Cracker? Die meisten Netze sind offen. - Universität kassiert Spende zum Kampf ge...

Es ist ja ganz nett, wenn eine Uni jetzt für IDS-Forschung Geld
bekommt. Es ist in diesen schwierigen Zeiten immer nett, wenn noch
Kohle in die Forschung geht. Deshalb will ich das gar nicht
kritisieren.

Aber für die Sicherheitsprobleme in großen Behörden und großen
Unternehmen wird das genau gar nichts bringen.

Denn Stand der Dinge ist dort meist, dass Windows-Rechner betrieben
werden, bei denen sogar oft die Benutzer lokale administrative Rechte
haben. Und wenn auch noch so dicht die "Internetverbindungsfirewall"
(diesen Un-Begriff prägte das BSI) gemacht wird, gegen Angriffe, die
von innen gestartet werden (von innen ausgelöst oder durch z.B.
trojanische Pferde) hilft das gar nichts. Von den Side-Doors ins Netz
an der "Firewall" vorbei mal noch ganz zu schweigen, was man da so
sieht, ist mehr als erschreckend.

Typisches Beispiel: ein großer Paketdienstleister erbat von mir ein
Angebot, sie hätten sich eine "Firewall" gekauft für 0,5 Mio. EUR
(SUN + FW1, anscheinend kann man auch gleich so viel Geld dafür
ausgeben). Daraufhin wollten sie von mir einen Penetrationstest. Auf
gut Deutsch, wirf Deine "Toolz" an, und bestätige, dass wir eine gute
Investition gemacht haben.

Statt das zu verkaufen, bat ich um ein Gespräch. Ich fuhr also ins
zentrale Rechenzentrum. Dort reiste ich per Zug/Taxi an, hatte meinen
Hut auf, so dass ich zusammen mit dem ins Gesicht gezogenen Schal auf
keiner Kamera zu erkennen war. Ich stieg direkt an der Pforte aus.
Ich nuschelte meinen Namen. Prompt bekam ich eine
Zugangsberechtigungskarte auf den (falschen) Namen "Brix"
ausgestellt. => Keine Prüfung, ist die Person überhaupt eingeladen.

Ich ging bis zum Eingang vor. Dort wartete ich, bis jemand mir die
Tür aufhielt, dann ging ich rein. Ich hatte den Zeitpunkt auch so
abgepasst, dass rechts am Empfang gerade mehrere Leute die
Empfangsdame ablenkte. Ich bog nach links ab, und ging in das erste
Büro, in dem keiner war. Dort fand ich einen Windows-Rechner
eingeschaltet und angemeldet vor, der ein CD-ROM-Laufwerk hatte.

Ich setzte meinen Hut ab, ging zurück zur Anmeldung, und ging in das
Gespräch.

Dem Sicherheitsbeauftragten des zentralen Rechenzentrums erzählte
ich, was ich eben versucht hatte. Ich fragte ihn, welche
Sicherheitssysteme zwischen dem Windows-Rechner in diesem Büro und
seinen SUN-Servern waren. Er meinte: keine. Ich fragte ihn, wie seine
SUN-Server denn installiert und konfiguriert wären. Er meinte, die
Standardinstallation von Slowlaris.

Er fragte mich: "was wäre das schlimmste, was uns jetzt hätte
passieren können?"
Diese Frage wohlgemerkt vom Sicherheitsbeauftragten des zentralen
Rechenzentrums eines der großen Paketdienstleister (ich sage nicht
welcher, und nicht welches Land).

Ich fragte ihn, was es für sein Unternehmen für eine Auswirkung
hätte, wenn ich den Bandlaufwerkstreiber seines Backup-Systems
austausche durch einen, der hart verschlüsselt, und wenn ich dann
nach einem halben Jahr die Platten lösche und den Schlüssel
wegschmeisse.

Er meinte daraufhin, das könne ich bereits nach vier Wochen machen,
ohne Computer wüssten sie von keinem Päckchen mehr, was damit sei,
dann könnten sie den Laden zumachen.

Den Penetrationstest für die "Internet-Verbindungs-Firewall" lehnte
ich ab. Ich habe keine Lust, für diese prima Sicherheitslösung einen
Persilschein auszustellen.

Einen anderen Auftrag erhielt ich von diesem Unternehmen nicht. Wie
hätte man dem Vorstand die halbe Million erklären sollen für
sinnlosen Unfug? Das Budget war schon verbraucht.

In diesem Sinne: wenn Forschungsgelder in IDS gesteckt werden, ist
das nett, denn an Unis gehen derzeit viel zu wenig Gelder.

Aber dass das ernsthaft irgend etwas an der Sicherheitsmiesere
ändert, sei doch dahingestellt. Denn von solchen Geschichten könnte
ich viele erzählen (oder auch nicht, weil man über Kunden nicht
spricht im Sicherheitsbereich).

Und ich möchte wetten, so wie mir geht es vielen oder sogar allen in
dem Sektor. Keiner spricht davon, weil Diskretion dazugehört. Ich
habe das hier mal wenigstens für eine Andeutung eines Nicht-Kunden
gebrochen. Wer wissen will, welcher Paketdienstleister wo das war,
der kann das gerne gegen eine Stillschweigevereinbarung wissen.

VB.