Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

10
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
9
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Ein Systemteil ist ein Trojanisches Pferd, wenn er unter Ausnutzung der ihm anvertrauten Daten
und Rechte mehr als das von ihm Erwartete9 oder von ihm Erwartetes falsch oder nicht tut10 , vgl.
Bild 1-5. Etwa könnte ein Editor die ihm eingegebenen Daten nicht nur in einer Datei seines Benutzers
abspeichern, sondern noch an den Programmierer des Editors weitergeben. Hierzu benötigt das
Trojanische Pferd einen verborgenen Kanal11 (covert channel) [Cove_90, Denn_82, Lamp_73,
Pfit_89 Seite 7, 18]. Kann in unserem Beispiel der Editor als verborgenen Kanal keine zweite Datei
benutzen (in vielen Rechnern könnte er das), so kann er etwa seinen Verbrauch an Betriebsmitteln
(Speicherbelegung, CPU-Zeit) modulieren, was von anderen Prozessen wahrgenommen werden
kann.
Leider sind keine brauchbaren Verfahren bekannt, alle Trojanischen Pferde zu finden oder deren
Existenz im untersuchten Systemteil auszuschließen. Im wesentlichen ist man hier auf das „Hinschauen
mit bloßem Auge“ angewiesen (was bei der heutigen Komplexität von Rechnern fast genausogut
mit geschlossenen Augen geschehen kann).
Die Bandbreite selbst mancher bekannter verborgener Kanäle läßt sich ohne drastischen Mehraufwand
nicht beliebig verkleinern. Die höchste Qualitätsanforderung der IT-Sicherheitskriterien läßt
ohne Begrenzung der Anzahl der bekannten verborgenen Kanäle eine Bandbreite pro verborgenen
Kanal von 1 bit/s zu [ZSI_89 Seite 96]. Nehmen wir an, ein Angreifer kann sich von einem Trojanischen
Pferd „nur“ 1 bit/s übertragen lassen: Dann erhält er innerhalb eines Jahres ca. 4 MByte Daten.
Glücklicherweise kann durch den Einsatz von Diversität, d.h. der Entwurf wird durch mehrere
unabhängige Entwerfer mit unabhängigen Hilfsmitteln mehrfach durchgeführt, unter plausiblen
Annahmen die Bandbreite auf exakt 0 bit/s verkleinert werden [Cles_88]. Allerdings ist der Aufwand
hierfür beträchtlich.
Sicherheitslücke. Denn nicht nur unbewußte Fehler, auch bewußte Angriffe können sich entlang der
Entwurfs- und Produktionslinie fortpflanzen. In Bild 1-4 muß beispielsweise mitnichten der Mensch
oben schuld sein, wenn der rechnerunterstützt entworfene Rechner fehlerhaft ist. Wie in Bild 1-4
eingezeichnet, könnten es auch der Mensch ganz unten oder der Rechner unten rechts sein. Natürlich
kämen auch die anderen beiden Menschen und der Rechner in der zweiten Ebene in Betracht.
Symbolerklärungen
Rechner
Programm
A benutzt B, um
C zu entwerfen.
C
A
B
Maschine X führt
Programm Y aus
Y
X
Fehler- / Angriffsausbreitung
✍
9
In der Literatur wird ein Trojanisches Pferd oft als ein Programm definiert, das „neben seiner vorgeblichen eigentlichen
Funktion eine weitere, nicht dokumentierte Zusatzfunktion ausführt“. Neben der unnötigen Beschränkung auf
Programme sowie Zusatzfunktion ist diese Definition unglücklich: Zu jeder Programmfunktion gibt es mindestens
eine Dokumentation, in der jede Einzelheit enthalten ist: den Programmcode selbst [Dier3_91].
10 Diese Definition mag auf den ersten Blick zu allgemein erscheinen, da in ihr Absicht oder böser Wille eines
Urhebers des Trojanischen Pferdes nicht gefordert wird, während die Griechen laut Homer bei der Konstruktion und
Nutzung des hölzernen Trojanischen Pferdes vor den Toren Trojas durchaus bewußt planvoll gehandelt haben. Für
das hier eingeführte, erweiterte Verständnis Trojanischer Pferde spricht Zweierlei:
1. Das Kriterium, ob hinter einer vorhandenen Funktionalität eines Systemteils Absicht oder gar böser Wille
steckt, wäre nicht zu entscheiden – eine auf diese Eigenschaften abstellende Definition also informatisch nicht
handhabbar. (Hiervon unberührt bleibt, daß für die moralische und ggf. auch strafrechtliche Verwerflichkeit einer
Handlung Absicht und böser Wille durchaus relevant und daher auch Gegenstand der Urteilsbildung sind.)
2. Für die Auswirkungen einer unerwarteten Funktionalität eines Systemteils ist es unerheblich, ob sie absichtlich
oder gar in böser Absicht geschaffen wurde. Allenfalls, ob sie absichtlich und in böser Absicht nutzbar sowie
potentiellen Tätern mit Motiv bekannt ist, ist für die Auswirkungen relevant.
11 In der Literatur sowie hier werden die Namen verborgener Kanal und verdeckter Kanal bedeutungsgleich verwendet.
Bild 1-4: Transitive Ausbreitung von Fehlern und Angriffen
Die besonders hohe Komplexität heutiger IT-Systeme verhindert eine genügend rigorose Kontrolle
der Systeme selbst. Deshalb müssen auch ihre Produzenten und Entwerfer, seien es Menschen oder
wiederum (irgendwann auch von Menschen geschaffene) IT-Systeme, als mögliche Angreifer, d.h.
unbefugt Handelnde, betrachtet werden. Beispielsweise könnten sie in den von ihnen entworfenen
oder produzierten Systemteilen Trojanische Pferde [Home_??] verstecken: