Internetsicherheit

Dies ist einer der Artikel aus einer Serie von Sicherheitstipps. Hier die Links zu den Themen:

Sicherheit im Internet, E-Mail und E-Commerce

Probleme und Lösungsansätze

Autor: Michael Krausz, C.I.S.-Auditor, Wien

Version 2003

Mit der zunehmenden Bedeutung des Internets für alle täglichen Geschäftsabläufe steigt auch das Gefahrenpotential dem sich die Nutzer dieser Dienste aussetzen. Die wichtigsten dieser Gefahren sollen im folgenden erläutert werden und Lösungsansätze dazu aufgezeigt werden.

Gefahren des Internets für die betriebliche Nutzung

(1) Homepage-Defacement

Ist ein Web-Server selbst nur unzureichend abgesichert, so ist es für Hacker meist ein Leichtes, die Webseiten eines Unternehmens (zumeist die Portalseite) durch andere Seiten, meist schmähenden oder pornographischen Inhalts zu ersetzen. Dieser Vorgang wird auch „Defacement“ genannt, da gleichsam das Gesicht des Unternehmens nach außen entstellt wird.

Defacement birgt ein schwerwiegendes Imageproblem für das betroffene Unternehmen und kann sogar einen recht heimtückischen Schaden darstellen, sofern das Defacement raffiniert genug erfolgt und nicht oder nur spät entdeckt wird.

Beispielsweise ist es denkbar, dass auf einer Homepage nur die Produktpreise durch solche ersetzt werden, die 3fach höher sind. Der Schaden daraus ist genauso leicht zu erkennen wie unabsehbar in seinen Folgen.

Gegen Defacement hilft vor allem die Verpflichtung des Providers zur Einhaltung von Informationssicherheitsrichtlinien (insbesondere zu regelmäßigen technischen Updates des Betriebssystems).

(2) Abhören und Verändern von E-Mails

E-Mails werden heutzutage oft noch unverschlüsselt übermittelt, was es potentiellen Hackern leicht macht, an Netzwerkknotenpunkten, diese E-Mails abzuhören oder sogar zu verändern.

Für das Unternehmen wird die Situation dadurch verschärft, dass die Sicherheit der E-Mail vollständig in andere Hände, nämlich die der Provider, gelegt wird und damit nicht mehr beeinflussbar ist.

Da aber gerade Mail heute auch für Auftragsabschlüsse, Bestellungen, etc. verwendet wird, so sollten doch Integrität und Vertraulichkeit garantiert werden können, unabhängig vom gewählten Provider oder Transportmedium. Beide Anforderungen können durch Verschlüsselung erfüllt werden, wobei heutige Programme bereits sehr einfach zu bedienen sind und unter Verwendung modernster Algorithmen die Datensicherheit und Abhörsicherheit durchaus nach dem heutigen Stande der Technik garantieren können.

Gerade Unternehmen, die im Auslandsgeschäft tätig sind, sollten professionelle Wirtschaftsspionage nicht unterschätzen und daher auf E-Mail Verschlüsselung als zentrales Element der Informationssicherheit setzen.

(3) Verfälschung von E-Commerce Daten

Für den E-Commerce gelten dieselben Anforderungen wie für E-Mail: Für alle Daten und Transaktionen sollen Integrität und Vertraulichkeit gewahrt bleiben, zusätzlich muss auch die Verfügbarkeit des Systems gewährleistet bleiben.

Ein E-Commerce System besteht zumeist aus einem Web-Server, einem Datenbankserver sowie einem dahinterliegenden ERP-System, das den Webshop mit den Produktionssystemen und Produktionsplanungssystemen verbindet. Zunächst muss jedes dieser Systeme für sich genommen entsprechend abgesichert werden, um den Anforderungen des Betriebes in einer DMZ gerecht zu werden und den alltäglichen Angriffen aus dem Netz zu widerstehen. Ist diese Hürde genommen, so bleibt noch der Datenaustausch zwischen den Systemen, der vor allem zwei Anforderungen erfüllen muss:

nicht abhörbar durch Unberechtigte
nicht veränderbar durch Unberechtigte

Beides lässt sich heute durch den Einsatz verschlüsselnder Protokolle relativ leicht realisieren, am häufigsten wird wohl HTTPS, die verschlüsselnde Variante von http, eingesetzt. In Fällen, in denen beispielsweise der ständige Datenaustausch zwischen Zweigstellen und Zentralen sicher gewährleistet werden soll, ist auch der Einsatz von IPsec, d.h. ein VPN, zu empfehlen. Der Verschlüsselungsgrad eines VPN ist meist weit höher als der von HTTPS.

VPNs können jedoch nur zwischen fixen Endpunkten eingerichtet werden und sind daher für die öffentliche Anwendung zwischen unbekannten Endpunkten und einem zentralen Server nur bedingt geeignet.

(4) Rechtliche Probleme des E-Commerce

Nicht zu unterschätzen ist jener Problemkreis, der sich nicht in einer technischen Problembeschreibung wieder findet, sondern im Bereich der rechtlichen Probleme angesiedelt ist.

Wie würde Ihr E-Commerce Systeme auf den folgenden, authentischen Fall reagieren ?

In den USA bestellen zwei Kinder beim Spielen auf der E-Commerce Seite eines Anbieters über 10.000mal dasselbe Spielzeug. Das ERP System reagiert richtig auf den vom E-Commerce System erzeugten Auftrag und produziert entsprechend. Die Eltern lehnen jedoch die Forderung des Unternehmens mit Hinweis auf die Unfähigkeit der minderjährigen Kinder, Rechtsgeschäfte abzuschließen ab. Das Unternehmen zieht vor Gericht und, wie nicht anders zu erwarten, unterliegt. Das Unternehmen bleibt damit auf einem Haufen Spielsachen sitzen.

Auch nach österreichischem oder deutschem Recht wäre keine andere Entscheidung zu erwarten gewesen, da minderjährige Kinder nun einmal keine für sie oder die Eltern bindenden Rechtsgeschäfte abschließen können.

Die Lehre für den E-Commerce Betreiber kann nur darin bestehen, Plausibilitätsüberprüfungen einzuführen, die jede Bestellung auf ihre Plausibilität prüfen. Eventuell muss auch ein manueller Check erfolgen, um Fehlbestellungen, vielleicht sogar betrügerische Bestellungen, ausschließen zu können.

Es sei hier jedoch emphatisch angemerkt, dass dieser Problemkreis rein im Design der Systeme selbst gelöst werden kann und dort auch durch gutes Design und entsprechende Tests gelöst werden muss. Schlecht konzipierte E-Commerce Systeme können dem Unternehmen durchaus mehr Schaden als Nutzen bescheren.

Zusammengefasst sei angemerkt, dass die rechtlichen Rahmenbedingungen für den Betrieb eines E-Commerce Servers kompetent überprüft werden sollten und das Design der Systeme darauf Rücksicht nehmen sollte. Nur dann kann sichergestellt werden, dass sich der Einsatz des Systems auch entsprechend lohnt.

(5) Gefahren beim Surfen

Nicht unterschätzt werden dürfen jene Gefahren, die das Surfen im Internet jeden Tag bereithält. Die folgenden seien besonders erwähnt, da sie die Sicherheit jedes Systems kompromittieren können und recht hinterhältig sind, da Web-Datenverkehr ja zumeist erlaubter Datenverkehr im Sinne des Schutzes des inneren Netzes vor äußeren Gefahren ist.

(a) JavaScript und Java Programme

Ist die Ausführung von JavaScript oder Java Programmen im Browser erlaubt, so sind diese Programme in der Lage im Grunde jedes beliebige Kommando auszuführen. Eine harmlos erscheinende Applikation kann also im Hintergrund nach Daten suchen, beliebige Daten übertragen oder auch die Festplatte löschen.

In sicherheitssensiblen Umgebungen ist darauf zu achten, dass in den Browsern die Ausführung von JavaScript und Java Programmen jedenfalls deaktiviert ist.

Es gibt auch heute noch keine durchgängige Methode, um sicherzustellen, dass Java Programme tatsächlich nur den Inhalt haben, den sie behaupten zu haben und den der Hersteller und der Surfer erwarten (es kann ja auch die Webseite gehackt worden sein). Gäbe es Methode, dem Surfer den Inhalt eines Java Programms garantieren zu können, so wäre die Ausführung bei weitem leichter zu erlauben als in der heute noch vorherrschenden Situation.

(b) Viren in heruntergeladenen Dateien

Werden Dateien, vor allem Programme, aus dem Internet heruntergeladen, so können auch diese Dateien selbstverständlich Viren enthalten. In vielen Netzen wird durch das Herunterladen der Virenschutz des Unternehmens umgangen, da (noch) eher selten zentralisierte Proxy-Server mit zentralisiertem HTTP Virenschutz eingesetzt werden. Es ist daher unbedingt notwendig, heruntergeladene Dateien sofort, noch vor dem Öffnen, auf Viren zu prüfen. Architektonisch sauberer ist der Einsatz eines HTTP Proxy-Server, der hereinkommenden Datenverkehr auf Viren überprüft, bevor er zum Client gelangt.

Cookies sind an sich kein Sicherheitsrisiko, sondern eine Notwendigkeit des Internetdatenverkehrs, da dieser, in der Expertensprache, „stateless – zustandslos“ ist, und sich ein Web-Server grundsätzlich daher den Systemzustand eines Client in Hinblick auf seine Verbindung zum Server nicht merken kann.

Cookies werden dazu verwendet, um genau solche Zustandsinformationen, wie Login, Logout, etc. zu speichern und damit den Web-Server über den Zustand der Verbindung des Client zu informieren.

Skrupellose Unternehmen jedoch können Cookies auch verwenden, um darin beliebige Informationen, die vom Client stammen zu speichern und später auszuwerten. Dazu gehören Informationen über das Surfverhalten und beliebige andere. Als Vorsichtmaßnahme ist daher zu empfehlen, Cookies von wenig vertrauenswürdigen Quellen nicht zu akzeptieren und im Browser jene Abfrage einzuschalten, mit der vor dem Speichern des Cookie dessen Inhalt angezeigt werden kann.

Damit sind die wesentlichen Aspekte behandelt und wir hoffen, dass wir Ihnen ausreichende Anregungen geben konnten, um Ansätze zu erkennen, die von Ihnen eingesetzten Systeme ausreichend sicher planen und betreiben zu können.

Mehr zu diesem Thema auf dieser Website:

Web Security: Wie mache ich einen Webserver sicherer?
eine umfassende Auflistung von sehr empfohlenen Sicherheitsmaßnahmen.

http://sicherheitskultur.at/

Home

Copyright-Hinweis:
Das Copyright des Materials auf dieser Seite liegt bei Michael Krausz.