Inhaltsverzeichnis

Sicherheit

Sicherheitslücken melden / Zerforschung

suchen ohne besonders ausgewertet zu werden

Wenn man die Suchmaschine Google (wird nicht umsonst als "Datenkrake" bezeichnet) benutzt, dann werden agressiv daten gespeichert, aus denen man indirekt diverse Rückschlüsse ziehen kann. Ehemalige Mitarbeiter von Facebook und Google haben die Suchmaschine Qwant als Alternative vorgeschlagen. Mir reagiert Qwant aber zu langsam, deshalb benutze ich Ecosia. Ecosia wird ebenfalls als Alternative Suchmaschine zu Google empfohlen und in meiner persönlichen Nutzung habe ich mit Ecosia genauso gute Treffer bekommen, wie mit Google. swisscows wird ebenfalls als Alternative Suchmaschine zu Google empfohlen, es ist die Suchmaschine für die ganze Familie, d.h. es werden alle nicht jugendfreien Inhalte rausgefiltert.

Seit vor Startpage gewarnt, denn die haben exakt die gleichen Treffer wie Google, demnach ist das nur ein anderes Front-End, sie nutzt aber wohl das selbe Back-End wie Google.

Security Key

Security Key

FIDO2

Sicherheitsmeldungen

Warum 123456 als Passwort okay ist

Autos per SMS öffnen und anlassen

Quelle (2011-08-04): http://www.golem.de/1108/85476.html

Mobilfunkmodule in GPS-Geräten mit GSM-Einheit oder Autos sind anfällig für GSM-Angriffe. Das haben die Sicherheitsexperten Don Bailey und Matthew Solnik auf der Konferenz Black Hat demonstriert und warnen: Auch wichtige Industrieanlagen sind gefährdet.

Mit Kurznachrichten, die per SMS verschickt werden, lassen sich auch Geräte hacken - das hat der Sicherheitsforscher Don Bailey zusammen mit Matthew Solnik demonstriert. Dazu müsse nur ein Mobilfunkmodul in diesen Geräten stecken, erklärten sie in dem Blackhat-Vortrag "War Texting: Identifying and Interacting with Devices on the Telephone Network".

Solche Module gibt es mittlerweile in vielen Geräten: in GPS-Geräten, mit denen sich beispielsweise Eigentum verfolgen lässt, in 3G-Sicherheitskameras oder Scada-Sensoren. Mit solchen Geräten kann der Anwender per SMS kommunizieren, um herauszufinden, ob das Gerät da ist, um Daten anzufordern oder ein Firmwareupdate durchzuführen.

Einige Systeme erhalten Firmware-Updates über GSM-Netzwerke (Firmware Over The Air, FOTA). Solche FOTA-Updates muss und kann der Anwender allerdings nicht bestätigen, sie kommen automatisch. Entsprechend lassen sich Angriffe auf GSM-Hardware konstruieren aber nur schwer verhindern.

Den Sicherheitsforschern gelang so nicht nur der Hack an einem GPS-Trackinggerät Zoombak, sondern auch an einem Kraftfahrzeug, wie SC Magazine berichtet. Vor Publikum wurde ein Sicherheitssystem in einem Subaru Outback gehackt. Von wem das Sicherheitssystem stammt, wurde nicht gesagt, um dem Hersteller Zeit zu geben, das Problem zu beseitigen. Zunächst wurden per Mobilfunk die Türen entsperrt, dann wurde der Motor angelassen.

Zwei Stunden Arbeit, um mit dem Auto zu kommunizieren

Nur zwei Stunden soll es gedauert haben, ein eigenes GSM-Netzwerk aufzubauen und herauszufinden, wie mit dem Fahrzeug direkt kommuniziert werden kann. Dem Auto wurde ein Server vorgegaukelt, der mit ihm kommunizieren durfte. Der Angriff selbst war laut der Präsentation dann allerdings komplizierter, da Reverse Engineering betrieben werden musste und beispielsweise eine Firmware geschrieben werden musste. Angriffe auf einen Basebandprozessor gingen auch, setzen aber voraus, dass eine Sicherheitslücke gefunden wird.

Angreifer könnten ohne Schwierigkeiten in Mobilfunknetzen angreifbare Systeme identifizieren, berichtet das SC Magazine. Sind diese erst einmal gefunden, lassen sich die Nachrichten zwischen dem System und Server abfangen und eigene Nachrichten absetzen.

CNN sagte Bailey, er könne mit dieser Methode tausende Fahrzeuge öffnen, das sei aber nicht das Spannende an dem Angriff. Gefährlich sei vielmehr der Umstand, dass sich dieselben Systeme in Telefonen, Energiesystemen und Verkehrsleitsystemen befänden. Gerade die Angreifbarkeit solcher Industriesysteme sei gefährlich. Experten warnen bereits ausdrücklich vor weiteren Sicherheitsproblemen in Scada-Systemen. Im Jahr 2010 wurde die Angreifbarkeit von Industrie-Systemen durch den Hack einer iranischen Atomanlage eindrucksvoll demonstriert. Der professionelle Angriff auf ein Scala-System wurde mit dem Stuxnet-Wurm durchgeführt.

Bailey und Solnik haben die Präsentation des Vortrags veröffentlicht und wollen in Kürze zusätzliche Analysewerkzeuge auf der noch nicht funktionierenden Webseite wartexting.org veröffentlichen.

Sicherheitslücken in Software

In meiner Lehre hatte ich gelernt, dass in 1MB Binärkode mind. ein unentdeckter Fehler steckt.

Auf Wikipedia steht zum Thema Sicherheitslücken folgendes:

… Sicherheitslücken sind symptomatisch für Programme, welche mit Programmiersprachen geschrieben wurden, die in Hinblick auf Performance optimiert sind (beispielsweise C oder Assembler) und aufgrund ihres Programmiermodells anfällig für Fehler sind (Stichwort: Zeigerarithmetik). Durch die weite Verbreitung von derartigen Programmiersprachen, dem hohen Zeitdruck in der Softwareerzeugung, verbunden mit dem ausgeprägten Kostendruck der Softwareerzeugerfirmen und dem wenig sensiblen Umgang mit dem Thema sichere Software sind Sicherheitslücken eher die Regel als die Ausnahme. … Einige massive Probleme und Fehler könnten heute einfach vermieden werden, wenn statt den sehr systemnahen Sprachen, die eine direkte Adressierung von Speicherbereichen zulassen, Programmiersprachen wie zum Beispiel Modula-2, Eiffel, Oberon oder Component Pascal, in den jeweils entsprechenden Versionen, verwendet würden; nachweislich können Betriebssysteme und Treiber damit ebenfalls sehr effizient geschrieben werden.

Ich möchte noch hinzufühgen, dass sich für die Entwicklung von "sauberem" Kode insbesondere die Vertreter der Deklarativen Programmiersprachen (4. Generation) gut eignen.

  1. eine Programmiersprache der 1. Generation ist z.B. Assembler;
  2. eine Programmiersprache der 2. Generation (Imperative Programmiersprache) ist z.B. C
  3. Programmiersprachen der 3. Generation (Objektorientierte Programmiersprachen) sind z.B. C++ und Java
  4. Programmiersprachen der 4. Generation (Deklarative Programmiersprachen) sind z.B. LISP, Scheme, Racket und Haskell

Wird von „Programmierung in Maschinensprache“ gesprochen, ist heute üblicherweise die Programmierung in Assemblersprache gemeint.