Passwort – der Podcast von heise security

Ein neues Linux-Rootkit taucht plötzlich auf und wird gleich dreimal analysiert. Seine Besonderheit: Es kann über das UEFI Linuxsysteme infizieren - bis jetzt ging das nur unter Windows. Aber wer steckt dahinter und warum haben die Unbekannten das Bootkit gebastelt? Sylvester und Christopher gehen auf Spurensuche.

Dieses Mal litten Christopher und Sylvester unter ausgeprägtem Hallo-Effekt, was zwischendurch zu unfreiwillig komischen Reinrede-Aktionen führte.

• Ken Thompson: Reflections on Trusting Trust
• BlackHat-Präsentation zu LogoFAIL
• ESET-Analyse
• Humzak711' Analyse
• Binarly-Analyse

In der ersten Folge des Jahres meldet sich Christopher aus dem Hamburger Außenstudio. Mit zwei Gästen, nämlich Linus Neumann vom CCC und Prof. Florian Adamsky von der Hochschule Hof, spricht er über vier aktuelle Themen, die auch Gegenstand von 38C3-Vorträgen sind: Die Rowhammer-Sicherheitslücke in DRAM, das Datenleck bei VW, unsichere Wahlsoftware und aus China gesteuerte Fake-Shops.

• 38C3-Talk zu FlippyRAM: https://media.ccc.de/v/38c3-ten-years-of-rowhammer-a-retrospect-and-path-to-the-future
• FlippyRAM: https://flippyr.am/
• 38C3-Talk zu Volkswagen-Leck: https://media.ccc.de/v/38c3-wir-wissen-wo-dein-auto-steht-volksdaten-von-volkswagen
• SRLabs zu BogusBazaar: https://www.srlabs.de/blog-post/bogusbazaar
• Fakeshop-Finder der Verbraucherzentrale: https://www.verbraucherzentrale.de/fakeshopfinder-71560
• 38C3-Talk zu BogusBazaar: https://media.ccc.de/v/38c3-fake-shops-von-der-stange-bogusbazaar
• 38C3-Talk zum Thüring-Test: https://media.ccc.de/v/38c3-der-thring-test-fr-wahlsoftware

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

In dieser Episode geht es um ZUGFeRD, einen Standard für die E-Rechnung, um die technischen Tricks von Darknet-Marktplätzen sowie um die Verurteilungen der Betreiber solcher Marktplätze und anderer Krimineller. Außerdem diskutieren die Hosts einen Essay zur Geschichte und den fragwürdigen Effekten von Passwort-Policies und natürlich kommen Zertifikate – beziehungsweise deren Widerrufe – zur Sprache.

• Schwerpunkt zu E-Rechnungen in der c’t
• Blogpost zur Security von Darknet-Marktplätzen
• Wazawakas Steckbrief auf dem T-Shirt
• Let’s Encrypts Termine für das OSCP-Ende, Passwort-Folge 9 mit Details dazu und ein c’t-Artikel zur Problematik von Zertifikatswiderrufen
• Essay zu Password-Policies

Bitte seht uns kleine akustische Fehler in der Aufnahme nach, offenbar war die Hardware im Vorweihnachtsstress.

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

Immer wieder berichten wir im heise Newsticker über APT-Angriffe gegen Firewalls und Security Appliances und deren teilweise haarsträubende Sicherheitslücken. Ein großer Hersteller solcher Geräte hat nun kurzerhand den Spieß umgedreht und seine Geräte in einigigen Fällen zu Lausch-Stationen umfunktioniert. Und zwar in China, wo sie offenbar von Exploit-Herstellern als Testgeräte für deren Malware genutzt wurden. Welches jahrelange Katz-und-Maus-Spiel der Hackback-Aktion vorausging und warum sie dieses Vorgehen für nicht ganz unproblematisch halten, diskutieren Sylvester und Christopher in der zwanzigsten "Passwort"-Folge.

• Diamond Model of Intrusion Analysis
• Timeline Pacific Rim
• Sophos-CISO Ross McKerchaw im Interview

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

Zu den letzten Episoden gab es viel inhaltliches Feedback, auf das Christopher und Sylvester in Folge 19 gerne eingehen. Außerdem reden die beiden noch einmal über das Tor-Projekt, denn eine aktuelle und interessante Angriffswelle auf das System hat es gerade so nicht in die vergangene Folge geschafft. Anschließend schauen sich die Hosts einige in letzter Zeit bekannt gewordene Security-Fails an. Die sind teilweise wirklich erschreckend und fanden sich ausgerechnet in Produkten von IT-Sicherheitsfirmen. So mancher Hersteller muss sich offenbar nochmal die Basics hinter die Ohren schreiben. Um Zertifikate geht es natürlich auch wieder, denn was wäre das Internet, ohne Geknarze in seiner Public-Key-Infrastruktur?

• Frontal-Bericht

• BCP-38

• Passwort-Hashing-Funktionen

• Géant vs. Sectigo

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

In Folge 18 geht es um Angriffe auf das Tor-Netzwerk. Dieses System zur Anonymisierung, das oft mit dem Darknet gleichgesetzt wird, stand schon immer unter erheblichen Druck durch alle möglichen Angreifer, einschließlich Ermittlungsbehörden. Die Hosts sehen sich an, wie das Netzwerk funktionieren soll und an welchen Stellen es hapert. Trickreiche und mit ausreichend Ressourcen ausgestattete Angreifer können dort ansetzen und offenbar gezielt Tor-Nutzer enttarnen.

• Organisationen, die Tor-Relays betreiben: https://torservers.net/partners/

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

In der 17. Folge geht's los mit Cybercrime, speziell Razzien gegen Kryptobörsen. Außerdem haben Sylvester und Christopher etwas zu perfctl, einer sehr vielseitigen Linux-Malware mitgebracht, sprechen über löchrige Prozessor-Barrieren und vom Internet erreichbare Druckserver. Und wie so häufig, gibt es auch mal wieder etwas Neues aus der bunten Welt der digitalen Zertifikate.

• Operation Endgame Videos: https://www.operation-endgame.com/#videos
• IBPB - Breaking the Barrier: https://comsec.ethz.ch/research/microarch/breaking-the-barrier/
• Bitrauschen - der heise Prozessor-Podcast: https://bit-rauschen.podigee.io/
• CUPS-Lücken: https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I/

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

Chatkontrolle ist ein heißes politisches Eisen. Aber auch technisch gibt es einigen Gesprächsbedarf darüber. In der aktuellen Folge von "Passwort" sprechen die Hosts darüber, welche technischen Vorgänge und Fragestellungen hinter der Chatkontrolle stecken, wo es hakt und warum das immer wieder von Lobbyisten und Politikern eingebrachte Vorhaben technisch auf tönernen Füßen steht.

• https://www.heise.de/hintergrund/Kindesmissbrauch-stoppen-Mit-Algorithmen-illegale-Bilder-erkennen-6306740.html
• Europol-Report "AI and Policing": https://www.europol.europa.eu/publication-events/main-reports/ai-and-policing

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

In der neuesten Folge von "Passwort" kommen die Hosts an einer kurzen Einordnung der explodierenden Pager nicht vorbei, halten sich aber mit dem Thema nicht lange auf. Schließlich gibt es noch viel anderes zu besprechen, etwa einen nun durch Strafverfolger abgeräumten Messengerdienst für Kriminelle, Details zum Fehler in Yubikeys, Malware mit cleveren Social-Engineering-Tricks und Clipboard-Manipulation und ein "bat-ylonisches" Dateiendungs-Gewirr.

• Qubes OS - a reasonable secure operating system: https://www.qubes-os.org/

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

In Folge 14 haben Sylvester und Christopher erstmals einen Gast dabei, nämlich die c't-Prozessor-Koryphäe Christof Windeck. Und mit dem zusammen tauchen sie ganz tief in ein Thema ein, das oftmals im Verborgenen bleibt: Sicherheitsfunktionen moderner Prozessoren. Speziell geht es diesmal um Intels "Management Engine", die nicht nur wichtige Funktionen rund um die Absicherung des Systems übernimmt, sondern auch ein eigenes Betriebssystem mitbringt und Fernwartung ermöglicht.

Wieso das manchmal auch ein Problem sein kann und ob man seinem Intel-PC die Wartungsfunktionen abgewöhnen kann, bespricht Christof mit den Passwort-Hosts.

Bit-Rauschen, der Prozessor-Podcast: https://www.heise.de/thema/bit-rauschen

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

In der Folge mit der Unglückszahl 13 geht es um diverse Dinge, die unglücklich gelaufen sind, von Linux-Bootloadern, die Microsoft nur teilweise unabsichtlich blockiert hat, bis zur mangelhaften Sicherheit bei "MLOps", also dem KI-Pendant zu DevOps. Zuerst schauen sich Christopher und Sylvester aber eine sehr erfreuliche Diskussion zu OpenSSL an; die Entwickler haben ihre Community um Meinungen zu einer sicherheitsrelevanten Änderung gebeten. Außerdem geht es um die Festnahme von Pavel Durov, den Schöpfer des gar-nicht-so-sicheren Messengers Telegram, und das altehrwürdige Hacker-ezine "Phrack", das in Ausgabe 71 erschienen ist.

• Hörer-Buchempfehlung: Moral – Die Erfindung von Gut und Böse: https://www.piper.de/buecher/moral-isbn-978-3-492-07140-6

• JFrogs Artikel zu MLOps-Problemen: https://jfrog.com/blog/from-mlops-to-mloops-exposing-the-attack-surface-of-machine-learning-platforms/#inherent-vs-implementation-vulnerabilities

• Ausgabe 71 von Phrack: https://phrack.org/issues/71/1.html

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

Folge 12 von Passwort befasst sich mit "Zero Trust". Dieses Sicherheitskonzept macht in letzter Zeit immer wieder von sich reden, aber zu Recht? Oder ist es nur das nächste PR-Buzzword, mit dem Produkte sich besser verkaufen sollen? Getreu der Beschreibung ihres Podcasts blicken Christopher und Sylvester hinter den Hype: Zero Trust ist durchaus ein ernstzunehmendes Konzept, mit dem man sich beschäftigen sollte. Wenig überraschend hat es aber auch Schwächen und kann (so viel sei verraten) seinem marktschreierischen Namen nicht gerecht werden –ganz ohne Vertrauen kommt nun mal nichts und niemand aus.

• NIST-Paper zu Zero-Trust: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf

• BSI-Paper zu Zero-Trust: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeLeitlinien/Zero-Trust/Zero-Trust_04072023.html

• heise-Security-Webinar zu Zero-Trust (für Kunden von heise security PRO kostenlos): https://www.heise.de/news/heise-Security-Webinar-Zero-Trust-vom-Buzzword-zum-praktischen-Einsatz-7367542.html

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://aktionen.heise.de/heise-security-pro

In der elften Folge von "Passwort" reden Sylvester und Christopher über einige Security-News der vergangenen Tage. Den Anfang macht eine Remote-Code-Execution-Lücke in Windows, die durch manipulierte IPv6-Pakete ausgelöst wird und bis jetzt noch für verdächtig wenig Aufregung sorgt. Ein bekannter Tech-Youtuber ging durch Phishing seines X-Kontos verlustig und Google ließ sich Fake-Werbung für seine eigenen Sicherheitsprodukte unterschieben - das erstaunt die Hosts, die mit mehr Gegenwehr seitens der Opfer gerechnet hätten. Außerdem geht es um einen Cyberkriminellen, der sich einen Datenschatz bei einer Darknet-Überwachungsfirma zusammenkratze und eine in letzter Sekunde verhinderte massive Supply-Chain-Attacke gegen Python. Für Liebhaber CA-bezogener Neuigkeiten gibt's am Ende noch ein Schmankerl, bei dem auch Juristen mitmischten.

• PwnedPasswords Downloader: https://github.com/HaveIBeenPwned/PwnedPasswordsDownloader
• Für hartgesottene, die trotz Sylvesters Warnung einen E-Mail-Server selbst hosten möchten: https://github.com/postalserver/postal

Zehnte Folge, das ging schnell! Aber statt die Korken zum Mini-Jubiläum knallen zu lassen, machen Christopher und Sylvester mit ihren Hörern einen Ausflug nach Asien, genauer gesagt nach Nordkorea. Dort arbeiten unter der Führung des Militärgeheimdiensts tausende Cybersoldaten für das Kim-Regime. Sie spionieren, infiltrieren, sabotieren - und erbeuten hunderte Millionen Dollar fürs nordkoreanische Rüstungsprogramm. Wer die Gruppen mit Namen wie Andariel, Lazarus oder BlueNorOff sind und was sie mit einer mittelmäßigen Filmsatire zu tun haben, erfahrt Ihr im Podcast.

• Die Killswitch-Domain von WannaCry sieht aus wie auf dem Keyboard ausgerutscht: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

• Knowbe4 von nordkoreanischem Fake-Mitarbeiter infiltriert: https://www.heise.de/news/l-f-IT-Sicherheitsunternehmen-stellt-unbeabsichtigt-Cyberkriminellen-ein-9814563.html

• Advisory internationaler Sicherheitsbehörden zu gefährdeten Branchen: https://www.ic3.gov/Media/News/2024/240725.pdf

In Folge 9 von Passwort reden Christopher und Sylvester über eine Reihe von Security-News der letzten Tage: Die weltgrößte Zertifizierungsstelle Let’s Encrypt will das Online Certificate Status Protocol (OCSP) loswerden und Secure Boot kämpft, mal wieder, mit Problemen und Schlampereien. Außerdem reden die Hosts über einen neuen Passwort-Check bei GMX und Web.de und die Security von Blockchain- Projekten – anlässlich eines aktuellen besonders teuren Malheurs. Das Urgestein GhostScript macht mit einen Sicherheitsproblem auf sich selbst und vor allem auf den interessanten Charakter des Formats PostScript aufmerksam.

Korrekturen: Sylvester nennt das Protokoll fälschlicherweise "Open Certificate Status Protocol", richtig ist "Online Certificate Status Protocol". Und bei etwa 18:55 erzählt Sylvester, die CRLs großer CAs würden Gigebytes messen. Das stimmt so nicht, sondern ist der Worst-Case, wenn eine CA viele (oder sogar alle) ihrer Zertifikate zurückrufen müsste. Für diesen Worst-Case muss die Infrastruktur allerdings ausgelegt sein.

• c’t-Artikel über Zertifikatswiderrufe: https://heise.de/-9642194
• Folge der c’t Auslegungssache zum Thema „Datenlecks verhindern“: https://heise.de/-9762321
• c’t-Artikel zu Mailpasswörtern im neuen Outlook: https://www.heise.de/select/ct/2023/28/2331715395648017635
• https://www.web3isgoinggreat.com

In der achten Folge von Passwort geht es um den aktuellen CrowdStrike- Vorfall. Christopher und Sylvester erklären, was genau eigentlich passiert ist, und diskutieren eine erste Analyse der Firma. Die offenbart gravierende Mängel und lässt die Hosts an mehreren Stellen etwas ratlos zurück. Die beiden überlegen außerdem, wie CrowdStrike, Windows und die IT-Security-Community insgesamt solche Vorfälle in Zukunft verhindern könnten.

Vorläufige Analyse von CrowdStrike ("Preliminary Post Incident Review"): https://www.crowdstrike.com/falcon-content-update-remediation-and-guidance-hub/

Recovery-Anleitungen von Microsoft: https://techcommunity.microsoft.com/t5/intune-customer-success/new-recovery-tool-to-help-with-crowdstrike-issue-impacting/ba-p/4196959

Gegen Ende erwähnter Blogpost von modzero: https://modzero.com/modlog/archives/2022/08/22/ridiculous_vulnerability_disclosure_process_with_crowdstrike_falcon_sensor/index.html

In der siebten Folge von Passwort geht es um "Prompt Injections": Angriffe auf Software, deren Basis eine Sprach-KI ist. Solche Systeme sprießen in letzter Zeit allenthalben, aber ihre Sicherheit findet mitunter wenig Beachtung. Die Hosts Christopher und Sylvester erklären, was Prompt Injections eigentlich sind und welche Gefahren von ihnen ausgehen. Außerdem erörtern die beiden, wie man sich als Nutzer, als Softwareanbieter und auch als KI-Hersteller schützen kann – wenn auch nur bedingt – und warum das Problem so hartnäckig ist.

Unser Schwesterpodcast zu KI-Themen: https://www.heise.de/thema/KI-Update

In Folge 6 von "Passwort" befassen Sylvester und Christopher sich mit aktuellen Geschehnissen der vergangenen Wochen. So verteilte die Domain für eine Javascript-Bibliothek plötzlich Malware, Kaspersky sieht sich mit einem umfassenden Vertriebsverbot in den USA konfrontiert und auch für die Zertifizierungsstelle Entrust läuft es nicht gut. Dass Unbekannte auf der Suche nach Internet-Ruhm mittlerweile den Linux-Kernel mißbrauchen, um Reputation zu farmen, besprechen die Hosts ebenso wie neue Bedenken gegen Telegram.

Der im Podcast erwähnte International Obfuscated C Contest ist hier zu finden. https://www.ioccc.org/

In Folge 5 von Passwort geht es um eindeutige Kennzeichnungen von "Common Vulnerabilities and Exposures", also die bekannten CVE-Nummern, mit denen Sicherheitslücken identifiziert werden. Die Hosts Christopher und Sylvester besprechen, welchen Zweck CVEs haben, wie und von wem die Nummern vergeben werden und wo es hapert. Allzu rosig sieht die Zukunft von CVE-Nummern nämlich nicht aus. Es gibt diverse Probleme und Kritiker, unter anderem die Entwickler des Linux-Kernels. Die halten wenig von speziellen Kennzeichnungen für Security-Bugs und vermitteln ihre Sicht der Dinge mit dem Holzhammer.

CVE-Datenbanken:

• CVE-Suche von Mitre: https://www.cve.org
• CVE-Suche der NVD: https://nvd.nist.gov/vuln/search

Beispiele für Problem-CVEs

• Curl: https://daniel.haxx.se/blog/2023/08/26/cve-2020-19909-is-everything-that-is-wrong-with-cves/ & https://daniel.haxx.se/blog/2023/09/05/bogus-cve-follow-ups/
• PostgreSQL: https://www.postgresql.org/about/news/cve-2020-21469-is-not-a-security-vulnerability-2701/
• KeePassXC: https://keepassxc.org/blog/2023-06-20-cve-202335866/
• Azure: https://heise.de/-9755370

CVE-Regeln

• Regelwerk für CNAs: https://www.cve.org/ResourcesSupport/AllResources/CNARules
• Vorgehen der Kernel-CNA: https://docs.kernel.org/process/cve.html
• Talk von Greg KH zu CVEs: https://kernel-recipes.org/en/2019/talks/cves-are-dead-long-live-the-cve/

In Folge 4 sehen sich Christopher und Sylvester eine Reihe von aktuellen Meldungen an. Die Hosts diskutieren am Beispiel Proton das beliebte Konstrukt, eine kommerzielle Firma unter das Dach einer gemeinnützigen Stiftung zu stellen. Außerdem geht es um eine vielsagende Parsing-Lücke in wget, eine Anti-Phishing-Lösung, die durch das Certificate-Transparency-Projekt funktioniert, und einen Bug in Apples visionOS, der im wahrsten Sinne des Wortes gruselig ist. Zum Schluss verzweifeln Christopher und Sylvester noch ein bisschen an der Updatedisziplin vieler Exchange- und MSSQL-Betreiber – oder besser gesagt, an der Abwesenheit dieser Disziplin.

PS: Leider haben wir am Anfang der Aufnahme zwei ganz kurze Aussetzer. Es handelt sich bei den Lücken aber nicht um Sicherheitslücken ;)

Gemeinnützige Stiftungen:

• Proton Foundation: https://proton.me/blog/proton-non-profit-foundation
• OpenAI-Umstrukturierung: https://heise.de/-9765565

wget:

• Mailthread zum Bug: https://lists.gnu.org/archive/html/bug-wget/2024-06/msg00005.html

BigPhish:

• BigPhish-Erklärung: https://heise.de/-9774101
• CT-Livestream: https://certstream.calidog.io
• CT-Analysetool: https://crt.sh

visionOS-Spinnenbug:

• Bugreport: https://www.ryanpickren.com/vision-pro-hack

Update-Probleme:

• Angreifbare Exchange-Server: https://heise.de/-9770441
• Angreifbare MS-SQL-Server: https://heise.de/-9769490

Outtro:

• Windows Recall nur für Insider: https://archive.ph/86ekx