Abo
  • Services:
Anzeige
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile.
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile. (Bild: Blue Coat)

ProxySG: Einblick ins Betriebssystem von Blue Coat

Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile.
Einblicke ins ungewöhnliche Betriebssystem von Blue Coat - dessen Design hat Vor- und Nachteile. (Bild: Blue Coat)

Der Sicherheitsforscher Raphaël Rigo hat sich das Betriebssystem von Geräten der Firma Blue Coat angesehen. Dem proprietären System fehlen moderne Sicherheitsmechanismen wie Stack Canaries oder ASLR.

Anzeige

Ursprünglich wollte der IT-Sicherheitsexperte Raphaël Rigo bereits auf der Syscan-Konferenz in Singapur seine Forschungsergebnisse über die ProxySG-Geräte von Blue Coat veröffentlichen. Doch der Vortrag wurde aus nicht genannten Gründen abgesagt.

Die Absage hat damals einigen Wirbel verursacht. Viele in der IT-Security-Community vermuteten, dass Rigo durch juristische Drohungen dazu gedrängt worden sei. Blue Coat wies diese Vorwürfe zurück. Laut einem Blogeintrag der Firma einigte man sich auf eine Verschiebung des Vortrages, um Blue Coat die Möglichkeit zu geben, auf die Forschungsergebnisse zu reagieren.

Rigo, der für die Forschungsabteilung des Flugzeugbauers Airbus arbeitet, ging nicht näher auf die Vorfälle vom März ein, erklärte jedoch, dass der Vortrag unzensiert sei und dieselben Inhalte enthalte, die er ursprünglich auf der Syscan präsentieren wollte.

Betriebssystem ist proprietäre Eigenentwicklung

Bei den ProxySG-Produkten von Blue Coat handelt es sich um Webproxys, die den Internetdatenverkehr filtern und vor allem in großen Firmen eingesetzt werden. Kunden können das System entweder als virtuelle Maschine betreiben oder Geräte kaufen, auf denen das System vorinstalliert ist. ProxySG nutzt ein eigenes, proprietäres Betriebssystem namens SGOS, zu dem es bislang wenig öffentlich verfügbare Informationen gibt.

Die erste Hürde bei der Analyse war, dass bereits das Partitionslayout und die verwendeten Dateisysteme proprietäre Eigenentwicklungen von Blue Coat sind. Dabei kommen zwei Dateisysteme zum Einsatz: BCFS, ein Read-only-Dateisystem, auf dem das System samt Software zu finden ist, und ein weiteres Dateisystem namens CEFS, das dynamische Daten enthält. Die Analyse von CEFS ist laut Rigo schwierig, daher habe er sich auf die statischen Daten konzentriert.

Das Betriebssystem enthielt zahlreiche gängige Bibliotheken wie OpenSSL und Zlib, die als freie Software verfügbar sind, viele davon in relativ alten Versionen. Blue Coat behauptet jedoch, für sämtliche Sicherheitslücken die jeweiligen Patches zurückzuportieren. Eine besonders alte Bibliothek verwendet SGOS für die Speicherallozierung: Die Bibliothek BGET wurde bereits 1972 veröffentlicht, der Code ist Public Domain.

Alles läuft im Ring 0

Der Kernel ist für moderne Systeme ungewöhnlich. Laut Rigo läuft das gesamte System im sogenannten Ring 0, also mit den höchsten Privilegien. Sämtliche gängigen modernen Betriebssysteme trennen zwischen Kernel- und Userspace. Das letzte verbreitete Betriebssystem, das ausschließlich im Ring 0 arbeitete, war MS-DOS.

Doch die fehlende Rechtetrennung war nicht das einzige Problem in Sachen Sicherheit. Das System unterstützt keine Speicherrandomisierung (Address Space Layout Randomization, ASLR) und keine Stack Canaries. Buffer Overflows lassen sich somit einfacher ausnutzen. Das gesamte System ist in C++ geschrieben, daher ist die Gefahr von Buffer Overflows groß. Einzig nichtausführbare Speicherbereiche (NX-Pages) unterstützt SGOS als gängigen Schutzmechanismus gegen Memory-Corruption-Lücken.

Doch das ungewöhnliche Design des Betriebssystems ist laut Rigo in einigen Punkten ein Vorteil in Sachen Sicherheit. Die uralte BGET-Bibliothek bietet bereits einen Schutz von Heap-Metadaten, der manche Exploits verhindern kann. Das Read-Only-Dateisystem macht es schwerer, bei einem Angriff dauerhaft eine Hintertür im System unterzubringen. Dass das ganze System im Ring 0 läuft, führt dazu, dass fehlgeschlagene Angriffsversuche oft direkt einen Absturz verursachen, der Angreifer wird somit ausgebremst.

Von außen erreichbar sind die ProxySG-Geräte nur über einen SSH-Port und ein HTTPS-Webinterface. Das Administrationsinterface nutzt dabei browserseitiges Java. Besonders ungewöhnlich: Um gewisse Zugriffe auf das Interface durchzuführen, implementiert das Java-Applet eigene HTTPS-Aufrufe. Das Webinterface bietet angemeldeten Administratoren auch die Möglichkeit, direkt Konsolenbefehle auszuführen, allerdings sind einige Befehle dabei gefiltert.

Der Vortrag von Rigo bezog sich ausschließlich auf die Funktionsweise des Systems. Sicherheitslücken fand er dabei keine, hatte aber auch nicht explizit danach gesucht.

Blue Coat hat auf die Ergebnisse von Rigo teilweise reagiert. So enthielten bisherige Versionen von SGOS die Möglichkeit, die Software direkt mittels des GNU-Debuggers (gdb) zu analysieren. Diese Möglichkeit wurde nun entfernt. Rigo gab den Anwesenden daher den Tipp, bei der Analyse des Systems eher auf ältere Versionen zu setzen. Blue Coat hat inzwischen Hashes der Dateisystem-Images auf seiner Webseite publiziert, damit lässt sich das System auf Manipulationen prüfen. Für die Zukunft ist ein Boot-Prozess mit signierter Software geplant.

Bürgerrechtsaktivisten kritisieren Blue Coat

Die Firma Blue Coat ist umstritten. Immer wieder warfen Bürgerrechtsgruppen der Firma vor, Technik an diktatorische Regime geliefert zu haben. So fand die Gruppe Telecomix heraus, dass das syrische Regime Geräte von Blue Coat zur Überwachung von Oppositionellen genutzt hatte. Blue Coat bestritt, die Geräte wissentlich nach Syrien geliefert zu haben. Die Initiative Citizen Lab fand heraus, dass Myanmar Blue-Coat-Geräte zur Internetzensur einsetzt. Reporter ohne Grenzen führt Blue Coat auf einer Liste von Feinden des Internets.

Auch technisch gibt es Kritik an Blue Coat. Die Firma hatte in der Vergangenheit mehrfach TLS-verschlüsselte Verbindungen als Sicherheitsrisiko bezeichnet. Die Proxies von Blue Coat brechen die HTTPS-Verschlüsselung mittels einer Man-in-the-Middle-Attacke und einem im Browser manuell installierten Root-Zertifikat, um den Datenverkehr zu filtern. Diese Methode ist zwar bei Enterprise-Geräten nicht unüblich, birgt aber einige Sicherheitsrisiken.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. SYNLAB Holding Deutschland GmbH, Hamburg
  2. Robert Bosch GmbH, Stuttgart-Vaihingen
  3. OPERATIONAL SERVICES GMBH & CO. KG, Berlin, Dresden, Frankfurt am Main, München
  4. Daimler AG, Stuttgart


Anzeige
Blu-ray-Angebote
  1. 1 Monat für 1€

Folgen Sie uns
       


  1. Luminar

    Lightroom-Konkurrenz bringt sich in Stellung

  2. Kleinrechner

    Tim Cook verspricht Update für Mac Mini

  3. Elektrorennwagen

    VW will elektrisch auf den Pikes Peak

  4. Messung

    Über 23.000 Funklöcher in Brandenburg

  5. Star Wars Battlefront 2 Angespielt

    Sternenkrieger-Kampagne rund um den Todesstern

  6. Nach Wahlniederlage

    Netzpolitiker Klingbeil soll SPD-Generalsekrektär werden

  7. Adasky

    Autonome Autos sollen im Infrarot-Bereich sehen

  8. Münsterland

    Deutsche Glasfaser baut weiter in Nordrhein-Westfalen aus

  9. Infineon

    BSI zertifiziert unsichere Verschlüsselung

  10. R-PHY- und R-MACPHY

    Kabelnetzbetreiber müssen sich nicht mehr festlegen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Flettner-Rotoren: Wie Schiffe mit Stahlsegeln Treibstoff sparen
Flettner-Rotoren
Wie Schiffe mit Stahlsegeln Treibstoff sparen
  1. Hyperflight China plant superschnellen Vactrain
  2. Sea Bubbles Tragflächen-Elektroboote kommen nach Paris
  3. Honolulu Strafe für Handynutzung auf der Straße

Cybercrime: Neun Jahre Jagd auf Bayrob
Cybercrime
Neun Jahre Jagd auf Bayrob
  1. Antivirus Symantec will keine Code-Reviews durch Regierungen mehr
  2. Verschlüsselung Google schmeißt Symantec aus Chrome raus
  3. Übernahme Digicert kauft Zertifikatssparte von Symantec

Passwortmanager im Vergleich: Das letzte Passwort, das du dir jemals merken musst
Passwortmanager im Vergleich
Das letzte Passwort, das du dir jemals merken musst
  1. 30.000 US-Dollar Schaden Admin wegen Sabotage nach Kündigung verurteilt
  2. Cyno Sure Prime Passwortcracker nehmen Troy Hunts Hashes auseinander
  3. Passwortmanager Lastpass ab sofort doppelt so teuer

  1. Darum wird sich Linux nie so richtig durchsetzen

    AllDayPiano | 07:11

  2. Re: Man müsste mal den Elektrosmog messen, der...

    Cavaron | 07:10

  3. Re: 23 Elektroautos bis zum Jahr 2013

    Manto82 | 07:10

  4. Re: Zitat: "Der Akku, der vorn im Fahrzeug...

    _Pluto1010_ | 06:58

  5. Re: Regierung kann die Betreiber nicht zwingen

    tearcatcher | 06:49


  1. 07:28

  2. 07:13

  3. 18:37

  4. 18:18

  5. 18:03

  6. 17:50

  7. 17:35

  8. 17:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel