zum Login

Stories

29. Mai 2007

Von Software-Architektur und Systemsicherheit

Computerwürmer und Viren stellen weiterhin eine Sicherheitsbedrohung dar. Hacker nehmen verstärkt Steuerungs- und Kontrollsysteme ins Visier. Was kann dagegen getan werden? Ein Kommentar von Norbert Struck, Managing Director bei QNX Software Systems.

Bei der neuen Art der Cyber-Kriminalität geht es nicht mehr nur um Thrill und Berühmtheit, sondern um Profit. Hacken ist für echte Profis ein Vollzeit-Job. Und Unternehmen werden zur Zielscheibe, sobald sich ein Zugriff auf Unternehmensdaten für den Hacker lohnt oder er Firmen mit der Androhung einer Denial-of-Service-(DoS-)Attacke auf ihr System erpressen kann. Dabei kann eine Attacke auf überlebenskritische Embbeded-Kontrollsysteme katastrophale Folgen haben.
Firewalls, Software zur Entdeckung von Eindringlingen und Anti-Virus-Programme sind wichtig. Aber egal wie stabil die Barrieren sind, böswillige Hacker können und werden sie überwinden. Was wir wirklich benötigen, ist ein neuer Ansatz für das Design der Systeme, die wir schützen wollen. Ein Ansatz, der diese Systeme von sich aus resistent gegen ein Eindringen von außen macht und damit fähig, Angriffe zu überstehen. Alles andere wären lediglich Betonbarrieren um ein Kartenhaus. Diese Idee ist zwar nicht ganz neu – bereits in den 1970er Jahren wurden wegweisende Aufsätze über das Thema veröffentlicht –, aber sie wurde von der Software-Industrie weitgehend ignoriert.
Das entscheidende Prinzip lautet „Least Privilege“. Das heißt, eine Software-Komponente sollte lediglich die Rechte erhalten, die sie zur Erfüllung einer vorgegebenen Aufgabe benötigt. Wenn sie also beispielsweise Daten lesen, aber nicht modifizieren soll, sollte sie auch keine Schreibrechte haben – weder explizit noch implizit. Anderenfalls könnte sie zu einer Schwachstelle für böswillige Exploits oder Software-Fehler werden.
Der Großteil heutiger Betriebssysteme verstößt gravierend gegen dieses Prinzip. In einer monolithischen Betriebssystemarchitektur, wie Windows oder Linux, laufen Gerätetreiber, Dateisystemmanager und Protocol Stacks im Memory-Adressraum des Kerns auf höchstem „Privilege Level“. Jeder dieser Dienste kann praktisch machen, was er will. Folglich kann ein einziger Programmierfehler oder böswilliger Code in jeder dieser Komponenten die Zuverlässigkeit und Sicherheit des gesamten Systems gefährden. Dies ist vergleichbar mit einem Gebäude, bei dem ein Riss in einem einzigen Ziegelstein die gesamte Struktur zum Einsturz bringen kann.
Daher setzen viele Designer von Embedded-Systemen eine modulare Betriebssystemarchitektur ein, bei der Treiber, Protocol Stacks und andere Systemdienste außerhalb des Kerns als User-Space-Prozesse laufen. Dieser „Microkernel“-Ansatz, den QNX schon seit Jahrzehnten verfolgt, erlaubt nicht nur die Anwendung von „Least Privilege“ für Systemdienste. Er schafft ebenso einen gegen Angriffe von außen resistenten Kern, den Hacker nicht manipulieren oder verändern können. Darüber hinaus sorgt dieser Ansatz auch für überlebenswichtige Eigenschaften, wie Fehlertoleranz und Roll-back. So wird gewährleistet, dass das System trotz Treiberfehler korrekt läuft und die Auswirkungen ungewollter Vorgänge rückgängig gemacht werden können, während die Systemintegrität gewahrt bleibt.
Als Software-Designer, Entwickler und Manager müssen wir Systeme schaffen, die von sich aus vertrauenswürdig sind. Aber Vertrauenswürdigkeit ist nicht nur einfach eine zusätzliche Schicht, sondern Grundvoraussetzung. Wer von Anfang an auf eine Software-Architektur setzt, die die grundlegenden Sicherheitsprinzipien beachtet, wie die Abgrenzung von Rechten, ausfallsichere Standardeinstellungen, vollständige Interpolation oder ökonomische Mechanismen, vermeidet einen kostspieligen und harten Kampf.
Für den Aufbau von sicheren, überlebensfähigen Systemen gilt: Der Anfang bestimmt das Ende. Glücklicherweise sind die Grundprinzipien unserer Arbeit weder unerprobt noch undurchsichtig, sondern einfach gute und anerkannte Progammierpraktiken. Das Fundament wurde bereits geschaffen, lassen wir die nächste Generation innovativer – und sicherer – Systeme Realität werden.
Weitere Informationen unter www.qnx.de.

>>> Kommentar schreiben
>>> zur Comment Area