Sicherheitsprobleme in Standard-Software

Beispiele

• Gelöschte Absätze in Word [Sichtbarer Text] [Ausgedrucktes Dokument (Postscript)] [Datei im Editor]
• Datenmüll in Word (Problem: Kein Löschen bei Speicherfreigabe)
• Kopieren von Datenbank-Tabellen nach Word über die Zwischenablage
• Macro-Viren in Word
• Bill Gates' Aussage zu Microsoft-Bugs
• Quicken: PIN und TAN-Liste trotz Paßwortschutz zugänglich [c't 1996, Heft 4, S. 66]
• ASCII- und Postscript-Bomben

Sicherheitsprobleme in Windows (3 und 95)

• Unkontrolliertes Ressourcen-Sharing
• Unsichere Voreinstellungen
• ..-Bug
• Autoplay von CDs
• Paßwortraten ohne Sperre oder Timeout oder Spuren
• .PWL-Dateien ungenügend verschlüsselt (auch Netz-Paßwörter zu finden)
• Unterlaufen der Netware-Sicherheit
• Fehler in TCP/IP-Diensten (auch SMB und HTTP-Server)

• Hack Microsoft!
• Win95 Networking FAQ '96
• Microsoft's Clarifications
• Somarsoft - Windows NT Security Issues
• Microsoft CryptoAPI
• Bokler's Guide to "CRACKER" Software
• Netware Hack FAQ v6
• Web Hack FAQ v2
• Internet Explorer Bug
• ActiveX - Konzeptionelle Sicherheitslücke
• OSP Infobase: The NT password hack
• MS Internet Explorer security holes
• Windows 95 and MSIE Security Hole
• RedButton Bug

Sicherheitsprobleme mit World-Wide-Web-Software

• Unkontrolliertes Laden von Programmen
• ... und evtl. und unbemerktes Ausführen (CGI, Java, Javascript)
• ... z. B. Ausspähen von Benutzeraktionen und Daten
• ... und unbemerktes Versenden von E-Mail
• ... oder Aufruf fehlerhafter System-Libraries
• Laden von Programmen in den Cache und lokales Ausführen (Netscape + Java, CLASSPATH attack)
• Vertrauen auf korrekte Nameserver-Informationen (Java/DNS)
• Netscape-Cookies
• Zu kurze Schlüssel bei Netscape
• Schlechter Zufallsgenerator zur Schlüsselerzeugung
• Henry's sendmail Page [http://newstand.ims.advantis.com/henry/sendmail.html]

Diese Probleme sind z. T. in neuen Versionen behoben.

Mehr über CGI, Java, JavaScript und Cookies - Quellen im Internet:

• The Common Gateway Interface: Security
• Java Security Pages,
• Java and JavaScript Screening modification,
• Security bugs in Java
• Safe Internet Programming: Publications
• Java, Javascript und Netscape
• Hostile Applets Home Page
• Cookies (war: Netscape 2.1 kein Trojanischs Pferd mehr ?)

Gründe für die Mängel

• Konzeptionelle Schwächen
• Kryptographischer Analphabetismus
• Schwächen des darunterliegenden Betriebssystems
• Unkontrollierte Programmausführung
• Keine Authentisierung von Software
• Offenheit der Systeme und der Netze
• Keine sichere Rückfallposition
• Informationspreisgabe durch verdeckte Kanäle
• Unlust der Softwarefirmen
• Schlampige Programmierung
• ... und immer wieder Programmierfehler

Zurück zum Inhaltsverzeichnis

E-Mail an Pommerening@imsd.uni-mainz.de.