Vor 50 Jahren erfand Ken Thompson die «unentdeckbare Sicherheitslücke». Vor gut 40 Jahren präsentierte er sie als Vortrag unter dem Titel «Reflections on Trusting Trust» anlässlich der Verleihung des Turing-Awards, des «Nobelpreises der Informatik». Hier ein kleiner Überblick, was es damit auf sich hat. Ausführlich im Artikel von Patrick Seemann.
IT-Sicherheit ist ja (leider) regelmässig Thema bei DNIP. Und auch heute geht es wieder um eine Backdoor; eine Hintertür, mit der sich ein Unbefugter Zugang zu einem Computersystem verschaffen kann.
In diesem Fall ist der Vorgang aber schon fast 50 Jahre her. Vergeben, aber alles andere als vergessen. Sie zeigt nämlich auf, wie schwierig es ist, einem Computer zu vertrauen, auch wenn man zu allen Programmen den Quellcode vor sich hat.
Bis in die 1960er-Jahre schrieb man Programme, indem man die Einsen und Nullen direkt (einzeln oder in 3er- oder 4er-Gruppen) in den Speicher des Raumfüllenden Computers schrieb. Diese Bitsequenzen wurden vom Prozessor dann als Befehle interpretiert, die etwas mit den Daten machten.
So hätten die Computer aber nie den Siegeszug angetreten, den wir kennen: viel zu mühsam!
Ende der 1960er und in den 1970ern begannen Programmiersprachen wie z.B. „C“ beliebter zu werden. Der Computer verstand diese menschenlesbaren Texte aber nicht direkt. Von einem Compiler mussten sie in Maschinensprache übersetzt werden.
Ken Thompson, einer der Urväter der modernen Betriebssysteme, wollte 1974/75 zeigen, wie er eine Backdoor ins Login-Programm einfügen könne, ohne dass sie im Quellcode auftauche.
Wenn er den den Quellcode des Loginprogramms geändert hätte, dass dieses zusätzlich zum echten Passwort des Benutzers alternativ auch „sein“ Passwort akzeptiert hätte, wäre das rasch aufgeflogen.
Seine bahnbrechende Idee: Da der Quelltext des Loginprogramms aber vom Compiler in Maschinensprache übersetzt werden musste, könnte er auch den Compiler hacken, so dass dieser, wenn er eine Passwortabfrage übersetze, diese um den zusätzlichen Passwortvergleich „ergänze“.
Dann aber wäre der Quellcode des Compilers auffällig gewesen.
Als weiteren Schritt fügte Thompson deshalb ein, dass der Compiler nicht nur das Übersetzen des Loginprogramms erkannte und „erweiterte“, sondern auch das Übersetzen des Compilers selbst. Sobald er den übersetzten Compiler mit den gehackten zwei Ersetzungen hatte, konnte er den Quellcode wieder auf die Originale zurücksetzen, weil die Funktionalität war ja jetzt „auf ewig“ im Compiler selbst versteckt.
Inzwischen können wir mit dieser „unentdeckbaren Backdoor“ ziemlich gut umgehen; dafür gibt es z.B. Werkzeuge wie „Reproducible Builds“, die das zwar nicht verhindern können, aber ein solcher Angriff mit hoher Wahrscheinlichkeit erkennen helfen würde.
Patrick Seemanns Artikel erklärt das alles auf Deutsch. Wer aber den kommentierten Quellcode aus 1975 selbst verstehen möchte, dem sei als Vertiefung danach Russ Cox‘ Beschreibung ans Herz gelegt.
Bei DNIP.ch waren Backdoors in den letzten Monaten mehrfach Thema:
- Die Erklärung, wie die xz-Backdoor rechtzeitig vor der Infektion von Millionen Rechnern erkannt wurde.
- Habe ich dokumentiert, welche Beweggründe es für Backdoors geben könnte und was man mit IT-Sicherheitslücken alles anstellen (und verdienen) kann. Dabei gibt es auch ein paar Hinweise, wer hinter so einer Lücke stecken könnte.
Wem die Artikel gefallen, der oder die darf sich auch gerne hier und/oder bei DNIP auf die Mailingliste setzen lassen, um nichts zu verpassen!
Aktuelles zu IT-Sicherheit
- Sichere VoIP-Telefone: Nein, danke‽
Zumindest war dies das erste, was ich dachte, als ich hörte, dass der weltgrösste Hersteller von Schreibtischtelefonen mit Internetanbindung, Yealink, es jedem Telefon ermöglicht, sich als beliebiges anderes Yealink-Telefon auszugeben. Und somit als dieses Telefonate zu führen, Kontaktlisten anzuschauen und so weiter. - Diceware: Sicher & deutsch
Diceware ist, laut Wikipedia, «eine einfache Methode, sichere und leicht erinnerbare Passwörter und Passphrasen mithilfe eines Würfels zu erzeugen». Auf der Suche nach einem deutschsprachigen Diceware-Generator habe ich keinen gefunden, der nur im Browser läuft, also das Passwort nicht von einem Server lädt. Da man Passwörter mit niemandem teilen sollte, war das für mich keine… Diceware: Sicher & deutsch weiterlesen - Nextcloud: Automatischer Upload auf Android verstehen
Ich hatte das Gefühl, dass der automatische Upload auf Android unzuverlässig sei, konnte das aber nicht richtig festmachen. Jetzt weiss ich wieso und was dabei hilft. - VÜPF: Staatliche Überwachungsfantasien im Realitätscheck
Die Revision der «Verordnung über die Überwachung des Post- und Fernmeldeverkehrs» (VÜPF) schreckte die Schweiz spät auf. Am Wochenende publizierte die NZZ ein Streitgespräch zum VÜPF. Darin findet sich vor allem ein Absatz des VÜPF-Verschärfungs-Befürworters mit Aussagen, die nicht unwidersprochen bleiben können. - Phishing-Trend Schweizerdeutsch
Spam und Phishingversuche auf Schweizerdeutsch scheinen beliebter zu werden. Wieso nutzen Spammer denn diese Nischensprache? Schauen wir in dieser kleinen Weiterbildung in Sachen Spam und Phishing zuerst hinter die Kulissen der Betrüger, um ihre Methoden kennenzulernen. Und danach – viel wichtiger – was wir tun können, um uns zu schützen. - Persönliche Daten für Facebook-KI
Meta – Zuckerbergs Imperium hinter Facebook, WhatsApp, Instagram, Threads etc. – hat angekündigt, ab 27. Mai die persönlichen Daten seiner Nutzer:innen in Europa für KI-Training zu verwenden. Dazu gehören alle Beiträge (auch die zutiefst persönlichen), Bilder (auch die peinlichen) und Kommentare (auch die blöden Sprüche) auf Facebook und Instagram, die Interaktionen mit dem KI-Chatbot «Meta… Persönliche Daten für Facebook-KI weiterlesen - In den Klauen der Cloud
Bert Hubert, niederländischer Internetpionier und Hansdampf-in-allen-Gassen, hat einen grossartigen Artikel geschrieben, in dem er die Verwirrung rund um «in die Cloud gehen» auflöst. Ich habe ihn für DNIP auf Deutsch übersetzt. - Können KI-Systeme Artikel klauen?
Vor ein paar Wochen hat die NZZ einen Artikel veröffentlicht, in dem Petra Gössi das NZZ-Team erschreckte, weil via KI-Chatbot angeblich «beinahe der gesamte Inhalt des Artikels […] in der Antwort von Perplexity zu lesen» gewesen sei. Und nun könne «man gratis oder für eine Gebühr von etwa 20 Dollar pro Monat jede Zeitung auf… Können KI-Systeme Artikel klauen? weiterlesen - Was Prozessoren und die Frequenzwand mit der Cloud zu tun haben
Seit bald 20 Jahren werden die CPU-Kerne für Computer nicht mehr schneller. Trotzdem werden neue Prozessoren verkauft. Und der Trend geht in die Cloud. Wie das zusammenhängt. - Facebook: Moderation für Geschäftsinteressenmaximierung, nicht für das Soziale im Netz
Hatte mich nach wahrscheinlich mehr als einem Jahr mal wieder bei Facebook eingeloggt. Das erste, was mir entgegenkam: Offensichtlicher Spam, der mittels falscher Botschaften auf Klicks abzielte. Aber beim Versuch, einen wahrheitsgemässen Bericht über ein EuGH-Urteil gegen Facebook zu posten, wurde dieser unter dem Vorwand, ich würde Spam verbreiten, gelöscht. Was ist passiert? - Was verraten KI-Chatbots?
«Täderlät» die KI? Vor ein paar Wochen fragte mich jemand besorgt, ob man denn gar nichts in Chatbot-Fenster eingeben könne, was man nicht auch öffentlich teilen würde. Während der Erklärung fiel mir auf, dass ganz viele Leute ganz wenig Ahnung haben, wie die Datenflüsse bei KI-Chatbots wie ChatGPT etc. eigentlich ablaufen. Deshalb habe ich für… Was verraten KI-Chatbots? weiterlesen - Sicherheit versteckt sich gerne
Wieso sieht man einer Firma nicht von aussen an, wie gut ihre IT-Sicherheit ist? Einige Überlegungen aus Erfahrung.
Schreibe einen Kommentar