Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

17.07.1998 - 

Zweifel an Novells C2-Zertifizierung

Sicherheitslücke in Netware gibt Hackern LAN-Kontrolle

Alle Netware-Versionen einschließlich der Beta 3 von Netware 5.0 verfügen über ein Schlupfloch für potentielle Eindringlinge. Diese Entdeckung machte das Nomad Mobile Research Centre (NMRC) in Arlington, Texas. Nach Angaben der Organisation, die sich auf das Aufspüren von Fehlern und Sicherheitslücken in Netzwerk-Betriebssystemen spezialisiert hat, können Hacker die Netzanmeldung eines Anwenders mitschneiden. Dabei gewinnen sie Daten wie User-Name und Paßwort.

Hat der ausgespähte User die entsprechenden Administratorrechte, so steht auch den ungebetenen Gästen das komplette Netz einschließlich der Novell Directory Services zur Verfügung. "Dieser Fehler", so ein NMRC-Mitarbeiter, "diskreditiert die C2-Sicherheit von Netware komplett." Jim Balderston, Analyst bei Zona Research in Redwood City, Kalifornien, geht sogar noch weiter: "Wenn Sie die Benutzer ausspähen können, dann ist die Sicherheit des ganzen Netzes kompromittiert." Glaubt man Balderston, so hängt in diesem Fall das Ausmaß des Schadens allein vom Zerstörungswillen des Hackers ab.

Datenpakete signieren

In Anbetracht der möglichen Gefahr empfiehlt Novell den Anwendern, den Signatur-Level der NCP-Datenpakete auf Stufe 3 zu setzen. Um die Sicherheit im Netz zu gewährleisten, bietet das Netware Core Protocol die Möglichkeit, jedes Datenpaket mit einer 64-Bit-Signatur zu versehen. Hierzu sind vier Sicherheitsstufen vorgesehen, wobei die niedrigste (Stufe 0) die Kommunikation zwischen Client und Server ohne Signatur erlaubt. Auf dem höchsten Level (Stufe 3) müssen alle Pakete signiert sein, oder es kommt keine Kommunikation zustande.

Eine Lösung, die nach den Erkenntnissen des NMRC die Gefahr nicht komplett ausräumt. Bei Tests wollen Mitarbeiter des NMRC nämlich festgestellt haben, daß selbst in der höchsten Sicherheitsstufe nicht alle Pakete signiert werden und so Hacker auch hier eine Chance haben, eigene Daten an den Server zu senden.