home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / zines / a_m / ati35.txt < prev    next >
Encoding:
Text File  |  2003-06-11  |  25.7 KB  |  474 lines

  1.  
  2. Date:    Tue, 18 Apr 89 01:47 CDT
  3. To:      TK0JUT1
  4. From:    Gordon Meyer                                     <TK0GRM1>
  5. Subject: ATI 35 (yes..I got thru to GZ at last)
  6.  
  7.  
  8.     *****    *********    *******
  9.    *     *       *           *
  10.   *       *      *           *
  11.   *********      *           *
  12.   *       *      *           *
  13.   *       *      *           *
  14.   *       *      *        *******
  15.  
  16.    Issue #35   March 29, 1989
  17. Happy Birthday to The Operator (201) !!
  18.  
  19.  
  20.  **************
  21.  ** YIPPIE!    **- - - - - - - - - - .
  22.   **************                    /
  23.  /                                 /
  24. /                                 /
  25. Activist Times, Inc. ATI is a
  26. journalistic, causistic, /
  27.    /cyberpolitical      /
  28.   /organization,       /  4 more info?
  29.  /trying to           /  send SASE
  30. /help y'all          /  stamps???
  31. change the world    /    to:
  32. radically, in less /  ATI
  33. than two minutes  /   P.O. Box 2501
  34. ...of course!    /    Bloomfield, NJ
  35. - - - - - - -                   07003
  36.  
  37.  
  38.  
  39. Note the new address! Of course..
  40. The only difference is that your lovely
  41. correspondence will go to yours truly,
  42. Ground Zero.
  43.  
  44. Ok, here's some of the correspondence
  45. we've gotten lately. Keep the feedback
  46. coming. We love to hear from our
  47. readers, even if it's criticism.
  48.  
  49. .:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.
  50.  
  51. From: Anonymous  Location: Unknown
  52.  
  53. Finally got all of ATI34... Just a few comments.
  54.  
  55. NJ Bell isn't "favoring" AT&T over the other carriers. It's merely engaging in
  56. the common business of selling information on its customers. Name one business
  57. that doesn't do this, I'll show you one missing out on a nice source of easy
  58. profit.
  59.  
  60. The New Age club: is it any worse than any of the politically correct
  61. movements (the New Age movement, that is)? A couple of days ago I went down to
  62. the low-rent/low-iq/high-crimerate section of town and started collecting some
  63. of the political posters. The following was taken from a flyer advertising a
  64. feminist rally to oppose pro-lifers:
  65.    The Link Between Forced Reproduction and Forced Sterilization!
  66.    Speaker: Elizabeth Thacker from the Revolutionary Communist Youth Brigade
  67. I won't bother with the rest; it was a paranoid ramble about how white males
  68. were opposing abortion to force women into being sterilized as the only means
  69. of birth control. I could give more examples, like a press statement from the
  70. NAACP regarding a recent civil rights decion by the federal government
  71.  The New Age movement is no worse than any other mass movement; in fact, by
  72. your standards they should be the best. Don't they show concern for the
  73. environment, the arms race, and poverty, and believe in Universal Love and
  74. all the other things your average 60's-leftover leftist advocates but has
  75. enough sense not to follow.
  76.  
  77. Regarding the Tau Kappa Et advocates but has
  78. enough sense not to follow.
  79.  
  80. Regarding the Tau Kappa Epsilon poster: was it any more frightening than the
  81. self-righteous censorship practiced by yourself and the other campus
  82. feminists?
  83.  
  84. Question yourself as well as others
  85.  
  86.  
  87. -:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-
  88.  
  89. GZ's reply: I do question myself,quite
  90. often, in fact. You brought up a good
  91. point about NJ Bell, which I can agree
  92. with.  However, your refernce to the
  93. "low rent/low-iq" part of town shows
  94. an obvious bias against the poor. And
  95. I am all too familiar with the
  96. Revolutionary Communist Youth Brigade,
  97. which often takes extreme stances on
  98. issues, but I must say that there truly
  99. have been many instances in which the
  100. poor have undergone forced steriliz-
  101. ation. And you cannot deny the fact
  102. that regular means of birth control are
  103. not readily accessible by poor women.
  104. If these methods were available to poor
  105. women in the first place, there would
  106. be little need for abortions or ster-
  107. ilization. And as far as censorship of
  108. the TKE posters, I believe that I have
  109. the right to remove materials that are
  110. both extremely offensive and, more
  111. importantly, dangerous to women.
  112.  
  113. -:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-:-
  114.  
  115. From: The Worm   Location: 203
  116.  
  117. I enjoy reading ATI very much. Are you the originator of this magazine?
  118.  
  119.  
  120. :.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:.:
  121.  
  122. GZ's reply: No, Prime Anarchist (203)
  123. was the originator of ATI last summer.
  124. When he went into the Army last
  125. November, I took over the writing and
  126. distribution, along with Fah-Q and
  127. The Operator (201) and our staff,
  128. consisting of Cygnus (203) and The
  129. Happy Hacker (412), and other occasion-
  130. al contributors. Thanks for your
  131. continued support!
  132.  
  133. !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
  134.  
  135.  
  136. Ok, now for something that I think
  137. you'll enjoy. We don't have the Doc
  138. Telecom/Raider article ready yet, so
  139. we will grace you with an article on
  140. UNIX which we hope you'll find very
  141. informative. Don't flinch, just read
  142. it. Maybe you'll learn something..
  143.  
  144.        ?"Striving for Unix Security"                 ?
  145.        ?      Typed in by Nightcrawler for Activist Times, Inc.      ?
  146.        ?   Originally presented in Computerworld -- March 20, 1989   ?
  147.  
  148.    Last November's well-publicized worm attack struck more than Internet's
  149. Unix-based electronic mail system.  The operating system and AT & T, its
  150. major developer, are also suffering from the impact.  Other potential
  151. victims may be corporations and governments that have accepted Unix for
  152. its functionality and portability.
  153.    Unix has a reputation for being insecure.  But is it inherently insecure?
  154. The question has enormous economic, political and techonological sensitivity
  155. but it and others must be answered.
  156.    The facts are that Unix's security depends on the version of the operating
  157. system being used, what the systems administrator has established as controls
  158. and what pressures for security improvements develop from the government
  159. corporations and even AT & T.
  160.    What are the security problems associated with using the Unix operating
  161. system?  How can IS best safeguard information running on Unix-based systems?
  162. What specific approaches to improving the security of Unix systems will be
  163. effective?
  164.  
  165.       "Unix popularity"
  166.    Secure or not, there is no doubt that Unix is popular.  The results of a
  167. recent survey of Unix users indicate that the reasons for Unix's growing
  168. popularity among users range from its portability and cost-effectiveness to
  169. its proven success in other organizations.  Certain companies have little
  170. choice in whether to select Unix, because the software programs best suited
  171. for their needs are often Unix-based.
  172.    According to the survey, the biggest barrier to increasing Unix usage is
  173. the lack of trained technical expertise, the lack of compatibility and the
  174. lack of application software.  Framingham, Mass.-based market research firm
  175. International Data Corp. has cited the lack of proven commercial and
  176. application software performance and the standards confusion as also working
  177. against Unix.
  178.    Interestingly, security was not mentioned once in the survey results, even
  179. though the questions were asked in December, during the height of the publi-
  180. city surrounding the Internet virus attack.  Yet security obviously should
  181. be a concern to the more than two-thirds of the respondents who indicated
  182. that they were using communications links between Unix and non-Unix systems
  183. for file transfer, terminal emulation, Transmission Control Protocol/
  184. Internet Protocol, and E-mail.
  185.    Unix's popularity is partly because of the variety of Unix-based products
  186. out today.  But because of the independent development work that has been
  187. done on Unix, the user is often faced with the fact that one Unix product is
  188. not always the same as another.  In reality, there are a number of Unix
  189. versions that share only certain features and security vulnerabilities.
