Die Kolumne berichtet aus dem Alltag eines CISSP (Certified Information Systems Security Professional), eines Sicherheitsexperten also, dessen täglich Brot es ist, sich mit allen Themen quer durch die IT-Sicherheit zu beschäftigen. Sie finden hier Einschätzungen, Tipps und Meinungen vom Experten.

Die Kolumne erscheint monatlich unter http://www.cissp-gefluester.de.

Ihr

Hartmut Goebel

Die Entscheidung, um was sich die aktuelle Kolumne drehen sollte, war diesmal schwierig: Die Zugriffe der USA auf alle europäischen Banktransaktionen bei SWIFT schien spannend, ebenso der neue „Internet-Brief“ der Deutschen Post. Aber jetzt wurde es doch ein ganz anderes Thema, nämlich Programmiersprachen und Security.

Was hat das eine mit dem anderen zu tun?

Buffer Overflows sind bekanntlich die Ursache vieler Schwachstellen. Die Ursache vieler Buffer Overflows ist aber ausgerechnet eine Programmiersprache, nämlich C . Erst Ende Juni hat Adobe eine Sicherheitslücke in Flash gemeldet. Betroffen sind auch Flash-Filme, die in PDFs eingebunden sind. Die Ursache der Schwachstelle ist ein Buffer Overflow.

Ein weiteres, großes Problem bei C ist: es kennt nur primitive Datentypen, noch nicht einmal einen String (oder ähnliches) kennt es, sondern immer nur 'char *' (Zeiger auf einen Charakter). Will man den String durchlaufen, wird der Zeiger erhöht. C kann in einem derartigen Konstrukt nicht feststellen wie groß der Speicherbereich für den String ist und damit besteht keine Chance zu bemerken, wenn der Zeiger schon nicht mehr auf den Puffer zeigt. Genau das ist die Ursache für die ständig auftretenden Buffer-Overflows!

Es gibt zwarGegenmaßnahmen, beispielsweise strncpy() statt strcpy(), aber dazu muss man die Länge der Puffer durch das gesamte Programm schleifen. Das ist lästig und fehleranfällig.

Noch ein Beispiel: Eine Schwachstelle in der ActiveX Template Library (ATL), die Microsoft am Wochenende (sic!) gemeldet hat, wird ebenfalls durch eine umständliche Syntax von C verursacht: Ein Typecast und ein kleines, unscheinbares &-Zeichen, das leicht zu übersehen ist, bedingt den Fehler: '(void *)&varname'. Der Typecast verhindert, dass der Compiler den Fehler entdeckt.

Auf Heise Security gibt es übrigens eine recht lesbare Beschreibung zur Fehlerursache.

Viele assozieren mit VPN „vertraulich“. Die Einstellung stammt oft noch aus den Zeiten als das einzige „VPN“ ein Frame-Relay- oder Standleitungs-Netz war, das über das öffentliche Telefonnetz lief. Heute verkaufen Carrier MPLS-Netze  (Multi Protocol Label Switching) als als ebenso privat. Das sind sie jedoch nur in Grenzen!

Zum einem werden die Daten in einem MPLS-Netz unverschlüsselt übertragen, zum anderen läßt sich ein MPLS-Netz leichter manipulieren als gedacht. Aus der Kombination ergibt sich: Wer also auf die Vertraulichkeit seines MPLS-VPN vertraut, muss umdenken.

Bereits 2006 haben die Security-Experten Enno Rey und Peter Fiers gezeigt, dass man MPLS-Netz manipulieren kann. Auf der letzten BlackHat Europe legten Daniel Mende und Enno Rey nach und veröffentlichten ein paar Tools, die diese Angriffe sehr einfach machen. Hat ein Angreifer Zugang zum MPLS-Core, kann er per BGP (Border Gateway Protocol) die interessanten Daten zu sich selbst umleiten - wenn er will mit einem simplen Tool in ein anders MPLS-VPN verschieben. Ein Tool zum Knacken der BGP-MD5-Hashes wird auch gleich mitgeliefert.

Trauen Sie eigentlich Ihrem MPLS-Provider? Dann hoffe ich, Sie haben gute Verträge mit ihm. Er  sollten beispielsweise mit einer sehr hohen Summe haften, wenn Daten aus seinem MPLS-Netz abhanden kommen oder manipuliert werden. Das heisst, wenn Sie eine Manipulation oder einen Datenverlust überhaupt bemerken. Denn, was schätzen Sie, wie gut Ihre Chancen dazu stehen? 10 Prozent? 1 Prozent? Ich tippe auf nahezu Null Prozent.

Ende Februar wurde ein Zero-Day Exploit für Adobe Reader veröffentlicht, wenige Tage später eine kritische Schwachstelle in Excel. Bei dem Adobe-Exploit war der empfohlene Work-around, JavaScript zu deaktivieren, dann könne nichts mehr passieren.

Kurz danach zeigt sich, dass die Adobe-Reader-Lücke auch ausnutzbar ist, wenn JavaScript deaktiviert ist. Der Patch – besser gesagt das Update-Ungetüm – für Version 10 erschien dann am 11. März, für ältere Versionen gar erst am 18. März – sprich fast vier Wochen nach der Meldung des Exploits. Eine Menge Zeit ...

Der Sicherheitsanbieter F-Secure geht so weit, vom Einsatz des Acrobat Readers derzeit gänzlich abzuraten. Er berichtete Mitte April, dass sich Angriffe gezielt gegen leitende Angestellte, Politiker und andere hochrangige Personen richten.

Anfang April gesellte sich noch eine kritische Sicherheitslücke in Powerpoint dazu. Auch hier dauerte es sechs bis acht Wochen bis die Patches für die beiden Anwendungen verfügbar waren. Für diese Lücken existieren bereits Exploits „in the wild“.

Eigentlich hätte jeder verantwortungsvolle Admin alle diese Dokumenten-Typen an der Firewall und am Mail-Gatways ausfiltern müssen. Doch jeder, der das vorschlüge, würde wohl schlichtweg für verrückt erklärt werden. Denn via Acrobat-, Excel- und Powerpoint-Formaten wird schließlich ein Großteil aller geschäftsrelevanten Informationen weitergegeben. Sie zu blockieren, hieße soviel wie der „Geschäftsführung mit nacktem Arsch ins Gesicht springen“.

Dennoch mein Rat: Springen Sie! Seien Sie mutig und riskieren Sie, dass Sie schwach angeredet werden. Letztendlich werden nämlich Sie dafür verantwortlich gemacht, wenn etwas passiert.

Nach dem CISSP, nun der CSSLP. Das Zertifikat „Certified Secure Software Lifecycle Professional“ (CSSLP) bescheinigt Hartmut Goebel das Know-how, die Sicherheitsaspekte während des gesamten Lebenszyklus´ einer Software überwachen zu können. Denn nur so lassen sich die Schwachstellen in Anwendungen und Programmen wirtschaftlich und effektiv in den Griff bekommen. Nachweislich sind jedoch 70 Prozent aller Sicherheitsprobleme softwarebezogen und Sicherheitmaßnahmen werden erst als Reaktion auf eine Bedrohung oder nach einem Angriff am Ende des Softwarelebenszyklus hinzugefügt.

Das CSSLP-Zertifikat wird vergeben vom International Information Systems Security Certification Consortium - (ISC²), das auch die renommierte Zertifizierung zum Certified Information Systems Security Professional (CISSP) durchführt.

Goebel Consult ist seit vier Jahren Mitglied bei der Genossenschaft 7-it. Die Mitglieder bieten IT-Dienstleistungen für kleine und mittelständische Unternehmen an. Seit drei Jahren ist Hartmut Goebel bereits im Aufsichtsrat der Genossenschaft tätig. Und auch auf der diesjährigen Generalversammlung stellte er sich für das Amt zur Verfügung: Er wurde einstimmig wieder in den Aufsichtsrat gewählt.

Hartmut Goebel bringt in seine Funktion als Aufsichtsrat ganz bewusst sein Know-how als Security Consultant mit ein. Er hat als konkretes Ziel definiert, ein hohes Niveau für die internen Prozesse der Genossenschaft zu gewährleisten. So kommunizieren inzwischen Vorstand und Aufsichtsrat ausschließlich verschlüsselt.

„Als Dienstleister für sicherheitsrelevante Kunden ist es unsere erste Pflicht, im eigenen Unternehmen hohe Standards zu pflegen. Wir freuen uns, dass Hartmut Goebel als Aufsichtsrat diese Aufgabe auch weiterhin kritisch und aktiv zu seinem Anliegen macht“, betont Aufsichtsratsvorsitzender Dieter Pohl.

Täglich steht jeder IT-Administator vor demselben, großen Problem: Eine Flut an Sicherheitslücken und dazugehöriger Patches wartet darauf, beurteilt zu werden. Der Admin steht jedesmal vor der schwierigen Frage: Welchem Patch soll ich mich als erstes zuwenden? Wie gefährlich ist eine Sicherheitslücke, wie dringend ist es also, den Patch, einzuspielen? Glücklicherweise gibt es Methoden wie etwa das „Common Vulnerability Scoring System“ (CVSS), das Admins dabei wirkungsvoll unterstützt, all diese Risiken schneller und besser einschätzen und damit Prioritäten setzen zu können. Es lohnt sich auf jeden Fall, sich damit etwas näher auseinanderzusetzen.

Anfang Mai startete Hartmut Goebel auf dem Web-Portal All About Security eine eigene Kolumne "CISSP-Geflüster". Die Kolumne berichtet monatlich aus dem Alltag eines CISSP (Certified Information Systems Security Professional), eines Sicherheitsexperten also, dessen täglich Brot es ist, sich mit allen Themen quer durch die IT-Sicherheit zu beschäftigen. Sie finden hier Einschätzungen, Tipps und Meinungen vom Experten.

Hartmut Goebel beschäftigt sich seit über zehn Jahren mit IT-Sicherheit und ist seit Mitte 2008 als CISSP zertifiziert.