Abo
  • Services:
Anzeige
Viele Windräder könnten ein IT-Security-Update vertragen.
Viele Windräder könnten ein IT-Security-Update vertragen. (Bild: Guillauma Souvant/Getty Images)

Ein Zertifikat für fast alle Windräder

Unsere Prüfung mittels verschiedener Onlinetools hat ergeben, dass Angriffe gegen die SSL/TLS-Verschlüsselung wie Poodle, Logjam und Freak allesamt bei der absoluten Mehrheit (über 90 Prozent) der Anlagen möglich sind. Immerhin: Einen Heartbleed konnten wir nicht entdecken. An dieser Stelle kommen wir dennoch zu dem Eindruck, dass selbst die Verbindung zu den meisten Webservern von großen E-Mail-Anbietern und damit die meisten E-Mail-Accounts besser abgesichert sind als die Administrationspanels von Windparks.

Der IT-Grundschutz des BSI enthält einen extra Maßnahmenkatalog zur Verwendung von SSL/TLS. Darüber hinaus hat das BSI einen definierten Mindeststandard zu TLS veröffentlicht. Die Windanlagen folgen keiner der Empfehlungen. Da es sich bei diesen allerdings nicht um Regelwerke oder Gesetze handelt, sondern um nicht verpflichtende IT-Sicherheitsstandards, liegt hier kein Verstoß vor. Das BSI erklärte uns dazu dennoch: "Allerdings sollten die von Ihnen genannten Sicherheitslücken auf einem am Internet angeschlossenen System behoben werden. Sowohl Hersteller als auch Betreiber sind dazu in der Verantwortung. Es wurden in dem beschriebenen Fall nicht alle Best Practices zum Einrichten befolgt."

Anzeige

One Certificate fits all

Uns hat neben der Anfälligkeit gegen Sicherheitslücken allerdings noch eine weitere Angelegenheit stutzig gemacht, denn ein Blick in die Zertifikatsinformationen verrät, dass nicht nur ein Großteil der Windparks alte Verschlüsselungsalgorithmen unterstützt, sondern es handelt sich bei fast allen Anlagen um das gleiche SSL/TLS-Zertifikat.

Um das genauer zu untersuchen, haben wir mit Hilfe eines Befehls sämtliche zuvor erhobenen IP-Adressen eingelesen und mittels Openssl ein Fingerprint des Zertifikats erzeugt. Die Informationen werden in einer Datei dokumentiert, wo sie zur weiteren Auswertung genutzt werden können. Das Ergebnis war, dass circa 90 Prozent den gleichen Fingerprint erzeugen, also das gleiche Zertifikat nutzen. Sollte das Zertifikat einer der betreffenden Anlagen kompromittiert sein, so wäre die Sicherheit der anderen Anlagen ebenfalls gefährdet. Dass so etwas nicht auf Dauer gutgehen kann, sollte klar sein. Die Problematik ist, wie auch bei den zuvor erwähnten Sicherheitslücken, in der Verschlüsselung seit Jahren bekannt, wurde mehrfach diskutiert und sollte gerade bei kritischen Industrieanlagen, die mit dem Internet verbunden sind, behoben werden.

Bislang haben wir betrachtet, wie man massenhaft Windanlagen simpel auffinden und von ihnen Informationen gewinnen kann und haben ihre SSL/TL-Sicherheit untersucht und grobe Verstöße gegen Best Practices gefunden. Damit haben wir unsere Analyse allerdings noch nicht abgeschlossen. Wir können noch deutlich weitergehen und etwa Portscans durchführen, HTTP-Header analysieren oder auf Erkenntnisse von Suchmaschinen wie Shodan.io zurückgreifen, um an Informationen zum Webserver, der Webapplikation und zur sonstigen Infrastruktur zu kommen.

