NEWS AUS DEM IT-SECURITY BEREICH

Meldungen vom 16.04.2003

Anzeige wegen IP-Adressspeicherung gegen T-Online

Der Prozess um eine Äußerung im Forum des Online-Magazins-Telepolis hat ein juristisches Nachspiel: Nach seinem Freispruch im Januar erstattet der Münsteraner Holger Voss Anzeige gegen T-Online. Der Provider hatte die personenbezogenen Daten gespeichert und weitergegeben.

Nach dem Teledienste-Datenschutzgesetz ist die Speicherung von IP-Nummern nur zu Abrechnungszwecken erlaubt. Da Voss jedoch einen Flatrate-Tarif nutzte, waren konkrete Einwahlprotokolle zur Rechnungsstellung eigentlich nicht nötig.

Die Aussichten für die Anzeige dürften in der ersten Instanz nicht besonders gut stehen. Gemäß dem Rechtsweg landet die Anzeige zuerst auf den Tischen des Regierungspräsidiums Darmstadt. Die hatte als zuständige Aufsichtsbehörde die Praxis von T-Online in anderem Zusammenhang bereits gebilligt. Demnach darf T-Online auch die Daten von Flatrate-Kunden abspeichern, da T-DSL-Kunden sich mit den gleichen Zugangsdaten auch über Modem, ISDN oder GSM einwählen können, was einzeln abgerechnet werden muss.

Rechtsanwalt Stefan Jaeger widerspricht in der Anzeige allerdings dieser Haltung der Aufsichtsbehörde von T-Online: Seiner Ansicht nach müssten die Provider die personenbezogene Zuordnung von IP-Nummern anonymisieren, um nicht gegen geltende Gesetze zu verstoßen. Sollte das Regierungspräsidium seine Entscheidung vom Januar bekräftigen, plant Holger Voss, vor das Verwaltungsgericht zu ziehen. (Torsten Kleinz) / (jk/c't)



HeiseLink


______


Sicherheitslücke in Intrusion-Detection-Software Snort


Angreifer kann beliebigen Code ausführen


Die freie Intrusion-Detection-Software Snort enthält eine Sicherheitslücke, die es Angreifern erlaubt, beliebigen Programmcode mit den Rechte des Users auszuführen, unter dem Snort läuft (gewöhnlich Root). Das meldet das IT-Sicherheitsunternehmen CoreLabs.

Möglich wird dies durch einen Fehler im Stream4-Präprozessor-Modul, das als Add-On TCP-Pakete zusammen setzt, bevor diese zur Analyse weitergereicht werden. CoreLabs hat nach eigener Aussage nun eine Möglichkeit gefunden, einen Heap Overflow in diesem Modul hervorzurufen.

Um diese Sicherheitslücke auszunutzen, ist ausreichend entsprechend aufbereiteter Internetverkehr in die "Nähe" eines Snort-Systems zu bringen, so das dieses den Traffic analysiert. Es ist also nicht notwendig, den Host direkt zu attackieren, auf dem der Snort-Sensor läuft.

Laut CoreLabs sind Versionen bis Snort 2.0 bis zum Release Candidate 1 sowie Snort 1.9.x und Snort 1.8.x verwundbar.

Das am 14. April 2003 veröffentlichte Snort 2.0 soll das Problem beheben.

GolemLink


_________



Sie wollen Ihr Postamt lahmlegen? Sie können Ihr Postamt lahmlegen!




MÜNCHEN (COMPUTERWOCHE) - Spam-Attacken oder Angriffe auf Server-Systeme, die durch massenhafte Anfragen in die Knie gezwungen werden (Denial of Service = DoS), kennt mittlerweile jeder. Mit perfiden Software-Hacks Computersysteme lahmzulegen, gehört zum Internet-Alltag. Nicht so bekannt, aber mindestens genauso fatal sind "Anschläge", bei denen Übelmeinende das Web nutzen, um außerhalb des weltweiten Netzes immensen Schaden anzurichten.

Wie das geht, hat der Wissenschaftler Avriel Rubin jüngst mit zwei Co-Autoren beschrieben. Rubin ist in seiner Funktion als technischer Direktor des Information Security Institute der angesehenen John Hopkins University in den USA ausgewiesener Sicherheitsexperte. Er hat einen Bericht verfasst, in dem er die Gefahr eines Werbeanschlags unter anderem auf Privatpersonen beschreibt. Rubin stellt in seinem Bericht fest, dass jeder halbwegs Kundige sich im Internet über die üblichen Suchmaschinen Software-Werkzeuge besorgen kann. Mit diesen lassen sich im Web solche Seite finden, auf denen Anbieter ihre Kataloge auf Anfrage zum Versand anbieten. Die Tools sind so gehalten, dass die Suche nach Katalogen oder anderen Werbeunterlagen ebenso automatisch erfolgt wie die Eingabe einer Postadresse.

Der Rest ist Chaos: Ähnlich dem üblen Schülerstreich, wonach man einem Mitmenschen 50 Pizzas bei einem Bestellservice ordert und an dessen Adresse liefern lässt, kann man ohne großen Aufwand an eine bestimmte Person beispielsweise tonnenweise Kataloge schicken lassen. Versender solcher Kataloge hat das Software-Tool vorher im Internet aufgespürt und diesen Unternehmen automatisch die Anweisung gegeben, an eine bestimmte Adresse zu liefern. Im schlimmsten Fall sammeln sich auf einem Postamt Hunderte von Katalogen von Versandhäusern aller Art, die an eine einzige Person ausgeliefert werden sollen.

Rubins Schlußfolgerung ist da leicht nachvollziehbar: Würde jemand solch eine Attacke durchführen, wäre nicht nur der Adressat in keiner beneidenswerte Lage. Auch das lokale Postamt würde auf diese Weise an den Rand des Chaos gerückt.

Die Gefahr solch einer Attacke mit Wirkung in das "reale" Leben ist übrigens nicht nur theoretischer Natur. In den USA, zitiert Rubin einen bekannt gewordenen Fall, hatte sich ein Alan Ralsky in der Detroit Free Press ausgesprochen selbstbewusst in die Brust geworfen, er habe mit Spam-Mails an Millionen von Leuten ein Vermögen gemacht. Der Artikel mit dem Interview erschien auf Slashdot.org, einem Online-Nachrichtendienst für technophile Internet-Surfer.

Die Internet-Gemeinde reagierte auf ihre Art: Innerhalb weniger Tage hatten die Leser des Artikels Ralsky bei Tausenden von Katalogversendern als Interessenten gezeichnet. Ab da bekam der etwas zu Forsche täglich tonnenweise Post. Sicherheitsexperte Rubin sagt, etwa über die Suchmaschine Google könne jeder Hunderte von Web-Seiten finden, auf denen sich Kataloge, Broschüren etc. anfordern liessen.

Rubin wäre nicht Amerikaner, wenn er diese Aussichten nicht auch mit einer Prise Gegenwartspolitik und ihren Gefährdungsdrohungen versehen würde: Eine Attacke, mit der sich öffentliche Einrichtungen auf schlichte aber wirkungsvolle Weise paralysieren liessen, könne die erste Stufe für einen größeren terroristischen Anschlag sein. (jm)


ComputerWocheLink

________



Regulierungsbehörde geht gegen 0193-Dialer vor


Die Regulierungsbehörde reagiert auf Meldungen über Gefahren, die von Dialern in der Rufnummerngasse 0191 bis 0195 ausgehen. Würden solche Nummern missbraucht, dann werde man sie einziehen, so ein Sprecher der Regulierungsbehörde. Die Nutzung dieser Nummern für Dialer-Einwahlen entspreche nicht dem Zuteilungsbescheid, sei deshalb nicht zulässig und werde von der Regulierungsbehörde untersagt. Erste Verfahren gegen Betreiber laufen nach Angaben der Behörde bereits.

Unklar bleibt vorerst, ob Kunden, die auf einen solchen Dialer hereingefallen sind, nun um die Zahlung der meist recht hohen Gebühren herumkommen. Die Regulierungsbehörde nimmt dazu keine Stellung, da es sich um eine vertragsrechtliche Frage handelt. Im Streitfall dürfte aber das Vorgehen der Regulierungsbehörde gegen den Missbrauch den betroffenen Kunden gute Argumente in der Auseinandersetzung mit den Anbietern liefern. (uma/c't)


HeiseLink


____________


Windows-Tool rettet zerstörte Word-Dateien



WordFix 2.0 soll alle Informationen in Word-Dateien restaurieren können


Das spanische Software-Haus Cimaware bietet ab sofort eine überarbeitete Version von WordFix an. Die Windows-Software soll defekte Word-Dateien wieder herstellen können. Insgesamt steht WordFix 2.0 in drei verschiedenen Ausbaustufen bereit, die jeweils einen anderen Leistungsumfang liefern.

Die Standard-Ausführung von WordFix 2.0 beherrscht nur die Restauration des Textteils einer defekten Word-Datei, während die Pro-Version weitere Elemente wieder herstellen kann. Dazu gehören Informationen zur Absatz- und Seitenformatierung, zum Inhaltsverzeichnis, zu Tabellen, Hyperlinks, Lesezeichen, Kopf- und Fußzeilen sowie eingebettete Bilddaten. Zusätzlich dazu beherrscht die Enterprise Edition eine Batch-Funktion, um den Programmbetrieb zu automatisieren.

Die Software soll sowohl alle Windows-Fassungen von Word als auch die Word-Ausführungen für MacOS abdecken. Bei der Rettung defekter Dateien arbeitet die Software nur mit einer Kopie der Daten, so dass bei Bedarf noch auf die defekte Datei zugegriffen werden kann.

Cimaware bietet WordFix 2.0 für die Windows-Plattform ab sofort zum Kauf über die Homepage des Herstellers in englischer Sprache an. Die Standard-Version kostet 89,- US-Dollar, für die Pro-Ausführung fallen 149,- US-Dollar an, während die Enterprise Edition auf einen Preis von 199,- US-Dollar für eine Lizenz kommt. Der Hersteller bietet ferner eine Demo-Version zum Download an.

GolemLink


___________



Meldungen vom 17.04.2003



Sicherheitsproblem beim Message-Handling des Windows-Kernels



Microsoft hat ein Advisory veröffentlicht, in dem der Konzern ein potenzielles Sicherheitsleck im Kernel von Windows NT, Windows Terminal Server, Windows 2000 und Windows XP beschreibt. Allerdings muss ein Angreifer, um das Leck ausnutzen zu können, lokalen Zugang zu der Maschine haben oder über eine Terminal-Session mit dem System verbunden sein. Dann ermöglicht ein Buffer Overflow das Ausführen beliebigen Codes; das Problem entsteht durch das Verfahren, mit dem der Kernel Nachrichten an einen Debugger weitergeben könnte. Ein Angreifer kann durch Ausnutzen der Lücke etwa User-Accounts mit Administrator-Privilegien einrichten.

Microsoft stuft das Problem nicht als kritisch ein, sondern gibt ihm nur das Security-Rating important: Bei nächster Gelegenheit solle man den Patch installieren, den Microsoft für alle betroffenen Systeme über das Advisory als Einzelpakete zum Download bereitstellt. Die Redmonder Sicherheitsexperten gehen davon aus, dass bei Server-Installationen die Möglichkeiten zum Login an der lokalen Konsole oder per Terminal-Session restriktiv gehandhabt werden. Daher sei das Leck vor allem bei Client-Systemen oder Terminal-Servern ein Problem.

Das Sicherheitsleck ist vergleichbar zu dem kürzlich aufgetauchten ptrace-Bug im Linux-Kernel, mit dem sich ein Angreifer Root-Rechte verschaffen konnte, wenn er direkten Zugang zum betroffenen System hatte. Im Unterschied zu Linux allerdings dürften die meisten Anwender auf ihren Client-Systemen unter Windows sowieso mit Adminsitrator-Rechten angemeldet sein, ein Angreifer mit lokalem Zugang müsste sich entsprechende Rechte also nicht erst verschaffen. Anders sieht es aber beispielsweise auf Terminal-Servern aus; auch ist die Frage, ob alle Administratoren von Windows-Servern so restriktiv mit interaktivem Zugang zu den Systemen umgehen, wie Microsoft sich das vorstellt. (jk/c't)


Heise Link

_______


Kopfgeld auf Apache



In der IT-Security-Szene kursieren Grüchte über ein Sicherheitsloch in der aktuellen 1.3.x-Version von Apache (1.3.27), für die sogar ein Exploit im Umlauf sein soll. Diese Gerüchte nimmt die Firma iDefense offenbar zum Anlass, Hacker gezielt auf den Open-Source-Webserver anzusetzen. In einem E-Mail-Rundschreiben, das heise online vorliegt, heißt es: "Hat jemand von so einem Exploit gehört? Welche Schwachstelle könnte der ausnutzen? Die Prämie für solche Sachen steigt." ("Bounty is increasing for this kind of stuff.")

iDefense setzt bereits seit August 2002 Prämien für die Aufdeckung von Sicherheitslöchern aus. Ihre Höhe bemisst sich daran, ob es sich lediglich um die Meldung einer Verwundbarkeit handelt oder gar ein Exploit geliefert wird, wie gefährlich das Sicherheitsloch ist, wie detailliert darüber berichtet wird, wie viel Benutzer betroffen sind und auf welche Systeme sich der Angriff anwenden lässt. Der am Vulnerability Contribution Program (VCP) Interessierte darf seine Meldung selber veröffentlichen, alternativ kann er dies iDefense überlassen. Die Anonymität des Meldenden wird auf Wunsch gewahrt.

Gezahlt wird nur bei Erfolg: Nur wenn iDefense das gemeldete Problem reproduzieren kann, gibt es Geld. Vor einer Veröffentlichung wird der Hersteller informiert, um ihm Gelegenheit zu geben, das Loch zu beseitigen. iDefense übernimmt dabei sämtliche Verhandlungen mit dem Hersteller.

Auch die eigenen Kunden informieren die Sicherheitsberater noch vor der breiten Öffentlichkeit über die neueste Angriffsmöglichkeit. Sie sollen so in den Genuss einer Vorlaufzeit kommen, um entsprechende Abwehrmaßnahmen einleiten zu können -- solche Dienste lassen sich die Sicherheitsfirmen natürlich gut bezahlen, und das nicht nur zur Finanzierung der Kopfgelder auf Sicherheitslücken. (ola/c't)

HeiseLink

__________



US-Ministerium: Programmfehler werden vertraulich behandelt



MÜNCHEN (COMPUTERWOCHE) - Das US-Superministerium Department of Homeland Security will Technologie- und Telekommunikationsfirmen dafür gewinnen, den Staat über Schwachstellen in ihren Systemen und Produkten zu informieren. Zu diesem Zweck veröffentlichte die Behörde eine Reihe von Regelungsvorschlägen für den Umgang mit kritischen Infrastrukturinformationen. Sie sehen vor, dass entsprechende freiwillige Mitteilungen streng vertraulich zu behandeln sind.

