Selbstschutz in Windows-Programmen

Online-Kriminelle und Geheimdienste nutzen Schwachstellen in der Software aus, um schädlichen Code einzuschleusen. So manche Sicherheitslücke lässt sich jedoch nur schwer ausnutzen, wenn gängige Schutzmechanismen wie DEP (Data Execution Prevention) und ASLR (Address Space Layout Randomization) eingesetzt werden. Manipulationen an ausführbaren Dateien können durch Signaturen erschwert werden. Doch nutzen die Software-Hersteller diese Möglichkeiten zum Selbstschutz auch?

Wie schon bei den Antivirusprogrammen hat das Magdeburger AV-Test Institut Web-Browser, Office-Pakete, PDF-Betrachter, Packer, Grafik-Software und Java auf ihrem Selbstschutz untersucht. Auf den Prüfstand kamen sowohl 32- als auch 64-Bit-Versionen der Programme. Untersucht wurden PE-Dateien (Portable Executable) – das sind im Wesentlichen EXE- und DLL-Dateien sowie Systemtreiber. Außerdem haben die Tester überprüft, ob die Programmdateien mit gültigen Zertifikaten signiert sind.

Die Ergebnisse sind insgesamt ganz gut, wenn auch noch mit Luft nach oben. Bei Java ist über die Zeit eine deutliche Verbesserung zu erkennen: wurde bis Java 6 kein derartiger Schutz benutzt, ist er ab Java 7 lückenlos vorhanden. So manche Open Source Software wie 7zip oder GIMP schneidet schlechter ab als kommerzielle Programme, wobei die Browser durchaus vorbildlich sind. Der Internet Explorer ist nicht vertreten, denn er ist so tief in Windows integriert, dass eine Abgrenzung der zugehörigen Dateien schwierig ist. Bei den Office-Paketen ist das Bild recht durchwachsen. Microsoft setzt nahezu durchweg DEP und ASLR ein, während Free Office diesen Schutz gar nicht nutzt.

Die Signierung mit Microsofts Authenticode-Verfahren soll sicherstellen, dass keine manipulierten Fremddateien eingeschleust werden. Antivirus-Software kann die Zertifikate prüfen und gegebenenfalls Alarm schlagen. Ausgerechnet Microsoft selbst patzt hier: zwar sind alle zu Office 2016 gehörenden Dateien signiert, doch bei einer Datei ist das Zertifikat abgelaufen. Auch ACDsee hat zwei Dateien mit ungültigen Zertifikaten im Paket. Auch bei den Code-Signaturen ist Open Source Software wie 7zip und GIMP nachlässig, vermutlich aus Kostengründen.

AV-Test hat angekündigt, es werde diese Tests nach einiger Zeit wiederholen, um zu sehen, ob es Fortschritte gibt. Die ausführlichen Testergebnisse finden Sie auf der Website des AV-Test Instituts.

Hinweis zur Tabelle:
DEP ist nur bei direkt ausführbaren Dateien (EXE) sinnvoll, ASLR auch bei DLLs. Die eine oder andere 64-Bit-Software nutzt zwar 64-bittige DLLs, die EXE-Dateien sind jedoch 32-bittig. Deshalb steht in der Tabelle bei einigen Programmen "keine Datei" für 64-Bit-DEP, obwohl für 64-Bit-ASLR ein Prozentwert angegeben ist.

(PC-Welt/ad)