Käferlive Blog

No news are bad news! In diesem Sinne berichtet das Team von KaeferLive im Blog regelmäßig über Neuerungen, Interessantes und wichtige Nachrichten aus der IT-Szene. Stay tuned!

Wir können es nicht lassen: Komplette Kommunikation Smartphone-Backend enttarnt.

Wir können es nicht lassen: Komplette Kommunikation Smartphone-Backend enttarnt.

Eigentlich habe ich meine Forschungsarbeit Car-Forensics im Rahmen meines Master-Studiums ja längst abgeschlossen. „Eigentlich“ ist ein Füllwort. Denn tatsächlich konnten wir es nicht lassen und haben uns mit unseren neuen Spielzeugen mal die Kommunikation einer Automotive-App mit deren Backend näher angeschaut. Jetzt wissen wir, wie sie im Detail funktioniert, wie man sie erfolgreich angreifen kann und man die eine oder andere Restriktion umgehen kann. Das neue Premium-Auto für "lau" rückt in greifbare Nähe. Auto nur im Umkreis 1,5 km ortbar? Wer es glaubt... Nächste Woche basteln wir uns mal ein nettes Progrämmchen, welches unser Auto innerhalb von ein paar Stunden im ganzen Bundesgebiet findet. Eine reine Fleißaufgabe. Wetten dass, man damit untreue Ehepartner ganz leicht auffliegen lassen kann? Ich sehe da einen neuen Markt ;-). Oder vielleicht ist das auch für Polizei und Geheimdienste interessant? Ruft doch mal bei uns an – derzeit gibt es Einführungsrabatte...


Aber im Ernst: Warum das alles funktioniert? Man könnte ja mal jemanden fragen, der sich damit auskennt... Vielleicht spricht mich ja mal jemand auf dem VDI-Kongress am 23.10 und 24.10.15 in Wolfsburg an. Ich bin da und eigentlich bespricht man so etwas ja nicht in Facebook & Co. Eigentlich...

Schönes Wochenende und machen Sie sich um Ihr Auto keine Sorgen. Wir kümmern uns gut um das Schätzchen...

Weiterlesen
  9697 Aufrufe
  0 Kommentare
9697 Aufrufe
0 Kommentare

Das IT-Sicherheitsgesetz und seine Auswirkungen

Das IT-Sicherheitsgesetz und seine Auswirkungen

Das IT-Sicherheitsgesetz und seine Auswirkungen

Im Juli 2015 das sogenannte IT-Sicherheitsgesetz in Kraft getreten. Dies hat nicht nur Auswirkungen (u.a. Meldepflicht bei IT-sicherheitskritischen Vorfällen) für Betreiber kritischer Infrastrukturen aus den Bereichen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen, sondern auch für Betreiber von On-Line-Shops, Hosting-Angeboten und Web-Sites. Alle Unternehmen, auf die die vorgenannten Kriterien zutreffen, haben nach dem ebenfalls neu definierten § 13 TMG "durch technische und organisatorische Vorkehrungen sicherzustellen, dass kein unerlaubter Zugriff auf die für die Telemedienangebote genutzten technischen Einrichtungen möglich ist". Hierzu sind u.a. Methoden zur Verschlüsselung nach dem Stand der Technik einzusetzen.

Auch wenn Bußgelder bei Verstößen gegen diese Regelungen erst zwei Jahre nach Inkrafttreten der Verordnung verhängt werden können, ist zu begrüßen, dass offensichtliche Nachlässigkeiten beim Umgang mit Kundendaten, Passwörter usw. nun auch geahndet werden können.

Fast-Facts: IT-Sicherheitsgesetz (BRD)

  • Einhaltung von Mindeststandards im Bereich IT-Security für Betreiber kritischer Infrastrukturen
  • Meldepflicht für sicherheitskritische Vorfälle z.B. bei Telekommunikations- und Versorgungsunternehmen an das BSI (Kreis der meldepflichtigen Unternehmen wird zukünftig noch ausgebaut)
  • Freiwillige Vorratsdatenspeicherung zur Abwehr von Störungen (3 Tage bis zu einem halben Jahr)
  • Ca. 2.000 bis 18.000 Unternehmen betroffen (u.a. Zulieferer und Dienstleister: Beispiel SmartMeter)
  • Betreiber von Online-Shops und Anbieter von Hosting-Produkten und Web-Servern fallen unter die Regelungen (Ausrüstung Stand der aktuellen Technik)

Weiterführende Links:

https://www.bsi.bund.de/SharedDocs/FAQs/DE/BSI/IT-SiGesetz/faq_node.html

https://www.aachen.ihk.de/recht/Nachrichten/IT-Sicherheitsgesetz/2723012

Wenn Sie jemanden suchen, der sich mit der Absicherung und der Prüfung von IT-Infrastrukturen (incl. Automotive und Industrie 4.0) auskennt, kontaktieren Sie uns:

KäferLive – Dipl.-Ing. Thomas Käfer, M.Sc. – Elchenrather Weide 20 – D-52146 Würselen – Tel. 02405/479490 – E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!  - www.KaeferLive.de

 

 

 
 

 

Weiterlesen
  11016 Aufrufe
  0 Kommentare
11016 Aufrufe
0 Kommentare

Berufsporträt Digitaler Forensiker in den VDI Nachrichten

Berufsporträt Digitaler Forensiker in den VDI Nachrichten

So, jetzt habe ich es auch in die VDI-Nachrichten geschafft. In der Ausgabe vom 9.10.2015 beschreibt Peter Ilg das Berufsbild des Digitalen Forensikers. Sehr schön, wobei die Berichterstattung schon nicht mehr ganz aktuell ist, denn schließlich habe ich zwischenzeitlich auch den Master-Titel erlangt und das Studium an der Hochschule Albstadt Sigmaringen komplett abgeschlossen. Drei anstrengende Jahre mit einem Notenschnitt von 1,4. Gefällt mir :-)

Zum Artikel: http://www.vdi-nachrichten.com/Management-Karriere/Digitale-Spurensucher

Weiterlesen
  12831 Aufrufe
  0 Kommentare
12831 Aufrufe
0 Kommentare

Enzo gehackt und geschrottet

Enzo gehackt und geschrottet

Schöner Abschluss der Woche: Ferrari Enzo per App gehackt...

Unsere Bemühungen zum Aufdecken von IT-Sicherheitslücken wurden zum Wochenende mit dem Erfolg gekrönt, dass wir einen Ferrari Enzo erfolgreich "übernehmen" konnten. Okay: es ist kein echter Enzo, sondern nur ein Modell im Maßstab 1:16, der sich mit einem iPhone steuern lässt, aber der Angriffsmechanismus und die Sicherheitslücken sind die gleichen wie bei einem echten Auto. Okay: auch hier gibt es derzeit noch keine Autos, die man per Smartphone rangieren und steuern kann und schon gar nicht einen Ferrari, aber das kommt noch. Ich habe es auf der IAA selbst gesehen...

Es hat letztlich gut zwei Stunden gedauert, bis ich über ein kompromittiertes Smartphone nicht nur Hupe. Licht, Blinker und Motor ein- und ausschalten, sondern das Auto mit Vollgas gegen die Wand steuern konnte. Dabei haben die App-Programmierer ihre Sache gar nicht schlecht gemacht. Ich fand auf Anhieb keine Möglichkeit, den Wagen zu beschleunigen, aber dann... Zuerst habe ich einen Parameter "SetMaxRotorValue" auf 100 gesetzt und dann eine Methode "pause" aufgerufen und die Karre knallte mit Vollgas gegen die Wand. Klingt unlogisch, ist es auch, aber gleichzeitig ist das ein typischer Software-Fehler. Dass ich es nicht geschafft habe, das Auto auch noch zu lenken - Nebensache. Der destruktive Hacker gibt sich damit schon zufrieden.

Und wer sich jetzt beruhigt zurücklegt, weil es ja nur ein ferngesteuertes Modellauto war, dem sei erklärt, dass mit den gleichen Mechanismen auch Apps angegriffen werden können, die bald richtige Autos steuern. Und dass es bei diesen Apps nicht automatisch bessere Sicherheitsstandards gibt, habe nicht nur ich zwischenzeitlich bewiesen. Liebe Automobilindustrie - wir müssen reden!

Und Montag übernehme ich die Flugdrohne von meinem Angestellten...

Weiterlesen
  9274 Aufrufe
  0 Kommentare
9274 Aufrufe
0 Kommentare

Car2X und die Angriffsmöglichkeiten

Car2X und die Angriffsmöglichkeiten

In diesem kurzen Video zeigen wird die Funktionsweise und Vernetzung im Bereich Car2X und sprechen die Verwundbarkeiten im Hinblick auf die IT Sicherheit an. Wer mehr über unsere Forschungsarbeit Car-Forensics, das Thema Digitale KFZ-Forensik und unsere Dienstleistungen im Bereich Pen-Testing erfahren möchte, dem sei unsere Website www.Car-Forensics.de empfohlen

Link zum Video: https://youtu.be/LHk3KIX4Q8E

 

Weiterlesen
  10860 Aufrufe
  0 Kommentare
10860 Aufrufe
0 Kommentare

Verschummelt und verschaukelt – oder: Wie Software richtig teuer wird.

Verschummelt und verschaukelt – oder: Wie Software richtig teuer wird.

VW hat gerade rd. 16 Milliarden Euro Kurswert verloren und es drohen durch die Strafzahlungen weitere Milliardenverluste, die nach Meinung von Finanzexperten existenzbedrohend sein könnten. Und das alles „nur“, weil ein Motorsteuerprogramm für die Einhaltung der strengen Emissionsgrenzwerte über einen Trick sorgte. Der Berichterstattung und dem Eingeständnis von VW-Chef Winterkorn ist zu entnehmen, dass die Software im Fahrzeug erkennt, wenn ein Prüflauf der Schadstoffe auf einem Rollenprüfstand stattfindet und dann die Abgasreinigung aktiviert bzw. den Motor in einem optimalen Bereich regelt. Für die normale Fahrt war die Motorkennlinie wohl nicht geeignet und das Auto zu träge.

Wie erkennt ein Automobil, ob es gerade geprüft wird?

Die Detektion, ob sich ein Fahrzeug auf einem Rollenprüfstand befindet, ist relativ einfach. Besitzt der Prüfstand nur zwei Rollen, dann drehen sich die Räder einen Achse und die der anderen nicht. So etwas kann man leicht durch Auswertung der ABS-Sensoren an jedem Rad ermitteln. Bei einem Allradprüfstand ist es etwas aufwendiger. Hier kann man z.B. feststellen, dass sich alle Räder einer Achse mit derselben Umdrehungsgeschwindigkeit drehen und das Fahrzeug also immer geradeaus fährt. Die Straße möchte ich sehen, auf der das von Fahrtbeginn bis Ende funktioniert. Und wenn das nicht reicht, gleicht man die angebliche Fahrbewegung mit GPS- und Bewegungssensordaten ab oder prüft Parameter wie z.B. die Geschwindigkeit der einströmenden Kühlerluft usw.. Aber auch das Fahrprofil ist auffällig. Da wird nach einem fest definierten Schema beschleunigt und abgebremst und bestimmte Geschwindigkeitsbereiche angefahren und für eine Zeit gehalten. Irgendwann hat man genug Indizien gesammelt und schaltet sicherheitshalber in den „Eco“-Modus.

Diese Entscheidungsweiche lässt sich leicht in das Motorensteuerprogramm einbauen. Sprechen genügend Indizien für einen Prüflauf, dann aktiviert man Motorenprogramm und Kennlinie A und ansonsten benutzt man Kennlinie B, die mehr Leistung und offenbar mehr Emissionen produziert. Das gleiche funktioniert auch mit dem Verbrauch.

Warum prüft man überhaupt auf dem Prüfstand und nicht im realen Fahrbetrieb?

Ein Prüfstand liefert reproduzierbare und vergleichbare Werte und ermöglicht einen objektiven Vergleich zwischen Fahrzeug A und Fahrzeug B auch über Herstellergrenzen hinweg. Umwelteinflüsse wie Temperatur, Wind und Luftfeuchtigkeit kann man ebenso eliminieren wie die Unterschiede durch den menschlichen Gasfuß und die ständig wechselnde Verkehrslage im Echtbetrieb. Und abgesehen davon benötigt man für genaue Tests auch Equipment, welches sich schwer in einem Kofferraum unterbringen lässt. Also sind Prüfstandtests gut.

Die Verbrauchs- und Emissionswerte dürfen nur in der Praxis nicht allzu sehr von den Prüfstandwerten und Werksangaben abweichen, sonst wird der Verbraucher sauer. Erstaunlicherweise klappt das bei Hersteller A manchmal besser als bei Hersteller B und wenn Realverbrauch (und die Emissionen) um 10-15 % über der Werksangabe liegen, dann ist das meist dem unsensiblen Gasfuß des Fahrers geschuldet und vollkommen in Ordnung.

Bei VW war das jetzt wohl etwas anders und nach jüngsten Berichten sind möglicherweise rd. 11 Mio. Fahrzeuge weltweit betroffen.

Besonders ärgerlich und letztlich weit schlimmer ist, dass nun auch andere Autobauer unter Verdacht geraten. Wer sagt denn, dass die nicht geschummelt haben? Ohne Zweifel sind die neuen Abgasnormen (hier Euro 6) eine enorme ingenieurmäßige Herausforderung. Hat nur VW das nicht hinbekommen oder sind auch Motoren anderer Hersteller prüfstandoptimiert?

Die Lösung: Flucht nach vorn!

Die Ehrlichen sind jetzt auch die Dummen, weil ihnen unterstellt wird, auch geschummelt zu haben. Jetzt hilft nur eins: Nachweisen, dass die Unterstellungen haltlos sind! Da hilft kein nemo tenetur-Grundsatz oder Beweislastgebot. Nur wenn die Autohersteller nachweisen, dass ihre Autos und die Software tatsächlich sauber sind, kehrt das Vertrauen in die deutsche Ingenieurkunst wieder zurück.

Wie gelingt der Nachweis?

Es gibt einen einfachen und einen beschwerlichen Weg.

Der einfache Weg: Die Autoindustrie lässt ihre Fahrzeuge von unabhängigen Sachverständigen untersuchen und unterstützt diese bei deren Arbeit durch Offenlegung der zu begutachtenden Systeme. Das funktioniert auch mit Geheimhaltung von markenspezifischen Knowhows.

Der beschwerliche Weg: Forensiker und Sachverständige prüfen ohne Herstellerunterstützung die Fahrzeuge und die in den Motorsteuergeräten enthaltene Software. Das bedeutet für jedes Fahrzeug einen nicht unerheblichen Reverse-Engineering-Aufwand mit großem Zeit- und Kostenaufwand.

Und einer muss die Zeche zahlen: Umweltverbände und die Politik tuen sich leicht damit, jetzt eine Überprüfung aller Fahrzeuge in Deutschland, der EU oder weltweit zu fordern. Nur wer bezahlt den Aufwand? Darauf hoffen, dass es – wie bei den IT-Sicherheitsvorfällen rund um das Automobil – immer wieder Enthusiasten gibt, die das kostenlos machen, sollte man nicht.

Also: Wer macht mit und wer bezahlt?

Zwei einfache Fragen, mit deren Antwort man die Kuh zügig vom Eis bekommt. Und das ist wichtig für den Wirtschaftsstandort Deutschland.

Falls Forensik-Knowhow benötigt wird: Ich weiß, wer sich damit auskennt und noch ein paar andere kennt, die sich damit auskennen… Tel. 02405/47949-0. Ich bin mal gespannt, wer gleich anruft…

http://www.ardmediathek.de/tv/Tagesschau/tagesschau-20-00-Uhr/Das-Erste/Video?documentId=30717036&bcastId=4326

Berichterstattung in den Medien mit Beteiligung von Thomas Käfer

Übrigens, wenn es interessiert, wie das ganze in Bildern aussieht, der kann das hier in der ARD tagesschau, dem ARD PlusMinus-Extra und der Aktuellen Stunde des WDR anschauen:

http://www.ardmediathek.de/tv/Tagesschau/tagesschau-20-00-Uhr/Das-Erste/Video?documentId=30717036&bcastId=4326

http://www.ardmediathek.de/tv/Lokalzeit-aus-Aachen/Lokalzeit-aus-Aachen/WDR-Fernsehen/Video?documentId=30715644&bcastId=7293556
 

Weiterlesen
  9929 Aufrufe
  0 Kommentare
9929 Aufrufe
0 Kommentare

Impressionen von der Veranstaltung "Hallo Nachbar" bei KaeferLive am 17.09.2015

Impressionen von der Veranstaltung "Hallo Nachbar" bei KaeferLive am 17.09.2015

Am 17.09.2015 gastierte die "Road-Show" "Hallo Nachbar" bei Käfer IT. Zu Gast waren Unternehmer aus der Region Aachen sowie Vertreter der Städteregion Aachen, der Agit und der IHK Aachen. Der Hauptgeschäftsführer Michale F. Bayer richtete zu Beginn der Veranstaltung freundliche und wohlwollende Worte und Grüße an den Jubilar Thomas Käfer und sein Team. Mit einem nach Aussage der Gäste kurzweiligen Vortrag über die Geschäftsfelder der Käfer EDV Systeme GmbH übernahm Thomas Käfer das Wort, um dann zum Networking der Gäste untereinander beim Oktoberfestbuffet und Fassbier überzuleiten.

Die Party geht heute weiter und wir feiern mit Freunden, Kunden und Weggefährten 25 Jahre IT aus dem Haus Käfer und den Mastertitel Master of Science Digitale Forensik, den Thomas Käfer kürzlich erlangt hat.

Weiterlesen
  10145 Aufrufe
  0 Kommentare
10145 Aufrufe
0 Kommentare

Forschungsbericht Car-Forensics veröffentlicht und beziehbar

Forschungsbericht Car-Forensics veröffentlicht und beziehbar

Der Forschungsbericht Car-Forensics (DIN A4 mit zahlreichen farbigen Visualisierungen) ist nun als eBook (PDF) im Buchhandel (u.a. BOD) zu beziehen. Eine Preview mit den ersten 30 Seiten ist kostenlos erhältlich. Das eBook kostet 235,00 Euro, das Hardcover 285,00 Euro. mit dem Kaufpreis unterstützen Sie die privat finanzierte Forschungsarbeit.

Eine Leseprobe erhalten Sie kostenlos, wenn Sie diese per E-Mail bei uns anfordern: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

Weiterlesen
  7404 Aufrufe
  0 Kommentare
7404 Aufrufe
0 Kommentare

Geschafft! Forschungsarbeit veröffentlicht und Master of Science Titel erhalten

Geschafft! Forschungsarbeit veröffentlicht und Master of Science Titel erhalten

Nach drei anstrengenden und interessanten Jahren berufsbegleitendem Studium an der Hochschule Albstadt-Sigmaringen habe ich heute die letzte Prüfung abgelegt und darf mich fortan "Master of Science Digitale Forensik" nennen. Die ersten Exemplare aus der Master-Thesis entstandenen Forschungsarbeit Car-Forensics sind heute auf den Punkt passend hier eingetroffen und können in Kürze käuflich erworben werden. Großen Dank an meine Frau Michaela für die Unterstützung und an meine betreuenden Prüfer Prof. Felix Freiling (FAU Erlangen), Prof. Marko Schuba (FH Aachen) und Dominik Brodowski (LMU München) und die vielen am Projekt und den Recherchen beteiligten Personen für die angenehme Zusammenarbeit.

Jetzt wird gefeiert!

Weiterlesen
  7453 Aufrufe
  0 Kommentare
Markiert in:
7453 Aufrufe
0 Kommentare

Uber stellt zwei bekannte Auto-Hacker ein

Uber stellt zwei bekannte Auto-Hacker ein

Wie die Aachener Nachrichten mit Bezug auf eine dpa-Meldung am 01.09.2015 berichteten, hat der Taxi-Konkurrent Uber die Hacker Miller und Valasek, die im Juli 2015 den erfolgreichen Hack eines Jeep Cherokee via Internet und Funkschnittstelle veröffentlicht haben, als IT-Sicherheitsexperten eingestellt.

Diese Meldung ist aus zwei Gründen bemerkenswert. Zum einen hat (endlich) ein der Automobilindustrie zumindest verwandtes Unternehmen die Bedeutung von IT-Sicherheit für alle Geschäftsmodelle, Produkte und Dienstleistungen rund um das Automobil erkannt und zum anderen macht Uber offenbar Ernst. Wenn das Unternehmen nicht an die eigene (und in Deutschland umstrittene) Geschäftsidee zur Digitalen Transformation glauben würde, würden Sie wohl auch kaum entsprechenden Aufwand in die Absicherung ihrer IT stecken. Aufwachen deutsche Automotive-Welt!

Weiterlesen
  6608 Aufrufe
  0 Kommentare
6608 Aufrufe
0 Kommentare

By accepting you will be accessing a service provided by a third-party external to https://www.kaeferlive.de/