Der letzte Artikel beendete seinen Rückblick auf die Anfänge des Internets und damit der Firewalls in den auslaufenden achtziger Jahren. Das Internet war offen und es gab nur rudimentäre Vorkehrungen, um Systeme zu schützen. In diesem Artikel wird der Morris-Wurm behandelt, welcher nach seinem Ausbruch im November 1988 zu einem Umdenken der Verantwortlichen führen sollte.

Die Bugtraq-Datenbank, eine 1999 gegründete Sammlung von Sicherheitslücken, listet die Sicherheitslücken, die den Morris-Wurm erst ermöglicht haben als erste und zweite Nummer auf. Beide Lücken waren bereits lange vor dem Einsatz des Morris-Wurms bekannt, wurden jedoch auf etwa 10% der mit dem Internet verbundenen Systeme nicht behoben.

Die Idee hinter dem Morris-Wurm

Der Urheber des Morris-Wurms, Robert Tappan Morris, wollte nach einem Praktikum, in welchem er sich bei den Bell Labs von AT&T mit Sicherheitslücken im UNIX-System beschäftigte, herausfinden wie viele Rechner eigentlich am Internet angeschlossen warnen. Zu diesem Sinn schrieb er den Morris-Wurm.
#2 Bestandteile des Morris-Wurms
Der Morris-Wurm nutzte einen Bug im SMTP-Server sendmail, der es erlaubte im Debug-Modus Befehle mit Rootrechten auszuführen. Außerdem wurde ein Buffer Overflow, diese Methode wird später genauer erklärt, im Finger, einem Internetprotokoll das verschiedene Informationen zum Nutzer dokumentiert, genutzt um an die Benutzernamen zu kommen. Mit dieser Information und einem einfachen Passwortknacker, einem Wörterbuch mit den beliebtesten Passwörtern, konnte man Zugriff auf sendmail bekommen. Unter hinzuziehen der R-Dienste konnte nun der Wurm an die unter /ect/hosts aufgelisteten Systeme weitergeschickt werden und sich anschließend auf löschen.
#2 Die Katastrophe nahm ihren Lauf
Statt sich nur einmal zu verbreiten, begann er sich immer weiter zu verbreiten. Der Urheber hatte einen Fehler gemacht und sorgte dafür das sich DEC-Vaxen und Sun-3 Rechner gegenseitig infizierten. Man geht heute von 2000-6000 betroffenen Systemen aus, was etwa 10% des damaligen Internets ausmachte.

Die Folgen

Rpbert Tappen Morris versuchte die Systemadministratoren des MIT zu informieren, die jedoch zum Schutz ihrer Systeme alle Leitungen gekappt hatten und nicht erreichbar waren. Im Anschluss wendete er sich an seinen Vater, den Kryptologen und damaligen Chef-Informatiker der NSA, Robert H. Morris. Dieser brachte Robert Tappen Morris dazu sich zu stellen.

Am 22. Januar 1990 wurde das erste Urteil nach dem „Computer Fraud and Abuse Act“ über Robert Tappen Morris gefällt. Er wurde zur Überraschung der Allgemeinheit zu 400 Sozialstunden, 10400 Dollar Strafe und drei Jahren Bewährung verurteilt. Der Richter begründete das milde Urteil dadurch, dass er nie seine Tat geleugnet hat, sich aktiv an der Schadensbegrenzung beteiligte und sein einziger Fehler war, als Student der Cornell-Universität einen MIT-Account genutzt zu haben, um seine Identität zu verschleiern. Interessanter weise ist Robert Tappen Morris heute Professor am MIT.
Erschwert wurde die Verurteilung auch durch die Tatsache, dass er Code des Morris-Wurms durch die NSA als „streng geheim“ eingestuft wurde. Auf GitHub wurde der Code rekonstruiert:
https://github.com/arialdomartini/morris-worm/blob/master/cracksome.c

Eine weitere Reaktion auf den Morris-Wurm war die Gründung des Computer Emergency Report Team Coordination Center(CERT/CC) im November 1988. Diese Notfallstelle wehrte bereits 1989 die Wank-Attacke auf die Nasa ab, an welcher der heute bekannte Wikileaks-Gründer Julian Assange beteiligt war.

Die Verantwortlichen zogen aus diesem Ereignis ihre Lektionen und es entstanden Firewalls. Im folgenden Beitrag werden diese genauer Beleuchtet.

Quellen: