Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 1. GRUNDLAGEN: INTERNET-PROTOKOLLE
das nicht möglich, da der Aufruf von connect() dort den Empfänger festlegt. Analog ist die Entgegennahme
von Daten ohne den Aufruf von accept(), direkt mit recv() oder recvfrom() möglich.
Der erste Aufruf empfängt Daten von beliebigen Absendern, der zweite Aufruf ermöglicht die Auswahl
eines Absenders durch Übergabe der Absenderadresse beim Aufruf. Beide Aufrufe blockieren,
wenn keine Daten vorhanden sind. Ein UDP-Socket abstrahiert somit nur das eine Ende (IP-Adresse,
Portnummer) einer Kommunikationsbeziehung und nicht den Endpunkt einer bidirektionalen Verbindung,
die es unter UDP nicht gibt.
1.6 Symbolische Namen
Im Verlauf dieses Vortrags wurden oft Portnummern und IP-Adressen erwähnt. Leider sind numerische
Werte für menschliche Anwender oft schwer zu merken und bringen auch nicht den notwendigen
Abstraktionsgrad mit sich, den Menschen erwarten. Anstelle von „Anwendung hinter TCP-Port 80,
auf Adresse 123.234.132.231“ wird eher etwas wie „WWW-Server auf Rechner www.cert.dfn.de“
verwendet. Die Verwendung solcher symbolischer Namen erfordert eine Umsetzung zwischen IP-
Adressen und Dienstkennungen.
Dies geschieht durch Bereitstellung von Bibliotheksfunktionen, die von der Anwendung benutzt werden,
um die symbolischen Namen zu übersetzen. In UNIX sind das Funktionen wie gethostbyname()
zur Umsetzung von Namen in IP-Adressen, oder getservbyname() zur Bestimmung der zu einem
Dienst gehörenden Portnummern. Die Routinen selbst sind teilweise nur ein Einstiegspunkt in zum
Teil aufwendige Such- und Abfrageschemata, deren Details an dieser Stelle nicht erläutert werden
können.
Die eigentliche Abbildungsinformation muß vom Administrator des Systems entweder lokal oder auf
einem Server im Netzwerk bereitgestellt werden. Im letzteren Fall müssen Anfragen an diesen Server
weitergeleitet werden.
Zur lokalen Bereitstellung werden typischerweise Dateien an standardisierter Stelle im System verwendet.
Unter UNIX sind dies z.B. die Dateien /etc/hosts und /etc/services.
Zur Bereitstellung der Informationen im Netzwerk stehen standardisierte Informationsdienste wie
DNS [RFC 1034, RFC 1035] oder LDAP (X.500) zur Verfügung. Welcher Dienst benutzt wird, ist
von der jeweiligen Umgebung abhängig. In UNIX-Umgebungen wird häufig DNS verwendet, andere
Umgebungen benutzen evtl. herstellereigene Informationsdienste, deren Spezifikation jedoch nicht
immer offengelegt ist, so daß sie hier nicht weiter betrachtet werden.
Stehen mehrere Informationsdienste zur Verfügung, so muß eine Auswahl getroffen werden, welche
Dienste benutzt werden sollen. Außerdem muß für den Fall, daß die gleiche Information (nicht notwendigerweise
der gleiche Inhalt) von mehreren Diensten bereitgestellt wird, entschieden werden,
welchem Dienst die höhere Glaubwürdigkeit eingeräumt wird.
In UNIX wird dies durch die Datei /etc/nsswitch.conf geregelt: Für jede Art von Information wird
in der Datei eine priorisierte Liste von Diensten spezifiziert. Die Dienste werden sequentiell abgefragt,
bis einer der Dienste ein positives Ergebnis liefert oder das Ende der Liste erreicht ist. Damit bestimmt
die Position eines Dienstes in der Liste seine Wichtigkeit bzw. Glaubwürdigkeit.
18 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen