717498

Aktiver Angriff: Gefahren durch Active X

Anforderung

Zeitaufwand

Im Zusammenhang mit Active X werden immer neue Sicherheitslücken bekannt. Welche Risiken bestehen beim Einsatz von Active X und Java?

Sicherheitslücken sind bei Active X schon im Konzept vorprogrammiert. Active-X-Controls sind nichts anderes als kleine Programme, die über das Internet geladen und durch Microsofts Internet Explorer gestartet werden. Active-X-Programme haben wie alle anderen Windows-Programme auch Zugriff auf alle Systemressourcen und können beliebige Operationen ausführen - ein Video abspielen oder auch Ihre Daten löschen. Wenn das Programm sich erst einmal auf der Festplatte befindet, ist es außerhalb Ihrer Kontrolle. Über ein paar einfache Zeilen HTML-Code wird das Active-X-Programm aktiviert und startet dann ohne Ihr weiteres Zutun.Beispiele für das grundlegende Verfahren finden Sie reichlich im Internet. Besonders eindrucksvoll werden Sicherheitslücken durch den "Internet-Exploder" (!) von Fred McLain demonstriert. Den Programmcode und eine Demoseite finden Sie unter http://www.halcyon.com/mclain/ActiveX. Sie müssen zuerst die Datei EXPLODER.OCX laden und dann eine Seite, die das Active-XControl ausführt. Auf dem Bildschirm erscheint jetzt ein Countdown, der anzeigt, daß Windows in 10 Sekunden heruntergefahren wird. Genauso könnte jetzt auch ein Virus auf Ihren Rechner transportiert oder die Festplatte neu formatiert werden.Einen Schutz sollen die zahllosen Warnhinweise des Internet Explorers bieten. Immer wenn eine Datei geladen oder ausgeführt wird, erscheint eine Auswahl, die es Ihnen ermöglicht, die Datei auf Festplatte zu speichern oder zu öffnen. Sie werden diese ständigen Hinweise nach einiger Zeit aber entweder überhaupt nicht mehr lesen oder die störenden Sicherheitsfunktionen deaktivieren. Bei Active-X-Programmen haben Sie zudem nur die Option, den Ladevorgang abzubrechen und auf das Programm ganz zu verzichten.

Aber auch wenn Sie keine neuen Active-X-Controls aus dem Internet laden, droht Gefahr. Vielleicht befindet sich schon eine OCX-Datei auf Ihrem Rechner, deren Funktionen sich ein Hacker zunutze machen kann. Der Internet Explorer warnt nur dann, wenn Sie eine neue Datei laden und nicht, wenn auf ein Active-X-Control zugegriffen wird. Eine Gefahr stellen alle Scriptfähigen OCX-Dateien dar, die externe Programme, wie Format oder Deltree ausführen können. Ein Beispiel dafür ist die Datei TUNEOCX.OCX aus Symantecs Norton Utilities 2.0. Wenn Sie diese Software zusammen mit dem Internet Explorer auf Ihrem Rechner installiert haben, sollten Sie sich bald um ein Update bemühen. Informationen finden Sie im Internet unter http:\\www.symantec.com.Bei Java-Programmen bestehen keine vergleichbaren Gefahren. Die Kontrolle über den Programmcode liegt immer bei der virtuellen Java-Maschine, ohne die kein Java-Programm läuft. Diese ist in den Internet-Browser integriert, oder sie liegt als eigenes Programm auf Ihrer Festplatte. Im ersten Fall wird Java-Programmen keinSchreibzugriff auf die Festplatte gewährt, und es können auch keine externen Programme ausgeführt werden. Im zweiten Fall wird erst das Java-Programm über das Internet geladen und dann zusammen mit der virtuellen Java-Maschine ausgeführt. Dieser Vorgang erfolgt nicht automatisch und bleibt damit unter Ihrer Kontrolle. Erst mit Ihrer Erlaubnis werden lokale Daten gelesen und geschrieben.Mehr zu den Sicherheitsproblemen, die Active X aufwirft, lesen Sie in dieser PC-WELT ab Seite 154.

PC-WELT Marktplatz

717498