Um sich auch online einen Überblick über MISC zu verschaffen, gibt es nun einen elektronischen Probeartikel.

Unter http://www.miscmag.com/de/articles/106-MISC/patch/C_patch-0.1_DE.html gibt es nun den Artikel "Die Verwaltung von Sicherheitspatches" von Patrick Chambet aus MISC 01/2006 zum Probelesen.

So jedenfalls ein möglicher Schluss aus der Jahresbilanz des US-CERT zu Sicherheitslücken in Betriebssystemen.

Von den insgesamt 5198 gemeldeten Schwachstellen entfielen 812 auf Windows und 2328 auf Unix/Linux. Es sieht also so aus, als ob Windows nur ein Drittel der Schwachstellen von Unix/Linux aufweist. Aber wie so oft täuscht hier auch wieder die Statistik: Die Zählweise des US-CERTs ist sehr großzügig und so werden beispielsweise für Linux die Schwachstellen für jede Distribution einzeln gezählt. Außerdem gibt es keine Gewichtung der einzelnen Schwachstellen - MS05-051 (Buffer overflow in MSDTC) zählt genauso viel wie die Denial-of-Service Schwachstelle in SlimFTPd.

Insgesamt zeigt die Statistik ein weiteres Mal, wie schwierig es ist, Sicherheit zu messen. Die Frage, wie sicher ein gegebenes System ist, lässt sich nicht einfach beantworten. Bisher gibt es im Bereich IT-Sicherheit noch keine guten Metriken, um eine Vergleichbarkeit verschiedener Systeme zu ermöglichen. Deshalb werden Statistiken wie die des US-CERTs über Schwachstellen uns vermutlich noch in den nächsten Jahren beschäftigen und zu hitzigen Diskussionen führen. Steve Christey, der CVE Editor, hat in einem offenen Brief erläutert, wie man solche und ähnliche Statistiken bewerten sollte. Der Brief ist unbedingt lesenswert und enthält einige interessante Gesichtspunkte.

Der Themenkomplex "Schwachstellen in IT-Systemen" bildet den Schwerpunkt dieser Ausgabe von MISC. Wir widmen uns dabei dem kompletten Prozess vom Finden bis zum Verhindern von Schwachstellen und stellen sowohl offensive als auch defensive Aspekte dar. Der Artikel "Differenz-Analyse zum binären Vergleich - BinDiff zur Suche nach Verwundbarkeiten" eröffnet den Fokus dieser Ausgabe. Es werden verschiedene Techniken vorgestellt, wie man unterschiedliche Versionen einer Binärdatei analysieren kann. Dies kann beispielsweise verwendet werden, um herauszufinden, welche Schwachstellen ein Patch von Microsoft beseitigt hat.

Fuzzing ist eine Methode, mittels derer man mit wenig Aufwand Schwachstellen in einem IT-System finden kann. Dazu werden randomisiert semi-valide Eingabedaten erzeugt und so die Grenzbereiche der Programmlogik getestet. Der zugehörige Artikel stellt die Methode anhand einiger Beispiele vor und geht auf die Hintergründe ein. Für die mittels Differenz-Analyse oder Fuzzing gefundenen Schwachstellen muss natürlich auch ein funktionierender Exploit entwickelt werden. Oft bleibt dabei die Zuverlässigkeit auf der Strecke. Beispielsweise funktioniert ein für ein englisches Windows 2000 SP2 entwickelter Exploit häufig nicht auf einem deutschen Windows XP SP1. Wie man die Zuverlässigkeit von Windows-Exploits erhöht, wird im gleichnamigen Artikel beschrieben.

Neben diesen eher offensiven Aspekten der IT-Sicherheit wollen wir natürlich auch einen Blick auf die Defensive werfen. Der Artikel "Schutz des Adressraums: Stand der Technik unter Linux und OpenBSD" stellt im Detail verschiedene technische Realisierungen zum Schutz des Adressraums vor. Neben den Grundlagen zu Segmentierung und Paging werden die Systeme OpenWall, PaX, Exec-Shield und W^X erläutert und verglichen. Darüber hinaus werden mögliche Methoden zum Schutz des Adressraums unter Windows skizziert.

In den übrigen Rubriken werden andere Aspekte von IT-Sicherheit beleuchtet. So setzt sich beispielsweise der Artikel "Information War in China" kritisch mit den verschiedenen chinesischen Ansätzen von Information War auseinander und gibt einen Überblick über mögliche Entwicklungen. Die Datenbank Oracle - einer der Grundbausteine in vielen IT-Unternehmen - ist ein komplexes System und deshalb sehr anfällig für Fehler. Wie man ein solches System auf Schwachstellen untersuchen kann stellt Alexander Kornbrust im Artikel "Durch die Datenbank sehen: Oracle für Pentester" vor. Einem anderen wichtigen Programm ist die Rubrik Netzwerke gewidmet: Der Artikel "Sicherheit für den Häuptling" stellt das kleine 1x1 der sicheren Apache Konfiguration dar.

Der Artikel "Die Sicherheit einer DNS-Architektur im Unternehmen" bildet in dieser Ausgabe die Rubrik Systeme. Darin wird eine sichere Implementierung einer DNS-Infrastruktur in einem Netzwerk vorgestellt. Die Sicherheit wird vor allem durch Spezialisierung der DNS-Server (Internetauflösung vs. Auflösung der internen Domain) und die Einrichtung einer zentralisierten, beherrschbaren Policy erreicht.

Der Bereich Science ist wieder mit zwei Artikeln vertreten: Das Projekt Leurre.com setzt Honeypots ein, um verdächtigen Netzwerkverkehr im Internet zu sammeln. Die gesammelten Daten werden dann mit verschiedenen Methoden untersucht, um ungewöhnliche Eigenschaften und Ursachen festzustellen. Beispielsweise kann die Inter-Arrival Time (IAT) von Paketen dazu verwendet werden, Fehlkonfigurationen zu entdecken. Vielleicht kann dies in Zukunft helfen, neuartige Intrusion Detection Systeme zu bauen. Der "Blick aus dem Elfenbeinturm" widmet sich diesmal der universitäre Ausbildung im Bereich IT-Sicherheit.

Die neue Rubrik Crypto stellt ein noch junges Gebiet der Kryptographie vor: Multivariate Quadratische Polynome erlauben kurze Signaturen in Public Key Systemen. Diese Methode hat noch einige weitere interessante Eigenschaften, beispielsweise ist sie auch dann noch sicher, wenn Quantenrechner verfügbar wären. Der zugehörige Artikel stellt die Methode im Detail vor und erläutert sie anhand zweier Beispiele.

Viel Spaß beim Lesen dieser Ausgabe wünscht

 Thorsten Holz - thorsten.holz at miscmag.com

Ab heute gibt es die Ausgabe 3 (2/2006) in ihrem Kiosk...

SYSTEME

• Die Sicherheit einer DNS-Architektur im Unternehmen

INFOWAR

• Information War in China

SCHWERPUNKT

• Differenz-Analyse zum binären Vergleich - BinDiff zur Suche nach Verwundbarkeiten
• Finden von Schwachstellen mit Hilfe von Fuzzing
• Zuverlässigkeit von Windows-Exploits
• Schutz des Adressraums : Stand der Technik unter Linux und OpenBSD Von der Schwachstelle zum Exploit

SECURITY 101

• Durch die Datenbank sehen : Oracle für Pentester

CRYPTO

• Kurze Signaturen in Public Key Kryptographie : Multivariate Quadratische Polynome

NETZWERKE

• Sicherheit für den Häuptling

SCIENCE

• Wie Leurré.com das Internet beobachtet
• Beobachtungen aus dem Elfenbeinturm

Am 1. und 2. März findet in Hamburg der 13. Workshop "Sicherheit in vernetzten Systemen statt. Ziele des Workshops sind es, die Kontakte zwischen dem betreuten Kreis der DFN-Mitgliedseinrichtungen, den TeilnehmerInnen aus der freien Wirtschaft und den Mitarbeitern der DFN-CERT Services GmbH zu intensivieren und im Rahmen der Veranstaltung aktuell über neue Themen und wichtige Aspekte im Umfeld der IT-Security zu informieren. Die Themen reichen dabei von PKI, Firewall-Lösungen, Honeypots, bis hin zu Forensic (Komplettes Programm). Die Keynote wird gehalten von Bill Cheswick.

MISC wird dort für die Teilnehmer kostenlos verfügbar sein.

Das Jahr nähert sich langsam dem Ende entgegen und damit wird es Zeit, einen Rückblick auf das Jahr 2005 aus Sicht der IT-Security durchzuführen.

