#257 Fischbecken, Jeep, Saugroboter - 3 Hacks, 1 Lesson: Zero Trust

0:03 [SPEAKER_00]: Willkommen zu einer neuen Episode vom Engineering Cures Podcast. [SPEAKER_00]: Heute suchen wir mal in einen Bereich rein, der gleichzeitig kreativ unbequem und leider oft erst dann sich bewirkt, wenn es schon knallt. [SPEAKER_00]: IT Security. [SPEAKER_00]: Wir schauen uns dafür drei Stories an.

0:19 [SPEAKER_00]: die irgendwie wie so ein schlechter Film klingen, aber ziemlich reale Learnings liefern. [SPEAKER_00]: Ein Casino, bei dem ein IoT-Tabometer aus einem Aquarium plötzlich als Datenabfluss Kanal dient, inklusive zehnkelger bei Traffic nach Finland, ein Jeep Cherokee Hack, bei dem ein offener Port und eine unsignierte Film-Wereichen, um vom Infotainment bis zum Canbus zu kommen und ein aktueller Case rund um den Schlaugberger Roboter MQTT und [SPEAKER_00]: Der Rote Faden, Trust Boundaries, Netzweggsegmentierung, Zero Trust, Egress Traffic und die Unbeklimme Wahrheit, dass IoT Teil Danesystems ist, ob du es willst oder nicht.

1:01 [SPEAKER_00]: Wenn du dich schon einmal gefragt hast, warum segmentieren sie immer noch hinten geschoben wird, dann ist diese Episode für dich. [SPEAKER_00]: Wir gelägen los. [SPEAKER_00]: Ich hoffe, du bist leider nicht mehr der Jungs, aber du kennst ja wahrscheinlich noch aus der historie in folgende Situation, du bist auch einer Party, oder meiner gemütlichen Wohnungsparti, oder so, wo finden du die beste Parti statt?

1:23 [SPEAKER_00]: Natürlich stehst du mit wie man in einem Kalt getränk, einer Hopfenschaule in der Küche, weil in der Küche passieren immer die besten Partis. [SPEAKER_00]: Und dann lernst du irgendwie neu es kennen. [SPEAKER_00]: Du trittst irgendwie den du noch nie voll getroffen hast, kommst du ins Gespräch und da kommt diese klassische Frage ja und was machst du so also mit dem Hintergrund was machst du so beruflich und die Person sagt ja ich bin in der IT wie viel Informationsgehalt hat diese Infosolution für dich genug Informationsgehalt umweigte zu fragen was denn genau oder wurde in genau [SPEAKER_00]: Du bist eher so der Optieb, ich bin eher so der Passeb, weil die Antwort, die sagt mir ungefähr gar nicht.

1:54 [SPEAKER_00]: Das ist so ungefähr so, als würdest du mir sagen, du hast einen Dachrobe. [SPEAKER_00]: Ich weiß aber nicht, hast du eine Wohnung, hast du ein Haus. [SPEAKER_00]: Du sitztst die Wohnung oder bist du nur mieter. [SPEAKER_00]: In welcher Stadt, früher und so in der WG, hast du vielleicht nur ein Zimmer, bist du vielleicht in einer Obdachlosenunterkopf.

2:10 [SPEAKER_00]: Also es gibt so eine breite, eine breite Varianz, dieser möglichen Antwort und in der IT ist das sehr nicht anders. [SPEAKER_00]: Kannst du mir sagen, wie viel Jobs oder Bereiche es in der IT gibt? [SPEAKER_01]: Natürlich, da kann man bei ECM Nachschern, da gibt es ein Verzeichnis, gibt es Kategorien, wie ist die Informatik aufgeteilt?

2:28 [SPEAKER_01]: Ich glaube, das sind so 22 Kategorien, dann kannst du das nachschauen, natürlich. [SPEAKER_00]: Und pro Hauptkategorie gibt es dann selber schon nicht 37 Unterkategorien und davon dann diese Baum wird sehr groß, würde ich mal sagen. [SPEAKER_00]: Und ich glaube, das Thema Security oder Sicherheit ist nicht nur ein Subbaum in der nahe ACM-Kategorie-Sierung, sondern Security ist er schon wild.

2:52 [SPEAKER_00]: Und hochspezialisiert, wie eigentlich fast jeder Subbereich, da gibt's Red Team in Blut-Team, Security-Analisten, da gibt's Whitehead Hecker und was da ich noch vergessen, was fällt ihr als Jobs im IT Security-Bereich ein? [SPEAKER_00]: Zieso schäf ganz oben? [SPEAKER_00]: Okay, du bist jetzt eher so der Mensch, wenn Kollege verstehe ich.

3:09 [SPEAKER_00]: Na ja, wie dem wir aus sein? [SPEAKER_00]: Wir dachten uns in dieser Episode einfach mal. [SPEAKER_00]: Im Security Bereich passiert so viel. [SPEAKER_00]: Und im Security Bereich ist auch die kreativität. [SPEAKER_00]: Meines Erachtens, nach unglaublich hoch. [SPEAKER_00]: Nicht nur von den Angreifern, sondern auch von den Beschützer.

3:23 [SPEAKER_00]: Und es gibt natürlich ein paar weltweit bekannte Attacken, die sogar bis in die Stahlgeschaube schafft haben. [SPEAKER_00]: Um mal drei zu nennen, das wäre Staxnet. [SPEAKER_00]: Das ist das, ist dieser Heck, damals in Iranischen Anlagen. [SPEAKER_00]: Und sind Rifugen, glaube ich, langsamer zu schalten, um das Iranische Atomprogramm zu stören oder ähnliches.

3:41 [SPEAKER_00]: Dann gab es immer Lockvorschell in dieser Java-Loring-Library und dann gab es immer hartblit, wo glaube ich Speicher von einer Prozessen geliegt wurde. [SPEAKER_00]: Das sind so die Riesendinger, würde ich mal sagen, die ist ein deutsch-tagesschauerschaft haben. [SPEAKER_00]: Wahrscheinlich auch in die österreichische Tagesschau, die heißt ziebt zwei.

3:58 [SPEAKER_00]: Sitt zwei, okay. [SPEAKER_00]: Warum nicht einen einfachen Namen wählen? [SPEAKER_00]: Zeit im Bild, viel kürzer als Dagesscher. [SPEAKER_00]: Und wo ist Zeit im Bild eins? [SPEAKER_01]: Gibt es auch? [SPEAKER_01]: Das ist so 19.30 Uhr und 10.20 Uhr. [SPEAKER_01]: Dann wir die Kohlenleiten um 10 Uhr mit Interview und zu.

4:14 [SPEAKER_00]: Die Mehrzeit haben. [SPEAKER_01]: Ja, die keine Zeit haben, die dann um 10 noch mal die DNews haben wollen. [SPEAKER_01]: Bis hierhin anders aufgestellt. [SPEAKER_00]: Wie da was gelernt? [SPEAKER_00]: Aber wir haben uns gedacht, wir lenken den Scheinwerfer mal auf weniger Bekanntecks, weniger Bekannte attacken.

4:30 [SPEAKER_00]: Und lesen jetzt nicht nur im Blockpost vor, sondern fragen uns wirklich aktiv, was können wir eigentlich daraus lernen? [SPEAKER_00]: Und für wir suchen mal ein bisschen, ich sag mal, ein bisschen tiefer als die ganz klassische Berichterstattemula, als das offensichtliche zu kommen. [SPEAKER_01]: Ich bin natürlich absolut ready und vielleicht das kleine Hintergrundgeschichte woher dieser Heck eigentlich kommt.

4:50 [SPEAKER_01]: Der Andy hat den Irgendwo so als Seitnot in dem Vortrag auf der diesjährigen Fosstem mitbekommen. [SPEAKER_01]: Also er wurde nicht genau erklärt, sondern nur so angerissen, aber Andy ist schon so nervös am Stuhl herumgerückt. [SPEAKER_01]: Wir nur gehört hat was das für ein doller Heck ist und dass der so cool ist.

5:06 [SPEAKER_01]: Und darum ist es jetzt auch der erste Heck, den wir besprechen, weil der Andy bereits ist gar nicht mehr aushalten. [SPEAKER_01]: Darum darf der Andy jetzt starten mit seinem ersten Heck der übrigens wirklich cool ist. [SPEAKER_00]: Ich kannte den Heck schon, aber er wird mir auf der diesjährigen Posten wieder in den Euro rumrufen.

5:19 [SPEAKER_00]: Hast du einer Quarium Wolfgang? [SPEAKER_00]: Erzwölte Kratzangschei aus, es über die Fischezüchten, aber ich will jetzt niemanden beleidigen. [SPEAKER_00]: Nein. [SPEAKER_00]: Wahrscheinlich hast er irgendwo ein paar Silberfische, im Bart oder ähnliches, aber nicht gut lassen wir das. [SPEAKER_00]: Es geht um ein Aquarium, es geht um ein Thermometer in einem Aquarium.

5:35 [SPEAKER_00]: Die ganze Sache wurde im Sommer 2017 von den Medien aufgegriffen und zwar hat damals eine sogenannte IT-Sicherheitsfämmer mit dem Namen Dark Trace, ein Global's Red Report veröffentlicht. [SPEAKER_00]: Ihr kennt das diese PDFs, wo man Customer Case da dies und so weiter und sofort ernauernst.

5:52 [SPEAKER_00]: Eine Kaste war Kaste, die gegenüber einer amerikanisches Casino, einer amerikanisches Casino, wo die Software von der Firma Darktraise auffällige Aktivitäten im Netzwerk entdeckt hat. [SPEAKER_00]: Leider wurde das Casino nie genannt und leider wurden auch nie vorändische Details zu dem ganzen Fall veröffentlicht.

6:10 [SPEAKER_00]: Dennoch haben die Medien die ganze Sache aufgegriffen und natürlich weiter recherchiert. [SPEAKER_00]: Das bedeutet dann leider auch, der kommende Fall kann nicht [SPEAKER_00]: Zauber, rekonstruiert, anhand von einer inzielen Time dein behandelt werden. [SPEAKER_00]: Aber wir haben das beste getan, um inwesste Gertieben mit Journalismus zu betreiben.

6:28 [SPEAKER_00]: Ja, jetzt bin ich gespannt. [SPEAKER_00]: Wie dem auch sei. [SPEAKER_00]: Also, was ist passiert? [SPEAKER_00]: Ein Casino in uns hat er einen Aquarium. [SPEAKER_00]: Und heutzutage hat man natürlich nicht nur einen Aquarium, sondern man hat auch einen Thermometer in einem Aquarium, den den Temperatur für Fische ist, sehr wichtig.

6:41 [SPEAKER_00]: Und natürlich könnte man jetzt ein Mitarbeiter anstellen, der rumgeht. [SPEAKER_00]: haben wir 25 Grad in diesem Aquarium, was da oder man kann natürlich ein IoT-Zellen so installieren. [SPEAKER_00]: In der Infekt gab es ein IoT-Zellen so in diesem Aquarium der hat es den Paratur, die Fütterung, die Reinigung und Umweltwerte und so weiter überwacht und diese Daten wurden an einem Computer gesehen.

7:01 [SPEAKER_00]: Die Software von Dark Trace hat dann über Zeit auffällige Datenabflüsse im Netzwegboowacht und zwar. [SPEAKER_00]: wurden ungefähr zehn Gigabyte nach außen transferiert. [SPEAKER_00]: Kein anderes Gerät, in diesem Casino, in der Server Landschaft von dem Casino, hatte jemals Kontakt zu der Exzern-Adresse, wo die zehn Gigabyte hingesendet wurden.

7:21 [SPEAKER_00]: Kein anderes Gerät innerhalb des Casinos hat je diese Menge Daten außerhalb des Netzwerktransferiert und [SPEAKER_00]: Wenn man sich die Daten genauer angeguckt hat, wurden Protokolle genutzt, die eher fürs Videostreaming geeignet sind. [SPEAKER_00]: Und die Software hat all das erkannt.

7:38 [SPEAKER_00]: Klingt irgendwie nach logischen Pettans würde ich mal sagen und kudos für die Software. [SPEAKER_00]: Und dann hat man sich diesen ganzen Vorfall genauer angesehen. [SPEAKER_00]: Und zwar wurde dieses Aquarium thermometer, dafür genutzt, um ca. [SPEAKER_00]: 10 GB Daten aus dem internen Netzwerk des Kosinos rauszuschleusen.

7:57 [SPEAKER_00]: Wer das genau war, weiß man, bis heute nicht, der Zielzürber, wo in die Zingüge bei Daten gingen, stand irgendwo in Finland, das heißt natürlich nicht automatisch, dass der Täter aus Finland kommt. [SPEAKER_00]: Und die Zingüge bei die kamen alle von diesem Thermometer oder irgendwo von die weißes im Netzwerk.

8:14 [SPEAKER_00]: Genau, die Software von Dark Trace hat festgestellt, dass das Thermometer der Ausgangspunkt, also der Endpunkt im Internetsequar und zehn Gigabyte Daten dann nach Finland versendet hat. [SPEAKER_00]: Und was war das für Daten? [SPEAKER_00]: Denn die Medien beschreiben, dass die Angreifer, die High-Roller-Datenbank anvisiert haben, High-Roller im Casino, ich weiß nicht, wie viel Glücksspiel du machst, aber es gibt ja wahrscheinlich alles, muss dann mehr zackladen.

8:39 [SPEAKER_00]: Es gibt ja immer so einen Raum in so einem Casino, okay, da sind halt die zahlungskräftigen Kunden aktiv und da wird einen Datenbank drüber geführt, wo man halt nicht nur um tausend Dollar spielt sondern vielleicht mal ein bisschen höher, ja, bei Poker und und gleichzeitig. [SPEAKER_01]: Und das sind dann die Wails sozusagen wie bei den Spielen, oder?

8:54 [SPEAKER_01]: Da wo man viel Geld rausbeganzt genau. [SPEAKER_00]: Natürlich hat ein Casino Interesse dieser High-Roller irgendwie schön zu betütteln und deswegen für ihn natürlich einen Datenbank für diesen High-Rollern, weil natürlich irgendwann auch Geldwäsche da ins Spiel kommt, woher kommt das Geld, Pippa Poe und Mitor wahrscheinlich keine Laufen, die dann nicht wie in irgendwelchen Hollywood Action-Film mit einem Koffer voll Geld und zehn Millionen zum Chip-Counter, sondern das wird dann mit Vorwäsche nicht gerade über Bank-Transfer gemacht.

9:18 [SPEAKER_00]: Deswegen führen die so eine Datenbank. [SPEAKER_01]: Aber es müssen ja schon andere Infos auch gewesen sein, weil diese Datenbank hat keine 200 Kilobbeit wahrscheinlich, wenn es zum Namen geht. [SPEAKER_01]: Es waren zehn Gigabyte, also wenn man schon irgendwie mehr dran hängen kann. [SPEAKER_00]: Ja, also da wir es nicht genau wissen, was übertragen wurde und wir wissen auch nicht, wie die High Roller daten man geführt wurde, welche Meter daten ist.

9:38 [SPEAKER_00]: Wenn da jede Transaktion mitgeliefert wurde, wenn da Daten in anderen Datenpaketen verpackt wurden. [SPEAKER_00]: Ich hatte gerade gesagt, dass die Software hat ein Protokoll festgestellt, was normalerweise für Videos Streaming genutzt wurde, dann bedeutet, dass da werden Daten in Daten gepackt und das kann natürlich ein bisschen Oberhett erzeugen.

9:58 [SPEAKER_00]: Und zehn Gigabyte, Outbound, Transfer kann natürlich auch sein, okay. [SPEAKER_00]: Du musst erstmal das Netzwerk erkunden, Portz, Gens und so weiter die Information muss er zurück zum Angreifer. [SPEAKER_00]: Das kann natürlich sein, dass die 10-Giegerbeit nicht die 10-Giegerbeit größte der Datenbank ist, aber wie gesagt, das wurde nie explizit offen gelegt und politisch korrekt, würde man sagen, ein ungewöhnlicher Outbound-Transfer von 10-Giegerbeit über das Thermometer-Imakvarium.

10:23 [SPEAKER_01]: Okay, jetzt wissen wir, dass da Zengi hierbei übertragen wurden, über ein Streaming Protocol. [SPEAKER_01]: Das heißt, es muss aber nicht heißen, dass es wirklich dann irgendwie Videodaten waren, sondern es wurde nur ein Streaming Protocol an sich verwendet, oder es kann auch irgendwelche Lifedaten von Naselle oder so gewesen sein theoretisch.

10:41 [SPEAKER_00]: Ja, natürlich. [SPEAKER_00]: Also im Endeffekt muss du die Frage stellen, welche Videodaten würdest du von einem Aquarium-Temometer erwarten? [SPEAKER_01]: Ja, gut, das sowieso, aber auch dann, was in den Trendes in so einem Streaming-Protokoll kann er dann auch noch mal alles sein. [SPEAKER_01]: Also kann er die Datenbank genauso übers Streaming-Protokoll übertragen.

10:57 [SPEAKER_00]: Genaue, die Hyroler Datenbank, das wird von den Medien beschrieben, wo da man nie explizit bestätigt. [SPEAKER_00]: Also es könnte theoretisch alles drin sein. [SPEAKER_00]: Es wird nur die Größe des Transfers von Zirka Zingilarbeit. [SPEAKER_00]: Okay, aber ich muss jetzt irgendwie von außen überhab mal da reinkommen zu diesem Fischtermometer.

11:11 [SPEAKER_00]: Genau, und da kommt noch mal so ein kleines Klemer. [SPEAKER_00]: Die Medien haben das ganz natürlich so aufgegriffen, wie okay IoT ist böse, IoT kann alles ruinieren und Internet auf Singes ist auch unsicher. [SPEAKER_00]: Die reale Quellenlage ist alles ein bisschen mager, denn es gibt keine verifizierten technischen Details, dass man irgendwie [SPEAKER_00]: über das Fisch-Termometer in die Datenbank von Casino gekommen ist.

11:36 [SPEAKER_00]: Also es steht nügend wo explizit, das Fisch-Termometer hatte eine Sicherheitslücke, das Fisch-Termometer war auf dem Internet, das Fisch-Termometer wurde geheckt und von da aus hat man weiter gesprochen. [SPEAKER_00]: Das steht mir günst, aber das haben die Medien so aufgegriffen und wenn man jetzt so wie es leider viele Internet tun, einfach nur die Hättlein lesen, dann kann man da glaube ich auch sehr einfach drauf schließen, denn diese Fälle sind ja jetzt nicht weit hergeholt, das irgendein IoT-Sensor so offen im Internet steht, oder?

12:05 [SPEAKER_01]: Ja, wie viele IoT-Sensoren hast du übrigens in deinem Netzwerk, und so temperatur-Sensoren. [SPEAKER_01]: Rachteil ja keiner Quarium wahrscheinlich, oder? [SPEAKER_00]: Ich bin kein Fischbesitzer, aber natürlich, ich habe ein paar IoT-Sensoren, stehen aber nicht auf dem Internet. [SPEAKER_01]: Ja, das sagst du jetzt so leicht.

12:21 [SPEAKER_00]: Ja, natürlich. [SPEAKER_00]: Also ich kann ja nur das sagen, was ich jetzt aktuell weiß. [SPEAKER_00]: Aber die Story, die halt oft verbreitet wird, ist, du hast ein Fisch, du hast ein Aquarium-Temometer, ein Aquarium-Temometer wurde. [SPEAKER_00]: Geheckt vom Aquarium-Tellometer ist man in den Internet weggesprungen.

12:35 [SPEAKER_00]: Dann hat man einen sogenanntes Letter-Removement gemacht. [SPEAKER_00]: Das bedeutet, man bewegt sich seitwärts im Netzwerk. [SPEAKER_00]: Und exploriert so ein bisschen das Netzwerk. [SPEAKER_00]: Hat dann die Daten man gefunden hat, diese Daten dann nach außen geschlossen. [SPEAKER_00]: Aber Achtung, der Initial-Excess, wie man eigentlich ins Internet-Netzell gekommen ist, ist nicht eindeutig belegt.

12:55 [SPEAKER_00]: Deswegen geht man aktuell davon aus, dass der Angreifer irgendwie Zugriff auf das Corporate Network bereits hatte. [SPEAKER_00]: Und das entweder durch gestohlene Credentials, also Zugangsdaten, [SPEAKER_00]: oder halt durch irgendwelche Bootforsattang. [SPEAKER_00]: Und das verschiebt die Story natürlich komplett von IoT war das Einfallstor hinzu IoT war mindestens ein erfolgreicher Exet Egress Canal und eventuell auch, der ist immer pivotpunkt.

13:26 [SPEAKER_00]: So nach dem Auto, dass man Zugriff aufs Internet weg hat, zuerst das Thermometer gefunden hat. [SPEAKER_00]: Und von diesem Thermometer weiter gehoppt ist [SPEAKER_00]: Ausgangstür genutzt hat. [SPEAKER_00]: Und das ist natürlich eine ganz andere Perspektive auf diesen Sicherheitsverfall.

13:43 [SPEAKER_00]: Denn es wird nügenwo genannt, dass dieses Thermometer und Sicherheitsluch, also eine CVE hatte oder das irgendwo und expleuert genutzt wurde. [SPEAKER_00]: Was man aber, und das kommt erst noch dazu aus dieser Case da die gesehen hat, ist, dass die Netzwerk an Bindung beziehungsweise, dass es eine segmentierung [SPEAKER_00]: eine VPN-Konfiguration.

14:08 [SPEAKER_00]: Es ist der Dämmermeter, der sie kennt, der es eine VPN-Konfiguration hat. [SPEAKER_00]: Es muss er nicht das Thermometer selbst gehabt haben, es kann auch die Netzwechsegmentierung gehabt haben, die dann der VPN den Jump-Russ hatte. [SPEAKER_00]: Aber das bedeutet, es gab einen Weg mit Tierungsversuch.

14:23 [SPEAKER_00]: Und diese Angreifer hat es irgendwie geschafft, die VPN-Konfigurationen zu bekommen, um dann weiter zu springen. [SPEAKER_00]: Und das ändert jetzt natürlich alles. [SPEAKER_00]: Das bedeutet, du Wolfgang, der für die Überwachung des Aquariums zuständig ist, hast vielleicht eine Fischenmelge geklickt.

14:44 [SPEAKER_00]: Pannen entstanden, oder? [SPEAKER_00]: Fischenmelge? [SPEAKER_00]: Ah, nee. [SPEAKER_00]: Ja, gut. [SPEAKER_00]: Also, was, wenn man sich die ganze Sache jetzt... [SPEAKER_00]: Von der Perspektive ankommt und nicht sagt, ah, IOTs, insecure, sondern okay, credentials wurden irgendwie geliegt, dann hat man irgendwie zugriff darauf bekommen, dann ist man da weiter gehobs, dann muss man natürlich schon gucken, was hat das Betroffenunternehmen eigentlich vorher getan, um sich so schützen und da?

15:03 [SPEAKER_00]: Kann man sagen, leider ist kein kompletten Post-Motem, aber es wurde ein Versuchumpernum, das Aquarium mit einer VPN-Konfiguration zu isolieren. [SPEAKER_00]: Das bedeutet, oder man kann darauf schließen, dass das Risiko grob gesehen wurde. [SPEAKER_00]: Und es gab eine Art Überwachung auf das Netzwerk vorhalten, denn die Parameter, die ich gerade in die Zärge nann hatte, [SPEAKER_00]: Kein anderes Gerät des Casinos hab mit dem Server in Finland gesprochen, kein anderes Gerät hat diese Menge an Daten nach außen transferiert, plus warum kommuniziert ein Fischtermometer mit Video-Stream darin.

15:35 [SPEAKER_00]: Also es gab schon Sicherheitsmechanismen und da muss man zugeben, irgendwie wird das Risiko ja grob gesehen. [SPEAKER_01]: aber auch nur grob. [SPEAKER_01]: Also bei mir gehen da ja schon ganz viele Radflack Lichter an, wenn ich wenn ihr das so her, jetzt was können wir denn davon lernen, was würdest du empfehlen kann man sowas verhindern.

15:54 [SPEAKER_01]: Also klar wir wissen nicht, wo die Person herangekommen ist, überhaupt aber wenn wir das mal auf die Seite schieben, was können wir verhindern oder was können wir davon lernen. [SPEAKER_00]: Ja, da bin ich mal gespannt, ob ich eine roten Flagen jetzt auch Treffe. [SPEAKER_00]: Generell würde ich sagen, und ich betrachte den ganzen Fall jetzt aus dieser Angreifer und die Angreiferin hatte Zugangsdaten und nicht IoT-Is insecure und hat ja nixploid.

16:16 [SPEAKER_00]: Oder hatte einen Sicherheitsluch und mit an nixploidvolles Auf. [SPEAKER_00]: Generell ist das, dass bei Spielhafteste scenario einer Exfiltration Fail-Yermot. [SPEAKER_01]: Einer was? [SPEAKER_01]: Also wieder mal den GPD, irgendwie in den englischen Begriffensteilchen probiert zu besetzen oder was ist das?

16:32 [SPEAKER_00]: Nee, ich habe nämlich was zur Exfiltration Taktik in einer Sicherheitsdatenbank gelesen. [SPEAKER_00]: Was Taktiken und Techniken von Angreifern beschreibt? [SPEAKER_00]: Das heißt wirklich so. [SPEAKER_00]: Exfiltration, denn ein IoT-Gered wurde genutzt als Initialexes. [SPEAKER_00]: Von da hat man sich dann seitwert bewegt und dann hat man wieder über das Thermometer da [SPEAKER_00]: Das ist ja schon so relativ smart, aber was kann wir jetzt auslernen?

16:58 [SPEAKER_00]: Und jetzt kommt die Wahrheit, die viele Leute ignorieren. [SPEAKER_00]: IoT ist Teil-Euresystems, was meinig damit? [SPEAKER_00]: Die meisten Leute bestellen sich auf Themen, irgendeinen Fenster-Sensor, binden ihn einfach ein und machen er mit der nächsten Sache weiter. [SPEAKER_00]: Und dann frage ich mich, warum denn dieses Beispiel zeigt relativ gut?

17:15 [SPEAKER_00]: Der Kernfehler ist nicht... [SPEAKER_00]: Dein Thermometer ist Hektbar, oder hat eine Sicherheitslücke, sondern ein nicht kritisches Gerät, wie zum Beispiel ein Aquarium Thermometer, hat sie direkt oder indirekt einen fahrt zu kritischen Datenbanken oder Essetznen, wie es mal beziehungsweise, wurde als Vertrauenswürdiger Transportkanal angesehen.

17:39 [SPEAKER_00]: Denn sonst hätte man ja eine Netzweck-Isulation, eine Netzweck-Trennung gemacht. [SPEAKER_00]: So hätte man ja gesagt, okay, das VPN von dem Thermometer, warum braucht das jetzt eine Route zu irgendwelchen Datenbanken oder zu irgendwelchen Feilzzörbern oder ihn? [SPEAKER_00]: Und das wird mit hoher Wahrscheinlichkeit bei dir zuhause nicht anders aussehen, oder?

17:57 [SPEAKER_01]: Ja, ich habe schon automatisch eine physikalische Trennung, weil ich siekt biehe verwende bei meinen ganzen IOT-Sensoren. [SPEAKER_01]: Und das dadurch auf einer anderen Netzwerke überne funktioniert, das hilft mir schon ein bisschen. [SPEAKER_01]: Das finde ich auch sehr sympathisch. [SPEAKER_01]: Aber klar, ich habe keine Regeln auf meinem Rutter der irgendwelche Segmentierung entdurch führt, oder so von irgendwelchen Devices.

18:16 [SPEAKER_01]: Ist mir ja ehrlich gesagt zu Müssam, mache ja auch absichtlich nicht so. [SPEAKER_01]: Aber es halt immer die Frage, wo ist dann, wo hat das Müssam auf wie groß bin ich, als Firma, als kleine Firma, Casino, [SPEAKER_01]: Wo fängt man an mit, dass mit der Sicherheit ist, das ist ein großes Thema.

18:31 [SPEAKER_01]: Wir würden mal sagen, bei der Größe von dem Casino, wo es auch um Sicherheitskritische Daten geht, soll es natürlich schon eine Segmentierung geben. [SPEAKER_01]: Aber ich kann der selber auch in Firmen, wie oft ist das mal, man hat irgendwie ein Device-Fraktee, hat der Wählern, hat der E-Intern Wählern oder können wir einfach reinhängen.

18:46 [SPEAKER_01]: Und dann hängt es dann mal drin. [SPEAKER_01]: Das macht vielleicht sogar irgendwie eine Untergruppe, ohne der IT direkt und so weiter. [SPEAKER_01]: Also das sieht natürlich ständig solche Dinge. [SPEAKER_00]: Und das ist genau der Punkt, denn es gibt halt keine sauberen, ich sag mal Trustbounderies nennt man das her.

18:59 [SPEAKER_00]: Also, stichwort Zero Trust Network, kurz um Wer darf eigentlich mit wem kommunizieren. [SPEAKER_00]: Gibt es eine explizite Autentifizierung und Autosierung? [SPEAKER_00]: Ja, jetzt denkt ja, wie jetzt muss ich meinen... [SPEAKER_00]: Aquarium-Temometer, Authentifizien, ja bitte, ja, irgendwo, wenn das Datner mal hinschreibt oder Datentransferiert, gibt es eine Art, weil die Dierung aller eigenen Gene Daten hätte man hier auch machen können.

19:21 [SPEAKER_00]: Warum eingehende oder ausgehende Daten? [SPEAKER_00]: Warum verlassen von einer Source IP, die ein Thermometer darstellt, video-stream-Datenmeinnetzwerk? [SPEAKER_00]: fragwürdig. [SPEAKER_00]: Warum verlassen überhaupt video-stream-Datenmein, mein Netzwerk? [SPEAKER_00]: Wir sollten nämlich Inten bleiben hoffentlich.

19:34 [SPEAKER_00]: Netzwerk säkengringt hier um Lies Privilege, Monitoring, Logging, aller Grenzen, aller Netzwerk, [SPEAKER_00]: Und das kann man natürlich mit WLANs und Port Limitierungen und Co. Ich sag mal, er schweren. [SPEAKER_00]: Eine vollständige Sicherheit gibt es auch hier nicht, desto länger ein Angraffer im Netzwerk bleibt um so eher findet der natürlich auch ein Weg.

19:53 [SPEAKER_00]: Auch das, was du rach gesagt hast, das würde ich gerne Challenge hin, weil wenn der Kollegen nämlich bei dir im Netzwerk ist und bei dir im Home-System, da auch mal da ist, wird der mit hoher Wahrscheinlichkeit auch im Weg finden, seine Befehle in Siegbipakete zu packen zu deinen Geräten zu senden, [SPEAKER_00]: Steuerungsgerät, was vielleicht auch Sigby fährt, beise ich gerade nicht, um die dann ist auch eine warbe Bunde zu beschärmen oder haltene kalte.

20:16 [SPEAKER_00]: Von daher das würde ich mal sagen, ist eine tematik, die so offensichtlich ist, dass sie von sehr vielen Leuten ignoriert wird. [SPEAKER_00]: Das IoT-Teile-Rosystems ist und genauso wie ihr lebtops von irgendwelchen Konsalten, es hoffentlich nicht ins komplette Firmen-Netzwerk lasst, sondern den vielleicht ein eigenes Netzwerk gebt oder ähnliches, [SPEAKER_01]: Ja, du lebst da auch in deiner Traumwelt, also in wie viel größeren Fömmen ich schon war, wo ihr einfach vollzugriff bekommen habt relativ easy eigentlich auf alles, gut, ich bin ja vertrauenswürdige Person natürlich mit meinem Laptop, aber die sind schon ein Problem, ich kann natürlich auch die andere Variante, die ist dann sehr nervig, also ich kann eine so eine Umgebung zum Beispiel auf deren Server, Docker, Container, haben automatisch

20:59 [SPEAKER_01]: nicht, wohin sie schreiben können oder wohin sie Paketische können. [SPEAKER_01]: Wir sehen einfach automatisch dort geschalten. [SPEAKER_01]: Du musst dann wirklich jeden einzelnen Port, jede einzelne Internet-Adresse auf eine Allaulis-Zetzen lassen. [SPEAKER_01]: Das heißt, wenn du dann irgendwelche Abdates brauchst in deinem Container, genau IPs oder Domains, [SPEAKER_01]: Über irgendeinen zentralen Proxy wieder freischalten lassen.

21:22 [SPEAKER_01]: Es ist dann natürlich sehr, sehr aufwendig. [SPEAKER_01]: Und auf meiner Seite, auf der Seite, der die Container vielleicht wartet oder abdaten muss natürlich sehr nervig. [SPEAKER_01]: Muss man auch dazu sagen. [SPEAKER_01]: Aber mal sieht dann schon, es gibt da definitiv große Unterschiede, wenn zum Security geht.

21:36 [SPEAKER_01]: Und die Arme IT-Abteilung und Security-Abteilung sind halt dann die Idee, das immer alle abbekommen. [SPEAKER_01]: Und dann heißt halt immer die wollen uns blocken. [SPEAKER_01]: Das ist halt der übliche Kampf in den Filmen. [SPEAKER_01]: Also, die verstehen natürlich bei der Seiten irgendwo, aber mittlerweile bin ich eigentlich auch auf dem Fahrt, einfach grundsätzlich mal nichts zu erlauben, les Privilege oder Zero Trust und alles andere muss dann wirklich auf eine Allaulie gesetzt werden.

21:59 [SPEAKER_01]: Und warum so ein Vielsthermometer grundsätzlich überhaupt mal Internetzugern haben kann, also auch nach außen besenden ist sowieso die Frage. [SPEAKER_01]: Also vielleicht ist das überhaupt beendegangen, aber grundsätzlich warum so ein dermometer nach draußen telefonieren darf ist ja auch schon mal eine grundlegende Frage [SPEAKER_00]: Ja, ich verstehe, wenn man deny all als die Vollsetzt, dass es auch für Softwareentwickler und Softwareentwickler in Anstrengelsen.

22:22 [SPEAKER_00]: Weil du kannst nicht mal hin, die Plojen, neuen Service, muss der Portfrei geschaltet werden, die Routefrei geschaltet werden und so weiter und so vor der anderen Seite. [SPEAKER_00]: Und jetzt kommen wir zu dem positiven, der ganzen Sache, du als Entwickler und Entwicklerin, muss sie dadurch dann bewusst werden, was deine Applikation nicht eigentlich tut, auf welchem Ports kommunizieren wir.

22:39 [SPEAKER_00]: Ich bin mir nicht sicher, wie viele Leute wirklich wissen, auf welchem Ports die G-ABC-Kommunikation läuft oder oder, welche Ports meiner Application eigentlich braucht. [SPEAKER_00]: Oder einen ganz klassischen Fall, den ich eigentlich bei kaum einem Open Source Projekt sehe. [SPEAKER_00]: Dein Open Source Projekt braucht jetzt eine Meißkölde Handwack.

22:57 [SPEAKER_00]: Okay, ich würde mal sagen, Standard-Anforderungen. [SPEAKER_00]: Jetzt hast du normales Geldertenbank irgendwo. [SPEAKER_00]: Du richtest für diese Applikation ein User ein, welche Rechte gibt's für den User denn? [SPEAKER_00]: Also welche Art von Queries macht denn diese Applikation? [SPEAKER_00]: Muss diese Applikation die allter Pymischen haben, um Tabellen umzuschreiben?

23:15 [SPEAKER_00]: Wer ja toll, wenn man die wegnehmen könnt, oder? [SPEAKER_00]: Und so weiter und sofort. [SPEAKER_00]: Und dass man zum Beispiel die Auflistung der Pymischen, der Datenbank Pymische, [SPEAKER_01]: Ich hatte schon ein ähnliches Problem und es gar nicht dem Open Source Bereich, aber genau wie zuerst gesagt hat, ein Container darf grundsätzlich nicht nach Hause telefonieren, irgendwo im Internet was abrufen.

23:39 [SPEAKER_01]: Also du setzt es auf eine Erlaublist. [SPEAKER_01]: Jetzt hatte ich eine Online-Service genutzt, so ein Index-Such-Service und das SDK von denen. [SPEAKER_01]: Und es hat mich stunden gekostet, um heraus [SPEAKER_01]: Welche Domains dort wirklich verwendet werden? [SPEAKER_01]: Weil das SDK natürlich alles weggekapselt hat und das war auch nicht irgendwo im Sorskort.

23:57 [SPEAKER_01]: Ich hätte sogar nachschauen können, es war BHB. [SPEAKER_01]: Aber der macht natürlich irgendwelche Abfragen, bekommt dann irgendwelche Infos an welcher Server überhaupt zenten muss. [SPEAKER_01]: Das ist halb dynamisch und natürlich lautbalancing und so weiter. [SPEAKER_01]: Also, am Ende rauszufinden, was so da wirklich auf eine Erlaubnis setzen muss, ist wirklich schwierig gewesen, die Bauch in der Dokumentation, obwohl es eine sehr große Firma war, die den Online-Dienst angeboten hat, keine Infos dazu gefunden.

24:20 [SPEAKER_01]: Also hat mir wirklich viel Zeit gekostet. [SPEAKER_01]: Insofern, wenn man so was anbietet, dass man dann auch sagt, okay, diese Sachen müsst ihr auf eure Feier-Wäufeilschalten von meinem Business Context, also das ist eine Enterprise Ready Software oder Service, die dort verwendet wird und trotzdem haben wir nichts gefunden in der Knowledge Space.

24:36 [SPEAKER_01]: Also, was du gar nicht so OpenSource gehen, da kannst du auch im professionellen Umfeld unterwegs sein und nichts bekommen. [SPEAKER_01]: Klar hätte ich übrigens ein Support-Dicate aufmachen können und so weiter oder vielleicht auf der Firewall von der IT sieht man das vielleicht aufschlagen, was da probiert wird.

24:50 [SPEAKER_01]: Aber es ist dann wirklich schwierig und die habe dann halt Schlussendlich das Ganze so gelöst, dass sie mir wirklich ziemlich die freien Gefugsterb in den BHB-Code und dort dann ausgaben gemacht hat, was da wirklich aufgerufen wird. [SPEAKER_01]: Das war glücklicherweise im BHB möglich und dann habe ich die Domains rausgefunden.

25:04 [SPEAKER_00]: Schönes Dorie, das macht die ganze Sache aber nicht besser. [SPEAKER_00]: Aber jetzt reden wir hier, hier IoT ist Teil Oresystems und wir haben alle verschanden, dass wir jetzt irgendwie das Netzwerk segmentieren müssen. [SPEAKER_00]: Aber das gilt es nicht nur für Firmen, das gilt auch für die euch zu Hause.

25:17 [SPEAKER_00]: Eines Dorie, die ich gerne teilen wollen würde, ist, ich habe meine Sensor in allem selbst Netzwerk und das ist natürlich nicht geil. [SPEAKER_00]: Dann hatte ich im Bekannten zu Hause der arbeitet unter anderem für Bechtel und machter Netzwerke für für große Firmen und für Kinos und allem sowas, somit ist der ITtechnische und Netzwerkttechnische sehr bewandert.

25:33 [SPEAKER_00]: Das sitzt zu, wenn mir im Küchen Tisch macht, sein Protz genau aufm Handy auf, und sein Netzwerksgänger. [SPEAKER_00]: Und zeich mir immer eben ganz kurz, was da jetzt mal eben hier alles so sieht und Piper pro. [SPEAKER_00]: Das bedeutet, wenn ihr IT-versierte Freund habt, die ein bisschen was auf dem Kasten haben, ja auch die können man eben eure Lichtersteuern, obwohl die das vielleicht gar nicht [SPEAKER_00]: Euer Heimnetzwerk, auch etwas zu segmentieren, sofern es den Auf, Wählern und Zigbee und Co läuft.

25:57 [SPEAKER_00]: Also es ist jetzt nicht nur für große Film, was aber machen wir möte zweiten Learning weiter, dass du Egress Traffic als first-class-Control betrachten solltest. [SPEAKER_00]: Wir haben gerade gesagt, da wurde zehn Gigabyte-Outbound Traffic von einem recht unwichtigen Device-Bauberte. [SPEAKER_00]: Was spannend ist, nicht dass die Daten abgezogen wurden, sondern dass ein alternativer Kanal genutzt wurde, um die Daten abzuziehen.

26:20 [SPEAKER_00]: Und wenn du jetzt mal ein bisschen recherchierst, dann findest du die MIT-R-E-E-Tect-Data-Base. [SPEAKER_00]: Das ist eine Abspaltung, es ist eine non-profit Abspaltung vom MIT, was sich darum kümmert, eine weltweit zugängliche Wissensdatenbank bereitzustellen, die taktiken und Techniken von Angreifern darstellt, die auf Beobachtung aus der Praxis basieren.

26:42 [SPEAKER_00]: hört sich erst noch zitliche Tiere gut an. [SPEAKER_00]: Und in dieser Datenbank wird in der Kategorie Exfiltration explizit betont, dass angreifere Alternative Kanäle nutzen, wenn die rechte HTTPS-Kanäle zusichtbar wären. [SPEAKER_00]: Und das ist ja genau hier passiert. [SPEAKER_00]: Da hat jemand Pakete in Videostream-Produkolle gepackt und dann von einem Termometer rausgewicke, weil klassische [SPEAKER_00]: Als das erst mal gelesen hat, ich glaube, wow, super smart.

27:12 [SPEAKER_00]: Und genau das mal nicht mit kreativitäts, wo mir die Folge auch eingeleitet hat, dass man Pakete in Paketen verpacken kann. [SPEAKER_00]: Alles irgendwie im Studium gehabt oder in der Ausbildung, das dann kombiniert mit alternativen Kanälen aus dem Netzwerk wie zum Beispiel dieser IT-Sensor-Inne-Marquarium, finde ich natürlich spannend.

27:29 [SPEAKER_01]: Wobei ja mein Initialer Gedanken eigentlich eher war, ist es ja schlecht, so was über ein IoT, die weiß zu senden, weil da fällt sehr plötzlich auf ein IoT-Dyweiß-CN-Geer beizeltet, was es ja dann auch genau so war und die wird ja eher über ein Server gehen, der ganz viel Traffikat, weil da fällt es noch weniger auf.

27:45 [SPEAKER_01]: Aber wie man sieht, ja, wenn das IoT-Dyweiß dann offen ist und vielleicht einfach zu übernehmen ist als ein Server, dann ist es natürlich klar, darüber zu gehen. [SPEAKER_00]: Naja, du kannst das aus zwei Perspektiven sehen. [SPEAKER_00]: Erstens könnte der Angreif an natürlich gesagt haben, okay, ich nutze dieses IoT, weil es dieses Thermometer, weil es mit hoher Wahrscheinlichkeit nicht gemonnet wird.

28:02 [SPEAKER_00]: Die zweite Tematik ist, die 10 Giga, weil sie da rausgefchlossen hat. [SPEAKER_00]: Hat ja der Erfolg gehabt. [SPEAKER_01]: Also von daher würde ich sagen, okay, du schähe. [SPEAKER_01]: Das ist ja das Problem bei diesem Monitoring Software. [SPEAKER_01]: Du kommst zwar im Nachhinein drauf, aber die Daten sind halt schon mal weg.

28:16 [SPEAKER_00]: Genauso reaktiv und nicht proaktiv. [SPEAKER_00]: Und weiteres Learning ist auch ganz interessant, behandle deine IoT-Beschaffung wie Software Engineering. [SPEAKER_00]: Also das bedeutet, kauf die keine Devices, ohne Update-Mechanik, keine Devices, ohne sinnvoller Autentifizierungen, Autorisierung, keine Devices, ohne Login oder Statignale für zu Hause [SPEAKER_00]: von Casino, weiß ich jetzt nicht.

28:41 [SPEAKER_00]: Und das letzte Learning, aber das ist ein hoffentlichen Alter Hut in dieser Szene, die uns jetzt hier auch zuhört, wenn wir davon ausgehen, dass der Angreifer Zugriff auf Netzwerk hatte, wenn wir davon ausgehen, dass das IoT-Divice kein Sicherheitslek hatte, dann gilt natürlich ganz klassische Credential und Exus-Pers-Hertung [SPEAKER_00]: Abschein von die Volldecahons, Einführung von Radelimmels, Passwetter rotieren und so weiter und so Also eigentlich ganz klassisch die Elemente aus der O-Wasp, Top 10, Berchten sollte den Alter gut sein, das glaube ich, sagt sogar das BSI.

29:22 [SPEAKER_01]: Und bei mir in dem Fall eigentlich die segmentierung am einfachsten Vorkommt und eigentlich sollte die absolute Grundlage sein. [SPEAKER_01]: Und sogar alle Heimruhter haben mittlerweile zwei Wählernetze und du kannst internen, ernetze machen. [SPEAKER_01]: Also es ist schon so viel möglich, dass man das relativ einfach umsetzen kann.

29:40 [SPEAKER_01]: Und das du dann schon eine Barriere, die sehr tief im Steck sitzt, wo du erst mal drüber kommen. [SPEAKER_00]: Alles richtig und das ist ja auch alles jetzt nichts Neues, weil es dir hier erzählen. [SPEAKER_00]: Dennoch möchte ich euch alle immer kurz bitten, diese Podcast Episode kurz zu pausieren oder euch zu fragen, wie gut seid ihr gerade aufgestellt.

29:57 [SPEAKER_00]: Und ihr müsst euch dabei nie schämen, denn beim Wolfgang ist das genauso, bei mir ist das vielleicht genauso. [SPEAKER_00]: Und es ist ja auch schwierig, weil du willst ja eigentlich nur den Fenster Temperatur sind so gerade installieren und du willst nicht ein komplettes Netzwerk neu modellieren, anhand eines professionell erstell im Stratt-Modeling etc etc.

30:14 [SPEAKER_00]: Also wir verstehen das doch, es kann halt darauf zu führen, dass eure Internet High-Roller Datenbank über euer Fischteilometer nach außen nach Findertgeschickt wird. [SPEAKER_01]: Aber warum ich auf dieser Segmentierung zu herumhackle ist ja auch weil es einfach sehr oft ein Grundproblem ist und auch bei unserer nächsten Geschichte ist das sehr zentrales System und zwar ist ein bisschen älterer Heck der von 2015 ist aber glaube ich es immer noch sehr relevant und hat auch damals sehr viel bewegt um was gehts gut erklärt wie das große herausgekommen ist [SPEAKER_01]: Mit einem Wyatt Artikel war es so, sind es schön dargestellt, ein Wyatt Redakteur sitzt in einem Auto Jeep Cherokee auf der Autobahn schnell und plötzlich fängt sein Autoradio verrückt, spielen an Scheibenwischer gehen ein Klimaanlage, schaltet sich Volgas ein, ist vielleicht noch ganz nett und witzig wieder, aber das ganze übergegangen ist auf die Bremsen, die Bremsen wurden

31:14 [SPEAKER_01]: Und das Ganze war eine Demonstration von 2 Security Researcher zusammen mit Weihard, mit dem Redakteur, die eben damals das ganze System von diesem Chieb aufgemacht haben und dann vollen Zugriff bekommen haben. [SPEAKER_01]: Und das war damals im 25. schon eine Zeit her, wobei ich nicht weiß, ob das wirklich [SPEAKER_01]: Viel viel besser überall geworden ist, auf jeden Fall war das damals ein ziemlicher Weghof für die Autoindustrie.

31:38 [SPEAKER_01]: Das hat dann auch sehr, sehr viel bewegt, natürlich, weil die Scheibenwischer, wenn er noch okay oder würde man vielleicht noch dollerieren, aber wenn die Bremsen dann weg sind, plötzlich ist natürlich ein super Gau. [SPEAKER_01]: Und nebenbei waren das noch lebbische 1,4 Millionen Autos, die da betroffen gewesen sind.

31:53 [SPEAKER_01]: Es war nicht nur dieses eine G-Models, sondern es war die Bratform an sich und das hat natürlich auch andere Betroffen, aber das war so der weit verbreiteste damals. [SPEAKER_00]: Gibt's da mehr Infos zu, was da wirklich passiert ist? [SPEAKER_00]: Also ich meine, wenn die Security Researcher eine Kombination oder eine Demonstration mit Wiret gemacht haben, Wiret ist, heißt kein Klatsplatt, das bedeutet mit hoher Wahrscheinlichkeit haben die dann auch alles offen belegt.

32:13 [SPEAKER_00]: Oder haben wir da detail zu? [SPEAKER_01]: Ja, ist natürlich super, super reported, da gibt ZFA-Este zu, da gibt's Artikel... [SPEAKER_01]: Es hat dann ja auch Industrie einiges bewegt, das wirklich Security standards geändert wurden. [SPEAKER_01]: Also von dem her gibt es dann natürlich super viele Infos, was die im Prinzip gemacht haben, die haben angefangen einfach mal zu schauen, was kann denn dieses Auto.

32:34 [SPEAKER_01]: Und das war halt damals zu frühen Zeiten, wo die angefangen haben, irgendwie online zu sein, Wählern anzubieten. [SPEAKER_01]: Und was die relativ schnellen Deckt haben, diese Security Researcher, das im Wählern, wenn man bei Wählern mit dem, [SPEAKER_01]: Auto verbunden ist, dass da ein offener Port 6667, was es damals offen ist, um da da D-Boost lauscht.

32:54 [SPEAKER_01]: Das heißt, da D-Boost von diesen Infotainment und Navigation System im Auto ist da einfach nach Außen offen und du kannst ja befehle zum D-Boost hin schicken. [SPEAKER_01]: Das ist der im Rahmen Q&A. [SPEAKER_01]: Betriebssystem, das von Blackberry entwickelt, ist ein unixartiges System und da gibt es eben auch den D-Bus, wo man einfach befehle, hinschecken kann, alle Linux user können das ja mittlerweile also ziemlich wichtiger Bus eigentlich und so eine Hauptkommunikation zu variieren.

33:20 [SPEAKER_01]: Jetzt war der [SPEAKER_01]: Es ist schon grundsätzlich mal sehr problematisch, wenn so ein wichtiger Portoffemis, aber es war nur das Infotainment System mit der Navigation und des Weimbehilern. [SPEAKER_01]: Sie sind aber relativ schnell raufgekommen, dass dieser Port auch im Mobilfunknetz offen ist.

33:35 [SPEAKER_01]: Also die Autos waren alle online und wenn du in dem selben Mobilfunknetz warst, [SPEAKER_01]: Hast du einfach, wenn du die IP von dem Auto gekannt hast, direkt auf diesen Port zugreifen können. [SPEAKER_01]: Das hast du hast jedes Auto, was irgendwie verbunden war mit dem Mobilfunknetz, sprich alle in dem Fall, depus-Message schicken können.

33:52 [SPEAKER_01]: Auf dem Offen im Bord6667, da wurde also auch auf der Mobilfunkseite nichts gefiltert und das ist direkt hinschicken können. [SPEAKER_01]: Jetzt warst du natürlich auf der Infotainment- und Navigationssystemseite, das ist noch nicht so kritisch grundsätzlich, obwohl du dann durch auch irgendwie im Blödsinn anstellen kannst, aber die wollten natürlich noch weitergehen und haben versucht, in Öntnerform, die für uns Auto vorzutrigen.

34:15 [SPEAKER_01]: Und die meisten kennen wahrscheinlich diesen Kampus, der verwendet wird im Auto, um Informationen zu senden, zwischen den einzelnen... [SPEAKER_01]: Michael Controllers und die weiß es, die so im Auto verbaut sind, aber es ist auch so eine Bremsensteuerung zum Beispiel. [SPEAKER_01]: Und da war es aber schon nicht mehr so leicht hinzukommen von diesem Infotainment System, weil da schon eigentlich eine Sicherheitsbeierre der Zwischen war, es gab zwar eine Connection vom Campus zu dem Infotainment System, aber das war natürlich relativ gut abgesichert, da war eine Hardware System und da war es nicht möglich einfach irgendwelche [SPEAKER_01]: Sie haben dann aber relativ schnell herausgefunden, dass dieser Controller in diesem Infotainment System, das mit dem der neue Vermeer aufspielen kann.

34:58 [SPEAKER_01]: Das heißt, diese Connection von dem Infotainment System, zum Kantbus, war offenbereit einfach eine neue Vermeer anzunehmen, egal woher die Stammt, keine Signierung nichts, als haben die einfach die Vermeer umgeschrieben, haben die gepätzt und waren dann in der Lage Kantbus-Messelschist zu schicken.

35:13 [SPEAKER_01]: Auf dieses Internet-System, wo dann alles draufhängt, bremsen und so weiter. [SPEAKER_01]: Jetzt ist es aber auch so, dass grundsätzlich auf dem Campus ganz viele Messages herumfliegen, also zwischen den Steuergeräten und Premsen, die weiß es, alles was so im Auto verbaut ist. [SPEAKER_01]: Und wenn du jetzt nur eine Message in checkten würdest, würde dann vielleicht noch gar nichts passieren, weil der Hauptsteuerkontroller vielleicht immer sendet, Premsen sind okay, Premsen sind okay, wenn du jetzt einmal irgendwas reinsteust, Premsen sind aus, ja, das sind alles Heißbeat befehle, da passiert dann relativ ähnlich.

35:43 [SPEAKER_01]: Was ihr dann aber herausgefunden haben, ist es, dass es eine Möglichkeit gibt, diese Prämsen in so einen Wartungsmodus zu setzen. [SPEAKER_01]: Das speziell dafür da, wenn die Prämsen in der Werkstatt in Lüftet werden, da musst du irgendwie diese Prämsen deaktivieren, während die in Lüftet werden.

35:59 [SPEAKER_01]: Und sie haben es geschafft, diesen Diagnosemodus über kann Messages, über ein Kantus zu aktivieren und dann haben die Prämsen sich einfach abgeschalten und du konnte es nicht mehr prämsen. [SPEAKER_01]: Glücklicherweise, so als kleinere Abschwechung von dem ganzen, diese Diagnose-Funktion geht nur bis zu einer gewissen Geschwindigkeit.

36:17 [SPEAKER_01]: Das heißt, wenn du 100 kmh vererst kannst, so diesen Diagnose-Modus nicht einschalten. [SPEAKER_01]: Es geht nur bei niedrigeren Geschwindigkeiten. [SPEAKER_01]: So bis ich eine Erabschwechung leichte, also wir hatten noch irgendwo ein Sicherheitssystem gekriffen, aber grundsätzlich haben dann wirklich bewiesen, sie können deine Bremsen deaktivieren und zwar nicht, wenn sie im Autos sitzen und bei Wähler mit dem Auto verbunden sind, sondern irgendwo auf der Welt, solange sie mit dem Mobilfunknetz in Verbindung stehen und haben dann Zugriffe auf 1.000 der Autos im Prinzip gehabt.

36:44 [SPEAKER_00]: Das scenario klingt jetzt gar nicht so unwahrscheinlich bei der aktuellen Vernetzung von modernen Autos, oder? [SPEAKER_01]: Natürlich, das war ja eigentlich der erste Case in diese Richtung und dieses Grundproblem, wenn du Online-Bist und irgendwo einen Hack-Find-Estern hast du auch zugehe auf Aller von diesen Devices.

37:01 [SPEAKER_01]: Wenn du das Multiplizieren kannst, das ist dann auch davon klaut und von Systemen, die Online-Sint. [SPEAKER_00]: Als Wire-Denantäger veröffentlicht hat, wurde das alles nach dem Bilderbuch reported vorher und war das dann zu dem Zeitpunkt schon geexten. [SPEAKER_01]: Also die Security Researcher haben das natürlich so wie sie es gehört schon frühzeitig gemeldet.

37:18 [SPEAKER_01]: Es wurde sogar ein Patch ausgerollt, bevor dieser Weiertartikler schienen ist. [SPEAKER_01]: Also, glaubt zwei Wochen zuvor, wobei wenn ihr jetzt Patch sagt, war das nicht so vorstellen. [SPEAKER_01]: Ich habe dann im Patch dabei klaut eingespielt wird, sondern wir bewegen uns da im Jahr 2015.

37:33 [SPEAKER_01]: Und damals hat es so funktioniert, wo wir die Air updates gab es nicht, wahrscheinlich aus Sicherheitsgründen. [SPEAKER_01]: Das heißt, alle Kunden haben dann in USB-Stick gesendet bekommen. [SPEAKER_01]: Und haben diesen USB-Stick dann selber einstecken können, um diese neue Fembe aufzuspielen.

37:48 [SPEAKER_01]: oder dem Patch waren im Prinzip feiervoll regeln, auf gut Deutsch, also den Depus eingang im Prinzip blockiert, das geht am schnellsten, oder du fährst zu eine Werkstatt, aber sie waren angewiesen, dass die Leute das funzig ausmachen, dessen grusses Problem, also kann es nicht von der Entfernung jetzt irgendwie Patchen.

38:04 [SPEAKER_01]: Wie der Weier der Deckel, aber herausgekommen ist, eine Tag später hat das Mobilfunknetz. [SPEAKER_01]: reagiert und hat einfach diesen Port gesamt in ihrem gesamten Mobilfunknetz gesperrt. [SPEAKER_01]: Das heißt, das war eigentlich die beste Variante, ist aber erst nach dem Wire der Deckel passiert.

38:18 [SPEAKER_01]: Weil damit hast du dieses Einfallsturm komplett geschlossen, weil du nicht mehr über das Mobilfunknetz gehen kannst. [SPEAKER_00]: Jetzt ist G-Bier nur eine Automage von Fählen. [SPEAKER_00]: Hat das denn irgendwie eine größere Effekt in der Automobilindustrie gehabt oder war das einfach nur zwei Häcker von irgendeiner Universität, die ein bisschen Research gemacht haben, G-Parts gefixt und dann sind wir einfach nur mit unserem Leben, haben weiter gemacht wie normal.

38:39 [SPEAKER_01]: Chip hat es probiert, so zu frameen, aber die ganzen Behörden haben dann relativ Druck gemacht, dass das höher gewertet wird, dass das wirklich auch Rekollaktion wird, dass das wirklich auf einen höheren Level gepuscht wird und längerfristig hat es im Prinzip dann auch die ganze Porsche bewegt.

38:57 [SPEAKER_01]: Nein, es ist anders einzuführen. [SPEAKER_01]: Neues Security Standards, wo dann einfach auch eine Strikter-Rettrennung vorgesehen wird vom Campus und vom Infotemment-System. [SPEAKER_01]: Also genau diese segmentierung, die wir da vorbesprochen haben, dass die noch mal stärker gelebt wird und dadurch die Sicherheit erhöht wird.

39:12 [SPEAKER_01]: Ein anderer Punkt, der natürlich ganz klar auch ein riesen Problem ist und ich glaube, das ist auch besser geworden, wobei wir gesagt, die kann jetzt nicht für die Autoindustrie sprechen. [SPEAKER_01]: Aber das EQ-Boot, das du nicht so einfach eine neue Fernwärme auf Spielen kannst und in die Fernwärsignierzeiten muss, das ist schon das Dandert geworden, aber ich kann selber gerade, wenn man dann wie über IoT die weißes oder so spricht, da ist es eigentlich definitiv noch nicht das Dandert.

39:35 [SPEAKER_01]: Also da kann man relativ leicht meistens irgendwelche Overtair updatezug auf der Fernwärme erfahren. [SPEAKER_01]: Und da zieht es noch nicht zum Standard entwickelt. [SPEAKER_00]: Wenn ich jetzt darüber nachdenke, was können wir da auch so lernen? [SPEAKER_00]: Dann ist das ja schon relativ nah an der thematik, wie mit dem Aquarium.

39:50 [SPEAKER_00]: Truss Boundaries wer darf mit was kommunizieren. [SPEAKER_00]: Auf der anderen Seite das Infotainment System mit dem Hauptbusse-System. [SPEAKER_00]: Ja, will ich schon sagen, dass dann eine Kommunikationsmögliche hat bestehen sollte. [SPEAKER_00]: Gut, jetzt zugefeber Wähler und zugefeberes Mobilfunknetz.

40:05 [SPEAKER_00]: Das waren vielleicht ein bisschen. [SPEAKER_00]: zu offene Port, sieht man, glaube ich, streichen können, weil ja auch der Quickfix, wenn ich das jetzt im so korrekt verstanden habe. [SPEAKER_00]: Was kann man aus noch lernen? [SPEAKER_01]: Also, ich möchte mal kurz die Autoindustrie in Schutz nehmen.

40:15 [SPEAKER_01]: Ich glaube, sie haben schon sehr viel gelernt und haben da auch einiges verbessert. [SPEAKER_01]: Wenn zum Security geht, mir ist gerade eingefallen, dass mir ein Freund kürzlich erzählt hat, der beide Schlüssel von seinem VW verloren hat. [SPEAKER_01]: Nicht mehr in der Lage war, einen neuen Schlüssel zu bekommen.

40:30 [SPEAKER_01]: von VW, weil die den Verschlüsselungscode nicht haben bei ihnen. [SPEAKER_01]: Das heißt, am Ende hat der den kompletten Bordkompiot und alles austauschen müssen. [SPEAKER_01]: Das waren viele dausende Euro, weil dieser Schlüssel, dieser Verschlüsselungsschlüssel, nur auf den eigentlichen Schlüsseln [SPEAKER_01]: Lebt, die du daheim hast und wenn du beide verlierst, hast du keine Möglichkeit mehr, das Werkseitig irgendwie zu resetten oder die neue Schlüssel zu holen.

40:54 [SPEAKER_01]: Also vielleicht hat die autopornche gelernt, wobei, ob das jetzt gut oder schlecht ist, ich glaube, man kann das definitiv Kundenfreundlicher zumindest machen. [SPEAKER_01]: Also wenn du dann die gesamte Elektronik ausdarschmust im Auto und das mehr redausend Euro kostet, aber man sieht dafür in voll, dass die, [SPEAKER_01]: Pranche schon was gelernt hat von diesem Heck damals 2015.

41:13 [SPEAKER_01]: Was wir jetzt davon lernen können oder ganz allgemein ist natürlich einfach mal die Angresflächen zu reduzieren, das hast du schon richtig gesagt, dass ihr die Ports, die da offen sind, muss das im Wählern nach außen offen sein. [SPEAKER_01]: Was muss mir wirklich exponieren von dem System nach außen?

41:28 [SPEAKER_01]: Dann natürlich Vertraue allen, was da reinkommt, über meine Externen schniedstellen. [SPEAKER_01]: Einfach einen Port offen zu haben und einfach alles zu akzeptieren, ohne eine Artentifizierung, Arturisierung ist natürlich genauso ein Problem, also diese Zero Trust policy, die du schon genannt hast, macht natürlich auf jeden Fall Sinn, dass man einfach mal alles ablehnt, was da reinkommt und man muss dann wirklich eine undliche Artentifizierung machen.

41:50 [SPEAKER_01]: Egal ob das jetzt auf Feierwollseite ist oder im Internet-System. [SPEAKER_01]: Zigio Boot habe ich schon erwähnt. [SPEAKER_01]: Also ich glaube, da kann man sich ja noch einiges optimieren. [SPEAKER_01]: Und ich war es mal zu bezweifeln, dass alle Firmen auf ihren ganzen IOT-Di-Weiße. [SPEAKER_01]: So ein kleineren Device ist wirklich zigio Boot oben haben.

42:06 [SPEAKER_01]: Und dass man da keine Firmen wäre so einfach flaschen kann. [SPEAKER_01]: Also das bezweiflich und sehe ich auch ständig noch, dass man da eigentlich keine Sicherheitsbeschränkungen bei ganz vielen Device hat. [SPEAKER_01]: Also, wenn man selber in irgendeiner embedded Seite unterwegs ist, sollte man sehr vielleicht wirklich mal da auch umschauen ist.

42:24 [SPEAKER_01]: Natürlich auch immer die Frage unterstützt ist, dass die Hardware kann, ist die Hardware überhaupt die Chips, die man verwendet. [SPEAKER_01]: Deshalb auch immer so das Problem, dass die Hardware vollmänt sich ihren günstig sein sollen, natürlich auch ein bisschen hinterher hinkt, bis man da die ganzen Security features, dann wirklich auch drin hat.

42:37 [SPEAKER_00]: Beim Secure Boot, ich mein klar, siegnierung der 4Mware, [SPEAKER_00]: Aber auch da gibt es ja super viele Lücken. [SPEAKER_00]: Söhtifikation, Pening und so weiter. [SPEAKER_00]: Also diese ganze tematik nur deine vier Wesse zu signieren ist ja nicht so einfach, wie wir setzt hier gerade so Salop sagen, denn die ganze Zettifizierungsinfaschruktur und Zettifizierungsinfasch Zettifizierungsinfaschruktur dahinter und so weiter.

43:00 [SPEAKER_00]: Die muss natürlich auch ordentlich stehen und auch ordentlich stabil aufgebaut sein. [SPEAKER_01]: Und was machst du, wenn dein Hauptschlüssel verloren geht oder geklaut wird, dein C.E. [SPEAKER_01]: war es auch immer klar. [SPEAKER_01]: Also da hängt schon viel dran, aber das Problem ist, dass bei den meisten die weißen, die ich zumindest zu kennen, auch im professionellen Umfeld, das sind wir noch nicht mal so weit.

43:18 [SPEAKER_01]: Also da gibt es einfach gar nichts. [SPEAKER_01]: Und du kannst da einfach eine Ablot machen von deiner Firmbe entdeckt. [SPEAKER_01]: Also das sind wir gar nicht so weit, dass wir dann um die anderen Probleme kümmern müssen, sondern da ist schon mal grundsätzlich was falsch. [SPEAKER_01]: Wir reden hier von dem Case von Vor-Evian.

43:30 [SPEAKER_01]: Ja, ich hoffe mal, dass es bei der Autoindustrie ein bisschen besser ist, aber wenn man das wieder auf IoT die weiß ist oder ganz allgemein die weiß es, die so herum fliegen, ausweite, dann schade es natürlich auch schlechter aus und wirklich so gar im professionellen Umfeld, da ist halt hartwert, da war es ca.

43:45 [SPEAKER_01]: 15 Jahre alt und zwar nicht vor 15 Jahren gekauft, sondern vor 15 Jahren die Seint und da ist halt wenig passiert in der Zwischenzeit. [SPEAKER_01]: Das ist das Problem oft. [SPEAKER_00]: Ich stelle mir gerade die Frage und das ja auch gesagt, wie wurde das gepetscht und zwar wo ein USB-Sticks versändet und allem drum und drangen.

43:57 [SPEAKER_00]: Es reicht mir gerade, ob es sehr abdates wäre das eine Lösung, weise ich nicht, bringt auch schon wieder neue Attack-Vectores mit sich, alles wieder neue Absichern, denn auch so eine Summaschine wie, wie heißt das schon da? [SPEAKER_00]: Da findest du ja immer wieder irgendwelche... [SPEAKER_00]: hat, wer irgendwelchen Ölfeldern mit den Texts, die man oft nur das Internet steuern kann.

44:19 [SPEAKER_00]: Du verstehst das, dass ich meine, ich hoffe, dass ich über die Erde, wenn es schöne thematik, das zu fixen, alles gut. [SPEAKER_00]: Aber da kommt dann ein Rieserratenschwanz mit, was dann eigentlich ein ähnliches Sicherheitsvorfall auslösen kann. [SPEAKER_01]: Also ich glaub, dass wenn du von 1,4 Millionen in Fahrzeuge sprechst, also wenn du wirklich viele die weißes draußen hast, dann musst du heute over TR update anbieten, weil wenn da irgendwelche etwas besiert, dann musst du in der Lage sein, das in kurzer Zeit schon patchen.

44:44 [SPEAKER_01]: Mich schon klar, dass das... [SPEAKER_01]: Auch wie der Schwierig ist, aber da spreche man dann genau über die Sachen, die du erwähnt hast, wie kann ich das ganze Signieren, wie kann ich das sicher machen, dass mir niemand anderer oder eine Firmware aufspielt, was mache ich, wenn man die Schlüssel verloren gehen und zu weiter.

44:57 [SPEAKER_01]: Also, das sind dann schon die Sachen, die man beachten muss, aber ich glaube, man kann sich heute nicht mehr leisten, wenn du jetzt als Hausnummer über 1000 Geräte irgendwo draußen hast, da kein Overtheer abdaten mehr zu machen. [SPEAKER_01]: wenn du wirklich ein fix ausliefern musst. [SPEAKER_01]: Mein Du jetzt, Kein Ernährung der ganz spezielle Hardware auslieferst, ein MRT, Scanner Gerät, was sowieso nicht online ist.

45:19 [SPEAKER_01]: Wo es vielleicht nur 300 Stück gibt, dass du destern mit USB-B-B-Lieferst, erkanken hast, wird sich nie einlassen auf Overtair. [SPEAKER_01]: Das macht natürlich Sinn, aber wenn du jetzt in die Masse gehst, Autos oder irgendwelche IoT die weißes, was um 1.000 Stück zahlen geht, ich glaube, da musst du das heute anbieten.

45:35 [SPEAKER_01]: Ich glaube, das ist dir halt den niemand mehr verzeit, wenn du sagst, du hast den kritischen Patch, du kannst dich mehr prämpfen und dann sagst, er, über die er ist aber schlecht, es ist was Einforsdor, über die er wie damals 2015, aber ich kann jetzt nichts Patchen und wir rollen jetzt mal USBs aus und auf der Straße fahren, 1,4 Millionen in zwei Donnen, wie hiegel herum, die plötzlich nicht [SPEAKER_00]: Ich weiß nicht, ob ich das zu generalisiere, aber es ist schon faszinierend, dass zwei unterschiedliche Hex sehr, sehr inliche Mitigationstrategien haben.

46:06 [SPEAKER_00]: Denn wir haben über TrustBoundaries gesprochen, wer darf mit wem kommunizieren. [SPEAKER_00]: Und es hört sich so an, als wenn man das richtig gemacht hätte, dass sie zwei spezifischen Attacken dann ja eigentlich verhindert hätten werden können, oder? [SPEAKER_01]: Genau, es hätte sich verhindern lassen und durch das auch schon gesagt zwar 15 war das man hatte doch Zeit gehabt es zu verbessern und ich weiß nicht ob du es mitbekommen hast aber die letzten Tage ist es durch die Medien gegangen von diesem DJI Staubsager Roboter Ich bin in einer anderen Babel als du, heb ich mal ganz kurz auf den aktuellen Stand [SPEAKER_01]: Es ist mal ganz was Neues, dass ich die EU-Skebe nicht du mir.

46:41 [SPEAKER_01]: Es war voll im Sonnenskast, da jetzt auch durch die ganzen Mainstream-Medien gegangen ist. [SPEAKER_01]: Also jetzt nicht nur auf der technischen Seite. [SPEAKER_01]: Und zwar ging es darum, einen Heck der gar kein Heck war. [SPEAKER_01]: Weil die eigentliche Idee, die ein Nicht-Dechniker hatte.

46:54 [SPEAKER_01]: Also es kann die Welle bei Heck oder sonst irgendwas, sondern semi-Hatter geheißen, wollte einfach nur so ein Spaß projekt bauen. [SPEAKER_01]: Und wollte mit dem Controller von seiner Konsole seinen Saugruppe der Steuer. [SPEAKER_01]: von DJI. [SPEAKER_01]: Und wie macht man das? [SPEAKER_01]: Heute sage ich, wenn man keine Ahnung hat, aber sagt selber, glaube ich, dass er keine E-Strategie ist.

47:14 [SPEAKER_01]: Er hat einfach mal einen KI-Bot gefragt, in dem Falk-Cloat Code meines Wissens. [SPEAKER_01]: Und hat einfach mal gesagt, Hochbeer, doch da ist ein ganz Traffic-Up von diesem Staats-Sarger-Roboter. [SPEAKER_01]: Und such mir das dann raus, damit die den selber Steuern kann. [SPEAKER_01]: Also einfach über ein Computer, dann Bluetooth, Konsole, weil doch cool, wenn ich dann mit meinem Roboter herumfahren könnte in der Wohnung.

47:31 [SPEAKER_01]: Und hat sich da seine Token rausgeholt und so weiter hat er herausgefunden, okay, das ganze funktioniert über MQTT. [SPEAKER_01]: Also es ist auch wieder so ein klassisches IoT Protokoll, wo Messages in Nother fliegen und was dann aber ganz interessant war, er hatte plötzlich, wenn er auf den MQTT Proker auf den Serverzuggriffen hat, nicht nur Zugriff auf seinen Stabsgerobutter, sondern auf 7.000 andere Saagrobutter.

47:54 [SPEAKER_01]: Und noch mal, wir sprechen davon Februar 2026 und die GIE ist jetzt keine kleine Filme unbedingt. [SPEAKER_01]: So eine Filme mit Historie und die doch ein paar Geräte da draußen hat. [SPEAKER_01]: Es hat sich dann auch gezeigt, dass man doch andere Power stations, glaube ich, ansprechen kann, über den gleichen MQD Server und dann waren [SPEAKER_01]: So um die 10.000 Geräter in 20 verschiedene Ländern hat man dann einen Zugriff drauf und fallen wenn man bedenkt was Stabzergerobet da heutzutage liefern die die von dir ja audio video damit du nachschauen kannst substaymen im hundgut geht an die du musst es ja verstehen machst du es wahrscheinlich auch ständig oder da katze wenn die rattrum fährt mit den Stabzergerobet da oder so dass man da mal schauen kann das heißt man hat vollen Zugriff in die Wohnung in hinein bluss natürlich flor planen üblicherweise also wie sind die Zimmer aufgibt

48:40 [SPEAKER_01]: Man scharbserberberberber, da hat doch keine kritischen Daten. [SPEAKER_01]: Und genau die waren alle verfügbar und das einzige Problem oder das Hauptproblem war, dass dieser MKTD broker beziehungsweise ganz allgemein so Babsabsysteme, die sind üblicherweise standardmäßig nicht abgesichert.

48:55 [SPEAKER_01]: Das heißt, wenn du da ein Lock-In hast und dich anmelden kannst, dann kannst du dich überall Subscriben zu jedem Gendel, zu jedem Topic. [SPEAKER_01]: Und du musst Manuelle, S-E-L-Struber legen, dass du eben nur Zugriff auf einen spezielles Topic haben kannst. [SPEAKER_01]: Auf das Topic.

49:08 [SPEAKER_01]: Video, Audio, Location, von deinem Saugroboter, nicht von allen Saugroboter. [SPEAKER_01]: Und man kann ja mit dem Pub-Subsystem klassischerweise Subscriptions machen. [SPEAKER_01]: Das heißt, du kannst auf irgendwelchen Topics lauschen. [SPEAKER_01]: Und da gibt es auch Wildcarts. [SPEAKER_01]: Also im klassisches Standchen zum Beispiel.

49:24 [SPEAKER_01]: Das heißt, du kannst sagen, ich will jetzt auf alle channels hochen, die Location heißen, mit einem Stern, also alles Saugroboter, deren Location. [SPEAKER_01]: Und dann bekommst du ständig alle Messisches geschickt von allen Staubsagerrobotern und ihre Location. [SPEAKER_01]: Und genau das war in dem Fall des Problem.

49:39 [SPEAKER_01]: Das heißt, da gab es keine Autorisierung, nur eine Autentifizierung, aber klar, wenn du besitzer von einem Schlaubsager bist, kannst du dich autentifizieren, bekommst Zugriff und dann aber auch Zugriff auf alles andere. [SPEAKER_01]: Also da gab es keine Beschränkungen auf dieser Ebene.

49:54 [SPEAKER_01]: Also auch da wieder, null segmentierung und eigentlich würde ich mal sagen, schon eine ziemliche Basiskonfiguration. [SPEAKER_01]: Aber ich kenne es selber, ich habe kürzlich mit MQD-D-Servern zu tun gehabt. [SPEAKER_01]: Es ist schon ein eigenartiges Konzept, diese ACLs und gerade wenn man mit Waldkarts arbeitet.

50:09 [SPEAKER_01]: Man muss ja mit den ACLs da, was ja auch mit Waldkarts arbeiten. [SPEAKER_01]: Es ist schon ein bisschen fricke Leg und irgendwie nicht zu klar, wer was darf. [SPEAKER_01]: Also ich finde es auch irgendwie vom gesamten Design, vom Sicherheitsdesign, bis ich ein schwieriger Musik zu geben.

50:23 [SPEAKER_00]: Was sprechen dagegen, dass einfach jeder Roboton eigentlich aus MQD-D-Toppekriegt und nur Zugriff auf dieses Topek haben kann? [SPEAKER_01]: Also jeder Robert hat wahrscheinlich sein eigenes Topic, aber ich kann halt auch an der alle anderen Topics lesen und das ist so hierarchisch aufgebaut, also zum Beispiel Tell 4 Telemetry Slash an die Roboter Slash Location und die kann aber natürlich auch sagen ich will jetzt Subscriben zu Tell Slash Stellen Slash Location, da bekommen wir einfach alle Locations von allen geritten.

50:55 [SPEAKER_01]: Also das ist halt den MQDD so vorgesehen oder Babsab ganz allgemein. [SPEAKER_00]: Du hast jetzt Telemetry auf den 1st Level gesetzt, aber du kannst auch dein Robert auf den 1st Level setzen und dann nur dir Zugriff auf das 1st Level von dein Robert vergeben und da drunter Telemetry und Kommaanz und was ist echte Topics noch ab.

51:11 [SPEAKER_00]: Also kurz um ganz basis Software Design, Isolierung, Mandanten, Isolierung ist hier falsch gelaufen. [SPEAKER_01]: Ja, es gab scheinbar einfach keine ACLs. [SPEAKER_01]: Also es hat einfach so wie es aussieht, einfach jeder User auf alles zugriff gehabt. [SPEAKER_01]: Und das ist natürlich, wenn du dann Cloud Code drüber jagst, der findet es ein durch relativ schnell heraus, weil der probiert das informiert aus und wie gesagt, das war kein Hecker, das war kein Security Researcher, das war einfach ein Dut, der sich gedacht hat, er macht der Hitzen Spaßburg.

51:38 [SPEAKER_00]: Was heißt das denn jetzt für uns? [SPEAKER_00]: heißt das jetzt jedes neue Gerät, was ich mir jetzt kaufe, wo sich jetzt einmal Cloud Code über die FBI-Roy-Hagen umzukucken kann, ich kann das so sein, das kann jetzt irgendwie auch nicht sein. [SPEAKER_01]: Es gibt ja genug Security Tools, die du nehmen kannst, aber ich glaube, so diese Grundregeln, die Basis Sachen, die man einfach verstehen muss, oder auch sich überlegen muss, ist es einfach, ich glaube, Outentifizierung, Autorisierung, also auf welche Objekte darf mein User dann wirklich zukriffen und dann halt eine sinnvolle Segmentierung, Seisterfuser, Ebene, Seisterfnetzwerke, Ebene, ich glaube, wenn man die drei Sachen sich einfach durchdenkt.

52:10 [SPEAKER_01]: Autorisierung und sinnvolle Segmentierung als Überbegriff, dann bist du wahrscheinlich schon relativ sicher und wenn man als die 3K ist betrachtet, dann ist es immer irgendwie in Segmentierungsproblem gewesen. [SPEAKER_01]: Also, ihr habt irgendwie weiterspringen können. [SPEAKER_01]: Einen Hop, weiter, raus aus meinem Käfig.

52:26 [SPEAKER_01]: Wir haben ja auch mal über mehr Mandantenfähigkeit gesprochen in der Episode. [SPEAKER_01]: Da ging es ja auch genau darum, also wie kann ich meine Mandanten meine User einsperren, in ihrem Bereich damit die möglichst schwer nach außen kommen, ausbrechen können? [SPEAKER_01]: Und da macht halt einfach ein sinnvolles Management von segmenten oder halt dementsprechend auch autorisierung, als ja auch eine Segmentierung ist, einfach sind.

52:48 [SPEAKER_00]: Es wird jetzt nicht sagen, diese Episode ist sehr nettzwerglastig. [SPEAKER_00]: Denn wenn man sich die ganzen Case es mal im Detail anschaut, dann unterscheidet die sich natürlich schon. [SPEAKER_00]: Aber es ist schon beachtig zu sehen, wie stark Netzwerksegmentierung oder Kommunikationssegmentierung wer darf mit wem kommunizieren, also welchen Einfluss sowas haben kann und was eigentlich dadurch verhindert werden kann, denn es ist ja nicht einfach, aber der Impekt ist wahnsinn.

53:15 [SPEAKER_00]: Ich frage mich halt immer und immer und immer und immer wieder. [SPEAKER_00]: Warum wird das immer so als nachgelagerter Prozess angesehen? [SPEAKER_00]: Weil auch du sagst ja in vielen Firmen, kommst du rein als Berater, Chris Zugefforfnetzwerk. [SPEAKER_00]: Und das zeigt mir ja auch, dass es nach der Lagerter Prozess ist.

53:31 [SPEAKER_00]: Das ist jetzt irgendwo auf der todulliste ganz hinten steht, weil es ist ja nicht dringend, weil es ist ja nicht passiert. [SPEAKER_00]: Wahrscheinlich oder ich kenne ich runter. [SPEAKER_00]: Oder vielleicht einfach was kompliziert und schwierig ist? [SPEAKER_01]: Ich glaube, es ist kompliziert und ich kann da ja jetzt immer dieses Deutschlag argumentinnen und Raumwerfen sind halt gewachsen, die Strukturen.

53:47 [SPEAKER_01]: Aber wen Freund von mir, der übrigens Absekreti berate, ist immer sagt, ja ist ganz nett, der gewachsenen Schrukturen, aber dann lasst uns ein von die Zukunft blicken und diese ändern. [SPEAKER_00]: Gewachsenen ist doch cool, was ist denn das für eine Ausrede? [SPEAKER_00]: Ja, das ist der aktuelle Case, aber das heißt ja nur, das klingt so wie ein Synonym für okay, hier ist was zu holen.

54:06 [SPEAKER_01]: Ja, es ist halt immer eine Ausrede einfach, worum das zu ist. [SPEAKER_01]: Aber eigentlich in Prisierprisierprisier nicht, worum es so ist, sondern ich will es ja ändern. [SPEAKER_01]: Also wir wollen es ja in ein besseren Zustand überführen. [SPEAKER_01]: Und da brauchen uns eigentlich gar nicht überlegen, worum war das die letzten zehn Jahre anders.

54:20 [SPEAKER_01]: Sondern eher, wie können wir es ändern oder warum ist es bisher noch nicht besiert, vielleicht. [SPEAKER_01]: Aber auch, das ist eigentlich gar nicht immer so wichtig, die Frage ist, wie kann es ändern, wie kann ihnen sich rentzustand kommen und darauf sollten sich eigentlich konzentrieren.

54:32 [SPEAKER_01]: Und ich glaube, mal vergisst es auch oft, wie alle machen Fehler und man braucht halt in einem SQL-State mit nur irgendwo eine Werklaus vergessen, wo irgendwas geprüft wird sicher als relevant ist und plötzlich bist du schon offen und da würde ich mir jetzt gar nicht ausnehmen, das passiert uns klar wie allen.

54:49 [SPEAKER_01]: Da müssen wir damit leben, aber man kann ja auch heute sagen damit umgehen, es gibt Tools, Security, [SPEAKER_01]: Die kann selber einfach mal statt der ID 5, oben in der URL ID 6 eingeben und schauen, ob ihr plötzlich auf einen anderen User-Zukrief habe, diese Easy-Sachen. [SPEAKER_01]: Also es ist unsere Verantwortung und die müssen halt irgendwie wahrnehmen, als die Weller bei auch wenn es nicht einfach ist.

55:09 [SPEAKER_01]: Kompat einfach jetzt dazu und wenn man online sein will und alles online haben will, muss man sich halt auch darum kümmern. [SPEAKER_00]: Der Wolfgang und ich haben noch mehr Crazy Hacks vorbereitet, die vielleicht als Mitigation nicht immer die Netzexsegmentierung haben, die haben wir als Krat irgendwie, weil sie nicht per Zufall irgendwie so gebündelt.

55:26 [SPEAKER_00]: Ja, noch ein paar hat der spezifischere Hacks unter. [SPEAKER_00]: Vielleicht machen wir noch mal eine Episode, Nummer 2 dazu, lasst uns einfach mal wissen, was ihr über diese Art von Format denkt oder der Beziehungsweise, ob der irgendwas überraschene ist bei euch war. [SPEAKER_00]: Und ich würde dir super gerne wissen, was ist eure Ausrede, die ihr in der Firma habt oder vielleicht auch im privaten Homelet, um euer Netzwerk nicht zu segmentieren.

55:47 [SPEAKER_00]: Meine ist relativ einfach, warum ich das in meinem Homelet nicht noch nicht habe, noch nicht. [SPEAKER_00]: Jetzt kommt ich habe keine wichtigen Daten, oder? [SPEAKER_00]: Nein, an dieser Stelle. [SPEAKER_00]: Das habe ich nie gesagt, ich wichtige Daten sind für mich wichtig, ob meine wichtigen Daten für dich wichtig sind, kann ich ja nicht beantworten, wie viel du über meine wichtigen Daten wissen möchtest.

56:03 [SPEAKER_00]: Bei mir ist es aber super simpel. [SPEAKER_00]: Ich habe einfach kein D&S oder MDNS oder ähnliches in meinem Netzwerk. [SPEAKER_00]: Das bedeutet auch in meinem Netzwerksgenang. [SPEAKER_00]: Ist hart koded eine IP von einem Samba-Share von meinem Prox Mox Server drauf. [SPEAKER_00]: Und wenn ich das Netzwerk segmentieren würde, dann müsst ihr über die hart gekodeten IPs abändern.

56:21 [SPEAKER_00]: Und das ist natürlich schmerzhaft. [SPEAKER_00]: Du kennst das. [SPEAKER_00]: Wenn du schon mal versucht hast, ein recht komplexes Passwort auf einem kleinen Display von einem Netzwerksgener einzugeben. [SPEAKER_00]: So was möchtest du nicht noch mal machen. [SPEAKER_00]: Und das versuche ich einfach so mal nur so lange von mir herzuschieben.

56:34 [SPEAKER_00]: Also ganz klassisch könnte man sagen, gewachsenen Strukturen oder ich muss es einfach machen. [SPEAKER_00]: Dann muss ich mir einfach mal ein oder zwei Tage Zeit nehmen und mich dadurch beißen. [SPEAKER_00]: Aber ich muss auch zu geben, ich bin mir gar nicht sicher, ob ich alle stellen, wo ich nach hart gekollet habe.

56:48 [SPEAKER_00]: gerade im Copfab oder ob ich die dann über Wochen hinweg immer so dieses System fehlt gerade da muss ich die IP ausdrauschen aber ich will auch umi kann den S7 und du kennst diese problematik wenn es nicht die NSS ist, wer es schuld am nächsten Outage den NSS ist immer den [SPEAKER_01]: ausreden, ausreden, ausreden, heiter.

57:07 [SPEAKER_01]: Übrigens, vielleicht noch eine Seite, und zu DJI, die hatten auch eine ganz coole Ausrede, weil schon ein Listen geschrieben haben, ja, da kann man doch alle Messages in Klartext lesen, von den anderen Devices, dann haben die gesagt, nein, nein, nein, nein, wir machen MQD-Overtail S. Da ist gar nicht den Klartext lesbar.

57:23 [SPEAKER_01]: Aber wenn du in User hast, dann hast du plötzlich alles in Klartekst. [SPEAKER_01]: Klar, ist es nicht, weil sie verschlüsselt übers Internet. [SPEAKER_01]: Da wird es kommt bei dir dann unverschlüsselt wieder an. [SPEAKER_01]: Also, ja, ausreden gibt's schon viele Masoldeklawellieber, einfach probierendest du verbessern anstatt die Energie in die Ausreden zu legen.

57:40 [SPEAKER_01]: Und wenn man immer sagt, okay, meine Daten sind doch nicht zu wichtig. [SPEAKER_01]: Dann frag ich immer, ja, kann ich dann zugriff auf deine Daten haben. [SPEAKER_01]: Gibst du mir mal in User, wo ihr auf alle deine Daten zugreifen kann. [SPEAKER_01]: Wenn sie nicht zu wichtig sind, kannst du sie mir ja auch zeigen.

57:52 [SPEAKER_00]: Ich glaube, den besten Case, das beste Gegenargument, was ich mal gehört habe, ist zu so auch sagen, wie ich habe nicht zu verbergen. [SPEAKER_00]: Und so weiter. [SPEAKER_00]: Er ging es dann oft damals als die Überwachungsdebatel losgehen. [SPEAKER_00]: Wer ist so damit der Koer Wolfgang, wenn ich dann, wenn ich zugehoben auf deine Amazon-Bestellung hätte, und ich sehe, dass du ein Buch überätst bestellt hast.

58:09 [SPEAKER_00]: Wer ist so damit der Koer, dass das hier dabei ist? [SPEAKER_01]: Ja, ja, aber dann kommen die Leute, die sagen ja, ich bestelle ja kein Buch überätst. [SPEAKER_01]: Aber ich glaube, dass die wenigsten ihren Amazon-Ekant auch so teilen würden, egal was sie da bestellt, oder auf deine Emails oder so.

58:21 [SPEAKER_01]: Gehen wir doch mal zurück, auf deine Ebenes, nur lesen. [SPEAKER_00]: Und dieses Beispiel, dass ich gerade genannt habe, heißt jetzt nicht, du hast AIDS oder nicht AIDS. [SPEAKER_00]: Es geht nur darum, wenn alle wissen, du hast ein Buch über AIDS bestellt, was die in ihren Kopf daraus machen.

58:33 [SPEAKER_00]: Und du weißt nicht, jeder ist so gebildet, wie AIDS sich verbreitet und so weiter, aber jeder hat Angst vor, ja, möchte möchte vor meiden, dass er oder sie AIDS bekommt. [SPEAKER_00]: Und auf einmal brechen die Kontakte ab und so weiter, weil sie halt uninformiert sind, wie AIDS sich überträgt.

58:47 [SPEAKER_00]: Das ist der Long-Tail von dieser Story und die fand nicht so schön, so so nahbar und immer, wenn mir jemand sagt, ich habe nicht zu verwergen und wir sprechen über dieses Story. [SPEAKER_00]: Dann sieht danach die ganze Sache relativ schnell anders aus. [SPEAKER_01]: Noch ein anderes Beispiel wäre die Such-Historie.

59:04 [SPEAKER_01]: Dafür mal auf deine Google-Such-Historie zugriff bekommen. [SPEAKER_01]: Zeigst du mir die einfach mal. [SPEAKER_01]: Ich bin doch ein guter Freund, also von mir hast du wirklich nichts zu bezahlt. [SPEAKER_00]: Ich bin sehr dankbar, dass Jet-GP-T-U-Ails einfach mit so einer UI, die versehen werden.

59:17 [SPEAKER_00]: Aber, belassen wir es hierbei, spreng mein unsere Disco Community, ich bin hart interessiert einen euren Ausreden, warum ihr euer sind jetzt weg noch nicht segmentiert habt und hex über MQTT, Staukesaubererberter, einem Jeep Cherokee oder um IT-Sensor in eurem High Tech Aquarium, warum ihr so was nicht verhindert habt.

59:38 [SPEAKER_00]: Ich habe mich jetzt mal nack gemacht und einfach nur faul hat, weil ich einfach kein zuhause känden ist, betreibe, aber mein Heimnetzwerk ist auch kein Kersiedung. [SPEAKER_00]: Das war's von uns. [SPEAKER_00]: Du schließt mir deine Ausrede. [SPEAKER_00]: Sehr gut. [SPEAKER_00]: Immer, immer.

59:51 [SPEAKER_00]: Also, mein hat nur 24 Stunden um Tag zwei Hände und schlafen muss ich auch noch, also von daher. [SPEAKER_00]: Und natürlich für euch neuen Content machen. [SPEAKER_00]: Wir sind raus. [SPEAKER_00]: Bis später. [UNKNOWN]: Bye-bye. [UNKNOWN]: Ciao.