Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

06.03.1987 - 

Schutz vor unbefugter Dateneinsicht auf Mikrocomputern:

Password-Sicherung gegen PC-Spione

Seit die DV-Strategen als Endgeräte statt dummer Terminals zunehmend PCs einsetzen, wird Zugriffsschutz auf dem Mikrorechner ein immer wichtigeres Thema. Einige Hersteller bieten dafür bereits Passwordverwaltungs-Software an. Bernd Menne, DV-Leiter der Stadtwerke Düsseldorf, hat einige Produkte auf verschiedenen PCs getestet.

Safe-Men von der Uti-Maco GmbH, Frankfurt, ist eine Benutzer- und Password-Verwaltung, die über Menüs die Zugriffsmöglichkeiten regelt. Ein Master-User kann Berechtigungen für maximal 30 Benutzer vergeben und diesen über Benutzernamen und Passwords den Zugriff auf die Software ermöglichen. Ein leistungsfähiger Maskengenerator ermöglicht die Schaffung individueller Prozeduren mit Hilfe von eigenen Batch-Programmbibliotheken; dazu gehören zwangsweises Sichern und der Aufruf spezieller Directories. Die Programmierung dieser Masken und der zugehörigen Help-Menüs wird durch Kommandos unterstützt.

Dadurch, daß nach der Installation die gesamte Rechnerbedienung vollständig menügesteuert ist, wird die Benutzung des Rechners erheblich erleichtert. Ganze Menüverzweigungen mit Haupt- und Untermenüs können erstellt werden. Die Eingabe aller Aufrufe von Programmen, Sprüngen innerhalb der Menüs und Hilfstexten ist nach kurzer Einarbeitung in überzeugender Weise möglich. Dem Master-User wird für die Pflege des Systems volle Menüführung für alle Bearbeitungspunkte geboten. Die Benutzeraktivitäten können auf Programmebene protokolliert werden und dabei zum Beispiel um Kostenstellennummern ergänzt werden. Durch Warmstart und Einlegen einer MS-DOS-Diskette wird Safe-Men vollständig umgangen. Einen endgültigen Schutz bietet dann nur die Kryptographierung von Programmen und Dateien. Diese Routine war allerdings in der Demoversion nicht vorhanden.

Die Software bietet folgende Möglichkeiten:

- Die Datei-Parameter (Hidden/Unhidden, Readonly/Readwrite) können bearbeitet werden.

- Krypographierung mit dem Password des Benutzers ist möglich.

- Jedem Benutzer kann Plattenplatz zugewiesen werden, den er nicht überschreiten darf. Geschieht dies trotzdem, wird ihm automatisch das Funktionsmenü "Kopieren auf Diskette" zum Auslagern seiner Dateien angeboten.

- Dateien können im Dialog gelöscht, kopiert, verändert werden.

- Optional werden Daten auf "#" gelöscht.

- Die Safe-Men-Definitionsdatei kann für die Portierung auf andere Rechner kopiert werden.

- Ein Sprung in das Betriebssystem und der Rücksprung kann erlaubt werden. Durch das Neuladen des Command-Interpreters werden allerdings die Angaben für "Prompt" und "Path" überschrieben und müssen durch manuellen Aufruf der Autoexec-Datei erneuert werden. Der Rücksprung nach Safe-Men wird durch den Befehl "Exi" gesteuert.

- Der Ausdruck der Logons und der Programmaufrufe wird durch eine eigene Routine unterstützt. Da der Master-User vorgeben kann, welche Aufrufe protokolliert werden, läßt sich die Liste auch schwerpunktmäßig gestalten. Im Anhang ist das Dateiformat aufgeschlüsselt, so daß die Auswertung auch mit anderen SW-Tools vorgenommen werden kann.

Logon-Prozedur kann umgangen werden

Nach Aufruf von MS-Windows unter Safe-Men ergab sich eine teilweise Penetration der Zugriffsbeschränkungen, da über die Eingabe "Command" die internen Kommandos von MS-DOS zugänglich wurden. Alle externen Kommandos und alle Programme wurden erst durch das Erstellen sogenannter Windows-PIF-Dateien ausführbar. Die entscheidende Schwachstelle war hier der PIF-Editor von Windows. Der Aufruf von THE 1DIR entsprach dem Aufruf des Betriebssystems, es gab dann keinerlei Hindernisse mehr, den Rechner zu bedienen. Auch unter Sidekick war es über "Notepad" möglich, die Dateien zugänglich zu machen und Safe-Men zu deinstallieren.

Die in den beiden vorherigen Absätzen dargestellten Tatsachen sind für den Fall von Bedeutung, daß die Anwender eines der Produkte unter Safe-Men nutzen sollten. Mit dem Booten über eine Systemdiskette in Laufwerk A: kann die Logon-Prozedur umgangen werden.

Zugriffsberechtigung auf fünf Levels

Enigma von der Add-in GmbH, München, ist eine Verbindung von Hard- und Software, die die Benutzerverwaltung über Namen und Password sowie die Vergabe von dedizierten Benutzerprofilen ermöglicht. Nach Einbau der Enigma-Karte in den Rechner wird die Software installiert und ermöglicht dem Master-User die Vergabe von Zugriffsberechtigungen und Zeitzonen je Benutzer. Die Berechtigungen können au den Levels: kein Zugriff, nur Lesen (auch "Copy"), unbeschränkt, nur ausführen, nicht ausführen (aber Lesen und Schreiben) vergeben werden. Die Zeitzonen werden nach Tagen und Stunden festgelegt und von der Enigma-eigenen Systemuhr kontrolliert.

Als Möglichkeit gegen den Ausbau der Karte und damit die Umgehung des Logon steht ein Kryptographieprogramm zur Verfügung. Ohne den Besitz der Karte und die Kenntnisse des verwendeten Passwords wird keine Rückentschlüsselung zugelassen. Die Verschlüsselung wird auch für die Verwaltungsinformationen von Enigma benutzt.

Die wesentlichen Funktionen sind folgende:

- Beim Logon mit Benutzernamen und geheimem, selbstverwaltetem Password wird der Master-User über versuchte Fehl-Logons unterrichtet. Er kann dann das Protokoll einsehen, in dem die letzten acht Versuche aufgezeichnet sind.

- Die Benutzer können dediziert auf bestimmte Start-Directories sowie auf Zugriffe und Rechte in den Verzeichnissen festgelegt werden.

- Vergißt ein User sein Password, erfolgt die Neuinstallation durch den Master-User.

- Zutrittsversuche außerhalb der vorgegebenen Zeitzonen führen zum Abbruch und zum Eintrag in die Logdatei. Überschreitungen der vorgegebenen Zeit führen zu einer Warnung und nach 5 Minuten zu einem Abbruch der Verarbeitung.

- Benutzer können mit einem Codewort Dateien auf beliebige Datenträger ver- und entschlüsseln (IBM-DES-Algorithmus). Der Benutzer kann mehrere Zyklen wählen, muß aber bei der Entschlüsselung den Weg entsprechend zurück gehen. Dies ist vor allem bei der Nutzung unterschiedlicher Codes und mehreren Zyklen von Bedeutung.

- Directories können zur automatischen Ent- und nach Beendigung einer Sitzung zur Verschlüsselung bestimmt werden.

- Dateiübertragungen können mit einem Prüfecode abgesichert werden.

- Die Kurzzeitsperre ermöglicht ein Verlassen des Rechners ohne Beendigung der Arbeit. Aus- und Wiedereinschalten des Rechners kann hier allerdings die Zerstörung von Daten mit sich bringen.

- Das Booten über Diskette wird ebenfalls kontrolliert. Für die endgültige Bedienung ist es sinnvoll, sich das englische Handbuch auszudrucken, das in der Einzelbeschreibung ausführlicher ist.

- Es können Nachrichten an Benutzer hinterlegt werden.

Im ersten Teil seines Arbeitsberichts führte Bernd Menne in die Gesamtproblematik ein und stellte die von ihm geprüften Produkte kurz vor. Drei der Schutzprogramme unter MS-DOS behandelt die zweite Folge. Der dritte und letze Teil beschäftige sich speziell mit "Safe-Man" von der Frankfurter Uti-Maco GmbH, mit der "Enigma"-Karte von der Münchner Add-In GmbH und mit "Hetrolock" von der Hetron GmbH, ebenfalls in München.

Erlaubnisprofilvergabe muß geplant werden

Die Bedienung von Enigma wird technisch durch Menüs unterstützt; inhaltlich erfordert sie eine gewisse Entwurfsarbeit: Die Vergabe der Erlaubnisprofile muß geplant werden, um die Benutzer nicht von Systemroutinen auszuschließen, die für den Betrieb des Rechners unmittelbar notwendig sind. Bei der Profilbeschreibung können auch weitestgehende Restriktionen für die Arbeit mit dem Laufwerk A: vorgegeben werden, um ein Eindringen von dort zu erschweren. Für den Test mit weiteren Softwareprodukten stand Enigma nicht zur Verfügung, so daß über das Zusammenwirken mit anderen Tools keine Aussagen getroffen werden können.

Hetrolock von der Hetron GmbH München, ist eine Einbaukarte, die keinen Steckplatz benötigt. Mit Hilfe von sieben einstellbaren Drehschaltern ermöglicht sie die Voreinstellung eines beim Einbau einzugebenden Password. Sowohl die Stromversorgung für die Hauptplatine als auch die Steckverbindung für die Konsole gehen nach dem Einbau über die Karte; sie kontrolliert von da ab die Betriebszustände beider Bauelemente.

Kurzzeitsperre für Tastatur vorhanden

Zusammen mit der Tastenkombination "Crtl-Alt-Del" und einer weiteren Taste wird ein Warmstart auf dem PC ermöglicht; außerdem kann eine Kurzzeitsperre der Tastatur eingegeben werden. Gegen das Ziehen und Umstecken der Verbindungen zur Tastatur schützt Hetrolock mit einer Warnung und darauf folgender Bedienungs-Sperre.

Bewertung der Erfahrungen aus dem Test:

Selbstverständlich kann man keine Patentrezepte zu Sicherheitsproblemen ausstellen, und die Feststellung von Schutzmaßnahmen muß schon innerhalb eines Unternehmens je nach Sachlage bewertet werden. Deshalb galt es nicht, Empfehlungen für eine konkrete Maßnahme zu geben sondern bestimmte Eigenschaften zu schildern, die der Anwender seinen Bedürfnissen zuordnen muß. Aufgrund dieser Eigenschaften sollte man sich daher anhand eines "Pflichtenheftes" ein geeignetes Produkt vom Markt suchen.

Die Auswahl erhebt keinen Anspruch auf Vollständigkeit und kann ihn auch nicht erheben. Die Beobachtung des Marktes wird auch weiterhin lohnend sein.

Grundsätzlich kann man bescheinigen, daß sich mit den angebotenen Mitteln mehr Sicherheit erreichen läßt; abhängig von den Eigenschaften muß man eventuelle Umgehungsmöglichkeiten einkalkulieren, bewerten und mit den einigen Erfordernissen in Einklang bringen.

Gegen den Aufbruch oder den Diebstahl der Hardware hilft letztendlich nur eine Verschlüsselung oder physische Auslagerung der Daten. Alle anderen Schutz- oder Kontrollziele sind abgestuft einzuschätzen; Kompromisse mit den jeweils angebotenen Problemlösungen lassen sich nicht ausschließen. Hilfreich sind neben den Kontrollsystemen auf Jeden Fall einheitliche Regeln für Datensicherung, und Datenträgerhandhabung parallel zu den Installierten Zugriffsschutz- und Protokollierungssystemen.

Mit der Performance gab es keine Probleme; die Handbücher waren ausreichend, die Installation In allen Fällen nach kurzer Einarbeitung gut durchführbar.