Bedrohung

Viren vs. Wireless

WAP-Viren: Jetzt vorsorgen!

Von Travis Witteveen, München

Die nächste WAP-Generation wird vermutlich nicht nur neue Funktionen ermöglichen und die Anwenderzahl vervielfachen, sondern auch vermehrt Virenautoren anlocken. Da WAP-Clients sich als - vermeintlich - sichere Geräte für M-Commerce und Remote-Zugriffe anbieten, sollte man nicht abwarten, bis erste Attacken das System in Verruf bringen, sondern von vornherein eine Sicherheitsinfrastruktur implementieren.

WAP vereint künftig Mobilität und Remote-Zugriff auf Unternehmensnetzwerke und -daten mit der Leistungsfähigkeit Browser-basierender Internet-Anwendungen. Andererseits bringt das WAP-Protokoll, vor allem ab dem Release 1.2, sowohl für die Terminals als auch für die Gateways neue Sicherheitsrisiken mit sich. Malicious Codes können Schaden auf den mobilen Geräten anrichten, indem sie Adressbücher, Text-Messages oder Kalenderdaten löschen oder verändern. Trojanische Pferde können Anwenderinformationen stehlen, Würmer und E-Mail-Kettenbriefe durch das WAP-Netz geistern. Das Schadenspotenzial wächst mit dem Funktionsumfang und der Kommunikationsfähigkeit mobiler Geräte.

Die WAP-Viren sind jedoch nicht nur für die lokalen Inhalte gefährlich, was zwar unangenehm wäre, aber keine Katastrophe auslösen würde. Die tiefer gehende Gefahr liegt in möglichen Übergriffen auf das Unternehmens-LAN über die Netzwerkverbindungen. Um diese Bedrohung zu eliminieren, ist eine umfassende WAP-Sicherheitslösung notwendig, die einerseits auf bewährten Techniken aufbaut, aber auch spezifisch auf WAP-Gateways abgestimmt ist. Verzicht ist kaum eine Lösung. Der Startschuss für WAP ist längst gefallen, und die Entwicklung in Richtung drahtloses Internet nicht mehr aufzuhalten.

Handys und PDAs verschmelzen zu einer mobilen Kommunikationseinheit, die mit zunehmenden Funktionen auch eine leistungsstarke Basis erfordern. WAP 1.2 WTA (Wireless Telephony Application) sorgt für eine wesentlich gesteigerte Möglichkeiten der WAP-Geräte. Inhalte lassen sich damit auf ein Wireless Gerät "pushen", ohne dass sich der Anwender aktiv darum kümmern muss. Solche Mehrleistung birgt jedoch auch das Risiko ausführbaren - potenziell destruktiven - Code zu schicken. Die Gefahr ist groß: Für Palm PDAs existiert bereits ein erstes Virus.

In Deutschland sollen Ende 2000 gut zehn Prozent aller mobilen Geräte WAP-fähig sein, und schon fünf Jahre später wird der Mobile Commerce ein Marktvolumen von 200 Milliarden US-Dollar erreichen, so schätzt der Radio Communication Report (RCR). Rund 14 Milliarden Transaktionen sollen in rund fünf Jahren über mobilen E-Commerce (M-Commerce) abgewickelt werden.

Globalität birgt Gefahren

Leistungsstarke WAP-Funktionen machen Netze anfällig für Malicious Codes. Es ist nicht ungefährlich, skriptgesteuert Netzwerk-Textmitteilungen zu senden und zu empfangen, Telefonanrufe zu tätigen und entgegenzunehmen, Netzwerkdaten an mobile Teilnehmer weiterzuleiten oder automatisch Systemeinstellungen vom WAP-Netzwerk zu übernehmen. WAP-Clients arbeiten oft mit wichtigen persönlichen und unternehmensbezogenen Informationen.

Gerade weil WAP-Geräte weit verbreitet, vernetzt und miteinander verflochten sind, könnte sich eine Sicherheitsverletzung sehr schnell global ausbreiten - mit weitreichenden Auswirkungen auf die Akzeptanz der neuen Technologie. Welcher Kunde würde wohl noch seine Bankgeschäfte mobil mittels WAP abwickeln wollen, wenn sich die Bedrohung durch WAP-Viren als reale Gefahr herausstellt?

In dieser neuen Umgebung ist die einzige Art und Weise, gegen solche Bedrohungen vorzugehen, eine umfassende Prävention. Der Schutz der mobilen Terminals an sich sollte gewährleistet werden und ebenso WAP-Gateways als zuverlässige und vertrauenswürdige Datenquelle gelten. Ein Angriff gegen das Gateway könnte die Sicherheit aller mobilen Terminals beeinträchtigen.

Die Stabilität der Infrastruktur liegt im Interesse aller Beteiligten. Eine Infrastruktur, die auf Richtlinien-Basis arbeitet, zentral verwaltet wird und gleichzeitig die WAP-Technologie nutzt, ist die beste Voraussetzung für einen umfassenden Schutz.

WAP Netzwerkstruktur
WAP Netzwerkstruktur

Sichere WAP-Architektur

Das WAP-Netzwerk besteht in der Regel aus drei Komponenten: dem WAP-Client oder mobilen Terminal, dem WAP-Gateway und dem Ursprungsserver. Der Ursprungsserver arbeitet wie ein normaler Internet-Server. Er stellt Speicherplatz für WAP-Inhalte zur Verfügung. Das WAP-Gateway ermöglicht dem mobilen Terminal den Internet-Zugang und fungiert damit als Bindeglied zwischen der Internet-Domain und der mobilen Netzwerk-Domain. Der WAP-Client agiert im mobilen Netzwerk und sendet kodierte Inhaltsanforderungen über das WAP-Gateway an den Ursprungsserver.

Wireless Markup Language (WML) ersetzt im WAP-Netz das Internet-übliche HTML. Angeforderte WAP-Inhalte können zum Beispiel WML-Karten sein, die Text oder Bilder darstellen, oder WML-Scripts, die die WAP-Umgebung erweitern, oder auch simple Kalenderinformationen oder Telefonbuchdaten. In der Version 1.2 wird es möglich, Content von einem Server zu einem oder mehreren Clients zu pushen. Ein User Agent Profile macht die Vorzüge und Fähigkeiten des Geräts dabei transparent. Dies erst erlaubt die Übermittlung von maßgeschneidertem Content, aber auch von maßgeschneiderten Angriffen.

So erkennt man Malicous Codes

Da erst das WAP-Gateway mobilen Terminals den Zugang zu WAP-Inhalten ermöglicht, bietet es sich an, dort an zentraler Stelle einen Scanner gegen Malicious Code anzusiedeln. Nachdem das Gateway die dekodierten Anforderunge der Clients an den Ursprungsserver weitergeleitet und die Nutzdaten empfangen hat, wird dann dessen Antwort zunächst untersucht. Wenn der Scanner die Inhalte als "sauber" einstuft, gehen sie an die Clients. Erkennt die Anti-Virus-Software jedoch bösartigen Code, wird dieser isoliert und - sofern möglich - neutralisiert. Anti-Virus-Lösungen auf den Clients sorgen für eine zweite Verteidigungslinie, die spätestens dann wesentlich wird, wenn die Geräte nicht nur über WAP-Gateways kommunizieren, sondern über Infrarotschnittstellen, Kabelverbindungen oder Docking-Stationen auch mit lokalen PCs Daten austauschen können.

Ein Virenscanner im Gateway prüft alle durchgehenden Inhalte.
Scannen auf Malicous Codes

Die Bedeutung von Sicherheitsrichtlinien

Die WAP-Umgebung erfordert ein zentrales, richtlinienbasiertes Management um sicherzustellen, dass alle Datenendgeräte und Gateways über neue Bedrohungen informiert und gegen sie gewappnet sind. Dabei sollten aktualisierte Sicherheitsregeln automatisch und transparent zur Anwendung kommen, ohne dass der Endanwender eingreifen müsste. Veraltete Virusdefinitionen auf nur einem einzigen WAP-Gateway oder mobilen Terminal könnten das gesamte Netzwerk gefährden.

