Reverse Engineering bei Software – Eine kleine Geschichte, Probleme und Lösungen

Einleitung
Reverse Engineering in der EDV bezeichnet den Vorgang bei dem man versucht, den Quellcode aus dem Binärcode wieder zurückzugewinnen. Dies geschieht zum Beispiel, indem ein ausführbares Programm oder eine Programmbibliothek analysiert wird. Des Weiteren besteht die Möglichkeit Disassemler oder Decompiler zu nutzen. Es gibt hierzu sogar einen Paragraphen im deutschen UrhG (http://bundesrecht.juris.de/urhg/__69e.html). Doch wo liegen Probleme und Gefahren im Reverse Engineering?

Eine kleine Geschichte
Als CED letztens wieder einmal als Qualitätssicherer unterwegs war, analysierten wir wie immer sämtliche Programmkomponenten. Eine Analyse der ausführbaren Programmdatei nach dem Reverse Engineering-Prinzip ergab im Klartext den FTP-Server, den das Programm nutze, um Updates zu laden. Neben dem Servernamen fanden wir auch das Passwort – ebenfalls im Klartext. Dadurch konnten wir auf den FTP-Server des Herstellers mit Lese- und Schreibrechten zugreifen und beliebig Dateien verändern. Es war auch möglich, Dateien hochzuladen, die sich gegenüber der Software als Update ausgeben. Dadurch hätte ein Angreifer Schadcode auf den PC des Endverbrauchers laden können.

Probleme
Manche Programmiersprachen übersetzen den Quellcode nicht vollständig in Maschinencode. So ist es hier meist leicht, Klartext aus der fertigen Datei zu filtern. Zwar bleiben Kommentare (die meistens beim Kompilieren entfernt werden) oder lokale Objektnamen meistens gut versteckt, aber in der Regel findet man sämtliche Befehle und Abfragen, wodurch eine teilweise Herstellung des Programmcodes möglich bleibt. Das Problem ist, wie in der kleinen Geschichte beschrieben, meistens mit Sicherheitsrisiken verbunden. Wer will schon, dass sein Computer mit Viren verseucht wird, weil er ein Updates geladen hat, das gar keins war? Welcher Entwickler will die wochenlange Arbeit von seinem FTP-Server gelöscht haben? Des Weiteren ließen sich mit Reverse Engineering Kopierschutzmechanismen aushebeln, da dabei Verhaltensmuster der Software abgefragt werden können.

Lösungen
Klartext im Programmcode lässt sich meistens nur durch Verschlüsselung umgehen. Im Fall der kleinen Geschichte hätte man also entweder ganz auf die FTP-Einwahl verzichtet oder das Passwort sowie den Namen der FTP-Daten verschlüsselt online hinterlegt. Die Software hätte sie dann eingelesen, entschlüsselt und sich dann eingewählt. Allerdings müsste dann auch der ausgehende Netzwerkverkehr durch die Software verschlüsselt werden, denn sonst könnte man mit einem Netzwerkanalyse-Tool das Passwort bei der Abfrage wieder auslesen. Viele Weitere Ansätze finden Sie auch im englischsprachigen Reverse Engineering-Forum (http://www.reverse-engineering.net/).

Das Problem mit Social Engineering und dem schnell erdachten Passwort

Einleitung
Wer kennt es nicht „Bitte wählen Sie Ihr persönliches Kennwort:“? Kurz nachgedacht und schon fällt einem ein Passwort ein. Sei es die Lieblingsfarbe, -automarke, der Name des Freundes oder der letzte Urlaubsort. Dies sind alles Ihre persönlichen Daten und es stellt alles eine grobe Verletzung von logischen Sicherheitsvorkehrungen dar.

Szenario
Stellen Sie sich einmal vor, Ihr Geburtsdatum sei der 09.01.1981. Ihr Nachname ist Schröder und Sie besuchen die Uni Campus. Ihr Cybernick ist GeRaLD81 und Sie benutzen diverse soziale Internetplattformen. An sich sind dies einzeln betrachtet noch keine wirklich gefährdenden Informationen.
Nun stellen Sie sich vor, es gibt jemanden, der Sie nicht besonders mag. Er verfolgt auch keine guten Absichten. Eine Suche bei Google nach „GeRaLD81″ zeigt Ihren Account bei drei Internetplattformen. Bei einer haben Sie Ihren Wohnort angegeben, bei der anderen, dass Sie studieren. Eine genaue Recherche des Angreifers ergab nun auch Ihr Geburtsdatum, Ihren Familiennamen und Ihr Lieblingsfahrzeug – im Zeitalter des WWW kein Problem (suchen Sie doch mal sich!).
Angenommen Ihre Uni generiert die Passwörter aus Nachnamen plus Geburtsdatum (hier also „Schroeder09011981″), hätte der Angreifer schon Zugang zum Uni-Account. Sollten Sie dieses Passwort woanders auch nutzen, bekommt er weitere Zugänge.

Großes Gefahrenpotenzial
Bekommt der Angreifer erstmal Zugang zu Ihrem Haupt-E-Mail-Account, sind unabsehbare Sicherheitsrisiken vorhanden. Hier ein weiteres realitätsnahes Szenario: Sie haben einen E-Mail-Account bei yahoo.de. Der Angreifer klickt dort auf „ID oder Passwort vergessen?“. Er gibt dann Ihre ID (gerald81) und den angezeigten Code ein. Im nächsten Schritt folgen die Abfrage des Geburtsdatums, Wohnlandes und PLZ – alles bereits feststehend. Im letzten Schritt wird nach der Lieblingsautomarke gefragt – und das war es. Der Angreifer kann im Folgefenster ein neues Passwort wählen und somit alle Anmeldungen bei anderen Internetseiten, die über das E-Mail-Konto laufen auch übernehmen.

 

Realitätsfern?
Nein! Denn im Zeitalter des so genannten Web 2.0 und soziale Netzwerke wie Sand in der Wüste geben wir alle oft persönliche Informationen preis, die einzeln betrachtet zwar irrelevant erscheinen, doch kombiniert man diese und recherchiert tiefer, lassen sich umfangreichste Profile erstellen. So können fünf unwichtige Informationen eine sensible bilden. Des Weiteren erfolgt die oben genannte „Passwort vergessen?“-Abfrage bei annährend allen registrierpflichtigen Webseiten.

Sicherheitstipps

• Zunächst einmal sollten Sie ganz genau darauf achten, wo Sie wie viele Daten über sich preisgeben. Manchmal ist dies gar nicht notwendig oder sehr unbewusst. Nur mal angenommen, Sie haben auf irgendeiner Internetseite ein Profil mit Gästebuch. Dort schreibt jemand etwas zu Ihrem süßen, kleinen Hund „Zubi“. „Und?“, werden Sie eventuell denken. Wird aber bei der „Passwort wiederherstellen“-Befragung nach dem Namen Ihres Haustieres gefragt, müssten Sie nun erkennen, was daran problematisch ist.
• Legen Sie sich eine Passwortdatei an. Dazu reicht eine simple Textdatei. Schreiben Sie dort die Webseite, zu der das Passwort gehört und das Passwort auf. Wählen Sie niemals zweimal das gleiche Passwort! Wer den einen Account hackt, kommt dann auch in alle anderen und übernimmt so Ihre komplette Online-Identität. Im Idealfall ändern Sie Ihre Passwörter regelmäßig.
• Verwenden Sie sichere Passwörter mit einer Kombination aus Zahlen, Groß- und Kleinbuchstaben und Sonderzeichen. Niemals Wörter oder „nur Zahlen“-Kennwörter benutzen!
• Nutzen Sie die Maximallänge des Passwortes, soweit die Webseite eine vorgibt. 20-30 Zeichen sind ausreichend. Weniger 10 ist sicherheitstechnisch stark bedenklich!
• Löschen Sie alte Accounts, denn diese müllen das Internet zu und sorgen nur für unnötige Risiken.

Das nötige Bewusstsein

Obwohl es sehr viele Beiträge im Internet gibt, die die hier angesprochene Thematik behandeln, gibt es immer noch zu viele Personen, die trotzdem unsichere Passwörter verwenden und endlose Informationen von sich öffentlich zur Schau stellen. Das alles läuft meistens so lange, „bis etwas passiert“. Bloß von diesem Ablauf müssen wir wegkommen. Wer würde denn seine Haustür den ganzen Tag aufstehen lassen, bis irgendwann das Haus leergeklaut ist? Oder das Auto täglich unabgeschlossen in die Innenstadt stellen, bis es geklaut wird? Prävention und eine Sensibilität, ein Bewusstsein für Datenmanagement im Onlinebereich muss geschaffen werden.

 

Danke an Eingeproggt für den Rechtschreibhinweis!

Portrait: BMW 118d

Einleitung

„Der süße, kleine BMW 118d“ denkt man maximal solange, bis man den Motor startet und ein paar Meter fährt. Er kann auch das, was seine großen Geschwister können. Technik und Fahrspaß in einem Auto der Premiummarke BMW für wenig Geld.

Ausstattung

Der gefahrene BMW hat bereits ca. 27000 km zurückgelegt und ist 11 Monate alt. Schon wenn man den Schlüssel in der Hand hält, dürfte man bemerken, dass es sich nur um einen Plastikschlüssel mit Chip handelt, in dem der eigentliche Schlüssel steckt, den man aber normalerweise nicht benötigt. Einfach einsteigen, den kompletten Schlüssel in die vorgesehene Öffnung im Armaturenbrett stecken. Dann die Kupplung treten und den Start/Stop-Engine-Knopf drücken und der Motor läuft. Die Einstellung der Spiegel erfolgt elektronisch durch eine Einrichtung in der Fahrertür und alle Fenster lassen sich elektrisch hoch und runter fahren. Auf den hinteren Plätzen des Fünftürers sitzt man schon sehr eingeengt, der Kofferraum hingegen bietet für tägliche Einkäufe und ähnliches viel Platz.

Der heckgetriebene BMW lässt sich sehr gut steuern (Aktivlenkung) und reisst auch nicht aus (DSC und DTC). Auf der Autobahn läuft er laut Tachoanzeige bis 215km/h bei 2600 Umdrehungen im sechsten Gang. Vor roten Ampeln, Staus oder kurzen Wartevorgängen, reicht das Herausnehmen des Gangs und Loslassen der Kupplung und schon schaltet sich der Motor dank Start-Stop-Funktion ab. Sollte es weitergehen, genügt das Treten der Kupplung und der Motor springt wieder an. Nach gefahrenen 400km (200km innerorts, 200km außerorts) schluckt der Kleine nur 18,5 Liter, das ist ein Verbrauch von knapp 4,6 Liter/100km. Neben diesen Ausstattungsmerkmalen gibt es noch viele optionale Komponenten. Zum Beispiel Navi mit iDrive, Komfortzugang, Abbiegelicht und Tagfahrlicht. Mit seinen 143 PS (105kW) bewegt er sich bis zum vierten Gang flink vorwärts (0-100km/h = 8,9 Sekunden), ab 170km/h wird die Beschleunigung aber spürbar weniger.

Fazit
Die gute Verarbeitung des kleinen BMW und der sportliche Touch machen den 118d sehr einfach zu beherrschen und Fahrspaß ist auf jeden Fall gegeben. Allerdings stören Kleinigkeiten: Beispielsweise erfolgt kein akustischer Hinweis beim Anlassen des Lichts, wenn man das Fahrzeug verlässt. Tempomat, Automatik-Licht und Automatik-Scheibenwischer gehören auch nicht zur Basisausstattung, allerdings sollte das eher wenig stören. Aufgrund seines niedrigen Verbrauchs ist der BMW 118d aber auf jeden Fall ein empfehlenswertes Fahrzeug für Vielfahrer, die Premiummarken bevorzugen.