Windows und Sicherheit

Angesichts des 25jährigen Bestehens des CCC möchte ich noch einmal auf ein ganz besonders wichtiges Thema zu sprechen kommen: Sicherheit. Als Netzwerk- und Systemadministrator befindet man sich ständig in einem niemals auflösbaren Zwiespalt. Einerseits möchte man seinen Nutzern eine konstante Verbindung ins Internet anbieten. Andererseits muß diese Verbindung so stark wie nur irgend möglich abgesichert werden, um ebendiese Nutzer an Pornodownloads zu hindern vor größtmöglichem Schaden durch Angriffe von außen zu bewahren. Werfen wir deshalb einen kurzen Blick zurück auf die Geschichte eines Übertragungsprotokolls.

Um die Stabilität einer bestehenden Anbindung zu garantieren, wurde bereits vor über anderthalb Jahrzehnten ein Übertragungsstandard geschaffen, der auch in kritischen Situationen¹ vor Ausfällen gefeit ist. Er nennt sich ein wenig langatmig "Standard for the transmission of IP datagrams on avian carriers" und wurde in Form des RFC 1149 kurzerhand offiziell eingereicht. Leider stieß er damals wegen der etwas umständlichen Implementation auf keine allzu große Gegenliebe. Elf ganze Jahre mußten vergehen, bis das darin beschriebene Protokoll für den Transport von IP-Paketen über aviane Carrier, kurz CPIP (Carrier Pigeon Internet Protocol) erstmals erfolgreich umgesetzt wurde. Auch in der Praxis durchaus sinnvolle Anwendungen wie das darauf aufbauende Mail2Dove - eingehende Mail wird per Brieftaube zugestellt - konnten sich niemals wirklich durchsetzen.

Dennoch ist dieses Protokoll höchst attraktiv. Es ist wesentlich stabiler und ausfallsicherer als jede moderne, hochkomplizierte und daher inhärent fehleranfällige Technik. Durch den geringen Bekanntheits- und Verbreitungsgrad sind Angriffe zudem äußerst selten. Experten bezeichnen diese Art des Schutzes daher sehr treffend als Security by obscurity. Weil praktisch in jeder größeren Stadt Unmengen von avianen Carriern und damit auch ein nahezu unerschöpflicher Vorrat an CPIP-Paketträgern zur Verfügung stehen, ist die Stabilität der Datenübertragung hinreichend sichergestellt. In meinem Arbeitsumfeld wird es beispielweise als Failover-Lösung eingesetzt. Falls bei einem Ausfall des Glasfasernetzes nacheinander das kupfergestützte Netz, WLAN, das Netzwerk über die Stromleitung, die Modem-Verbindung und der Turnschuh-Admin ausfallen, wird automatisch auf CPIP umgeschaltet.

Doch wie sieht es mit der Sicherheit aus? Auch in Hinblick auf Sicherheit kann CPIP punkten. Wir haben in unserem Anwendungsbereich lediglich eine der üblichen und daher überall leicht erhältlichen Personal Firewalls unter Windows installieren müssen, um vor bösartigen Angriffen, fehlgeleiteten Paketen und DDoS²-Attacken wirkungsvoll geschützt zu sein. Sie mußte nur geringfügig modifiziert werden, um den bereitgestellten Schutz auch auf das CPIP-Protokoll auszudehnen. Hierbei handelt es sich um eine sogenannte Stateful-Inspection-Firewall mit den Stati WO/WC (Window open / Window closed) und modernster See-Thru-Filtertechnik. Unsere Illustration zeigt die Abbildung eines CPIP-Paketes, dem die "Window"-Information im Header fehlte. Wie sich anhand der grafischen Darstellung unschwer erkennen läßt, wurde das fehlerhafte Paket von der von außen praktisch nicht sichtbaren Firewall prompt abgelehnt. Unsere Nutzer blieben daher sicher und geschützt.

Fazit: Umsichtig implementiert und sinnvoll angewandt, kann CPIP einen wertvollen Beitrag zur Erhöhung der Nerdswerksicherheit und -stabilität liefern. Durch Ausfälle verursachte Umsatzverluste werden minimiert, und die konstante Produktivität der Anwender wird auf unternehmsweit hohem Niveau sichergestellt. Die TCO (Total Cost of Ownership) wird sinken. Ihre Aktien sowie Ihr Gehalt werden steigen. Web 2.0 rückt in Sichtweite.

¹ Wie beispielsweise Terroranschlägen, Überflutungen, Hitzewellen, von Putzfrauen gezogenen Netzsteckern in Serverräumen und sonstigen Katastrophen
² Dove Denial of Service. Diese Attacken werden häufig von Rentnern und kleinen Kindern durchgeführt, indem sie in der Luft, also auf dem Transportwege, befindliche aviane Carrier herablocken und sie beispielsweise mit Gammelfleisch und Brotkrumen füttern. Durch die lokale Akkumulation und temporäre Bindung von CPIP-Paketen treten signifikante Verzögerungen in der Datenübertragung (Lag) auf. Im Anschluß kommt es zu Timeouts und in den Büros zu Tumulten. Wenig später bricht die Verbindung in der Regel völlig zusammen. Es ist wohl überflüssig, zu erwähnen, daß DDoS in den allermeisten Großstädten verboten sind und von den Ordungsamtshütern dementsprechend geahndet werden.