Abo
  • Services:

Ein Zertifikat für fast alle Windräder

Unsere Prüfung mittels verschiedener Onlinetools hat ergeben, dass Angriffe gegen die SSL/TLS-Verschlüsselung wie Poodle, Logjam und Freak allesamt bei der absoluten Mehrheit (über 90 Prozent) der Anlagen möglich sind. Immerhin: Einen Heartbleed konnten wir nicht entdecken. An dieser Stelle kommen wir dennoch zu dem Eindruck, dass selbst die Verbindung zu den meisten Webservern von großen E-Mail-Anbietern und damit die meisten E-Mail-Accounts besser abgesichert sind als die Administrationspanels von Windparks.

Stellenmarkt
  1. DomainFactory GmbH, Ismaning
  2. Medios Digital GmbH, Berlin

Der IT-Grundschutz des BSI enthält einen extra Maßnahmenkatalog zur Verwendung von SSL/TLS. Darüber hinaus hat das BSI einen definierten Mindeststandard zu TLS veröffentlicht. Die Windanlagen folgen keiner der Empfehlungen. Da es sich bei diesen allerdings nicht um Regelwerke oder Gesetze handelt, sondern um nicht verpflichtende IT-Sicherheitsstandards, liegt hier kein Verstoß vor. Das BSI erklärte uns dazu dennoch: "Allerdings sollten die von Ihnen genannten Sicherheitslücken auf einem am Internet angeschlossenen System behoben werden. Sowohl Hersteller als auch Betreiber sind dazu in der Verantwortung. Es wurden in dem beschriebenen Fall nicht alle Best Practices zum Einrichten befolgt."

One Certificate fits all

Uns hat neben der Anfälligkeit gegen Sicherheitslücken allerdings noch eine weitere Angelegenheit stutzig gemacht, denn ein Blick in die Zertifikatsinformationen verrät, dass nicht nur ein Großteil der Windparks alte Verschlüsselungsalgorithmen unterstützt, sondern es handelt sich bei fast allen Anlagen um das gleiche SSL/TLS-Zertifikat.

Um das genauer zu untersuchen, haben wir mit Hilfe eines Befehls sämtliche zuvor erhobenen IP-Adressen eingelesen und mittels Openssl ein Fingerprint des Zertifikats erzeugt. Die Informationen werden in einer Datei dokumentiert, wo sie zur weiteren Auswertung genutzt werden können. Das Ergebnis war, dass circa 90 Prozent den gleichen Fingerprint erzeugen, also das gleiche Zertifikat nutzen. Sollte das Zertifikat einer der betreffenden Anlagen kompromittiert sein, so wäre die Sicherheit der anderen Anlagen ebenfalls gefährdet. Dass so etwas nicht auf Dauer gutgehen kann, sollte klar sein. Die Problematik ist, wie auch bei den zuvor erwähnten Sicherheitslücken, in der Verschlüsselung seit Jahren bekannt, wurde mehrfach diskutiert und sollte gerade bei kritischen Industrieanlagen, die mit dem Internet verbunden sind, behoben werden.

Bislang haben wir betrachtet, wie man massenhaft Windanlagen simpel auffinden und von ihnen Informationen gewinnen kann und haben ihre SSL/TL-Sicherheit untersucht und grobe Verstöße gegen Best Practices gefunden. Damit haben wir unsere Analyse allerdings noch nicht abgeschlossen. Wir können noch deutlich weitergehen und etwa Portscans durchführen, HTTP-Header analysieren oder auf Erkenntnisse von Suchmaschinen wie Shodan.io zurückgreifen, um an Informationen zum Webserver, der Webapplikation und zur sonstigen Infrastruktur zu kommen.

 HTTPS ist nicht StandardZahlreiche weitere Sicherheitsrisiken 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7.  


Anzeige
Top-Angebote
  1. (-80%) 3,99€
  2. 3,84€
  3. 55,00€ (Bestpreis!)
  4. 6,99€

Trockenobst 12. Sep 2017

Der muss ja nicht Vollzeit dabei sein. Schon einfache Sachen wie VPNs...

Trockenobst 12. Sep 2017

Schon alleine einfaches Portknocking über mehrere Ports steigert die Security, solange...

StaTiC2206 12. Sep 2017

ich hab da schon je her Bauchschmerzen, wenn ich lese, dass kritische Infrastruktur für...

ElMario 12. Sep 2017

Jeder macht mal Fehler, Schwamm drüber...

ElMario 12. Sep 2017

Schliesslich sind wir das Neuland Internet !!!111³³³


Folgen Sie uns
       


Kabellose Bluetooth-Ohrstöpsel - Test

Wir haben vier komplett kabellose Bluetooth-Ohrstöpsel getestet. Mit dabei sind Apples Airpods, Boses Soundsport Free, Ankers Zolo Liberty Plus sowie Googles Pixel Buds. Dabei bewerteten wir die Klangqualität, den Tragekomfort und die Akkulaufzeit sowie den allgemeinen Umgang mit den Stöpseln.

Kabellose Bluetooth-Ohrstöpsel - Test Video aufrufen
Physik: Maserlicht aus Diamant
Physik
Maserlicht aus Diamant

Ein Stickstoff-Fehlstellen-basierter Maser liefert kontinuierliche und kohärente Mikrowellenstrahlung bei Raumtemperatur. Eine mögliche Anwendung ist die Kommunikation mit Satelliten.
Von Dirk Eidemüller

  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

Ryzen 7 2700X im Test: AMDs Zen+ zieht gleich mit Intel
Ryzen 7 2700X im Test
AMDs Zen+ zieht gleich mit Intel

Der neue Ryzen 7 2700X gehört zu den schnellsten CPUs für 300 Euro. In Anwendungen schlägt er sich sehr gut und ist in Spielen oft überraschend flott. Besonders schön: die Abwärtskompatibilität.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Ryzen 2400GE/2200GE AMD veröffentlicht sparsame 35-Watt-APUs
  2. AMD-Prozessor Ryzen-Topmodell 7 2700X kostet 320 Euro
  3. Spectre v2 AMD und Microsoft patchen CPUs bis zurück zum Bulldozer

Underworld Ascendant angespielt: Unterirdische Freiheit mit kaputter Klinge
Underworld Ascendant angespielt
Unterirdische Freiheit mit kaputter Klinge

Wir sollen unser Können aus dem bahnbrechenden Ultima Underworld verlernen: Beim Anspielen des Nachfolgers Underworld Ascendant hat Golem.de absichtlich ein kaputtes Schwert bekommen - und trotzdem Spaß.
Von Peter Steinlechner

  1. Otherside Entertainment Underworld Ascendant soll mehr Licht ins Dunkle bringen

    •  /