Schutz der WAP-Umgebung vor Netzwerkangriffen

Da das Gateway als vertrauenswürdige Einrichtung eine besonders wichtige Rolle im Netzwerk spielt, sollte man es zusätzlich gegen unmittelbare Angriffe von innerhalb und außerhalb der Organisation schützen. Hierzu bietet sich eine Sicherheitslösung an, die auf einer dezentralen Firewall und einem Virtual Private Network (VPN) aufbaut.

Durch eine Distributed Firewall mit VPN-Kanälen kann auch außerhalb des Gateways gescannt werden.
Schutz der WAP Umgebung vor Netzwerkangriffen

Die Distributed Firewall schützt das WAP-Gateway und seine Komponenten gegen die stets vorhandene Bedrohung von innen. Dies ist für viele Branchen, wie zum Beispiel das Bankwesen, eine wesentliche Anforderung. Der Netzwerkverkehr zwischen den Gateway-Komponenten wird durch die Verschlüsselung des Datenverkehrs mit einer VPN-Lösung gesichert. Anders als bei einer SMS ist ein Wireless Gerät mit WAP 1.2 in der Lage, Inhalte auch nur in signierter Form von einer vertrauenswürdigen Quelle zu akzeptieren.

Eine der ersten umfassenden Sicherheitslösungen für WAP-Umgebungen auf dem Markt stammt von F-Secure. Ihre Struktur zeigt ein mögliches WAP-Sicherheitskonzept, das sich aus mehreren Komponenten zusammensetzt: einem Policy Manager, einem Virenscanner für WAP-Gateways, einem EPOC-Virenscanner sowie einer Distributed Firewall plus Virtual Private Network.

Der Policy Manager stellt die skalierbare Infrastruktur zur Verfügung, die für das Handling eines weiträumig verteilten WAP-Netzwerks erforderlich ist. Er ermöglicht ein zentrales, richtlinienbasierendes Management und bietet Dienste wie etwa Installation, Aktualisierung, Berichte und Alarmfunktionen.

Die Antivirensoftware bringt bewährte Scannertechnik in die neue WAP-Umgebung ein, um Inhalte auf Malicious Codes zu prüfen. Der Scanner für die mobilen Terminals läuft auf Symbian EPOC, das etwa 85 Prozent Anteil am weltweiten Mobilfunk-Markt hat. Unternehmen wie Ericsson, Motorola, Nokia, Panasonic, Philips, Psion und Sony haben das Symbian-Betriebssystem für sich lizenziert. EPOC-Scanner müssen Schutz gegen binäre Viren, Script Language Viren, Trojanische Pferde und E-Mail-Bomben bieten, dabei aber mit dem geringen Speicherplatzangebot von Wireless-Geräten auskommen.

Eine Firewall und das VPN schützen das Gateway vor Angriffen. Die F-Secure-Lösung lässt sich übrigens auch in Unternehmensmanagement-Systeme wie zum Beispiel HP OpenView, Tivoli TME10 und CA Unicenter integrieren.

Fazit

Mit dem neuen WAP-Standard und der zunehmenden Verbreitung mobiler Terminals wird eine Bedrohung durch Malicious Codes akut. EPOC ist auf dem besten Wege zu einem Standard in mobiler Kommunikation zu werden. Durch die wachsende Verbreitung und den steigenden Funktionsumfang von WAP-Geräten dürfte nicht nur das übermittelte Datenvolumen, sondern auch die Attraktivität von Angriffen steigen. Gerade für weitverzweigte Unternehmen wird es damit zum Muss, auch WAP-Geräte in ihre Sicherheitskonzepte einzubeziehen. Die Sicherheitsstandards auf allen Geräten müssen dazu immer auf dem neuesten Stand bleiben. Dieser Herausforderung kann man am besten durch eine zentral gesteuerte Lösung auf Basis von Firewalls und VPN begegnen, die an den WAP-Gateways und am Betriebssystem ansetzen.

Travis Witteveen ist Country Manager Deutschland der F-Secure Corporation.

© SecuMedia-Verlags-GmbH, D-55205 Ingelheim,
KES 5/2000, Seite 30