INTERNET - Möglichkeiten und Dienste

Prof. Jürgen Plate

4 Kriminalität und Sicherheit im Internet

"Within any community of 20 million people,
there's bound to be a red-light district."
Brian Behlendorf

Einleitend möchte ich ein paar grundsätzliche Dinge klarstellen und danach auf einige juristische und sicherheitstechnische Aspekte eingehen.

Der WDR tut es, ZAK tut es, c't hat es getan, Und EMMA tut es immer wieder: Berichte über Sex im Internet bringen. Warum sie das tun, ist klar. Es ist eines der heissesten Themen der deutschen Presse, Menschen regen sich auf, Emotionen schlagen hoch - oder lassen sich zumindest damit hochschlagen. Kurz gesagt: Berichte über Sex mitten auf der Datenautobahn sind in. Und wenn es nicht um Sex geht, dann liest man, daß jugendliche Terroristen die Bauanleitungen für Bomben aus dem Internet holen. Außer dem ist das Netz Tummelplatz für Rechts-, Links- oder Sonstwas-Extremisten.
Da sich jedoch auch seriöse Magazine wie Zeit, Spiegel oder FAZ auf dieses Thema gestürzt haben, ist eine kurze Bemerkung dazu nötig. Zunächst eine pauschale Antwort: Es stimmt; im Internet gibt es Sex und all das andere. Nun müssen wir das Ganze aber relativieren: Das Internet spiegelt unsere menschliche Gesellschaft wieder - also kommen auch Sex und politische Randgruppen vor.
Auch die Bombenbauanleitungen sind im Netz zu finden, denn schließlich hat man Zugang zu Informationsservern auf der ganzen Welt. Ein paar Anleitungen, die durch die News geisterten (rec.pyrotechnics), habe ich gelesen. Sie sind gefährlich - für den der sie ernst nimmt und versucht, sie nachzuvollziehen. Der Bastler riskiert Leib und Leben, denn die Texte sind fehlerhaft und von mangelndem Fachwissen geprägt. Auch für derartige Informationen braucht man das Netz nicht, ein paar gute Chemie- und Physikbücher tun es auch - und die gibt es in jeder öffentlichen Bibliothek. Hier zeigt sich auch der Nachteil der offenen Struktur. Jeder, der sich berufen fühlt, kann erst einmal Informationen ins Netz streuen. Wenn sich dann Proteste erheben, ist es oft zu spät. Daraus folgt die Regel: "Sei mißtrauisch!".
Extremisten können das Netz für die Übermittlung von E- Mail oder Dateien nutzen - auf dieselbe Art und Weise, wie sie Telefon, Brief- und Paketpost nutzen können. Und genausowenig wie die Post für die Verabredung einer Straftat am Telefon ist, kann das Netz etwas dafür, wenn es auf diese Weise mißbraucht wird. Server mit Nazi-Material in den USA unterliegen dort dem Gesetz zum Schutz der freien Rede und sind daher schwer angreifbar.
Grundsätzlich gilt, wie schon gesagt, daß sich alle Dinge des täglichen Lebens und alle Facetten der Gesellschaft im Netz wiederspiegeln - und das sind nun mal nicht immer nur positive Dinge.

4.1 Juristisches

Das Internet ist eine gewachsene Struktur, die sich von keiner übergreifenden Ordnung beherrschen läßt. Es bietet jedem Raum für seine Kreativität, egal ob er kommerzielle Interessen verfolgt oder nur seinem Hobby frönen möchte. Ein Problem bleibt jedoch bestehen: Das Internet verbindet viele Länder mit unterschiedlicher Gesetzgebung, die auch die Aktivitäten im Netz tangieren. So ist beispielsweise das Versenden von verschlüsselter E-Mail nach Frankreich nicht erlaubt. Wer jedoch alle Gesetze der Welt auf das Internet anwenden will, wird damit letztlich scheitern.

In Deutschland wird das Internet von etlichen Paragraphen berührt:

Strafgesetzbuch:

Unbefugte Datenbeschaffung
Unbefugtes Eindringen in ein Datenverarbeitungssystem
Datenbeschädigung

Gesetz zur Bekämpfung der Computerkriminalität:

Ausspähen von Daten
(1) Wer unbefugt Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen beschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
Computerbetrug
(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beinflußt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
Datenveränderung
(1) Wer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft,
Computersabotage
(1) Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, daß er
1. Daten verändert (s. o.) oder
2. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt oder unbrauchbar macht, beseitigt oder verändert,
wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

Bundesgesetz über den Datenschutz

Die folgenden Ausdrücke bedeuten:

Personendaten (Daten): alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen.
Betroffene Personen: natürliche oder juristische Personen, über die Daten bearbeitet werden.
Besonders schützenswerte Personendaten: Daten über
1. Die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten.
2. Die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit.
3. Maßnahmen der sozialen Hilfe.
4. Administrative oder strafrechtliche Verfolgungen und Sanktionen.
Persönlichkeitsprofil: eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten
Bekanntgeben: das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen
Datensammlung: jeder Bestand von Personendaten, der so aufgebaut ist, daß die Daten nach betroffenen Personen erschließbar sind
Bundesorgane: Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind
Inhaber der Datensammlung: private Personen oder Bundesorgane, die über den Zweck und Inhalt einer Datensammlung entscheiden
Grundsätze
1. Personendaten dürfen nur rechtmäßig beschafft werden.
2. Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muß verhältnismäßig sein.
3. Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.

4.2 Copyright-Probleme

Wie bei Zeitungen, Büchern, Radio- und Fernsehsendungen oder anderen Formane der Publikationen unterliegen auch alle Veröffentlichungen im Internet dem Copyright. Doch in der Regel publizieren die Internet-Teilnehmer nicht, um Geld zu verdienen, sondern aus freien Stücken. Sie kämen auch nie auf den Gedanken, ihre Mitmenschen mit Copyright-Prozessen zu überziehen - im Gegenteil, sie freuen sich, wenn ihre Ideen übernommen werden. Ohnehin bleibt fraglich, ob sich der klassische Copyright-Begriff auf die Welt des Internet übertragen läßt. Es herrscht allgemeine Übereinkunft darüber, daß sich Ideen nicht durch Copyright schützen lassen. Wäre es anders, müßten praktisch alle kommerziellen Softwareprodukte eingestampft werden, weil sie schließlich zu einem Großteil auf Algorithmen beruhen, die unter anderem auch im Netz veröffentlicht wurden. Da alle Quellen maschinenlesbar vorliegen, leicht zu kopieren und zu manipulieren sind, kann es unter Umständen sehr schwierig bis unmöglich sein, den wahren Urheber eines bestimmten Inhalts auszumachen. In Deutschland geht das Urherberrecht sogar noch weiter, man kann niemals die Urheberschaft an eine Schriftstück aufgeben, sondern lediglich das Nutzungsrecht.

4.3 Sicherheit

Allgemeines

Jeder, der seinen Rechner an das Internet anschließt, sich eine Internet-Adresse sowie die TCP/IP-Software besorgt und installiert, muß sich darüber im klaren sein, daß er damit seinen Rechner potentiell mit einigen Millionen anderer Rechner in Verbindung bringt. So wie man selbst alle möglichen fremden Rechner erreichen kann, ist man auch für jedermann kontaktierbar. Mit zunehmender Vernetzung wächst aber auch der Bedarf am Schutz der Privatsphäre. Während für die Briefpost und für die Telekom ein Postgeheimnis gilt, gibt es bei Mailboxen und Weitverkehrsnetzen nichts Vergleichbares. Bei einer Ansammlung von weltweit miteinander vernetzten Computern ist ein Briefgeheimnis auch nicht möglich. Nachrichten, die Sie beispielsweise über das Internet verschicken, laufen über viele Rechner (meist sind es aber nur Router). Theoretisch ist es an jeder Stelle im Netz möglich, Ihre Daten abzuhören und zu speichern. Zudem könnte jemand Dokumente unter Ihrem Namen übers Netz verschicken oder abgefangene Dokumente verfälschen (letzteres gab es natürlich seit der Antike auch schon beim Versand von Papierdokumenten und in neuerer Zeit bei Fernschreiben oder Telefax). Das Internet ist offen und um den Individualismus auf dem Netz so wenig wie möglich einzuschränken, müssen Sicherheitsvorkehrungen an den Endgeräten vorgenommen werden.

Für bestimmte Dienste wurden oder werden Sicherheitsmaßnahmen getroffen. So wird auf Unix-Servern für WWW oder FTP für den Abfragenden das Datenverzeichnis zum Wurzelverzeichnis. Auf diese Weise ist auch bei Sicherheitsmängeln im Serverprogramm niemals ein Zugriff auf Dateien außerhalb des reservierten Plattenbereichs möglich. Diese Methode kann man auch für den Betrieb einer Mailbox oder einen Gast-Login ohne Paßwort verwenden.

Sicherheit von Betriebssystemen

In der Betriebssystemsoftware (und auch der Anwendungssoftware) treten immer wieder Fehler auf, die unautorisierten Zugang für Hacker durch Ausnutzen von Sicherheitslöchern zuläßt. Bei der Wahl eines Serverbetriebssystems sollten daher Sicherheitsaspekte im Vordergrund stehen und nicht die (scheinbar) leichte Bedienbarkeit. So haben beispielsweise Viren bei DOS- oder Windowsrechnern leichtes Spiel, weil sie alle Programme auf der Platte befallen können. Bei Systemen mit Zugriffsrechten für Dateien (Unix, Novell Netware, etc.) können sie meist nur die Programme eines Benutzers verseuchen. Je nach System gibt es unterschiedliche Methoden ein System zu manipulieren:

Trojanische Pferde sind Programme, die einerseits die gewünschte bzw. "offizielle" Funktion ausführen, aber gleichzeitig vom Manipulateur beabsichtigte Nebenwirkung ausführen.
Würmer oder Wurmsegmente sind Programme, die sich selbständig über ein Netz verbreiten und auf anderen Rechnern vervielfältigen können.
Viren sind Programme, die sich in andere Programme hineinkopieren (reproduzieren) und zeit- oder ereignisgesteuert Schäden hervorrufen.
Logische Bomben sind zusätzliche Programmfunktionen, die vom Programmierer eingebaut werden. Sie treten erst zu einem bestimmten Ereignis zu Tage, z. B. werden alle Daten zwei Jahre nach Entlassung des Programmierers gelöscht.
Trap doors sind Programmfunktionen, die einen nicht autorisierten Zugang zum System ermöglichen. Dies muß nicht in böser Absicht geschehen, auch Programmteile, die zur Fehlersuche dienten und dann in der Verkaufsversion nicht entfernt wurden, oder Wartungsaccounts können zu trap doors werden.
In Netzen gibt es dann noch Formen der Tarnung (z. B. spoofing), bei der ein Rechner vorspiegelt, ein anderer zu sein. In vielen Betriebssystemen gibt es den Begriff des "trusted host". Vereinfacht gesagt sind dies Rechner, denen gegenüber der eigene Rechner "offen" ist. Tarnt sich ein fremder Rechner als vertrauenswürdiger Host, wird das Eindringen erleichtert.

Bis auf wenige Ausnahmen (z. B. ftp-Server, WWW-Server) sind bei PCs unter DOS, Windows 3.1x oder OS/2 keine Maßnahmen zur Sicherheit notwendig, da an PCs in der Regel keine Anwendungen gestartet sind, die Kontaktaufnahme von außen akzeptieren. Problematischer ist es schon bei Windows 95/98, oder den Macs von Apple, da hier prinzipiell ein Zugriff von außen möglich ist. Das ändert sich natürlich sofort, wenn Zugriffsdienst angeboten werden, z. B. der Zugriff auf die Platte über NFS oder auch Fax-, Modem- oder Druckerserver. Aber auch, falls kein solcher Dienst läuft, besteht die Möglichkeit sogenannter "denial of Service"-Attacken von einem fernen Rechner, die zumindest die Internet-Verbindung unterbrechen können.

Eine hardwareunabhängige Sammlung dieser Fehler und die Initiative zur Behebung derselben unternehmen die CERTs (Computer Emergency Response Team). Wie viele Einrichtungen im Internet existieren CERTs auf mehreren Ebenen. Das deutsche CERT (DFN-CERT) ist an der Uni Hamburg lokalisiert. Die gesammelten Informationen des CERT werden auf einem FTP-Server zur Verfügung gestellt. (www.cert.dfn.de).

Abhören

Da die Datenpakete ihren Weg mitunter über mehr als 20 Rechner nehmen können, besteht grundsätzlich die Möglichkeit, daß irgend jemand die Daten "abhört" (z. B. mit dem Programm "tcpdump") oder verändert weitergibt. Da auch die Paßworte beim Telnet- oder FTP-Login im Klartext weitergegeben werden, besteht die (normalerweise sehr geringe) Möglichkeit, daß jemand an diese Information kommt. Ebenso ist es dem Fachmann möglich, Absenderadressen bei News oder E-Mail zu fälschen ("fakemail", "fakenews", siehe oben). Es ist daher nicht ratsam, z. B. Kreditkartennummern oder andere vertrauliche Daten offen über das Internet zu versenden. Abhilfe schaffen hier beispielsweise kryptographische Verfahren und Methoden, eine Nachricht zu authentifizieren (elektronische Unterschrift).

Das Secure Socket Layer Protocol (SSL) verschlüsselt die Übertragung unterhalb der Ebene 3 des ISO/OSI 7-Schichten-Modells mit 40 Bit bzw. 128 Bit. Dazu müssen die beiden an der Übertragung beteiligten Hosts von einer übergeordneten Instanz autorisiert worden sein.

Darauf setzt das "Secure Hypertext Transfer Protocol" (https) auf: Zertifikate werden zwischen Client (WWW-Browser) und Server (WWW-Server) ausgetauscht, über die die beiden Beteiligten eindeutig identifiziert werden können. Netscape ab Version 2 und der MS Internet Explorer ab Version 3 verarbeiten das https-Protokoll. Bei Netscape wandelt sich im Fall einer sicheren Übertragung das Symbol zu .

Social Engineering

Die größte Sicherheitslücke ist jedoch nach wie vor der Benutzer selbst. Paßwörter werden aufgeschrieben (klassisches Beispiel: der Zettel, der unter der Tastatur klebt) oder sie sind aus dem persönlichen Umfeld entnommem (Vornamen von Frau, Mann, Kindern, Hund, die eigene Telefonnummer, die Automarke usw.). Selbst das Paßwort "geheim" wird immer noch angetroffen. Auch "Joshua" aus dem Film "War Games" war eine Zeit sehr beliebt. Übertroffen wird das nur noch von "1234567" oder "qwertz". Wer sich ein kompliziertes Paßwort nicht merken kann, sollte zumindest ein paar Sonderzeichen einfügen oder das "l" durch die Ziffer "1" und das "o" durch die Ziffer "0" ersetzen. Man kann es auch mit den Anfangsbuchstaben eines Merksatzes versuchen. So ergibt z. B. "Fest gemauert in der Erden steht die Form aus Lehm gebrannt" (Schiller: Lied der Glocke) das Paßwort "FgidEsdFaLg". Es gibt übrigens Paßwort-Knackprogramme, die einfach und brutal das Rechtschreibwörterbuch, Namenslisten usw. verwenden, um Paßwörter durch Probieren herauszufinden.

Schadensformen

Hat eine nicht autorisierte Person Zugang zum Rechner erlangt, kann sie vertrauliche Daten stehlen oder sogar ändern. Durch Zurücklassen von Viren, Trojanischen Pferden oder Programmen mit logischen Bomben kann der Eindringling Sabotage verüben. Möglicherweise läßt er aber nur eine trap door zurück und begnügt sich mit der Inanspruchnahme von Plattenplatz und Rechnerleistung. Auch das kann unangenehm werden, wenn jemand Ihren WWW-Server als Depot für Pornobilder verwendet. Aber auch ohne in den Server einzudringen, kann jemand Ihnen im Internet Schäden zufügen.
Gefälschte E-Mail (z. B. bei Bestellungen). Sowohl die Informationen im Kopf der E-Mail-Nachricht als auch der eigentliche Text werden im Klartext vom Sender zum Empfänger transportiert. Jeder mit ausreichenden Zugriffsrechten auf einem Durchgangssystem könnte die Post mitlesen oder verfälschen. Die einzige befriedigende Lösung besteht darin, zumindest den Text zu chiffrieren. Ein anderes Problem der Sicherheit von E-Mail besteht in der Möglichkeit, einen Brief zu fälschen. Da in der Regel das "From:"-Feld Aufschluß über den Absender gibt, kann nur die Abschätzung der Wahrscheinlichkeit helfen zu beurteilen, ob ein Brief von "president@whitehouse.gov" tatsächlich vom amerikanischen Präsidenten stammt.
Gefälschte Newsbeiträge. Auf die gleiche Art und Weise kann sich jemand in den Newsgruppen, den schwarzen Brettern des Internet (genauer des USENET), als Angehöriger Ihres Unternehmens ausgeben und durch entsprechende Veröffentlichungen den Ruf der Firma empfindlich schädigen.

Pretty Good Privacy

Schon seit längerer Zeit überlegen sich Experten, wie man die Sicherheitsprobleme in den Griff bekommen kann. Den interessantesten Ansatz, der auch schon rege benutzt wird, stellt ein mathematisches Verfahren dar, das auf Primzahlen basiert. Entwickelt wurde dieses Verfahren von den Amerikanern Rivest, Shamir und Adleman, die auch ein Patent auf einen entsprechenden Algorithmus haben (RSA-Algorithmus). Philip Zimmermann vom MIT hatte dieses Verfahren mit anderen kryptographischen Methoden kombiniert. Herausgekommen ist das leicht zu bedienende Freeware-Programm "pretty good privacy" (PGP), das inzwischen weltweit verbreitet ist und überall einen hervorragenden Ruf genießt.

Es gibt bei dem Verfahren zwei Schlüssel: einen öffentlichen und einen privaten. Zum Verschlüsseln einer Nachricht benutzt PGP den öffentlichen Schlüssel des Empfängers. Die verschlüsselte Datei kann nun auch über abhörbare Kanäle verschickt werden, denn nur der Besitzer des zu dem öffentlichen Schlüssel gehörenden privaten Schlüssels kann die chiffrierte Nachricht entschlüsseln. Selbst mit dem öffentlichen Schlüssel, der zum Chiffrieren benutzt wurde, läßt sich der Inhalt der Nachricht nicht mehr lesbar machen. Natürlich kann man jede Art von Dateien verschlüsseln. Auf Wunsch kann PGP die Datei automatisch noch komprimieren oder als 7-Bit-ASCII-Code ausgeben.

PGP kann aber noch mehr: Sie können nämlich ein Dokument mit einer Signatur versehen. PGP berechnet mittels kryptographischer Verfahren eine Art Quersumme über Ihr Dokument und verschlüsselt diese mit Ihrem privaten Schlüssel. Jeder Empfänger dieses Dokumentes kann nun mittels PGP und Ihrem öffentlichen Schlüssel die Signatur überprüfen. Wurde das Dokument unterwegs auch nur um ein Zeichen geändert, so wird dies von PGP erkannt und Ihnen mitgeteilt. Sehr nützlich ist auch die Möglichkeit, Verschlüsselung und Signatur zu kombinieren. Durch die Verschlüsselung gehen Sie sicher, daß nur der Adressat das Dokument lesen kann und durch die Signatur kann Ihr Addressat sicher gehen, daß dieses Dokument auch wirklich von Ihnen stammt.

Natürlich gibt es kein absolut sicheres kryptographisches Verfahren. Auch das von PGP benutzte Verfahren hat Sicherheitsrisiken. Da wäre zum einen die Verwaltung der Schlüssel. Selbstverständlich ist, daß Sie keinem anderen Menschen den Zugang zu Ihrem privaten Schlüssel erlauben. PGP speichert diesen in einer Datei, die durch ein von Ihnen gewähltes Paßwort geschützt wird. Sollte jemand nun in den Besitz dieser Datei und Ihres Paßwortes gelangen, so kann er alle Ihre Dateien entschlüsseln und Ihre elektronische Signatur benutzen.

Ein weiterer Angriffspunkt ist die Verbreitung des öffentlichen Schlüssels. PGP kann Ihren öffentlichen Schlüssel in einer Datei speichern, die Sie dann an Ihre Freunde weitergeben oder im Internet veröffentlichen können. Was aber, wenn ein Fremder einen öffentlichen Schlüssel unter Ihrem Namen veröffentlicht? Eine mit diesem Schlüssel chiffrierte Nachricht kann dann nur von dem Fremden gelesen werden und nicht von Ihnen. Am besten wäre es, wenn es eine vertrauenswürdige Institution gäbe, die eine Art Telefonbuch der öffentlichen Schlüssel führen würde. Leider wird es diese Institution auf absehbare Zeit nicht geben. Also müssen Sie sicherstellen, daß ein von Ihnen benutzter öffentlicher Schlüssel auch wirklich der gewünschten Person gehört.

PGP gibt es für DOS, Macintosh und Unix (für fast alle Versionen). Natürlich sind die Formate kompatibel, d. h. eine auf einem Mac verschlüsselte Nachricht kann auch auf einem DOS-System gelesen werden. Für graphische Oberflächen gibt es meist schon Shells, die die Benutzung von PGP vereinfachen.

Kostenlose Versionen und Versionen mit erweitertem Umfang gibt es unter http://www.pgp.com bzw. http://www.pgpinternational.com.

4.4 Schutz des Netzwerks durch Firewalls

Für Nutzer von Unix- oder Windows-NT-Maschinen, bei denen in der Regel Server-Prozesse automatisch im Hintergrund laufen, heißt dies, daß sie ihre Maschinen gegen unberechtigten Gebrauch zu schützen haben. Sicherheitsempfindliche Netze können durch sogenannte Firewall-Systeme nach außen geschützt werden. Ähnlich der Zugbrücke einer Burg erlauben sie den Zugang nur an einer definierten Stelle. Damit läßt sich der Datenverkehr von und nach außen kontrollieren. Normalerweise sind zahlreiche Rechner des Unternehmens, die unter diversen Betriebssystemen laufen, direkt aus dem öffentlichen Netz erreichbar. Ein Firewall kanalisiert die Kommunikation, indem alle Daten von und nach außen über dieses System laufen müssen. Die Kanalisierung erhöht zudem die Chancen, einen Einbruchversuch anhand ausführlicher Protokoll-Dateien zu erkennen, da der Eindringling erst den Firewall passieren muß. Mit einem Firewall läßt sich die Wahrscheinlichkeit erheblich verringern, daß Angreifer von außen in inneren Systeme und Netze eindringen können. Zudem kann das System interne Benutzer davon abhalten, sicherheitsrelevante Informationen, wie unverschlüsselte Paßwörter oder vertrauliche Daten, nach außen geben. Ein Firewall kann aus einer einzelnen Maschine oder aus einer mehrstufigen Anordnung bestehen. Eine mehrstufige Anordnung ist vor allem dann sinnvoll, wenn man bestimmte Dienste der Öffentlichkeit zur Verfügung stellen will, etwa einen WWW- oder ftp-Server. Die entsprechenden Hosts können dann in einem Zwischennetz isoliert werden. Nachfolgend sollen einige gängige Firewall-Architekturen vorgestellt werden.

4.4.1 Architektur mit Dualhomed-Host

Eine Architektur mit Dualhomed-Host wird um einen Rechner herum aufgebaut, der über mindestens zwei Netzwerkschnittstellen verfügt. Ein solcher Host ist als Router zwischen den Netzen einsetzbar, die an die Schnittstellen angeschlossen sind. Er kann dann IP-Pakete von Netz zu Netz routen. Für diese Firewall-Architektur muß diese Routingfunktion jedoch deaktiviert werden.

IP-Pakete werden somit nicht direkt von dem einen Netz (dem Internet) in das andere Netz (das interne, geschützte Netz) geroutet. Systeme innerhalb der Firewall und Systeme außerhalb (im Internet) können jeweils mit dem Dualhomed-Host, aber nicht direkt miteinander kommunizieren. Der IP-Verkehr zwischen ihnen wird vollständig blockiert. Die Netzarchitektur für eine Firewall mit Dualhomed-Host ist denkbar einfach: der Dualhomed-Host sitzt in der Mitte, wobei er mit dem Internet und dem internen Netz verbunden ist. Ein Dualhomed-Host kann Dienste nur anbieten, indem er entsprechende Proxies (Stellvertreter) oder Gateways einsetzt. Es ist jedoch auch möglich, direkte Nutzerzugriffe zu gestatten (Sicherheitsrisiko).

4.4.2 Architektur mit überwachtem Host

Die "screened host architecture" bietet Dienste von einem Rechner an, der nur an das interne Netz direkt angeschlossen ist, wobei ein getrennter Router verwendet wird. Der Bastion-Host befindet sich im inneren Netz. Auf diesem Router verhindern Paketfilter das Umgehen des Bastion-Host. Die Paketfilterung auf dem Sicherheitsrouter muß so konfiguriert werden, daß der Bastion-Host das einzige System im internen Netz darstellt, zu dem Rechner aus dem Internet Verbindungen aufbauen können (das einzige "nach außen sichtbare" System). Zusätzlich sind nur gewisse Dienste zugelassen.

Alle externen Systeme, die auf interne Systeme zugreifen wollen, und auch alle internen Systeme, die externe Dienste wahrnehmen wollen, müssen sich mit diesem Rechner verbinden. Daraus ergibt sich ein besonderes Schutzbedürfnis für diesen Bastion-Host. Der Vorteil bei dieser Konstruktion ist die Tatsache, daß ein Router leichter zu verteidigen ist. Dies liegt u. a. daran, daß auf ihm keine Dienste angeboten werden. Nachteilig wirkt sich aus, daß bei einer eventuellen Erstürmung des Bastion-Host das interne Netz vollkommen schutzlos ist.

4.4.3 Architektur mit überwachtem Teilnetz

Die "screened subnet architecture" erweitert die Architektur mit überwachtem Host um eine Art Pufferzone, die als Grenznetz das interne Netz vom Internet isoliert. Diese Isolierzone wird auch "Demilitarisierte Zone" (DMZ) genannt.

Bastion-Hosts sind von ihrer Art her die gefährdetsten Rechner in einer Firewallkonstruktion. Auch wenn sie in der Regel mit allen Mitteln geschützt sind, werden sie doch am häufigsten angegriffen. Die Ursache liegt darin, daß ein Bastion-Host als einziges System Kontakt zur Außenwelt unterhält.

4.4.4 Firewall-Software

Zur Software-Konfiguration eines Firewall existieren zwei Grundstrategien:

"Es ist alles erlaubt, was nicht verboten ist". Dieser Ansatz schließt die Nutzung bestimmter Dienste (z. B. tftp, nfs) generell aus. Er ist benutzerfreundlich, da neue Dienste automatisch erlaubt sind, aber auch gefährlich, da der Administrator das Verhalten der Nutzer ständig beobachten und rechtzeitig Gegenmaßnahmen treffen muß.
"Es ist alles verboten, was nicht erlaubt ist". Diese Strategie könnte von den Nutzern als hinderlich angesehen werden, da diese neue Dienste erst umständlich beantragen müssen. Sie schützt aber auch vor Sicherheitslücken im Betriebssystem und in Anwendungsprogrammen, da sie den Zugriff auf unbekannte Ports unterbindet.

In bezug auf die Schicht des OSI-Modells gibt es drei Arten von Firewall-Systemen:

Paketfilter überprüfen die Quell- und Zieladresse (IP-Adresse und TCP/UDP-Port) eines Pakets und entscheiden, ob es passieren darf oder nicht. Der Vorteil besteht in der Transparenz für den Anwender. Diese Transparenz ist aber zugleich von Nachteil: Paketfilter können nicht zwischen Nutzern und deren Rechten unterscheiden. Paketfilter sind im allgemeinen auf Routern angesiedelt und werden heute von den meisten Herstellern mitgeliefert. Intelligente Paketfilter analysieren zusätzlich den Inhalt der Pakete und erkennen auch die Zulässigkeit von Verbindungen, die einfache Paketfilter nicht erlauben würden (z. B. Datenverbindung bei ftp).
Circuit Level Gateways sind mit Paketfiltern vergleichbar, arbeiten jedoch auf einer anderen Ebene des Protokollstacks. Verbindungen durch solch ein Gateway erscheinen einer entfernten Maschine, als bestünden sie mit dem Firewall-Host. Somit lassen sich Infomationen über geschützte Netzwerke verbergen.
Application Gateways, auch "Proxy" (Stellvertreter) genannt, stellen ein anderes Firewall-Konzept dar. Hierbei wird auf dem Firewall-Host für jede zulässige Anwendung ein eigenes Gateway-Programm installiert. Der Client muß sich dabei oftmals gegenüber dem Proxy-Programm authentifizieren. Dieser Proxy führt dann alle Aktionen im LAN stellvertretend für den Client aus. Damit lassen sich zum einen benutzerspezifische Zugangsprofile (welche Zeiten, welche Dienste, welche Rechner) erstellen, zum anderen kann man die Festlegung der zulässigen Verbindungen anwendungsbezogen vornehmen. Die daraus resultierenden separaten kleinen Regelsätze bleiben besser überschaubar als der komplexe Regelsatz eines Paketfilters. Application Gateways sind typische Vertreter der "Verboten-was-nicht-erlaubt"-Strategie und als die sicherste, aber auch aufwendigste Lösung einzuschätzen. Da beim Proxy alle Zugriffe nach außen über eine Instanz laufen, kann man den Proxy gleichzeitig als Cache (Pufferspeicher) benutzen. Der Proxy speichert alle erhaltenen WWW-Seiten zwischen, so daß er bei einem erneuten Zugriff darauf - egal, ob vom selben oder einem anderen Anwender - keine Verbindung nach außen aufbauen muß.

Der Einsatz von Firewalls bietet sich auch innerhalb einer Organisation an, um Bereiche unterschiedlicher Sensitivität von einander abzugrenzen. Firewalls bieten jedoch niemals hundertprozentige Sicherheit! Sie schützen nicht vor dem Fehlverhalten eines authorisierten Anwenders und können, etwa durch eine zusätzliche Modem-Verbindung, umgangen werden.

4.5 Obscure URLs

Web-Adressen lassen sich nicht nur in der bekannten Form als vier Zahlen zwischen 0 und 255 darstellen, die durch Punkte getrennt werden. Man kann sie auch als zehnstellige Dezimalzahl darstellen, z. B. http://2368208338 für www.netzmafia.de (141.39.253.210). Eine IP-Adresse ist aus Rechnersicht ja eine 32-Bit-Dualzahl und die kann man dezimal darstellen. Wenn eine solche URL beispielsweise als Link auf einer Site oder in einer Mail auftaucht, hat der Anwender keinen Anhaltspunkt, welche Site er besucht. Es gibt noch weitere Möglichkeiten, Surfer darüber zu täuschen, auf welche Sites sie etwa der Versender einer Werbemail locken will. Die Methoden, URLs unkenntlich zu machen, beruhen meist auf der Darstellung einer IP-Adresse als 32-Bit-Dualzahl, kurz als "Dword". Der Begriff stammt von "Double Word", also zweimal 16 Bit. Aber wir packen noch ein paar Tricks hinzu.

Als Beispiel diene die URL http://www.microsoft.de@2368208338. Sie führt nicht zu Microsoft, sondern wieder zur Website von Netzmafia, obwohl ihr Aussehen etwas anderes vermuten lässt. Es sieht so aus, als ließen sich mit ein paar Sonderzeichen und Ziffern URLs beliebig fälschen. Es handelt sich dabei nur um Tricks, die überflüssigen Text wie Teile einer URL aussehen lassen, andererseits die URL selbst verbergen. Jedes "@" Zeichen in einer URL verrät, daß alles, was davor steht, nicht Teil dieser URL ist. Solche Adressbestandteile verwendet man sonst für eine individuelle Anmeldung an einer Website oder bei einem FTP-Server. Der Teil vor dem "@" enthält dann den Benutzernamen oder eine Kombination aus Benutzernamen und Passwort (getrennt durch einen Doppelpunkt). Auch wenn eine Web-Seite keinen Benutzernamen benötigt, darf man einen angeben. Hinter dem "@" steht dann die eigentliche URL. Diese ist hier im Beispiel als Dword-Zahlenkolonne maskiert, so daß der Trick nicht gleich erkannt wird.

Probieren wir nun einmal http://www.microsoft.de%402368208338. Auch hier landen Sie wieder bei der Netzmafia. Hier wurde der Trick verfeinert. Die URL entspricht genau der ersten, nur daß hier der "@" durch" %40" ersetzt wurde. Die "40" ist der hexadezimale Wert des Zeichens "@". Innerhalb einer URL lassen sich alle ASCII-Zeichen auch durch den entsprechenden Zahlenwert darstellen, wenn ein Prozentzeichen vorangestellt wird. Sie erreichen unsere Website daher auch durch die Eingabe von http://www%2enetzmafia%2ede, weil "2e" der hexadezimale Ascii-Wert für einen Punkt ist.

Wie bekommt man den Dword-Wert einer URL? Dazu brauchen Sie nur einen Taschenrechner oder auch den Rechner von Windows. Sie müssen jetzt nur noch den Wert der IP-Adresse ausrechnen. Am Beispiel Netzmafia (141.39.253.210) sieht die Eingabe an Rechner so aus:

141 [*] 256 [=][+] 39 [=][*] 256 [=][+] 253 [=][*] 256 [=][+] 210 [=]

[=], [*] und [+] sind die entsprechenden Rechnertasten. Mathematisch notiert lautet die Umrechnung:

(((((141 * 256) + 39) * 256) + 253) * 256) + 210

Wenn Sie es nun noch weiter treiben wollen, können Sie auch noch Hexadezimalzahlen (Basis 16) verwenden - aber Vorsicht: Ältere Browser und die Netscape-Navigatoren können damit nichts anfangen. Die Netzmafia-Adresse wird dann zu http://0x8D.0x27.0xFD.0xD2. Damit der Browser erkennt, daß es sich um Hex-Zahlen und nicht Dezimalzahlen handelt, wird die Zeichenkette "0x" (Null und kleines "x") davorgesetzt.

Zum Inhaltsverzeichnis Zum nächsten Abschnitt