G 4.10 Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen
Im Gegensatz zu Stand-alone-Systemen, bei denen im wesentlichen der Login-Prozess für die Zugangskontrolle verantwortlich ist und die somit nur durch schlechte oder fehlende Passwörter korrumpiert werden können, gibt es auf Netzrechnern sehr viele komplexe Prozesse, die die verschiedensten Arten von Zugängen erlauben. So ermöglicht z. B. unter Unix der sendmail-Daemon das Einbringen von Texten (E-Mails) in den Netzrechner, der FTP-Daemon einen, wenn auch etwas eingeschränkten, Login, der u. U. (anonymous FTP) nicht einmal durch ein Passwort geschützt ist, der telnet-Daemon einen kompletten Login.
Server-Systeme wie Windows NT oder Novell Netware vermeiden aus Sicherheitsgründen die Übertragung von Klartext-Passwörtern. Dieser Schutzmechanismus wird jedoch durch den Einsatz von Diensten wie FTP oder Telnet unterlaufen, da hier wieder Klartext-Passwörter Verwendung finden.
Abgesehen davon, dass alle diese Prozesse durch eine falsche oder fehlerhafte Konfiguration eine Sicherheitslücke darstellen können, ist auf Grund ihres Umfanges natürlich auch die Wahrscheinlichkeit, dass in einem dieser Prozesse ein sicherheitsrelevanten Programmierfehler ist, wesentlich größer.
Es gibt zahlreiche verschiedene Möglichkeiten, ein z/OS-System an interne und öffentliche Netze anzubinden. Es sind Zugriffe über SNA und TCP/IP, z. B. FTP, TELNET oder Browser, möglich. Viele der von Unix-Installationen bekannten Netzfunktionen können unter den Unix System Services von z/OS verwendet werden. Diese Vielfalt der Anschlussmöglichkeiten macht eine sichere Netzkonfiguration der z/OS-Systeme sehr komplex.
Beispiel:
- Einem externen Angreifer gelang es, die Benutzerkennung und das Passwort für eine hochautorisierte Anwendung unter z/OS zu ermitteln. Obwohl die Kennung über kein TSO-Segment verfügte, konnte der Angreifer einen Batch-Job über FTP direkt in das JES2 einbringen und ausführen lassen. Da der Job-Output ebenfalls über FTP ausgelesen werden konnte, war dadurch der Zugriff auf vertrauliche Daten möglich.