Kategorie: News

Es ist schon wieder passiert: Bereits letzten Monat haben wir über einen erfolgreichen Angriff durch die TU Berlin auf den Steuerungsrechner eines Teslas berichtet. Nun fand vom 24. bis 26. Januar der beliebte Pwn2Own-Wettbewerb statt, der seinen Fokus erstmalig auf Automobile legte. Das Ergebnis ist beeindruckend: Insgesamt wurden 49 Zero-Days entdeckt, was zu einer Ausschüttung von 1.323.750 US-Dollar an Preisgeldern führte.

Mit dem Einzug klassischer Informationstechnologie ins Infotainment übertragen sich auch dessen Herausforderungen in der Sicherheit. Zeitgleich ist eine Trennung der IT von der operationellen Technologie mit der Safety des Fahrzeugs essenziell. Diese Trennung aus IT und OT als Hürde für Angreifer bildet auch in klassischen Produktionsbetrieben eine wichtige Schutzmaßnahme. Die Automobilbranche kann etwas von diesen Unternehmen lernen und sich weiter für Sicherheitsforschung öffnen, um Risiken besser minimieren zu können. Mit einem Mangel an externer Kontrolle ging häufig auch ein Mangel an Sicherheit einher. Hersteller profitieren von solchen Wettbewerben enorm. Die gefundenen Sicherheitslücken bleiben für 90 Tage vertraulich und können in der Zwischenzeit behoben werden.

Für Interessierte, die mehr über einen der Angriffsvektoren erfahren möchten, empfehlen wir den dritten Link, in dem die Synacktiv-Gruppe grob über ihre verwendete Exploit-Chain spricht.

https://www.heise.de/news/Hacking-Wettbewerb-Pwn2Own-Teilnehmer-kombinieren-drei-Luecken-und-knacken-Tesla-9609534.html

https://www.golem.de/news/pwn2own-automotive-gewinner-demonstrieren-zwei-neue-tesla-hacks-2401-181630.html

https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs

Die Vorzüge des Quantencomputings sind weithin bekannt, im Vergleich zu klassischen Rechenmethoden werden erhebliche Leistungssteigerungen versprochen. Bei der Weiterentwicklung liegt deswegen der Fokus häufig genau auf dieser Leistungsfähigkeit. Bisher wurden die Sicherheitsaspekte der Quantencomputing-Plattformen weitgehend vernachlässigt. Angesichts des Aufkommens cloudbasierter Services wird es nun entscheidend, die klassischen Bedrohungsszenarien auf den Bereich des Quantencomputings zu erweitern. Dies führt uns zu unserem Seitenkanal des Monats.

In der verlinkten Studie wurden zeitbasierte Seitenkanal-Angriffe innerhalb des cloudbasierten Quantendienstes von IBM untersucht. Der vorgeschlagene Angriff untergräbt durch Beobachtung des Zeitaufwands für Quantenschaltungen die Vertraulichkeit des ausgeführten Quantenalgorithmus. Die Ergebnisse zeigen, dass es bereits mit nur zehn Messungen möglich ist, den zugrundeliegenden Quantencomputer zu identifizieren, der die Schaltung ausgeführt hat. Darüber hinaus wird bei der Verwendung des weitverbreiteten Grover-Algorithmus die Fähigkeit aufgezeigt, das Quantenorakel mit lediglich 500 Messungen preiszugeben. Die Reconnaissance der angewandten Maschinen ist mit verhältnismäßig einfachem Aufwand möglich.

Die Forscher beenden ihre Veröffentlichung mit einem Aufruf, zeitbasierte Sicherheitslücken in Quantencomputing-Plattformen anzugehen, und liefern Vorschläge für Gegenmaßnahmen zu ihren getesteten Angriffen gleich mit. Obwohl ein flächendeckender Zugang zur Technologie noch in der Zukunft liegt, erachten wir es als äußerst sinnvoll, sich bereits jetzt umfassend mit allen verbundenen Risiken auseinanderzusetzen.

Wer sich genauer in das Paper einlesen möchte, klickt auf den nachfolgenden Link der Cornell-Universität:

https://arxiv.org/abs/2401.01521

Das Fachmedium BleepingComputer hat in einer Untersuchung festgestellt, dass Inhalte von den unterschiedlichsten Scammer-Methoden auch nach händischer Überprüfung durch Meta nicht gelöscht werden. Dass gemeldete und auch nachweislich schädliche Inhalte die automatisierte Überprüfung teilweise überleben, kann man noch verstehen. Wenn jedoch Profile händisch untersucht werden, bei denen man schnell mittels Fotosuche auf den tatsächlichen Nutzer stößt, lässt das an den Fähigkeiten zur Bekämpfung dieser Betrüger zweifeln.

Die Imitation von Internetpersönlichkeiten oder Prominenten bildet trotz der Einführung des „Verified“-Badges ein großes Problem. Viele Nutzer fallen auf die Catfishing-Methoden der Betrüger herein. Ein konkretes Beispiel wird im verlinkten Artikel vorgestellt.

Die Thematik ist auch für Unternehmen relevant. Betrüger können sich zumindest eine Zeit lang als die Social-Media-Präsenz eines Unternehmens ausgeben und so der Reputation schaden. Um sich bestmöglich vor solche Attacken zu schützen, kann man seine Inhalte mit einem Wasserzeichen versehen, das „Verified“-Badge abonnieren und aktiv gegen die Betrüger vorgehen. Neben dem klassischen Melden der Inhalte kann man bei kopierten Inhalten auch eine Urheberrechtsverletzung anzeigen. Bis Meta das Problem für seine Plattformen ausräumen kann, scheint Abschreckung das Mittel der Wahl gegen die Betrüger zu sein.

Hier geht’s zum Bericht auf bleepingcomputer.com:

https://www.bleepingcomputer.com/news/security/meta-wont-remove-fake-instagram-profiles-that-are-clearly-catfishing

Für die spanische Mobilfunktochter von Orange begann das Jahr mit einem Schrecken und für die meisten Kunden landesweit mit einem dreistündigen Internetausfall: Ein Unbefugter hatte sich im Namen von Orange auf der Administrationswebseite des RIPE NCC angemeldet. Das RIPE NCC verwaltet nicht nur die IP-Adressräume von Europa über den Nahen Osten bis nach Zentralasien, sondern bietet auch digitale Zertifikate an, mit denen das Routing im Internet abgesichert werden kann. Genau diese Zertifikate (genauer: Route Origin Authorisations, ROA) hat der Angreifer ändern lassen und damit dafür gesorgt, dass die Router anderer Internetprovider denen von Orange nicht mehr vertrauten.

Da der Angreifer mit Screenshots bei Twitter/X angegeben hat, ist auch bekannt geworden, dass die Ursache für den großen Ausfall mit einem sehr einfachen Passwort („ripeadmin“) zusammenhing und die Administrationswebseite auch keinen zweiten Faktor für so weitreichende Änderungen benötigte. Hier hätten beide Seiten besser agieren können: die Nutzer bei Orange, indem sie auch für externe Dienste sichere Passwörter wählen und die angebotene Zwei-Faktor-Anmeldung aktivieren. Und der Anwendungsanbieter RIPE NCC, der so triviale Passworte abweisen und die Zwei-Faktor-Anmeldung verpflichtend machen sollte.

Tatsächlich sind Vorgaben für Passwörter bei Onlinediensten nicht immer so streng, wie man es von internen Anwendungen kennt. Suood Alroomi und Frank Li vom Georgia Institute of Technology haben letztes Jahr einen großen Scan von 20.000 Webanwendungen durchgeführt und beim Anlegen von Nutzerkonten ausprobiert, wie schwach ein Passwort sein konnte. Ein erschreckendes Ergebnis: Die Hälfte der getesteten Seiten akzeptierte sehr schwache Passwörter wie „123456“ oder „password“. Mit verschiedenen Stichproben haben sie dabei auch gezeigt, dass populäre Seiten häufiger mit strengeren Regeln aufwarteten als solche, die weiter hinten in den Rankings der Top-1-Million liegen.

Aber war nun das triviale Passwort die Ursache für den Ausfall? In diesem Fall hätte der Angreifer nicht viele Versuche beim Raten benötigt. Aber nach den von ihm geposteten Screenshots zu urteilen, brauchte er gar nicht erst zu raten, da scheinbar die Racoon-Malware auf einem System lief und dort unter anderem die RIPE-Zugangsdaten abgegriffen wurden.

Wie sieht es bei Ihnen aus? Gibt es eine Übersicht über alle Zugangsdaten für externe Dienste – vom Social-Media-Account über Dienstleister-Weboberflächen bis zum ELSTER-Steuerkonto? Entsprechen die Passwörter Ihren Anforderungen und sind sie sicher abgelegt? In Pentests finden wir gelegentlich immer noch gemeinsam gepflegte Excel-Tabellen mit solchen Zugangsdaten.

Mehr Details zum Orange-Ausfall: https://doublepulsar.com/how-50-of-telco-orange-spains-traffic-got-hijacked-a-weak-password-d7cde085b0c5

Der wissenschaftliche Artikel zur Verbreitung von Passwort-Vorgaben: https://dl.acm.org/doi/abs/10.1145/3576915.3623156

Falls das Jahr es bei Ihnen noch ruhig angehen lässt, hätte ich noch einen längeren Lesetipp. Schon im November veröffentlichte Andy Greenberg einen sehr ausführlichen Artikel über die Anfänge und das Ende des Mirai-Botnetzes. Sie erinnern sich vermutlich an das damals größte Botnetz, das zwar hauptsächlich aus leistungsschwachen Webcams bestand, aber durch die schiere Masse an Geräten ganze Internetprovider per DDoS überlasten konnte.

Der Artikel geht auf die technischen Aspekte nur so weit wie notwendig ein und konzentriert sich eher auf die Entstehungsgeschichte und die spätere Entdeckung und Läuterung der Verursacher. Mit vielen Emotionen und einer Art Happy End ist es auch eine (verspätete) kleine Weihnachtsgeschichte.

Ein weiterer spannender Aspekt der Geschichte: Die Macher des Botnetzes wollten zwischenzeitlich einen legitimen DDoS-Verteidigungsdienst aufbauen – und als dieser nicht so erfolgreich war, selbst per DDoS die Kunden zu sich treiben. Dieser Versuch war ebenfalls nicht von Erfolg gekrönt, so dass sie schlussendlich doch wieder zum reinen Verkaufen von offensiven Angriffen zurückkehrten.

https://www.wired.com/story/mirai-untold-story-three-young-hackers-web-killing-monster/

Am Beispiel der Gegenmaßnahmen zu den Prozessorlücken Spectre und Meltdown hat die Forscherin Henriette Hofmeier aufgezeigt, dass sich mit einem gezielten Einsatz von Sicherheitsmaßnahmen auch der Energieverbrauch senken lässt. In diesem Fall deaktivieren die Gegenmaßnahmen Optimierungen und verbrauchen zusätzliche Taktzyklen. Sie werden aber eigentlich nur benötigt, wenn besonders schützenswerte Informationen aktiv verarbeitet werden, beispielsweise die privaten Schlüssel beim Verschlüsseln. Trotzdem werden sie in der Praxis derzeit global für das gesamte System dauerhaft aktiviert. Wie Hofmeier mit Änderungen am Linux-Kernel gezeigt hat, geht das auch anders – dann müssen allerdings die Anwendungen ihren Schutzbedarf auch an den Kernel melden, damit dieser die passenden Maßnahmen an- und ausschalten kann.

Dieses Spannungsfeld existiert auch an vielen anderen Stellen. Ein äußerst plakatives Beispiel bilden signierte Mails, in denen die Signatur in der Regel den eigentlichen Textanteil um ein Vielfaches übersteigt. Aber deshalb gleich alle Sicherheitsmaßnahmen abstellen, ist auch keine Lösung. Eher sollten, wie in Hofmeiers Arbeit gezeigt, die für den Schutzbedarf passenden Maßnahmen zur richtigen Zeit greifen.

https://inf.gi.de/04/wie-viel-energie-darf-schutz-kosten

https://sys.cs.fau.de/publications/2022/hofmeier_22_thesis.pdf

Diesmal nehmen wir ein größeres Ziel für den Seitenkanal des Monats. Und auch die Richtung des Angriffs ist anders als in den letzten Digests. Heute geht es um ein Auto, genauer einen Tesla und dessen System für das autonome Fahren. Und statt direkt an Daten zu kommen, soll diesmal dem Gerät ein falsches Zertifikat untergejubelt werden. Forscher des Fachgebiets SecT der TU Berlin haben es geschafft, den Steuerungsrechner mit einer manipulierten Firmware zu starten. Eigentlich sollten kryptografische Prüfungen nur das Starten der Hersteller-Firmware erlauben, aber durch Glitchen der Versorgungsspannung konnte das Zertifikat für die Prüfung geändert werden.

Durch die so gestartete Firmware hatten die Forscher vollen Zugriff auf das laufende System und konnten auch Informationen auslesen. Alle Details gibt es im Vortrag der Forscher auf dem 37C3.