Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

12
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
11
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Der Personenkreis, dessen Mitglieder als potentielle Angreifer betrachtet werden müssen, wird durch
die Transitivität Trojanischer Pferde immer größer, die der obigen rekursiven Charakterisierung der
Menge der Entwerfer und Produzenten entspricht. Dieses Größerwerden ist aus vielen Gründen
mißlich, die sich in zwei Gruppen einteilen lassen:
• Erstens sinkt die Wahrscheinlichkeit, daß alle keine Angreifer sind, einfach durch die Zunahme
der Zahl der Menschen. Zusätzlich sinkt mit der Größe und Heterogenität der Gruppe bei
jedem Einzelnen das Gefühl der Zusammengehörigkeit und des Füreinander-verantwortlich-
Seins. Außerdem nimmt die implizite soziale Kontrolle innerhalb der Gruppe ab.
• Zweitens wird die Durchführung von Kontrollen der Menschen immer aufwendiger, unakzeptabler
(Schlagwort: Überwachungsstaat) und durch die Grenzen der Kooperation von
Staaten begrenzt (welcher Staat erlaubt einem anderen die Überprüfung eines Teils der eigenen
Bevölkerung; andererseits: welcher Staat verbietet den Import von Software?).
unbefugter
Informationsgewinn
(verdeckter)
Ausgabe-Kanal
Handlungsanweisung
(verdeckter)
Eingabe-Kanal
unbefugte
Modifikation von
Informationen
Schreibzugriff
universelles
Trojanisches
Pferd
1.2.3 Wie und wodurch kann Sicherheit erreicht werden?
unbefugte
Beeinträchtigung
der Funktionalität
Schreibzugriff,
Nichtterminieren,
Betriebsmittelverbrauch
Zunächst muß vereinbart werden, was „unbefugt“ bedeutet. Dies kann beispielsweise durch internationale
Konventionen, Verfassung, Gesetze, Betriebsvereinbarungen oder berufsständische Ethik
geschehen. „Unbefugtes“ Handeln wird mit Strafe bedroht.
Organisationsstrukturen sollten so gewählt werden, daß Unbefugtes möglichst erschwert, am
besten verhindert wird.
Bild 1-5: Universelles Trojanisches Pferd
Reichen Ge- und Verbote sowie organisatorische Maßnahmen?
Ein Verbot ist nur dann wirkungsvoll, wenn seine Einhaltung mit angemessenem Aufwand überprüft
und durch Strafverfolgung gesichert und der ursprüngliche Zustand durch Schadensersatz wiederhergestellt
werden kann. Beides ist bei IT-Systemen leider nicht gegeben.
„Datendiebstahl“ allgemein, speziell das direkte Abhören von Leitungen oder Kopieren von Daten
aus Rechnern, ist kaum feststellbar, da sich an den Originaldaten nichts ändert. Ebenso ist, wie oben
erwähnt, das Installieren Trojanischer Pferde kaum festzustellen und erst recht nicht die unerlaubte
Weiterverarbeitung von Daten, die man legal (oder auch illegal) erhalten hat.
Die Wiederherstellung des ursprünglichen Zustands müßte vor allem darin bestehen, alle entstandenen
Daten zu löschen. Man ist aber nie sicher, ob nicht noch weitere Kopien existieren. Außerdem
können sich Daten im Gedächtnis von Menschen festsetzen, wo das Löschen besser nicht angestrebt
werden sollte.
Es sind also zusätzliche wirkungsvollere Maßnahmen nötig. Vorbeugende technische Schutzmaßnahmen
sind die einzigen bekannten.
Diese sehr weite Definition Trojanischer Pferde läßt viele Spielarten zu, die teilweise mit eigenen
martialischen Namen versehen sind, z.B. logische Bomben etc. Für eine grundsätzliche Betrachtung
sind jedoch nur die beiden folgenden Eigenschaften universell und/oder transitiv wichtig.