Was hat uns 2005 gebracht? Wir haben gesehen, dass die Angreifer immer professioneller werden. Der Bereich Bots/Botnetze und Trojaner war oft Thema und wird es vermutlich auch im Jahr 2006 bleiben. Mit Hilfe von Botnetzen können die Angreifer Spam verschicken, Denial-of-Service Angriffe durchführen oder vertrauliche Informationen von den betroffenen Computern stehlen – oft stehen auch finanzielle Motive im Vordergrund. Einer der Bots mit großem Medieninteresse war Zotob und auch Würmer wie Sobber oder MyDoom tauchten häufiger in den Presse auf.

Phishing gewann im Jahr 2005 immer mehr an Bedeutung. Die Phishing-Versuche wurden immer besser (beispielsweise deutschsprachige Mails oder Ausnutzung von Schwachstellen) und vermutlich gibt es alleine in Deutschland Hunderte oder vielleicht Tausende, die auf diese Art von Betrug hereingefallen sind.

Natürlich haben wir auch wieder einige neue Würmer und weitere Arten von Malware gesehen. Viele neue Versionen von Schadenscode wurden veröffentlicht und mittlerweile muss man fast schon stündlich den Antivirenscanner updaten, um noch einen einigermaßen zuverlässlichen Schutz zu haben. Auch Linux und MacOS X sind nicht vor Angreifern sicher, wie mehrere Beispiele im Jahr 2005 gezeigt haben. Bei Linux waren die Angriffe jedoch häufig basierend auf Webapplikationen mit Schwachstellen: Es verging kaum eine Woche, in der nicht eine neue Schwachstelle in einem PHP-Board veröffentlicht wurde... Und nicht zuletzt das Sony-Rootkit hat verdeutlicht, dass auch Firmen teilweise Techniken einsetzen, die mehr als fragwürdig sind. Desweiteren gab es noch einige andere bemerkenswerte Ereignisse und Entwicklungen, beispielsweise:

• Ebay kauft die proprietäre VoIP-Lösung Skype für 2,6 Milliarden Dollar. Dies schürt bei einigen Personen Privacy- und Sicherheitsbedenken und mittlerweile wurden die ersten Schwachstellen von Skype veröffentlicht. Insgesamt hat VoIP im Jahr 2005 an Bedeutung zugenommen und vermutlich werden wir 2006 mehrere Sicherheitslücken sehen.

• Google wird immer "mächtiger", nicht zuletzt durch Projekte wie Google Maps und Google Base. Aber auch in den Bereichen Instant Messaging (Google Talk), e-mail (Google Mail) oder WLAN (Google Secure Access) expandiert das Unternehmen und wird mehr und mehr zum Datensammler. Und die Bugs in Google Mail und der Google Search Appliance haben gezeigt, dass auch Google nicht vor Fehlern geschützt ist.

• Größeren Medienrummel gab es um den Vortrag von Mike Lynn bei Black Hat USA in diesem Jahr. Er präsentierte eine Technik, mit deren Hilfe man Schwachstellen in Cisco Routern besser ausnutzen kann - eine Weiterentwicklung der Technik von FX. Aufregung um diesen Vortrag gab es vor allem, weil Cisco ihn verbieten wollte. Und Lynn musste später eine Verschwiegenheitserklärung unterzeichnen. Droht dies in Zukunft auch anderen Security-Experten?

Nun aber ein Überblick über diese Ausgabe. Diesmal liegt der Schwerpunkt auf der Bobachtung von Sicherheit: Wie kann man als Administrator das eigene Netz beobachten? Welche gesetzlichen Regelungen muss ich dabei beachten und wie kann ich grundsätzlich vorgehen? Die anderen Artikeln beschäftigen sich mit dem Themenbereich der Sammelung und Aufbearbeitung von Netzwerkdaten, sowie der Verwaltung von Patches in heterogenen Systemumgebungen. Desweiteren wird aufgezeigt, wie man mit Hilfe freier Tools ein solches Beobachtungssystem aufbauen kann.

In den anderen Rubriken werden verschiedene Themenbereiche der IT-Security angesprochen: Um die "soften" Faktoren der IT-Sicherheit - beispielsweise im Bereich des Projektmanagements - dreht sich alles in dem gleichnamigen Artikel. Diese nicht-technologischen Aspekte sollten bei der Betrachtung von IT-Security immer ebenfalls berücksichtigt werden, da der Faktor "Mensch" ein entscheidendes Puzzleteil im Zusammenspiel aller Faktoren ist. Ein System kann aus technischer Sicht zuverlässig sein, aber der Faktor "Mensch" kann immer noch Unsicherheit in ein solches System bringen.

In der Rubrik Systeme stellt der Artikel "Die OpenBSD-Baustellen" die verschiedenen Subprojekte des OpenBSD-Projekts vor. Vermutlich hat jeder Leser dieses Magazins schon OpenSSH eingesetzt. Aber wer benutzt auch regelmäßig pf, den OpenBSD Packetfilter, oder OpenCVS? Der Artikel gibt einen Einblick in die einzelnen Subprojekte und stellt verschiedene Anwendungsmöglichkeiten vor. Im Bereich Science beschäftigt sich einer der Artikel mit dem Thema "statistische Tests" und beleuchtet die Frage nach der Zuverlässigkeit eines solchen Tests und wie ein Angreifer dieses Wissen einsetzen könnte. Der zweite Artikel aus dieser Rubrik gibt wieder einen Blick aus dem Elfenbeiturm und versucht die Frage zu beantworten, weshalb das Zusammenspiel von Theorie und Praxis teilweise so schwierig ist.

Etwas technischer wird es im Bereich "Security 101": Diesmal wird das Tool Dtrace vorgestellt und es wird gezeigt, wie man dieses Werkzeugs unter Solaris 10 zum Reverse Engineering einsetzen kann. Als praktisches Beispiel wird vorgestellt, wie man die Passwort-Funktion von Oracle untersuchen kann und so mehr über die eigentliche Implementierung lernt.

Viel Spaß beim Lesen dieser Ausgabe und ein erfolgreiches Jahr 2006 wünscht
Thorsten Holz - thorsten.holz [at] miscmag.com

Ab heute gibt es die Ausgabe 2 in ihrem Kiosk und der Schwerpunkt dieser Ausgabe liegt auf "Beobachten von Netzwerken".

In dieser Ausgabe werden die folgenden Themen behandelt:

• Systeme :
  • Die OpenBSD-Baustellen
  • Bewertung der Sicherheit von mobilen Endgeräten unter Windows CE
• Schwerpunkt :
  • Überwachung von Sicherheit
  • Reporting und Reaktionsverfahren
  • Sammeln von Informationen
  • Verwaltung von Sicherheitspatches
  • Freie Tools zur Sicherheitsüberwachung
• Security :
  • Einfaches Reverse Engineering mit DTrace
  • Soft Factors in der Informationssicherheit
• Science :
• Die Simulierbarkeit statistischer Tests
• Beobachtungen aus dem Elfenbeinturm

MISC ist in jedem guten Zeitschriftenhandel erhältlich. Und ein kleiner Preview ist ebenfalls verfügbar.

Ältere Ausgaben von MISC können nun auch mit diesem Bestellungsformular angefordert werden. Bald wird es auch möglich sein, MISC im Abonnement bestellen zu können.

Am 20./21. Februar 2006 findet in London die erste EuSecWest/core06 Konferenz statt. Mit van Hauser (thc - "Attacking the IPv6 protocol suite") und Yuji Ukai (eEye Digital Security - "Exploiting Real-Time OS Based Embedded Systems Using the JTAG Emulator") stehen schon die ersten beiden Referenten fest. Die vollständige Agenda wird im Januar veröffentlicht und es werden garantiert interessante Vorträge sein.

MISC ist auf der Konferenz ebenfalls vertreten, schaut also einfach mal vorbei!

Seit ein paar Tagen ist der Fahrplan für den diesjährigen CCC Congress online. Die aktuelle Version ist 0.93, die Einträge sind also schon relativ stable. Ausserdem gibt es ein Weblog und ein Wiki .

Nur noch ein paar Wochen bis zum Congress, ich freu mich schon :-)

Dies ist sie also nun, die erste deutsche Ausgabe von MISC, dem "Multi-System & Internet Security Cookbook". Unsere große Schwester aus Frankreich gibt es schon ein bisschen länger: Zeitgleich mit dieser Ausgabe erscheint in unserem Nachbarland schon Ausgabe 21 dieses Magazins.

