SmartFilter

[Ulrich Alpers <ulrich.alpers _at__ ub.uni-stuttgart.de>]

Liebe Liste,

um der Diskussion des Themas "Filterung von WWW-Inhalten" mal einen
anderen Aspekt hinzuzufuegen, leite ich eine Mail der Stabsstelle
DV-Sicherheit der Universität Stuttgart (RUS-CERT) an Sie weiter.

Viel Vergnuegen!

Gruss aus dem sonnigen Stuttgart -
 U. Alpers

---------- Forwarded message ----------
Date: Wed, 09 May 2001 18:55:04 CEST
From: "RUS-CERT (Oliver Goebel)" <cert _at__ uni-stuttgart.de>
Reply-To: ticker-feedback _at__ cert.uni-stuttgart.de
To: security-announce _at__ cert.uni-stuttgart.de
Subject: [SIEMENS/SmartFilter] SmartFilter stuft Stabsstelle DV-Sicherheit
    der Universitaet Stuttgart als kriminell ein

[SIEMENS/SmartFilter] SmartFilter stuft Stabsstelle DV-Sicherheit der
Universität Stuttgart als kriminell ein
(2001-05-09 18:39:24+02)
Quelle: http://www.smartfilter.de/cgi-bin/index.pl?primary=3&secondary=6

SmartFilter, ein von der Secure Computing Corporation und SIEMENS
gemeinsam gepflegtes Kategoriensystem für Internet-Seiten, stuft den
URL http://cert.uni-stuttgart.de/, unter dem die WWW-Seiten des
RUS-CERT zu finden sind, in die Kategorie Criminal Skills ein. 

Beschreibung
[1]SmartFilter weist jeder der nach Herstellerangaben rund 1,2
Millionen Seiten eine der [2]27 Kategorien zu (von Alternative
Journals bis Worthless). Diese Datenbank wird an Abonennten vermietet,
die diese verwenden, um Seiten, die in bestimmten Kategorien erfaßt
sind, mittels filternden Zwangsproxies zu sperren. Der Zugriff auf
entsprechend eingeteilte Seiten führt dann lediglich zu einer
Fehlermeldung, die eigentlichen Inhalte bleiben dem Nutzer verborgen.
Indirekt kann SmartFilter also zumindest grob kontrollieren, welche
Inhalte die Nutzer bei SmartFilter-Kunden einsehen können (sofern der
Administrator dort nicht manuell Einträge deaktiviert).

Die Kategorie Criminal Skills ist wie folgt definiert:

  Anleitungen oder Hinweise auf Methoden, die geeignet sind, illegale
  Aktivitäten und Verbrechen zu fördern, Seiten, die dazu aufrufen
  oder die die erforderlichen Fertigkeiten vermitteln. [...]
  Insbesondere sind auch Seiten enthalten, die sich mit dem Hacken
  von Computern befassen oder Möglichkeiten bieten, Passwörter zu
  knacken.
  
Typ der Verwundbarkeit
policy confusion

Auswirkungen
Seit einiger Zeit wird der Webserver des RUS-CERT,
[3]http://cert.uni-stuttgart.de/, von SmartFilter in eben dieser
Kategorie geführt.
Aus diesem Grund sind die WWW-Angebote des RUS-CERT nicht mehr von
Browsern oder Netzen aus zugreifbar, die einen mit der
SmartFilterkategorie Criminal Skills ausgestatteten Zwangsproxy
verwenden.

Fazit
Das RUS-CERT stellt auf seinem Webserver unter anderem ein Archiv der
Security-Mailingliste [4]BUGTRAQ bereit, in dem sich Informationen
finden, die dazu gedacht sind, die eigene Infrastruktur auf
Schwachstellen zu überprüfen, aber auch zu Angriffen auf fremde
Systeme mißbraucht werden können. Für Mitglieder der Universität
Stuttgart bietet das RUS-CERT zudem einen [5]Paßwort-Dienst an, der
Administratoren dabei hilft, ihre Systeme auf schwache
Benutzerpaßworte zu überprüfen.

Vor diesem Hintergrund ist eine Einstufung in die Kategorie Criminal
Skills möglicherweise formal korrekt, auch wenn Smartfilter-Kunden
vermutlich unter dem spektakulären Titel "kriminelle Fertigkeiten"
andere Inhalte erwarten dürften.

Interessant ist in diesem Zusammenhang zu wissen, daß der URL
[6]http://www.securityfocus.com/ in der Smartfilterkategorie
Alternative Journal, eingestuft ist. Unter diesem URL wird die
Mailingliste [7]BUGTRAQ originär archiviert und eine vulnerability
database mit einer Extrasparte exploit bereitgestellt, in der sogar
explizit Programmcode zur Ausnutzung von Sicherheitslücken oder Links
zu deren Quellen vorgehalten werden.

Die Gründe für die Einstufung in die Kategorie Criminal Skills sind
unbekannt, die Policy, nach der die Einstufungen vorgenommen werden,
unklar. Auf eine offizielle Anfrage an [8]info _at__ smartfilter.de, in der
um die Darlegung der Gründe für diese Einstufung gebeten wurde, hat
die Universität Stuttgart bislang keine Antwort erhalten. Bedauerlich
ist auch, daß das RUS-CERT von der Einstufung durch
SIEMENS/SmartFilter nicht benachrichtigt wurde, sondern lediglich von
einem betroffenen Nutzer bei einem SmartFilter-Kunden davon erfuhr.

Aktuelle Version dieses Artikels
[9]http://cert.uni-stuttgart.de/ticker/article.php?mid=342

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte.
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2001 RUS-CERT, Universität Stuttgart
[10]http://cert.uni-stuttgart.de/

References

1. http://www.smartfilter.de/
2. http://www.smartfilter.de/cgi-bin/index.pl?primary=2&secondary=6
3. http://cert.uni-stuttgart.de/
4. http://cert.uni-stuttgart.de/archive/bugtraq/
5. http://cert.uni-stuttgart.de/passwortdienst.php
6. http://www.securityfocus.com/
7. http://www.securityfocus.com/templates/archive.pike?list=1
8. mailto:info _at__ smartfilter.de
9. http://cert.uni-stuttgart.de/ticker/article.php?mid=342
  10. http://cert.uni-stuttgart.de/

   ----------------------------------------------------------------------

Weitere Nachrichten: http://cert.uni-stuttgart.de/ticker/
Kommentare & Kritik bitte an ticker-feedback _at__ cert.uni-stuttgart.de