immer mehr Sicherheitslöcher in der Software
In den USA ist es gelungen, remote (also von der Ferne) in die Steuerung eines Autos einzugreifen:
http://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway/
Ich finde es unverantwortlich, wie offensichtlich mit purer Unkenntnis die IT-Systeme in Autos aufgerüstet werden ohne Sicherheit GROSS zu schreiben.
In dem oben genannten Fall war das Bordnetzwerk des Autos offensichtlich sogar ans Internet angebunden!
Das ist absolut fahrlässig und sollte niemals so entwickelt werden.
Es wäre auch ein völlig falscher Ansatz die Systeme jetzt und in Zukunft zu patchen. Die Systeme müssen so entwickelt und implementiert werden, dass sie ganz grundsätzlich keine Verbindung zu einem Netzwerk haben. Dies trifft auch auf die Systeme von BMW und vermutlich anderer Hersteller zu.
Was meint ihr?
Beste Antwort im Thema
Zitat:
@Diedicke1300 schrieb am 23. Juli 2015 um 14:46:40 Uhr:
Ich finde eher die krimminelle Energy unverantwortlich die da reingesteckt wird um solche Systeme zu hacken.
Unter krimineller Energie verstehe ich, dass eine Schadensabsicht dahinter, was hier eindeutig nicht der Fall war. Hier ging es um eine Demonstration der Möglichkeiten.
18 Antworten
Zitat:
@gruni1984 schrieb am 28. Juli 2015 um 11:45:28 Uhr:
Aber erst jetzt wo Hacker öffentlich zeigen welche Lücken dort aufgerissen wurden wird überhaupt reagiert.
Das grundsätzliche Problem von aktio und reaktio, wie soll man eine Lücke schließen, wenn man nicht weiß, dass da eine ist?
Das klappt nicht mal bei "einfacher" Mechanik, weil dort bestimmte Wechselbeziehungen nicht vorher absehbar sind, bei vielen unterschiedlichen Test vorher nicht auftreten und dann in der Masse zu einem tatsächlichen Problem mit Rückrufen führt.
PC ist das beste Beispiel, denn man benötigt immer noch tägliche Updates vom Virenschutz; man hat Software, die aktuell vom Markt genommen werden muss, weil die nicht sicher zu bekommen ist; und mal davon abgesehen, dass das größte Unsicherheitsproblem rund 40cm vor dem Monitor sitzt.
Zitat:
Das grundsätzliche Problem von aktio und reaktio, wie soll man eine Lücke schließen, wenn man nicht weiß, dass da eine ist?
Nennt sich in der Informatik Testsheets und dafür gibt es sogar eine eigene Phase: die Testphase, bzw. Realisierung bei ITIL. Damit bleibt nur aktio.
Zitat:
PC ist das beste Beispiel, denn man benötigt immer noch tägliche Updates vom Virenschutz; man hat Software, die aktuell vom Markt genommen werden muss, weil die nicht sicher zu bekommen ist; und mal davon abgesehen, dass das größte Unsicherheitsproblem rund 40cm vor dem Monitor sitzt.
75,01% der Risikofaktoren sind laut Kaspersky gefakte URLs. Scripte, Trojaner, Würmer, Viren und Tracking-Cookies nehmen damit nur einen recht geringen Anteil ein.
Keine Software wird wegen Sicherheitsaspekten vom Markt genommen. Das passiert nur, wenn der Support eingestellt wird, Inkompabilitäten zu Schnittstellen existieren oder eine neue Cashcow generiert werden muß.
Zitat:
@downforze84 schrieb am 29. Juli 2015 um 02:54:49 Uhr:
Nennt sich in der Informatik Testsheets und dafür gibt es sogar eine eigene Phase: die Testphase, bzw. Realisierung bei ITIL. Damit bleibt nur aktio.Zitat:
Das grundsätzliche Problem von aktio und reaktio, wie soll man eine Lücke schließen, wenn man nicht weiß, dass da eine ist?
Wer testet wird auch Fehler finden. Man sollte natürlich einplanen, diese dann auch zu reparieren - da würde sich der Kreis schliessen (also reaktio). Übrigens kommt man immer mehr davon weg, Tests nur als "eigene Phase" zu sehen: die sind auch Teil der Entwicklungsphase und passieren auch kontinuierlich.
Zitat:
@downforze84 schrieb am 29. Juli 2015 um 02:54:49 Uhr:
75,01% der Risikofaktoren sind laut Kaspersky gefakte URLs. Scripte, Trojaner, Würmer, Viren und Tracking-Cookies nehmen damit nur einen recht geringen Anteil ein.Zitat:
PC ist das beste Beispiel, denn man benötigt immer noch tägliche Updates vom Virenschutz; man hat Software, die aktuell vom Markt genommen werden muss, weil die nicht sicher zu bekommen ist; und mal davon abgesehen, dass das größte Unsicherheitsproblem rund 40cm vor dem Monitor sitzt.
Eine gefakte URL per se ist aber noch kein vollendeter Angriff. Da müsste dann auch noch jemand darauf hereinfallen und diese bspw. anklicken. Was dann passiert, wäre bspw vielleicht ein phishing Angriff (User denkt, die URL habe zu seiner Bank, PayPal oder Amazon geführt und gibt auf der falschen Seite seine Kennungs- Daten ein) oder das Einschleusen eines Virus, Wurms, Trojaners von der Seite, unter Ausnutzung von Sicherheitslücken.
Zitat:
@downforze84 schrieb am 29. Juli 2015 um 02:54:49 Uhr:
Nennt sich in der Informatik Testsheets und dafür gibt es sogar eine eigene Phase: die Testphase, bzw. Realisierung bei ITIL. Damit bleibt nur aktio.
Für Dich ist das Thema offensichtlich auch "Neuland"?
Ich bin seit 89 da drin und es gibt keine einzige Soft- oder Hardware, die unangreifbar ist
Zitat:
75,01% der Risikofaktoren sind laut Kaspersky gefakte URLs. Scripte, Trojaner, Würmer, Viren und Tracking-Cookies nehmen damit nur einen recht geringen Anteil ein.
Das ist die momentane Angriffsituation und nicht die Gefährdung.
Die Gefährdung ist, dass ein einziger Schädling 100% aller Rechner übernehmen kann.
Zitat:
Keine Software wird wegen Sicherheitsaspekten vom Markt genommen. Das passiert nur, wenn der Support eingestellt wird, ...
Hier passt etwas nicht: wenn es nur aktio ist, wozu benötigt man dann einen Support?
Die Software, die momentan vom Markt genommen wird, ist Flash. Selbst der "Hersteller" hat begriffen und eingestanden, dass dieses Produkt nicht sicher zu bekommen ist.
Und wie würdest Du es bezeichnen, wenn Hersteller per zwangsweisem Sicherheitsupdate permanent Teile oder die gesamte Software austauscht, ist eine dll keine Software, sind die mit Testsheeds beschäftigten Mitarbeiter alles Vollpfosten?
Neuland oder in dem Bereich tätig mit Loyalitätsanworten, irgendwas mit Google oder Apple, gegen die selbst ein Pofalla nur ein Vorschüler ist?