Doch was ist MISC? MISC ist ein Computermagazin, das sich mit dem Bereich der IT Security auseinandersetzt. IT Security ist ein komplexes Themengebiet und wir versuchen, ein möglichst breites Spektrum dieses Gebiets abzudecken. Dazu stellen wir neben rein technischen Aspekten auch das Umfeld in diesem Bereich vor. Also werden wir neben Themen wie Shellcodes oder verschiedenen Exploiting-Techniken auch das grundsätzliche Vorgehen bei Penetrationtests beleuchten. Ab der nächsten Ausgabe wird es auch eine regelmäßige Rubrik geben, die sich mit rechtlichen Aspekten im Bereich der Sicherheit auseinandersetzt.

Dabei stolpern wir immer wieder über das <i>Dual-use Prinzip</i> in der IT Security: Die Fähigkeiten und Werkzeuge, die ein Verteidiger einsetzt, unterscheiden sich häufig kaum von denen eines Angreifers. Gerade in diesem Bereich hat jede Medaille zwei Seiten und viele der Techniken können von beiden Seiten eingesetzt werden. Ein Beispiel dafür ist der Artikel "Ungebremster Speicherzugriff mit FireWire". In diesem Artikel wird erläutert, wie mittels FireWire ein direkter Speicherzugriff (Direct Memory Access - DMA) auf einem angeschlossenenen Gerät durchgeführt werden kann. Aus Angreifersicht kann dies beispielsweise dazu genutzt werden, einem bestimmten Prozess root-Rechte zu geben oder den Bildschirmspeicher auszulesen. Aber auch aus Verteidigersicht hat ein solcher direkter Speicherzugriff einige interessante Eigenschaften. Beispielsweise könnte der DMA Zugriff per FireWire dazu genutzt werden, ein komplettes Speicherabbild zu erzeugen, ohne das System dabei zu verändern. Dieses könnte dann für forensische Analysen genutzt werden.

Der Schwerpunkt dieser Ausgabe liegt auf den Grenzen der Sicherheit. Und gerade in diesem Grenzbereich sieht man das Dual-use Prinzip ebenfalls immer wieder. Es wird innerhalb dieses Schwerpunktes unter anderem gezeigt, welche Grenzen Antivirenprogramme, Intrusion Prevetion/Detection Systeme und Personal Firewalls haben. Und genau diese Grenzen müssen sowohl die Verteidiger als auch die Angreifer kennen. Dabei lernen beide Seiten von der jeweils anderen: Ein Administrator muss wissen, inwiefern er sich auf die Ergebnisse seines Antivirenprogramms verlassen kann. Gleichzeitig kann ein Angreifer dieses Wissen nutzen, um unbemerkt ein Binary an ein Opfer innerhalb des Netzes zu senden. Ähnlich ist dies bei Personal Firewalls, die oft nur einen trügerischen Schutz vor Angriffen bieten.

In diesem Magazin versuchen wir, möglichst objektiv über diese Themen zu berichten. Dabei legen wir den Fokus auf die Abwehrmaßnahmen, allerdings kommen auch offensive Aspekte zur Sprache. Ein Beispiel dafür ist der Artikel "Utopie der perfekten Malware". In diesem Artikel werden die Grundzüge einer fortgeschrittenen Malware erläutert. Erst das Verständnis der Möglichkeiten von Malware erlaubt es uns, effektive Gegenmaßnahmen zu entwickeln. Desweiteren sollen diese eher offensiven Artikel dazu dienen, die Leserschaft für zukünftige Bedrohungen zu sensibilisieren.

In der Rubrik "Science" ist der Fokus ähnlich. Hier werden Themengebiete beleuchtet, die momentan Gegenstand der Forschung in der Wissenschaft sind. Dies sind im Allgemeinen Themen, die die IT Security erst in der nahen (oder manchmal auch fernen) Zukunft betreffen. Diese Rubrik soll einen Blick über den Tellerrand ermöglichen und dafür sorgen, dass auch zukünftige Bereiche nun schon in den Blickwinkel aufgenommen werden. In dieser Ausgabe beschäftigt sich beispielsweise einer der Artikel mit Angriffen auf RSA bei teilweise bekanntem Schlüssel. Diese Art von Angriffen ist zwar momentan noch eher theoretisch, aber eventuell werden Fortschritte bald schon dafür sorgen, dass dies zu einer realen Gefahr wird.

Viel Spaß beim Lesen wünscht

Thorsten Holz