Abo
  • Services:
Anzeige
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile.
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile. (Bild: Blue Coat)

ProxySG: Einblick ins Betriebssystem von Blue Coat

Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile.
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile. (Bild: Blue Coat)

Der Sicherheitsforscher Raphaël Rigo hat sich das Betriebssystem von Geräten der Firma Blue Coat angesehen. Dem proprietären System fehlen moderne Sicherheitsmechanismen wie Stack Canaries oder ASLR.

Anzeige

Ursprünglich wollte der IT-Sicherheitsexperte Raphaël Rigo bereits auf der Syscan-Konferenz in Singapur seine Forschungsergebnisse über die ProxySG-Geräte von Blue Coat veröffentlichen. Doch der Vortrag wurde aus nicht genannten Gründen abgesagt.

Die Absage hat damals einigen Wirbel verursacht. Viele in der IT-Security-Community vermuteten, dass Rigo durch juristische Drohungen dazu gedrängt worden sei. Blue Coat wies diese Vorwürfe zurück. Laut einem Blogeintrag der Firma einigte man sich auf eine Verschiebung des Vortrages, um Blue Coat die Möglichkeit zu geben, auf die Forschungsergebnisse zu reagieren.

Rigo, der für die Forschungsabteilung des Flugzeugbauers Airbus arbeitet, ging nicht näher auf die Vorfälle vom März ein, erklärte jedoch, dass der Vortrag unzensiert sei und dieselben Inhalte enthalte, die er ursprünglich auf der Syscan präsentieren wollte.

Betriebssystem ist proprietäre Eigenentwicklung

Bei den ProxySG-Produkten von Blue Coat handelt es sich um Webproxys, die den Internetdatenverkehr filtern und vor allem in großen Firmen eingesetzt werden. Kunden können das System entweder als virtuelle Maschine betreiben oder Geräte kaufen, auf denen das System vorinstalliert ist. ProxySG nutzt ein eigenes, proprietäres Betriebssystem namens SGOS, zu dem es bislang wenig öffentlich verfügbare Informationen gibt.

Die erste Hürde bei der Analyse war, dass bereits das Partitionslayout und die verwendeten Dateisysteme proprietäre Eigenentwicklungen von Blue Coat sind. Dabei kommen zwei Dateisysteme zum Einsatz: BCFS, ein Read-only-Dateisystem, auf dem das System samt Software zu finden ist, und ein weiteres Dateisystem namens CEFS, das dynamische Daten enthält. Die Analyse von CEFS ist laut Rigo schwierig, daher habe er sich auf die statischen Daten konzentriert.

Das Betriebssystem enthielt zahlreiche gängige Bibliotheken wie OpenSSL und Zlib, die als freie Software verfügbar sind, viele davon in relativ alten Versionen. Blue Coat behauptet jedoch, für sämtliche Sicherheitslücken die jeweiligen Patches zurückzuportieren. Eine besonders alte Bibliothek verwendet SGOS für die Speicherallozierung: Die Bibliothek BGET wurde bereits 1972 veröffentlicht, der Code ist Public Domain.

Alles läuft im Ring 0

Der Kernel ist für moderne Systeme ungewöhnlich. Laut Rigo läuft das gesamte System im sogenannten Ring 0, also mit den höchsten Privilegien. Sämtliche gängigen modernen Betriebssysteme trennen zwischen Kernel- und Userspace. Das letzte verbreitete Betriebssystem, das ausschließlich im Ring 0 arbeitete, war MS-DOS.

Doch die fehlende Rechtetrennung war nicht das einzige Problem in Sachen Sicherheit. Das System unterstützt keine Speicherrandomisierung (Address Space Layout Randomization, ASLR) und keine Stack Canaries. Buffer Overflows lassen sich somit einfacher ausnutzen. Das gesamte System ist in C++ geschrieben, daher ist die Gefahr von Buffer Overflows groß. Einzig nichtausführbare Speicherbereiche (NX-Pages) unterstützt SGOS als gängigen Schutzmechanismus gegen Memory-Corruption-Lücken.

Doch das ungewöhnliche Design des Betriebssystems ist laut Rigo in einigen Punkten ein Vorteil in Sachen Sicherheit. Die uralte BGET-Bibliothek bietet bereits einen Schutz von Heap-Metadaten, der manche Exploits verhindern kann. Das Read-Only-Dateisystem macht es schwerer, bei einem Angriff dauerhaft eine Hintertür im System unterzubringen. Dass das ganze System im Ring 0 läuft, führt dazu, dass fehlgeschlagene Angriffsversuche oft direkt einen Absturz verursachen, der Angreifer wird somit ausgebremst.

Von außen erreichbar sind die ProxySG-Geräte nur über einen SSH-Port und ein HTTPS-Webinterface. Das Administrationsinterface nutzt dabei browserseitiges Java. Besonders ungewöhnlich: Um gewisse Zugriffe auf das Interface durchzuführen, implementiert das Java-Applet eigene HTTPS-Aufrufe. Das Webinterface bietet angemeldeten Administratoren auch die Möglichkeit, direkt Konsolenbefehle auszuführen, allerdings sind einige Befehle dabei gefiltert.

Der Vortrag von Rigo bezog sich ausschließlich auf die Funktionsweise des Systems. Sicherheitslücken fand er dabei keine, hatte aber auch nicht explizit danach gesucht.

Blue Coat hat auf die Ergebnisse von Rigo teilweise reagiert. So enthielten bisherige Versionen von SGOS die Möglichkeit, die Software direkt mittels des GNU-Debuggers (gdb) zu analysieren. Diese Möglichkeit wurde nun entfernt. Rigo gab den Anwesenden daher den Tipp, bei der Analyse des Systems eher auf ältere Versionen zu setzen. Blue Coat hat inzwischen Hashes der Dateisystem-Images auf seiner Webseite publiziert, damit lässt sich das System auf Manipulationen prüfen. Für die Zukunft ist ein Boot-Prozess mit signierter Software geplant.

Bürgerrechtsaktivisten kritisieren Blue Coat

Die Firma Blue Coat ist umstritten. Immer wieder warfen Bürgerrechtsgruppen der Firma vor, Technik an diktatorische Regime geliefert zu haben. So fand die Gruppe Telecomix heraus, dass das syrische Regime Geräte von Blue Coat zur Überwachung von Oppositionellen genutzt hatte. Blue Coat bestritt, die Geräte wissentlich nach Syrien geliefert zu haben. Die Initiative Citizen Lab fand heraus, dass Myanmar Blue-Coat-Geräte zur Internetzensur einsetzt. Reporter ohne Grenzen führt Blue Coat auf einer Liste von Feinden des Internets.

Auch technisch gibt es Kritik an Blue Coat. Die Firma hatte in der Vergangenheit mehrfach TLS-verschlüsselte Verbindungen als Sicherheitsrisiko bezeichnet. Die Proxies von Blue Coat brechen die HTTPS-Verschlüsselung mittels einer Man-in-the-Middle-Attacke und einem im Browser manuell installierten Root-Zertifikat, um den Datenverkehr zu filtern. Diese Methode ist zwar bei Enterprise-Geräten nicht unüblich, birgt aber einige Sicherheitsrisiken.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. Saacke GmbH, Bremen
  2. ALDI SÜD, Mülheim an der Ruhr
  3. MBtech Group GmbH & Co. KGaA, Stuttgart, Sindelfingen, Neu-Ulm, Ulm
  4. Bundeskriminalamt, Wiesbaden


Anzeige
Spiele-Angebote
  1. (-80%) 2,99€
  2. 17,99€
  3. (-8%) 45,99€

Folgen Sie uns
       


  1. Star Wars - Die letzten Jedi

    Viel Luke und zu viel Unfug

  2. 3D NAND

    Samsung investiert doppelt so viel in die Halbleitersparte

  3. IT-Sicherheit

    Neue Onlinehilfe für Anfänger

  4. Death Stranding

    Kojima erklärt Nahtodelemente und Zeitregen

  5. ROBOT-Angriff

    19 Jahre alter Angriff auf TLS funktioniert immer noch

  6. Bielefeld

    Stadtwerke beginnen flächendeckendes FTTB-Angebot

  7. Airspeeder

    Alauda plant Hoverbike-Rennen

  8. DisplayHDR 1.0

    Vesa definiert HDR-Standard für Displays

  9. Radeon-Software-Adrenalin-Edition

    Grafikkartenzugriff mit Smartphone-App

  10. Datentransfer in USA

    EU-Datenschützer fordern Nachbesserungen beim Privacy Shield



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Amazon Video auf Apple TV im Hands on: Genau das fehlt auf dem Fire TV
Amazon Video auf Apple TV im Hands on
Genau das fehlt auf dem Fire TV
  1. Amazon Verkaufsbann für Apple TV bleibt bestehen
  2. Smartphone-Speicherkapazität Wie groß der Speicher eines iPhones sein sollte
  3. Mate 10 Pro im Test Starkes Smartphone mit noch unauffälliger KI

Apps und Games für VR-Headsets: Der virtuelle Blade Runner und Sport mit Sparc
Apps und Games für VR-Headsets
Der virtuelle Blade Runner und Sport mit Sparc
  1. Virtual-Reality-Benchmarks Geforce gegen Radeon in VR-Spielen
  2. Sumerian Amazon stellt Editor für Augmented und Virtual Reality vor
  3. Virtual Reality Huawei und TPCast wollen VR mit 5G streamen

Twitch, Youtube Gaming und Mixer: Weltweites Aufmerksamkeitsdefizit
Twitch, Youtube Gaming und Mixer
Weltweites Aufmerksamkeitsdefizit
  1. Kiyo und Seiren X Razer bringt Ringlicht-Webcam für Streamer
  2. Roboter Megabots kündigt Video vom Roboterkampf an
  3. Free to Play World of Tanks bringt pro Nutzer und Monat 3,30 Dollar ein

  1. Re: Hört mal auf mit diesem Blödsinn

    medium_quelle | 04:18

  2. Re: Golem Was soll das? Überschrift geht ja garnicht

    DAUVersteher | 04:01

  3. Re: Keine Lust auf schwere, komplexe Kämpfe?

    motzerator | 03:46

  4. Re: Das wird total abgefahren....

    ChristianKG | 03:31

  5. Re: Für was der Bedarf an Wildcard-Zertifikaten?

    ManfredHirsch | 03:23


  1. 18:40

  2. 17:11

  3. 16:58

  4. 16:37

  5. 16:15

  6. 16:12

  7. 16:01

  8. 15:54


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel