Sicherheitsproblem "Kennwort knacken"

**BenderD** · 12-07-04, 12:08

Hallo auch nochmal,

Die Debatte selber legt die Problematik offen:

wer das Etikett in Anspruch nimmt sicherster Rechner der Welt zu sein, kann nicht damit argumentieren, dass andere auch nicht besser sind, sondern müsste dazu in der Lage sein, zu zeigen was besser ist. Ein Rückzug auf SNA hilft hier überhaupt nicht weiter, das Konzept vertrauenswürdiger Rechner ist aus Sicherheitsgründen gescheitert und faktisch vom Markt gezogen worden. Reste davon, die noch in Client Access drinstecken sind eher Sicherheitslücken als Inseln der Glückseligkeit (ich sage dazu nur ALLOBJ Verbindung zu AS400 wg. Management Central und Scheunentor).

Beim Hersteller wird bis heute Sicherheitsdenken ersetzt durch platte Marketingsprüche (Hacker verzweifeln) Der Auslieferungszustand von AS400 Systemen hat sich gebessert, ist aber keineswegs konsequent an Sicherheit orientiert. (Security Level mittlerweile hochgesetzt, Berechtigungen an Systembibliotheken und LIBCRTAUT unzureichend).

Software Anbieter sind meist auf noch schlechterem Stand. Entweder erfordert die Installation von Standardsoftware Scheunentore, damit sie läuft (wir brauchen jetzt mal den Qsecofr, damit wir installieren können), oder die Implementierung bringt selber Lücken ein (Stichwort adopted Authority und LIBL).

Auf Anwenderseite sieht die Lage oft traurig aus: die unzureichenden Sicherheitseinstellungen der Vergangenheit (vor V4 wurde faktisch ohne jede Security ausgeliefert) sind noch aufgeweicht worden, man sieht immer noch Maschinen bei denen auf den "bewährten Menüschutz" vertraut wird; wenn der dann zusammenbricht, weil jeder alles darf, wird mit Tools nachgeflickt (ich widersteher der Versuchnung Produkte beim Namen zu nennen), die die verfehlte Installation nur kaschieren, aber nicht beheben.

Letztlich gilt aber: jeder Missstand, der länger als 10 Jahre besteht ist gewollt und in den meisten AS400 Umgebungen besteht der offenkundige Missstand im Sicherheitsbereich bereits mehr als 10 Jahre.
Hier wird halt Wirtschaftlichkeit höher als Sicherheit priorisiert, in der Hoffnung dass es gut geht. (gilt nebenbei bemerkt auch für anderes).

Im Grunde ist es kein Geheimnis, was man tun muss:
- physikalischer Schutz von Servern, Bandgeräten Netzwerkanschlüssen
- Sicherheitszonen durch spezialisierte Firewalls abschotten
- jeglichen Transfer über ungeschützte Kanäle verschlüsseln
- Beutzerprofile nur mit adäquaten Rechten versehen
- nur private Objekte zum Abschuss freigeben
- alle gemeinsam benutzten Objekte nur über kontrollierte Schnittstellen verwendbar machen
- alles andere auf der zentralsten Ebene dicht machen
- Protokollierung und Auswertung aller Security events

Wer eins von obigem nicht macht, kann das andere im Grunde auch bleiben lassen.

Dieter Bender