Programmierung und Betrieb eines Rechners lassen sich nicht unterscheiden

Für das Verständnis eines Exploits ist es nach Dulliens Ansicht auch wichtig, die grundlegende Beziehung zwischen von der CPU verarbeiteten Daten und den Instruktionen eines Programmes zu sehen. Denn jedes Programm ist auf eingegebene Daten angewiesen, die dann zu Problemen führen können - etwa, wenn ein Kontaktformular Namen entgegennimmt, diese aber nicht korrekt um möglicherweise enthaltene Befehle bereinigt und damit zum Beispiel die Ausführung von Code ermöglicht.

Stellenmarkt
  1. Linux Systemadministrator (m/w/d)
    Stiftung Kirchliches Rechenzentrum Südwestdeutschland, Eggenstein-Leopoldshafen
  2. IT Teamleiter - Development (gn)
    HORNBACH Baumarkt AG, Bornheim bei Landau / Pfalz
Detailsuche

Letztlich sei ein Programm aus Sicht eines Angreifers nur ein Datenstrom, mit dem eine Interaktion möglich ist, erklärt Dullien. Tatsächlich muss ein Exploit immer lokale Begebenheiten eines Rechners aufnehmen, um einen erfolgreichen Angriff durchführen zu können. Ein Angreifer würde also letztlich mit den bereitgestellten Daten in die Programmierung eines Computers eingreifen.

Ein Angreifer muss seine Attacke vorbereiten - in den meisten Szenarien ist es zum Beispiel notwendig, Daten in den Speicher zu schreiben, um sie dann im Falle eines Angriffs nutzen zu können. Dies ist zum Beispiel für einen Angriff notwendig, der auf einen Bitflip bei Rowhammer folgt.

Nachdem der Angriff vorbereitet ist, wird ein "weird state" ausgelöst. Zu diesem Zeitpunkt operiert der Computer also nicht mehr so wie vorgesehen. Ausgehend von einer oder mehreren Veränderungen der Instruktionen verändert sich das nachfolgende Verhalten im Zusammenspiel von Hardware und Software. Dies ist, was Dullien dann als "weird machine" beschreibt. Durch die in einem Exploit vorhandenen Instruktionen "programmiert" der Angreifer diesen Computer dann für weitere Aktionen.

Ein Exploit stellt formalisierte Sicherheitsannahmen in Frage

Golem Akademie
  1. First Response auf Security Incidents: Ein-Tages-Workshop
    4. März 2022, Virtuell
  2. Azure und AWS Cloudnutzung absichern: virtueller Zwei-Tage-Workshop
    17.–18. März 2022, virtuell
Weitere IT-Trainings

Ein Exploit ist nach Ansicht von Dullien also eine Kombination aus einer erfolgreichen Vorbereitung des Rechners, dem Setup, der Initialisierung, bei der ein "weird state" ausgelöst wird und der danach folgenden Veränderung des Systems durch den Exploit-Code. Die Kombination all dieser Dinge könne dann dazu führen, dass formal definierte Sicherheitsannahmen eines Programms verletzt werden.

Ein solchermaßen formalisiertes Nachdenken über IT-Sicherheit und die Sicherheit konkreter Systeme bezeichnet Dullien als wichtigen Schritt für die Ausbildung und für die Gestaltung formaler Sicherheitsanforderungen an Software. Denn nur über ein solches Modell sei es überhaupt möglich, Annahmen zu treffen, ob ein bestimmtes System durch einen Exploit angegriffen werden kann oder eben nicht.

Denn das Denken über IT-Sicherheit sei häufig davon geprägt, Mitigationen für bestimmte definierte Probleme vorzuschlagen - also kleinere Fixes oder Workarounds, die ein Problem aber letztlich nicht lösen. So kann die Verwendung von Address Space Layout Randomization (ASLR) zwar dabei helfen, die Ausnutzung von Speicherfehlern im Heapspeicher zu erschweren - ist aber kein vollständiger Schutz. Außerdem würden durch neue Mitigationen häufig auch neue Komplexitäten in den Code eingebaut, was dann wiederum zu Fehlern führen könnte.

Auch ist es laut Dullien in der Vergangenheit immer wieder zu Missverständnissen oder unterschiedlichen Bewertungen gekommen. Intel habe zum Beispiel Rowhammer zunächst nicht als Sicherheitsproblem eingestuft, sondern nur als Problem der Zuverlässigkeit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Hacker: Was ist eigentlich ein Exploit?
  1.  
  2. 1
  3. 2


Tuxgamer12 24. Jun 2018

Sorry, jetzt erst gesehen. Du beharrst also weiterhin auf deiner imperativen Sichtweise...

d/cYpher 21. Jun 2018

Manchmal denk' ich echt, Golem ist für Schüler gemacht.

Truster 21. Jun 2018

Da liegt dein Fehler Es heißt "IT-News für Profis" und nicht "IT-News für IT-Profis" Auch...

Baron Münchhausen. 16. Jun 2018

Danke, Sie haben es verstanden :)

bombinho 15. Jun 2018

Hier steht wirklich nichts.



Aktuell auf der Startseite von Golem.de
Feldversuch E-Mobility-Chaussee
So schnell bringen E-Autos das Stromnetz ans Limit

Das Laden von Elektroautos stellt Netzbetreiber auf dem Land vor besondere Herausforderungen. Ein Pilotprojekt hat verschiedene Lösungen getestet.
Ein Bericht von Friedhelm Greis

Feldversuch E-Mobility-Chaussee: So schnell bringen E-Autos das Stromnetz ans Limit
Artikel
  1. Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
    Encrochat-Hack
    "Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

    Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
    Ein Interview von Moritz Tremmel

  2. Geforce Now (RTX 3080) im Test: 1440p120 mit Raytracing aus der Cloud
    Geforce Now (RTX 3080) im Test
    1440p120 mit Raytracing aus der Cloud

    Höhere Auflösung, mehr Bilder pro Sekunde, kürzere Latenzen: Geforce Now mit virtueller Geforce RTX 3080 ist Cloud-Gaming par excellence.
    Ein Test von Marc Sauter

  3. SpaceX: Starlink testet Satelliteninternet in Flugzeugen
    SpaceX
    Starlink testet Satelliteninternet in Flugzeugen

    Bald dürften mehrere Flugesellschaften Starlink-Service anbieten. Laut einem Manager soll es so schnell wie möglich gehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" 32:9 Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Cambridge Audio Melomonia Touch 89,95€ • Gaming-Stühle zu Bestpreisen [Werbung]
    •  /