Systemsicherung mit dem TCB-Konzept

In der Entwicklung muss auch die Umgebung und nicht nur die Software die Sicherheitsmechanismen umsetzen. Vor vielen Jahren war ich für ein Entwicklungslabor verantwortlich, das aus Sun SPARCstation-Terminals bestand. Diese Sun-Terminals waren voller Schwachstellen, vor allem, was den Root-Account anbelangte. Es bestanden so viele Möglichkeiten, den Root zu knacken und damit unerlaubten Administrator-Zugang zu den Terminals zu erlangen, dass die Verwaltung des Systems der reinste Albtraum war.

Wie es sich für einen guten Administrator gehört, begann ich dennoch damit, eine Sicherheitslücke nach der anderen zu schließen, bis mir die Entwicklungsumgebung einigermaßen sicher schien. Kurz danach rief mich ein junger Programmierer an sein Terminal und sagte zu mir: „Schauen Sie mal, was passiert, wenn ich [Strg] K, [Strg] K drücke.“ Zwei Tastenkombinationen später sahen wir ein „#“ vor uns – die Eingabeaufforderung für den Root. Das bedeutete, dass sich jeder Benutzer, unabhängig von seinen Zugriffsrechten, mit einer User-ID und einem Passwort einloggen konnte um als Super-User oder Root-Administrator tätig zu werden. Es war schon gruselig!

Was bedeutete dies für die von uns entwickelte Software? Konnten wir ausreichend sicher sein, dass die auf unseren Workstations gesicherten Daten auch wirklich geschützt waren? Natürlich nicht. Um nochmals auf das Bankmodell zurückzukommen: Dieses Problem – jeder Benutzer konnte ihm nicht zustehende Zugangsrechte erlangen und als Systemadministrator auftreten – entsprach in der Praxis einer Bank, in der jeder beliebige Kunde hereinkommen und als Bankdirektor fungieren kann. Die Umgebung spielt daher eine zentrale Rolle für die Integrität des Sicherheitsmodells.