Antivirus-Software und andere Sicherheitsprogramme sind oft selbst voller Gefahren. Der für das Google-Projekt Zero tätige Tavis Ormandy hat vor kurzem eine ganze Serie äußerst schwerer Sicherheitsschwachstellen in fast allen gängigen Virenschutzprogrammen aufgedeckt. Auffallend ist nicht, dass Anti-Viren-Programme auch Sicherheitslöcher aufweisen, sondern dass diese oft besonders peinlich und völlig vermeidbar sind.
Wenn es um die Abwehr geht, sind die Virenschutzprogramme oft sehr schlecht: Keines der beiden Systeme verwendet einen Sandkasten, es werden oft Schutzmechanismen wie Memory Randomization (ASLR) oder Stack-Cookies ausgenutzt. Chromentwickler Justin Schuh beschrieb vor kurzem die Anti-Viren-Software als das größte Hemmnis für die Erstellung von sicheren Browsern in einer heftigen Twitter-Diskussion und kritisierte sie später in einem Blog-Eintrag.
Der Sicherheitsexperte King von Mozilla war sich einig und schreibt, dass Anti-Viren-Software oft zu Sicherheitsproblemen in Mozilla führen kann. Das ärgert Browser-Entwickler: Um neue Daten so schnell wie möglich zu prüfen, greifen Virenschutzprogramme oft unmittelbar in den Browser-Prozess ein. Das bedeutet auch, dass Sicherheitslöcher in der Virenschutzsoftware dazu führen können, dass die Sicherheit von Browsern auf einmal nicht mehr gewährleistet ist. Darüber hinaus gibt es häufig Widersprüche zwischen dem Betrieb von Virenschutzprogrammen und anderen Abwehrmechanismen.
Dies zeigt sich insbesondere in der weit verbreitet praktizierten Installation eines zusätzlichen Root-Zertifikats im Webbrowser und dem damit verbundenen Abbau verschlüsselter TLS-Verbindungen durch Man-in-the-Middle-Angriffe. Dadurch wird fast immer die TLS-Implementierung gefährdet. Insbesondere Virenschutzlösungen auf Netzebene verwenden Man-in-the-Middle-Proxys zum Lesen von TLS-Verbindungen. In manchen Fällen verwendet jedoch auch die auf dem Kunden eingesetzte Software vergleichbare Verfahren.
Wenn Sie wissen wollen, warum Sicherheitsfachleute so wenig von Anti-Viren-Software halten, sollten Sie wissen, wie sie tatsächlich abläuft.