Die vorgeschlagenen Bestimmungen sollen alle freiwillig übermittelten Daten über reale oder mögliche Angriffe auf kritische Infrastruktur oder geschützten Systeme auf physischem oder computerbasiertem Wege ebenso einschließen wie Hinweise auf Funktionsstörungen oder Programmfehler, die wichtige Dienste wie Versorgungswirtschaft, Telefonnetze oder das Internet gefährden könnten. Damit reagiert der Staat auf die Befürchtungen in vielen Firmen, dass derartige Inhalte an die Presse durchsickern könnten oder von Bürgern unter Berufung auf das Gesetz über die Informationsfreiheit (FOIA = Freedom of Information Act) in Erfahrung und an die Öffentlichkeit gebracht werden. Die jetzt vorgeschlagenen Regelungen sollen über das Department of Homeland Security freiwillig gemachte Angaben über Schwachstellen in der Infrastruktur von der Freigabe unter Berufung auf die Informationsfreiheit ausnehmen.(uk)


ComputerWocheLink

Meldungen vom 17.04.2003


USA wollen chinesische Firewall untertunneln


MÜNCHEN (COMPUTERWOCHE) - Das US-amerikanische International Broadcasting Bureau (IBB) will chinesischen Internet-Nutzern den Zugang zu Webinhalten möglich machen, die unter die Internet-Zensur der Chinesischen Regierung fallen. Um interessierten Chinesen ein "Portal zur Demokratie" zu bieten, gaben die Propaganda-Fachleute eine eigene Software in Auftrag. Das jetzt vorgestellte Programm ermöglicht PC-Anwendern mit Windows XP oder 2000, einen einfachen "Circumvention Web-Server" aufzusetzen, der quasi als Tunnel durch die vom chinesischen Staat betriebene Firewall fungiert. Damit will das IBB den Millionen chinesischer Surfer amerikanische Nachrichten und Propaganda zugänglich machen.

Neu an der Software ist vor allem die Benutzerfreundlichkeit. Die Software erlaubt die einfache Installation eines Mini-Web-Servers, dessen Zweck nur darin besteht, die Verbindung zu anderen Servern außerhalb der Firewall aufzunehmen. Dazu präsentiert er dem Benutzer hinter der Firewall ein Formular, in das er nur die gewünschte Internet-Adresse eingeben muss. Die Benutzung dieses Umgehungs-Servers ist mit bestehender Blocking-Software nicht nachweisbar. Das jedenfalls verspricht der Entwickler der "Tunnelsoftware", Bennett Haselton. Er weist jedoch auch darauf hin, dass Benutzer nicht wirklich sicher vor Entdeckung sind.

Diese Auskünfte dürften jedoch eher an amerikanische Teenager gerichtet sein, die der Bevormundung durch Eltern, Schulen und Behörden überdrüssig sind - denn soviel ist klar: auch sie können mit dem Programm die verbotenen Seiten des Web erkunden. Unklar ist hingegen bislang, wie interessierte Surfer auf der anderen Seite der Chinesischen Mauer im Web von den neuen Möglichkeiten zur Informationsbeschaffung überhaupt erfahren sollen.

Eine pikante Note bekommt die Angelegenheit dadurch, dass hier mit amerikanischer Unterstützung ein Zensurriegel im Web geknackt werden soll, der mit technischer Ausrüstung von zahlreichen amerikanischen Firmen aufgebaut wurde, wie Amnesty International bereits Ende November mitteilte. (uk)


ComputerWocheLink

_______


Versicherung gegen Viren und Hacker in Japan



Reparaturen werden bezahlt, wenn Angriff von außen kam

Tokio (pte, 17. Apr 2003 08:15) - Japanische User können sich bald gegen Schäden, die durch Viren oder Hacker-Angriffe verursacht werden, versichern lassen. Eine entsprechende Versicherung hat der "IT-Risk Hedge Solution Provider" Nippon Intelligence http://www.sbs-nic.co.jp in Zusammenarbeit mit dem Versicherungsunternehmen AIU http://www.aiu.com entwickelt. Nippon Intelligence will sich das Business Modell auch patentieren lassen.

Die Versicherung soll über ISP (Internet Service Provider) an Endkunden vertrieben werden und rund fünf Euro monatlich kosten. Bei den Usern wird eine von dem Anbieter programmierte Software installiert, die den Computer laufend auf illegale Zugriffe von außen überwacht und Berichte an einen Server von Nippon Intelligence liefert. Verursacht ein Virus oder ein Hack-Angriff einen Schaden, wird der PC kostenlos repariert. Schäden, die durch Probleme zwischen Keyboard und Sitzgelegenheit hervorgerufen werden, wird die Versicherung allerdings nicht abdecken.

Nippon Intelligence plant, bis Ende 2004 400.000 Kunden für das neue Produkt zu gewinnen, und umgerechnet 7,65 Mio. Euro umzusetzen. In Zukunft sollen auch Home-Appliance-Netzwerke versichert werden. (Ende)


PresseTextLink


__________



Meldungen vom 18.04.2003



Heise gewinnt gegen Spammer



In dem Verfahren der Heise Zeitschriften Verlag GmbH & Co. KG gegen "Online-Marketing Albrecht" hat das Amtsgericht Hannover zugunsten von Heise entschieden (AZ 526 C 18156/02). Nach dem Urteil hat es der bekennende Spammer bei Androhung eines Ordnungsgeldes zukünftig zu unterlassen, unerwünschte Werbe-E-Mails an Adressen des Verlags, der iX, c't und Telepolis herausgibt sowie heise online betreibt, zu senden.

In der mündlichen Verhandlung am 7. April 2003 machte der Richter eindeutig klar, dass er in der Belästigung von Gewerbetreibenden mit unangeforderten Werbe-Mails ebenso wie der Heise Verlag einen Eingriff in den "eingerichteten und ausgeübten Gewerbebetrieb" im Sinne des § 823 BGB sehe.

Ein Vertreter des "Marketing-Unternehmens" war nicht zu der Verhandlung erschienen, obwohl man sich dort vor Beginn des Verfahrens siegessicher gegeben hatte und einen Gang "bis zur letzten Instanz" angekündigt hatte. Zuvor war bereits im Februar 2003 vor dem Amtsgericht München ein Urteil gegen Albrecht ergangen, das diesem ebenfalls verbot, einen Empfänger seiner Werbesendungen weiter zu belästigen (AZ 161 C 36335/02). Zumindest ein weiteres Verfahren ist derzeit noch anhängig.

Von diesen Entscheidungen offensichtlich unbeeindruckt bietet das Unternehmen weiter seine Dienste an, die laut Eigenaussage "mit Unterstützung des Landes Sachsen-Anhalt sowie mit EU-Mitteln" gefördert würden. Nach wie vor geworben wird damit, nicht weniger als 5,2 Millionen E-Mail-Adressen zur Verfügung zu haben, die "mittels gezielter E-Mail-Aktionen" gewonnen wurden. heise online liegen Kopien von unaufgeforderten Werbe-E-Mails vor, die der "E-Mail-Fuchs" noch am 9. April 2003 verschickt hatte. Einige der Empfänger haben bereits angekündigt, auch hinsichtlich dieses Schreibens juristisch gegen Albrecht vorzugehen.

Ob gegen das Urteil Rechtsmittel eingelegt wurden, ist bislang noch nicht bekannt. (Joerg Heidrich) / (jk/c't)


HeiseLink


________



Warnsystem für gefährdeten Datenschutz



Als US-Präsident George W. Bush am 17. März gegenüber Saddam Hussein ein 48-stündiges Ultimatum aussprach, vor dessen Ablauf er den Irak verlassen solle, hatte das US-amerikanische Heimatschutzministerum die zweithöchste "Terror-Alarmstufe" orange ausgerufen. Ein ähnliches Warnstufensystem haben sich die Bürgerrechtler der Electronic Privacy Information Center (EPIC) ausgedacht, um vor der Gefahr der Datenschutzverletzung zu warnen, die unter anderem von den Bemühungen der US-Regierung ausgehen, um den Terrorismus zu bekämpfen. Engagierten Betreibern von Websites wird angeboten, einen Link auf den EPIC Privacy Threat Index zu setzen.

Das EPIC will dabei das fünfstufige Farbschema des Heimatschutzministeriums für "Low", "Guarded", "Elevated", "High" und "Severe" anwenden. Wegen der Entwicklung im vergangenen Jahr setzen die Bürgerrechtler die Warnstufe auf Gelb für "Elevated". Das ist übrigens die gleiche Warnstufe wie zurzeit auf der Website des Heimatschutzministeriums, das anscheinend die Gefahr von Terroranschlägen nun nicht mehr so hoch einschätzt wie zu Beginn des Irak-Krieges.

Neben erweiterten Befugnissen für die Ermittler des FBI, verstärkten Überwachungsmaßnahmen und den Plänen für einen Domestic Security Enhancement Act ("Patriot II") gebe es aber auch erfreuliche Entwicklungen, meinen die Bürgerrechtler. Sie weisen als Beispiel darauf hin, dass nunmehr keine nationale ID-Card mehr entwickelt werden solle und dass der US-Kongress auf die Pläne für eine "totale Überwachung" des Internet zumindest ein wachsames Auge werfe. (anw/c't)


HeiseLink



_____________



Microsofts Forschung: Sauberer Code und Krypto-Ping-Pong



Lösungen gegen die Spam-Flut und zuverlässigere Software sind aus Sicht der Forschungsabteilungen von Microsoft (Microsoft Resarch, MSR) die Herausforderungen der Zukunft. MSR, das nach eigenen Angaben in fünf Labors rund 700 Mitarbeiter beschäftigt, stellte gestern im Rahmen einer Hausmesse auf dem Microsoft-Campus theoretische Ansätze für Produkte vor, von denen überwiegend nicht viel mehr als der Arbeitstitel bekannt ist.

Darunter ein Konzept gegen die Massen unerwünschter E-Mails. Nach US-Medienbericht spielt "No Spam" mit dem Massenversender eine Art kryptografisches Ping-Pong und verlangsamt dadurch die Aussendung der Werbebotschaften. Die Verschlüsselungs- und Entschlüsselungshürde soll nur für Mails von Absendern aufgebaut werden, die nicht im Adressbuch des Empfängers verzeichnet sind. Die notwendigen Berechnungen würden pro Nachricht nur 10 Sekunden beanspruchen. In der Summe soll das allerdings ausreichen, um Aussendungen mit Millionen Mails angemessen auszubremsen.

Als weitere Idee wurde eine Windows-Version vorgestellt, die Gebärden versteht. "GWindows" soll sich dereinst ebenso wie dafür ausgelegte Anwendungen per Handzeichen steuern lassen. Bis es soweit ist, will Microsoft Research, so wird deren stellvertretender Leiter Rick Rashid in der US-Presse zitiert, dem Mutterhaus "helfen, bessere Software zu schreiben". Viele Projekte der "Microsoft-Labs" zielten auf die Aspekte "sauberer Code und effiziente Programmierung" ab. Ein Beispiel dafür sei die Test-Suite "Scout". Sie unterstütze dabei, neue Prioritäten zu setzen und verhindere, dass Änderungen im Code, die ein Problem beheben, ein neues Problem nach sich ziehen. Die ersten Einsätze hat Scout bereits bei der Entwicklung kommender Versionen von Microsoft Exchange und dem Microsoft Windows Server 2003 absolviert. Die Herausforderung, so Rashid weiter, bestehe künftig darin, den Code einer Software, der aus mehreren zehn Millionen Zeilen besteht, so zu trimmen, "dass sie tatsächlich tut, was Anwender von ihr erwarten".

Scout hin oder her -- einiges wird auch künftig nicht so funktionieren, wie es der Benutzer gerne hätte: Die Zukunft, so war gestern zu erfahren, gehört unter anderem "MyLifeBits". Hinter dem Namen versteckt sich eine Datenbank, deren Inhalte -- in erster Linie Videos und Musik -- gegen alle digitalen Vervielfältigungsversuche immun sein sollen. (em/c't)


HeiseLink

________


Mehrstufige Lösung zum Spam-Schutz


Heuristischer Filter soll unerwünschte Mails bereits beim Eintritt abfangen

Ratingen (pte, 18. Apr 2003 11:05) - Symantec http://www.symantec.com hat eine mehrstufige Lösung zum unternehmensweiten Schutz vor Spam vorgestellt, die sowohl unerwünschte Mails als auch Viren bereits beim Eintritt ins Unternehmensnetz abfangen soll. Dazu bedient sich "AntiVirus für SMTP Gateways 3.1" u.a. eines heuristischen Spam-Filters.

Die heuristische Filter-Engine untersucht die Sendungen nach bestimmten Kriterien. Dazu wird eine Artificial-Neural-Network(ANN)-Technologie verwendet, die lernfähig ist und intuitiv Spam-Mails erkennt. Administratoren können dabei die Grenzwerte, ab wann es sich um ein Spam handelt, definieren und zwischen maximaler Erkennung und minimalem Ansprechverhalten wählen. So kann das Programm z.B. so eingestellt werden, dass alle E-Mails, die auch nur in irgendeiner Form verdächtig aussehen, sofort als Spam erkannt und abgefangen werden, oder das Programm wird so eingestellt, dass nur die E-Mails, die ganz eindeutig als Spam definiert werden, herausgefiltert werden.

Darüber hinaus können Schwarze Listen von Drittanbietern in den Spam-Filter eingebunden werden. Derzeit sind etwa 125 solcher Listen öffentlich verfügbar, die in Echtzeit abgerufen und aktualisiert werden können. Auch ist es möglich, eine eigene Schwarze Liste zu erstellen und Einträge in eine Weiße Liste vorzunehmen. Die Weiße Liste ist eine Filterebene, die es ermöglicht, fälschlicherweise in Schwarze Listen eingetragene Versender wieder freizugeben. (Ende)


PresseTextLink

Sichere Linux-Distribution Trusted Debian 1.0 erschienen

Trusted Debian nutzt PaX und Stack Protector zum Schutz vor Buffer Overflows


Das Trusted Debian Projekt hat mit Trusted Debian 1.0 sein erstes offizielles Release freigegeben. Im Kern der Bemühungen der Entwickler stand die Beseitigung vieler, wenn auch nicht aller Buffer-Overflow-Probleme. Diese dienen immer wieder als Weg, um die Sicherheit von Systemen zu durchbrechen.

