Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 11. CRACKER-TOOLS AM BEISPIEL
In ein paar Schriften von selbsternannten Hackern oder Autoren von Crackertools, wie den bereits
erwähnten [Fyodor 1998] und [Cornwall 1985], wird versichert, daß einer Art Ehrenkodex gefolgt
und versucht werde, sich vom unreifen Verhalten der „Script-Kiddies“ abzusetzen. Insbesondere
[Fyodor 1998] warnt aus diesem Grunde davor, sein Tool nmap dazu zu verwenden, eine große Anzahl
von Sites zu scannen, um sich dann aus einer so erzeugten Datenbasis von Hosts einen herauszusuchen,
der eine bestimmte Sicherheitsschwäche (Im Jargon: „vulnerability“ - Verwundbarkeit) hat.
Allerdings ist genau dies der häufigste Verwendungszweck dieses Tools.
Das Verhalten bei Einbrüchen in Rechner sieht oft anders aus, als es oben unter Punkt 2 definiert und
gefordert wird. In der Regel werden z.B. Log-Dateien ohne Rücksicht auf Verluste gelöscht, um der
Entdeckung zu entgehen.
Der mögliche Schaden, den ein Cracker-Angriff anrichten kann, läßt sich folgendermaßen beschreiben:
Personalkosten, die dadurch entstehen, daß sich Systemadministratoren und Operatoren darum kümmern
müssen, wieder einen normalen Betriebszustand herzustellen. Auch die damit verbundenen
Verzögerungen und Ausfallzeiten sind ein Faktor, der auch materiell Kosten verursacht.
Datenverlust: Nach einem „Root-Compromise“ 6 kann über den Zustand des Systems in der Regel
keine Aussage mehr gemacht werden. Programme im System können Trojaner 7 enthalten,
persönliche Daten von Benutzern (wie z.B. auch elektronische Schlüssel) können entwendet
worden sein, so daß es nötig sein kann, das System neu zu installieren, oder zumindestens ein
Backup eines Zustands einzuspielen, der begründet als nicht kompromittiert gelten kann. Außerdem
werden durch das Vorgehen des Crackers unter Umständen wichtige Daten gelöscht.
Das Entfernen eines Systemlogs kann z.B. für einen Internet-Service-Provider auch einen monetären
Verlust bedeuten (Verlust von Accounting-Daten).
Instabilität: Das Auswechseln von Programmen oder gar Programmbibliotheken durch Cracker (mit
dem Ziel, Trojaner zu installieren) kann (unvorhergesehene) Instabilitäten zur Folge haben.
Es hängt meist von der persönlichen Einschätzung der „Opfer“ ab, was als Schaden oder Verlust verstanden
wird, allerdings gibt es auch unstrittige Beispiele von destruktivem Verhalten durch Cracker:
In „An evening with Berferd“ [Cheswick 1991] wird beschrieben, wie der Angreifer an einem Punkt
(offenbar aus Frustration, da die von Bill Cheswick per Hand simulierte Umgebung ihn zu verwirren
schien) den Unix-Befehl „rm -rf / &“ als root 8 auszuführen versucht. Das ist nun offensichtlich
destruktives Verhalten. Allerdings gibt es auch Beispiele für unabsichtlichen Schaden, den Cracker
verursacht haben. Der von Clifford Stoll [Stoll 1988] beschriebene Angreifer drang vor seiner Entdeckung
in einen Rechner ein, der bei der Echtzeitüberwachung eines medizinischen Experiments
benutzt wurde. Wenn das Eindringen nicht rechtzeitig entdeckt worden wäre, hätte das laut Stoll eine
ernsthafte Gefährdung eines Patienten bedeuten können. Stoll beschreibt, daß derselbe Cracker,
obwohl er offensichtlich versucht hat, keinen Schaden zu verursachen, unwillentlich die Daten eines
physikalischen Experiments beschädigt hat.
Damit wurde wohl dargelegt, warum bei den folgenden „Motivationen“, wie sie unter anderem Hugo
Cornwall (siehe [Cornwall 1985]) angibt, eher von Rechtfertigungen gesprochen werden sollte.
6 root compromise: Ein Unbefugter erhält die Privilegien des Systemverwalters, oder des Benutzers „root“ unter Unix.
7 Trojaner: Ein Programm, das, meistens als legitime Anwendung oder Systemdienst getarnt, Crackern Zugriff zu einem
System erlaubt, oder andere Funktionen erfüllt, die für Cracker nützlich sind, wie z.B. verfälschen von Angaben über den
Systemzustand. Prominente Trojaner sind unter Windows z.B. „Back-Orifice 2000“ und „Netbus“.
8 Die Ausführung dieses Befehls als Benutzer root löscht alle auf dem System vorhandenen Daten unwiderruflich.
170 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen