Die führende Plattform für Handheld-Computer ist das Palm-Betriebssystem Palm-OS. Nach Einschätzung von IDC hielt Palm-OS im Jahr 1999 78,4 Prozent des gesamten Handheld-Marktes. IDC erwartet, dass es im Jahr 2003 mehr als 18,9 Millionen Einheiten geben wird. Mit mehr als 4.000 Anwendungen für das Palm-OS sind diese Geräte dem Risiko von Virenattacken auf digitalen Assistenten voll ausgesetzt.
Palm-OS verwendet kein herkömmliches Dateisystem. Sein System ist so weit abgewandelt und optimiert worden, dass es zum einen für das Zusammenspiel mit Primärgeräten wie zum Beispiel dem PC geeignet ist und zum anderen den begrenzten Speicherplatz des Palm bestmöglich nutzt. Daten werden in Speicherblöcken gespeichert, die Records (Datensätze) genannt werden. Zusammengehörige Datensätze werden zu Datenbanken, beispielsweise Sammlungen von Adressbucheinträgen oder Terminplaner, gruppiert. Eine Datenbank im Palm-OS entspricht in etwa einer herkömmlichen Datei. Der Unterschied besteht darin, dass Palm-OS Daten in vielfältige Records unterteilt, anstatt sie in einem zusammenhängenden Block abzulegen. Bei einer Modifizierung solcher Datenbanken finden die Veränderungen nur im Speicher statt, im Gegensatz zur traditionellen Desktop-Methode. Bei ihr werden die Daten temporär im RAM abgelegt, bevor sie auf die Festplatte geschrieben werden. Die Art der Datenspeicherung im Palm-OS schafft Platz für Anwendungsdatenbanken, die auf verschiedene Weise "angeliefert" werden können.
Jede Methode, mit der ein ausführbarer Code auf das Palm-Gerät gebracht wird, stellt zugleich eine Eintrittsmöglichkeit für einen schädlichen Code dar. Unter den verschiedenen Methoden, einen Code zu übertragen, ist Hotsync zurzeit die am häufigsten eingesetzte. Sie wird dazu verwendet, Daten auf dem PDA mit Daten auf dem PC abzugleichen, Daten auf dem PC zu aktualisieren oder neue Anwendungen vom PC aus auf dem PDA zu installieren. Gegenwärtig ist Hotsync die einfachste Art, schädlichen Code einschleusen. Um zum Beispiel ein neues Programm auf dem Palm zu installieren, kann der Benutzer es aus dem Internet auf seinen PC herunterladen und mittels der Hotsync-Funktion vom PC auf seinen Palm übertragen. Jetzt ist das neue Programm startbereit, egal ob es sich um ein Schachspiel oder einen Virus handelt, der wahllos E-Mails zu allen gespeicherten Kontaktadressen verschickt.
Der Palm enthält Übertragungseinrichtungen, die mit Infrarot arbeiten. Diese Einrichtungen entsprechen den Bestimmungen der Irda (Infrared Data Associations). Damit kann sich der Benutzer die IR-Funktion seines Palm direkt zunutze machen. Die Mehrheit der Programme benutzt den Palm-Exchange-Manager, der eine einfache Schnittstelle für Palm-OS-Anwendungen zur Verfügung stellt. Hierüber können Daten von einem entfernten Gerät mit Standard-Protokollen gesendet und empfangen werden. Auf diesem Übertragungsweg kann der Palm auch mit schädlichem Code in Berührung kommen. Zurzeit geben die Geräte eine Mitteilung an den Benutzer aus, wenn Daten eintreffen. Diese Message-Funktion kann jedoch abgeschaltet werden, wozu ein spezieller Code auf dem Empfangsgerät nötig ist. Via Infrarot können dann schädliche Programme mit anderen infizierten Geräten kommunizieren und Informationen oder Code austauschen, ohne dass der Benutzer etwas davon merkt.
Spezielle Modem-Hardware für den Palm oder neuere kabellose Modelle bieten Zugang zu vielen Standard-Internet-Protokollen. Im Allgemeinen stehen ein eingeschränktes Web-Browsing sowie E-Mail-Zugang (mit Dateianhang) zur Verfügung. So kann der Benutzer E-Mails mit Palm-Anwendungen im Anhang erhalten, abspeichern und ausführen. Solche Anwendungen können schädlichen Code enthalten.
Darüber hinaus erlaubt die Net Library den Palm-OS-Anwendungen, Verbindungen mit beliebigen Maschinen im Internet herzustellen und Daten von und zu diesen Maschinen mit Hilfe der Standard-TCP/IP-Protokolle zu transferieren. Neben der Eintrittspforte über die E-Mail-Funktion des Palm oder den Webbrowser kann bösartiger Code mithörende Serverports öffnen, um ferngesteuerten Zugang zu ermöglichen, vertrauliche Daten zu verschicken oder zusätzlichen schädlichen Code zu erhalten. Netzwerkzugang ist daher geradezu eine Einladung für Viren, die sich schnell verbreiten.
Programmierbarkeit kann zum Problem werden
Viele der Anwendungen, die auf Palm-OS laufen, sind programmierbar. Über Standardschnittstellen für die Anwendungsprogrammierung können Programme dritter Parteien mit anderen Programmen interagieren. So können sich Anwendungen beispielsweise gegenseitig Ausführungscodes zusenden und einander anweisen, eine Aktion auszuführen oder Daten zu modifizieren.
Ein Beispiel: Ein schädliches Programm kann einen Ausführungscode senden, um alle E-Mail-Adressen aus der Adressliste abzufragen. Danach kann durch einen weiteren Ausführungscode die EMail-Anwendung angewiesen werden, E-Mails mit dem schädlichen Programm selbst als Anhang zu versenden. All diese Funktionen können ohne Eingriff des Benutzers ausgeführt werden und ohne sein Wissen ablaufen. Diese Programmierbarkeit kann sehr einfache E-Mail-basierende Viren wie beispielsweise W97M/Melissa und VBS/Love Letter entstehen lassen. Solche Bedrohungen können sehr schnell Realität werden.
Es gibt noch keine Zugangscodes
Die Dateifunktionen im Palm-OS ermöglichen es dem Benutzer, zu lesen, zu schreiben, Dateien zu suchen, zu verändern und alles andere zu machen, was er auch mit einer herkömmlichen PC-Datei machen würde. Solche Funktionen sind alles, was ein Virus braucht, um sich zu verbreiten. Viren können sich an andere Anwendungsdatenbanken auf dem Gerät anhängen, wobei sie den Einsprungpunkt des Programms ändern und dadurch sicherstellen können, dass sie zukünftig ausgeführt und ständig vervielfältigt werden.
Der Palm verfügt über keinerlei eingebaute Zugangskontrollen zu Datenbanken und Records. System-Datenbanken können genauso einfach verändert werden wie Benutzer-Datenbanken. Dadurch kann schädlicher Code nicht nur Systemdateien modifizieren, sondern auch zerstören. Ein einziger Klick kann alle Anwendungen und Daten auf dem Gerät löschen.
Palm-OS wird mit vielen Bibliotheken inklusive der Net Library vertrieben, die es Palm-OS-Anwendungen erlaubt, eine Verbindung mit jeder anderen Maschine im Internet herzustellen. Die Bibliothek für Infrarot-Funktionen stellt eine direkte Schnittstelle für die IR-Übertragung dar. Solche Bibliotheken machen es leicht, hochgradig gefährlichen Code zu programmieren. Selbst ohne tiefere Kenntnisse von IR-Übertragung könnte ein Programmierer einen Agenten schaffen, der eingehende IR-Datenübertragungen überwacht. Hierdurch könnten bösartige Programme mit anderen infizierten Geräten kommunizieren.
Fehlender Internet-Zugang schützt vor Viren
Die Net Library bietet Programmierern darüber hinaus die Möglichkeit, Programme mit so genannten Berkley Sockets zu erstellen. Diese Programme reichen von kleinen SMTP-Engines, die für E-Mail-Funktionalität auf Geräten ohne Mail-Client sorgen, bis zu Servern, die am Netzwerk nach eintreffenden Kommandos "lauschen", um Hackern Fernzugriff zu gewähren.
Obwohl es möglich ist, Viren, Würmer und Trojaner für das Palm-OS zu programmieren, so wird doch deren Ausbreitung von zwei Faktoren eingeschränkt. Erstens: Palm hält zwar den größten Marktanteil an PDAs, doch die Zahl der Benutzer ist deutlich geringer als die der PC-User. Außerdem gibt es zur Zeit verschwindend wenige PDA-Benutzer mit Internet-Anschluss. Daher kann sich eine schädliche Palm-OS-Anwendung nicht annähernd so schnell verbreiten wie zum Beispiel ein Windows-Virus. Zweitens: Die Art des Datenaustauschs bei PDAs ist immer noch asymmetrisch. Das bedeutet, dass Palm-Besitzer Anwendungen und Daten von wenigen Primärquellen herunterladen.
Durch symmetrischen Datenaustausch, bei dem zahlreiche PDA-Benutzer Informationen mit vielen anderen PDA-Benutzern austauschen, steigt das Risiko der Virenausbreitung drastisch an, wie am Beispiel der Makroviren zu beobachten war.
Dennoch bleibt zu bedenken, dass PDAs durch die sinkenden Preise allmählich zu Standardgeräten in Unternehmen werden und damit die Virenbedrohung deutlich ansteigt. Wenn wir erst E-Mails via Palm abrufen und Dokumente oder ausführbare Anhänge mit dem PDA austauschen, steigt die Gefahr, dass bösartiger Code unbemerkt ausgeführt wird. Wenn sich zudem die Marktsituation mit einem einzigen Anbieter konsolidiert, dann steigt die Anfälligkeit des durchschnittlichen PDA-Anwenders für Viren. Läuft ausführbarer Code erst einmal, dann sind die Möglichkeiten des Missbrauchs grenzenlos. Palms sind leicht zu infizieren und begünstigen E-Mail-Viren durch ihre simple Programmierbarkeit.
Der Palm ist nur eines von vielen verwundbaren Geräten. Es kein einziges, dass 100-prozentig virenresistent ist. Maximale Sicherheit verspricht allein der Filofax. Die fortschrittliche Alternative hierzu ist ein ausgereifter Virenschutz. Die Bedrohung ist real. Unlängst ist der erste Palm-Trojaner Palm-Liberty.A aufgetaucht, der Anwendungen vom Palm komplett zu löschen vermag. Es gibt allerdings auch schon Lösungen, die Palm-Viren erkennen und bannen - und zwar lokal auf dem Palm-Gerät selber. Palm-Viren bereits auf dem PC zu erkennen und auszuschalten gehört schon lange zum Standard renommierter Hersteller.
www.symantec.de
*Eric Chien, ist Leiter des Symantec Anti Virus Research Center (SARC) in Leiden, Niederlande.