  190.    Unix's ready availability and portability have caused it to be the
  191. operating system of choice for both academicians and new companies develo-
  192. ping computer systems.  Vendors that use it as the operating system for a
  193. hardware platform tailor Unix to suit their own needs.  Usually this
  194. tailoring occurs inside the kernel.
  195.  
  196.    "What is Unix, really?"
  197.    Unix is composed of a set of tools and applications that run on top of a
  198. base, or kernel, that handles the low-level functions.  The tailoring inside
  199. the kernel would not be readily visible to users even though it may be
  200. extensive.
  201.    For example, Unix is notorious for having a file system that is hard to
  202. repair and maintain.  Thus, some vendors completely rewrite the file system
  203. internals in hope of improving their market edge and the stability of their
  204. system.  While that vendor's system may be better, the result is that Unix
  205. often becomes a label on a set of services that appear to be the same to
  206. the user but are in fact very different inside.
  207.    The University of California at Berkeley has become the center for much
  208. of the academic development that is now the basis for one of the two major
  209. versions of Unix available in the market -- Unix Version 4.2.  AT & T's
  210. Unix System V, whose latest release -- Version 3.2, available since last
  211. fall -- contains major improvements in security.
  212.    The Berkeley and AT & T versions are similar in some ways, but they are
  213. different enough to cause confusion.  While many of the basic tool kits
  214. are the same, there are enough significant differences to warrant a parti-
  215. tioning of the market.  Some vendors have chosen System V, and others have
  216. chosen 4.2.  Not all of the applications running on one system run on the
  217. other.
  218.    The industry has recognized these problems and has, for this and other
  219. reasons, tried to organize a "standard" Unix.  There are competing organi-
  220. zations trying to create the standard Unix, including the Open Software
  221. Foundation (OSF), Unix International, Inc., the Institute of Electrical and
  222. Electronics Engineers (IEEE) in association with the National Institute of
  223. Standards and Technolog (NIST) and X/Open Consortium Ltd.  The hope is that
  224. standardization will help make the operating system more consistent and thus
  225. more secure.
  226.    As the standardization and security certification efforts heighten, more
  227. and more inspection of the development process and the structure of the
  228. actual code will be required.  So far, the lack of development controls has
  229. created a potential for undesirable code to reside within the system and to
  230. be difficult to find.
  231.    But these weaknesses may also portend Unix's greatest strength: The
  232. operating system's very openness and the scrutiny devoted to it will make
  233. it difficult for the bugs to remain in place forever.  Since no single
  234. vendor has control over Unix, no single vendor can control or cover up the
  235. problems.  Over the next few years, most of the unknowns in Unix hopefully
  236. will be understood and repaired.
  237.  
  238.       "Unix insecurity"
  239.    The fact remains that Unix does have many sceurity vulnerabilities that
  240. are well known to computer and network managers.  These weaknesses are also
  241. well known to hackers, computer hobbyists and others who may be interested
  242. in testing their technological skills.  They have easy access to published
  243. articles, Unix documentation and bulletin-board information sources on
  244. back doors into Unix.
  245.    The Unix security problem is composed of Unix-specific and non-Unix-
  246. specific elements.  Unix-specific sceurity risks are those inherent in the
  247. architecture of th eoperating system and therefore are not likely to
  248. disappear from most existing Unix systems in the near future.  Included in
  249. this classification are the "superuser" user category, which provides
  250. universal access, and the "setuid" and "setgid" system calls.
  251.    Non-Unix-specific security risks are those associated with the normal
  252. usage of computer systems and software.  On a Unix system, these can lead
  253. to great damage because of how Unix functions.  Included in this category
  254. are the risks in having software conatin back doors or Trojan horses as
  255. well as unsecured physical locations where networks, computer rooms,
  256. terminals, tapes and disks can be accessed by unauthorized persons.
  257.  
  258.    "Unix-specific issues"
  259.    The inherent operating qualities of Unix create a vulnerability that opens
  260. the doors to some security attacks.  For the Unix-proficient, these struc-
  261. tures can be summarized in the superuser, setuid and setgid functions.  A
  262. user who becomes a superuser is able to remove all the security barriers that
  263. exist within Unix.  Thus, one problem deals with keeping unauthorized users
  264. from becoming superusers.  This problem is common to a variety of Unix
  265. systems and has a rather standard set of administrative solutions.
  266.    Many of the tools and utilities in Unix need to change modes into
  267. superuser for a brief period of time in order to reach some service that
  268. the system calls.  When properly executed, these place the program executing
  269. them into superuser status.  In most cases, such programs are well debugged
  270. and there is little risk of decreasing the stability of the system.  However,
  271. teh existence of a mechanism that allows the garnting of unlimited privileges
  272. to some programs can be easily exploited.  The xeploitation can occur through
  273. poor design or through maliciousness.  There are many documented cases of
  274. poorlydebugged and/or maliciously designed programs being run in this mode
  275. and creating inadvertent or intentional damage.
  276.    In one case, an administrator wrote a program that, among other things,
  277. allowed users store information in certain privileged directories.  The
  278. program used a file, itself in a privileged directory, to control the
  279. directories that were to be written into.  Unfortunatley, the file contained
  280. an entry for its own directory.  A user saw this and rewrote the entire file,
  281. giving himslef the ability to write into any directory in the system.  Were
  282. he malicious, he could easily have placed viruses, Trojan horses, back doors,
  283. or other programs in any system or user directory.
  284.    Thus, any program capable of reaching superuser status needs to be care-
  285. fully managed and certified.  In an environment that is open and free, what
  286. often happens instead is that software can be passed from one machine to
  287. another without proper certification.  In one experiment, a researcher gave
  288. one such maliciously designed program to a nonprivileged Unix installation
  289. user and observed its migration to the status of a privileged program within
  290. a few days.
  291.    Software travels quickly, and seemingly useful software travels even more
  292. quickly.  Thus, while the mechanism within Unix can be safeguarded, it is
  293. more difficult to ensure that the people around Unix will act with the
  294. proper caution.
  295.  
  296.  "Non-Unix-specific issues"
  297.    This scenario leads to the non-Unix-realted aspects of security.  There
  298. are two popular methods for attacking a computer system -- a Trojan horse
  299. and a back door.  These two types of attacks are used in many types of
  300. systems, not just Unix systems.   A Trojan horse is a program that contains
  301. code whose instruction is to do some kind of damage.
  302.    For all practical purposes, the program provides some useful service.
  303. However, it also contains logic that will do something other than what the
  304. program was intended to do.  These Trojan hore programs have caused a
  305. variety of damage, ranging from corrupting files to surreptiously sending
  306. files across a network to someone who otherwise would not have access to
  307. the transferred data.
  308.    A back door is similar to a Trojan horse except that it is a piece of code
  309. that is left behind to be triggered by an outside agent.  The person who
  310. inserted the back door activates the code.  Once activated, it responds to
  311. the commands of the intruder.  The Internet virus in the Unix E-mail system
  312. allegedly came in through such a back door.
  313.    In Unix, these and similar attacks pose special dangers because, by
  314. judicious manipulation, the attacker can become a superuser and gain access
  315. to anything in the machine.  These unsophisticated computer attacks can be
  316. very effective in Unix, more so than in some other systems.
  317.  
  318.       "Other openings"
  319.    In addition to ecternally produced Trojan horses and back doors, two
  320. mechanisms within Unix are important to security.  When users enter a command
  321. in Unix, the system searches for the program named by that command along a
  322. search list of names defined by the variable "PATH."  If this search list is
  323. altered in some fashion, everyday users can be invoking Trojan horse programs
  324. that are disguised to look like standard programs.  In general, PATH is set
  325. up to search through a standard set of drirectories for the program.  If PATH
  326. is altered to search through a directory that has not been allocated privi-
  327. leged status and does not belong to the user typing commands, then any
  328. program placed in that directory could be chosen before the standard program.
  329. Thus, one alteration to PATH can lead to an endless set of bogus programs.
  330.    A security audit product currently on the market uses such a technique to
  331. determine if the security of the system has been breached.  The security audit
  332. program masquerades as the common utility "ls."  When "ls" is invoked, a
  333. security audit is done in addition to the normal work "ls" usually performs.
  334. While this use of the mechanism is for security reasons, other uses may not
  335. be for that purpose.  Ensuring that PATH is not altered can control accidental
  336. triggering of malicious programs.
  337.    The sceond major security concern found within Unix is the connection of
  338. the system to the network.  Unix systems, by and large, tend to be connected
  339. to networks.  Hiwever, besides their valuable use as user and data
  340. connectors, networks can also be thought of as vehicles for bringing in
  341. uncertified software and sending out private data.
  342.    Unix has many tools that will alow it to become part of the growing commu-
  343. nity of newtwork users within the industry.  The Unix-to-Unix Copy Program
  344. is one such mechanism that allows the system to send and receive mail and
  345. script files from users on other systems.
  346.    In addition, network file systems represent another threat by requiring
  347. users to reach across the network for their file systems.  This intimate
  348. link between users and their file systems can potentially be more easily
  349. intercepted than when this communication takes place within a single internal
  350. system.  The network in effect puts the Unix system out in the open, where it
  351. may be more vulnerable to access attempts.
  352.    Network connectivity also creates a need for adequate physical security.
  353. Many precautions must be taken to provide enough security for a Unix system
  354. just as for any other system.  While Unix's physical sceurity requierments
  355. are no different from any other system, the availability of ways to connect
  356. to other systems over the network, local or worldwide, makes physical
  357. security harder to achieve than with other systems of lesser capability.
  358.  
  359.        "Securing Unix"
  360.    While it may appear that Unix users are without protection, that is not
  361. the case at all.  While Unix is not as strong as many in information
  362. security would like, newer versions of Unix have improved security, and
  363. additional tools are available to make Unix more secure.  There are also
  364. future developments that will increase the ease of security management.
  365.    Systems using Unix can be better protected.  Yet, they are only as secure
  366. as their systems administrators allow them to be.  The security of any
  367. operating system can be attributed directly to how well that system has been
  368. administratively reviewed and secured.
  369.    IS must set up accounts, create passwords, add new software to the systems
  370. and give access rights to various pieces of data.  The dynamics of admini-
  371. stering a system dictate ongoing change in the access and relationship of the
  372. various accounts, files and programs.  Without careful and deliberate
  373. execution, the best automated mechanisms can be subverted.
  374.    Beyond the system administrators, the vendors of systems with known
  375. weaknesses also have responsibilities to pay more attention to system
  376. security.  They need to provide information and pass on timely patches to
  377. their customers when holes are discovered in their systems.  They will have
  378. to work to increase their systems' security to stem lost sales opportunities
  379. as well as to prevent potential lawsuits, which, even if unsuccessful, can
  380. become public relations nightmares.
  381.    While there may not always be enough pressure put on vendors solely by
  382. corporations requiring a secure Unix, the federal government has been quite
  383. active in seeking ways to induce security within the vendor community. Over
  384. the next few years, the government will strengthen the security requirements
  385. of all the systems -- Unix or otherwise -- that it procures, and as
  386. commercial vendors comply with these regulations, these products will become
  387. available to the private sector.  Thus, systems purchased in 1992 should, in
  388. all likelihood, have significant security improvements over today's systems.
  389. In any case, the government-vendor cooperatie relationship can be examined in
  390. a number of ways.
  391.    The current conflict over standards affects Unix security, and that is
  392. what links the vendor community with the federal government, which holds a
  393. major stake in Unix security.  (The government purchased $1.93 billion worth
  394. of Unix systems in 1988, with approximately two-thirds of that eramarked for
  395. the defense agency.)  According to recent published reports, US Department of
  396. Defense officials are so concerned about the security aspects of both AT &
  397. T's System V and OSF's Unix offering that they may try to force the two
  398. groups together to come up with an acceptable operating system.
  399.    Recently, in response to the latest outbreak of computer viruses, the
  400. Defense Department formed the Computer Emergency Response Team (CERT).  CERT
  401. is a group of experts who will be available to fly to federal sites around
  402. nation to assist in fighting viruses.  Last December, /Usr/Group, the Unix
  403. trade association, applauded the establishment of CERT and suggested that the
  404. computer industry supplement these government efforts by agreeing on standard
  405. procedures for dealing with emergencies such as viruses.  The user group
  406. recommended considering the best way to disseminate information when computer
  407. networks are artificially congested through viruses or other exceptional
  408. network problems.
  409.    The government also supports Unix security improvements through its
  410. testing procedures.  In late 1986, the National Security Agency's National
  411. Computer Security Center studied a prototype secure system derived from
  412. AT & T's Unix System V, Release 2.  The study assigned that system with the
  413. B2-level of assurance requirements defined in the Trusted Computer System
  414. Evaluation Criteria (TCSEC).  The study concluded that is possible to build
  415. a B2, B3, or A1 system with an interface very much like that of Unix.
  416. However, it also concluded that major problems exist with today's common
  417. Unix implementations.
  418.    Fortunately, vendors have started to respond to the government's security
  419. concerns.  Several firms have announced secure versions of Unix to help them
  420. capture contracts with organizations such as aerospace companies.  The
  421. Department of Defense issued Directive 5200.28 last year, requiring that by
  422. 1992 virtually all multiuser computer systems meet at least the C2 level of
  423. the TCSEC.  This level provides for need-to-know protection, audit capabi-
  424. lity, and user accountability.  Certain vendors have announced that they are
  425. seeking even higher levels of security.  AT & T's next release of Unix is
  426. expected to have C2-level security features.
  427.    In addition, the Department of Commerce's NIST, which develops standards
  428. for the civilian agencies of the federal government and interfaces with the
  429. private sector, has a Unix security project.  Posix is concerned with
  430. security standards efforts associated with IEEE P1003.6, which is an
  431. inetrface-specific standard.  The objectives and scope of this effort are to
  432. establish functional interface standards consistent with but not limited by
  433. the TCSEC.  Elements of Posix wil include basic security mechanisms, discre-
  434. tionary access controls, auditability mechanisms and nondiscretionary access
  435. controls.
  436.    Without a doubt, Unix security will improve over time.  How it will
  437. improve and the costs involved in increased security are less certain.
  438. Those decisions await the push of an organized IS community.
  439.    IS has a major stake in improving Unix security, but only such that the
  440. security serves other IS needs.  If upgrading Unix security interferes with
  441. information flow or complicates network management, it will continue to
  442. receive insuffiecient attention.  A balance between production and protec-
  443. tion will have to be addressed.
  444.    IS managers have an absolute right to impress upon vendors their interest
  445. in security improvements within certain rpoduct lines.  IS can also make it
  446. quite clear to the Unix standards groups that these organizations must agree
  447. on security as a priority area, aside from their other disagreements
  448. concerning standards.
  449.    Finally, IS can advise and work with the government to define the security
  450. needs of the private sector.  Firms should get into both the definition and
  451. decision loops at this time or be prepared to stand around and complain after
  452. some very essential decisions have been made.  By that time, it may be too
  453. late to do very much.
  454.    The Internet virus attack brought Unix security problems out into the
  455. open.  Ironically, the attack took place while major efforts were already
  456. under way to improve the security of this operating system.  Eventually,
  457. secure Unix may no longer be a contradiction in terms.
  458.  
  459. ============================================================================
  460.  
  461.  
  462. Did you like it? I hope so. Thanks a
  463. bunch to Nightcrawler (516) for
  464. contributing it!
  465.  
  466. Welp, that's all for ATI35. ATI36
  467. will be out within the next week. We
  468. promise. Look forward to a LOT of
  469. good stuff. In the meantime, stay
  470. cool, and remember....It's better to
  471. be pissed off then pissed on!
  472.  
  473. Ciao...