Panik im Glashaus

Dan Farmer aus San Francisco und der Niederländer Wietse Z. Venema erfreuen sich seit Anfang April großer Publizität über das Internet hinaus. Der Grund für die plötzliche Berühmtheit ist ihre Test-Suite Satan, die unter Unix läuft und ans Internet angeschlossene Rechner auf Zugangssicherheit hin abklopft. Satan ist eine Sammlung von Shell-Scripts (vor allem in PERL abgefaßt), die mit Hilfe gängiger Tools wie "finger" und "ping" ganz normale Systemeigenschaften nutzen, um Sicherheitslücken ausfindig zu machen. Experten finden also wenig Neues an Satan.

Der Clou an Satan ist vielmehr seine leichte Bedienbarkeit. Farmer, selbsternannter Computerspion, und der Kernphysiker Venema nutzen für Ein- und Ausgaben das mit beliebigen WWW-Browsern (zum Beispiel Mosaic oder Netscape) abrufbare HTML-Format. So ist es auch Nichtprofis möglich, mit einfachen Mausklicks ganze Netze zu scannen und die Schwächen angeschlossener Rechner anzuzeigen. Rote Symbole vor den Host-Namen zeigen an, wo ein Einbruch möglich erscheint; Schwarz steht für "nicht zu knacken".

Per Klick auf Rot markierte Hosts nennt Satan die Ursachen für deren Verwundbarkeit; entsprechende "Tutorials" geben detaillierte Auskünfte über Systemschwächen und mögliche Verbesserungsmaßnahmen. Satan nimmt vor allem Bestandteile unter die Lupe, die gerne einmal lax konfiguriert werden und so förmlich auf einen Eindringling warten; dazu gehören zum Beispiel ftp, NFS und das X Window System. Darüber hinaus sucht Satan nach unsicherer Software, die bereits von verbesserten Folgeversionen abgelöst wurde, etwa sendmail. Ironischerweise gehört zu letzterer Kategorie auch Satan selbst. Ab der Version 1.1 warnt Satan dringend vor dem Vorgänger 1.0, weil dieser einen Einbruch via World Wide Web auf den Rechner zuläßt, auf dem Satan selbst aktiv ist. Da Satan auf Root-Privilegien (Supervisor-Status) aufbaut, könnte dies fatale Folgen haben.

Selbstanzeige

Satan läßt es bei Hinweisen und Lösungsvorschlägen bewenden. Es liefert im Gegensatz zu anderslautenden Schlagzeilen keine vollautomatischen Einbruchswerkzeuge, sondern gibt lediglich Hinweise auf potentielle Knackpunkte – ähnlich wie ein Kripo-Beamter, der auf Bestellung ins Haus kommt, um Schwachstellen an Fenstern und Türen aufzuzeigen.

Netzverantwortliche, die oftmals erschreckend wenig über potentielle Sicherheitslücken wissen, wird Satan aber trotzdem auf heilsame Weise wachrütteln. Aus Furcht vor Angriffen von außen werden viele Sysops Satan zumindest auf ihre eigenen Netze loslassen. Die übersichtliche Darstellung der Analyse-Ergebnisse kann tatsächlich eine große Hilfe bei der Abschottung angreifbarer Rechner sein. Niemand darf aber glauben, das System sei sicher, wenn Satan nichts findet. Trojanische Pferde etwa oder schwache Paßwörter lassen sich weiterhin nur mit eigenen Utilities wie den "Tiger Scripts" oder Alec Muffetts "Crack" dingfest machen.

Welche Folgen die Angst vor Satan haben kann, erfuhr Dan Farmer sehr schnell am eigenen Leib. Zuvor Sicherheitsberater bei SiliconGraphics, muß er sich nun nach anderen Tätigkeiten umsehen. Die Freigabe von Satan, so der Workstation-Hersteller, sei nicht mit der Firmenpolitik vereinbar. Farmer wird sich kaum langweilen müssen: Satan wird ihm neue Klienten [Anm. des WebMasters: Farmer arbeitet inzwischen bei Sun] zutragen – und es wird Nachfolger haben.

(un) (un)