Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 9. „ACTIVE CONTENT“ UND MOBILER CODE
Darüber hinaus kennt der Browser das Konzept unterschiedlicher Sicherheitszonen. Dabei erfolgt die
Einteilung der Rechner anhand ihrer Adresse und des verwendeten Protokolls in:
Arbeitsplatz Nur der lokale Rechner ist Mitglied dieser Zone. Sie ist im Internet Explorer nicht
konfigurierbar. Dazu sind spezielle Administrationsprogramme erforderlich, welche auch neue
Zonen einrichten können.
lokale Intranetzone Diese Zone ist so voreingestellt, daß all diejenigen Rechner in ihr Mitglied sind,
¯ deren URL keine Punkte enthält (z.B. http://rechner/), und die keiner anderen Zone
zugeordnet sind,
¯ die nicht über einen Proxyserver zugegriffen werden, oder
¯ auf die über das Common Internet Filesystem (CIFS, auch bekannt als NetBIOS) zugegriffen
wird (z.B. \\rechner\freigabe\datei.txt).
Internetzone Diese Zone enthält alle Rechner, die keiner anderen Zone zugeordnet sind.
Zone für vertrauenswürdige Sites In diese Zone werden Rechner nicht automatisch eingetragen.
Es können aber manuell Rechner eingetragen werden, für die weniger restriktive Einstellungen
gelten sollen, als dies für Rechner der Internetzone der Fall wäre.
Zone für eingeschränkte Sites Diese Zone stellt das Gegenteil der „Zone für vertrauenswürdige Sites“
dar. Sie ist bestimmt für Rechner, deren Inhalte mit größeren Restriktionen ausgeführt
werden müssen, als Inhalte von Rechnern der Internetzone. Auch in sie werden Rechner nicht
automatisch eingetragen.
Obwohl die Einordnung prinzipiell automatisch abläuft, so kann der Benutzer auch einzelne Rechner
gezielt in bestimmte Zonen einordnen. Dabei ist allerdings zu beachten, daß es prinzipiell möglich
ist, Rechner sowohl unter ihrem logischen Namen als auch unter ihrer IP-Adresse einzutragen. Erfolgen
diese Einträge in verschiedene Zonen, so wird der jeweilige Rechner unterschiedlich behandelt,
je nachdem, ob er über seine IP-Adresse oder mit seinem logischen Namen angesprochen wird
(vgl. [Microsoft 99b]).
Für jede Zone können nun die Sicherheitseinstellungen getrennt getroffen werden, womit es prinzipiell
möglich ist, das System recht gut auf seine eigenen Bedürfnisse zu konfigurieren. So wäre es
z.B. denkbar, den Download von Applets von dem Rechner zu erlauben, auf dem man Homebanking
betreibt, von allen anderen aber den Download streng zu untersagen.
Allerdings gibt es doch einige Probleme, die diese Vorteile wieder in Frage stellen. So sind die Voreinstellungen
des Browsers alles andere als sicher. Auch die Möglichkeit, das Schutzbedürfnis statt in
vielen Einzeleinstellungen in „Hoch“, „Mittel“, „Niedrig“ und „Sehr niedrig“ zu spezifizieren, wird
dadurch zur Falle für den arglosen Benutzer, daß die Ausführung von Applets und Skripten auch in
der Einstellung „Hoch“ aktiviert ist (vgl. [Microsoft 99b]).
Der einzige Weg zu wirklich sicheren Einstellungen besteht somit darin, alle Einstellungen von Hand
auf die gewünschten Werte zu setzen. Auch finden sich nicht alle relevanten Einstellungen unter
„AnsichtInternetoptionenSicherheit“, auch unter „Erweitert“ sind u.a. mit „Zählen der übertragenen
Seiten aktivieren“, „Auf zurückgezogene Serverzertifikate prüfen“, „Auf zurückgezogene Zertifikate
von Herausgebern prüfen“, „Bei ungültigen Site-Zertifikaten warnen“ Einstellungen zu finden,
die ein sicherheitsbewußter Benutzer besser überprüfen sollte.
134 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen