Security Nightmares X - Angriffe auf Clouds, ePA und Adobe

Sicherheitsprobleme, die noch kommen

Kritik gab es dieses Jahr am E-Government. E-Government erkennt man daran, dass viele Daten verloren gehen, unkten die Hacker. England ist da sehr weit vorn, aber auch hierzulande beginnt die Aufholjagd. Ron und Rieger gehen davon aus, dass demnächst die Datenbank mit Fingerabdrücken abhanden kommen wird. 2010 würden die Punkte E-Government und Datenverbrechen wohl zusammengelegt, da eine Unterscheidung nicht notwendig sei, so die Hacker.

Im nächsten Jahr werden auch Adobes Produkte wieder Probleme für die Nutzer bedeuten. Neben dem Adobe Reader ist auch mit weiteren Angriffen auf Adobes Flash-Player zu rechnen. Immerhin befindet sich mit dem Blitzableiter eine Lösung in Entwicklung. In der Zwischenzeit raten die Hacker, einen Adblocker einzusetzen. Wer sich Flashwerbung ansieht, setzt sich nämlich einem höheren Risiko aus.

Auch wer sich in sozialen Netzwerken bewegt, geht ein Risiko ein. Daten sind ohnehin das Müllproblem der Informationsgesellschaft. Alles, was aufgezeichnet wird, bleibt und alles, was bleibt, kommt auch weg. Ron fügte dem hinzu, dass es Parallelen zwischen Datenhygiene und der Real-Life-Hygiene gebe: "Ungeschützter Datenverkehr mit oft wechselnden Partnern ist gefährlich" Zudem muss damit gerechnet werden, dass die Daten, etwa in sozialen Netzwerken, in Zukunft gegen einen verwendet werden.

Was die Sicherheit von Heimroutern angeht, meint Ron auch dieses Jahr: "Da geht noch mehr." 2009 sollen 80.000 Router in Drohnen verwandelt worden sein. Da Router immer schnellere Prozessoren und auch mehr Arbeitsspeicher besitzen, empfehlen die Hacker einen Tor-Exit-Client als Payload für Angriffe.

Viele Schwierigkeiten sehen die Hacker beim "Cloud Computing". Scanning, Cracking und Botnet Command & Control gibt es in der Zukunft in der Cloud. Zudem soll es bereits Ansätze für das Überwinden von Hypervisors geben und so sogenanntes Slice Hopping, also der Sprung von einer zu einer anderen Maschine, soll möglich werden. Das sei zwar kompliziert, aber die Gerüchte verdichten sich, dass es bald soweit sein wird. Das Praktische dabei ist, dass Angreifer gleich hunderte Maschinen unter ihre Kontrolle bringen können und so aus neuen Blickwinkeln auf Daten der Nutzer zugreifen können. Außerdem befürchten die Hacker unsichere Standardeinstellungen in der Cloud. Immerhin entsteht dadurch "Plausible deniability".

Zum 27. Chaos Communication Congress wird zudem der elektronische Personalausweis (ePA) getoastet und frittiert. Er war bereits Gegenstand eines eigenen Vortrags beim 26C3 und musste dort viel Kritik einstecken. Ende 2010 wird überprüft, was Feldversuche ergeben haben. Voraussetzung ist allerdings, dass die Bundesregierung es schafft, im Zeitplan zu bleiben und den neuen Personalausweis, vom BSI auch nPA abgekürzt, noch 2010 auszuliefern.