Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 9. „ACTIVE CONTENT“ UND MOBILER CODE
UNIX einen Anteil, der nur von Root beschrieben werden darf. Auch dürfen normale Benutzer die
Priorität ihrer Prozesse nur verringern, während Root sie auch erhöhen und damit Prozesse schaffen
kann, die so bevorrechtigt sind, daß sie von normalen Benutzerprozessen nicht behindert werden
können.
Filternde Proxies
Auch einige Firewallhersteller haben die von aktiven Inhalten ausgehenden Gefahren erkannt. Darum
haben sie HTTP-Proxies entwickelt, die die von ihnen weitergeleiteten Webseiten auf aktive Inhalte
untersuchen und diese gegebenenfalls entfernen.
Hierbei ist prinzipiell eine relativ feine syntaktische Filterung bestimmter Technologien (Java, Java-
Script,...) möglich, wie auch die Entscheidung, von welchen URLs aktive Inhalte erlaubt sind und
von welchen nicht.
Allerdings entstehen dabei auch Probleme. So ist es einem Proxy z.B. prinzipiell nicht möglich, verschlüsselte
Datenströme wie HTTP über SSL zu untersuchen. Auch unbekannte Archivformate 17 sind
ein Problem für filternde Proxies.
Darüber hinaus erschweren die Browserhersteller dem Proxy die Filterung, indem sie immer neue
Aufrufmethoden definieren. So benutzt z.B. der Navigator den ungenormten Tag „Embed“ anstelle
von „Applet“ oder „Object“. Auch erlauben es die spezifischen Erweiterungen von Java und Java-
Script in den einzelnen Browsern, z.B. aus einem Java-Applet heraus JavaScript-Code auszuführen
bzw. in einem Skript Java-Methoden aufzurufen. Dies macht den Ansatz, als gefährlich erachtete
Technologien zu blockieren, „harmlose“ aber durchzulassen, undurchführbar.
Auch die Idee, man könne gezielt JavaScript-Funktionen ausfiltern, die als schädlich erachtet werden,
solche aber durchlassen, die „ungefährlich“ seien, wird dadurch vereitelt, daß Möglichkeiten existieren,
selbstmodifizierenden Code zu schreiben. Dieser Programmcode, dessen einzelne Anweisungen
als harmlos erscheinen, verändert sich bei seiner Ausführung in solcher Weise, daß in ihm völlig neue
Befehle eingesetzt werden, die sonst gefiltert worden wären.
Selbst eine Politik, die darauf basiert, nur als „harmlos“ erkannte Befehle zu erlauben, alle anderen
aber zu verbieten, stellt wahrscheinlich keinen Ausweg dar. Das Problem ist darin zu suchen, daß die
meisten Befehle nicht von sich aus „harmlos“ oder „gefährlich“ sind. Erst ihre Kombination macht
z.B. aus einer harmlosen Rechenaufgabe einen polymorphen Code, der Befehle ausführt, die eigentlich
verboten wurden.
Eine „sichere“ Untermenge der JavaScript-Befehle wäre vermutlich zu eingeschränkt, um sinnvoll zu
sein. Tatsächlich brauchen die meisten Skripte, die heute in Webseiten eingesetzt werden
¯ Stringvariablen,
¯ einfache Operatoren (Zuweisung, Konkatenation) und
¯ einen Befehl, um eine neue Seite zu laden.
Ohne diese Untermenge von Befehlen ist ein sinnvoller Einsatz daher nicht gegeben. Verbietet man
nur einen dieser Befehle, so kann man JavaScript auch gleich generell verbieten.
17 Die Packer Tar, Gzip, Zip und Arj sind allgemein bekannt. Es kann aber z.B. nicht zwangsläufig davon ausgegangen
werden, daß auch Rar und Ace unterstützt werden.
138 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen