Die BSI-Schwachstellenampel für Mängel in Softwareprodukten

Verbraucherschützer fordern sie schon länger: Die Ampel aus deren Rot-Gelb-Grün-Schema man leicht nachvollziehen kann, wie es um die Inhaltsstoffe von Lebensmitteln, das Hygieneverständnis von Gastronomen usw. bestellt ist. Und Wirtschaftslobbyisten arbeiteten in der Vergangenheit ebenso vehement wie erfolgreich dagegen an. Die Ampel sei zu einfach, zu grob und überhaupt schade zu viel Transparenz dem Geschäft und würde Verbraucher nur verunsichern.

Währenddessen hat kürzlich das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein solches Ampelsystem zur Bewertung von Schwachstellen in verbreiteten Softwareprodukten veröffentlicht. Im Rahmen der sog. „BSI-Analysen zur Cyber-Sicherheit“ soll dieser Ampel-Indikator einen raschen Überblick über Sicherheit und Qualität der so gerateten Softwareprodukte geben. Derzeit werden für die Schwachstellenampel Sicherheitslücken in Produkten dieser Hersteller berücksichtigt:

•    Adobe Systems (Adobe Reader, Adobe Acrobat und Adobe Flash Player)
•    Apple Inc. (OS X, Safari und Quicktime)
•    Google Inc. (Google Chrome)
•    der Linux-Kernel
•    Microsoft Corporation (Windows, Office und Internet Explorer)
•    Mozilla Foundation (Firefox und Thunderbird)
•    Oracle Corporation (Java Development Kit (JDK) und Java Runtime Environment (JRE))

Das BSI ist der wohl zutreffenden Ansicht, dass Mängel in diesen Produkten aufgrund deren weiten Verbreitung in Unternehmen, Behörden sowie bei Privatanwendern potenziell schwerwiegende und flächendeckende IT-Sicherheitsvorfälle nach sich ziehen können. Die Behörde verfolgt daher u.a. auch den Lebenszyklus von Schwachstellen von der Entdeckung bis zur Beseitigung mit.

Daher bewertet es im Rahmen einer regelmäßig aktualisierten Schwachstellenampel offene Schwachstellen sowie deren Schweregrad auf einer 10er-Skala und visualisiert das entsprechend. Die Schwachstellenampel wird vom BSI regelmäßig aktualisiert. Die Termine der Aktualisierungen orientieren sich dabei hauptsächlich an den Patchdays und Aktualisierungszyklen der Anbieter. Zusätzlich werden Links auf weiterführende Sicherheitshinweise der Hersteller angeboten.

In dieser Form bietet die BSI-Schwachstellenampel einen guten ersten Überblick zur Sicherheits- und Qualitätslage von verbreiteter Standardsoftware. Wobei auffällt, wie gut vor allem quelloffene Open-Source-Produkte wie der Linux-Kernel oder Firefox und Thunderbird abschneiden. In jedem Fall kann so Druck auf die Hersteller entstehen, verstärkt auf die Sicherheit und die generelle Qualität ihrer Softwareprodukte zu achten.

Das Problem mit den Updates

Der Grad an relativer Sicherheit bzgl. Gefahren durch Schadsoftware auf dem eigenen PC hängt stark damit zusammen, in wie weit man dafür sorgt, dass das verwendete Betriebssystem sowie die installierte Software jeweils auf dem aktuellsten Stand ist.

Hersteller verbreiteter Softwareprodukte werden laufend auf Schwachstellen, Fehler u.ä. ihrer Programme hingewiesen. Manche davon so gravierend, dass rasche Updates ausgeliefert werden müssen.

Am besten stehen da die Nutzer von Linux da. Linux bringt eine Paketverwaltung mit, die ohne weitere Aktivität des Anwenders Buch darüber führt, ob alle installierten Pakete aktuell sind, ob Updates vorliegen und eingespielt werden müssen und ob das Austauschen einzelner Komponenten währen eines Aktualisierungslaufs andere Programme in ihrer Funktionsweise beeinträchtigt (Abhängigkeitsauflösung).

Das fehlt bei Windows. Windows kann zwar so konfiguriert werden, dass es die regelmäßig veröffentlichten Updates für Microsoft-Produkte selbsttätig findet, herunterlädt und installiert – für die diversen sonstigen auf dem Rechner installierten Anwendungen leistet es das jedoch nicht. Darum hätte sich der Nutzer selbst zu kümmern (bzw. den hoffentlich vorhandenen und aktivierten Auto-Update-Funktionen seiner Programme zu vertrauen). Abhängigkeitsauflösungen und Kompatibilitätstest auf Verträglichkeit einzelner Updates mit anderen, bereits vorhandenen Programmen gibt es erst recht nicht.

Doch gerade aus der Sicherheitsperspektive betrachtet, ist es sehr wichtig, dass veraltete oder als mit bekannten Schwachstellen belastete Software zügig ersetzt wird. Für die Programmierer von Schadsoftware sind speziell Browser und verbreitete Anzeigeprogramme für Mediendateien ein beliebtes Angriffsziel. Sie sind auf fast allen Rechnern vorhanden, arbeiten überall in gleicher Weise und können so Schadcode den Zugriff auf den vollen Rechner eröffnen. Ein Großteil aller entdeckten Schwachstellen entfällt dabei auf nur wenige, dafür aber sehr weit verbreitete Softwareprodukte.

In Unternehmen mit zahlreichen windowsbasierten Arbeitsplatzrechnern werden daher kommerzielle Softwareverteil- und -paketiersysteme eingesetzt und die genutzten Softwarebestände im Rahmen von geregelten Release- & Rollout-Management-Prozessen verwaltet und aktuell gehalten.

Für Privatanwender bietet die Firma Secunia mit dem kostenlosem Personal Software Inspector (PSI) ein meiner Ansicht nach sehr nützliches Programm zum Download an. Der PSI inventarisiert nach dem ersten Start die auf dem PC vorhandenen Programme und gleich deren Versionsstände mit seiner Versionsdatenbank ab. Auf diese Weise entdeckt er schon rasch veraltete Programme, mehrere parallel installierte Versionen und andere potentielle Sicherheitsdefizite. Für die meisten bietet er auch gleich Links an, um Updates für die betroffenen Programme von den Webseiten der jeweiligen Anbieter herunterzuladen. Manche kann PSI sogar selbsttätig finden und einspielen. Auf diese Weise kann das im Hintergrund laufende Programm dazu genutzt werden, den Rechner automatisch mit Updates der gängigsten Programme versorgen zu lassen, sobald diese veröffentlicht werden. Ein manuelles Nachführen ist dann nicht mehr notwendig.

Leider bringt nicht jedes obsolet gewordene Programm einen eigenen Uninstaller mit. Und die Softwareverwaltung von Windows ist beim „Aufräumen“ nicht immer allzu gründlich. Oft bleiben auch nach einer Deinstallation noch Dateien, Verzeichnisse und Registrierdateneinträge übrig. Das ist zwar im Zeitalter der Terabyte-Festplatten bzgl. des belegten Plattenspeichers kein echtes Platzproblem. Allerdings kann jedes auf dem Rechner vorhandenes Stück Software ein potenzielles Einfallstor für Angriffe per Schadcode werden.

Wer die PC-Hygiene daher sorgfältiger betreiben will, kann dazu auf die ebenfalls kostenlosen Tool Revo Uninstaller (kostenlose Basisversion, deinstalliert Programme) und CCleaner (findet und beseitigt Datenmüll) einsetzen. Für Schadsoftware wird es auf einem solchermaßen aktuell gehaltenen Rechner deutlich schwieriger, sich festzusetzen.

Wenn Programmierer sich zum Affen machen

„Easter Eggs“ sind kleine Überraschungen, die Programmierer in den Code ihrer Programme einbauen. Oftmals schwer zugänglich, z.B. durch exotische Tastenkombinationen, die nur in bestimmten Situationen funktionieren, erzeugen sie oft unerwartete und meistens witzige Effekte. So enthielt Microsofts weit verbreitete Tabellenkalkulation Excel lange Zeit einen kleinen Flugsimulator. Diese „Ostereier“ im Programmcode stellen aber auch ein Sicherheitsrisiko dar, da sie ja versteckt und an jeder Form von Qualitätskontrolle durch Testen, Reviews usw. vorbei implementiert wurden.

Wer daher nach potentiellen Schwachstellen in Programmen sucht, hält meist auch nach solchen Ostereiern Ausschau. Das taten wohl auch die Stuxnet-Entwickler sowie andere, an den programmtechnischen Innereien von Prozessrechnern aus dem Hause Siemens interessierte Leute. Die Siemens-Geräte rückten ins Blickfeld, nachdem bekannt wurde, dass man über Manipulationen dieser i.d.R. eher schlecht gesicherten Rechner teure Technik in Kraftwerken oder Produktionsanlagen über gezielte Veränderung der zulässigen Betriebsparameter angreifen kann.

So stellten experimentierfreudige Hacker auf der letzten Black-Hat-Konferenz in Las Vegas ihre Erkenntnisse beim Hacken von Industriesteuerungsanlagen von Siemens vor. In Geräten der Serie Simatic S7-300 fanden sie sogar hartcodierte Nutzer und Passwörter. „Ich konnte mich per telnet und http einloggen, den Speicher auslesen, Dateien löschen und Befehle geben“, so Dillon Beresford, der dieses Sicherheitsleck entdeckte.

Wie viele der Anlagen von Sicherheitsproblemen betroffen sind, ist kaum abzuschätzen. Die Simatic-Anlagen gelten weltweit als Standard für die Steuerung industrieller Prozesse aller Art. Neben den fest vergebenen Passwörtern hat Beresford allerdings noch ein Dutzend weiterer Sicherheitslücken in den Siemens-Kontrollanlagen entdeckt. Er konnte zeigen, wie sich die Systeme so manipulieren lassen, dass sie falsche Kommandos ausführen oder verfälschte Daten an ihre Leitstellen schicken.

Aus Sicht von Siemens wären nur bestimmte, ältere Geräte mit einer nicht mehr aktuellen Firmware betroffen. Allerdings werden solche Prozesssteuerungsanlagen nicht wie PCs in kurzen Abständen gepatcht, wenn ein Leck auftaucht. Stattdessen werden an die Software generell höhere Ansprüche hinsichtlich Qualitätseigenschaften gestellt. Ansonsten wäre ihr Betrieb im hochregulierten Industrieumfeld auch gar nicht genehmigungsfähig.

Neben den Sicherheitslücken fand Beresford allerdings noch ein klassisches „Easter Egg“ in der Siemens-Software. Programmierer hatten darin eine rote Website untergebracht, auf der Zeichnungen von spielenden Affen zu sehen sind und der Satz „Nix hören, nix arbeite, einfach nur…“. Ein Zeichen davon, was sie von der Siemens-Kultur in dem von Shareholder-Value und managerialer Übersteuerung geprägten Konzern hielten?

Ob sich dieser Programmierscherz aufgrund darin enthaltener Schwachstellen dazu benutzen lässt, um Schadcode in die Maschinen einzuschmuggeln, ist noch unklar. Das Siemens-Management allerdings habe sehr aufgeregt reagiert, als Beresford dem Unternehmen von seinem kuriosen Fund berichtete, wie er in einem Wired-Interview erklärte: „Sie waren nicht gerade glücklich.“

Sind Polizeicomputer wirklich sicher?

Die Anzahl bekannt gewordener erfolgreicher Angriffe auf die IT großer Unternehmen und staatlicher Institutionen hat seit Jahresanfang „gefühlt“ deutlich zugenommen. Kürzlich hat es auch die Bundespolizei erwischt. Im Juli waren Hacker, die sich selbst der „No Name Group“ zurechnen, in einen Server des Zolls eingedrungen, der als Software-Downloadrechner zur behördeninternen Verteilung von Software-Updates eingesetzt wurde. So konnten sie durch die Einspeisung manipulierter Updates ein verteiltes System zur Ermittlungsunterstützung und Zielverfolgung angreifen und daraus Daten kopieren. Dazu zählten u.a. Bewegungsprofile und Positionsdaten von GPS-Peilsendern an den Fahrzeugen überwachter Personen. Die Hacker stellten diese Daten anschließend ins Internet, die Polizei musste die Nutzung der betroffenen Systeme vorübergehend einstellen und einen außerplanmäßigen Sicherheitsaudit durchführen.

Unklar ist, ob es sich dabei tatsächlich um Daten aus Ermittlungsverfahren handelt, bei denen ein Richter die Überwachung Verdächtiger erlaubt hat. Denkbar wäre zum Beispiel auch, dass die Behörden eine neue Software zur Analyse von Bewegungsprofilen in einem Feldversuch getestet haben, wie Spiegel Online vermutete.

Zwischenzeitlich konnten die intensiv ermittelnden Ordnungshüter mehrere Verdächtige festnehmen, darunter auch der Hacker „Darkhammer“, der sich in der Hacktivistenszene bereits im Zusammenhang mit Hackerangriffen auf NPD-Websites einen Namen machte.

Das wirft die Frage auf, wie sicher die IT-Systeme von Behörden eigentlich sind, die als Folge der Versicherheitsstaatlichung Deutschland immer mehr und immer sensiblere Daten der Bürger beinhalten. So hatten bereits 2010 Hacker Systeme des Zolls angegriffen und mit Trojanern infiziert, was trotz vorhandener Virenschutzsoftware erst Mitte 2011 bemerkt wurde.

Die bereits erwähne Revision der Zollsystem ergab jedenfalls gravierende Mängel, wie es in einem vertraulichen Bericht heißt, der seinen Weg in die Spiegel-Redaktion fand. Veraltete Hardware und Software, nicht vorhandene oder unzureichend ausgelegte Sicherheitssysteme, Mängel im technischen Datenschutz – und das in einem System, welches sensible Daten über verdeckte Ermittler, V-Leute und geheime Operationen enthält.

Neben der Technik fehlt es der Bundespolizei aber wohl auch am qualifizierten Personal. So fehlten an Schlüsselpositionen geeignete Mitarbeiter, die Fehler feststellen und beheben könnten. Dazu aber wären sie, dem Revisionsbericht zufolge aber wegen mangelhafter Systemdokumentation ohnehin kaum in der Lage. Hinzu kämen Defizite im Konfigurations- und Rechtemanagement, in der Zugriffsprotokollierung, in der Handhabung mobiler Datenträger sowie beim Fernzugriff, der über unverschlüsselte Klartextprotokolle abgewickelt würde.

Und so kamen die Prüfer zu dem vernichtenden Ergebnis, dass Hacker nach wie vor in das Polizeinetz eindringen könnten, um dort relativ einfach an geheime Daten gelangen, die Software manipulieren und systemrelevante Einstellungen verändern zu können.

Doch warum ist das so?

Der Kern des Problems dürfte schlicht darin bestehen, dass es der Bundespolizei am Budget für angemessene Ausstattung auf aktuellem Stand der Technik fehlt. Und dass entsprechend qualifizierte Sicherheitsexperten gehaltstechnisch kaum noch in die Tarif- und Besoldungssysteme des öffentlichen Dienstes einzupassen sind, während gleichzeitig Personaleinsparungen und Haushaltskonsolidierungen laufen. Ein Zielkonflikt, der künftig häufiger zu Kollateralschäden in Form gehackter Rechner und abhanden gekommender Behördendaten führen dürfte.

Buchrezension: Web-Sicherheit – Wie Sie Ihre Anwendungen sicher vor Angriffen schützen

Dieses von Sebastian Kübeck verfasste Buch aus dem mitp-Verlag befasst sich mit den Methoden sicherer Softwareentwicklung speziell für webbasierte Anwendungen. Die zugrunde liegenden Überlegungen  sind aber größtenteils auch auf andere Bereiche der Softwareentwicklung übertragbar. Das Buch richtet sich an Softwareentwickler, die sich noch nicht intensiver mit Informationssicherheit und dem Schreiben sicheren Codes befasst haben. Und die somit einen Einstieg in die Themen Informationssicherheit sowie Methoden sicherer Webentwicklung suchen. Aber auch Administratoren webbasierter Systeme können davon profitieren.

Das Buchh ist in drei Teile gegliedert. Im ersten Teil werden nach einer kurzen Einführung in die Geschichte der Informationssicherheit Grundkonzepte der IT-Sicherheit speziell aus der Sicht des Softwareentwicklers erläutert. Dazu zählen Dinge wie die Prinzipien sicherer Softwareentwicklung, Authentisierungsverfahren oder sichere Datenübermittlung durch den Einsatz kryptografischer Verfahren.

Teil zwei befasst sich mit häufig auftretenden Schwachstellen in Softwareprodukten sowie Wegen zu deren Vermeidung. Dazu zählen Filterung und Aufbereitung nahezu jeder Form von Eingabe durch Anwender, um z.B. Code-Injection- und Scripting-Angriffen vorzubeugen. Oder die Vermeidung von Webserver-Konfigurationen durch die Teile der Systemkonfiguration per Suchmaschine erfassbar (Google Hacking) oder durch manuelles Suchen (Path Traversal) erreichbar werden.

Oftmals beginnen Probleme mit der Applikationssicherheit jedoch bereits bei der Verwendung von altbewährten und weit verbreiteten Bibliotheksfunktionen gerade der C-Sprachen, welche direkte Speicherzugriffe ermöglichen und die aufgrund von Implementationsfehlern zu Sicherheitsproblemen wie Pufferüberläufen, Code Injection-Schwachstellen u.ä. führen und daher nicht mehr verwendet werden sollten.

Webanwendungen können auch anfällig für DDOS-Attacken werden, wenn sich in ihnen Code aufspüren lässt, der zu Speicherlecks, Endlosschleifen, Rekursionen mit fehlerhafter Abbruchbedingung führt oder der Wartezeiten auf (schwächere) nachgelagerte Systeme wie z.B. entfernte Datenbanken generiert.

Schließlich gibt Teil drei konkrete Tipps und Hinweise wie man durch qualitätssichernde Maßnahmen wie Pen-Tests, Code Reviews, Softwaretests sowie der Berücksichtigung von Prinzipien sicherer Entwicklung von Webapplikationen seine Software sicherer macht. Hier wird z.B. auch auf (meist quelloffene) Testing-Tools wie Schwachstellen-Scanner, Mustersucher für die Quellcodeanalyse oder Tools zur Testautomation eingegangen.

Stets werden die Erläuterungen im Buch von entsprechenden Codebeispielen (meist in Java oder Javascript sowie in SQL für Datenbankzugriffe) begleitet, in denen die problematischen Stellen nachvollziehbar erläutert werden.

Alles in allem ein  sehr lesenswertes Buch speziell für Softwareentwickler aber auch für generell am Thema sicherer Software interessierter IT-Fachleute. Wobei das Thema Entwicklung sicherer webbasierter Anwendungen gerade im Zeitalter von Cloud Computing und mobiler Apps drastisch an Bedeutung gewinnen dürfte.

Scareware – Mit Nervsoftware abkassieren

Es gibt viele Möglichkeiten, mit Schadsoftware Geld zu verdienen. Eine, die eher auf Trickbetrug, als auf Diebstahl von Daten oder Rechnerkapazitäten hinausläuft, ist sog. „Scareware“. Das ist Software, die den Nutzer verängstigen und verwirren soll, um ihn so zu Handlungen zu verleiten, von denen der Autor profitiert. Wenn man will also automatisiertes Social Engineering.

Das Prinzip ist einfach: Dem surfenden PC-Nutzer wird beispielsweise eine kostenlose Analyse seines Rechners auf Viren angeboten. Kostenlose und gute Virenkiller gibt es ja von mehreren Anbietern. Dazu muss er lediglich ein Programm aus dem Internet herunterladen, installieren und starten. Tut er dieses, so generiert das Programm rasch und mit zunehmender Häufigkeit und Penetranz Warnmeldungen, dass dieser oder jener Virus im System sei und das man möglichst rasch eine kostenpflichtige Sicherheitslösung kaufen, runterladen und einspielen möge. Bis hin zur Unbenutzbarkeit des Rechners, weil fast jeder Vorgang mit diesen Warnmeldungen unterbrochen wird. Folgt man den Hinweisen und lädt das zu bezahlende Update herunter, ist für einige Zeit Ruhe bis es erneut losgeht.

Nur: Es war zu keiner Zeit echte Schadsoftware auf dem Rechner. Dem Nutzer wurde lediglich vorgegaukelt, er hätte ein Problem. Das Problem kam erst mit dieser Art von Trickbetrug auf seine Festplatte. Das Prinzip der Scareware setzt auf den eher unmündigen, arglosen und neugierigen Nutzer, der viel ausprobiert und die oft eher kryptischen Meldungen inhaltlich nicht hinterfragt. Im schlimmsten Fall hat der Nutzer durch das Installieren der Scareware auf seinem Rechner erst vormals noch nicht vorhandene Sicherheitslücken aufgerissen. Schließlich läuft das Programm in aller Regel mit den (meist recht weitreichenden) Rechten des Benutzers und hat vollen Zugriff auf seine Daten.

Das Prinzip ist nicht wirklich neu. Heise Security berichtete bereits 2008 darüber.

Linux-Anwender sind hier, wie oftmals bei Schadsoftware außen vor, da sich deren Entwickler meist auf das deutlich verbreitetere Windows-Ökosystem konzentrieren.

Ein typischer Vertreter dieser Gattung von Nervsoftware ist „System Tool 2011“, eine Art Trojaner, der sogar als Drive-by-Download allein durch ungeschütztes Surfen im Internet seinen Weg auf die lokale Festplatte finden kann. Der aber auch von interessierten Nutzern oftmals gezielt runtergeladen und installiert wird.

Bis zu 100 Infektionen meldet das Tool bereits nach dem ersten Prüflauf. Allerdings existiert davon keine tatsächlich. Dafür wird man von System Tool rasch zum Bezahl-Dialog geführt, um die fiktiven Schädlinge sowie sein reales Geld loszuwerden. Mit ca. 50 $ für eine 24-Monatslizenz ist man dabei.

Richtig dreist wird die Scareware, wenn sie zur „Ransomware“  (ransom: Lösegeld) mutiert und Teile der Datenbestände des Benutzers löscht, verschlüsselt oder auf andere Art unbrauchbar macht – bis er diese durch Bezahlung einer Gebühr per Kreditkarte ins Ausland wieder auslöst.

Letztlich hilft da nur die Installation eines „richtigen“ Schutzprogramms gegen Schadsoftware aller Art. Es bringt i.d.R. Filter und Signaturen mit, die solche, auch PUPS („possibly unpopular software“) genannten Programme, erkennen und entfernen können.

Außerdem lohnt es sich, sich an die „12 Geboten der sicheren Computernutzung“ zu erinnern und nichts, das zum Ausprobieren aus dem Internet runtergeladen wurde, auf seinem Arbeits-PC zu installieren. Wer es sich gar nicht verkneifen kann, sollte hierfür einen isolierten Testrechner oder eine virtuelle Maschine innerhalb einer gesicherten Virtualisierungsumgebung verwenden.

Sicherheit in sozialen Netzwerken fördern – Das Social Network Security Portal

Soziale Netzwerke haben sich in den letzten Jahren zunehmend zu einem Massenphänomen entwickelt. Ihre Nutzerzahl sowie das in ihnen gelagerte und täglich neu hinzukommende Datenvolumen wachsen nahezu exponentiell. Menschen nutzen solche Dienste zunehmend, um damit ihr Leben zu organisieren, sich zu unterhalten, sich mit anderen auszutauschen oder gemeinsame Projekte zu planen.

Die so entstehenden Datenbestände sind nicht nur für die Betreiber dieser Systeme von  Interesse sondern auch für Dritte. Firmeninterna lassen sich so zusammenrecherchieren, die Abwerbung von Schlüsselpersonal vorbereiten, die Hobbys von Bewerbern und Geschäftspartnern ausspähen. Fälle von Cyberstalking, Cybermobbing oder sexueller Belästigung sind nicht nur aktenkundig sondern füllen bereits etliche Regalmeter in den Lagern der Ermittlungsbehörden.

Es „menschelt“ eben überall, wo Menschen einander begegnen.

Kürzlich riefen daher einige IT-Sicherheitsexperten die Seite socialnetworksecurity.org ins Leben. Sie wollen damit auf Sicherheitslücken in sozialen Netzwerken hinweisen und so Druck auf deren Betreiber ausüben. Bislang listen sie bereits 46 entdeckte Schwachstellen in 28 Netzwerkplattformen auf und weisen auch darauf hin, was bereits behoben wurde und was noch nicht.

Zudem gibt es Sicherheitstipps für Nutzer und Betreiber sozialer Netzwerke.

Es sind meist diese Sicherheitslücken und Schwachstellen, durch die Daten abfließen können. Dabei sind grundsätzlich zwei Arten von Lücken möglich.

Unzureichend, unüberlegt oder falsch gesetzte Einstellungen der Benutzer zum Schutz ihrer Daten.
Dagegen anzugehen erfordert entsprechende Handhabungskenntnisse der Nutzer sowie deren wohlüberlegte Nutzung auf den jeweiligen Plattformen. Aber auch Einstellmöglichkeiten, die sowohl übersichtlich und selbsterklärend als auch ausreichend und sicher sind. So hat z.B. Facebook mit seinen über den ganzen Account verteilten Einstelloptionen hat da noch viel Verbesserungspotential.

Schwachstellen, technische Defekte und Qualitätsmängel der Systemplattformen.
Soziale Netzwerke sind im Grunde genommen nichts anderes als webbasierte Server-Applikationen, die ihre Daten in Datenbanken ablegen. Sie lassen sich mit den gleichen Methoden angreifen wie Webanwendungen und Webserver generell. Beliebte Angriffsformen sind dabei immer wieder Code-Injection, Cross-Site Scripting (XSS) oder Cross-Site Request Forgery (CSRF).

Nutzer und Hacker können entdeckte Schwachstellen an die Betreiber von socialnetworksecurity.org (anonym wenn gewünscht) melden. Diese nehmen aber nur solche Schwachstellen an, für die ihnen
präzise Beschreibungen oder andere Nachweisformen des tatsächlichen und reproduzierbaren Bestehens mitgeschickt werden.

Allerdings haben sich Schwachstellen mittlerweile zu einem Wirtschaftsfaktor entwickelt, wie z.B. die ct‘ zuletzt in der Ausgabe 5/2011 unter dem Titel „Das Geschäft mit den Bugs“ berichtete. Man kann sie legal an Firmen wie Zero Day Initiative (ZDI) oder iDefense Security Intelligence Services verkaufen. Diese betreiben kostenpflichtige Informationsdienste für Softwareanbieter, in denen sie diese Schwachstellen z.T. mit ausführlichen Hinweisen zur Eindämmung darstellen. Andererseits werden gerade für „frische“ Schwachstellen (Zero Day Exploits) in verbreiteten Softwareprodukten und Systemen durchaus 5-6stellige Beträge auf Hackerschwarzmärkten im Cyber-Untergrund bezahlt.

Es bleibt abzuwarten, in wie weit Projekte wie socialnetworksecurity.org für mehr Sicherheitsbewusstsein bei den Entwicklern und Betreibern sozialer Netzwerke zu sorgen vermögen. Bzw. wo dies der Schwarzmarkthandel mit Exploits tun wird.

Mit dem Browser auf Passwortfang

Oft fliegen einem die interessantesten Dinge einfach so zu: Beispielsweise Logins, Passwörter und Sitzungsdaten sozialer Netze, die in offenen WLAN-Netzen unverschlüsselt in die Luft geblasen werden. Darauf weisen Sicherheitsexperten schon seit Längerem hin und fordern von den Betreibern gängiger sozialer Netze, Shopping-Sites, dass diese ihren Datenverkehr verschlüsselt und über Zertifikate gesichert abwickeln, beispielsweise über SSL.

Allerdings wurde und wird diese Forderung nach wie vor ignoriert. Das brachte den Programmierer Eric Butler auf die Idee, mit dem Firefox-Plugin „Firesheep“ ein  Programm für den „Account-Diebstahl für Dummies“ zu entwickeln, dass die Brisanz des Themas steigern und den Druck auf die Diensteanbieter so erhöhen soll.

Zwar kann bereits seit langem jeder, der mit einem Snifferprogramm wie z.B. Wireshark in ein WLAN hineinhorcht, den dortigen Datenverkehr überwachen und Interessantes per Filterfunktion herausfischen. Aber das erfordert gewisse Kenntnisse über den Aufbau von Netzwerkprotokollen sowie eine Einarbeitung in die oftmals recht mächtigen aber auch unübersichtlichen Programme.

Butlers quelloffenes Firesheep betreibt HTTP-basiertes Session Hijacking, indem es in offenen WLANs nach Sitzungsdaten etlicher sozialer Netze wie etwa Twitter oder Facebook lauscht, diese bei ihrem Auftreten herausfischt und dem Browsernutzer in einer Sidebar anzeigt. Er kann daraufhin die Sitzungen auf Wunsch per Mausklick übernehmen und sich mit den Identitätsdaten des betreffenden Nutzers in dem sozialen Netzwerk bewegen.

Firesheep nutzt eine Lücke in der Datenübertragung zwischen Nutzer und Webdienst. Wenn man sich bei einem Dienst wie Twitter oder Facebook anmeldet, wird dem Nutzerrechner ein sogenannter Session-Cookie geschickt, der Sitzungs- und Statusdaten enthält. Der Erstkontakt ist bei den meisten Seiten durch Verschlüsselung geschützt, nicht jedoch die weitere Übertragung von Daten z.B. bei der Aktualisierung der Sitzung. Oftmals werden dabei Datenübertragungen zwar zunächst per verschlüsseltem HTTPS initiiert, dann aber über normales unverschlüsseltes HTTP  fortgesetzt. Der Nutzer wähnt sich sicher, während seine Daten im Klartext über die Leitung oder in den Äther gehen.

Firesheep sucht dazu diese unverschlüsselt übertragenen Session-Cookies und schickt eine eigene Anfrage an die betreffende Seite samt einer Kopie des Cookies – gaukelt dem Dienst also vor, der echte Nutzer zu sein.

Butler kündigte sein Tool erst im Oktober 2010 auf der Hacker- und Security-Konferenz „ToorCon“ in San Diego an, auf der er dazu einen Vortrag hielt, den er treffenderweise „Hey Web 2.0: Fang an, die Daten der Nutzer zu schützen, statt dies nur zu behaupten“ betitelte. Ganz klar – hier sollte mal wieder der oftmals etwas trägen und behäbigen Unternehmenswelt eine mitgegeben werden. Was aber heute – leider – ebenso nötig erscheint, wie in den 80ern des letzten Jahrhunderts als die Hacker des Chaos Computer Clubs zeigten, wie man mit Hilfe BTX-basierter „Mehrwertdienste“ eine Bank ausnimmt (Youtube-Video Heute-Journal).

Firesheep wirft zudem eine spezifische-deutsche Frage auf: Handelt es sich dabei um ein Hackertool i.S.d. § 202 c StGB (der sog. „Hackerparagraph“)? Dafür würde sprechen, dass die zugrundeliegende Methode des automatisierte Session Hijacking wohl recht eindeutig den Angriffsformen auf IT-Systeme zugerechnet werden kann. Dagegen spricht, dass Firesheep ausschließlich auf Informationen zurückgreift, die über unverschlüsselte offene WLAN-Netze verbreitet werden und daher quasi-öffentlich verfügbar sind.

Zwar arbeiten Firmen wie z.B. Zscaler an Gegenmaßnahmen, um im Einsatz befindliche Firesheeps in WLAN-Netzen durch Rückmeldungen auf manipulierte Session-Cookies zu identifizieren. Aber das zugrunde liegende Problem der ganz oder teilweise unverschlüsselt übertragenen Identitätsinformationen für Internetdienste wird uns wohl noch einige Zeit erhalten bleiben.

Produkttest: Kaspersky Anti-Virus 2011

Ein Virenschutzprogramm gehört gerade bei Windowsrechnern zur Grundausstattung, die keinesfalls fehlen darf. Zu den etablierten Anbietern, deren Produkte in den regelmäßigen Tests von Fachzeitschriften (z.B. c’t 12/10, S. 90) häufiger gute Wertungen erreichen, zählt Kaspersky Anti-Virus. Ein Grund es mal genauer zu betrachten. Das Kaspersky-Tool wird in einer giftgrünen Schachtel ausgeliefert und ist in zwei Varianten erhältlich: „Anti-Virus“ mit Schutz vor Schadsoftware, egal ob diese den Rechner als Datei, per Browser oder in Mails erreicht. Und „Internet Security“ für Nutzer, die ihrem Rechner auch noch eine geschützte Umgebung für den Start verdächtiger Anwendungen oder Webseiten, einen verbesserten Spamschutz oder eine Kindersicherung angedeihen lassen wollen. Anti-Virus kann auch später noch auf Internet-Security upgegradet werden.

Bei der Installation von Kaspersky Anti-Virus (KAV) sollte man darauf achten, dass das Tool Probleme mit Personal Firewalls wie z.B. der beliebten Ashampoo Firewall hat und zusammen mit dieser nicht eingesetzt werden kann. Ein Problem das schon mein letzter Virenschutz von AVG hatte.

Einmal in Betrieb  genommen, läuft KAV im Hintergrund und kann per Klick auf ein Taskleistensymbol aufgerufen werden. Es erscheint ein übersichtliches Menü in einer der Verpackung entsprechenden giftgrünen Optik, in dem alle Funktionen rasch, übersichtlich und ohne langes Suchen verfügbar sind. Dennoch kann man durch Einsteigen in weitere Menüs und Funktionsebenen auch Details der Einstellungen der AV-Komponenten einsehen und ändern, falls hierfür Bedarf besteht.

Als Erstes ließ ich KAV nach einem Signatur-Update ein größeres Software-Archiv scannen, dass sein Vorgänger von AVG für makellos befunden hatte und in dem es u.a. Futter in Form diverser Hackertools für die Heuristik-Komponente des Scanners (den sog. „Proaktiven Schutz“) gab. Heuristik-Algorithmen versuchen im Gegensatz zu signaturbasierten Virenscannern Schadsoftware anhand charakteristischer Merkmale im Code zu identifizieren.

Wie erwartet identifizierte die Heuristik Tools wie Cain & Abel oder Goolag Scan als potentiell problematische Software und fragte nach, was damit zu tun sein (in Ruhe lassen). Aber sie fand auch einen echten Trojaner sowie einen Virus, der dem Vorgänger wohl „durchgerutscht“ war. Einmal mehr ein Zeichen, dass sich einerseits die AV-Programme stetig verbessern. Das man andererseits ihren Meldungen nicht immer 100%ig vertrauen sollte. Nur weil nichts gefunden wurde, bedeutet das nicht, dass nichts da ist.

Schließt man ein externes Speichermedium an oder mountet man einen Truecrypt-Container, erkennt KAV das und fragt nach, was es tun soll (schnell bzw. ausführlich scannen oder in Ruhe lassen).

KAV kann man auch gut im Hintergrund scannen lassen, ohne dass es den Rechner weitgehend lahmlegt. Das ist insbesondere für einen Komplettscan des Rechners wichtig, der bei meiner schon etwas angejahrten XP-Kiste etwa 2 Stunden dauert.

Ergebnisse können in Form automatisch generierter und grafisch aufbereiteter Berichte nachvollzogen werden.

Eine nützliche Komponente in KAV ist der Aktivitätsmonitor. Nutzt man diese Funktion, so werden von KAV Programmaktivitäten überwacht und man kann durch unentdeckt gebliebene und daher aktive Schadsoftware vorgenommene Änderungen am System rückgängig zu machen (und nebenbei das Malwareprogramm in flagrant zu erwischen).

Im laufenden Betrieb lässt KAV ab und zu kleine Fenster in der Taskleiste erscheinen, wenn der Aktivitätsmonitor ein Programmverhalten entdeckt hat, das auch von Malware verursacht sein könnte. Der Inhalt dieser Meldungen erschließt sich dem Laien nicht immer sofort. Bislang

Weitere Schutzfunktionen, sind beispielsweise die Schwachstellensuche mit der sich Einstellungen des Betriebssystems und des Browsers nach Anomalien und Beschädigungen prüfen lassen. Oder die Erstellung einer Notfall-CD falls einem Malware das System so zerlegt, das man es von CD booten muss, um ggf. Datensicherungen vornehmen zu können. Oder auch der Assistent zur Systemwiederherstellung, mit dem sich bestimmte sicherheits- und stabilitätsrelevante Windows-Einstellungen prüfen und korrigieren lassen. So kann man nachträglich die Folgen einer bereits bereinigten Infektion mit Schadsoftware oder eines Herumexperimentierens mit Optimierungssoftware zurücksetzen lassen. Außerdem gibt es einen Assistenten zum Löschen von Aktivitätsspuren der die allfälligen Gebrauchsspuren bei der Computerbenutzung beseitigt. Sozusagen die datentechnische Waschanlage, durch die jeder PC hin und wieder mal „gefahren“ werden sollte.  Wer seine Passwörter vor Keyloggern schützen will, kann sie zudem über eine einblendbare virtuelle Bildschirmtastatur per Mausklick eingeben. Alles in allem eine runde Zusammenstellung von Werkzeugen zur Absicherung des eigenen Computers.

Auch an den heutigen mobilen Mehrfachnutzer von Computern, der neben seinem PC auch einen Laptop und/oder Netbook besitzt, wurde von den Produktentwicklern gedacht. Die Lizenz lässt eine Installation auf bis zu 3 Geräten parallel zu und ist für etwa 30 € zu haben.

Von Kaspersky Anti-Virus gibt es zwar keine kostenlose Basisversion wie für etliche Produkte von Wettbewerbern. Allerdings können alle Kaspersky-Produkte als 30-Tage-Testversion heruntergeladen werden. So lassen sich z.B. Hakeligkeiten im Installationsprozess sowie Unverträglichkeiten mit bestehender Software wie z.B. die bereits erwähnte Ashampo Firewall vorab klären.

30-Tage-Testversion von Kaspersky Anti-Virus 2011

Angriffsziel Handy – wie verwundbar sind Mobiltelefone wirklich?

Die Zeit als Mobiltelefone hauptsächlich zum Telefonieren benutzt wurden, ist bereits seit Längerem vorbei. Heute sind Handys Hilfsmittel zur Verwaltung des eigenen Lebens. Dementsprechend sind Handys technisch gesehen spätestens ab der Gerätegeneration der sog. „Smartphones“ schlicht vollwertige Computer mit funktionell reduzierten Ein- und Ausgabemöglichkeiten. Das Smart im Phone steht dabei für die erweiterten und verbesserten Einsatzmöglichkeiten dank flexibler Technologie.

Jeder Computer ist aber programmierbar, d.h. er kann Anweisungen in Programmform ausführen und tun, was ihm vorgegeben wird. Jeder Computer kann dementsprechend so programmiert werden, dass er Schadcode ausführt und den nichtsahnenden Benutzer „hintergeht“. Viren, Trojaner und co.  gibt es auch für Smartphones.

Lange Zeit aber war Schadsoftware für Mobiltelefone ein eher akademisches Thema. Die grundsätzliche Machbarkeit („proof of concept“) war nachgewiesen, trotzdem spielte das Thema in der Praxis kaum eine Rolle. Denn jeder Handyhersteller gab seinem Gerät ein eigenes Betriebssystem und eigene herstellerspezifische Software mit. Das machte es aufwendig und zugleich uninteressant, für jedes Handy eigene Varianten von Schadsoftware zu entwickeln. Außerdem funktionierten gefundene Schwachstellen und Sicherheitslücken der Software nur eben auf dem jeweiligen Gerätetyp. Zudem war das Spektrum an Möglichkeiten der so gehackten Geräte überschaubar.

Heute stecken in einem Smartphone oftmals mehr persönliche Daten als in einer Geldbörse voller Ausweise und Kreditkarten. Man kann es dazu benutzen, um auf Kosten des Simkartenbesitzers Daten zu übermitteln oder kostenpflichtige Dienstleistungen in Anspruch zu nehmen. Oder ihm Verträge über Abzockaboabrufseiten unterzujubeln. So berichtet z.B. die aktuelle ct‘ über Abofallen in Smartphone-Apps, die durch das ahnungslose Berühren von Werbeeinblendungen ausgelöst werden. Ein Vorgang der sich ebenfalls per Schadsoftware automatisieren lässt.

Und heute basieren auch nahezu alle aktuellen Smartphones auf einer von nur wenigen Betriebssystemplattformen. Apples iOS, das quelloffene Android-System von Google, das ebenfalls quelloffene MeeGo sowie (mit abnehmender Bedeutung) Symbian und Windows Mobile. Für jedes der Betriebsysteme gibt es zahlreiche funktionell sehr ähnliche Geräte mit im Wesentlichen gleichartigen Systeminterna und Schwachstellen. Auch werden zunehmend herstellerübergreifende Standards für Inhalte wie Flash und Java eingesetzt.

In Summe nimmt so die Attraktivität der Smartphone-Welt für Schadcodeautoren rasch zu, da eine Version eines Trojaners auf vielen Geräten lauffähig ist. So sind z.B. für das aktuelle Edelphone von Apple sowie dessen „großen Bruder“ das i-Pad  gleich mehrere Sicherheitslücken aktenkundig, vor denen etwa das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits warnt.

Das lässt die Bedeutung von Virenschutzsoftware für Handys zunehmen. Noch wichtiger aber ist die bewusste und überlegte Nutzung der Geräte. So muss ein Handy im Normalfall keine Bluetooth-Verbindung offen halten (kann man abschalten) – es wird dadurch aber für Mobilfunkhacker leicht aus der Entfernung identifizierbar. Und wer seinem i-Phone eine neue App spendiert (d.h. aus dem App-Store im Internet runterlädt), sollte sich im Anschluss daran fragen, ob z.B. wirklich alle angeforderten Rechte für eine einwandfreie Funktion erforderlich sind. Nicht jede Spiel-App benötigt Vollzugriff auf alle privaten Daten im Gerät oder die Möglichkeit im Hintergrund Datentransfers von und nach sonstwohin abzuwickeln. Passen angeforderte Rechte nicht zum eigentlichen Verwendungszweck der App sollte man ruhig auch mal beim Hersteller anfragen. Unbefriedigende oder ausweichende Antworten sollten zu einem Aussortieren der Software führen.

Ein eigenes Thema wäre zudem der Schutz der Daten auf verloren gegangenen oder gestohlenen Geräten. Auch hierfür bilden sich am Markt zunehmend Lösungen in Form spezieller Software heraus. Schließlich kann man ein Smartphone durchaus auch aus der Ferne orten oder dazu bringen, sich zu sperren und gespeicherte Daten zu verschlüsseln oder zu löschen.

Auch sollte man sich bezgl. Neuigkeiten zum Betriebssystem und der Software des verwendeten Smartphones auf den Laufenden halten. Das Thema Handyviren und Smartphonetrojaner ist erst noch im Kommen. Die Berichterstattung in den Medien dürfte dazu in den nächsten Monaten deutlich zunehmen, wenn sich auch Tablet-PCs basierend auf Smartphone-Plattformen weiter ausbreiten.

Viele Smartphone-Nutzer, sind bisher zwar beim Arbeiten am PC halbwegs sicherheitssensibel, achten auf den Einsatz aktueller Software und Patches für ihren PC, setzen Virenschutz und Firewall ein oder arbeiten gleich mit einer gehärteten Linux-Distribution. Aber ihr Handy benutzen sie wie einen Haarfön: Einschalten und loslegen ohne weitere Hintergedanken. Ist doch die Technik praktisch kinderleicht, wartungsfrei und ausfallsicher gestaltet. Das wird sich ändern (müssen). Spätestens wen Handyviren in größerem Umfang damit beginnen kostenpflichtige Mehrwertdienste anzurufen (wie zu Zeiten des Einwahlinternets im Gebührentakt die Dialerprogramme), Abofallen auszulösen, wichtige Daten zu stehlen oder das Gerät gleich unbrauchbar zu machen, bis man es mit Hilfe eines vom Virenautor gegen „Lösegeld“ zu kaufenden Entsperrcodes wieder aktiviert (sog. „Ransomware“).