Der Schutz, den Trusted Debian bietet, ist allerdings nicht wirklich neu, vielmehr basiert es auf diversen Produkten, die zum Teil seit einiger Zeit erhältlich sind. Trusted Debian will diese nun einer breiten Öffentlichkeit zugänglich machen.

Dabei kommt unter anderem das Linux-Kernel Add-On PaX zum Einsatz, das Applikationen verschiedener Schutz-Mechanismen gegen Buffer-Overflow-Attacken zur Verfügung stellt. So bietet PaX unter anderem eine Überprüfung, wie viel Speicher gerade genutzt wird, um so schlecht geschriebene Programme daran zu hindern, versehentlich Sicherheitslücken zu öffnen. Zudem sorgt PaX ähnlich OpenBSD dafür, dass die Stelle, an der ein Programm in den Speicher geladen wird, zufällig wechselt, denn Buffer-Overflow-Attacken nutzen mitunter die exakte Position von Stellen im Speicher. Im Gegensatz zu OpenBSD, das aber nur am Stack ansetzt, knüpft PaX an vier Stellen, Stack, Heap, Bibliotheken und dem eigentlichen Executable an.

Zudem versucht PaX, Code und Daten zu trennen, um zu verhindern, dass Daten als Code ausgeführt werden. Zu guter Letzt bietet PaX diesen Schutz auch für das eigentliche System, den Linux Kernel.

Darüber hinaus setzt Trusted Debian einen so genannten Stack Protector ein. Dieser modifizierte GCC Compiler von Hiroaki Etoh integriert so genannten "booby-traps" in Programme, die ausgelöst werden, sofern ein Buffer Overflow auftritt. Das Programm wird dann beendet, bevor Schaden entstehen kann. Auch OpenBSD und Gentoo Linux unterstützen ähnliche Schutzmechanismen.

Neben diesen Schutzmechanismen enthält Trusted Debian aber auch RSBAC-Zugriffskontrollen und FreeS/WAN zur Verschlüsselung der TCP/IP-Kommunikation.

Trusted Debian 1.0 kann von verschiedenen Mirrors heruntergeladen werden.

Golem Link

_________


Initiative will Sicherheit in Firmen verbessern


Eine auf der Sicherheitskonferenz RSA Conference in San Francisco vorgestellte Initiative soll IT-Managern Richtlinien vorgeben, durch die US-amerikanische Unternehmen ihre eigene Sicherheitsarchitektur ableiten können. Mit Hilfe dieser Generally Accepted Information Security Principles (GAISP) sollen Firmen nachweisen können, dass sie größtmögliche Sicherheit garantieren.

Die Initiative begann bereits 1990 unter dem Namen GASSP (Generally Accepted System Security Principles) und wird von der Information Systems Security Association (ISSA) unterstützt. Obwohl die GAISP ein US-amerikanischer Standard ist, hofft die ISSA, die Regeln zu einem weltweiten Standard erheben zu können. Ende des Jahres soll die GAISP fertig gestellt sein und mehrmals jährlich aktualisiert werden. Firmen wie Computer Associates, NetScreen, Sun Microsystems und Symantec unterstützen die Initiative. (db/c't)

Heise Link

Cybersecurity-Berater von US-Präsident tritt zurück

Howard Schmidt räumt Posten nach nur drei Monaten

Washington (pte, 22. Apr 2003 16:23) - Der Cybersecurity-Berater im Weißen Haus, Howard Schmidt, ist nach nur drei Monaten im Amt zurückgetreten. Der ehemalige Sicherheitschef von Microsoft will in Zukunft wieder in der Privatwirtschaft tätig werden. Schmidt begründete seinen Schritt damit, dass die meisten seiner Kompetenzen inzwischen zum neu gegründeten Ministerium für "Homeland Defense" gewandert sind.

Die Information Technology Association of America (ITAA), eine Vereinigung von über 400 Hightech-Unternehmen in den USA wie Intel und Microsoft, will allerdings weiterhin einen Berater für Cybersecurity oder "Cyber Zaren" im Stab des Präsidenten sehen. "Wir glauben, dass Cybersecurity weiterhin ein wichtiger Teil der nationalen Sicherheit ist", erklärte ITAA-Präsident Harris Miller. Er fürchtet, dass das Thema seinen Stellenwert in der Bush-Administration verliert, sollte innerhalb des Weißen Hauses niemand mehr für diesen Bereich zuständig sein. http://itaa.org/news/pr/PressRelease.cfm?ReleaseID=1050956794

Schmidt selbst stellt zwar eine Verbesserung im Bereich der Cybersecurity fest, er sieht allerdings weiterhin einen großen Bedarf für zusätzliche Maßnahmen. "Nur auf Angriffe zu reagieren ist zuwenig", zitiert das Wall Street Journal Schmidt. "Stattdessen müssen vorbeugende Maßnahmen getroffen werden, um die Anzahl von Sicherheitslücken zu vermindern und zukünftige Angriffe schon im Ansatz zu verhindern." (Ende)

Pressetext Link


________




US-Bürgerrechtler verlangen Informationen über Website-Sperrungen



Das Center for Democracy and Technology (CDT) hat offiziell Beschwerde eingelegt gegen die Weigerung von Mike Fischer, Generalstaatsanwalt von Pennsylvania, gesperrte Webseiten zu benennen. In dem US-Bundesstaat gilt ein Gesetz, nach dem Internet-Seiten mit kinderpornographischen Inhalten gesperrt werden müssen. Die Liste mit gesperrten IP-Adressen wollte der Generalstaatsanwalt nicht bekannt geben, wogegen das CDT nun vorgeht.

Die Bürgerrechtler halten das Gesetz allerdings sowieso für verfassungswidrig: In Pennsylvania erfolgt die Blockierung der Seiten auf Basis von IP-Adressen durch Internet-Provider. Dies verstoße gegen das Recht auf freie Meinungsäußerung, zumal durch die Sperrung von IP-Nummern auch unbescholtene Seiten unzugänglich würden, die sich die Adressen eventuell mit inkriminierten Seiten teilen. Das CDT demonstrierte dies am Beispiel der eigenen Site zeigen: www.cdt.org nutzt dieselbe IP-Adresse (206.112.85.61) wie beispielsweise www.consumerprivacyguide.org oder www.internetpolicy.net.

Um nun zu überprüfen, ob solches auch bei den in Pennsylvania blockierten Webseiten auftritt, wollten die Bürgerrechtler die entsprechenden IP-Adressen überprüfen -- was allerdings durch die Weigerung Fischers, sie bekannt zu geben, vorerst verhindert wurde. Insgesamt habe es über 300 geheim gehaltene Zensur-Anweisungen gegeben, erklärt das CDT. Eine Überprüfung vor Gericht oder eine öffentliche Anhörung dazu sei aber nicht erfolgt. Die Bürgerrechtler gehen davon aus, dass neben den berechtigten Sperrungen hunderte oder gar tausende Webseiten blockiert würden, die nichts mit Kinderpornographie zu tun hätten. Der Justizminister könne nicht dauerhaft verhindern, dass solche Zensurmaßnahmen öffentlich überprüft werden. Falls die Beschwerde der CDT abgelehnt wird, bliebe den Bürgerrechtlern noch der Gang vor Gericht. (jk/c't)


HeiseLink

Internet Explorer mit vier weiteren Sicherheitslecks

Sammel-Patch für Internet Explorer 5.01, 5.5 und 6.0 soll Probleme beheben


In Microsofts Internet Explorer sind vier weitere Sicherheitslücken entdeckt worden, die nun mit einem Sammel-Patch gestopft werden können. Eines der Sicherheitslöcher erlaubt es einem Angreifer, beliebigen Programmcode auf einem fremden System auszuführen. Der Sammel-Patch für den Internet Explorer 5.01, 5.5 und 6.0 soll zudem alle bislang bekannten Sicherheitslecks reparieren.

Durch einen Buffer-Overrun innerhalb der Komponente URLMON.DLL prüft der Internet Explorer die Parameter von einem Web-Server nicht korrekt. Dies kann ein Angreifer dazu nutzen, um beliebigen Programmcode auf einem fremden System auszuführen, wozu der Angegriffene lediglich eine URL öffnen muss.

Ein weiteres Sicherheitsleck steckt in den Internet-Explorer-Programmroutinen für den Upload von Dateien. Ein Angreifer kann einen Dateinamen an diese Routine übermitteln, um Daten von einem fremden System auf einen Web-Server zu laden und sich so Einblick in fremde Daten zu verschaffen.

Bei der Anzeige von Dateien anderer Hersteller versagt die Prüfung der übermittelten Parameter im Internet Explorer. Über eine speziell formatierte URL mit Script-Kommandos kann dieses Script in der Sicherheitszone des Anwenders ausgeführt werden.

Das letzte der vier Sicherheitslöcher betrifft die Anzeige von modalen Dialogen im Internet Explorer, weil ein Eingabe-Parameter nicht richtig geprüft wird. Darüber kann ein Angreifer ein Script einfügen und so Zugriff auf die lokalen Dateien eines fremden Rechners erlangen. Dazu muss der Angreifer den Betreffenden nur dazu bringen, eine spezielle Webseite zu besuchen.

Microsoft bietet deutschsprachige Sammel-Patches zur Behebung der Sicherheitslecks zum Download an. Die auf der Download-Seite angebotenen Patches eignen sich für den Internet Explorer 5.01 mit Service Pack 3, für den Internet Explorer 5.5 mit Service Pack 2 sowie für den Internet Explorer 6.0 mit und ohne Service Pack 1.

GolemLink

_______


Computer-Virus setzt auf Angst vor SARS

Dieser Ausbruch hält sich zumindest in Grenzen

London (pte, 23. Apr 2003 17:04) - Der britische Hersteller von Virenschutzsoftware Sophos warnt vor einem Computer-Wurm, der sich die Besorgnis der Benutzer über die Lungenkrankheit SARS zunutze macht. Der Virus wird von Sophos als Coronenx-A bezeichnet und versucht die Empfänger der verseuchten Nachricht mit Informationen über die Krankheit zum Öffnen des Attachments zu bewegen. http://sophos.com/virusinfo/articles/coronex.html

Das Attachment führt unterschiedliche Namen wie "Severe Acute Respiratory Syndrome", "SARS Virus" und Hongkong.exe. Der Virus nutzt einen eigenen SMTP-Server für die Weiterverbreitung und befällt ausschließlich Windows-Systeme. Die Verbreitung von Coronex-A ist bisher gering.

"Der Wurm ist eine Demonstration dazu, wie Virenschreiber mit psychologischen Tricks versuchen, ihre Schöpfungen zu verbreiten", erklärte Graham Cluley, Senior Technology Consultant für Sophos Anti Virus. Er ruft andere Hersteller von Sicherheitslösungen dazu auf, den Wurm mit Coronex - nach den als Verursacher verdächtigten Coronaviren - und nicht als SARS-Virus zu bezeichnen. Die Berichterstattung über dem Computerwurm soll nicht noch zusätzlich zur allgemeinen Beunruhigung über die Krankheit beitragen, so Cluley. (Ende)

PresseTextLink

________



Sicherheitspatch bremst XP aus



Der am 16. April im Microsoft Security Bulletin MS03-013 vorgestellte Patch für Windows NT 4.0, 2000 und XP ist fehlerhaft. Die Performance von XP-Systemen kann durch die Installation massiv eingeschränkt werden.

Die Diskussion darüber in verschiedenen Internet-Foren ist inzwischen auch zu Microsoft durchgedrungen. Im nunmehr aktualisierten Bulletin werden die Performanceprobleme bestätigt: Nach eingehenden Untersuchungen habe man festgestellt, dass sich der Patch auf Windows XP mit Service Pack 1 verlangsamend auswirken kann. Microsoft arbeitet nun an einer Lösung. Wann der aktualisierte Patch zum Download bereitstehen wird, teilte Microsoft bislang nicht mit.

Microsoft selbst stuft den Patch, der ein potenzielles Sicherheitsleck im Kernel von Windows NT, Windows Terminal Server, Windows 2000 und Windows XP korrigiert, lediglich als important, aber nicht als kritisch ein: Ein Angreifer muss, um das Leck ausnutzen zu können, lokalen Zugang zu der Maschine haben oder über eine Terminal-Session mit dem System verbunden sein. Bei Microsoft empfiehlt man daher den Anwendern zunächst zu prüfen, ob ihr XP-System unbedingt mit dem Patch aktualisiert werden muss. Danach müsse der Patch gründlich auf den eigenen Systemen getestet werden. Nur wenn die Tests keinerlei spürbare Performance-Einbußen zeigten, solle der Anwender den Patch einspielen. In dem Bulletin wird weiterhin versprochen, alsbald einen Knowledge-Base-Artikel bereitzustellen, wenn genauere Aussagen über die betroffenen Rechnerkonfigurationen gemacht werden können. (ola/c't)


HeiseLink

Sicherheitsleck in Ciscos Zugriffsrechte-Management unter Windows

In der Windows-Verwaltungssoftware des Router-Marktführers ist ein Sicherheitsleck aufgetaucht. In Ciscos Web-Managementinterface Secure ACS für Windows wurde ein Fehler entdeckt, der sich ausnutzen lässt, um eine Denial-of-Service-Attacke zu fahren, Root-Rechte auf der Secure-ACS-Maschine zu erlangen oder im schlimmsten Fall den im Hintergrund laufenden Cisco-Service unter Kontrolle zu bringen und beliebigen Code auszuführen. Betroffen sind die Secure-ACS-Versionen 2.6.4, 3.0.3 und 3.1.1, sowie ihre jeweiligen Vorgänger. Die Unix-Variante der Software ist von dem Sicherheitsloch nicht betroffen und daher dieser Gefahr nicht ausgesetzt.

Mittels Secure ACS lassen sich die Zugriffsrechte und Accounting für alle IOS-Router, VPNs, Gateways, Catalyst-Switches und andere Cisco-Produkte verwalten, die ein Unternehmen einsetzt. Details zu dem Bug gehen aus einem Advisory von Cisco hervor. Zuerst entdeckt und veröffentlicht wurde das Sicherheitsloch von Yang Yu, einem Mitarbeiter des Netzwerksicherheitsdienstleisters Nsfocus.

