Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 2. SICHERHEITSPROBLEME
Eine Gefährdung bedeuten diese Programme, wenn es möglich ist, aus ihnen heraus unkontrolliert
andere Prozesse zu starten, die dann ebenfalls root-Rechte erhalten. Bei der Ausführung von Shell-
Scripten mit SetUID root kann es möglich sein, die Ausführung des Scriptes zu beenden, ohne daß
die Shell selbst beendet wird (sog. Shell Escapes). Damit steht einem Anwender eine privilegierte
Shell zur Verfügung. Oftmals verändern SetUID-Programme auch Dateien, deren Name nicht immer
statisch im Programmtext abgelegt ist, so daß evtl. die /etc/passwd oder andere wichtige Systemdateien
überschrieben werden können.
Werden solche SetUID-Programme wirklich benötigt, so sollten sie in einer Change Root Umgebung
ablaufen, d.h. sie erhalten keinen Zugriff auf das reale Wurzelverzeichnis des Dateisystems, sondern
erhalten ein entsprechend vorbereitetes Unterverzeichnis als Wurzel. Somit können sie nicht mehr auf
die Systemdateien in höheren Verzeichnissen (z.B. /etc) zugreifen.
2.4.4 Anwendungen
Eine weitere Gefahr stellen Anwendungen dar, die eine Kommandosprache besitzen. Dies sind z.B.
alle gängigen Office-Pakete, die über eigene Makrosprachen (z.B. Visualbasic) verfügen. Beim Laden
eines Dokumentes kommen Befehle zur Ausführung, die im Dokument selbst stehen. Bei Dokumenten
von fremden Personen gibt es keine Gewißheit, daß keine schädlichen Befehle wie z.B. das
Löschen von Dateien im Dokument versteckt sind. Es gibt sogar Viren, die in solchen Kommandosprachen
verfaßt wurden (Word Makro Viren).
Dasselbe gilt auch für PostScript Interpreter wie z.B. GhostScript. Auch in PostScript gibt es Befehle,
die den Zugriff auf Dateien und das Starten von Prozessen erlauben (deletefile, renamefile, file,
%pipe). Ebenso kann das Ausführen von unbekanntem Code (also Java, JavaScript, ActiveX) durch
einen WWW-Client gefährlich sein.
Weiterhin gibt es keine Sicherheit bei der Ausführung von Anwendungen, die als ausführbare Dateien
aus dem Internet importiert wurden. Einige Trojanische Pferde wurden auf diese Weise bereits
verbreitet.
2.4.5 Dienste
Bei der Installation eines Betriebssystems sind viele Dienste bereits vorkonfiguriert, um dem Benutzer
ein eigenes Einrichten dieser Dienste abzunehmen. Dies bedeutet jedoch, daß viele Dienste bei
der Systeminitialisierung gestartet werden, die evtl. gar nicht benötigt werden und die von Angreifern
benutzt werden können. Beispiele sind ftpd und httpd; die wenigsten Rechner sollen ftp-, httpoder
Druck-Serverdienste anbieten. Auch wenn manche Dienste benötigt werden, so sind diese selten
sicher konfiguriert. Ein Nacharbeiten an den Einstellungen sollte gewährleisten, daß diese Dienste nur
beschränkt von anderen Rechnern benutzbar sind. Wichtig ist z.B. die Einschränkung von Lesezugriffen
und insbesondere Schreibzugriffen von außen (für ftp und http).
Auch das lokale Ausführen von Programmen auf externe Veranlassung (CGI-Scripte von Webservern,
Remote-Logins) sollte soweit wie möglich unterbleiben. Weiterhin bedarf es der Beschränkung der
über den Internetdaemonen (inetd) angebotenen Dienste, da dieser bei Anfragen von außen die entsprechenden
Dienste automatisch aktiviert (also z.B. bei ftp-Anfragen einen ftp-Daemonen startet).
Besondere Schwachstelle sind die sog. „r-Dienste“ rsh, rcp und rlogin. Sie ermöglichen ein Login
bzw. die Kommandoausführung von fremden Rechnern aus ohne Überprüfung eines Paßworts. Dies
geschieht über die Konfiguration von sog. Trusted Hosts in den Dateien /etc/hosts.equiv oder
28 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen