Re: sober

Bernd Walter <ticso(at)cicely12.cicely.de> wrote:
> Wenn ich das richtig verstanden habe - man möge mich korigieren - dann
> ist sober aber auch kein Virus, sondern ein Trojaner und somit der
> Anwender selber schuld wenn er den startet - das ist also kein OS,
> sondern ein User Problem.

Das OS (Windows) trägt durchaus die Hauptschuld, da es die
Unterschiede zwischen Anzeigen und Ausführen eines Anhangs
verwischt (beides gilt als »Öffnen« und wird durch einen
Doppelklick ausgelöst), und es tut absolut _nichts_ dafür,
schlimme Dinge zu verhindern.

Ob der Anhang nun ein ungefährliches JPEG-Bild ist, das
durch Doppelklick angezeigt wird, oder ein HTML- oder Word-
Dokument, das auf die gleiche Weise angezeigt wird (und
das JavaScript, Active-X, VB-Skript, Makros usw. enthalten
kann), oder eine ausführbare Datei, die sich als etwas an-
deres tarnt ...
Microsoft-Software »erzieht« die Benutzer (absichtlich!)
dahingehend, daß das alles prinzipiell dieselben Vorgänge
sind.

Darüberhinaus zeigen einige Programme (z.B. Outlook) die
Anhänge bereits in einer Vorschau an, ohne daß der Benutzer
irgendwas machen muß. Klar, diese Funktion kann man aus-
schalten, aber sie macht die Benutzung der Software deut-
lich umständlicher und unbequemer (erheblich mehr Geklicke
ist erforderlich), weil das GUI eben mit dieser Funktion
designed wurde. Letztlich dürfte man Mail-Anhänge (oder
das Verschicken von Dateien auf irgendeine andere Weise)
überhaupt nicht mehr verwenden, egal in welcher Form, was
aber eine sehr unrealistische Forderung wäre.

Und schließlich muß man brücksichtigen, daß die Trojaner
immer geschickter werden und ihre Tarnungen immer perfek-
ter. Und typische Microsoft-Programme unterstützen sie
dabei, indem sie »unwichtige« technische Details vor dem
Benutzer verstecken -- Details, mit deren Hilfe man die
Trojaner enttarnen könnte.

Übrigens sind prinzipiell auch entsprechende (GUI-) UNIX-
Programme anfällig gegen solche Schwächen. Bisher hört
man von entsprechenden UNIX-Trojanern noch kaum, aber das
liegt wohl in erster Linie daran, daß es aufgrund der
deutlich geringeren Verbreitung ein weniger attraktives
Ziel ist. Nur ein sehr geringer Bruchteil aller Desktops
läuft unter einem UNIX-Betriebssystem, und hinzu kommt,
daß unter UNIX viele unterschiedliche MUAs eingesetzt
werden, was die Angriffsziele von Trojanern weiter auf-
splittert.

Ich habe z.B. meinen guten alten elm so konfiguriert, daß
er bei einer MIME-Mail mit HTML-Part automatisch »links«
(ports/www/links) zum Anzeigen aufruft -- und »links« kann
auch in einem begrenzten Umfang JavaScript. Da fangen
die Probleme bereits an ... (Ich fühle mich nur deswegen
halbwegs sicher, weil ich wohl so ziemlich der einzige bin,
der elm+links verwendet, und nach kurzer Inspektion der
Sourcen traue ich der JavaScript-Implementation von »links«
einigermaßen über den Weg.)

Ein anderes Beispiel: Wer denkt daran, daß etwas Böses
passieren könnte, wenn er »xv bild.jpg« eingibt? Diese
Datei könnte eine PostScript-Datei sein (trotz anders-
lautendem Namenssuffix). xv kann so eingerichtet werden,
daß er dann automatisch ghostscript aufruft (ich glaube,
das ist beim FreeBSD-Port von xv sogar der Default). Da
PostScript eine vollständige Programmiersprache ist, kann
das harmlos aussehende »bild.jpg« dann beliebige Dinge im
Dateisystem anstellen usw. (Ghostscript hat eine Option
-dSAFER, die die schlimmsten Funktionen disabled, aber
dies ist nicht der Default!)

Diese ganze Problematik bekommt man nur dann sicher in den
Griff, wenn das ganze Betriebssystem (Dateien, Prozesse,
Sockets usw.) unter der Kontrolle einer MAC-Implementation
(Mandatory Access Control) steht. FreeBSD 5 ist auf dem
Weg dorthin, aber es gibt noch einiges zu tun.

Gruß
   Olli

-- 
Oliver Fromme, secnetix GmbH & Co KG, Oettingenstr. 2, 80538 München
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"If you think C++ is not overly complicated, just what is a protected
abstract virtual base pure virtual private destructor, and when was the
last time you needed one?"
        -- Tom Cargil, C++ Journal
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message