Käferlive Blog

No news are bad news! In diesem Sinne berichtet das Team von KaeferLive im Blog regelmäßig über Neuerungen, Interessantes und wichtige Nachrichten aus der IT-Szene. Stay tuned!

Backup first!

Backup first!

Aus eigener leidvoller und aktueller Erfahrung kann ich nur raten: Backups machen!

Aus der Idee „mal schnell die Website aktualisieren“ wurde ein Mega-Desaster. Zunächst verschwand nur ein Menü. Dann noch eins. Und dann war auf einmal die ganze Website zerschossen. Guter Rat teuer!

Okay. Irgendwann kommt man an den Punkt, dass ein Weitersuchen nach der Ursache keinen Quick-Win bringt. Also einfach ein Backup einspielen. Upps, wie war das noch? Das Backup für das man gerade keine Zeit hat, ist das, welches man am dringendsten braucht. Und so war es dann auch bei mir. Ein vollständiges aktuelles Backup hatte ich vor den Änderungen nicht gemacht. Zum Glück gab es da noch ein paar Fall-Back-Szenarien. U.a. beim Provider lagen noch automatische Sicherungen vom Vortag (die ich erst einmal nicht auf dem Schirm gehabt hatte). Und dann stolperte ich sogar noch über eine interne Backup-Funktion, die mir immerhin ein einen Monat altes Backup offerierte. Glück gehabt. Und obendrein fand ich dann auch die Ursache des eigentlichen Fehlers. ein veraltetes Plug-In, welches nicht in den automatischen Updates enthalten war und mir die Menüleiste zerschossen hatte. Also alles wieder gut. Sorgfältige Analyse und ein wenig Fachkompetenz haben mich dann gerettet. Und das Backup.

Wann haben Sie Ihr Backup zum letzten Mal gemacht und kontrolliert?

Weiterlesen
  1084 Aufrufe
  0 Kommentare
1084 Aufrufe
0 Kommentare

Neuauflage Forschungsbericht Car-Forensics 5.0

Neuauflage Forschungsbericht Car-Forensics 5.0

Der Forschungsbericht Car-Forensics ist ab sofort in der 5. Auflage bei BOD oder im Buchhandel unter der ISBN 9783738635393 als eBook oder Harcover erhältlich.

Aus der im Frühjahr 2014 entstandenen Idee für die Abschlussarbeit im berufsbegleitenden Masterstudiengang Digitale Forensik an der Hochschule Albstadt-Sigmaringen ist ein umfangreiches Forschungsprojekt entstanden.

Die Erkenntnisse aus der Arbeit wurden und werden im Rahmen von Vorträgen auf Kongressen und Veröffentlichungen in Zeitschriften und Fernsehberichterstattungen einem Fachpublikum auch zur Förderung des wissenschaftlichen Dialogs präsentiert. Im Rahmen des Responsible Disclosures wurden sicherheitskritische Schwachstellen zunächst den betroffenen Firmen und Institutionen gemeldet und ihnen Gelegenheit zur Stellungnahme und Abstellen der Fehler gegeben. Hiervon wurde nicht immer zeitnah und manchmal auch gar nicht Gebrauch gemacht.

Nicht nur die Vermittlung der Ergebnisse wurde im unmittelbaren Anschluss an die Fertigstellung der Masterthesis fortgeführt, sondern es ist auch eine darauf aufbauende weitere Kooperation mit der FH Aachen eingegangen worden.

Ein Hacker gibt selten Ruhe und der Autor gehört auch eher zur hartnäckigen und unbequemen Sorte Mensch. Von daher ist es logisch, dass das Projekt Car-Forensics weitergeführt wird. Im Jahr 2016 wurden hierzu u.a. Untersuchungen am Unfallmeldedienst des Gesamtverbandes der deutschen Autoversicherer mit dem Retrofit-Adapter (Kapitel 4.4) und Analysen des Dienstes „Audi connect“ (Kapitel 5.7) vorgenommen.

