Mitternachtshacking

17.000 Athleten, 22.000 Journalisten, 33.500 Sicherheitsleute (10.500 G4S, 9500 Metropolitan Police, 13.500 Militär) in London. Das sind Olympische Spiele.

2.200 Switches, 16.000 IP-Phones, 80.000 Access Points. Alles Cisco Equipment. Das sind auch Olympische Spiele.

Interessant finde ich die Entscheidung des LOCOG, nur Geräte zu verwenden, die mindestens seit zwei Jahren bewährt sind und funktionieren. Also keine top-aktuellen Geräte mit Beta-Software. Die meisten Switches sind wohl Cisco Catalyst 6500, die seit 1999 produziert werden. Oder wie The Register formuliert: „It’s a very secure network in a very commonly deployed scenario using very commonly deployed switches.“

Versprochen ist eine 99,999% Verfügbarkeit, also höchstens 6 Sekunden Ausfall pro Woche.

Und Cisco hat schon angekündigt, das gebrauchte Equipment dann z.T Schulen zur Verfügung zu stellen aber auch für Cisco-Kurse im Rahmen der diversen Schulungsprogramme. Vermutlich werden uns demnächst tausende günstiger britischer Cisco-Spezialisten überschwemmen.

Äh ja. Danke für die Warnung, Heise:

Für Ciscos Router-Modelle Linksys EA 2700, 3500 und 4500 steht jetzt ein Firmware-Update bereit, das die Fernsteuerung des heimischen Netzwerks über die Connect Cloud ermöglicht. […] Nachdem wir einen EA4500 mit der Cloud-fähigen Firmware 2.1.38 ausstatteten, ließ sich das Gerät nur noch nach Erstellen eines Connect-Cloud-Kontos in allen Funktionen konfigurieren.

Ich kann verstehen was aus Unternehmenssicht dahintersteckt. Zum einen kann man über die Cloud eine Menge Daten sammeln, beispielsweise wie die Kunden das Interface benutzen, welche Parameter und Optionen eingestellt werden, wo es Probleme gibt usw. Das bietet natürlich die Möglichkeit, einerseits den Kunden bessere Lösungen anzubieten, andererseits kann man den Support verbessern weil sich möglicherweise auch Support-Mitarbeiter auf das Cloud-Interface aufschalten können. Und natürlich kann man die Daten ggf. weiterverkaufen, im Cloud-Interface Werbung einblenden usw. und hat nette Nebeneinnahmen.

Nur, aus Kundensicht geht das gar nicht. Und zwangsweise wie Cisco das macht sowieso nicht. Ok, Cisco hatte 2011 ein schlechtes Jahr und die diversen Umstrukturierungen schlagen auch zu. Aber für das zweite Quartal 2012 gab es schon wieder Rekordzahlen, also hätte Cisco so verzweifelte „wir grabschen uns noch schnell jeden Cent bevor wir Pleite sind und scheiß auf den Ruf“-Aktionen eigentlich nicht nötig. Entweder ist bei Cisco jemand weit oben extrem dumm oder das Management hat jeden Bezug zur Realität verloren. Ich habe ja keine Cisco-Aktion aber wenn, hätte ich John Chambers schon länger mal ausgetauscht. Und mit der Meinung bin ich nicht alleine.

Das Problem ist seit Jahren bekannt: Egal von welcher der vielen Download-Seiten man ein kostenloses Programm runterlädt, bei der Installation wird man bei jedem zweiten Programm gefragt ob man eine dieser vielen ekeligen Toolbars für den Browser mitinstallieren möchte, die keinerlei nützliche Funktionen für den Anwender haben aber die Startseite und die Suchmaschine verändern, das Surfverhalten des Benutzers ausspionieren und ansonsten bei jeder Gelegenheit mit Werbung nerven. Der erfahrene Computernutzer weiß das inzwischen aber ich habe mindestens schon zehn mal bei meinen Eltern die Google-Toolbar, dioe Yahoo-Toolbar, die Ask-Toolbar und ich weiß nicht was noch alles für Dreck deinstallieren müssen. In der Regel bekommen die Softwareentwickler Geld von den Toolbar-Herstellern aber manchmal steckt das Geld auch der Downloadseiten-Betreiber ein und der Softwareentwickler weiß gar nichts davon.

Fyodor, dem Entwickler von Nmap ging es jetzt so. Er hat Beschwerden von Nutzern bekommen die Nmap von C|Net heruntergeladen haben anstatt direkt von nmap.org und sich dabei eine StartNow-Toolbar eingefangen haben die ihre Startseite austauscht und Microsoft Bing als Suchmaschine einstellt. Fyodor ist entsprechend sauer:

„We’ve long known that malicious parties might try to distribute a trojan Nmap installer, but we never thought it would be C|Net’s Download.com, which is owned by CBS! And we never thought Microsoft would be sponsoring this activity!“

Um echte „Malware“ im Sinne der meisten Virenscanner handelt es sich bei der Toolbar natürlich nicht auch wenn Panda, McAfee und F-Secure Alarm schlagen. (Ich vermute wegen einer Heuristik die einen Binary-Wrapper erkennt). Aber unfreundlich ist das eben schon. Nicht umsonst verbietet beispielsweise Microsoft, Patches auf anderen Webseiten zum Download anzubieten. Und wie Fyodor meint ist das auch ein Verstoß gegen seine Markenrechte an Nmap.

Ich rate sowieso jedem, Dateien immer möglichst vom Originalanbieter herunterzuladen. Und auf keinen Fall irgendwelche Toolbars zu installieren. Nmap good. Toolbar bad.

Darauf hat mich eben ein Kollege aufmerksam gemacht:

Im aktuellen Gartner Magic Quadrant for Enterprise Network Firewalls ist Juniper Networks aus dem Leader Quadranten rechts oben rausgefallen und nur noch Check Point und Palo Alto übrig. Fortinet hat Juniper fast überholt und SonicWall und Stonesoft sind auch wieder nahe am Leader.

Ich bin ja ein wenig überrascht. Weniger, dass Juniper rausgeflogen ist als dass Palo Alto da jetzt alleine mit Check Point drinsteht. Juniper hat noch ein paar Probleme mit der SRX, die ist noch nicht so schön bedienbar wie man das von einer Firewall erwartet und vor allem beim zentralen Management vieler Firewalls muss noch was passieren. Ich glaube mit dem NSM ist niemand so wirklich glücklich. Mein persönlicher Eindruck von Palo Alto wiederum ist zwar, dass man da ein sehr sehr mächtiges Produkt hat, das aber so komplex ist, dass das höchstens ein Full-Time Administrator bedienen kann. Und den haben halt nicht alle Unternehmen. Aber vielleicht ist die Gartner-Meinung ja, für Enterprise Firewalls gibt es immer einen dedizierten Administrator. Oder Palo Alto ist eigentlich doch ganz einfach zu konfigurieren und ich habe das nur falsch eingeschätzt. Die Erfahrung mit Palo Alto fehlt mir leider.

Haha, das war ja wirklich nicht zu erwarten: Antiviren-Software versagt beim Staatstrojaner schreibt Heise.

Gut, zum einen basieren die meisten Virenscanner im Kern immer noch auf Signaturen und ohne Sample kann keine Signatur erzeugt werden. Zum Anderen ist der Trojaner so schlau, dass er weiß wie er sich vor der Heuristik tarnen muss. Das ist im Prinzip nicht so schwierig macht aber die Entwicklung eines Schadprogramms relativ teuer. Und da genug Leute komplett ohne Schutz im Internet unterwegs sind und gleichzeitig auf alles klicken, das nicht bei drei von der Platte verschwunden ist, brauchen sich die meisten kommerziellen Schadcode-Autoren keine Gedanken über das Austricksen der Heuristiken machen.

Naja, jetzt haben erstmal alle Anbieter nachgerüstet und werden beim nächsten Bundestrojaner wieder eiskalt überrascht. Oder wie war das bei Stuxnet nochmal?

Vasco macht Diginotar zu, schreibt Heise. Die Holländer werden sich freuen, weil Diginotar auch deren Staats-CA war.

Jedenfalls hat jetzt nach RSA auch Vasco seinen größten anzunehmenden Unfall. Ich bin ja mal gespannt, wen es als nächstes erwischt.

Ui, Google wird rabiat und sperrt mit einem Update 247 Zertifikate, die vermutlich alle aus dem Diginotar-Hack stammen. Und die Reaktion von Diginotar: Man soll Fehler und Warnungen im Browser ignorieren, schreibt Sophos. Na Danke. Dümmer geht’s offensichtlich immer.

Chip Online hat zwischen dem 1000sten „die besten Gratis-Downloads“- und dem 100sten „geniale iPhone-Apps“-Artikel ab und an auch eine Perle versteckt. Die ist in dem ganzen Schrott schwer zu finden aber man kann auch mal Glück haben.

Die Perle des Tages ist die erfreulich leicht verständliche Anleitung, AntiVir bootfähig auf einen USB-Stick zu ziehen, damit man z.B. auch Windows Netbooks ohne CD-Laufwerk auf möglichen Schadcodebefall überprüfen kann. Man kann jetzt über Virenscanner denken was man will und ich persönlich halte die ja auch weitgehend für Snake Oil aber wenn man sich so fieses Zeug mal eingefangen hat, dann wird man das eventuell so wieder los. Für Firmenrechner gilt natürlich die Prämisse, nach einem Schadcodebfall wird das System immer neu installiert. Aber bei Privatrechnern kann ich verstehen wenn man sich die Arbeit lieber nicht machen will. Besonders wenn diverse Anwendungen von Hand neu installiert und alle Daten erst gesichert und dann wieder hergestellt werden müssen.

Ich rate lediglich dazu, die Dateien direkt vom Originalanbieter herunterzuladen und nicht von Chip Online. Für meinen Geschmack gab es leider schon zu viele Fälle bei denen so ein Software Archiv kompromittiert wurde oder der Anbieter seine Downloads mit Adware versehen hat um sich zu refinanzieren.

Neulich auf lwl.net gesehen: Ein JIT Compiler für den Berkeley Packet Filter (BPF). Also genau genommen ein Patch um den BPF um einen JIT-Compiler zu erweitern. Ist das jetzt cool oder nicht?

Auf der einen Seite ist ein funktionierender und effizienter JIT-Compiler immer cool. Aber: erstens ist das Compilieren von Regelsätzen nicht neu, Check Point FireWall-1 macht das seit ca. 1992 und zweitens wird man einen Firewall-Regelsatz nicht alle 10 Minuten ändern, also ist ein normaler Compiler völlig ausreichend.

Ich schätze das ist mal wieder coole aber völlig nutzlose Technologie.

X-Force ist meines Wissens die ehemalige Hackingtruppe von ISS. ISS falls sich noch jemand daran erinnern kann ist die Firma Internet Security Systems von Christopher Klaus, die den ersten Internet Security Scanner veröffentlicht hat. Das ist auch schon wieder ein paar Jahre her. Jedenfalls ist es im X-Force und generell ISS sehr sehr still geworden, nachdem IBM die Firma gekauft hatte. Es gibt von ISS eine Firewall (Proventia), die dann komplett in der Versenkung verschwunden ist. Inzwischen gibt es aber von IBM wieder Vertriebler die versuchen die an den Mann zu bringen. Meine Erfahrung ist jedenfalls, wenn IBM irgendwas kauft kann man das in Europa direkt aus dem Programm nehmen, das ist dann tot.

Auf jedenfall ist X-Force ein wenig der Versenkung entstiegen und veröffentlicht wieder Threat Reports. Die sind recht nützlich um auf Managementebene Sicherheitsrisiken und generell das Thema Informationssicherheit zu adressieren. Man muss sich zwar registrieren aber es gibt genug Wegwerf-Mailadressen.

Ach ja, der Link: IBM X-Force Threat Reports