Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

26
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
25
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Computer-Virus
unnötiges
Schreibzugriffsrecht,
z.B. für Spielprogramm
Programm 1
Infektion
Programm 2
Der Zugriffsmonitor kontrolliert den Zugriff von Rechenprozessen, die Menschen oder IT-
Systeme vertreten können, auf Daten und Programme (inkl. Ausgabe), und nicht den unmittelbaren
Zugriff von Menschen auf sie oder Geräte.
Benutzer-Prozesse tun auch auf einer korrekten Betriebssystemmaschine nicht unbedingt das, was
der Benutzer will oder von ihnen vorgespiegelt bekommt – denn sie können Trojanische Pferde
enthalten. Aus diesem Grund sitzt der Zugriffsmonitor an der richtigen Stelle, nämlich zwischen
Benutzer und Benutzer-Prozeß einerseits und den Daten und Programmen, die anderen gehören
können, andererseits. Dies wird im folgenden Abschnitt am Beispiel der „Computer-Viren“ noch
etwas deutlicher.
transitives Trojanisches Pferd
notwendiges
Schreibzugriffsrecht,
z.B. für Compiler oder Editor
Programm 1
Soll Zugriffskontrolle nicht nur bei der Realisierung von Vertraulichkeit und Integrität helfen, sondern
auch bei der Realisierung von Verfügbarkeit, dann muß der Zugriffsmonitor nicht nur das Vorhandensein
von Rechten prüfen, sondern auch, wie häufig sie ausgeübt wurden und werden dürfen.
Etwas allgemeiner gesagt: Für Verfügbarkeit ist nicht nur Zugriffskontrolle im engeren Sinne nötig,
sondern auch eine Kontrolle des Ressourcenverbrauchs – wozu selbstverständlich auch die
Benutzung der der Zugriffskontrolle unterliegenden Objekte gehört.
Programm 2
2.2.4 Beschränkung der Bedrohung „Computer-Viren“ auf die durch
„transitive Trojanische Pferde“
Beschränkung der Angriffsausbreitung durch
geringstmögliche Privilegierung:
Keine unnötigen Zugriffsrechte gewähren!
--> Keine Computer-Viren,
--> nur noch transitive Troj. Pferde
Die in aller Munde und Zeitschriften befindlichen „Computer-Viren“ sind spezielle, durch ihren
Ausbreitungsmechanismus definierte Trojanische Pferde:
Hat ein ausgeführtes Programm, in dem sich ein Computer-Virus befindet, Schreibzugriff auf
ein beliebiges anderes Programm, so kann er dieses Programm so ändern, daß bei dessen
Ausführung eine (optional veränderte) Kopie des Virus mit ausgeführt wird.
Computer-Viren können sich in der transitiven Hülle der (meist üppig gewährten) Schreibzugriffsrechte
ausbreiten.
Bild 2-6: Computer-Virus, transitives Trojanisches Pferd und Beschränkung der Bedrohung durch
ersteres auf die durch letzteres
Grundsätzliche Schutzmechanismen zur Verhinderung der Ausbreitung von Computer-Viren waren
bereits vor deren Erfindung bekannt [Denn_82 Seite 317f]:
Jedem Programm wird bei seiner Ausführung nur das ermöglicht, was es können muß
(Prinzip der geringstmöglichen Privilegierung, principle of least privilege).
Um Programme vor unbemerkter Veränderung auch außerhalb physischer Schutzbereiche
zu schützen, werden alle Programme vom Generierer digital signiert, vgl. §3 und [ClPf_91,
Cles_88]. Vor der Ausführung jedes Programms wird geprüft, daß es nicht unautorisiert
verändert wurde.
Da diese Schutzmechanismen die Bedrohung durch Computer-Viren genau auf die durch transitive
Trojanische Pferde vermindern [Pfit_89 Seite 7, 17], sind Computer-Viren kein zusätzliches
Forschungsproblem der Informatik. Leider wurden diese grundsätzlichen Schutzmechanismen jedoch
aus Denkfaulheit und zu einem geringeren Teil auch Aufwands- und damit Kostengründen bisher
nicht eingesetzt. Daraus resultiert ein schwerwiegendes Problem, da gegen Computer-Viren
weitgehend ungeschützte Rechner weit verbreitet sind.
Anmerkung mit Begründungen: Es ist absehbar, daß alle Maßnahmen, gegen Computer-Viren
vorzugehen, ohne das Prinzip der geringstmöglichen Privilegierung durchzusetzen, versagen werden: