Klaus-Peter Kossakowski: Computer-Würmer

 

Zur Person


Größere Projekte


IT Incident Response


Publikationen


PGP-Schlüssel


Impressum



2.3 Sind Computer-Würmer immer Systemanomalien?

Ein Kriterium für die Beurteilung des Verhaltens von Computer-Würmern ist die unmittelbare Wirkung der jeweiligen Wurm-Applikation. Entscheidet für die Bewertung als "konstruktiv" oder "destruktiv" ist also die Intention, die mit dieser Anwendung verfolgt wird. Ein weiteres Kriterium ist die Legitimität der spezifischen Wurm-Mechanismen. Ein Computer-Wurm, der einen Systemfehler ausnutzt, um etwas zu erreichen, daß seinem Programmierer nicht gestattet wäre, ist als destruktiv einzustufen, gleiches gilt für einen Wurm, der Paßwörter anderer Benutzer oder Rechner zu brechen versucht, um die Sicherheitsmechanismen zu täuschen. Neben diesen beiden direkt ersichtlichen Funktionsgruppen (Applikation und Mechanismen) und deren unmittelbaren Funktion sind die weiteren Auswirkungen der Aktivitäten von Computer-Würmern zu berücksichtigen. Dazu gehört vor allem das Laufzeitverhalten, das die Leistung der Rechner und des Netzwerks beeinflußt, die Auswirkungen auf andere Benutzer und die Belegung von Ressourcen. Auch ein anhand seiner Funktion als konstruktiv einzustufender Computer-Wurm kann in seinen unmittelbaren Auswirkungen trotzdem destruktiv wirken. Dies ist jedoch kein spezifisches Problem der Computer- Würmer. Durch verschiedene Ursachen kann das tatsächliche Verhalten gänzlich von dem erwarteten Verhalten abweichen: So kann es bei der Übertragung von wurm-spezifischen Programmen unbeabsichtigt zur Ausbreitung von Computer-Viren kommen. Die Aktivitäten eines Computer-Wurms können auch einen neuen Angriffspunkt innerhalb des Systems bilden; mit der zur Verfügung stehenden Rechenleistung können Probleme gelöst werden, die destruktive Auswirkungen erst ermöglichen. Bereits die hier nur beispielhaft skizzierten Möglichkeiten haben weitreichende Konsequenzen, die aber an dieser Stelle nicht weiter diskutiert werden sollen. [Fußnote 1]

Ein weiteres Kriterium für die Bewertung des Verhaltens eines Computer-Wurms sind die Vorschriften, Vorgaben und Regeln der Betreiber und verantwortlichen Administratoren, die festlegen, welche Ereignisse und Verfahren in einem System erlaubt sind und welche nicht. Obwohl die Einhaltung dieser Vorgaben durch das System selbst überwacht und kontrolliert werden sollte, ist dies nicht immer möglich. Dennoch sind solche Vorgaben für alle Benutzer bindend und Verstöße können durch verschiedene Maßnahmen eines Betreibers sanktioniert werden. Dazu ist aber eine geeignete externe Kontrolle, die die internen Sicherheitsmechanismen eines Systems ergänzt, notwendig.

Durch die bisher erfolgten Angriffe ist der Begriff des Computer- Wurms in der Öffentlichkeit eindeutig negativ belegt, so daß es für eine öffentliche Diskussion besser wäre, für konstruktive Anwendungen, die Mechanismen der Selbstreproduktion und autonomen Verteilung in einem Netzwerk ausnutzen, einen neuen Begriff zu prägen.

Anders als bei Computer-Viren, die aufgrund der bereits bei der Infektion stattfindenden Manipulation der Programme oder Datenträger grundsätzlich als destruktiv einzustufen sind, können die Mechanismen, die für die Wurm-Angriffe eingesetzt werden können, auch konstruktiven Zwecken folgen. Als Beispiele dafür können Knowbots, Drums und auch die Wurm-Programme von J. Shoch und J. Hupp gelten. Anders als bei den Wurm-Angriffen, die Sicherheitslücken in Programmen und im Benutzer- bzw. Betreiberverhalten ausnutzten, beruhen solche konstruktiven Ansätze auf Anwendungs-Schnittstellen, die die Replikation und Migration von Prozessen explizit ermöglichen. Darauf aufbauend sind neue Anwendungen möglich, die dynamisch in einem Netzwerk agieren können. Durch die Aufnahme dieser Funktionen in die üblichen System-Schnittstellen unterliegen sie wie alle anderen Funktionen auch den internen Sicherheitskontrollen des Systems.

Aus diesen Betrachtungen ergeben sich vier Schlußfolgerungen, die diese Arbeit bestimmen. Sie orientieren sich an dem grundsätzlichen Interesse der für die Sicherheit von Systemen und Netzwerken verantwortlichen Personen, einen Mißbrauch von für Computer-Würmer geeigneten Funktionen einzuschränken oder zu verhindern.

  • Verbesserte Sicherheitsmechanismen:

    Bestehende Systeme sind der Bedrohung durch Wurm-Angriffe ausgesetzt. Diese Angriffe nutzen Sicherheitslücken in den Systemen oder werden durch falsches Benutzer- bzw. Betreiberverhalten begünstigt. Die Sicherheit der Systeme muß durch eine Verringerung der Sicherheitslücken, die im Rahmen der Entwicklung und des Betriebs entstehen können, verbessert werden.

  • Kontrolle der Funktionalität:

    In zunehmenden Maße werden Systeme Funktionen bereitstellen, die es ermöglichen, einen Computer-Wurm als Anwendung zu entwickeln, ohne Sicherheitslücken ausnutzen zu müssen. Dies erfordert den Schutz vor einer nicht autorisierten Verwendung solcher Funktionen.

  • Kontrolle der berechtigten Benutzer:

    Auch wenn Computer-Würmer in einem System erlaubt sind, kann ihre Funktion gleichwohl durch autorisierte Benutzer mißbraucht werden. Die Benutzer müssen daher bei der Verwendung solcher Funktionen kontrolliert werden.

  • Restriktive Beschränkung der Funktionalität:

    Selbst bei der autorisierten Anwendung können aufgrund von Programmier- und Konzeptionsfehlern Nebenwirkungen auftreten. Da diese Nebenwirkungen jedoch enorme Folgen haben können (wie die Störung ganzer - möglicherweise weltweiter - Netzwerke), bleibt eine Anwendung nicht ohne Risiko. Die Verwendung von Computer-Würmern sollte daher die Ausnahme - und nicht die Regel - sein.

In der weiteren Arbeit können die mit der Anwendung bestimmter Funktionen verbundenen Fragen nach der Beherrschbarkeit, der Vertretbarkeit und der Legitimität nicht weiter behandelt werden, da dies allein einer eigenständigen Untersuchung bedürfte. Statt dessen wird der Einsatz bekannter Funktionen für Computer-Würmer beschrieben und im Hinblick auf die Möglichkeit, diese destruktiv gegen Benutzer und Systembetreiber einzusetzen, untersucht. Die Einstufung als konstruktiv geschieht per Exclusionem, das heißt nur ein Wurm, der durch seine Aufgaben, Funktionen und Auswirkungen nicht gegen die für ein System geltenden Vorschriften verstößt, kann konstruktiv sein. Darauf aufbauend, werden Konzepte und Maßnahmen zum Schutz vor Computer-Würmern dargestellt. Diese Sichtweise, die sich auf Computer-Würmer als Systemanomalien konzentriert, begründet sich von der Gefährdung heutiger Netzwerke her, die durch die bisherigen Angriffe gezeigt wurde. Computer-Würmer sind als Systemanomalien einzustufen, wenn durch ihre Existenz oder Wirkung das Verhalten eines Rechners von dem dokumentierten und spezifizierten Verhalten abweicht bzw. gegen die Regeln für den Einsatz von Programmen und Funktionen verstoßen wird. Das konstruktive Potential selbstreproduzierender Programme in Netzwerken wird damit nicht grundsätzlich ausgeschlossen, jedoch wird auf diese Thematik in der weiteren Arbeit nicht eingegangen werden.

[Zurück zum Anfang]

 


Fußnoten:

  1. Die Unsicherheit auch auf Seiten der Anwender und Betreiber gegenüber autonomen Prozessen, die sich in Netzwerken ausbreiten, führte bei den von Lenstra und Manasse durchgeführten Experimenten zur Faktorisierung von sehr großen Zahlen zur Verwendung anderer Mechanismen. Beteiligt sich eine Institution an diesem Experiment, muß ein spezieller Prozeß explizit gestartet werden, der die Kommunikation mit einem zentralen Rechner abwickelt. Mit der Bereitstellung der Programme im Quellcode, der nicht optimiert wurde, um das Verständnis und eine Inspektion zu erleichtern, wurde versucht, den Beteiligten noch mehr Sicherheit zu bieten [Lenstra, Manasse 1990, S. 358].

Literaturangaben:

  1. [Lenstra, Manasse 1990]: Factoring by electronic mail / Lenstra, A. K.; Manasse, M. S. - In: Advances in Cryptology, EUROCRYPT'89 / Hrsg. v. Quisquater, J. - J.; Vandewalle, J. - Berlin: Springer, 1990. - S. 355-371.

[Zurück] [Inhaltsverzeichnis] [Weiter]


© 1998-2001 by Klaus-Peter Kossakowski, Germany.