Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 9. „ACTIVE CONTENT“ UND MOBILER CODE
In so einem Falle kann er selber nicht genau wissen, was besagte Datei tut, da er höchstwahrscheinlich
nicht den Quelltext kennt.
Nehmen wir aber einmal an, der Signierende sei mit dem Programmautor identisch. Nun bedeutet die
Existenz eines Zertifikats, daß diese Person bei einer Zertifizierungsinstanz vorstellig geworden ist und
die Ausstellung des Zertifikats beantragt hat. Die Zertifizierungsinstanz führt aber in der Regel weder
Überprüfungen der Programmierkenntnisse des Autors durch, noch verlangt sie Leumundszeugnisse.
Damit kann und wird sie nicht garantieren, daß besagte Person niemals Dateien signieren wird, die
unerwünschte Nebeneffekte haben. 15 Die einzige Aussage, die sich dann im hier betrachteten Kontext
aus einem Zertifikat ableiten läßt, ist die Identität des Zertifizierten.
Damit kann eine Signatur keine Aussage über die Gefährlichkeit des signierten Objektes machen.
Sie erlaubt es allenfalls, im Nachhinein einen Verantwortlichen für ein maliziöses Objekt zu benennen.
Dabei wird allerdings vorausgesetzt, die im Zertifikat enthaltenen Informationen können nach
einem Vorfall rekonstruiert werden, und die Zertifizierungsinstanz hat die Identität des Zertifizierten
sorgfältig überprüft.
Beide Voraussetzungen sind nicht immer erfüllt. Schließlich könnte ein maliziöses Skript die Festplatte
löschen und damit alle Spuren beseitigen. Ein Applet könnte seine unerwünschte Funktion erst mit
einer gewissen zeitlichen Verzögerung aktivieren, wodurch es schwierig wird, einen Bezug zwischen
Aktion und Urheber herzustellen. Auch eine mangelhafte Überprüfung eines Antragstellers durch eine
Zertifizierungsinstanz ist schon vorgekommen. So konnte sich Kevin McCurley von [Digicrime 98]
durch VeriSign Zertifikate ausstellen lassen, die als E-Mail-Adresse „root@localhost“ oder „Administrator“
enthielten, wie Abb. 9.1 zeigt.
Abbildung 9.1: Zertifikat für root@localhost
15 Es wäre prinzipiell denkbar, daß Zertifizierungsinstanzen tatsächlich derartige Garantien abgeben. Dies ist aber heute
normalerweise nicht gegeben.
136 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen