Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

46 2 Programmieren mit Unix-Prozessen
Im Jahr 1988 erregte zum ersten Mal ein Buffer-Overflow weltweit öffentliche
Aufmerksamkeit. Der sogenannte Morris-Wurm, benannt nach seinem
Erfinder“ Robert T. Morris Jr., breitete sich rasant über das Internet aus.
”
Innerhalb kürzester Zeit waren zwischen 2000 und 6000 Rechner mit diesem
Wurm infiziert. Vor dem Hintergrund, daß 1988 überhaupt erst ca. 60 000
Rechnersysteme durch das Internet miteinander in Verbindung standen, war
dies ein beachtlicher Prozentsatz von befallenen Rechnern.
Der Wurm nutzte u. a. eine damals bereits seit längerem bekannte Schwachstelle
in einem Systemprogramm aus. Im Finger-Dæmon, einem weit verbreiteten
Systemdienst, mit dessen Hilfe man über das Netzwerk Informationen über
Benutzer fremder Rechnersysteme ermitteln kann, verbarg sich ein Buffer-
Overflow. Obwohl die Schwachstelle bekannt und auch schon länger eine bereinigte
Version des Programms verfügbar war, lief auf vielen Rechnern noch
die fehlerhafte Version dieses Dienstes.
Auch heute sind schlecht programmierte Computerprogramme und oftmals
mit großer Verspätung oder überhaupt nicht eingespielte Sicherheits-Updates
noch immer eine der größten Gefahrenquellen im Bereich der Rechner- und
Netzwerksicherheit. In der jüngeren Vergangenheit haben immer wieder neue
Buffer-Overflows in z. B. Microsofts Internet Information Server und Internet
Explorer, im Nameserver BIND, im Mailprogramm Sendmail und
auch einige Format-String-Schwachstellen, z. B. im FTP-Server Wu-ftpd“,
die Runde gemacht. Eines der bekanntesten Beispiele ist der Internet-Wurm
W32/Lovesan bzw. W32/Blaster, der im Sommer 2003 durch das weltweite
Datennetz geisterte. Der Wurm konnte durch einen Buffer-Overflow in der
RPC-Schnittstelle von Windows NT, 2000, XP und Windows 2003 Server
über das Netzwerk in ungesicherte Windows-Rechner eindringen. Die Angaben
über die Zahl der von W32/Blaster weltweit befallenen Systeme schwanken
zwischen 120 000 und 1,4 Millionen. Auch in diesem Fall standen die notwendigen
Software-Updates zur Beseitigung der Schwachstelle bereits rund vier
Wochen vor dem Ausbruch des Wurms zur Verfügung.
Der Morris-Wurm von 1988 hatte als direkte Konsequenz die Einführung des
CERT Coordination Center (CERT/CC) zur Folge. Beim CERT/CC handelt
es sich um ein Team, das sich auf Computer-Sicherheit spezialisiert hat und
sicherheitsrelevante Vorfälle sammelt und veröffentlicht. 7 In der Zwischenzeit
arbeitet eine wachsende Zahl von Organisationen sowohl aus dem staatlichen
wie auch dem privaten Bereich in Nordamerika, Europa und Australien unter
dem Namen Forum of Incident Response and Security Teams (FIRST)
zusammen, um Informationen auszutauschen und ihre Reaktion auf sicherheitsrelevante
Vorfälle zu koordinieren. 8
Anfänglich mußten von diesen Teams nur wenige hundert Problemfälle behandelt
werden, in der Zwischenzeit bearbeitet das CERT/CC jedoch schon
7 http://www.cert.org/
8 http://www.first.org/