Aber auch Erkenntnisse bzgl. der Zuverlässigkeit von Fahrerassistenzsystemen im Hinblick auf die zukünftige Entwicklung hin zum vollautomatisierten Fahren fanden Eingang in die forensischen Betrachtungen. U.a. am Beispiel des Audi A4 Baujahr 2017, der bereits mit einer Vielzahl von Assistenzsystemen ausgerüstet werden kann, wird gezeigt, auf welchem Qualitäts- und Funktionsniveau sich solche elektronischen Helfer derzeit bewegen und welche Probleme sich beim Bewerten von vermuteten Fehlfunktionen und Produktmängeln geben. Diese grundsätzlichen Vorbehalte und Kritik wurden im März 2018 auf traurige Weise durch den ersten tödlichen Unfall mit einem Fremdschaden – verursacht durch ein voll-automatisiert fahrendes Volvo-Fahrzeug des Fahrdienstanbieters Uber – bestätigt (Kapitel 6.4).

Aber auch andere Forscher waren fleißig und so vergeht praktisch kein Monat, an dem nicht wieder eine neue Veröffentlichung eines Problems in Bezug auf die funktionale und/oder IT-Sicherheit bekannt wird. Auch hierauf wird – ohne einen Anspruch auf Vollständigkeit – eingegangen. Last but not least hat sich auch die Gesetzeslage in Deutschland bzw. Europa in Bezug auf den Datenschutz (DS-GVO) und die Normen für die Zulassung und den Betrieb von automatisiert fahrenden Fahrzeugen verändert.

Alle diese Ergebnisse fanden Eingang in die nun vorliegende 5. Auflage des Buches Car-Forensics. Über eine Reihe von weiteren Erkenntnissen bei Penetration-Test an Fahrzeugen kann an dieser Stellen leider nicht öffentlich berichtet werden, da der Autor sogenannten NDA (Non-Disclosure-Agreements) abgeschlossen hat und es sich um Auftragsarbeiten handelt.

Mit dem Kaufpreis unterstützen Sie die Forschungsarbeit Car-Forensics, die komplett aus privaten Mitteln ohne öffentliche Förderung oder Unterstützung von Automobilherstellern oder Verbänden finanziert wurde.

Besitzer der vorherigen Versionen können gegen Zusendung eines Kaufnachweises die neue Auflage kostenlos als PDF erhalten – E-Mail an Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! mit dem Beleg genügt.

Weiterlesen
  6112 Aufrufe
  0 Kommentare
6112 Aufrufe
0 Kommentare

Neues aus der Rubrik "IT-Sicherheit gut gemeint, aber nicht gut gemacht"...

Neues aus der Rubrik "IT-Sicherheit gut gemeint, aber nicht gut gemacht"...

Neues aus der Rubrik "IT-Sicherheit gut gemeint, aber nicht gut gemacht"... Telekom-Techniker verschickt Zugangsdaten zu einem Firmenrouter über ein "E-Mail-Encryption-Gateway" als "vertrauliche Nachricht". So weit so gut. Doof nur, dass er / das System eine Initial-Mail unverschlüsselt mit den Zugangsdaten zum Portal verschickt und dass die anschließende Registrierung komplett ohne wirkliche Authentifizierung des legitimen Empfängers passiert bzw. verifiziert wird. Ein Angreifer, der Zugang zu den Mails hat (mitliest), kann somit den Account unbemerkt kapern, bevor der echte User sein Passwort geändert hat. Damit ist das E-Mail-System nur scheinbar sicher. Und das Verfahren zeigt die Misere beim verschlüsselten E-Mail-Versand: Es ist nur dann sicher, wenn ein rel. hoher Initialaufwand betrieben wird und sich alle Seiten dann an den Sicherheitsstand halten.

 

Telekom

Weiterlesen
  9838 Aufrufe
  0 Kommentare
9838 Aufrufe
0 Kommentare

Shared responsibility and development in Automotive

Shared responsibility and development in Automotive

Shared responsibility and development in Automotive

Bei der Entwicklung von Automobilen hat sich ein Verfahren der Beauftragung und Delegation von Verantwortlichkeiten etabliert. Der Autohersteller (OEM) schreibt die Entwicklung von Teilsystemen aus und beauftragt Firmen, die diese wiederum aus Modulen und Baugruppen anderer Firmen zusammenstellen. Und selbstverständlich bedienen sich auch die Komponentenlieferanten weiterer Teilelieferanten.

Die auf den ersten Blick durchaus sinnvolle Arbeitsteilung und Spezialisierung der in der Liefer- und Produktionskette beteiligten Firmen hat durchaus ihre Daseinsberechtigung, birgt aber in Hinblick auf die IT-Sicherheit des Gesamtproduktes Automobil erhebliche Risiken. Derzeit versuchen die Auftraggeber von oben nach unten ihre Zulieferer zur Implementierung von Cyber-Sicherheit in die Produkte zu verpflichten. Das kann jedoch nur bedingt gelingen, vor allem wenn jedes an der Entwicklungs- und Produktionskette beteiligte Unternehmen sein eigenes Produkt mit geheimen Know-How abkapselt.

Niemand hat dann den Gesamtüberblick über das Fahrzeug und gerade an den Übergabepunkten und Schnittstellen zwischen den Teilsystemen, Steuergeräten und Module lauern die Gefahren. Denn ein potentieller Angreifer wird sich immer das schwächste Glied in der Kette aussuchen und vielleicht an Stellen angreifen, die niemand vor ihm im Blick hatte.

Ein besserer Ansatz ist daher gerade in Hinblick auf die Härtung von komplexen Fahrzeugen der heutigen Zeit, dass die Firmen geradebei der Sicherstellung der IT-Sicherheit (Security) viel enger bei Konzeption und Entwicklung zusammenarbeiten und den bisherigen Pfad der Delegation von Verantwortlichkeiten verlassen. Das fordert ein erhebliches Umdenken in der Branche, aber es würde die IT-Sicherheit moderner Kfz erheblich verbessern.

Wen weitere Details zu diesem Thema interessieren, dem sei das vom 08. bis 10.10.2018 im Aachener Eurogress stattfindende Aachener Kolloquium Fahrzeug- und Motorentechnik empfohlen, bei dem es u.a. von Dipl.-Ing. Thomas Käfer, M.Sc. nun schon zum dritten Mal einen spannenden Einblick in die Welt der IT-Sicherheit im Automobil geben wird.

Link zur Veranstaltung: https://www.aachener-kolloquium.de/de/

Weiterlesen
  21257 Aufrufe
  0 Kommentare
21257 Aufrufe
0 Kommentare

Vortrag zum Uber-Crash beim Kölner Kreis am 14.08.2018

Vortrag zum Uber-Crash beim Kölner Kreis am 14.08.2018

Am 14.08.2018 darf ich auf Einladung meines geschätzten Forensik-Kollegen Martin Wundram von DigiTrace wieder einmal beim Kölner Kreis referieren.


Der Kölner Kreis ist eine recht regelmäßig stattfindende Veranstaltung zum Austausch über IT-Sicherheit, Datenschutz und Digitaler Forensik. Das passt meine Auswertung des Uber-Crashs sozusagen wie die Faust aufs Auge.


Bei Interesse an der Teilnahme einfach E-Mail anDiese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

Weiterlesen
  22552 Aufrufe
  0 Kommentare
22552 Aufrufe
0 Kommentare

Vortrag: Effiziente und richtige IT-Sicherheitstests im Automotive-Umfeld

Jetzt schon Termin vormerken: Am 09.10.2018 um 17:30 Uhr findet im Rahmen des 27. Aachener Kolloquium Fahrzeug- und Motorentechnik von ika/vka der RWTH Aachen der Vortrag "Effiziente und richtige IT-Sicherheitstests im Automotive-Umfeld" von Thomas Käfer statt.

Ort: Eurogress Aachen

Weitere Infos und Anmeldung zum Kolloquium: https://www.aachener-kolloquium.de/de/

Weiterlesen
  23030 Aufrufe
  0 Kommentare
23030 Aufrufe
0 Kommentare

Car-Forensics auf dem 27. Aachener Kolloquium Fahrzeug- und Motorentechnik am 08.10. bis 10.10.2018

Car-Forensics auf dem 27. Aachener Kolloquium Fahrzeug- und Motorentechnik am 08.10. bis 10.10.2018

Car-Forensics auf dem 27. Aachener Kolloquium Fahrzeug- und Motorentechnik am 08.10. bis 10.10.2018

Wir sind wieder dabei und freuen uns über die Einladung von Prof. Lutz Eckstein und Prof. Stefan Pischinger, nun zum dritten Mal einen Vortrag zum Thema Car-Forensics halten zu dürfen. Der Titel des Vortrags von Dipl.-Ing. Thomas Käfer, M.Sc lautet diesmal:

Effektive und richtige IT-Sicherheits-Tests im Automotive-Umfeld

Also: Schon einmal Termin vormerken oder am besten direkt buchen, denn die Teilnehmerplätze sind erfahrungsgemäß begrenzt und begehrt.

https://www.aachener-kolloquium.de/

Weiterlesen
  20064 Aufrufe
  0 Kommentare
20064 Aufrufe
0 Kommentare

Kommt nach der Datenschutz-Grundverordnung bald auch eine Datensicherheits-Grundverordnung?

Kommt nach der Datenschutz-Grundverordnung bald auch eine Datensicherheits-Grundverordnung?

Kommt nach der Datenschutz-Grundverordnung bald auch eine Datensicherheits-Grundverordnung?

Am 25.05.2018 tritt die EU-Datenschutz-Grundverordnung in Kraft und verpflichtet alle Akteure, die Dienstleistungen und Waren in der Europäischen Union anbieten und letztlich personenbezogene Daten erheben, speichern und/oder verarbeiten zu einem sorgsamen Umgang mit selbigen. Und das gilt damit erstmalig auch für Institutionen, die außerhalb der EU ansässig sind, aber in der EU tätig werden. Und wer sich nicht an die Regeln hält, dem drohen saftige Bußgelder bis zu 20 Mio. Euro oder 4% des Gesamtumsatzes eines Jahres des kompletten Konzerns, je nachdem was höher ausfällt.

Und was wird geschützt? Personenbezogene Daten natürlicher lebender Personen, also z.B. Adressen, Geburtsdaten bis hin zu besonders schützenswerten Gesundheitsdaten oder Informationen über Rasse, Religion, politischer Einstellung usw..

Schön. War längst überfällig und eigentlich selbstverständlich. In Deutschland haben wir uns darum dank BDSG schon seit Jahrzehnten kümmern müssen. Jetzt trifft es auch die Mitbewerber im Ausland.

Aber ist Datenschutz wirklich so wichtig oder gibt es vielleicht etwas, das noch viel wichtiger ist?

Richtig. Wie sieht es denn mit dem Recht auf Datensicherheit aus? Viele leiten aus dem Begriff „Datenschutz“ einen allumfassenden Schutz ihrer Daten ab. Schön wär’s.

In den Datenschutznormen ist zwar auch die Einhaltung von grundlegenden IT-Sicherheitsregeln vorgeschrieben, aber in dem Moment, wo keine personenbezogenen Daten direkt betroffen sind, ist die Missachtung von IT-Sicherheit in Produkten und Dienstleistungen praktisch vollkommen sanktioniert.

Unser nationales IT-Sicherheitsgesetz suggeriert, dass IT-Sicherheit per Gesetz geregelt wäre, aber das betrifft nur kritische Infrastrukturen (wie beispielsweise etwa Strom- und Wasserversorger) und eben nicht das 08/15 IT-Produkt oder Programm für Lieschen Müller.

Wenn dann Daten auf einmal weg sind oder IT-Systeme kompromittiert worden sind, ist das Geheule groß. Jemanden dafür haftbar zu machen, ist in der Praxis äußerst schwierig. Und auch wenn man (noch ohne Schaden) eine IT-Sicherheitslücke entdeckt (die es zuhauf gibt), bleibt das für den Verursacher / Anbieter ebenfalls meist folgenlos. Selbst wenn er die Lücke nicht schließt, bekommt man ihn nicht so einfach zu fassen.

Wäre es angesichts zunehmender Digitalisierung und Durchdringung der IT in allen Lebensbereichen nicht dringend notwendig, auch die Implementierung von IT-Sicherheit nach einem aktuellen Stand der Technik in jedem Produkt zu fordern und dessen Fehlen bzw. Mangelhaftigkeit zu pönalisieren? Was ist, wenn die Produktion eines Unternehmens aufgrund eines eigentlich abwehrbaren IT-Vorfalls ausfällt? Was ist, wenn ein voll-automatisiert fahrendes vernetzets Fahrzeug mit 130 km/h gegen die Wand fährt, weil es eine Sicherheitslücke gab, die ein Hacker zum Spaß ausgenutzt hat? Was ist, wenn das Haus abbrennt, weil der internetfähige Toaster durch Schadcode überlastet wurde?

Einen Teil davon kann man über Versicherungen abfedern. Aber es bleiben erhebliche Risiken für Vermögen, Leib und Leben, denn wir reden nicht mehr allein von Daten oder Geld, die weg sind. Im Internet der Dinge reden wir von echten Bedrohungen durch mangelhafte IT-Sicherheit.

Bei aller digitaler Aufbruchsstimmung lohnt es sich daher, auch über IT-Sicherheit zur Not über eine Verordnung und einen gesetzlichen Anspruch nachzudenken. Alles andere wäre fahrlässig und kurzsichtig.

Und für die Gerichte wäre es durchaus sinnvoll, wenn mangelhafte oder fehlende IT-Sicherheit als Produktmangel definiert würde. Das würde den Druck auf die Anbieter erhöhen, ihren Job in Punkto IT-Sicherheit besser zu machen, als das jetzt der Fall ist. Denn eine mal schnell hin gerotzte App mit Sicherheitslücken ist weder digitale Transformation noch ein Leuchtturmprojekt, sondern eine Sackgasse.

Viele Entwickler und Anbieter empfinden IT-Sicherheit als hinderlich und kostspielig. Der Verzicht darauf wird noch kostspieliger und letztlich erhöht die Berücksichtigung von IT-Sicherheit bereits beim Produktdesign auch die Produktqualität.

Jetzt müsste nur jemand den Gedanken mal aufgreifen und weiter diskutieren…

P.S. Und bis es eine Verordnung gibt, könnten wir ja schon einmal anfangen, freiwillig konsequent IT-Sicherheit in unsere Produkte und Dienstleistungen einzubauen.

 

Weiterlesen
  21269 Aufrufe
  0 Kommentare
21269 Aufrufe
0 Kommentare

BMW und Digitalisierung: Eine Never Ending Story...

BMW und Digitalisierung: Eine Never Ending Story...

BMW und Digitalisierung: Eine Never Ending Story...

BMW Connected Drive des vor 1 1/2 Jahren an den Händler nach Auslauf des Leasings und des Connected Drive Abos zurückgegeben BMW 330d meldet sich über den Händler bei mir und macht mich auf einen in 2000km anstehenden Ölwechsel aufmerksam.

Das versteht also BMW (Werk und Händler) unter Datenschutz, Datensicherheit und nicht zuletzt unter Kundendienst. Es ist ja "schön", dass der BMW ans Werk und an den Händler meldet, dass eine Inspektion ansteht. Doof nur, wenn diese Info dann an den ehemaligen und nicht den aktuellen Besitzer geht. Nicht nur dass mich das recht wenig interessiert (den jetzigen Besitzer schon eher), es zeigt, dass der Händler es mit den Kundendatensätzen nicht so genau nimmt (er lässt mich aber seitenweise Einverständniserklärungen ausfüllen) und dass auch die Verknüpfung zwischen Fahrzeug und meinem nach wie vor aktiven ConnectedDrive-Account nicht getrennt ist. Ich kann nach 1 1/2 Jahren immer noch "mein" altes Auto im Portal "sehen" und ich habe mir mal den Spass erlaubt, einen neuen Sicherheitscode zur Freischaltung der Funktionen, Orten, Hupen und Öffnen des Fahrzeug an das Auto zu senden. Wenn der jetzige Besitzer so gutgläubig ist und im HMI-Display den von mir gesendeten Code "1234" bestätigt (User machen solche dummen Sachen), sollte ich sein Auto wieder orten und öffnen können. Nee mache ich dann nicht - war nur Spaß!

Das ganze ist mal wieder ein gutes Beispiel dafür, dass weder BMW irgendetwas von dem verstanden hat, was ich in Bezug auf ConnectedDrive in meiner Forschungsarbeit Car-Forensics bemängelt habe, noch, dass Kundendaten von Werk und Händler wirklich sensibel behandelt werden.

Aber BMW sitzt da in guter Gesellschaft ziemlich arrogant auf hohem Ross... ... nur: so wird das nichts mit der Digitalisierung.

Weiterlesen
  16547 Aufrufe
  0 Kommentare
16547 Aufrufe
0 Kommentare

WannaCry bald auch im Auto?

WannaCry bald auch im Auto?

WannaCry bald auch im Auto?

Im Mai hat es mal wieder eine Schad-Software bis in die Tagesschau geschafft. Dies auch vollkommen zurecht, denn schließlich hat der Erpressungs-Trojaner sozusagen als Beifang oder Kollateralschaden auch die Anzeigesysteme der Deutschen Bahn auf den Bahnsteigen und Britische Krankenhäuser tagelang lahmgelegt. Betroffen waren vor allem ältere Windows-Betriebssysteme, die nicht mit aktuellen Sicherheits-Patches abgesichert waren (sagt auch viel über die IT-Sicherheit in den betroffenen Unternehmen aus).

Und der Impact war sogar so groß, dass Microsoft entgegen sonstiger Ankündigungen sogar Patches für Uralt-Systeme nachgeschoben hat, die man eigentlich seit Jahren nicht mehr verwenden dürfte (Windows XP, Windows 2003 Server etc.).

Anderes Beispiel auch von Mai 2017: Britisch Airways musste den gesamten Flugverkehr für 1-2 Tage einstellen, weil die Firmen-IT wohl wegen eines simplen Stromversorgungsproblems komplett ausgefallen war – weltweit.

Was lernen wir daraus auch in Bezug auf das immer weitere Voranschreiten von Vernetzung, Computerisierung und Digitalisierung? Offenbar nichts.

Wir machen fröhlich weiter so bis zum nächsten Crash, denn Fachleute und solche, die wie die Blinden von der Farbe reden, gaukeln uns vor, dass in der Digitalisierung das Heil des 21. Jahrhunderts liegt.
Tatsächlich bringt die Digitalisierung – wie jeder Fortschritt – enorme Chancen. Aber bitte mit Sicherheit. Man springt ja auch nicht einfach so aus dem Flugzeug, weil man dann ganz frei fliegen kann, ohne einen Fallschirm mitzunehmen.

Viele Produktentwicklungen und Neuerung befinden sich gerade im freien Fall. War es bisher nur Geld, welches weg war, wenn die IT crashte, sind es nun schon Infrastrukturen, die zeitweise nicht oder nur noch sehr eingeschränkt funktionieren. Morgen sind es Systeme, die bei ihrem Ausfall Menschenleben kosten.

Darüber sollte man vielleicht nachdenken, wenn man Industrieanlagen und Kraftwerke vernetzt, Infrastrukturen massiv von Computern steuern lässt und dem Auto beizubringen versucht, autonom zu fahren.
Wäre ich ein Black-Hat und hätte gerade mal wieder Geldprobleme, dann würde ich eine Attacke wie WannaCry nicht auf pisselige Computer absetzen, sondern Autos angreifen. Voll lustig, wenn dann auf dem Display steht: „Schade auch – Ihr Auto wurde gerade verschlüsselt – Zahlen Sie 300,00 € oder US $ in Bitcoins auf mein Konto und ich schalte Ihnen Ihr Auto (vielleicht) wieder frei. Ansonsten bleiben Sie jetzt auf der Kreuzung stehen.“.

Dann habt Ihr wirklich etwas zum Heulen…

Wetten, dass so etwas kommt?

Oder wollen wir uns mal langsam ernsthaft über Datensicherheit unterhalten?



Weiterlesen
  22401 Aufrufe
  0 Kommentare
Markiert in:
22401 Aufrufe
0 Kommentare