Forensic Investigations / Fi Blog

Fi Blog

Die Hersteller der Automatisierungsbranche sind in puncto Sicherheit der IT-Branche immer noch weit hinterher, obwohl sie hier noch wichtiger ist als in der Office-IT. Die IT-Sicherheit ist essentielle Grundlage jeder Betriebssicherheit („Safety“). Dennoch tauchen immer wieder gravierende Sicherheitsmängel auf, die hier schon oft thematisiert wurden. Die Branche übernimmt nicht in ausreichendem Maße die Verantwortung für Ihre Produkte und wälzt somit Kosten und Risiken auf die Anwender ab.

ReVuln "0day" video

Unabhängige Sicherheitsforscher, die solche Risiken aufdecken, sehen in aller Regel keinerlei Lohn für ihre Arbeit oder werden gar noch juristisch bedroht. Fehler werden gerne lieber klein geredet statt sie konsequent zu beheben. Nun ziehen einige Akteure die Konsequenzen daraus. Die Firma ReVuln verkauft die Schwachstellen nun einfach – mit positiven wie negativen Konsequenzen.

Hinter ReVuln stehen Donato Ferrante und Luigi Auriemma – letzterer ist u.a. bereits durch die (kostenlose) Erforschung und Veröffentlichung einiger Sicherheitslücken im Industriebereich und die Entdeckung einer Lücke im Remote Desktop Protocol (RDP ) von Windows kein Unbekannter.

Entsprechend dem Video sollen konkret folgende Hersteller betroffen sein:

Eaton

  • 2x Remoteausführung beliebiger Befehle/Remote Shell
  • 1x Übernahme bestehender Sitzungen ("Session Hijacking") mit Remote Shell

General Electric Energy

  • 2x Remoteausführung beliebiger Befehle
  • 2x Herunterladen von beliebigen Dateien

Kaskad

Bild aus der ReVuln "0day" Demo

  • 1x Remoteausführung beliebiger Befehle

Rockwell Automation

  • 1x Remoteausführung beliebiger Befehle

Schneider Electric

  • 1x Remoteausführung beliebiger Befehle

SIEMENS

  • 1x Remoteausführung beliebiger Befehle

"Null Disclosure"

In welchen Produkten diese Lücken konkret enthalten sind, gab ReVuln naturgemäß nicht an. Im Gegensatz zu den bisherigen Veröffentlichungen, die nur "Proof of Concepts" (PoCs) waren, handelt es sich bei den Vorführungen im Video offenbar um vollwertige Exploits . PoCs können nur von Experten zu vollwertigen Exploits ausgearbeitet werden – PoCs selbst eignen sich nicht, ein System vollständig zu kapern. Mit fertigen Exploits ist dies jedoch auch für einen Laien leicht möglich.

Die Firma arbeitet offenbar – ähnlich dem französischen Schwachstellen-Broker VUpen – nach dem nicht unumstrittenen, sogenannten "Null Disclosure" Prinzip.

Schwachstellen werden dabei nicht an den Hersteller gemeldet, sondern auf dem Graumarkt (Schwarzmarkt?) gehandelt. Erfährt der Hersteller von der Sicherheitslücke und kann diese entsprechend beheben, ist die Lücke "verbrannt". Aufkäufer solcher sogenannter "Zero Days" sollen dabei hauptsächlich Geheimdienste sein. Diese nutzen sie mutmaßlich, um in Netze in anderen Staaten einzudringen oder Trojaner auf die PCs Ihrer Bürger einzuschmuggeln.

Wie es kommen musste

Nach der bisherigen Haltung der Branche ist es kaum verwunderlich, dass nun nach diesem Prinzip gearbeitet wird. Die Hersteller haben ihre Hausaufgaben nicht erledigt, diese von anderen erledigen lassen, und dann abgeschrieben – für die geleistete Arbeit hat wohl keines der allgemein gut verdienenden Unternehmen bezahlt, teilweise wurde die Fehlerbehebung gar noch boykottiert .

Ich kenne das nur zu gut, beispielsweise habe ich SIEMENS mehrmals angeboten, bei der Behebung der Mängel in ihren Produkten zu helfen – ohne Erfolg. Man vertraut weiterhin felsenfest den eigenen Leuten, die sich seit Jahren nicht gerade mit Ruhm bekleckern (Zitat eines US-Kollegen: „fundamentally flawed product“).

Sicherheitsforschung: Geschäftsmodelle und Verantwortungsbewusstsein

Es ist nur dem Verantwortungsbewusstsein von uns Sicherheitsforschern zu verdanken, dass bisher noch wenig ernsthaftes passiert ist – dennoch möchten wir unsere Arbeit wie jeder andere gerne bezahlt bekommen. Prinzipiell gibt es fünf Möglichkeiten:

  1. an den Hersteller geben (der will aber nichts zahlen, und ich habe nichts zu verschenken)
  2. an die Anwender geben (die können aber nichts dagegen machen, wollen ebenfalls nichts bezahlen, da ja ihr Hersteller verantwortlich ist)
  3. an irgend wen geben (will aber ich wieder nicht, da dies m.E. verantwortungslos ist)
  4. veröffentlichen (bringt kein Geld und birgt Risiken, wenn Details angegeben werden – falls nicht werden die Bugs einfach ignoriert)
  5. auf den „Zero Days“ sitzen bleiben (dafür habe ich mich momentan entschieden)

Würden wir die Lücken einfach an jemand beliebigen geben, der dafür zahlt, wäre der GAU wohl schon längst eingetreten – dies ist jedoch leider das einzige Modell, das momentan wirtschaftlich funktioniert. Wenn die Hersteller Probleme ignorieren, spielt die Zeit in jedem Fall gegen ihre Anwender – auf dem Schwarzmarkt gibt es ebenso Leute, die Sicherheitslecks finden können, und diese werden sicher keinerlei solche Skrupel haben, diese gewinnbringend zu nutzen.

Die Stunde der Wahrheit

Microsoft hat seine Lektion bereits vor über 10 Jahren gelernt . Für die Automatisierungsbranche steht dies nach wie vor aus. Da diese Systeme traditionell isoliert(er) waren, jetzt aber zunehmend vernetzt werden (Machine2Machine-Kommunikation , Manufacturing Execution Systeme , Enterprise Resource Planning , Fernwartung, ...), sind sie genauso von der allgemeinen Entwicklung betroffen wie die IT, wenn auch etwas zeitverzögert.

Die Stunde der Wahrheit ist gekommen – wer jetzt nicht handelt, wird vielleicht vom Markt weg konsolidiert werden. Hersteller, die die Sicherheit ihrer Kunden wirklich ernst nehmen, sollten ein "Bug Bounty" Programm anbieten, das Sicherheitsforscher angemessen für ihre Arbeit entlohnt, wie ich es seit Jahren fordere – alles andere ist nur hohles Marketing-Geschwätz ("Selbstverständlich nehmen wir die Sicherheit unserer Kunden sehr ernst" – nicht nur sagen, zeigen!).

Es ist bedauerlich für alle Anwender, die jetzt unter Umständen die Leidtragenden sind, dass es so weit kommen musste. Ein solch brutaler Weckruf für die Branche war aber abzusehen und ist scheinbar auch unausweichlich.

Ein solches Risiko für die Anwender war absolut vermeidbar, hätten die Hersteller die Verantwortung übernommen – auch in finanzieller Hinsicht, schließlich sind dies letztendlich Kosten, die man bei der Produktentwicklung eingespart hat, offensichtlich aber hätte investieren müssen.

Sollte ein Vertreter der betroffenen Unternehmen dies lesen – wir sind auf der SPS/IPC/Drives 2012 und bereit zu helfen (Terminabsprache zwingend erforderlich – wir haben keinen eigenen Stand).


Die CoDeSys Runtime der Kemptener Softwareschmiede 3S Smart Software Solutions GmbH ist ein Programmiersystem für speicherprogrammierbare Steuerungen (SPS) nach IEC 61131-3 .

Das System wird von Leittechniksystemherstellern (OEMs ) als Software-Basis verwendet. Zu dem Kunden von 3S Smart Software Solutions gehören laut Referenzliste mehr als 250 mehr als 350 Hersteller, u.a. Größen wie ABB, Alstom, Beckhoff, Bosch Rexrodt, Eaton, MAN, Mitsubishi, Schneider Electric und WAGO.

Durch ein Sicherheitsleck ist es u.a. möglich, ohne Authentifizierung

  • Dateien von und zur SPS zu übertragen
  • beliebige Kommandos auszuführen (Root-Shell)
  • Anwendersoftware von der SPS zu stehlen und die SPS neu zu programmieren.

Die Implementierung der CoDeSys Runtime durch den jeweiligen OEM-Hersteller kann gegebenenfalls gar nicht oder nur teilweise für diese Fehler anfällig sein. Welche Hersteller bzw. Produkte genau betroffen sind, ist nicht abschließend bekannt – die Liste der Geräte, die das System benutzen ist lang. Bisher ist jedoch lediglich ein einzelner Hersteller entdeckt worden, dessen Produkte nicht anfällig für die Sicherheitslücken sind.

Wir haben unsere Bestandskunden am ersten Tag des Bekanntwerdens (25.10.2012) hierüber informiert.

Das ICS-CERT hat inzwischen auch eine Warnung veröffentlicht: ICS-ALERT-12-097-02A .

Stellungnahme des Herstellers

Auch CoDeSys reagierte mittlerweile, wenn auch mit einem relativ enttäuschenden Statement :

  • [...] Eine passwortgeschützte und öffentlich zugreifbare CODESYS Steuerung ist trotz Passwortschutz noch ansprechbar. So können [...] weiterhin etwa Kommandos mit der Shell der Steuerung ausgeführt oder Applikationen geladen werden.
    [...]
    Generell stellen wir in CODESYS keine Bordmittel zur Verfügung, die eine Steuerung vor einem ernsthaften Angriff aus dem Internet schützen sollen. Sollten wir dieses mit der vorhandenen Passwort-Funktion suggeriert haben, war das nicht beabsichtigt. [...]

Einschätzungsverfehlung

Noch im ersten Absatz wird noch von einem "Passwortschutz" gesprochen, später nur noch von "Passwort-Funktion". Eine solche Wortklauberei ist nicht zielführend. Welchen Zweck außer dem "Passwortschutz" eine "Passwort-Funktion" ansonsten haben sollte, bleibt die Erklärung ebenso schuldig.

Ist es realistisch, dass der Anwender annimmt, dass eine "Passwort-Funktion" etwa dazu dient

  • seine Fähigkeiten beim Maschineschreiben aufzufrischen oder
  • ihm helfen soll, den Arbeitstag herum zu bekommen?

Natürlich ist das absurd – die Benennung der Funktion und das allgemein Übliche definiert eine ganz klare Anwendererwartung.

Der Anwender konnte gar nicht erkennen, dass die "Passwort-Funktion" kein "Passwortschutz" ist. Gibt man von der CoDeSys-IDE aus das falsche Passwort an, wird der Zugang nämlich – genau wie erwartet – nicht gewährt. Lediglich durch andere Mechanismen wie selbstgeschriebene Programme ist es möglich, ohne Passwort zuzugreifen.

Kommunikationsverfehlung

Leider informiert dieses Statement auch nicht darüber, dass neben v2.3 auch noch andere – wahrscheinlich alle – Versionen betroffen sind, wie mittlerweile aus Fachkreisen zu hören ist. Ebensowenig wird klar kommuniziert, dass dieser Mangel ein kritisches Risiko darstellt, selbst wenn die SPS nicht vom Internet – also "öffentlich" – zugänglich ist und – wie empfohlen – durch Firewall(s) und VPN(s) geschützt ist. Des weiteren benötigt es dafür keinen "ernsthaften Angriff" um die Sicherheitslücke auszunutzen – ein Herumprobieren von 'Skript-Kiddies ' mit frei verfügbaren Werkzeugen genügt. Auch ein verärgerter Mitarbeiter ('malicious Insider') wird die Lücke ebenfalls ohne große technische Kenntnisse nutzen können.

Fazit

In puncto Kommunikation wurde ein Großteil von dem falsch gemacht, was falsch zu machen ist. Das Statement hat m.E. folgende Grundregeln verletzt:

  • die Problematik weder zu verharmlosen noch zu dramatisieren,
  • nicht zu versuchen, unhaltbare Entschuldigungen oder Ausreden zu suchen,
  • objektiv richtig, klar und eindeutig zu sein,
  • konstruktive Hilfestellung statt bekannten Phrasen und Allgemeinplätzen zu bieten
  • einen Ausblick auf eine Problemlösung für den Endanwender zu bieten

Gerne beraten wir Hersteller und Anwender auch in Kommunikationsfragen bei Sicherheitsvorfällen.

Immerhin hat man wohl für OEM-Kunden eine fehlerbereinigte Version bereitgestellt. Ob und wann die OEMs diese Fehlerbereinigung in Ihre Produkte integrieren, bleibt jedoch dem einzelnen Hersteller überlassen. Schön wäre es, wenn CoDeSys seine OEMs aktiv anhalten würde, die Fehlerbereinigung auf Ihre Geräte anzuwenden, aktualisierte Firmware bereitzustellen oder zumindest einen Zeitplan zu nennen – geht dies doch auf ursächlich auf das Unternehmen zurück.

Der Sachschaden für einen offensichtlich vermeidbaren Fehler ist enorm –

  • i Hersteller x j Produkte x k Anwender x m Installationen x n € pro Feld-Upgrade

extrem konservative Abschätzung:

  • 100 Hersteller x 1 Produkt x 100 Anwender x 10 Installationen x 50 € pro Feld-Upgrade = 5 Mio. € +++ verbrannt

– dies zeigt die besondere Verantwortung von Platformanbietern. Kosten für die OEMs sind dabei noch nichtmal mitberechnet.

Leider erfährt der Endanwender bisher noch nicht einmal, ob sein Gerät betroffen ist oder nicht.

Kostenloser Test

Wenn Sie uns ein Exemplar Ihrer Steuerung postalisch zukommen lassen, testen wir diese kostenlos auf den Fehler! (Nur nach vorheriger Absprache , Rückversand erfolgt unfrei. Wir behalten uns vor, den kostenlosen Test auch ohne Angabe von Gründen abzulehnen.)

Automatisierte Tools können dies bei der Vielfalt der unterschiedlichen Implementierungen durch die einzelnen Hersteller gegenwärtig (noch) nicht leisten.

Gerne testen wir Ihre Systeme auch vor Ort (normal kostenpflichtig) professionell und neutral auf die Existenz dieser und anderer Schwachstellen.

UPDATE 23.11.2012: 3S / CoDeSys hat die Homepage überarbeitet. Die Listen der Hersteller und Geräte, die das System einsetzen, lässt sich nicht wieder auffinden, weder über die Homepage noch über Google. Links aktualisiert bzw. entfernt.

UPDATE 19.12.2012: Der 3S / CoDeSys Support hat mir geschrieben, die Homepage sei zur SPS/IPC/Drives 2012 auf das neue CI Design umgestellt worden. Es sei unrichtig, dass die Geräteliste jemals nicht mehr auf der Homepage verfügbar war. Möglich, dass ich sie nur übersehen hatte und Google die neue Seite noch nicht indexiert hatte. Auf jeden Fall ist sie auch auf der neuen Seite online . Hier ist gar von über 350 Herstellern die Rede.

Auf meine Nachfrage, welche Geräte nun konkret von dem Problem betroffen seien und wie der aktuelle Status zur Verfügbarkeit von Updates der einzelnen Hersteller sei, erklärte man, dass man dazu nichts sagen könne, da die OEMs keine Rückmeldung gäben und man nicht wisse, welche Varianten und Versionsstände in Ihren Produkte integriert wurden.


RuggedCom, Hersteller von Netzwerktechnik, die besonders für den Einsatz in den kritischen Bereichen Energie, Militär, Transportwesen und produzierendem Gewerbe angepriesen wird, schreibt die neueste Posse bei den nicht abreißenden Pannenserien in der Leittechnik.

Bereits vor über einem Jahr war der Hersteller von dem Sicherheitsforscher Justin W. Clarke benachrichtigt worden, dass sich die Zugangspassworte zu seinem mit dem "Rugged Operating System" (ROS) ausgerüsteten Geräten ganz leicht anhand deren MAC-Adressen berechnen lassen. Der Hersteller räumte die Sicherheitslücke zwar offenbar ein, boykottierte aber deren Beseitigung. Nicht einmal die Einschaltung des US-CERT konnte den Hersteller dazu bewegen, diesen Mangel zu beheben, obwohl dessen Beseitigung -zumindest für den Hersteller- sicherlich trivial und mit vergleichsweise geringem Aufwand verbunden gewesen wäre.

Die Bezeichnung "Rugged" (dt. robust, stabil) mutet in diesem Kontext deshalb einmal mehr wie ein schambefreiter Marketing-Hype an. Es lässt sich nicht genau festmachen, ob es mangelndes Sicherheitsbewusstsein, Fehlorganisation, mangelnde Kultur beim Umgang mit eigenen Fehlern, bloße Ignoranz, gar Absicht oder eine Kombination dieser Faktoren ist, die dazu führen, dass hier nicht gehandelt wird. Vielleicht sollten sich solche Herstellerfirmen hier an den Weisheiten der Shaolin-Mönche orientieren:

  • Lernen ohne zu denken ist umsonst,
    denken ohne zu lernen ist gefährlich.
    Einen Fehler zu begehen und ihn nicht zu korrigieren,
    erst das heißt wirklich einen Fehler zu begehen.

Es ist eigentlich fast unmöglich, dass einem ein solcher gravierender Mangel selbst bei einer nur einigermaßen gewissenhaften Prüfung der eigenen Produkte "durch die Lappen" geht. Das ein solch gravierendes Problem aber nach über einem Jahr nicht abgestellt wurde, kann selbst mit Unfähigkeit schwerlich noch erklärt werden. Dabei kann es sich fast nur noch um gezielte Politik oder integrale, unter Umständen die eigene Existenz bedrohende Strukturmängel innerhalb des Unternehmens handeln.

Diese Politik kommt schon in der verwendeten Sprache zum Ausdruck - im Hersteller-Advisory spricht man lieber von einem "Problem" statt von einer knallharten Sicherheitslücke und sichert natürlich zu, dass dies überprüft wird. Es ist für mich äußerst fraglich, was man -nach mehr als einem Jahr- noch überprüfen möchte und noch nicht weiß, oder längst hätte wissen müssen.

Womöglich wird einmal mehr solange überprüft, bis wieder Gras über das "Problem" gewachsen ist, wenn das Thema wieder aus den Medien verschwunden ist. Dem Sicherheitsforscher, den man bei Dutzenden Zuschriften kaum mehr als ignoriert hat, dankt man noch recht höflich oder erklärt gar, dass diesem der Einblick in die Materie oder das Wissen um die Zusammenhänge fehle. Diese Strategien riechen irgendwie nach einem Deja Vu.

Ironie des Schicksals: RuggedCom war erst kürzlich von SIEMENS übernommen worden. Na dann - auf das zusammenwächst, was zusammen gehört!

UPDATE 30.04.2012: Das ICS-CERT hat ein aktualisiertes Advisory veröffentlicht, lt. dem der Hersteller beabsichtigt, innerhalb des nächsten Monats einen Patch zu veröffentlichen. RuggedCom hat seine Advisory-Seite aktualisiert und spricht nun klar von einer "factory backdoor". Der Hersteller will zudem die unsicheren (und in aller Regel unnötigen) Telnet- und RSH-Zugänge standardmäßig abschalten. Warum nicht gleich so.


SCADA Security Scientific Symposium (S4)

Im Rahmen des „Project Basecamp“ des „SCADA Security Scientific Symposium (S4)“ in Miami wurden Speicherprogrammierbare Steuerungen (SPSen, engl. Programmable Logic Controller (PLC)) und Remote Terminal Units (RTUs) wohl das erste mal unabhängig untersucht. Den Auftakt machte bereits letztes Jahr Dillon Beresfords Vortrag auf der BlackHat-Sicherheitskonferenz 2011 , der diverse Fehler wie Passwort-Replay und Backdoors in S7-Steuerungen von SIEMENS nachwies. Nun wurden Geräte verschiedenster Hersteller einer Untersuchung unterzogen. Wie nicht anders erwartet, sind dabei diverse Mängel aufgeflogen.

Eklatante Mängel in vielen Bereichen. Bild (c) Dale G. Peterson.

Von diesen Geräten wurden wieder hunderte Geräte am öffentlichen Internet gefunden. Bereits letztes Jahr hatten wir davor gewarnt , die Warnung scheint jedoch einige Anwender nicht erreicht haben.

Faktenlage ein offenes Geheimnis

Es ist ein offenes Geheimnis, dass in der Industrie eingesetzte Leittechnikkomponenten wie SPSen und RTUs extrem fehleranfällig sind. Dies ist jedem bekannt, der schon einmal ein Security Audit bzw. einen Penetrationstest im Industriebereich durchgeführt hat. Auch vielen Anwendern ist die Problematik bekannt. Selbst simpelste Tests wie Ping Sweeps oder übergroße Pakete bringen derartige Hardware oft zum Stillstand (Denial of Service (DoS)).

Entschlossenes Handeln leider Fehlanzeige

Trotzdem handeln sowohl Hersteller als auch Anwender nicht entschlossen genug, um eine bekannte Problematik in den Griff zu bekommen. Selbst der Stuxnet-Weckruf scheint nicht ausgereicht zu haben, dass die Hersteller ihre Geräte endlich sicher machen.

Obwohl die Hersteller zig Millionen mit ihren Geräten verdienen, müssen Sicherheitsforscher ohne jedes Budget Ihre Freizeit opfern, um solche Mängel im Sinne der Endanwender herauszufinden.

Die Anwender müssen hier darauf beharren, dass die Fehler beseitigt werden. Es kann nicht sein, Probleme als gegeben hinzunehmen, die im IT-Bereich niemals akzeptabel wären, obwohl die Auswirkungen im ICS-Bereich noch gravierender sein können.

Es bleibt abzuwarten, ob sich andere Hersteller hier professioneller verhalten als SIEMENS nach Beresfords Vortrag. Beim Elektroriesen verläuft offenbar alles im Sande: Probleme werden entweder ignoriert oder als Nicht-Problem umdefiniert.

Ich empfehle vorsorglich einen Blick auf das gute alte „Security Excuse Bingo “ - wenn Sie solche oder ähnliche Sprüche hören, läuft eindeutig etwas falsch...

UPDATE 11.04.2012: Aktualisierte Alerts des ICS-CERT; zu General Electric D20ME, Rockwell Automation / Allen-Bradley ControlLogix und MicroLogix, Schneider Electric Modicon Quantum und Koyo / Direct LOGIC H4-ES sind öffentliche Exploits erschienen. Informationen oben ergänzt und Links aktualisiert. Konkrete Problemlösungen sind bisher leider immer noch nicht vorhanden.

UPDATE 12.04.2012: Als wollten Sie mich Lügen strafen veröffentlicht Koyo als erster Hersteller Firmware-Updates; Abschnitt oben entsprechend ergänzt.


Innerhalb weniger Tage wurden zwei verschiedene Angriffe auf Betriebsstätten von US-amerikanische Wasserver- und Entsogungsbetriebe bekannt.

Pumpenschaden in Springfield, Illinois

Beim ersten Angriff wurde laut Bericht von The Register eine Pumpe mutmaßlich durch wiederholtes Ein- und Ausschalten zerstört. Die betroffene Anlage soll sich in Springfield, Illinois befinden und bereits mehrere Monate von Hackern infiltriert gewesen sein.

Die Angaben sollen aus einem offiziellen Regierungsbericht stammen, der einem Sicherheitsspezialisten zugespielt wurde. FBI und Department of Homeland Security (DHS) würden ermitteln, hieß es in einem offiziellen Statement des DHS.

Die Behörde hat jedoch offenbar darauf verzichtet, die Öffentlichkeit oder andere Betreiber solcher kritischer Infrastrukturen zu informieren.

Einbruch in South Houston, Texas

Durch den Vorfall und die Vorgehensweisen offizieller Stellen wurde offenbar ein weiterer Hacker auf den Plan gerufen. Er drang nach eigenen Angaben in die Systeme der Wasserver- und Entsorgung von South Houston, Texas ein und fertigte einige Screenshots des Systems an. Eine Beschädigung der Anlage lag jedoch offenbar nicht in seiner Intention.

Zu seinen Beweggründen sagte er, er sei es leid, dass das DHS dazu tendiere, den "absolut erbärmlichen Zustand der nationalen [kritischen] Infrastrukturen herunterzuspielen".

Der Hacker sagte im Interview mit ThreatPost, sein Angriff sei "kein Advanced Persistant Threat", kein Ergebniss "unglaublicher technischer Fähigkeiten", sondern "krasser Dummheit".

HMI-Bild der Abwasseraufbereitung Michigan Street, Satelitenfoto zum Vergleich

Er benötigte "so gut wie gar keine Kenntnisse", "ein zweijähriger mit SIMATIC-Grundkenntnissen könne einen solchen Angriff reproduzieren" ergänzte er in seinem Statement bei Pastebin.

Ursache für den Einbruch war offenbar ein direkt über das Internet erreichbare HMI-Bedienoberfäche des Wasserwerks in Kombination mit mangelhafter Kennwortsicherheit. Das Kennwort sei nur drei Zeichen lang gewesen, behauptet der Hacker.

Bewertung, Hoax oder nicht?

Solche Angriffe benötigen auf einer Kenntnisskala von 1 bis 10 sicher nur 1-2 Punkte. Mit 3-4 Punkten lassen sich gegen solche schwach geschützten und mit gravierenden Designfehlern behafteten Systeme schon Angriffe gegen Sicherheitslücken durchführen, die weltweite Auswirkungen haben könnten. Aber selbst viel trivialere Mittel als solche Exploits genügen oft bereits.

HMI-Bild Tank und Wasserturm in der Nevada Street, Satelitenfoto und Street View zum Vergleich.

Bestätigt wurde der zweite Angriff bisher nicht. Es wäre aber nicht das erste Mal, dass Automatisierungssysteme über das öffentliche Internet erreichbar sind . Die HMI-Bilder der Anlage entsprechen auf den ersten Blick bei der

HMI-Bild mit Rechtschreibfehler, Wassertank in der Virginia Avenue, Satelitenfoto und Street View zum Vergleich

Das Anlagenbild enthält hier zwar einen Schreibfehler ("Virgina" statt "Virginia"), was auch auf einen Hoax hindeuten könnte. Allerdings wäre für einen solchen Scherz sehr viel Aufwand erforderlich, weshalb ich nicht an ein Fake glaube.

Fraglich bleibt dann allerdings, warum die zuständigen Behörden einen solchen gravierenden Sicherheitsmangel nicht entdeckt haben, der noch dazu einfach und bequem vom Büroschreibtisch aus aufzuspüren ist.

UPDATE 29.11.2011: Der erste Fall (Pumpenschaden) passierte im Curran-Gardner Water District, Springfield, Illinois. Eine Warnung des Illinois State Terrorism and Intelligence Center (STIC) war in die Öffentlichkeit gelangt und bennante als Ursache einen Hackerangriff von russischen IP-Adressen. Das Dokument liegt Forensic Investigations vor. Der Vorsitzende der Wasserbetriebe, Don Craver, hatte in einem Interview ebenfalls bestätigt , dass es Anzeichen eines Einbruchs gegeben habe.

Das ICS-CERT verneint den Vorfall nun nicht explizit , sondern führt lediglich an, das dafür keine Beweise vorlägen. Kleiner aber feiner Unterschied. Es wäre auch ein ungutes Signal, wenn bekannt würde, dass kritische Infrastrukturen oftmals sehr leicht angreifbar sind. Forensic Investigations liegen weitere nicht-öffentliche Dokumente vor, aus denen hervorgeht, dass man genau solche Angriffe befürchtet.

Zu dem zweiten Vorfall in South Houston, Texas wird keine Stellung bezogen, was für sich ebenfalls aussagekräftig ist.

UPDATE 02.12.2011: Beim ersten Fall, dem Pumpenschaden im Curran-Gardner Water District, Springfield, Illinois handelte es sich nicht um einen Hackerangriff. Vielmehr war Jim Mimlitz, Techniker bei einem Dienstleister des Wasserwerks, gebeten worden, sich die Probleme mit der Pumpe anzuschauen. Er befand sich gerade im Urlaub in Russland - daher verzeichneten die Logs Zugriffe von russischen IP-Adressen unter seinem Login-Namen.

Das Wasserwerk alarmierte die Terrorismusabwehr Illinois State Terrorism and Intelligence Center (STIC), das FBI ermittelte, und das ICS-CERT bei der Heimatschutzbehörde DHS entsandte ein Einsatzkommando mit dem Flugzeug. Keiner dieser vier Akteure war schlau genug, das Offensichtliche zu tun: den Dienstleister anzurufen und zu fragen, ob und von wo er sich eingeloggt hatte. Das STIC machte sich offenbar auch mehr Sorgen darum, wie sein vertraulicher Bericht an die Öffentlichkeit gelangen konnte, als um die Verifikation des Inhalts. Mit dem angeblich gehackten Dienstleister hat man vor der Veröffentlichung der Warnung noch nicht einmal Kontakt aufgenommen.

Laut Mimlitz' Aussage war es außerdem klar ersichtlich, dass ein mechanischer oder elektrischer Schaden Ursache für das Pumpenversagen war. Das eigentlich Interessante in dem Interview mit Jim Mimlitz ist jedoch, dass das System für den Remote-Zugriff uralt und offenbar völlig fehlkonfiguriert war, was ständig Probleme bei der Anmeldung verursachte. Mangelnde Wartung und fehlerhafte Konfiguration solcher Systeme kann tatsächlich leicht die Tür für einen Hackerangriff aufreißen. Ebenfalls fraglich bleibt, warum Anmeldungen aus Russland überhaupt möglich sind, wenn man sich doch so sehr vor ihnen fürchtet.

Entgegen einigen Medienberichten, die beide Fälle miteinander in Verbindung brachten, ist der zweite Fall in South Houston, Texas bisher nicht als Fehlalarm enttarnt.

UPDATE 03.12.2011: Im Gegenteil ist der zweite Fall in South Houston, Texas bereits am 16.11.2011 durch ein Interview des örtlichen Bürgermeisters Joe Sato mit der Lokalzeitung The Houston Chronicle bestätigt worden . Amerikanische Lokalzeitungen sind etwas unterhalb meines Radars; danke an die US-Kollegen für den Hinweis. Der Hacker hat dort keinen Schaden angerichtet, da er das auch nicht beabsichtigte. Das betroffene System wurde erstmal vom Netz genommen.


Auch dieses Jahr werden wir wieder auf der SPS/IPC/DRIVES Messe 2011 anwesend sein, die dieses Jahr vom 22. bis 24. November wieder im Nürnberger Messezentrum stattfindet. Der Veranstalter Mesago Messemanagement war so freundlich, uns Dauerkarten zuzusenden.

Die Messe bricht dieses Jahr schon im Vorfeld mehrere Rekorde und vermeldet erstmals über 1.400 Aussteller aus fast 40 Ländern. Mit erstmals 12 Hallen wird die magische Marke von 100.000 m2 Ausstellungsfläche durchbrochen.

Vereinbaren Sie jetzt einen Termin , um mit uns über Themen wie Sicherheits-Auditierung Ihrer Produkte , Auditierung Ihres Produktionsnetzes oder SCADA/ICS-Sicherheit zu diskutieren.

Ein paar Termine sind kurzfristig noch zu vergeben. Wir freuen uns auf ein persönliches Kennenlernen.

Impressionen von der letztjährigen SPS/IPC/DRIVES Messe 2010 finden Sie hier .

UPDATE 25.11.2011: Wir bedanken uns recht herzlich für all die interessanten und konstruktiven Gespräche auf der Messe und die rege Nachfrage. Im Vergleich zum Vorjahr konnten wir ein stark ansteigendes Interesse am Thema Security verzeichnen und rannten bei einigen Herstellern offene Türen ein, während sich manche immer noch bedeckt hielten.

Die Messe selbst konnte mit über 56.000 Besuchern auch in dieser Hinsicht ebenfalls zulegen.

Nachfolgend ein paar Impressionen der SPS/IPC/DRIVES Messe 2011.

Am ersten Tag konnte die Messe mit Kaiserwetter aufwarten (Innenhof Richtung Halle 4A)

Einer der Hauptpublikumsmagneten der Messe war der Festo SmartBird

An der Software-Front bleiben noch Hausaufgaben zu erledigen...

SIEMENS will mit seinem neuen Geschäftsbereich 'Infrastructure & Cities' auch bei kommunalen Ver- und Entsorgern punkten.

Viele weitere Bilder finden Sie in der nachfolgenden Bildgallerie:


Das ICS-CERT hat die "Protokollmängel" und Sicherheitslücken nochmals in dem Dokument ICS-ALERT-11-223-01 ICS-ALERT-11-223-01A zusammengefasst, das leider nur wenig Konkretes und wenig Klarheit liefert. Hier das Wichtigste in Kürze:

Lesen und Schreiben von Speicherinhalten

("Read/Write of Memory")

  • Auslesen von Speicherinhalten der SPS – Bild (c) Dillon Beresford/NSS Labs

    bestätigt für S7-1200
  • unbestätigt für S7-200/S7-300/S7-400
  • dies soll lediglich ein designgemäßer Mangel des ISO-TSAP Protokolls sein, unklar warum es also nicht für andere Geräte bestätigt wird

 

Ausführen von Befehlen über nicht-verschlüsselte und nicht-authentifizierte Kanäle

("Execution of commands over a clear-text, unauthenticated protocol")

  • bestätigt für S7-1200/S7-200/S7-300/S7-400
  • dies soll lediglich ein designgemäßer Mangel des ISO-TSAP Protokolls sein

Umgehung des Passwort-Authentifizierungsverfahrens

("Bypass of a PLC password protection algorithm")

  • bestätigt für S7-1200/S7-200/S7-300/S7-400
  • soll für S7-1200 behoben sein

Unautorisiertes Abschalten des Passwort-Authentifizierungsverfahrens

[durch Schreiben des Speichers, Anmerkung des Verfassers] ("Unauthorized disabling of a password protection mechanism")

  • Die SPS gibt bereitwillig Auskunft über Typ, Seriennummer und Firmwarestand, sodass etwaige Sicherheitslücken einfach und automatisiert ausgenutzt werden können – Bild (c) Dillon Beresford/NSS Labs

    bestätigt für S7-1200

  • soll für S7-1200 behoben sein
  • unbestätigt für S7-200/S7-300/S7-400
  • unklar warum hier kein konkreter Status (betroffen/nicht betroffen) für diese Geräte benannt wird

Denial-of-Service (DoS) Schwachstelle im eingebetteten Webserver der SPS Firmware

("Denial-of-service (DoS) vulnerability in the Web server embedded in the PLC firmware")

  • bestätigt für S7-1200
  • soll für S7-1200 behoben sein
  • es fehlt ein expliziter Hinweis, dass andere Geräte nicht betroffen sind

Authentifizierte Diagnosefunktionen über TELNET und HTTP mit hartcodiertem Passwort

[konkret auch Hintertürchen genannt, Anmerkung des Verfassers] ("Authenticated diagnostic command shell through both TELNET and HTTP using hardcoded credentials"

  • bestätigt für S7-300 (nur bestimmte ältere Versionen, siehe ICS-ALERT-11-204-01B )
  • Benutzername und Passwort sind bereits öffentlich bekannt
  • es fehlt ein expliziter Hinweis, dass andere Geräte nicht betroffen sind

Mysteriosum: das Transportprotokoll ist an allem Schuld

Es stimmt zwar, dass das ISO-TSAP v3 Protokoll (RFC 1006 ) Authentifizierung und Verschlüsslung nicht vorgesehen hat und damit im wahrsten Sinne des Wortes für 'offene Kommunikation' steht. Es wurde im Mai 1987 letzmalig überarbeitet und ist damit seit nahezu einem viertel Jahrhundert unverändert.

Aber: ISO-TSAP definiert lediglich den Transport, aber nichts zum Lesen und Schreiben von Speicherinhalten, Passwortsicherungen, oder dem Ausführen von Kommandos. Es ist, als würde man behaupten, TCP/IP wäre daran Schuld, dass die Kennwortsicherung meines FTP-Servers nicht funktioniert.

Die Authentifizierung und Verschlüsslung muss auch nicht auf Ebene des Transports passieren; dies ist sogar die Regel, wenn wir prominente Internet-Protokolle wie HTTPS oder SSH betrachten, die alle nicht auf der Transportebene sichern.

Warum ist die Information immer noch so vage?

Sowohl dem ICS-CERT als auch SIEMENS als Hersteller stehen Dillons Exploits und entsprechende SPS'en zur Verfügung. Welche Geräte von welchen Problemen betroffen sind, läßt sich locker in weniger als einer Stunde ermitteln. Der geneigte Leser mag sich die Frage stellen, wieso fast drei Monate nach dem Bekanntwerden der Probleme immer noch so wenig Information verfügbar ist und das Papier des ICS-CERT für einige Probleme auf einigen Maschinen immer noch ein "unconfirmed" ("unbestätigt") enthält.

Der Hersteller, der nicht will, und das CERT, das nicht darf?

Dale G. Peterson gibt hierzu eine eigene Theorie ab . Er erklärt, dass ICS-CERT sei identisch mit dem Idahoe National Laboratory (INL). Das INL hätte seit Jahren Sicherheitsuntersuchungen mit hohen Budgets für die großen Hersteller durchgeführt und Equipment im Wert von Hunderttausenden von Dollar für Ihre Labore erhalten.

Anschließend sei das INL mit der Aufgabe als Industrial Controls Systems Computer Emergency Response Team (ICS-CERT) betraut worden, da dies der richtige Platz für die Ansiedlung zu sein schien.

Die vorhandenen Kontakte zu den großen Herstellern seien jedoch kein Kapital für das INL gewesen, sondern Verpflichtungen. Zudem sei das INL aus früheren Zeiten mit Geheimhaltungsvereinbarungen geknebelt, sodaß es seine Aufgabe gar nicht wahrnehmen könne, und darüber hinaus in einem riesigen Interessenskonflikt stünde.

Hier noch die Dokumente von Dillon Beresford. Für Insider: es lohnt sich besonders, den Abschnitt "Disclosure Process" im White Paper zu lesen und zu überdenken.

UPDATE 23.08.2011: Das ICS-CERT hat Update A zum ICS-ALERT-11-223-01 veröffentlicht, Link oben aktualisiert. Statt mehr Transparenz in die Sache zu bringen, als einzige Ergänzung die zweizeilige Ansage, das es "auf Grund der getroffenen Designentscheidungen" nicht möglich sei, alle Probleme kurzfristig zu lösen. Ich hätte da schon einen Tipp, auf was das hinausläuft...

Der Kollege Ralph Langner hat nun auch einen Artikel, in dem er die "fehlerhafte Analyse und irreführenden Ratschläge " des ICS-CERT viel ausführlicher beschreibt, als ich das oben getan habe. Er kommt zur gleichen Schlussfolgerung, dass eben nicht das offene Transportprotokoll ISO-TSAP der Grund für die Mängel ist und hat sogar den selben Vergleich mit FTP + TCP/IP herangezogen wie ich.


BlackHat Las Vegas 2011 - Embedding Security

BlackHat Las Vegas 2011 - Embedding Security

USB-Angriffe sind nicht neu. Prominente Beispiele sind der 'LNK-Bug ' oder der im Frühjahr auf der BlackHat DC gezeigte Angriff per simulierter Tastatur . Auf noch niedriger Ebene ging Andy Davis von NGSSecure vor.

Mit einem Testgerät, das mit einem selbstgeschriebenen Programm instrumentiert wurde, gelang es ihm nach eigener Aussage, Schwachstellen u.a. in Windows 7, der Xbox 360, Solaris 11 Express, Apple OS X und diversen Embedded-Systemen zu finden. Dies ermögliche "Jailbreaks", Entsperren gesperrter Arbeitsstationen, heimliche Installation von Schadsoftware oder Diebstahl sensitiver Daten.

Da Endpoint Protection Lösungen meist auf höherer Ebene arbeiteten, seien Sie gegen solche Angriffe und Sicherheitslücken in USB-Treibern oft wirkungslos. Der einzig effektive Schutz sei das Abschalten der USB-Schnittstellen im BIOS des Systems oder deren Versiegelung mit Epoxidharz.


Nach Angriffen auf das Sony Playstation Network , dem Ausspähen von 90.000 Passwörtern des US-Militärs und dem vor kurzem erfolgten Leak von über 2500 Datensätzen mit Namen, Anschriften, Telefonnummern und Email-Adressen von Mitarbeitern und Kontakten des Agrar-Patent-Giganten Monsanto hat Anonymous nun offenbar die Ölindustrie ins Visier genommen.

Zu den Zielen der "#operationgreenrights" genannten Aktion sollen die Firmen Exxon Mobil, ConocoPhillips, Canadian Oil Sands Ltd., Imperial Oil, die Royal Bank of Scotland und "viele andere" gehören. Dies kündigte die Verbindung in einem Video an.

Die Aktivisten beklagen die "Gier" dieser Firmen, die Wildniss in Wüsten verwandeln würden. Gerade die Gewinnung von Öl aus Ölsand steht immer wieder in der Kritik, da sie enorme Mengen an Trinkwasser und Energie verbraucht und schwer aufbereitbares Abwasser hinterläßt.

Die Gruppe hatte in der Vergangenheit bereits den Code des Stuxnet-Wurms in den Umlauf gebracht und auch mit Angriffen auf kritische Infrastrukturen gedroht.

UPDATE 22.07.2011: Offenbar haben die kürzlich erfolgten Verhaftungen mutmaßlicher Anonymous-Mitglieder in den Vereinigten Staaten , den Niederlanden und Großbritannien wenig Wirkung gezeigt. Bei den Verhaftungen in USA ging es behördenangaben zufolge primär lediglich um die DDoS-Angriffe auf den Bezahldienstleister PayPal Ende letzten Jahres. Der Angriff erfolgte als Reaktion auf die Einstellung aller Zahlungsabwicklungen an WikiLeaks. Den übrigen Verhafteten wird Computersabotage in verschiedenen Fällen vorgeworfen.

Nun behauptet die Bewegung via Twitter, in Computersysteme der NATO eingedrungen zu sein und dadurch über ungefähr ein Gigabyte teils vertraulicher Dokumente zu verfügen. Diese sollen teilweise in den nächsten Tagen veröffentlicht werden. Ein angeblich vertrauliches Dokument wurde bereits veröffentlicht, die Echtheit ist bisher jedoch nicht bestätigt.


Laut englischem Bericht des Wired Magazine wurde ein Vortrag auf der Takedown Sicherheitskonferenz in Dallas vergangenen Mittwoch kurzfristig abgesagt, nachdem das Department of Homeland Security (DHS) und SIEMENS Bedenken angemeldet hätten.

In dem Vortrag "Chain Reactions - Hacking SCADA " von Dillon Beresford von NSS Labs und dem unabhängigen Sicherheitsforscher Brian Meixell sollte über vier neu entdeckte Sicherheitslücken in SIEMENS Kontrollsystemen berichtet werden. Mindestens eine der Lücken soll sich eventuell auch auf Kontrollsysteme anderer Hersteller auswirken.

Dem Bericht zufolge nach geht es -im Unterschied zu den von uns entdeckten Sicherheitslücken - um Sicherheitsprobleme direkt in Speicherprogrammierbaren Steuerungen (SPS) . SIEMENS würde noch an Sicherheitsupdates arbeiten und hätte zwischenzeitlich eine Methode gefunden, die die Ausnutzung der Sicherheitslücke verhindern sollte. Beresford konnte diese Methode nach eigenen Angaben jedoch ohne Weiteres ebenfalls überlisten, irgendwie ein "Déjà Vu" für mich.

NSS Labs hätte betont, das es entgegen der Gerüchteküche auf Twitter keinen juristischen Druck seitens des Department of Homeland Security (DHS) oder SIEMENS gegeben hätte und man die Entscheidung, den Vortrag abzusagen, frei aus eigenen Erwägungen getroffen hätte. Dies ist womöglich eine weise Entscheidung.

Fi Untersuchung: meherere Dutzend SPS frei zugänglich im Netz!

Noch vor kurzem hatte ich bei einer kurzen Websuche mehrere Dutzend Webadministrationsoberflächen von SPS'en frei zugänglich in Netz gefunden. Stichproben ergaben, dass einige Administrationsoberflächen noch nicht einmal durch ein Kennwort gesichert waren – darunter unter anderem mehrere Energieversorger und Unternehmen der Lebensmittelindustrie. Über diese Oberflächen wäre es direkt möglich gewesen, die Steuerungen herunterzufahren oder -schlimmer- manipulierte Firmware einzuspielen. Ein sträflicher Leichtsinn der mich in größtes Erstaunen versetzt hat.

Fazit

Es bleibt abzuwarten, um welche Mängel es sich hier tatsächlich handelt. Womöglich sind dies auch einige, die schon lange Zeit bekannt sind, ohne dass es jemanden zu interessieren scheint. Das mit den frei zugänglichen Administrationsoberflächen ist prinzipiell auch ein Fehler des Herstellers, zumindest einer, den der Hersteller einfach vermeiden könnte. Hersteller, die WLAN-Router für unter 100€ verkaufen, machen vor, wie es gehen könnte ;)

Das Idaho National Laboratory und SIEMENS haben sich bei Ihrer großen Security-Untersuchung 2008 mit Millionenetat und allem erdenklichen Equipment wahrscheinlich nicht gerade mit Ruhm bekleckert. Meines Erachtens nach hat sich selbst fast ein Jahr nach Stuxnet nichts Wesentliches getan. Die von uns entdeckten Sicherheitsprobleme sind unserer Kenntnis nach weiterhin nicht behoben, jedenfalls hat man es nicht für nötig erachtet, eine eventuell vorhandene Lösung mit uns zusammen zu verifizieren.

UPDATE 26.05.2011: Bisher ist lediglich öffentlich bekannt, dass Dillon Beresford die Mängel zumindest in kleineren S7-1200-Steuerungen belegen konnte, die wohl kaum in hochsensitiven Bereichen eingesetzt werden. Es bleibt abzuwarten, ob davon auch größere Systeme betroffen sind, bei denen ein potentiell hoher Schaden entstehen könnte. Offenbar ist man sich seiner Sache aber selbst nicht so sicher, sonst hätte man Beresford wohl nicht dazu bewegen müssen, seinen Vortrag abzusagen.

Unterbleibt eine klare Kommunikation, entstehen Spekulationen und Bedenken. Zudem wurden die Sicherheitsmängel als „durch Außenstehende schwer zu beurteilende“ „unter Laborbedingungen entstandene“ „Unregelmäßigkeiten“ bagatellisiert, die bei „normalen IT-Sicherheitsmaßnahmen kein Risiko darstellen“ und „nicht leicht von jedermann auszunutzen“ seien. Statt dieser äußerst wackeligen Argumentationsweise wäre es womöglich angebrachter gewesen, konstruktiv Risiken, betroffene Systeme und Konfigurationen sowie Möglichkeiten zur Schadensbegrenzung zu nennen und eine Problemlösung anzupacken.

Laut Beresford sei es bei den betroffene(n) Steuerunge(n) möglich

  • sie zu stoppen, sodass lediglich eine Unterbrechung der Stromzufuhr die Steuerung wieder aktivieren kann (DoS )
  • den Speicher auszulesen und zu beschreiben
  • eine Reprogrammierung durchzuführen

UPDATE 15.06.2011: Wie schon gemutmaßt betrifft das Problem S7-1200 Steuerungen (ICS-CERT Security Alert 11-161-01 , SIEMENS Security Advisory 625789 , Updates ). Die S7-1200 ist ohne das Update anfällig für das Abspielen aufgezeichneter Passwortfolgen ("Password-Replay") und kann zudem durch "Denial of Service (DoS)"-Attacken lahm gelegt werden. Das ICS-CERT konnte die Beseitigung der Probleme durch das Update bestätigen.

UPDATE 06.07.2011: Nun meldet das ICS-CERT (ALERT 11-186-01 ), dass die Passwort-Replay-Attacken offenbar doch nicht nur S7-1200er Steuerungen betreffen, sondern auch alle Modelle der S7-200er, S7-300er, und S7-400er Serien. Dies ist dem Hersteller seit 8 Wochen(!) bekannt oder wäre seitdem zumindest in 10 Minuten ermittelbar gewesen. Besonders für die größeren S7-400er hätte ein Update aufgrund der Einsatzbereiche wesentlich höhere Priorität gehabt als für die S7-1200er-Serie, bei der das Problem mittlerweile behoben ist. Hinzu kommt, dass selbst jetzt weder beim SIEMENS CERT noch auf dem Industrial Security-Portal des Herstellers vor dem Problem gewarnt wird. Das ist es, was ich mit unklarer Kommunikation und mangelnder Transparenz meinte.

UPDATE 04.08.2011: Auf der Industrial Security Seite hat SIEMENS mittlerweile einen Hinweis eingefügt, dass auch Modelle der S7-200er, S7-300er und S7-400er Serien mit ähnlichen Problemen zu kämpfen haben wie die S7-1200er Modelle. Updates stehen noch aus.

Durch die Berichterstattung zur laufenden BlackHat-Konferenz ist das Thema von offen im Internet zugänglichen Automatisierungssystemen hochgekocht, das eigentlich nur eine "Randnotiz" dieses Blog-Artikels war. Dies ist natürlich erst einmal eine Fehlkonfiguration seitens des Kunden bzw. Implementierers. Die Hersteller hätten jedoch leicht die Möglichkeit, die Geräte so vorzukonfigurieren, dass selbst eine solche Fehlkonfiguration nicht zum Desaster führen kann. Es ist häufig eine Verkettung von Fehlern auf seiten der Hersteller und der Benutzer, die zu einem potentiell angreifbaren System führen.

UPDATE 19.08.2011: Aktuellere Erkenntnisse hier , fortlaufende Berichterstattung im Blog .

Read this article in English - Google Translate sry for bad English!



Hier finden Sie aktuelle Themen und Hintergründe rund um Sicherheit, Internet und Recht, das Sachverständigenwesen und die Computer-Forensik.

Mon Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28