Home

Security through Obscurity

Freitag, 2. September 2011 | Autor:

Secu­rity, also Sicher­heit vor Angrif­fen aller Art, ist nicht leicht zu erreichen.

Ein Begriff, der im Kon­text von IT-Security recht bekannt ist, ist Secu­rity through Obscu­rity. Damit meint man (angeb­li­che) Sicher­heit, die dar­auf basiert, dass poten­ti­elle Angrei­fer bestimmte Dinge hof­fent­lich nicht wis­sen oder kön­nen. Sol­che „Sicher­heit” ist keine Sicherheit.

Bei­spiel 1:

Geheime Infor­ma­tio­nen auf einer Web­site, die prin­zi­pi­ell jeder abru­fen kann, aber nie­mand kennt die URL.

URLs und Pfade all­ge­mein sind nicht dafür ent­wor­fen wor­den, geheim zu sein. Man hat kei­ner­lei Garan­tie, dass nicht aus irgend einem Software-Fehler her­aus der Ver­zeich­nis­baum des Webs­pace bekannt wird oder ein Angrei­fer eine Lücke fin­det, um sel­ber in die­sem Ver­zeich­nis­baum her­um­zu­stö­bern. Zumal der Webspace-Provider den Ver­zeich­nis­baum ein­se­hen kann!

Bei­spiel 2:

Den Code des eige­nen Sys­tems geheim hal­ten, damit nie­mand weiß, ob und wel­che Schwach­stel­len existieren.

Jedes Pro­gramm, dass man einem Kun­den in die Hand drückt, kann von die­sem auch reverse-engineered wer­den, sodass er als Angrei­fer weiß was pas­siert und Schwach­stel­len fin­det. Das dau­ert unter Umstän­den sehr lang und ist auf­wen­dig - aber es geht! Außer­dem braucht man oft den Code gar nicht zu ken­nen, son­dern pro­biert ein­fach ein paar übli­che Schwach­stel­len aus.

Bei­spiel 3:

Ein Behör­den­mit­ar­bei­ter trans­por­tiert Daten per­sön­lich in einem Lap­top von einer Behörde zur nächsten.

Die Hoff­nung hier ist, dass ja nie­mand weiß, dass genau der Mit­ar­bei­ter die Daten hat. Abge­se­hen davon, dass es wahr­schein­lich schon inner­halb der Behörde jeder weiß, der es wis­sen will: Was, wenn der Lap­top geklaut wird?

Pass­wör­ter

Sind Pass­wör­ter dann nicht auch Secu­rity through Obscu­rity? Nein. Pass­wort­ba­sierte Sys­teme sind expli­zit dar­auf aus­ge­legt, bestimmte Sicher­heits­ga­ran­tien zu bie­ten. In sol­chen Sys­te­men muss man nicht auf Geheim­hal­tung hof­fen, son­dern weiß, dass nie­mand diese Bar­riere über­win­den kann bzw. ein bestimm­ter wohl­de­fi­nier­ter Schwie­rig­keits­grad gege­ben ist.

Das Ent­schei­dende Pro­blem bei Secu­rity through Obscu­rity ist, dass es nahezu immer eine Menge unkla­rer Even­tua­li­tä­ten gibt, unter denen die Sicher­heit zer­stört wer­den kann. Man hofft nur oder nimmt an, dass es nicht pas­siert, dass der Angrei­fer nicht cle­ver genug ist.

Der Über­gang ist flie­ßend und es kommt immer auch dar­auf an, was man geheim hal­ten will - Omas Keks­re­zept? Die Frei­ga­be­codes für die Atom­ra­ke­ten? Je nach­dem tut’s eben auch schon eine geheime URL.

Wiki­leaks vs Guardian

Der Grund, wes­halb ich die­sen Arti­kel heute schreibe ist Wiki­leaks. Der Guar­dian hat das Pass­wort für das Cable-Gate-Archiv in einem Buch abge­druckt. Er hat dabei ein­fach ange­nom­men, dass das Pass­wort ohne­hin nicht mehr aktu­ell sei und dass nie­mand die Datei fin­det. Secu­rity through Obscu­rity vom Feins­ten: Der Guar­dian weiß nichts dar­über, ob die Ver­öf­fent­li­chung des Pass­worts pro­ble­ma­tisch ist, aber er macht es trotz­dem - aus Hoff­nung, dass es schon irgend­wie okay sein wird ver­mut­lich. Es ist ja sicher, weil nie­mand die Datei kennt! Nur blöd, dass Datei­na­men viel weni­ger geheim sind und - Über­ra­schung! - es gibt durch­aus Leute, die Zugang zur Datei haben!

Kann man von Jour­na­lis­ten erwar­ten, dass sie die Security-Probleme ein­schät­zen kön­nen, die durch ihr Han­deln in Kom­bi­na­tion mit Wiki­leaks’ ver­schlüs­sel­ten Back­ups erwach­sen?
Viel­leicht nicht.
Aber in dem Fall sollte man erwar­ten, dass sie ande­rer Leute Pass­wör­ter nicht in Büchern abdrucken.

Tags »

Trackback: Trackback-URL |  Feed zum Beitrag: RSS 2.0
Thema: Informatik, Tagesgeschehen

Diesen Beitrag kommentieren.

Kommentar abgeben