Achtung: Die folgende Seite ist noch aus dem letzten Jahrhundert! Ich wollte die Informationen aber auch nicht aus dem Netz nehmen.
Macintosh Sicherheit: Die unbekannte Größe
Im Allgemeinen gilt ein Macintosh als ziemlich sicher. Wer jedoch einen Webserver 24 Stunden am Tag unbeaufsichtigt laufen läßt, dem ist so eine allgemeine Aussage mit dem Wort "ziemlich" nicht genug. Jedoch ist es erstaunlich schwierig, an Informationen zu diesem Thema herranzukommen. Das Thema wird nicht weiter beachtet. Das kann natürlich ins Auge gehen. Deshalb habe ich hier alle Informationen zu diesem Thema zusammengetragen.
Webserver Sicherheit
Viele Webserver wurden mit einer Standardeinstellung ausgeliefert, die es jedem erlauben, sich das Logfile des Webservers herunterzuladen. Da stehen dann z.B. die IP-Addressen aller Besucher, meistens sind sie wertlos, aber manchmal sind sie fast so wertvoll wie eine Kundenkartei. Oder da stehen auch Fehlermeldungen, so daß ein Hacker in aller Ruhe Schwachstellen analysieren kann. Da stehen auch Zugriffe auf Dokumente, die (noch) nicht für die Öffentlichkeit bestimmt sind. Weiteres ist in der Security FAQ des World Wide Web Consortium nachzulesen, man schaue sich speziell das Kapitel "Specific Servers" an, ob der eigene Webserver dort auftaucht:
http://www.w3.org/Security/Faq/
Ein Webserver hat eine sogenannte Dokumentenroot, der Ordner, der der niedrigsten Ebene entspricht. Es bietet sich an, dieses einfach auf das Startvolume selbst zu legen. Dummerweise kann dann auch jeder Dateien auch aus dem Systemordner herunterladen, vielleicht findet er ja in den Voreinstellungen das eine oder andere interessante Passwort?
Crack-A-Mac
Es gab verschiedene Wettbewerbe, in denen es darum ging, einen
Macintosh-Webserver zu knacken. Entgegen der Behauptungen einiger
Marketingmenschen gab es einen erfolgreichen Einbruch. Zwar
bemühten sich alle beteiligten Firmen zu sagen, eigentlich nicht
richtig, es wurde ja innerhalb 24 Stunden ein Bugfix herausgebracht,
alles sei damit ein bester Ordnung, aber festzuhalten bleibt: Es gab
einen erfolgreichen Einbruch. Und warum sollte dies der letzte
sein?
Generell sollte man ,wenn über Sicherheit gesprochen wird, genau
hinhören, ob eine Ausdrucksweise verwendet wird, die die eines
Spitzenpolitikers nach einer verlorenen Wahl (eigentlich haben wir ja
gewonnen, weil...) oder der Bekanntgabe der neusten
Rekordsarbeitslosenzahlen (der Anstieg hat sich vermindert, ...)
gleicht.
Mehr über die Wettbewerbe war einmal auf folgenden Webseiten zu
finden, leider gibt es die Seiten nicht mehr:
www.vanhacking.com
hacke.infinit.se
www.blueworld.com/lasso/security_update.html
Die erfolgreiche Einbruchsversuch war übrigens Folge eines fehlerhaften Cgi-Skriptes, was uns zum nächsten Thema bringt:
Cgi
Cgi Skripte sind die größte Quelle für
Sicherheitslöcher. Das heißt nicht, daß ein Cgi Skript
automatisch ein Sicherheitsloch ist, sondern daß ein falsch
geschriebenes Cgi-Skript viele Sicherheitsmaßnahmen zunichte
machen kann, sogar ein teurer Firewall kann dagegen kaum Schutz
bieten. Gefährlich sind nicht nur selbst geschriebene
Cgi-Skripte, sondern auch kommerzielle, wie man oben sieht.
Sicherheitsproblem von Cgi Skripten sind unter anderem in der oben
vorgestellten Security-FAQ besprochen, speziell für den Mac ist
anzumerken, das es zwar keine Shell oder Kommandozeile gibt, jedoch
ein Hacker mit Hilfe von von Appleskript oder Appleevents ebensoviel
Schaden anrichten kann.
Wer Cgi-Skripte von Dritten benutzt, sollte die Herkunft festhalten und sicherstellen, das er bekanntgewordene Sicherheitslücken auch mitkriegt.
File Sharing
File Sharing ist eine ungemein praktische Sache. Klar ist,
daß man nicht jedem Zugriff auf seine gesamte eigene Festplatte
lassen sollte. Da bietet es sich an, einen speziellen Ordner
anzulegen, und nur disen für alle zum Lesen und Schreiben
freizugeben. So kann ein Kollege mir dann eine Datei hochladen, und
ich kann mich in aller Ruhe darum kümmern, wo die Datei
hingehört.
Also ist alles sicher? Fast.
Ein gemeiner Kollege könnte ein Programm schreiben, das z.B.
erstens sich selber löscht, zweitens irgendetwas tut, was es
nicht soll und drittens dann SimpleText startet. Diesem Programm
ordnet er den Creator Simpletext zu und gibt ihm ein neues
Änderungsdatum.
Wenn ich jetzt auf irgendein Textdokument doppeltklicke, startet
statt Simpletext das neue Programm, verrichtet sein Werk, verwischt
seine Spuren und startet dann das Original Simpletext als ob nichts
gewesen wäre. Nun kann man meinen, die Kollegen kommen nicht auf
solche Ideen. Aber vielleicht Bekannte von Ihnen? Oder vielleicht
gibt es so ein Programm ja sogar im Internet?
Glaub ich nicht!
Ob dieser Angriff wirklich funktioniert, kann man mit diesen Programm testen:Mauswartung
Open Transport
Open Transport vor 1.2 ist anfällig gegenüber dem "Ping of Death". Es handelt sich um einen sogenannten "Denial of Service" Angriff, daß heißt, der Angreifer kann zwar keine Daten auskundschaften, aber er kann den Server lahmlegen. Wenn dieses in den richtigen Augenblicken passiert, kann so etwas auch sehr ärgerlich sein. Mit Hilfe des "Ping Of Death" kann nun jeder im Internet einen dafür anfälligen Rechner außer Gefecht setzen.
Wenn ich richtig informiert bin, braucht man Open Transport 1.2, um sich davor zu schützen, und dieses gibt es nicht separat, sondern nur mit MacOS 8. Ich wollte diese Information verifizieren und habe deshalb die auf den Open Transport Seiten von Apple angegebene Kontaktaddresse befragt, man wollte mir aber nicht weiterhelfen. Ich muß sagen ich bin, vorsichtig ausgedrückt, irritiert.
Besitzer einer Firewall können sich schützen, indem Sie das Ping nicht durchlassen.
Informationen über "Ping Of Death":
www.sophist.demon.co.uk/ping/
deutscher Mirror:
flowserv.teco.uni-karlsruhe.de/ping/
Informationen von Apple über Open Transport:
gemma.apple.com/dev/opentransport/
MaxFixIt über "Ping Of Death":
www.macfixit.com/archives/november96-a.html
www.macfixit.com/reports/macos8.0-2.shtml
home - contact - dev-zone
Copyright © 1998-2001 by Karsten Meier. All Rights reserved.