Security Check 1. Teil: Denn sicher ist sicher
Eine Betrachtung von Michael Lausch, Security Experte bei ANECON
Sicherheit ist in den letzten Jahren zu einem der Hauptthemen in derIT geworden. Waren früher hauptsächlich die Netzwerkspezialisten mitSicherheitsfragen beschäftigt, verlagert sich heute der Fokus auf dieSoftwarespezialisten.
Die Herausforderungen fürNetzwerkspezialisten liegen heute im Durchsatz der aktivenNetzwerkkomponenten und in der Verarbeitung von Informationen, die zurBekämpfung von Distributed Deny Of Service-Attacken dienen.
Fastalle anderen Angriffe die heute stattfinden, sind nicht auf dieNetzwerk Ebene beschränkt, sondern zielen auf Applikationen und immermehr auch auf Security Software, wie zum Beispiel Virenscanner, ab.
Bevor sich Ihre "Bugs" vermehren
Diese Entwicklung erhöhtdie Anforderungen an Applikationssoftware, unabhängig davon, ob dieseeine Web Applikation oder eine konventionelle Client Server Applikationist.
Um diese erhöhten Anforderungen gerecht zu werden, müssen dieSoftware Architekten, Designer und Entwickler aber andere Prioritätensetzen, als vom Projektplan vorgegeben.
Das Zitat, "Security is aProcess, not a Product" von Bruce Schneier, beschreibt das Vorgehen beisicherheitsrelevanten Themen. Techniken, die vor einigen Jahren nochals völlig korrekt angesehen wurden, sind heute ein massives Problem.
AlsBeispiel kann der kürzlich entdeckte und im Anschluss genau analysierteBug in der Implementierung des Windows Meta File Formats (WMF) dienen.
Ein konkretes Beispiel
Die verwendete Programmiertechnikwar, als WMF entwickelt wurde, völlig ausreichend. Heute wird vonSpezialisten der Verdacht geäußert, dass die Implementierung von WMFabsichtlich so gewählt wurde, um ein Backdoor zu schaffen, das esMicrosoft ermöglicht, Zugriff auf Rechner zu erhalten, die dieMicrosoft Website besuchen.
Diese Interpretation des Bugs wird vonMicrosoft aufs heftigste dementiert. Trotzdem zeigt dieses Beispiel,dass Image im Bereich Security sehr viel ausmacht.
Hätte Microsoftin diesem Bereich nicht einen so schlechten Ruf über die Jahreerworben, wären diese Dementi entweder gar nicht notwendig gewesen, daniemand auf diese Idee gekommen wäre, oder es hätte weit weniger(Internet-)Mediale Anstrengung gebraucht, um
diese Theorie aus der Welt zu schaffen.
Dieses Beispiel zeigt deutlich, dass sich die Anforderung an Software bezüglich der Sicherheit ändern.
Technikenund Prozesse, die auch von Fachleuten als ausreichend angesehen wurden,sind immer wieder aufs Neue in Frage zu stellen und ihre Gültigkeitimmer wieder zu überprüfen.
Einige Testmethoden im SecurityBereich, wie zum Beispiel OSSTMM, beinhalten diese Tatsache in der Formeiner Berechnungsformel, die angibt für welchen Zeitraum eineSicherheitsüberprüfung Gültigkeit hat und wann die Überprüfungwiederholt werden muss.
Allerdings kann auch dieser Zeitraum zulange sein, wenn neue Angriffstechniken entwickelt werden, die Aufgrundder Verbreitung von neuen Technologien aussichtsreich werden. AJAX,also die Technologie auf der "quasi interaktive" Websites wie <http://maps.google.com>basieren, hat sicher das Potential zu einer Bedrohung zu werden.Dynamische Änderungen von Inhalten einer Webpage durch Javascriptwerden, wenn es als Angriffstool eingesetzt wird, alsCross-Site-Scripting bezeichnet. Im Fall von AJAX ist dieInfrastruktur, nämlich Javascripts zum Ausführen von HTTP Requests anandere Webserver, und die Verarbeitung von HMTL Inhalten in diesemRequest, schon im Browser geladen. Natürlich nicht zum Ausführen vonCross-Site-Scripting Attacken, sondern von AJAX Funktionalitäten. Jemehr Funktionen eine Applikation oder deren Framework anbietet, destoeinfacher wird es diese Website anzugreifen.
Vorsorge ist besser als "Nachsorge"
Sicherheit kostetGeld. Leider nicht nur einmalig, da Tests immer wieder durchgeführtwerden müssen. Unter diesem Aspekt ist Sicherheit durchaus mit Backupszu vergleichen.
Keiner will im Grunde dafür zahlen oder die Funktionsfähigkeit vonSoftware prüfen. Solange sie funktioniert oder ein potentieller Fehlervon niemandem bemerkt wird, bietet es keinerlei Zusatznutzen für dasProdukt. Erst wenn einmal etwas nicht mehr klappt und man es dringendbraucht, wird die Wichtigkeit erkannt. Dann ist es oft zu spät, so wieman eine kaputte Tape-Cartridge nicht mehr für einen Restore verwendenkann.
Viel schlimmer noch, wenn man merkt, dass wichtige Datennicht vom Backupkonzept erfasst wurden, ähnliche Analogien gibt es imSicherheitsbereich.
Das Korrigieren von Berechtigungen ist einüberschaubarer Aufwand, das Korrigieren von Design Fehlern hingehen,die es einem Angreifer möglich machen in eine Website einzubrechen,sind ungleich aufwendiger. Daher sollte schon beim Entwurf von Softwaredarauf geachtet werden, nur Technologien einzusetzen, die von denEntwicklern wirklich gründlich verstanden werden. Alle Vorgänge, dievon den Frameworks "Behind the Scene" durchgeführt werden, ersparen demEntwickler zwar Programmierarbeit, das Verständnis für sie darf aberauf keinen Fall fehlen.
Anhand des WMF Bugs wird eine "Best Practice" von Security deutlichherausgehoben. Man darf keinesfalls davon ausgehen, dass eineApplikation, die nach allen Regeln der Kunst und vorerst frei vonSicherheitsproblem entwickelt wurde, diesen Status für die Ewigkeitbehalten wird.
Die Entwicklung von Programmiersprachen, Frameworksund Entwicklungsmethoden schreitet fort. Dies trifft leider auch aufdie dunkle Seite der IT zu. Hacker und Industriespione sindinteressierter und schneller als je zuvor. Entwickler, die noch mit denBugs der letzten Release beschäftigt sind, legen durch den Druck vonTime-To-Market Prioritäten den Fokus auf maximale Funktionalität inkürzester Entwicklungszeit.
Feedback an den Verfasser Michael Lausch.
