Gutachten (PDF) - Professur Datenschutz und Datensicherheit ...

2.2 Kerntechniken der IT-Sicherheit
Die Ausführung fremder Softwareprogramme ist, sofern sie völlig ohne Einschränkungen ausgeführt
werden, mit Risiken für die Ausführungsumgebung und andere in der Ausführungsumgebung
laufende Programme verbunden. Beispielsweise könnte fehlerhafter oder absichtlich
bösartiger Programmcode (malicious code), der von einem Web-Browser geladen und direkt
auf dem Betriebssystem zur Ausführung gebracht wird (sog. aktiver Inhalt, beispielsweise
ActiveX-Control), mit allen Rechten der Ausführungsumgebung (hier: Web-Browser) arbeiten,
d.h. beliebige Dateien lesen, anlegen, meist auch löschen oder verändern. Weiterhin ist
es nicht ausgeschlossen, dass ungewollte Interaktionen mit anderen momentan laufenden Programmen
stattfinden. So könnte beispielsweise ein legal und kostenpflichtig bezogener Medienstrom
unbemerkt vom malicious code ” abgezweigt“ und ins Internet eingespeist werden, oder
der malicous code kopiert sich die Zugangsdaten, um den Stream anschließend unberechtigt
anzufordern.
Die Anforderung, dass eine Ausführungsumgebung sich selbst und die laufenden Anwendungen
schützen muss, ist nicht neu. Jedes Betriebssystem ist gewissermaßen eine Ausführungsumgebung
und muss selbst über Schutzmechanismen verfügen, etwa die Vergabe von Zugriffsrechten
(z.B. Leserecht, Schreibrecht, Ausführungsrecht) und den Speicherschutz, d.h. Programme erhalten
vom Betriebssystem zugeteilten Speicher und dürfen nur diesen verändern, andernfalls
wird eine Speicherschutzverletzung gemeldet.
Die Schutzmechanismen des Betriebssystems sind jedoch für fremde aktive Inhalte, die möglicherweise
erst zur Laufzeit des Systems geladen werden, viel zu grobkörnig und unflexibel.
So mag eine Pay-TV-Anwendung beispielsweise Zugriff auf eine Conditional-Access-Komponente
der Set-Top-Box bekommen, ein über das Internet heruntergeladenes und in der Set-Top-
Box als Videospiel ausgeführtes Spieleprogramm, das in Wirklichkeit ein trojanisches Pferd
ist, mit dem die Encryption Keys des Nutzers unbemerkt ausspioniert werden sollen, darf dagegen
keinen Zugriff erlangen. Die Set-Top-Box muss also in Abhängigkeit der Anwendung
größtenteils ohne Zutun des Menschen entscheiden, welche Anwendungen welche Rechte erlagen
dürfen.
Die Schutzmechanismen des Betriebssystems sind zudem vom Betriebssystem abhängig. Dies
widerspricht jedoch dem Trend, aktive Inhalte auf verschiedenen Plattformen betriebssystemunabhängig,
aber trotzdem sicher ausführen zu wollen. Deshalb hat man – je nach aktivem Inhalt –
Auführungsumgebungen geschaffen, die die Schutzanforderungen betriebssystemunabhängig
realisieren.
Sicherheit von Java, Java-Script, ActiveX-Controls und Plug-ins
Im Internet findet man aktive Inhalte in Form von ActiveX-Controls, Java-Applets und Java-
Scripts.
Java-Applets werden durch die Ausführungsumgebung – meist als Java Virtual Machine (JVM)
bezeichnet – vollständig abgeschottet. Die JVM verfügt über eine ausgefeilte Zugriffskontrolle.
So besitzen Java-Applets standardmäßig keinerlei Lese- und Schreibrechte auf dem Rechner,
auf dem sie ausgeführt werden. In diesem Sinn wird auch der Begriff Sandbox verwendet,
da ein Java-Applet innerhalb des Sandkastens – jedes Applet hat seinen eigenen Sandkasten
– beliebige Operationen ausführen darf, aber ihn nicht verlassen kann. Da dies jedoch
Einschränkungen bzgl. der realisierbaren Anwendungen mit sich bringen würde (z.B. könnte
ein Home-Banking-Applet dann nicht mit der HBCI-Chipkarte kommunizieren), dürfen
29