Üblicherweise stellt man sich vor, daß der von einem Trojanischen Pferd anzurichtende Schaden
(genauer: seine Schadensfunktion) beim Entwurf des Trojanischen Pferdes festgelegt wird. Damit
wäre das Trojanische Pferd ein relativ unflexibler und ungerichteter Angreifer, bei Entdeckung wäre
die Schädigungsabsicht seines Urhebers (sofern dieser identifizierbar ist) nachweisbar. Es ist aber
auch möglich, zum Entwurfszeitpunkt nur einen Handlungsrahmen zu schaffen, der durch Eingaben
während des Betriebs mit Leben gefüllt wird. Die Eingaben an das Trojanische Pferd werden in
zulässigen – und harmlos scheinenden – Eingaben an den das Trojanische Pferd enthaltenden Systemteil
verdeckt codiert (Bild 1-5). Die Codierung wird zweckmäßigerweise so redundant gewählt, daß
die Wahrscheinlichkeit, daß ein Uneingeweihter durch seine Eingaben an den Systemteil auch Eingaben
für das Trojanische Pferd übermittelt, verschwindend gering ist. Im allgemeinsten Fall kann
man während des Betriebs das Trojanische Pferd beliebig programmieren. Dorothy Denning hat diese
Trojanischen Pferde universell (universal) genannt [Denn_85]. Die gezielte Verwendung universeller
Trojanischer Pferde ist natürlich nur solchen Personen möglich, die während des Betriebes
Zugriff auf das System haben. Dies ist insbesondere bei offenen Systemen aber fast jedem möglich.
Mit Hilfe universeller Trojanischer Pferde sind sehr flexible und gerichtete Angriffe möglich. Der Benutzer
des Trojanischen Pferdes braucht z.B. nicht zu warten, bis ein ihn seit kurzem interessierender
Datensatz nach vielen Jahren endlich übertragen wird, sondern er kann das universelle Trojanische
Pferd diesen Datensatz sofort übertragen lassen.
Üblicherweise stellt man sich auch vor, daß ein Trojanisches Pferd vom Täter direkt dort untergebracht
werden muß, wo es subversiv wirken soll. Auch diese Vorstellung ist falsch: Werden beim
Entwurf Hilfsmittel verwendet (z.B. Compiler), so kann sowohl der Entwerfer als auch das Entwurfshilfsmittel
ein Trojanisches Pferd im Entwurf unterbringen. Da mit Entwurfshilfsmitteln weitere
Entwurfshilfsmittel entworfen werden, gilt dies rekursiv, so daß sich ein Trojanisches Pferd in der
transitiven Hülle aller Entwürfe ausbreiten kann, an denen sein Gastgebersystem direkt oder indirekt
beteiligt war [Thom_84, Pfit_89]. Ich spreche deshalb von transitiven Trojanischen Pferden.
1.2.4 Vorausschau auf Schutzmechanismen
Bild 1-6 gibt eine Vorausschau auf Maßnahmen, die in den folgenden Kapiteln erläutert werden. Die
Spalte „Unerwünschtes verhindern“ (lies: Unerwünschte Aktionen des Systems sollen verhindert
werden) entspricht im wesentlichen dem Schutzziel Vertraulichkeit, die Spalte „Erwünschtes leisten“
(lies: Erwünschte Aktionen des Systems sollen stattfinden) im wesentlichen den Schutzzielen
Integrität und Verfügbarkeit. 12
12 Unbeobachtbarkeit, Anonymität und Unverkettbarkeit können auf folgende subtile Weise zur Verfügbarkeit beitragen:
Ist ein Angreifer nicht bereit, alle (oder zumindest sehr viele) Teilnehmer zu beeinträchtigen – sei es, weil er
nicht garzusehr auffallen will oder beispielsweise politisch motivierte Terroristen nicht auch die Schwachen einer
Gesellschaft angreifen wollen –, so verhindern Unbeobachtbarkeit, Anonymität und Unverkettbarkeit ein selektives
Beeinträchtigen der Verfügbarkeit für spezielle Teilnehmergruppen oder gar spezielle individuelle Teilnehmer. In
solch einer Situation ist von so motivierten Tätern mit keiner Beeinträchtigung der Verfügbarkeit zu rechnen.