Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

9.2. ACTIVE CONTENT
Allerdings sind damit immer noch nicht alle Probleme behoben. So existiert kein Menüpunkt, um die
Zone „lokaler Rechner“ zu konfigurieren, womit aktive Inhalte von allen Seiten, die lokal auf dem
Rechner gespeichert sind, oder sich auf einer im Rechner eingelegten CD-ROM befinden, immer ausgeführt
werden können. Dies mag auf den ersten Blick harmlos erscheinen, da die Seiten ja erst einmal
durch den Benutzer heruntergeladen werden müssen. Tatsächlich aber wurden in der Vergangenheit
immer wieder Angriffe demonstriert, die es erlaubten, den Browser davon zu überzeugen, eine Seite
würde lokal geladen, obwohl sie tatsächlich aus dem Internet stammte. Solange nicht sichergestellt
ist, daß derartige Angriffe nicht mehr vorkommen können, führen sie das gesamte Zonenkonzept ad
absurdum.
Zertifikate
Sowohl Navigator als auch Internet Explorer räumen aktiven Inhalten weitergehende Rechte ein, wenn
sie von jemandem digital signiert wurden, der ein Zertifikat einer Instanz besitzt, deren Root-Zertifikat
in einer Datenbank des jeweiligen Browsers eingetragen ist. Beispiele für solche Instanzen wären z.B.
die Browserhersteller selber oder eine kommerzielle Instanz wie VeriSign. Da neben den Organisationen,
die ein Abkommen mit dem Browserhersteller haben, noch eine Vielzahl weiterer Instanzen
existiert, erlauben es die Browser dem Benutzer, bei Bedarf weitere Rootzertifikate hinzuzufügen.
Liegt eine gültige Signatur vor, so wird ein Active X-Control im Internet Explorer heruntergeladen
und ausgeführt 14 , während ein Java-Applet im Netscape Navigator das Recht erhält, Funktionen aufzurufen,
um erweiterte Rechte zu erhalten, die ihm sonst durch die „Sandbox“ verwehrt würden (z.B.
Dateizugriff). In beiden Fällen findet in den Standardeinstellungen eine Sicherheitsabfrage durch den
Browser statt.
Die Gültigkeit einer Signatur wird dabei dann als gegeben angenommen, wenn
¯ der zur Signatur verwendete Schlüssel mit demjenigen identisch ist, der im Zertifikat des Signierenden
eingetragen ist,
¯ das Zertifikat des Signierenden von einer CA ausgestellt wurde, deren Root-Zertifikat in der
Datenbank des Browsers eingetragen ist, und
¯ das Zertifikat mit dem Schlüssel signiert wurde, der im Root-Zertifikat eingetragen ist.
Ob das jeweilige Zertifikat abgelaufen ist oder zurückgezogen wurde, wird dabei nicht zwangsläufig
überprüft. Microsoft führte z.B. schon im Internet Explorer 3.0 mit Authenticode eine Technologie
für Zertifikate ein. Erst seit Authenticode 2.0 (dem Internet Explorer 4.0) sind aber besagte Überprüfungen
prinzipiell möglich (vgl. [Microsoft 97]). Auch im Internet Explorer 5 sind sie standardmäßig
abgestellt (vgl. [Microsoft 99a]).
In diesem Zusammenhang stellt sich die Frage, welche Aussage eine gültige Signatur beinhaltet. Tatsächlich
lautet diese nicht „Diese Datei wurde signiert und ist deshalb sicher“ sondern im besten Falle
„Eine Person, die einer bestimmten CA bekannt ist, hat diese Datei signiert“. Schließlich ist noch
nicht einmal sicher, daß der Signierende mit dem Programmautor identisch ist. Er könnte auch ein
Applet/Control gefunden, für nützlich oder interessant erachtet und selber signiert haben, damit die
Betrachter seiner Webseiten nicht jedesmal Fehlermeldungen wegen der fehlenden Signatur erhalten.
14 Um in den Standardeinstellungen ausgeführt zu werden, muß es darüber hinaus als „Sicher für Scripting“ markiert sein.
Da dies aber durch den Programmierer des Controls geschieht, kann es in diesem Zusammenhang vernachlässigt werden.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 135