Administratoren sollten den Zugriff auf den TCP-Port 2002 auf allen Rechnern sperren, auf denen der Service Cisco Secure ACS läuft, solange sie die zum Download bereitgestellten Patches noch nicht eingespielt haben. Die Patches werden in späteren Versionen von Secure ACS enthalten sein.

Die Verwaltung von Cisco Secure ACS findet über eine Webinterface statt. Ein Service mit dem Namen "CSAdmin" läuft dazu im Hintergrund und nimmt am TCP-Port 2002 http-Anfragen an. Wenn der Service einen Login-Versuch abhandelt, kommt es zu einem Buffer Overflow, sofern die http-Anfrage überlange Parameter enthält. Typischerweise hängt sich das System danach auf und muss neugestartet werden. Es ist allerdings außerdem möglich, dass das Ausnutzen der Sicherheitslücke dem Angreifer die volle Kontrolle über das System gibt. (ola/c't)


HeiseLink


________



WLAN-Sicherheit: Anwender sind skeptisch und warten ab



Weltmarkt für WLAN-Sicherheitstechnologie untersucht


Der verstärkte Einsatz von kabellosen Netzwerken im Unternehmensumfeld führt zu einer erheblichen Nachfrage nach Sicherheitsapplikationen zum Schutz der sensiblen Unternehmensdaten, so eine Studie von Frost und Sullivan. Das in fast allen WLANs genutzte Sicherheitsprotokoll WEP ("Wired Equivalent Privacy") ist zwar der gegenwärtig gebräuchliche Sicherheitsstandard, aber seine Sicherheitslücken haben die Unternehmen zu einem erneuten Überdenken ihrer Schutzstrategien bewegt.

Da eine vertrauenswürdige Lösung fehlt, die das kabellose Hacking verhindert, ergibt sich für Hersteller die Gelegenheit, ihre eigenen Standards auf dem Markt für Sicherheitstechnologie zu platzieren.

Nach einer Studie der Unternehmensberatung Frost & Sullivan werden die aufkommenden WLAN-Sicherheitsstandards die Entwicklung und Herstellung von neuen und zusätzlichen Gerätschaften und Softwarelösungen forcieren, wodurch ein enormes Marktwachstum entsteht. Der Weltmarkt für WLAN-Sicherheitsapplikationen lag im Jahr 2002 bei einem Gesamtumsatz von 41,1 Millionen Dollar, für das Jahr 2009 wird ein gewaltiger Umsatzsprung auf 278,7 Millionen Dollar prognostiziert.

Der Überfluss an Protokollen macht schon heute die Interoperabilität zwischen ähnlichen Produkten unterschiedlicher Hersteller zu einem Problem. Mit der Einführung des Wi-Fi-geschützten Zugangsprotokolls (WPA), das auf dem 802.11i-Standard des Institute of Electrical & Electronics Engineers basiert, soll sich die Lage jedoch entscheidend ändern. Das Protokoll soll gegen Jahresende verfügbar sein und die Frage der Interoperabilität lösen, indem alle Produkte auf WPA-Kompatibilität abgeprüft werden. Diese Standards sollen nicht nur für unternehmenstaugliche Sicherheit in WLAN-Netzwerken sorgen, sondern auch die Anzahl der Unternehmen verkleinern, die sich nach Lösungen von Drittanbietern umschauen. "Obwohl es die WLAN-Technologie schon seit Jahren gibt, brauchte es bis zur Entwicklung der 802.11b-Spezifikation durch das IEEE, um die Geräte aus ihren historischen Marktnischen Warenlagerung, Einzelhandel und Logistik herauszuführen. Der Einsatz von WLAN findet jetzt in fast allen Marktsegmenten statt und schließt die traditionellen logistischen Anwendungsbereiche, die Gesundheitsversorgung und auch beispielsweise Kanzleien mit ein", erklärte Wai Sing Lee, Research Analyst bei Frost & Sullivan.

"Auf Grund der unzähligen Standards haben die Anwender allerdings ihre Zweifel, ob die Interoperabilität, die Erweiterungsfähigkeit und die Kompatibilität mit anderen Protokollen und Spezifikationen tatsächlich funktionieren wird. Denn sie werden definitiv keine Lösung integrieren, die sich als technische Sackgasse herausstellt. Sie können diesem Umstand aber nur begegnen, indem sie eine Lösung akzeptieren, die von Anbietern von Netzwerklösungen als empfehlenswert eingestuft wird, indem sie den Einsatz ausbremsen bis industrieweite Lösungen zur Verfügung stehen oder indem sie ganz generell die Einrichtung von WLAN-Netzwerken einstellen", sagt Lee. "Die WLAN-Anbieter müssen eine Balance finden zwischen Schulung der Anwender und technologischem Fortschritt. Nur so kann die WLAN-Nutzung seitens der Unternehmen nachhaltig gestärkt oder ausgebaut werden", fügte er hinzu.

Kleinere Entwickler von WLAN-Sicherheitstechnologien sind nach Ansicht der Studienautoren ausreichend kompetent, um zusätzliche effektive Lösungen auf dem Markt einzuführen. Um sich allerdings als sichtbarer Player im Markt zu positionieren, bedürfe es einiger Mühen, da sie gegen etablierte Marktgrößen antreten. Einen Vorteil auf diesem ungleichen Spielfeld können sie sich verschaffen, indem sie neben den erweiterten Lösungen zusätzliche Anreize bieten. Denn durch das Aufkommen neuer Standards lässt sich vorhersehen, dass beträchtliche Investitionen nötig werden, um die Sicherheitsstufen zu verstärken. WLAN-Sicherheitslösungen sollten deswegen zusätzliche Funktionen bieten, z.B. die Fähigkeit zum Policy Management, die Skizzierung von Dienstklassen und die Begleitung der Kunden bei der Umsetzung der Netzwerkrichtlinien.

Auf Grund der gegenwärtig unsicheren Wirtschaftslage ist eine komplette Überholung/Neuinstallation der Netzwerke nach Einschätzung von Frost und Sullivan aber unwahrscheinlich. Anbieter von unternehmensweiten Netzwerklösungen wie z.B. Cisco und Symbol haben schon jetzt proprietäre WLAN-Sicherheitslösungen in ihre Systeme eingebettet. Von diesen erwartet man sich einen höheren Nutzen bezüglich der gesamten Lizenzkosten, da keine weiteren Anwendungen oder Bauteile installiert werden müssen.

Sicherheitsanbieter haben weitläufig Aufklärungsmaterialien verschickt, um die skeptischen Überlegungen der Anwender zum Thema WLAN-Sicherheit zu zerstreuen. Lösungen, die mit den WLAN-Sicherheitsstandards konform sind, werden wahrscheinlich den Markt beherrschen; allerdings werden immer erweiterte Sicherheitsmaßnahmen vonnöten sein, die nicht von der Leistungsfähigkeit oder dem Umfang dieser Standards abgedeckt werden. Generell rechnet man damit, dass der Markt für WLAN-Technologie eindrucksvoll wachsen und einen entsprechend großen Markt für Sicherheitslösungen nachbilden wird.

Der Titel der Frost und Sullivan-Analyse lautet: "World Wireless LAN Security Technology Markets".

GolemLink

Microsoft veröffentlicht Sicherheits-Leitfaden für Windows Server 2003

Anweisungen sollen Administratoren die Installation erleichtern

Redmond (pte, 28. Apr 2003 15:42) - Parallel zum Start seines Windows Server 2003 hat Microsoft http://www.microsoft.com auch einen eigenen Security Guide herausgegeben. Die im Internet verfügbare Anleitung soll Administratoren die benötigten Informationen für die sichere und einfache Installation des Server-Betriebssystems geben. Dabei werden unterschiedliche Einsatzszenarien in Umgebungen mit mehreren Clients berücksichtigt.

Die Anleitung beinhaltet unter anderem Anweisungen für die besonders sichere Installation von Domain Controllern, Infrastrukturservern, File-Servern, Drucker-Servern oder Internet-Information-Service-Servern. Zusätzlich bietet Microsoft Hintergrundinformationen zu den einzelnen Sicherheitsproblemen und Risiken der einzelnen Einstellungen als auch über die Auswirkungen der verschiedenen Konfigurationen. Der Sicherheitsleitfaden ist auf Englisch erhältlich unter: http://microsoft.com/downloads/deta...C1-0685-4D89-B655-521EA6C7B4DB&displaylang=en (Ende)


PresseTextLink


_________



Exploit gegen Linux-PPTP-Server im Umlauf



Auf der Sicherheitsmailing-Liste Bugtraq wurde nun ein Exploit zu einem Buffer-Overflow-Fehler des Linux-VPN-Servers PoPToP veröffentlicht. PoPToP dient zur Realisierung von Virtual Private Networks (VPN) über PPTP (Point-to-Point Tunneling Protocol) unter Linux.

Die PoPToP-Entwickler haben den Fehler allerdings bereits am 9.4.2003 beseitigt. Betroffen sind alle Versionen vor 1.1.3-20030409 beziehunsgweise 1.1.4-b3. Adminstratoren solcher Server sollten unbedingt eine aktuelle PoPToP-Version einspielen. In Tests in der c't-Redaktion genügte es, die Binaries pptpd und pptpctrl einer Installation mit Version 1.1.2 durch aktualiserte Versionen zu ersetzen, um den Betrieb wieder aufzunehmen. (ju/c't)


HeiseLink

Großrazzia gegen Telefonanlagen-Hacker

29.04.2003 um 14:46 Uhr

MÜNCHEN (COMPUTERWOCHE) - Mehrere Staatsanwaltschaften, Polizeidienststellen der Bundesländer und das Bundeskriminalamt (BKA)haben heute Morgen 37 Wohnungen wegen des Verdachts des Computerbetruges durchsucht. Wie das BKA mitteilt, wird den Tatverdächtigen vorgeworfen, in den letzten zwölf Monaten mit Handys und Computern zahlreiche Telefonanlagen von Firmen gehackt und manipuliert zu haben.
Die Täter riefen dann auf Kosten der geschädigten Unternehmen teure 0190er-Nummern an, die sie nach bisherigen Erkenntnissen vorher per Internet für sich oder Bekannte angemietet hatten. Durch die so erschwindelten anteiligen Gebühren sei jeweils innerhalb weniger Tage mehrere tausend Euro Schaden entstanden, so die Wiesbadener Behörde weiter. Insgesamt betrage der Gesamtschaden wohl mindestens 750.000 Euro.

Offenbar standen zudem mehrere der Täter in Kontakt zueinander. Ob die Straftaten gemeinschaftlich begangen wurden, sei aber noch unklar. Die Auswertung der sichergestellten Beweismaterialien könnte noch weitere Computerstraftaten aufdecken, vermutet das BKA. (tc)

ComputerWocheLink

_____


Falsche Cacheeinträge in BIND

Software: BIND 4.8 bis 4.9.11 und 8.1 bis 8.3.4
Typ: Cache Poisoning


Problem: Die IDs die für die Kommunikation zwischen DNS Dämonen benutz werden sind leicht nachzubilden.
Effekt: Ein Angreifer kann falsche DNS-Informationen einschläusen, was zu einer fehlerhaften Hostname/IP umsetzung führt.
Lokal: nein
Remote: ja


Exploit: Derzeit sind uns keine Exploits bekannt.

Link und Lösungsvorschlag bei ComputerSecurity.de

Harte Bandagen für Spammer in Virginia

Gesetz sieht fünf Jahre Haft vor

aol
Dulles (pte, 30. Apr 2003 10:28) - Der US-Bundesstaat Virginia streift im Kampf gegen Spam die Boxhandschuhe über. Gouverneur Mark Warner hat dazu zwei Gesetze unterzeichnet, die für verschiedene Spam-Taktiken Haftstrafen von einem bis zu fünf Jahren vorsehen. Daneben dürfen die Behörden auch alle Gewinne, die Spammer aus ihrer Tätigkeit ziehen, sowie alle verwendeten Geräte beschlagnahmen. Die Gesetze betreffen alle Spam-Nachrichten, die von Virginia aus versendet werden oder an Empfänger im Bundesstaat gerichtet sind. http://www.governor.state.va.us/Press_Policy/Releases/2003/Apr03/0429b.htm

"Die Hälfte aller E-Mails weltweit werden über den Commonwealth von Virginia geleitet. So ist es nur angebracht, dass wir unseren Strafverfolgungsbehörden die benötigten Tools in die Hand geben", erklärte Warner bei der Unterzeichnung der Gesetzesvorlagen im Hauptquartier von AOL. Demnach macht sich strafbar, wer bewusst die Header oder Routing-Informationen seiner E-Mail verändert, und mehr als 10.000 Mail innerhalb von 24 Stunden oder 100.000 Nachrichten innerhalb eines Monats versendet. Unter dieses Gesetz fallen auch Spammer, die mehr als 10.000 Dollar Gewinn aus einer Aussendung ziehen oder mehr als 50.000 Dollar im Monat erwirtschaften.

Bereits mehr als 40 Prozent aller E-Mails sind unerwünschte Massenaussendungen. Man geht davon aus, dass sich das Volumen an Spam-Nachrichten in den kommenden sechs Monaten verdoppeln wird. Der Schaden für die US-Wirtschaft wird für 2003 auf 14 Mrd. Dollar geschätzt. Allerdings gehen viele Beobachter davon aus, dass die Gesetze in Virginia keine große Auswirkungen auf das Spam-Volumen haben werden. Vor allem Fragen der Zuständigkeit stehen einer Strafverfolgung entgegen. (Ende)


PresseTextLink


_______


Denial of Service in Superstack 3



Betriebsystem: 3Com SuperStack 3 NBX 4.0.17, 4.1.4, 4.1.21
Typ: Denial of Service


Problem: Der FTP Server und einige andere Services des ERTOS (Embeded Real Time Operating System) reagieren sensibel auf CEL Parameter mit grosser Länge.
Effekt: Die jeweiligen Services reagieren nicht mehr auf Anfragen. Nicht sicher ist ob durch den Bug auch Code ausführbar ist.
Lokal: nein
Remote: ja


Exploit: "CEL aaaa[...]aaa" mit einer Gesamtlänge von 2048 Bytes
Lösung: Derzeit sind uns keine Patches/Updates bekannt.

Scotland Yard schnappt Hacker "Fluffi Bunni"

Verdächtiger auf Computersicherheitsmesse verhaftet

London (pte, 30. Apr 2003 15:52) - Scottland Yard hat den vermutlichen Kopf der Hacker-Gruppe, die unter dem Pseudonym "Fluffi Bunni" verschiedene Webpages geknackt hatte, verhaftet. Wie der britische Dienst The Register http://www.theregister.co.uk berichtet, wurde der 24-jährige Verdächtige Lynn Htun auf einer Computersicherheitsmesse in London festgenommen. Die britische Polizei hat noch keine Informationen zu dem Fall veröffentlicht.

