Service Programm soll Netzwerkdaten empfangen

[Assarbad]

Das ist ja wohl nicht euer Ernst? Ohne Authentifizierung über UDP-Broadcast nen Rechner runterfahren lassen? Respekt.

Nennt mir doch bitte den Namen der Anwendung, ich leite es dann gleich an die einschlägigen Sicherheitsmailinglisten weiter

[Assarbad]

Zitat von supermuckl:

ne nich du sollst dich als admin anmelden, sondern der service soll sich damit anmelden
den user kannste im service einstellungs gedöns einstellen

BTW: Man kann, wenn man es "intigent" anstellt, Im SYSTEM-Kontext auch ein Token zusammenschmieden, welches auch Netzwerkrechte hat. Mehr dazu zB in "NT/2000 Native API Reference" von Nebbett. Man muß halt nur wissen wie und die entsprechenden Informationen bekommen.

Als TCB kann man fast alles machen ... und der Rest geht im Kernelmode.

[supermuckl]

wenn er das in seinem privaten netzwerk braucht, dann isses doch sein problem, ob er damit ne sicherheitslücke macht oder nicht.
und das ganze lässt sich mit sicherheit auch SEHR EINFACH mit einem service lösen..

[Assarbad]

Zitat von supermuckl:

wenn er das in seinem privaten netzwerk braucht, dann isses doch sein problem, ob er damit ne sicherheitslücke macht oder nicht.
und das ganze lässt sich mit sicherheit auch SEHR EINFACH mit einem service lösen..

Sehe ich nicht so. Ich habe da schon schlechte Erfahrungen mit Firmen gemacht. Das Problem kann sein, daß unter Zeitdruck eine Lösung für etwas gebraucht wird und dann kommt der Kollege Threadstarter an und sagt "Du, ich hab da schon was Fertiges". Und schwuppdi ist so ein Sicherheitsloch auch irgendwo in der Industrie im Einsatz.

Außerdem sollte man allgemein bereits VOR der Entwicklung darüber nachdenken, wie man die Anwendung sicher gestaltet. Dazu gehören nicht nur die Auslassung von scanf()/printf() und Co, sondern durchaus auch mit dem Authentifizierungsmodell des OS für das man programmiert und dessen Nutzung. Sorry, aber nur weil es für den Hausgebrauch ist, sollte man auch nicht die grundlegendsten Sicherheitsbdenken vernachlässigen!

Mit einem Treiber läßt sich das auch lösen, der hat noch mehr Rechte als die Usermode-TCB. Bloß warum zur Hölle sollte man solche Rechte unbedacht und ohne Rückkontrolle vergeben. Was, wenn er mal ein Programm installiert, welches über UDP-Broadcasts etwas checkt? IDA checkt zB, ob nur eine Version auf einem Computer im Einsatz ist. Was wenn dieses Programm automatisch startet? Was wenn er lustigerweise nur noch booten kann um zu sehen wie der Rechner runterfährt um neu zu booten?

Naja. Müßt ihr selber wissen!

[rainerkunze124]

Also ich habs jetzt geschafft, den COmputer herunterfahren zu lassen, nur das Abmelden klappt noch net. Also ist, denke ich mal, die Netzwerkproblematik erstaml behoben. Ich habe mein Dienst einfach als NT Authority/Network oder so was gestartet und es lief.

[rainerkunze124]

jetzt geht alles, musste noch ein Eintrag in der Registry machen, damit Prozesse schneller "gekillt" werden.

[supermuckl]

OT
@assarbad
wenn du bei jedem thread, wo es um ein programm geht, das nicht optimal abgesichert ist, antworten würdest, das es unsicher ist, dann würde die DP Datenbank sicherlich um 5% größer sein
/OT

[Assarbad]

Zitat von supermuckl:

@assarbad
wenn du bei jedem thread, wo es um ein programm geht, das nicht optimal abgesichert ist, antworten würdest, das es unsicher ist, dann würde die DP Datenbank sicherlich um 5% größer sein

Kann sein, aber soll das heißen Sicherheit wäre nicht mehr wichtig? Wir sind ja mit DCMA, TPA, neuem Urheberrecht, TRIPS und wie sie alle heißen auf dem besten Weg dahin, daß auch Sicherheitslücken in fertigen Programmen nicht mehr veröffentlicht werden dürfen ohne gleich eine Rechteverletzung zu begehen. Umso wichtiger sollte für JEDEN Programmierer die Anwendung mindestens der geringsten Sicherheitsstandards bei der Programmentwicklung sein.

[supermuckl]

Zitat:

aber soll das heißen Sicherheit wäre nicht mehr wichtig?

hab ich nie behauptet.

ausserdem liegt das ganze noch in der zukunft, was du da ansprichst und derzeit gibt es keine festen gesetze bzw beschlüsse die das alles schon bestätigen

[Assarbad]

Zitat von supermuckl:

ausserdem liegt das ganze noch in der zukunft, was du da ansprichst und derzeit gibt es keine festen gesetze bzw beschlüsse die das alles schon bestätigen

DCMA liegt nicht in der Zukunft. Es wurden bereits Sicherheitsexperten wegen Aufdeckung von Sicherheitslöchern belangt. Du kommst bereits ein paar Jahre zu spät :-[