefugter Beobachtung abgeschirmte Geldtransaktionen sind für e-commerce (electronic commerce) unabdingbar.

Zur Sicherheit von Transaktionen des e-commerce gehören u.a.:

Einige der Technologien zur Erreichung dieser Ziele sind:

"How to Evaluate a Credit Card Payment System

There are many credit card systems being developed for web commerce; any list here would surely be out of date before this book appears in bookstores. Instead, we have listed some questions to ask yourself and your vendors when trying to evaluate any payment system:

  • If the system stores credit card numbers on the consumer's computer, are they stored encrypted? They should be. Otherwise, a person who has access to the consumer's computer will have access to personal, valuable, and easily abused information.
  • If the system uses credit card numbers, are they stored on the server? They should not be stored unless recurring charges are expected. If the numbers are stored, they should be stored encrypted. Otherwise, anyone who has access to the server will be able to steal hundreds or thousands of credit card numbers at a time.
  • Are stored credit card numbers purged from the system after the transaction is completed? If a transaction is not recurring, they should be. Otherwise, a customer could be double-billed either accidentally or intentionally by a rogue employee.
  • Does the system test the check digit of the supplied credit card number when the numbers are entered? It should, as it is easier to correct data-entry errors when they are made (and, presumably, while the customer's card is still out), than later, when the charges are submitted.
  • Can the system do preauthorizations in real time? This is a feature that depends on your situation. If you are selling a physical good or delivering information over the Internet, you may wish to have instantaneous authorizations. But if you are running a subscription-based web site, you may be able to accept a delay of minutes or even hours between making an authorization request and receiving a result. Some banks may charge a premium for real-time authorizations.
  • How does the system handle credits? From time to time, you will need to issue credits onto consumer credit cards. How easy is it to initiate a credit? Does the system place any limits on the amount of money that can be credited to a consumer? Does the system require that there be a matching charge for every credit? Is a special password required for a credit? Are there any notifications or reports that are created after a credit is issued? Issuing credits to a friend's credit card is the easiest way for an employee to steal money from a business.
  • How does the system handle charge-backs? If you are in business for any period of time, some of your customers will reverse charges. Does the charge-back automatically get entered into the customer's account, or must it be handled manually?
  • What is really anonymous? What is private? Algorithms that are mathematically anonymous in theory can be embedded in larger systems that reveal the user's identity. Alternatively, identity can be revealed through other techniques, such as correlation of multiple log files.

The answers to these questions don't depend solely on the underlying technology: they depend on the particular implementation used by the merchant, and quite possibly also on the way that implementation is used."

[Garfinkel, Simson ; Spafford, Gene: Web security, privacy, and commerce. -- 2. ed., expanded & updated. -- Beijing [u.a.] : O'Reilly, ©2002. -- ISBN 0596000456. --  S. 640f. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}]

Weiterführende Ressourcen in Printform:

Furche, Andreas ; Wrightson, Graham: Computer money : Zahlungssysteme im Internet. -- Heidelberg : dpunkt, ©1997. -- 126 S. ; Ill. -- Einheitssachtitel: Computer money. -- ISBN 3920993551. --  [Knapp und verständlich, geht auch auf Datenschutz ein]. -- {Wenn Sie HIER klicken, können Sie dieses Buch bei amazon.de bestellen}


6B.20.1. HBCI (Homebanking Computer Interface)


HBCI ist ein Chipkartensystem. Jeder Teilnehmer (Kunde) erhält neben der Chipkarte ein Lesegerät. Selbstverständlich setzt HBCI voraus, dass man die Chipkarte nicht längere Zeit im Lesegerät lässt und so Hackern genügend Zeit zum Knacken gibt.

Neben erhöhter Sicherheit hat HBCI folgende Vorteile:


6B.21. Zusammenfassung


Eine optimale, aber dennoch praktikable Sicherheit für wirklich sensible Daten (in Informationsstellen z.B. personenbezogene Daten, aus denen sich Rückschlüsse über die Nutzer ziehen lassen) erfordert eine Kombination von gesundem Menschenverstand, Softwarekomponenten und Hardwarekomponenten zur Sicherung auf allen Ebenen:


6B.22. Weiterführende Ressourcen zu Sicherheit


Institutionen:

FAQ:

Elektronische Publikationen:

Newsletters (per e-mail):

Ressourcen in Printform:

Mailing lists:


Zum nächsten Kapitel:
Kapitel 7: OSI-Schicht 1: Physical Layer -- Bitübertragungsschicht