Das Gefühl der Sicherheit
Vor kurzem gingen zwei Versuche durch die IT-Presse: Auf der einen Seite der Test „rm-my-mac“ der wideopenbsd–Gruppe und auf der anderen Seite der Gegenversuch der Universität von Wisconsin. Auf dem ersten Blick kommen die beiden Tests zu gegensätzlichen Ergebnissen, sieht man genauer hin, kann man erkennen, daß die beiden Tests nicht soviel gemeinsam haben, wie es zunächst scheint. Ihre Ergebnisse sind – in ihren Bereichen – durchaus aussagekräftig.
Testgebiet
Der Test der wideopenbsd-Gruppe bestand aus einem Mac mit aktuellem (10.4.5) MacOS X, aktiviertem SSH Zugang, einem Apache Webserver, MySQL Datenbank, PHP und einigem anderem. Außerdem war der Rechner mit einem LDAP Server verbunden, über den sich jeder Interessierte einen eigenen Benutzer anlegen und sich anschließend auf dem Rechner anmelden konnte.
Der Tester der Universität in Wisconsin hielt eben letzteres für unfair und setzte seinen Mac daher in einer leicht modifizierten Standardkonfiguration den Angriffen des Internets aus. Seine Änderungen beschränkten sich darauf, den Webserver und SSH freizuschalten, er erlaubte jedoch nicht, zusätzlich zu den zwei von ihm eingerichteten Benutzern, weitere Benutzer einzurichten. Die Paßwörter der beiden Nutzer gab er nicht an.
Bombenhagel
Die Meldung, daß der erste Rechner bereits nach 30 Minuten geknackt war, war Öl in die Flammen der Diskussion, ob MacOS X sicher ist und wenn nicht, in welcher Gefahr die Benutzer denn schweben. Der zweite Test wurde nach 38 Stunden ohne Einbruch (aber vor dem ursprünglich angesetzten Termin) beendet. Der eine Rechner knickte also praktisch sofort ein, der andere hielt mehr als 70mal länger stand.
Mit Sicherheit wird es nicht zu klären sein, aber es kann mit ziemlicher Sicherheit davon ausgegangen werden, daß sich beide Rechner ernstzunehmenden Angriffen ausgesetzt sahen. Der wesentliche Unterschied zwischen den beiden Rechnern war, an welcher Stelle die Angreifer ihre Hebel ansetzen durften.
Einsatzbesprechung
Während die Eindringlinge einmal eine Wohnung im Haus beziehen durften, mußten sie im zweiten Fall erst einmal auf das Grundstück gelangen. Beide Szenarien sind nicht weltfremd, das erste ist an allen Universitäten der Welt normal, das zweite ist bei Millionen privaten Anwendern der Regelfall. Hier zeichnet sich bereits ab, wie die beiden Ergebnisse zu werten sind: Für private Anwender, die keine fremden Benutzer an oder auf ihren Rechner lassen, ist das Ergebnis des ersten Tests völlig ohne Bedeutung. Entsprechend hat das Ergebnis des Gegenversuchs praktisch keine Aussagekraft für Rechner, auf die fremde Benutzer Zugriff haben müssen.
Der Test der wideobenbsd-Gruppe zeigt, daß es bei MacOS X noch gefährliche Sicherheitslücken gibt, die ein Angreifer ausnutzen kann, um die Kontrolle über das System zu erlangen. Die Sicherheit eines Systems mit nicht genau zu kontrollierender Benutzergruppe muß stark bezweifelt werden. Hier muß Apple unbedingt schnellstmöglich Abhilfe schaffen.
Der Gegentest aus Wisconsin wurde gestartet, da der Initiator des Tests der Ansicht war, daß es ein unrealistisches Szenario wäre, beliebigen Benutzern Zugang zum System zu gewähren. Wie gezeigt gibt es durchaus Situationen, in denen das nicht zu vermeiden ist. Für die Mehrheit der privat genutzten Macs und für den Teil der beruflich genutzten Macs, bei denen die Mitarbeiter ohnehin ein Administrationsrecht haben, entspricht der Test der Realität.
Zusammenfassung
Haben Personen auf einem Mac ein Benutzerkonto, die keine Administratorrecht haben sollen, so muß MacOS X momentan als nicht sicher bewertet werden.
Haben nur Personen auf dem Mac ein Benutzerkonto, die auch Administratorrechte erlangen dürfen, so kann der Rechner im Rahmen des möglichen als sicher angesehen werden. Völlige Sicherheit besteht selbstverständlich nicht, da noch unbekannte oder nicht bekannt gemachte Sicherheitslücken bestehen könnten und sicher auch existieren.
Die Einschränkung auf Benutzer mit Administratorrechten führt das Rechtssystem weitgehend ad absurdum, wenngleich durch Funktionen wie FileVault die Dateien der nicht angemeldeten (!) Benutzer als sicher gelten können.
Apple hat seine Hausaufgaben genannt bekommen, es wird sich bald zeigen, ob und wie ordentlich die Firma sie macht. Bei bisherigen Fällen ähnlicher Art gab es jedenfalls wenig an den abgelieferten Arbeiten zu kritisieren.