Das Markenzeichen von Fluffi Bunni war das Bild eines rosaroten Plüsch-Kaninchens, das der Hacker auf den geknackten Webseiten hinterlassen hatten. Fluffi Bunni war in den Jahren 2000 und 2001 für 18 Monate aktiv und knackte in dieser Zeit zahlreiche Websites. Darunter befanden sich auch die Seiten von führenden Internet-Sicherheitsorganisationen wie vom SANS Institute, SecurityFocus oder Attrition.org.

Der bekannteste Hack war der Massen-Angriff auf den Registrar NetNames im September 2001, bei dem mehr als 1.000 Webseiten übernommen wurden. Die Hacker platzierten die Nachricht "Fluffi Bunni goes Jihad" auf den entführten Webseiten unter dem Bild des rosaroten Kaninchens an einem Computerschirm. "Wenn ihr das Internet wieder sehen wollt übergebt uns Mr. Bin Laden und fünf Mio. Dollar in einem braunen Papier-Sack." Der dazugehörende Text mit über 500 Wörtern wurde vom FBI als anti-amerikanisch eingestuft. (Ende)


PresseTextLink

__________



Microsoft stopft Lecks in BizTalk Server und korrigiert Windows-Patch



MÜNCHEN (COMPUTERWOCHE) - Microsoft warnt vor Sicherheitslücken in der Integrationssoftware BizTalk Server. Durch einen Buffer Overflow (Speicherüberlauf) in der HTTP-Receiver-Funktion von BizTalk 2002 können Angreifer beliebigen Code auf betroffenen Systemen ausführen oder Daten modifizieren und löschen. Der HTTP Receiver dient zum Austausch von Geschäftsdaten zwischen Backend-Systemen und ist als ISAPI-Erweiterung (Internet Services Application Programming Interface) implementiert. Dabei handelt es sich um eine DLL, auf die zum Beispiel ein ISS-Server (Internet Information Server) zugreifen kann. Hacker nutzen die Lücke, indem sie manipulierte Anfragen an den HTTP Receiver senden, die den Buffer Overflow auslösen.

Die BizTalk-Versionen 2000 und 2002 sind durch die so genannte "SQL Injection Vulnerability" angreifbar, durch die sich Hacker Zugriff auf in BizTalk eingebundene SQL-Datenbanken und in extremen Fällen auch auf das Betriebssystem verschaffen können. Die Zugriffe sind aufgrund fehlerhafter Prüfungen der Eingabeparameter möglich. Obwohl im Prinzip jedermann manipulierte Anfragen an DTA-Websites (Document Tracking & Administration) absetzen kann, lässt sich das Leck nur von angemeldeten DTA-Nutzern erfolgreich ausnutzen, heißt es bei Microsoft. Patches für beide Sicherheitslücken sind verfügbar.

Außerdem hat Microsoft einen Patch für Die Windows-Versionen NT 4 bis XP erneuert. Er beseitigt eine Sicherheitslücke in der "WM_TIMER"-Funktion des Betriebssystems und machte bereits mehrere Male Ärger (Computerwoche online berichtete). Der ursprünglich bereits im Dezember 2002 veröffentlichte Bugfix wurde zunächst vom Netz genommen, nachdem sich herausgestellt hatte, dass er NT-4-Konfigurationen zerstörte. Im Februar 2003 folgte eine korrigierte Version, die jedoch Probleme auf der Terminal Server Edition von NT 4 bereitete. Der abermals erneuerte Patch soll einwandfrei funktionieren, verspricht Microsoft. (lex)



ComputerWocheLink

Linux: Keine Chance für Buffer Overflows

Linux soll noch sicherer werden, vor allem das Grundübel der Buffer Overflows wollen die Entwickler endlich ausmerzen. Auch Kernelentwickler Ingo Molnar von Red Hat beteiligt sich an den Bemühungen und stellt auf seinen Seiten den Kernelpatch exec-shield zum Download bereit.

Der Patch ist für die Kernelversion 2.4.21-rc1 und schützt vor Angriffen, die Adressen überschreiben oder eigene Befehle einschleusen. Außer dem Kernel muss nichts neu übersetzt werden, exec-shield arbeitet im Idealfall für Anwendungen transparent. Unter anderem setzt exec-shield für jedes Programm den höchsten Adresswert fest, der noch Ausführbares enthält; eine genauere Beschreibung liefert der Autor in seinem Ankündigungstext.

Bereits Ende April stellten Entwickler eine Linux-Distribution auf Basis von Debian vor, die unter anderem besonderen Schutz gegen Attacken, die Buffer Overflows ausnutzen, bieten soll. Auch das freie Unix-Derivat OpenBSD kommt in der Version 3.3 mit Maßnahmen, die Buffer Overflows den Garaus machen sollen. (cgl/c't)


HeiseLink

________


Website-Sperrungen in der Schweiz aufgehoben


Die Schweizer Provider können aufatmen: Die Sperrungsverfügung einer Untersuchungsrichterin des Kantons Waadt hat keinen rechtlichen Bestand, wie die Swiss Network Operators Group (SwiNOG) mitteilt. In der Verfügung waren im Dezember vergangenen Jahres über 30 Provider aufgefordert worden, den Zugang zu zwei Webseiten zu sperren.

Betroffen waren die Seiten appel-au-peuple.org und swiss-corruption.com, gegen die verschiedene Anzeigen unter anderem wegen Ehrverletzung vorlagen. Da die Schweizer Justiz keine Zugriffsmöglichkeiten auf die Server hatte, sollten die Provider des Staates die Auslieferung der beanstandeten Inhalte durch gefälschte DNS-Einträge verhindern. Die Provider wurden nun informiert, dass die Anordnung hinfällig ist. Das zuständige Gericht in Lausanne hatte entschieden, dass die in der Anordnung zitierte Rechtsgrundlage nicht auf das Internet anzuwenden sei. Damit kam das Gericht einem Rekurs mehrerer betroffener Provider nach.

Die Sperre hatte sich erwartungsgemäß als wenig wirksam erwiesen: Schon kurze Zeit nach dem Erlass der Verfügung zog eine der inkriminierten Seiten auf eine Geocities-Adresse um. Eine Sperre über DNS-Einträge war nicht mehr möglich ohne gleichzeitig den Zugriff auf Tausende weiterer Seiten zu blockieren.

Der Provider green.ch weigerte sich ganz, der Anordnung nachzukommen. "Sollten solche kantonalen Verfügungen Schule machen, fänden sich die ISPs der Schweiz mit unzähligen Verfügungen konfrontiert, was zu einer massiven Beeinträchtigung des Internet-Zugangs für die Schweizer Kunden und Kundinnen führt", sagt Geschäftsführer Guido Honegger. Die anderen Provider kamen der offiziellen Anordnung nach, viele Unternehmen legten aber Rekurs ein. (Torsten Kleinz) / (jk/c't)


HeiseLink

____



HTML-Code bringt Internet Explorer zum Absturz


Auch Outlook und FrontPage betroffen


Der Microsoft Internet Explorer lässt sich mit einem einfachen HTML-Code zum Absturz bringen - darüber informierte jetzt das IT-Sicherheitsunternehmen Secunia. Das Problem steckt in einer Bibliothek, die von diversen Windows-Applikationen - darunter dem Internet Explorer - verwendet wird.

Durch den Bug in Microsofts "Shell Light-Weight Utility Library" (shlwapi.dll) lässt sich der Browser mit einem einfachen HTML-Code zum Absturz bringen. Die Applikation wird mit der Fehlermeldung "Unhandled exception in iexplore.exe (SHLWAPI.DLL): 0xC0000005: Access Violation" beendet.

Laut Secunia sind neben dem Internet Explorer ab Version 4.0 auch der Windows Explorer, Outlook, Outlook Express, Frontpage und alle anderen Microsoft-Programme betroffen, die die shlwapi.dll verwenden.

Dabei spielt es keine Rolle, ob Funktionen wie JavaScript oder ActiveX aktiviert oder deaktiviert sind, da reiner HTML-Code ausreicht, um die Applikationen zum Absturz zu bringen. Eine Lösung für das Problem existiert bislang nicht.


GolemLink

Viren machen vor Linux und Unix nicht Halt

Von CW-Redakteur Frank Niemann.

MÜNCHEN (COMPUTERWOCHE) - In letzter Zeit machten vor allem Virenattacken auf Windows-Rechnern Schlagzeilen, gleichwohl haben auch Unix-Anwender mit Sicherheitsproblemen zu kämpfen. Terminal-Server mildern die Gefahr nicht, sondern verlagern das Problem nur auf den zentralen Rechner.

Immer mehr Firmen liebäugeln damit, Linux für geschäftskritische Anwendungen heranzuziehen. Als ein oft genannter Vorteil des quelloffenen Unix-Derivats gilt dabei die geringere Anfälligkeit für Virenattacken. Nach Meinung von Experten verliert diese Annahme ihre Gültigkeit, da die Anzahl der Linux-Viren und -Würmer ständig zunimmt. „Wenn eine Plattform oder eine Applikation richtig populär ist, wird sie auch attackiert“, bemerkt Toralv Dirro, Security Lead Systems Engineer beim Sicherheitsspezialisten McAfee. Dirro referierte auf den „Security-Tagen“ der CW-Schwesterzeitschrift „Network World“ in München über Schadenspotenziale und Abwehrtechniken durch Computerviren und -würmer.


Foto: Pordue University

„Linux/Slapper“ sei ein Beispiel für einen hartnäckigen Linux-Wurm, so Dirro. Ihm gelang es, rund 25.000 Linux-Rechner zu einer Art Peer-to-Peer-Netz zusammenzuschalten. Diese befallenen Rechner können Hacker nach Belieben fernsteuern oder sie als Wirtssysteme für Distributed-Denial-of-Service-Attacken verwenden, um öffentliche Websites gezielt lahm zu legen. Auch kommerzielle Unix-Derivate wie etwa „Solaris“ von Sun Microsystems sind vor Viren nicht gefeit. So infiziert beispielsweise „Boxpoison“ diese Plattform mit dem Ziel, über die Sun-Systeme Web-Server anzugreifen, die auf Microsofts Software „Internet Information Server“ laufen.

Im Vergleich zu Windows ist die Anzahl der Unix- und Linux-Viren zwar verschwindend gering, doch gibt es laut Dirro für diese Systeme nur wenige On-Access-Scanner, die Störroutinen während des Dateizugriffs erkennen und eliminieren. Daher müssten Antivirenprodukte bereits in Hypertext-Transfer-Protocol-(HTTP-)Datenströmen Würmer ausfindig machen. Über dieses Protokoll kommunizieren Web-Browser und -Server miteinander. Zudem sei es bei kontinuierlich betriebenen Rechnern wie etwa Web-Servern erforderlich, Viren nicht nur in Dateien, sondern auch im Arbeitsspeicher ausfindig zu machen.

Allerdings haben die Virenautoren Mittel und Wege gefunden, Antivirenwerkzeuge zu behindern oder sogar ganz zu entfernen - so geschehen beim Windows-Wurm „Klez.h“. Nur mit großem Aufwand seien dieser und andere Viren zu eliminieren. Erschwerend kommt hinzu, dass Windows-PCs mit NTFS-Dateisystem zwecks Virenbereinigung unter Umständen über eine entsprechende Boot-Diskette hochgefahren werden müssen, ein solcher Datenträger aber oftmals nicht zur Verfügung steht.

Die Strategie mancher Unternehmen, auf lokale Client-Software zu verzichten und stattdessen Programme über Windows-Terminals bereitzustellen, erleichtert den Virenschutz kaum, meint der McAfee-Experte. „Damit verlagert man lediglich das Problem von den Desktops auf die Server.“ Unter Umständen führt dieses Konzept sogar zu größeren Problemen, da es Würmern so gelingen könnte, alle auf dem Terminal-Server laufenden Client-Sessions anzugreifen.

Eine wichtige Schutzmaßnahme ist das Erkennen von Schwachstellen in Systemen, denn die meisten Viren und Würmer nutzen bekannte Lücken in Betriebssystemen und Applikationen aus. Nach Meinung von Klaus Hornung, Enterprise Technical Account Manager beim McAfee-Konkurrenten Symantec, dürfen auch Mainframes nicht mehr uneingeschränkt als sichere Bastion angesehen werden. Da die Rechnerboliden zunehmend mit TCP/IP-Funktionen ausgestattet sind und als Ablaufumgebung für Linux fungieren, müssten Anwender dies in ihren Sicherheitskonzepten berücksichtigen.


ComputerWocheLink


_________



Sandboxen: Nimda und Code Red im Visier




Von CW-Redakteurin Sabine Ranft.

MÜNCHEN (COMPUTERWOCHE) - Unbekannte Viren lassen sich in vielen Fällen durch Sandbox-Systeme enttarnen. Eine simulierte Umgebung bildet eine Schleuse, in der das Verhalten ausführbarer Files untersucht wird, bevor sie in das richtige System gelangen. Die neueste Herausforderung: eine Version, die auch hybride Viren wie Nimda oder Code Red erkennt.

An der Enttarnung unbekannter Viren beißen sich herkömmliche Antivirenscanner heute noch die Zähne aus. Sie reagieren meist auf Codesequenzen, die für einen bestimmten Virus charakteristisch sind. Einen zweiten Ansatz stellen heuristische Systeme dar: Sie suchen nach einer bestimmten Anzahl von Merkmalen, die das Infektionsverhalten mit sich bringt - zum Beispiel: eine Datei öffnet eine andere und trägt etwas ein. Das kann aber auch eine ganz reguläre Datei sein. „Die Fehlalarmquote ist deshalb sehr hoch, eine Analyse des Virus fehlt“, erklärt daher Volker Krause, Geschäftsführer von Norman Data Defense, die Schwäche der meisten Verfahren.


Foto: IBM

Quarantäne für Viren

Die ebenfalls heuristische Methode der Sandbox-Systeme soll hier Abhilfe schaffen. Eine Sandbox ist eine virtuelle Umgebung, in der verdächtige Files gefahrlos getestet werden können. Sie stellt eine Art Quarantänestation für eingehende Dateien dar. Die Grundidee ist einfach: Repliziert sich ein File in der Sandbox, und ist das entstandene Duplikat wieder infektiös, handelt es sich um einen Virus. In diesem Fall wird das File nicht an das reale System weitergeleitet.

Das Verfahren ist sicher, weil nichts physisch auf die Platte gespeichert wird, selbst wenn das Muster es versucht. Die Testumgebung muss Speichermedien, Input-Output-Manager, ROM, RAM, CPU und den Benutzer (Tastatureingaben etc.) simulieren. Der Teufel steckt jedoch im Detail: Auch wenn eine virtuelle Welt viele Aspekte abdeckt, fehlt immer irgendetwas, eine bestimmte API etwa oder ein Service. Daran können Viren unter Umständen bemerken, dass sie sich in einer virtuellen Welt befinden. Manche Erreger sind zudem wählerisch bezüglich ihrer Ziel-Files und wann sie etwas tun. Daher muss auch die Auswahl der Zieldateien in der Sandbox gut überlegt werden.

Bei hybriden Viren wie Code Red oder Nimda ergeben sich weitere Schwierigkeiten. „Hybrid“ bedeutet in diesem Zusammenhang, die Viren verwenden auch klassische Hacker-Methoden zum Angriff. Sie nutzen Sicherheitslücken aus und verbreiten sich über E-Mail und Netzzugriffe. Um einem solchen Virus die Möglichkeit zur Verbreitung zu geben, muss die Simulationsumgebung diese Optionen offen lassen.

Die grundlegende Frage ist also: Wie simuliert man ein Netz? Zum Glück werden nicht mehrere emulierte PCs benötigt, im Prinzip genügt ein Computer für eine LAN-Simulation. Eine Nachbildung der Schnittstellen und APIs ist allerdings erforderlich. Insbesondere muss der emulierte PC über Schreibzugriff auf geteilte Ressourcen verfügen sowie über die Option, mit einem simulierten SMTP-Server zu kommunizieren (E-Mail-Verkehr). Daraus ergeben sich verschiedene Fragen und Komplikationen. An der Umsetzung dieser Ideen arbeitet Norman Data Defense.

Für viele Anwender ist jedoch ein anderes Handicap entscheidend: Will der Anwender überprüfen, ob das Programm etwas anstellt, müsse er dabei zugucken, legt Gernot Hacker, Senior Technical Consultant bei Sophos in Nieder-Olm, den Finger in die Wunde. „Das ist weit davon entfernt, bequem zu sein oder gar praktikabel in der täglichen Anwendung.“ Daher schränkt auch Krause ein: „Eine solche Emulation macht man nicht für jede Datei.“ Der Zeit- und Rechenaufwand wäre einfach zu groß.

Ergänzende Maßnahme

Das Verfahren eignet sich somit in erster Linie als ergänzende Maßnahme zu herkömmlichen Scannern. Beim On Access Scanning, einer ständigen Überprüfung auf Viren, die im Hintergrund läuft, kommt es nicht in Frage. Aber an Mail-Gateways, wo oft mehrere Antivirenprodukte parallel eingesetzt werden, ist ein kleiner Zeitverzug akzeptabel.

Zwischen den Herstellern herrscht allerdings ein Dissens darüber, was eine Sandbox wirklich ist. „Wir sind die Einzigen, die in dieser Form eine Sandbox haben“, beansprucht Krause die Technik für Norman Data Defense. Die Sandboxen anderer Hersteller seien oft regelbasierende Systeme. Dem widerspricht Hacker von Sophos: „In gewissem Umfang nutzt jeder Hersteller eine Sandbox“, glaubt er. Ein Anbieter von Virenschutz-Tools simuliere beispielsweise ein Windows-Betriebssystem und überprüfe dabei lediglich, ob eine Datei versucht, E-Mails nach draußen zu schicken.

Komprimierte Dateien


Auch Sophos verwendet die Grundidee der Technik, aber auf eine noch speziellere Art und Weise. Viele Viren verstecken sich in verschlüsselten oder komprimierten Dateien, die sich erst entpacken, kurz bevor sie ausgeführt werden. Die Software „Code Emulator“ erkennt, welche Dekompressionsroutine läuft. Die führt sie aus und spiegelt der Datei vor, sie sei das Betriebssystem. An dem weiteren Verhalten der Datei erkennt das Programm dann, ob es sich um einen Virus handelt. Der Vorzug dieser Spezialisierungen liegt in einer merklichen Beschleunigung des Verfahrens. „Grundsätzlich handelt es sich schon um eine gute Idee, nur eben ein bisschen Performance-hungrig“, wertet Hacker abschließend und argumentiert, dass sich viele Dinge mittlerweile auch mit einer Personal Firewall in den Griff bekommen ließen.

ComputerWocheLink
_____________


Zahlreiche Sicherheitslecks in ICQ entdeckt


Hersteller reagierte bislang nicht; keine Patches verfügbar


Die Sicherheitsfirma Secunia berichtet in einem aktuellen Security Advisory über zahlreiche Sicherheitslöcher in dem Instant Messenger ICQ. Der Hersteller Mirabilis bietet bislang keine Patches an, obwohl er bereits informiert wurde und diese Sicherheitslöcher in etlichen ICQ-Versionen stecken.

Bei der Benutzung des ICQ-Mail-Clients kann ein Angreifer durch ein präpariertes UIDL-Feld über einen POP3-Server Zugriff auf das betreffende System erlangen. Zudem prüft der POP3-Client in ICQ weder die Betreffzeile noch das Datum auf eine korrekte Formatierung, worüber ein Angreifer mit Hilfe überlanger Betreff- und Datumszeilen ausführbare Programme starten kann.

Bei der Installation neuer Funktionen prüft ICQ nicht die Echtheit der entsprechenden Routinen, so dass ein Angreifer durch eine Man-in-the-Middle- oder DNS-Spoofing-Attacke beliebige Software auf einem anderen System installieren kann. Ebenfalls mit einem Man-in-the-Middle- oder DNS-Spoofing-Angriff bringt man ICQ dazu, alle CPU-Rechenzeit zu verbrauchen, weil die Software nicht mit fehlerhaften HTML-Inhalten im Werbefenster klarkommt. Schließlich prüft ICQ nicht die Gültigkeit von GIF-Dateien, worüber ein Angreifer eine Denial-of-Service-Attacke ausführen kann.

Nach Angaben von Secunia betreffen diese Sicherheitslecks die ICQ-Versionen 1.x, 99, 2000, 2001, 2002 sowie 2003a. Der Hersteller wurde im März und April 2003 darüber unterrichtet, reagierte allerdings bislang nicht darauf. Um die schlimmsten Sicherheitslecks zu umschiffen, sollte man nicht länger die E-Mail-Funktion in ICQ verwenden. Ansonsten bleibt nur als Ausweg, einen anderen ICQ-kompatiblen Instant Messenger oder einen ganz anderen Instant-Messaging-Dienst zu verwenden.

GolemLink

Versteck im Code: geheime Nachrichten in Executables

Die diesjährige CodeCon 2003, ein nicht kommerzieller Entwickler-Event mit Workshop-Charakter, auf dem letztes Jahr beispielsweise die erste öffentliche Demonstration von Peek-A-Booty stattfand, nutzte der Informatik-Student Rakan El-Khalil, um sein Projekt Hydan (alt-englisch für verstecken) vorzustellen. Hydan weitet das Konzept der Steganografie auf Binärcode aus: Unscheinbarer Inhalt wird benutzt, um geheime Nachrichten zu transportieren. Was bei Bildern durch die für den Menschen nicht direkt sichtbare Manipulation von einzelnen Bits geschieht, bedarf bei Executables großer Sorgfalt, denn die Lauffähigkeit des Codes darf nicht beeinträchtigt werden. El-Khalil erreicht dies, indem funktional äquivalente Funktionspaare gleicher Länge einen versteckten Strom aus Nullen und Einsen kodieren. Im konkreten Fall verwendet Hydan Additions- und Subtraktions-Operationen des Intel Instruction-Set:

ADD reg, KONSTANTE und SUB reg, -KONSTANTE führen zum gleichen Ergebnis, könnten also im Code vertauscht werden, wobei jedoch das Carry-Bit von beiden Operationen konträr gesetzt wird. Coder/Decoder müssen den Code eindeutig als Code erkennen, ihn analysieren und sich im Zweifelsfall gegen eine Vertauschung aussprechen. Dazu verwendet Hydan einen Disassembler, der bislang zwar MMX, aber weder 3Dnow noch SSE oder gar SSE2 kennt und so zuweilen an seine Grenzen stößt. Die Software ist allerdings als gut kommentierte C-Source auf El-Khalils Website verfügbar, sodass sie sich leicht ergänzen ließe.

Die Kodierung von Informationen mit den beiden ADD- und SUB-Befehlen ist dann recht einfach: ADD steht für eine Null, SUB für eine Eins. Konsequent fortgeführt über ein ganzes Binary lässt sich so ein Binärstring zusammenbasteln, ohne dass die Länge des Binary verändert wird. Mittels statistischer Untersuchungen ließe sich der Unterschleif auffällig vieler SUB-Operationen aber wohl ebenso entdecken wie durch einen direkten Vergleich mit dem Original, so es denn vorhanden ist. Obwohl noch nicht optimiert, bringt Hydan zurzeit immerhin schon die US-Verfassung und die Declaration of Independence in Microsoft Word unter -- Microsoft wird sich geehrt fühlen. Das Verhältnis Nutzdaten zu Code liegt dabei bei circa 1/150, in der Bild-Steganografie werden üblicherweise Raten erreicht, die bis um den Faktor 10 höher ausfallen. Zukünftige Versionen von Hydan sollen laut Autor weitere Redundanzen im Code-Set ausnutzen können und sich robuster gegenüber Attacken wie dem Überschreiben zeigen, die vorliegende Ausgabe verschlüsselt Nachrichten bereits via Blowfish. Anwendungszwecke sieht der eifrige Student neben der Geheimnisträgerei in einer Art eingebetteter Signatur sowie als binäres Wasserzeichen.

Ganz neu ist die Technik allerdings nicht: Eric Isaacson hat schon in den 80er Jahren mit ähnlichen Methoden den von unregistrierten Versionen seines A86-Assemblers erzeugten Object-Code gekennzeichnet. A86 nutzt die Tatsache aus, dass etwa der Befehl MOV AX,BX durch zwei verschiedene Opcodes vollkommen gleichwertig und in derselben Länge kodiert werden kann. Das binäre Wasserzeichen soll als Beweismittel gegen Raubkopierer vor Gericht dienen. Auch die Spezies der Cavity-Viren platziert sich in Executables, ohne deren Länge zu verändern. Solche Viren bedienen sich instruktionsfreier Platzhalter (mit Konstanten) im Code, wie sie etwa das Portable-Executable-Format (PE) unter Windows offeriert. (Tobias Engler) / (as/c't) / (jk/c't)

HeiseLink

________


SCO wirft Linux-Fans DoS-Attacken vor


Die Auseinandersetzung um die angebliche Verletzung des geistigen Eigentums von SCO an Unix-Techniken scheint langsam etwas außer Kontrolle zu geraten: Nachdem die Server des Unix-Traditionshauses am vergangenen Freitag unter einem Denial-of-Service-Angriff fast zusammenbrachen, beschuldigt SCO nunmehr Mitglieder der Linux-Community, für die Attacke verantwortlich zu sein.

SCO erklärte, ein Distributed-Denial-of-Service-Angriff (dDoS) habe bis zu 90 Prozent der Bandbreite im Backbone von SCOs Internet-Provider in Lindon (US-Bundesstaat Utah) aufgebraucht. Der Provider habe insgesamt 138 Maschinen identifiziert, die von den Angreifern für die Attacke mit dDoS-Tools infiziert wurden. Den eigentlichen Ursprung des Angriffs habe man aber noch nicht herausgefunden; der Provider bezeichnete den Angriff aber als zweitgrößten, den die Firma je erlebt habe.

SCO-Sprecher Blake Stowell glaubt aber bereits zu ahnen, wer hinter dem Angriff steckt. Der sei innerhalb von 48 Stunden gefahren worden, nachdem IBM seine Antwort auf die Anschuldigungen von SCO wegen Urheberrechtsverletzungen vorgelegt habe: "Aufgrund dieser zeitlichen Nähe untersuchen wir sehr sorgfältig, ob es eine Verbindung gibt zwischen SCOs juristischen Schritten und einigen aus der Linux-Community, die SCO wegen des Bestehens auf seine Rechte feindlich gegenüberstehen." Unglücklicherweise hätten einige Programmierer, die mit SCOs Firmenpolitik nicht übereinstimmen, die Gefährlichkeit von Cyber-Terrorismus ignoriert. "Dies ist ein Fehler auf Seiten der Leute, die daran beteiligt sind, denn wir werden dies strafrechtlich verfolgen, und zwar mit aller Härte des Gesetzes, und wir werden alles dafür tun, um sicherzustellen, dass es für das Begehen dieses Verbrechens eine gerechte Strafe gibt", betonte Stowell.

Die SCO Group -- vormals Caldera -- hatte IBM auf eine Milliarde US-Dollar Schadensersatz verklagt, weil IBM im Rahmen seiner Linux-Initiative geistiges Eigentum von SCO gestohlen haben soll. Einige Patente, Urheberrechte und Kerntechnologien im Besitz von SCO datiert das Unternehmen auf das Jahr 1969 zurück, als in den Bell Laboratories der erste Unix-Quellcode programmiert wurde. Das berühmt-berüchtigte geistige Eigentum von AT&T an Unix -- und die damit verbundenen, seit 1983 von AT&T erhobenen teuren Unix-Lizenzen -- wurde später an Novell Networks verkauft. Die Netzwerk-Spezialisten wollten einst mit einem eigenen Unix reüssieren. Novell wiederum verscherbelte die Besitztümer später an SCO.

Mit der Übernahme von OpenServer und UnixWare durch Caldera ging das geistige Eigentum an den AT&T-Unix-Entwicklungen dann an Caldera über und landete durch deren Umbenennung wieder bei der SCO Group. Nach Interpretation von SCO gehören dem Unternehmen damit die Rechte an AT&Ts Ur-Unix und damit auch an allen modernen Unix-Versionen inklusive Linux, die laut SCO alle von Unix System V abgeleitet sein sollen. Einige der Vorwürfe, die SCO gegenüber IBM erhebt, resultieren zudem aus dem Monterey-Projekt, bei dem beide Firmen an einem 64-Bit-Unix für Intel-Prozessoren arbeiteten. IBM wies die Vorwürfe bereits in einer Eingabe bei Gericht als haltlos zurück.

Bei SCO glaubt man aber zudem belegen zu können, dass Teile des Source-Codes des eigenen Unix-Systems in das frei erhältliche Linux kopiert wurden und wirft daher auch SuSE und Red Hat Verletzung der eigenen Rechte vor. SuSE allerdings sieht sich, unabhängig davon, dass man die Anschuldigungen für unhaltbar ansieht, durch Cross-Licensing im Rahmen der Kooperation bei der United-Linux-Initiative auf der sicheren Seite. Von Linux-Protagonisten werden die Versuche von SCO, sich durch Lizenzen neue Einnahmequellen zu erschließen, zwar als "Anschlag auf das Herz der Community" bezeichnet, aber keineswegs als Anlass für dDoS-Attacken. Denn so richtig ernst zu nehmen erscheint SCOs Vorgehen vielen nicht: Bruce Perens etwa beschrieb das Vorgehen von SCO als Selbstmordversuch, Eric S. Raymond nannte es vollständig bescheuert. (jk/c't)


HeiseLink

Eine Liste der beliebtesten Security-Tools

Eine Umfrage zu Security Tools in der Mailingliste nmap-hackers liefert einen Überblick populärer Angriffs- und Abwehrwerkzeuge. 1854 Teilnehmer konnten jeweils acht Tools ihrer Wahl nennen. Erwartungsgemäß sind unter den meist genannten Tools Scanner wie Nessus und Whisker, die Sniffer Ethereal und Snort und der Passwortcracker John the Ripper. Trotzdem lohnt der Blick in die Rangliste, da im Vergleich zu vorangegangen Umfragen interessante Tools hinzugekommen sind.

Einige davon sind nicht wirklich neu, die Platzierung von Ettercap auf Platz 9 zeigt aber beispielsweise, dass Man-in-the-Middle-Attacken nicht mehr zu den exotischen Angriffsszenarien zu rechnen sind. Ettercap ist ein Werkzeug, dass automatisiert ARP-Spoofing in geswitchten Netzwerken durchführt und damit TCP/IP-Verkehr über Lauschrechner umlenken kann. Aufgrund der freien Verfügbarkeit von Ettercap sollte zukünftig wohl häufiger mit dieser Angriffsart gerechnet werden. (dab/c't)


HeiseLink


________


Automatische Schwachstellenanalysen im Netzwerk per Software


Internet Scanner 7.0 von Internet Security Systems


Internet Security Systems (ISS) bietet ab sofort die Sicherheits-Software Internet Scanner 7.0 an. Als integraler Bestandteil der Sicherheitsplattform Dynamic Threat Protection führt das Programm automatische Schwachstellenanalysen im Netzwerk durch. Internet Scanner erkennt potenzielle Risiken durch verteilte oder ereignisgesteuerte Überprüfungen von Netzwerk-Services, Betriebssystemen, Routern, Switches, Servern und Firewalls.

Die Software unterstützt die von ISS angebotene zentrale Management-Anwendung RealSecure SiteProtector und dessen Modul SecurityFusion. Durch die Kombination dieser Lösungen können Unternehmen große Mengen an Intrusion-Detection-Ereignissen sowie Informationen über Schwachstellen analysieren und miteinander korrelieren. Damit werden die Daten übersichtlich zusammengefasst und die Gefahren klar priorisiert.

"Durch die Zusammenfassung von Stand-alone-Technologien wie Intrusion Protection, Schwachstellenanalyse, Firewall und Abwehrmechanismen in eine zentrale Management-Plattform verbessert Dynamic Threat Protection deutlich die Fähigkeit des Unternehmens, das heutige, sich ständig ändernde Gefahrenspektrum effektiv zu entdecken, sich davor zu schützen und darauf zu reagieren", so Volker Pampus, Geschäftsführer ISS Deutschland. "Dynamic Threat Protection bietet den Unternehmen nicht nur den bestmöglichen Schutz ihrer Netze, sondern erhöht auch den Return ihres Sicherheits-Investments."

Nach Registrierung kann man auf der amerikanischen Website des Unternehmens eine Testversion herunterladen. Preise gibt es nur auf Anfrage.

GolemLink


________



Spam soll zukünftig wettbewerbswidrig sein


Das Kabinett hat am gestrigen Mittwoch einen Entwurf zur Neuregelung des Gesetzes gegen den unlauteren Wettbewerb vorgelegt, der erstmals Werbe-E-Mails, -Faxen und -Anrufe als wettbewerbswidrig erklärt. Danach ist eine "unzumutbare Belästigung" anzunehmen bei "einer Werbung unter Verwendung von automatischen Anrufmaschinen, Faxgeräten oder elektronischer Post, ohne dass eine Einwilligung der Adressaten vorliegt".

Derartige Werbeformen sind zukünftig nur zulässig, wenn ein Unternehmen die Kontaktdaten im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten und der Kunde die Nutzung nicht untersagt hat. Damit entspricht die Neuregelung weitgehend der bisherigen Rechtsprechung zu Spam. Die Rechtstellung von betroffenen Privatpersonen und Unternehmen verbessert der Entwurf allerdings nicht -- klagen dürfen nur direkte Mitbewerber, Verbraucherverbände sowie die Industrie- und Handelskammern.

Am Spam-Aufkommen wird das neue Gesetz ohnehin nicht viel ändern -- schließlich kommt ein Großteil des Werbemülls aus dem Ausland, und Spammer aus Tuvalu, den Bahamas oder den USA kümmern sich erfahrungsgemäß wenig um deutsches Wettbewerbsrecht.

In einem Artikel auf c't aktuell beschäftigt sich Heise-Juistiziar Joerg Heidrich ausführlich mit der Gesetzesnovelle:

Gesetzes-Novelle mit Schwachstellen beim Spam-Schutz


HeiseLink


__________



Sicherheitslücken.....


Programmcode ausführbar in Windows Media Player

Rückkehr der Phone Phreaker?


Allem Misstrauen gegenüber Voice-over-IP im LAN und WAN zum Trotz, sind Angebote für VoIP-Dienste von Telekommunkationsdienstleistern mittlerweile nahezu Standard in deren Portfolio. Selbst internationale Verbindungen, abgerechnet über Calling Cards, laufen bereits über VoIP, ohne dass der Kunde dies merken würde.

Matt Barrie, Sicherheitsexperte und ehemaliger Betreuer von Packet Storm, weist darauf hin, dass VoIP-Dienste potenziell ähnlichen Angriffen ausgesetzt sind wie früher die analoge Telefonie. Seinerzeit erschlichen sich so genannte Phone Phreaker kostenlose Telefonate, indem sie die Inband-Signalisierung von Telcos wie AT&T und Telekom überlisteten. Nötig waren dazu Blue, Black oder Red Boxes, die Töne bestimmter Frequenzen an die Vermittlungsstelle sendeten, um etwa ein Verbindungsende vorzutäuschen und trotzdem weiter zu telefonieren.

Eine kürzlich gefundene Schwachstelle im SIP-Protokoll gibt einen ersten Vorgeschmack auf kommende Probleme. Barrie macht darauf aufmerksam, dass nicht nur kostenloses Telefonieren ein Problem werden könnte, auch das Mitsniffen von VoIP-Verkehr beziehungsweise das Umrouten von Telefonaten ist prinzipiell möglich. Protokolle zur Authentifizierung und Verschlüsselung werden zwar von VoIP unterstützt, jedoch meist aus Performancegründen nicht verwendet, da die Sprachqualität wegen der höheren Verzögerungen leidet. (dab/c't)

HeiseLink


______



Passport-Lücke kann Microsoft teuer kommen



FTC: 11.000 Dollar pro betroffenem User

Redmond (pte, 9. Mai 2003 08:09) - Die gestern bekannt gewordene Sicherheitslücke im Passport-Service kann Microsoft teuer zu stehen kommen. Wie der US-Dienst Cnet berichtet, könnte sich jetzt die Federal Trade Commission (FTC) http://www.ftc.gov der USA dem Vorfall annehmen. Microsoft hat im vergangenen Jahr einen Vergleich mit der Behörde über die Sicherheit der Passport-Daten geschlossen. Damals hatte sich das Unternehmen verpflichtet, keine falschen Angaben über die Sicherheit der Daten im Passport-System zu machen.

Eine Untersuchung könnte zu einer Strafe von 11.000 Dollar pro festgestelltem Verstoß gegen das Abkommen mit der FTC führen. Bei 200 Mio. Passport-Usern summiert sich die mögliche Schadenssumme für Microsoft auf bis zu 2,2 Bio. Dollar. Ob die FTC Microsoft eine Strafe aufbrummt und wie hoch diese ausfällt, hängt allerdings davon ab, inwieweit dem Softwarekonzern Nachlässigkeit nachgewiesen werden kann. Die in den vergangenen Tagen bekannt gewordene Sicherheitslücke im Passportsystem erlaubt einem Angreifer, nur mit der E-Mail-Adresse des Users, den Zugriff auf alle gespeicherten Userdaten einschließlich Name, Adresse und Kreditkartennummer. Microsoft hatte die Sicherheitslücke innerhalb weniger Stunden behoben. (Siehe auch pte-Meldung: http://www.pte.at/pte.mc?pte=030508015 ) (Ende)


PresseTextLink

Symantec-Tool spürt Sicherheitslecks in vernetzten Rechnern auf

MÜNCHEN (COMPUTERWOCHE) - Symantec hat die Software "Symantec Vulnerability Assessment 1.0" angekündigt. Sie soll unsichere Rechner und Anwendungen im Netz aufspüren. Dazu werden auf den einzelnen Hosts SESA-Agenten (Symantec Enterprise Security Agent) installiert, die die Rechner auf Schwachstellen in der Konfiguration und fehlerhafte Anwendungen prüfen. Über ein Web-Tool können Administratoren die Lecks beseitigen und Patches einspielen. Dabei lässt sich die Dringlichkeit der zu erledigenden Aufgaben festlegen.

Durch die Verbindung zur Datenbank des "DeepSight Alert Network" von Symantec, in der bekannte Sicherheitslücken gelistet sind, bekommen Anwender sicherheitsrelevante Nachrichten in Echtzeit, verspricht der Hersteller. So melde der Dienst zum Beispiel das Erscheinen von Bugfixes und integriere die Information in das Administrationswerkzeug. Unter anderem könne sich auch die angezeigte Dringlichkeitsstufe für einzelne Lecks ändern, wenn zum Beispiel ein Patch via Auto-Update auf Rechnern eingespielt werde.

Zudem hat Symantec das Tool "Incidant Manager" auf den Versionsstand 2.0 gebracht. Verbesserungen betreffen vor allem Echtzeit-Korrelationsfunktionen. Außerdem gibt es neue Tracking-Features, durch die sich redundante Ereignisberichte aufspüren lassen sollen. Für identifizierte Sicherheitslücken lassen sich mittels "Risk Analysis Engine" Risikoanalysen für verschiedene Unternehmensbereiche erstellen. Die Software, die ab 75.000 Dollar zu haben ist, lässt sich mit dem neuen Vulnerability Assessment integrieren. Das Symantec Vulnerability Assessment 1.0 kostet knapp 800 Dollar pro Server und 150 Dollar pro Client. (lex)


ComputerWocheLink

____


SSL-Sicherheitsleck in Safari-Browser und Konqueror Embedded


Zertifizierung einer SSL-Verbindung kann manipuliert werden


Gemäß einem Sicherheitsbericht von Secunia weist sowohl der Apple-Browser Safari als auch Konqueror Embedded ein Sicherheitsleck auf, wodurch ein Angreifer dem Nutzer die korrekte Zertifizierung einer SSL-Verbindung vorgaukeln kann. Die Desktop-Ausführung von Konqueror betrifft dieses Sicherheitsleck nicht.

Die Ursache für eine falsche Zertifizierung einer SSL-Verbindung liegt in einer fehlerhaften Abfrage des Common Name eines SSL-Zertifikats. Ein Angreifer könnte dies über DNS-Spoofing ausnutzen, berichtet Secunia. Dadurch kann ein Nutzer nicht sicher sein, ob sich eine SSL-Seite richtig authentifiziert, so dass die Entdecker der Lücke von einer Nutzung von SSL-Seiten mit Safari und Konqueror Embedded abraten. Ein Patch existiert derzeit für beide Browser nicht.

GolemLink

_______


NRW-Nameserver umgeht Sperrungsverfügung [Update]


Websperren will gelernt sein. Ausgerechnet ein Nameserver in der Domain der Landesregierung Nordrhein-Westfalen erlaubt es, die in dem Bundesland geltende Sperrungsverfügung gegen zwei Webseiten zu umgehen.

Wie die Kölner Sektion des Chaos Computer Clubs (CCC) berichtet, ist unter der offiziellen Domain des Landes der Nameserver nic.netzagentur.nrw.de (131.220.4.1) zu erreichen, der weiterhin die korrekte IP-Adressen der eigentlich zu sperrenden Domains liefert.

DNS-Sperren bei Providern sind das einfachste, aber wenig erfolgversprechende Mittel um Seiten von ausländischen Servern zu blockieren. Dazu muss der Provider in seinen eigenen DNS-Servern einen gefälschten Eintrag anlegen. Will ein Kunde die Seite aufrufen, wird er zu einer falschen IP-Adresse geleitet. Davon betroffen ist nicht nur der Http-Verkehr, alle Internet-Daten werden so in die Irre geleitet. Wer als Kunde eines solchen Providers einen nicht manipulierten Netzzugang haben will, muss lediglich einen anderen Nameserver in seiner Netzkonfiguration eintragen. Dazu eignet sich auch der vom CCC gefundene Server in der Domain der Landesregierung.

Wie die in der vergangenen Woche außer Kraft gesetzten Website-Sperrungen in der Schweiz zeigen, haben auch die Anbieter unzulässiger Seiten keine großen Schwierigkeiten, solche Blockaden zu umgehen. Nur kurz nach dem Erlass einer Sperrungsverfügung hatten die betroffenen Seiten Ausweichquartiere gefunden, die weiterhin problemlos erreichbar waren. Zudem war nur ein Teil der Schweizer Provider von der Anordnung betroffen.

Unter der Ägide der Bezirksregierung Düsseldorf war vor über einem Jahr mit der Entwicklung eines komplexeren Filtersystems begonnen worden. Nach Angaben der am Projekt beteiligten Firma Webwasher ist das Konzept "Filterpilot" Ende 2002 als prinzipiell funktionstüchtig vorgestellt worden. Allerdings ist mit dem System nur eine eng begrenzte Zahl von Websperren zu realisieren, die administrativen Probleme sind offenbar noch ungeklärt. (Torsten Kleinz)/ (tol/c't)


HeiseLink

___


Keine Panik bei den Netzbürgern


Dem Kriminologischen Seminar der Universität Bonn zufolge, fühlt sich die Mehrzahl der Netzbürger im Cyberspace weitgehend sicher. Das geht aus den Ergebnissen einer Online-Umfrage zum Thema "Sicherheit und Delinquenz im Internet" hervor, die die Bonner Wissenschaftler in den vergangenen Monaten durchgeführt haben.

Insgesamt 1419 Teilnehmer gaben Auskunft über ihre Cyber-Opfer-Betroffenheit zu Delikten wie Auktions-Betrug, Hacking, Dialer-Betrug, Viren und Hoaxes, Spam-Mail und Kinder-Porno-Seiten. Neun von zehn Internet-Nutzern haben schon negative Erfahrungen mit unerwünschten Spam-Mails gesammelt. Zwei Drittel gaben an, bereits negative Erfahrungen mit Viren gemacht zu haben, immerhin jeder fünfte wurde nach eigenen Angaben schon einmal Opfer eines 0190-Dialers. Ebenso gaben zehn Prozent an, bei Internet-Auktionen betrogen worden zu sein. Auch Cyber Stalking -- das Belästigen anderer Personen im Chat, Usenet oder per E-Mail -- verbreitet sich. Ein Drittel der Frauen unter den Befragten gaben an, bereits online belästigt worden zu sein.

Trotz der relativ verbreiteten Gefahren fühlen sich über achtzig Prozent beim Surfen im Internet weitgehend sicher. Zum Schutz vor Cyber-Crimes fordern die Befragten vor allem eine intensivere Aufklärung über wirksame Selbstschutz-Möglichkeiten und den Ausbau von technischen Sicherungssystemen; nur jeder Dritte spricht sich für mehr strafrechtliche Kontrollen aus. (dab/c't)


HeiseLink


____________

Aktuelle Sicherheitslücken

Benutzeraccounts gefährdet in .NET Passport

Computerschädling Fizzer überholt Klez.H

Nach einem Jahr "Tabellenführung" entthront

Wien (pte, 13. Mai 2003 15:08) - In der Rangliste der aktuell meistgefundenen Computerschädlinge des international tätigen Anti-Viren-Spezialisten Ikarus http://www.ikarus-software.at ist heute, Dienstag, nach über einem Jahr Tabellenführung der Schädling "Klez.H" entthront worden. In den letzten 24 Stunden sind etwa dreimal so viele Fizzer aufgetaucht wie Klez.H-Würmer. Selbst in den eher ruhigen Mittagsstunden wurden in den mailserver-seitigen Schutzprogrammen von Ikarus stündlich mehr als 1.000 Fizzers erkannt - damit waren etwa 2,5 Prozent aller gescannten Mails allein mit diesem Wurm verseucht.

Laut Ikarus-CEO Joe Pichlmayr ist der Höhepunkt aber schon vorbei: "Die höchsten Werte haben wir sicher gestern Abend gesehen. In ein paar Tagen wird Klez.H die Tabellenführung zurückerobert haben", erzählte er pressetext.austria, "Was uns aber wundert, ist, dass noch immer so viele Fizzer-Mails eintreffen. Dabei sind die Virendefinitionen seit gestern Vormittag aktualisiert und die meisten Admins dürften ihre Mailserver upgedatet haben. Offenbar haben wir unterschätzt, wie stark (die Nutzung von) IRC verbreitet ist." Fizzer kommt nicht nur über E-Mail, sondern auch via IRC (Internet Relay Channels), das Filesharing-Netz KaZaA oder sonst in Netzwerken gemeinsam genutzte Daten auf die Rechner. Der Virenschutzexperte bezeichnete den Fizzer-Wurm als "stärkere Mittelklasse", der auf Dauer dem "sehr clever agierenden" Klez.H nicht den Rang ablaufen könne.

Dennoch sei es wichtig, jede noch nicht aktualisierte Virenschutzsoftware sofort upzudaten und auch in Zukunft aktuell zu halten. "Einmal die Woche ist zuwenig." Denn eine Verseuchungsrate von fünf Prozent aller Mails sei völlig normal. "Das ist ein Hintergrundrauschen, das niemanden mehr aufregt. Durch Spitzen wie Fizzer kann das auf sechs, sieben Prozent steigen. Zehn Prozent erreichen wir nur bei besonders starken Ausbrüchen, wie wir sie etwa mit Klez oder dem Loveletter erreicht haben."

Heute Abend könnte die Fizzer-Kurve noch einmal ansteigen, schätzt Pichlmayr: "Viele Privatuser haben nicht upgedatet und klicken auf ihnen unbekannte Attachments. Und sie merken auch gar nicht, dass ihr Computer befallen wurde und den Schädling weiterschickt, solange sie nicht danach suchen." Der Großteil der mit Fizzer befallenen Mails komme aus den Kabelnetzen, in denen viele User sehr unvorsichtig Filesharing betreiben würden.

Detailinfos zu Fizzer siehe http://www.ikarus-software.at/portal/modules.php?name=Virenlexikon&show=I-Worm.Fizzer
Ein kostenloser Fizzer-Remover kann von der Ikarus-Site heruntergeladen werden. (Ende)


PresseTextLink

_______


Iran verstärkt Internet-Zensur


MÜNCHEN (COMPUTERWOCHE) - Die iranischen Behörden haben rund 15.000 Web-Seiten gesperrt. Betroffen sind Internet-Angebote mit "unmoralischen" Angeboten oder unerwünschten politischen Inhalten, die sich etwa über Religion oder über iranische Politiker lustig machen. Das Internet - geschätzte zwei Millionen Iraner können darauf zugreifen - hat sich in dem Land als eine alternatives Informationsmedium etabliert. Allein in den letzten drei Jahren wurden im Iran 80 Zeitungen und Magazine verboten. (ho)


ComputerWocheLink


_______


Kerio Personal Firewall löchrig


Der Sicherheitsdienstleister Corelabs meldet in einem Advisory zwei Sicherheitslöcher in der beliebten Kerio Personal Firewall. Die gefundenen Löcher beziehen sich auf Fehler in der Remote-Administration und der dabei notwendigen Authentifizierung. Durch einen Designfehler kann trotz der Verschlüsselung der Verbindung eine Replay-Attacke durchgeführt werden.

Wird ein gültiger Administrationszugriff mit einem Sniffer im Netzwerk aufgezeichnet, können alle in der Session vorgenommenen Einstellungen reproduziert werden, wenn die Aufzeichnung wieder an die Firewall gesendet wird. Denkbar ist der Mitschnitt eines Zugriffes, bei dem bestimmte Ports kurzzeitig geöffnet werden, um sie später ebenfalls wieder zu öffnen. Der Fehler basiert auf der fehlenden Nummerierung von Sessions, um sie voneinander unterscheiden zu können, wie Corelabs berichtet.

Darüber hinaus kann durch einen Buffer Overflow im Authentifizierung-Handshake der Firewall beliebiger Code in den Stack des Systems kopiert und ausgeführt werden. Dazu muss sich ein Angreifer nur mit dem Administrationsport verbinden und eine bestimmte Paketfolge senden. Eine erfolgreiche Authentifizierung ist für diesen Angriff nicht erforderlich, ein erster Exploit ist bereits verfügbar

Betroffen sind Version 2.1.4 und alle vorhergehenden. Empfohlen wird der Upgrade auf Version 2.1.5 oder das Abschalten der Remote-Administration. Die für Heimanwender kostenlose Firewall schützt den Desktop vor Angriffen aus dem Internet und dem lokalen Netzwerk. Ein Vergleich verschiedener Personal Firewalls findet sich in c't 22/02. (dab/c't)

HeiseLink


_________


Firewall-1 soll vor Schwachstellen in Applikationen schützen



Die gestern angekündigte Integration der Applikation Intelligence Technology in die Firewall Suite Next Generation des Sicherheitsherstellers Checkpoint verspricht besseren Schutz vor Application-Level-Attacken. Potenzielle Buffer Overflows, mittlerweile täglich in Security-Foren beschrieben, sollen zukünftig schon an der Firewall geblockt werden. Verdächtig große Parameter und Header in Protokollen verwirft die Firewall einfach.

Eine vom FBI und SANS Institute veröffentlichte Liste der Top 20 der gefährlichsten Schwachstellen beinhaltet viele Applikationen, die über HTTP, SMTP und FTP kommunizieren und bisher nicht ausreichend gegen Attacken und Exploits geschützt sind. Web-Services zur Kommunikation von Business-Anwendungen über Netzwerke wie XML-RPC und SOAP oder WebDAV als Netzwerkordner verwenden ebenfalls Protokolle wie HTTP und bieten somit neue Angriffspunkte. Die neue Technik analysiert nach Angaben des Herstellers nicht nur die Gültigkeit der Befehle im entsprechenden Protokoll, sondern auch deren Schlüssigkeit. Checkpoint hat die Freigabe der Erweiterung für den 3. Juni angekündigt. Sie soll kostenlos verfügbar sein.

Während die Sicherheitserweiterungen in Checkpoints Lösungen erst implementiert werden, bieten Hersteller wie Kavado und Teros bereits Sicherheitslösungen für Applikationen an. Microsoft hält ebenfalls das Tool URL-Scan bereit, mit dem bekannte HTTP-Attacken gegen den Webserver IIS abgewehrt werden. Die sichere Konfiguration eines Servers ersetzen alle genannten Produkte dennoch nicht. (dab/c't)


HeiseLink

Neuer Wurm könnte Samba-Bug ausnutzen

Mehrere bereits gemeldete Schwachstellen in Samba 2.2.8 und Samba-TNG 0.3.1 könnten nach Angaben von Securityfocus Angriffspunkte für einen neuen Wurm sein. Ein automatisiertes Tool, das Beobachtungen zufolge derzeit nur FreeBSD angreift, installiert eine trojanisierte Version von SSH und öffnet Port 44444 für eingehende Verbindungen. Ob es sich tatsächlich um einen Wurm handelt, ist noch nicht bestätigt, die Art der Verbreitung deutet aber darauf hin. Sollte sich die Vermutung bestätigen, werden wir Warnhinweise veröffentlichen.

Zum Schutz vor Angriffen auf Samba aus dem Internet sollten entsprechende Regeln auf einer Firewall definiert sein. Meist reicht das Sperren der UDP-Ports 137 und 138 und der TCP-Ports 139 und 445 aus. Ist keine Firewall vorhanden, sollten die entsprechenden Patches der Distributionen eingespielt werden oder Samba abgeschaltet werden. (dab/c't)

HeiseLink

________


CCC veranstaltet "Gulasch Programmier Nacht"


Vom 23. bis zum 25. Mai findet die zweite Gulasch Programmier Nacht statt. Neben einer Vielzahl von Vorträgen gibt es ein Hackcenter, das zum Basteln, Coden und Experimentieren einladen soll. Alternativ kann an einem Hackerjeopardy, an Lockpicking-Einführungen des SSD e.V. oder Vorführungen von Independentfilmen der Filmwerkstatt Karlsruhe teilgenommen werden. Teilnehmer können eigene Hardware mitbringen und an das Netzwerk im Hackcenter anschließen; ein WLAN-Access-Point zur Anbindung mobiler Cracker wird ebenfalls aufgebaut. Neben einem FTP-Server und Debian-Mirror steht eine schmalbandige Verbindung zum Internet zur Verfügung.

Ausgerichtet wird die Veranstaltung vom Chaos Computer Club Karlsruhe und Entropia e.V. in den alten Pfaffwerken in Durlach. Nach Angabe des CCC war der Ansturm im vergangenen Jahr so groß, dass man sich in diesem Jahr für einen neuen Veranstaltungsort entschieden hat. Die Teilnahme kostet bis zu 15 Euro. (dab/c't)


HeiseLink


_______
Aktuelle Sicherheitslücken:

Denial of Service in MS RPC

USA: "Buffalo-Spammer" muss hinter Gitter

MÜNCHEN (COMPUTERWOCHE) - Howard Carmack, besser bekannt unter der Bezeichnung "Buffalo-Spammer", wurde verhaftet. Ihm wird vorgeworfen, seit März vergangenen Jahres über 800 Millionen unerwünschte Werbe-E-Mails an illegal beschaffte Adressen versandt zu haben. Er soll dabei 343 verschiedene Namen genutzt haben. Der zuständige New Yorker Anwalt betonte, dass das Versenden von unerwünschte E-Mails nicht per se eine kriminelle Handlung sei. Im Fall von Cormack kämen die Erschleichung von Dienstleistungen sowie der Diebstahl von Daten dazu. Der 36-jährige war bereits in der vergangenen Woche zu einer Schadensersatzzahlung von 16,4 Millionen Dollar an den Provider Earthlink verurteilt worden. Er hatte nicht nur durch das Datenaufkommen finanziellen Schaden bei dem Online-Provider verursacht, sondern auch unter Angabe falscher Identitäten E-Mail-Konten eröffnet. (ho)


ComputerWocheLink

________


BITKOM und Bund gründen IT-Notfallzentrum für Mittelständler


MÜNCHEN (COMPUTERWOCHE) - Der BITKOM (Bundesverband Informationswirtschaft, Telekommunikation und neue Medien) e.V. hat gemeinsam mit dem Bundesinnen- und -wirtschaftsministerium ein IT-Notfallzentrum für den Mittelstand gegründet. Die Private-Public-Partnerschaft wird von weiteren Partnern finanziell unterstützt, darunter Datev, Deutsche Telekom, Giesecke & Devrient, Microsoft, PSINet, SAP sowie Symantec.
Das "Mcert" (M für Mittelstand, Cert für Computer Emergency Response Team) soll möglichst rasch kundenspezifische Informationen zu neuen Viren und Hacker-Bedrohungen sowie Gegenmitteln (Software-Updates und -Patches) bereitstellen und spezielle Beratungsleistungen anbieten und dabei mit den entsprechenden Netzwerken von Bund, Wirtschaft und Hochschulen kooperieren. Die Trägergesellschaft Mcert - Deutsche Gesellschaft für IT-Sicherheit mbH ist eine 100-prozentige BITKOM-Tochter. Deren Geschäftsstelle wird gerade in Berlin aufgebaut, der Praxisbetrieb soll noch im Sommer beginnen. Interessierte können sich einer Mitteilung zufolge bereits jetzt auf der Web-Seiten der Firma informieren und als potenzielle Nutzer vormerken lassen. (tc)


ComputerWocheLink