Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

378
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
377
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Natürlich kann man, vermutlich zu Recht, einwenden, daß etwa illoyales Personal einen
verborgenen Kanal weit größerer Kapazität darstellt. Mir ging es aber um Informationstechnik und
einen üblicherweise übersehenen Aspekt.
Übrigens kann auch loyales Personal einen verborgenen Kanal weit größerer Bandbreite
darstellen: Nehmen wir an, daß ein Trojanisches Pferd im Rechner die Video-Ansteuerung der
Terminals beeinflussen und damit die Bildqualität subtil verschlechtern kann. Dann braucht ein
Angreifer nur zu beobachten, ob das Personal die hermetisch geschirmten Räume mit geröteten
Augen verläßt oder wann es besonders zahlreich Augenärzte aufsucht.
2-7 Perspektivwechsel: Das diabolische Endgerät
Die Eigenschaften für a) stehen jeweils vorne gefolgt von den Motiven des Beteiligten, solch ein
Gerät zu benutzen. Die Schlußfolgerung für die Umsetzung steht hinter dem Folgerungspfeil.
Schlagworte, die sie im PC Handbuch finden können, sind kursiv.
Verwendung des Endgerätes für möglichst viele Zwecke gleichzeitig, damit es in seinen inneren
Abläufen möglichst undurchschaubar wird. Die Motivation für den Benutzer, dies zu tolerieren,
besteht drin, daß er so seine Daten für viele Zwecke gemeinsam verwalten und gegenseitig nutzen
kann und daß das Endgerät so ein günstiges Preis-Leistungsverhältnis suggeriert. ––> diensteintegrierendes
Endgerät
Das Endgerät sollte als nützlich, chick und fortschrittlich, möglichst sogar unvermeidbar gelten.
––> diensteintegrierendes Endgerät, chick, klein, bunt, kommunikativ ... vorgegeben
beispielsweise durch Rahmenverträge für große Firmen und öffentliche Stellen.
2-5 Begrenzung des Erfolges verändernder Angriffe
Verändernde Angriffe sollten möglichst a) schnell erkannt und alle unbefugten Änderungen
möglichst b) präzise lokalisiert werden. Danach sollte möglichst (weitgehend) c) der Zustand
hergestellt werden, der ohne den verändernden Angriff vorliegen würde.
a) Neben allgemein anwendbaren informationstechnischen Maßnahmen wie
• fehlererkennende Codierung bei Übertragung und Speicherung,
• Überprüfung der Authentizität aller Nachrichten vor deren Bearbeitung (also
Authentikationscodes oder digitale Signaturen, vgl. §3), damit gefälschte Kommandos in
Nachrichten erst gar nicht ausgeführt werden, ggf. Gleiches bzgl. Speicherinhalten, die
aus ungeschützten Bereichen wieder eingelesen werden, z.B. von Floppy Disks,
gibt es für jede einzelne Anwendung spezifische Plausibilitätstests. Beispielsweise können
sich Menschen in der Bundesrepublik bisher mit allerhöchstens 1000 km/h bewegen. Dies
kann dazu verwendet werden zu entdecken, wenn sich ein Angreifer für jemand anderes
ausgibt, der sich kurz vorher von woanders gemeldet hatte.
b) Hier hilft Protokollierung, wer wann worauf zugegriffen hat, vgl. §2.2.3.
c) Hier muß zwischen Hardware und Daten (inkl. Programme) unterschieden werden.
Hardware muß entweder sehr schnell repariert oder gar neu beschafft werden können
(Verträge mit den möglichen Lieferanten für Notfälle und eine Versicherung zur Deckung der
Kosten sind hier eine große Hilfe) oder es muß Alternativen wie Backup-Rechenzentrum,
alternatives Kommunikationsnetz etc. geben. Der Ersatz von Hardware ist also vor allem ein
finanzielles Problem.
Für Daten (inkl. Programme) werden Backups benötigt. Hier besteht folgendes
Dilemma: Einerseits sollte ein möglichst aktueller Zustand wiederhergestellt werden, damit
möglichst wenig Arbeit verloren geht. Andererseits sollte, wenn unbefugte Veränderungen
nicht sofort erkannt wurden, genügend weit in die Vergangenheit zurückgesetzt werden, daß
auf jeden Fall ein Zustand ohne die unbefugten Veränderungen erreicht wird. Was tun? Das
Backup-System muß es erlauben, die Weite des Rücksetzens weitestgehend dynamisch
festzulegen. Dies kann geschehen, indem beispielsweise täglich ein komplettes Backup
angelegt wird, wöchentlich eins, monatlich eins und jährlich eins. Das tägliche Backup kann
dann wöchentlich überschrieben werden, das wöchentliche monatlich und das jährliche bitte
nie - so viele Backup-Streamertapes sollte sich Ihre Firma schon leisten können. Eine
Alternative ist, nur hin und wieder ein komplettes Backup anzulegen, dafür aber ein Logfile
zu schreiben, auf dem alle Änderungen (inkl. der genauen Werte) vermerkt sind. Anhand des
aktuellen Zustands und des Logfiles kann dann beliebig in die Vergangenheit zurückgegangen
werden – genau wie anhand eines alten Zustands und des Logfiles auch bis in die Gegenwart
vorwärts gegangen werden kann. Bitte denken Sie aber auch daran, öfters ein Backup des
Logfiles zu machen. Natürlich können Sie all dies auch kombinieren. Die aktuellen Kosten
von Backup-Speichermedien und -Geräten, ihre Leistung und Ihre Datenbestände inkl.
Änderungsrate bestimmen, wo für Sie ein guter Kompromiß liegt.
Das Endgerät sollte durch möglichst Viele flexibel änderbar sein. ––> programmierbares Endgerät;
Software möglichst sogar dynamisch nachladbar: PC, PDA; ActiveX
Die Verantwortung für Änderungen sollte möglichst jemand haben, der nicht wirklich versteht,
was er tut, dies aber nicht unbedingt selbst merkt, für sein Tun aber gute Gründe hat. Ideal wäre
der Benutzer selbst. Dann können andere hinterher sagen: Selbst schuld ... (Eine subtile Variante
hiervon ist die Vorinstallation bei Kauf durch den Verkäufer nach den Wünschen des Käufers.)
Möglichst viel Rechenleistung und Speicherplatz, die für undurchsichtige Zwecke verwendet
werden, damit die Betriebsmittelbelegung (universeller) Trojanischer Pferde nicht auffällt.
Da Trojanische Pferde nicht auf Anhieb alles richtig machen, sollten Systemabstürze als normal
gelten.
Undurchsichtige, umfangreiche Programme, deren Quellcode nicht bekannt ist.
Proprietäre, möglichst nicht öffentlich dokumentierte, undurchsichtige Datenformate statt
öffentlich dokumentierten oder gar standardisierten Formaten. Also WORD-Format statt RTF.
Weder Zugangs- noch Zugriffskontrolle (damit jedes Programm jedes andere Programm beliebig
beeinflussen kann), schon gar nicht Zugriffskontrolle nach dem Prinzip Least Privilege. ––>
Windows 98 und MacOS haben keinerlei Zugangs- und Zugriffskontrolle, Windows NT und
Linux keine Zugriffskontrolle nach dem Prinzip Least Privilege.
Das Endgerät sollte möglichst universelle, bidirektionale Schnittstellen haben, damit es der
Benutzer mit allem Möglichen leicht verbinden kann. Besonders lukrativ erscheinen öffentliche
offene Netze, z.B. das ––> Internet: Einerseits für das dynamische Nachladen von Software, z.B.
aktive Inhalte im Web, andererseits damit Angreifer häufig und unbemerkt Zugriff auf ihre
universellen Trojanischen Pferde im Endgerät erhalten können.
Dem Benutzer nicht bewußte, zumindest nicht verdächtige Weitergabe von Geheimnissen nach
außen: Inhalte, Identität des Benutzers, ersatzweise des Gerätes. ––> Übertragung von unver-
2-6 Wirklich kein verborgener Kanal mehr?
Leider nein! Sollten unsere Militärs ihre Rechner wirklich benötigen, gibt es folgenden verborgenen
Kanal: Immer wenn ein Rechner ausfällt, werden unsere Militärs einen neuen bestellen. Tun
sie das in den auf den Ausfall folgenden 24 Stunden und wird als plausibel angenommen, daß
Rechner alle 10 Jahre (= 3652,5 Tage unter Einschluß von im Mittel 2,5 Schaltjahrtagen)
ausfallen, so besteht ein verborgener Kanal von immerhin fast (bei Annahme eines perfekten
Rechners, der außer zum Zwecke der Nutzung des verborgenen Kanals nicht ausfällt: genau)
ld 3652,5 bit,
d.h. mehr als 11 bit in 10 Jahren.