 HTTPS ist nicht StandardZahlreiche weitere Sicherheitsrisiken 

eye home zur Startseite
Trockenobst 12. Sep 2017

Der muss ja nicht Vollzeit dabei sein. Schon einfache Sachen wie VPNs...

Themenstart

Trockenobst 12. Sep 2017

Schon alleine einfaches Portknocking über mehrere Ports steigert die Security, solange...

Themenstart

StaTiC2206 12. Sep 2017

ich hab da schon je her Bauchschmerzen, wenn ich lese, dass kritische Infrastruktur für...

Themenstart

ElMario 12. Sep 2017

Jeder macht mal Fehler, Schwamm drüber...

Themenstart

ElMario 12. Sep 2017

Schliesslich sind wir das Neuland Internet !!!111³³³

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. BG-Phoenics GmbH, München
  2. ETAS GmbH & Co. KG, Stuttgart
  3. Robert Bosch GmbH, Stuttgart-Feuerbach
  4. via 3C - Career Consulting Company GmbH, München, Frankfurt, Hamburg, Düsseldorf, Berlin (Home-Office)


Anzeige
Top-Angebote
  1. (heute u. a. mit Sony TVs, Radios und Lautsprechern, 4K-Blu-rays und Sennheiser Kopfhörern)
  2. 499,99€ - Aktuell nicht bestellbar. Gelegentlich bezüglich Verfügbarkeit auf der Bestellseite...

Folgen Sie uns
       


  1. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  2. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  3. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  4. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen

  5. NH-L9a-AM4 und NH-L12S

    Noctua bringt Mini-ITX-Kühler für Ryzen

  6. Wegen Lieferproblemen

    Spekulationen über Aus für Opels Elektroauto Ampera-E

  7. Minix

    Fehler in Intel ME ermöglicht Codeausführung

  8. Oracle

    Java SE 9 und Java EE 8 gehen live

  9. Störerhaftung abgeschafft

    Bundesrat stimmt für WLAN-Gesetz mit Netzsperrenanspruch

  10. Streaming

    Update für Fire TV bringt Lupenfunktion



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Apples iPhone X in der Analyse: Ein iPhone voller interessanter Herausforderungen
Apples iPhone X in der Analyse
Ein iPhone voller interessanter Herausforderungen
  1. Smartphone Apple könnte iPhone X verspätet ausliefern
  2. Face ID Apple erlaubt nur ein Gesicht pro iPhone X
  3. iPhone X Apples iPhone mit randlosem OLED-Display kostet 1.150 Euro

Metroid Samus Returns im Kurztest: Rückkehr der gelenkigen Kopfgeldjägerin
Metroid Samus Returns im Kurztest
Rückkehr der gelenkigen Kopfgeldjägerin
  1. Doom, Wolfenstein, Minecraft Nintendo kriegt große Namen
  2. Nintendo Das NES Classic Mini kommt 2018 noch einmal auf den Markt
  3. Nintendo Mario verlegt keine Rohre mehr

Galaxy Note 8 im Test: Samsungs teure Dual-Kamera-Premiere
Galaxy Note 8 im Test
Samsungs teure Dual-Kamera-Premiere
  1. Galaxy S8 und Note 8 Bixby-Button lässt sich teilweise deaktivieren
  2. Videos Youtube bringt HDR auf Smartphones
  3. Galaxy Note 8 im Hands on Auch das Galaxy Note sieht jetzt doppelt - für 1.000 Euro

  1. Billgphones tuns auch!

    AndreasOZ | 02:11

  2. ich finde das iPhone überteuert

    AndreasOZ | 02:04

  3. Re: Geringwertiger Gütertransport

    gogolm | 01:55

  4. Typisch Deutsch

    tg-- | 01:24

  5. Re: Frauenfußball dabei?

    TarikVaineTree | 01:21


  1. 17:43

  2. 17:25

  3. 16:55

  4. 16:39

  5. 16:12

  6. 15:30

  7. 15:06

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel