ECOVIN - Institut für Produktion und Industrielles ...

I. Böhmer: Datensicherheit im Internet 317
hindert, dass von irgendeiner Station unbemerkt in das Intranet eingedrungen wird. Nur
wenn von einer Station im Intranet eine Anfrage an einen Server nach außen geschickt
wird, lässt eben dieser Server die Antwort durch. Um dies zu kontrollieren, muss der aktuelle
Verbindungszustand von der Firewall gespeichert werden.
• Adressfilter. Nur Pakete von und an bestimmte Benutzer oder Stationen werden erlaubt.
Die Firewall kann z.B. eine Liste mit IP-Adressen verwalten und alle Pakete verwerfen,
bei denen weder die Absender- noch die Empfängeradresse in der Liste steht. Damit ist
der Zugang zum Internet nur von bestimmten Arbeitsplätzen aus möglich.
Ein Beispiel für eine negative Filterregel sind:
• Virenfilter. Die Firewall enthält einen Virenscanner, der jedes Paket nach Viren durchsucht.
Pakete, die verdächtige Bytefolgen enthalten, werden verworfen. Hierbei kann es
jedoch vorkommen, dass Viren nicht erkannt werden, z.B. wenn die Nachrichten über eine
verschlüsselte SSL-Verbindung übertragen werden.
Neben der Paketfilterung kann eine Firewall weitere Mechanismen zur Verfügung stellen, wie
z.B. Proxy-Funktionen oder Logging. In jedem Fall sollten Internet-Firewalls von erfahrenen
Systemadministratoren eingerichtet und gewartet werden.
7.5.3.4.5 SICHERHEITSKONZEPTE VON JAVA UND ACTIVEX
Eine besondere Form der Bedrohung geht von kleinen Software-Programmen (Applets) aus,
die vom Browser automatisch aus dem Internet auf die lokale Arbeitsstation geladen und dort
ausgeführt werden können. Das betrifft zum einen die von Sun entwickelte Programmiersprache
Java, mit der solche Programmstücke erstellt werden können. Java-Applets liegen als
systemunabhängiger Bytecode vor, der vom Prozessor einer Arbeitsstation nicht direkt verarbeitet
werden kann. Diese Aufgabe übernimmt eine Java Virtual Machine, die in Browsern
wie dem Netscape Communicator oder dem Microsoft Internet Explorer eingebaut ist. Auf
diese Weise ist eine vollständige Kontrolle des Applets möglich (Sandbox). Als zusätzliche
Sicherheit wird der Bytecode vor der Ausführung verifiziert, so dass keine Sicherheitslücken
durch einen ungültigen Programmcode entstehen, der von der Virtual Machine nicht korrekt
interpretiert werden kann.
Das Hauptproblem von Java stellt die richtige Konfiguration dar. In einigen Systemen kann
der Benutzer genau vorgeben, welche Aktionen ein Java-Applet ausführen darf und welche
aus Sicherheitsgründen unterbunden werden (z.B. Zugriff auf die Festplatte). Je sicherer das
System wird, desto größer werden allerdings die Einschränkungen, so dass einige Applets
nicht mehr ausgeführt werden können. Um diesem Dilemma zu entgehen, können Java-
Applets vom Entwickler digital signiert werden. Der Benutzer kann nun signierten Applets,
die aus vertrauenswürdiger Quelle stammen, mehr Rechte zuweisen.
Ein anderes Konzept zur Integration von Softwarekomponenten in Web-Dokumenten stellt
die von Microsoft entwickelte ActiveX-Technologie dar. Im Gegensatz zu Java liegt hierbei
die Software in Form ausführbarer Dateien vor, die direkt auf Intel-Prozessoren ausgeführt
werden können. Durch entsprechende HTML-Befehle kann der Browser veranlasst werden,
bestimmte ActiveX-Komponenten aus dem Internet zu laden, zu registrieren und auszuführen.
Diese können, ähnlich wie Java-Applets, vom Entwickler digital signiert werden, so dass sich
die Herkunft der Komponenten feststellen lässt. Da jedoch ActiveX-Code direkt vom Prozessor
ausgeführt wird, ist eine Kontrolle wie bei Java-Applets nicht möglich. Ein Angreifer
könnte also problemlos ActiveX-Programme schreiben, die ihm vollen Zugriff auf eine fremde
Arbeitsstation gewähren. Er müsste den Benutzer nur noch dazu bringen, eine bestimmte