Drei Tage lang – vom 27. bis 29. Dezember 2001 – drehte sich im “Haus am Köllnischen Park” in Berlin alles um die Themen Technologie, Gesellschaft und Utopie.

Die Besucher beim 18. Chaos Communication Congress erwarteten fast 80 Vorträge und Workshops zu vielen Themen. Es ging um Informationstechnologie, Computersicherheit, Internet, Kryptographie, doch auch der kritisch-schöpferische Umgang mit Technologie und Diskussionen über die Auswirkungen technologischer Entwicklung auf die Gesellschaft kamen nicht zu kurz.

Für Roboter und technische Basteleien wurde ein separates Labor eingerichtet, im Vorjahr mussten sich Lego Mindstorms & Co. ihren Weg durch das Hack- Center bahnen. Das Art & Beauty-Projekt zeigte Kunst mit und am Computer und im wohl geordneten Chaos-Archiv fanden sich Computer- und Hacker-Geschichten der letzten 20 Jahre. Zeitgleich wurde die fünfte Deutsche Meisterschaft im Schlossöffnen veranstaltet.

Hurd hurts?

Neal H. Walfield gab in seinem Vortrag “The Hurd: Unix Redesigned” eine kurze Einführung in GNU/Hurd. Das dem Hurd-Kernel zugrunde liegende Microkernel-Konzept erlaubt es, Treiber wie normale Prozesse einzubinden – ein Fehler im Treiber lässt so Kernel nicht abstürzen. Zudem laufen Daemons als Anwendungen und niemals mit Root-Rechten, in der Regel sogar ohne UID. Probleme wie etwa bei FTP, das zur Benutzeranmeldung Root-Rechte benötigt, entfallen. Hurd basiert treiberseitig auf Linux 2.0.38.

Debian GNU/Hurd bietet fertige CD-Images zum Probieren an, eine Mirror-Liste steht bei [www.debian.org/ports/hurd/hurd-cd]. Die Images sind bootfähig und basieren auf Debian GNU/Linux für x86.

L4 meets Hurd

Im Umfeld des CCC kam es zu einem spontanen Arbeitstreffen der anwesenden Hurd- und L4-Microkernel-Entwickler [www.l4ka.org]. Der GNU-Mach-Kernel gilt längst als langsam und veraltet, weshalb über Anpassung des schnellen L4Ka-Microkernels aus Karlsruhe nachgedacht wird. Man hofft auch, auf Ergebnisse des inzwischen aufgegebenen L4-MultiOS-Projekts Sawmill [www.research.ibm.com/sawmill] von IBM zurückgreifen zu können. Es verspricht schon bald einen deutlichen Schub bei der Geschwindigkeit des Hurd-Kernels.

Security überall

Auffällig war die Verschiebung der Vortrags-Schwerpunkte, fast alles ging um Security, Privacy und Datenschutz. So im TCP-Hijacking-Workshop von Stefan Krecher, wo unter anderem das Abfangen von SSL-Web-Sessions demonstriert wurde. Auch mit dem Irrglauben, ein Switch könnte das Abfangen von Paketen verhindern, wurde gründlich aufgeräumt: Durch so genanntes ARP-Cache-Poisioning, bei dem ein Angreifer dem Switch eine falsche MAC-Adresse für die Client-IP unterschiebt, leitet der Switch die Datenpakete an alle Ports weiter und arbeitet somit wie ein Hub. Weitere Infos dazu unter [www.krecher.de/].

Schwerpunkt der meisten Vorträge auf dem 18. Chaos Communication Congress war der Bereich Security, Privacy und Datenschutz.

Distributed Portscans

Das Motto dieses Vortrags von Michael R. Koellejan und Jens Ohlig war “Portscannen ist wie Schaufenstergucken und voll legal”. Immer mehr Firewalls werden jedoch so konfiguriert, dass beim Scannen bestimmter, sonst unbenutzter Ports die IP gesperrt wird, ein Portscan also nicht komplett durchführbar ist. Das Porz-Projekt [http://porz.org/] verteilt den Scan, so dass jeder Port von einer anderen IP gescannt wird.

Der Scanner erweitert Standardwerkzeuge wie »nmap« und verwendet ein eigenes Protokoll für die Kommunikation zwischen Master, Intermediates und Slaves. Das Porz-Team des CCC Cologne [http://koeln.ccc.de] schlägt in dem fast fertigen Internet-Draft [http://porz.org/files/draft-snsp.txt] ein SMTP-ähnliches Protokoll SnSP (Simple Network Scanning Protocol) als Standard vor. SnSP ist ein flexibles Protokoll, das nicht einen speziellen Client benötigt, sondern beispielsweise über eine Telnet-Verbindung genutzt werden kann. Ein entsprechendes TCL/Tk-Front-End für Linux ist bereits verfügbar.

Auch über eine Art Suchmaschine, die Scans durchführt, denkt das Porz-Team nach. Es sieht die Möglichkeit, diese Dienste unter dem Titel “Pay per Scan” auf Anfrage Kunden anzubieten, denn für ein Unternehmen ist es durchaus interessant zu wissen, welche Ports des Firmennetzwerks von außen erreichbar sind. Weiter möchte das CCC-Cologne-Team eine Datenbank mit den offenen Ports aufbauen, um so bisher versteckte Dienste aufzuspüren und auf Sicherheitsbelange aufmerksam zu machen. Weitere Infos sind unter [http://porz.org/files/18C3DistributedPortscanning .pdf] abrufbar.

Crypto-Filesysteme

Im Workshop “Praktischer Einsatz von Crypto-Filesystemen” von Frank Rieger, Volker Birk und Frank Rosengart ging es um rechtliche und technische Problemstellungen bei verschlüsselten oder steganographischen Dateisystemen. Rechtlich stellt sich zum Beispiel die Frage der Offenlegung verschlüsselter Daten gegenüber Behörden, die mit Beugehaft erzwungen werden könnte.

Technisch sind etwa die Themen Kennwortwechsel und Tastaturlogging nicht ausdiskutiert. Auch Swap-Bereiche sind derzeit meist unverschlüsselt und machen es dem Angreifer leicht, entschlüsselte Speicherbereiche zu lesen. Ebenso müssen Backups verschlüsselt und Laptops schon bei Aktivierung des Sleep-Modus gesichert werden.

Runtime Binary Encryption

Eine völlig neue Angriffstechnik wird mit der Arbeit des Team Teso [www.team-teso.net] möglich. Scut zeigte im bis auf den letzten Platz belegten Vortragssaal die Möglichkeiten der Verschlüsselung von ELF-Binaries. Dabei handelt es sich um das Programm Blackeye, mit dem sich Unix-ELF-Executables verschlüsseln lassen. Ein solches Programm wird nur nach Eingabe der korrekten Passphrase ausgeführt. Nützlich ist das beispielsweise, um Reengineering zu verhindern.

Für das Hacker-Publikum des CCC bietet Blackeye jedoch sehr viel weiter reichende Möglichkeiten: Neben reiner Verschlüsselung und Passwortschutz soll es möglich sein, die Ausführbarkeit von nahezu beliebigen Eigenschaften des Hostsystems (Dateisystem wie auch Netzwerkumgebung) abhängig zu machen. So könnte ein gehacktes Programm seinen Dienst versagen, wenn der Rechner zur forensischen Analyse in ein anderes Netzwerk gehängt wird.

Ein mit Blackeye versiegeltes Programm kann zudem nicht mit Unix-Bordmittel wie »ldd«, »ltrace«, »strace«, »gdb« oder auch »objdump« analysiert werden, da alle herkömmlichen Unix-Analyseprogramme mehr oder weniger auf die Zusammenarbeit mit den analysierten Programmen angewiesen sind.

Für Systemadministratoren bedeutet die Existenz von Blackeye, dass sich künftig gehackte Programme im System befinden könnten, deren Funktion sich auch mit bestem Willen nicht in Erfahrung bringen lässt. Mehr noch: Einfaches Löschen eines verdächtigen Programms hilft nicht viel; der Hacker kann zurückkehren und sein verschlüsseltes Programm mit einem schlichten Undelete-Befehl wiederbeleben, was auch praktisch vorgeführt wurde.

Die Einzelheiten zu Blackeye sind in der aktuellen Ausgabe Nr. 58 des Phrack-Magazins unter [www.phrack.com/show .php?p=58&a=5] nachzulesen, für eigene Tests findet man Source- und Binärpakete auf [http://www.team-teso.net/releases.php]. (mdö)