Netzpolitik
Erste ernste Sicherheitslücke in Windows 2000
Komplette Kontrolle eines Systems aus der Ferne möglich
In der allgemeinen Aufregung über das
vermeintliche Regierungs-Hintertürchen NSAKEY, das
Microsoft in Windows NT integriert haben soll, droht eine weitaus realere Gefahr weitgehend
unbemerkt zu bleiben. Die aktuelle Beta-3-Version des NT-4-Nachfolgers Windows 2000 besitzt
nach Erkenntnissen von David Litchfield, einem IT-Berater bei Arca Systems, erhebliche
Sicherheitslücken.Das Problem wird durch die "Autologin"-Funktion von Windows 2000 verursacht
Auf Rechnern, die
nicht mit einer Domain verbunden sind, also auf der überwiegenden Zahl von Heim-PCs, legt die
Windows 2000-Installationsroutine ungefragt einen "Autologin"-Account an, der mit
Administrationsrechten ausgestattet ist und kein Paßwort erfordert. Aktiviert ein Nutzer
beispielsweise den Telnet-Server von Windows 2000, könnte sich ein Hacker per nbtstat-Befehl in
den Rechner einloggen, den Autologin aufspüren und damit völlige Kontrolle über das System
übernehmen.
Was das Problem noch verschärft: der für einen solchen Angriff benötigte Telnet-Server kann über
ein simples Visual-Basic-Script, das sich in jedem HTML-Dokument verbergen kann, sogar aus der
Ferne gestartet werden. Microsoft ist die Lücke bereits bekannt. Das Unternehmen will das Problem
im sogenannten "Release Candidate 2", der nächste Woche an registrierte Beta-Tester ausgeliefert
werden soll, bereits behoben haben.
Problem vernachlässigbar?
Der Konzern bemüht sich zu versichern, daß das Problem vernachlässigbar sei, weil es lediglich bei
einer Beta-Version auftrete. Diese ist allerdings weltweit bei mindestens 650.000 offiziell registrierten
Nutzern im Einsatz, so daß das daraus resultierende Gefahrenpersonal nicht unerheblich ist.
Dennoch beschwichtigt Security-Manager Scott Culp: "Man muß immer daran denken, daß es sich
um ein Beta-Produkt handelt. Eben solche Probleme zu finden, ist wesentlicher Bestandteil eines
Beta-Tests." (internetworld)