News SolarWinds-Attacke: Angreifer hatten Zugang zu Microsofts Quellcode

[Alitai]

Zitat von Hancock:
Dann wäre Linux ein Super-Gau... Der Super-Gau wären Änderungen, die man nicht findet.

Nein, für ein Closed Source Programm bzw. OS ist das der Super Gau. Da bei Linux jeder rein schauen kann gibt es allgemein eine Sicherheit. Es gibt nicht umsonst das Sprichwort 4 Augen sehen mehr als 2. Das ist einer der Gründe warum Linux so sicher ist - alles ist offen und jeder kann den Code einem Audit unterziehen.
Bei MS sieht das halt anders aus. Man muss keine Backdoor einbauen wenn man den Code gesehen hat oder im besten Fall kopiert hat. Da kann man durchaus Schadsoftware schreiben die ein Schwachpunkt angreift.

Zitat von Lan_Party94:
Davon habe ich einfach mal gar nichts mitbekommen!

Ist so gewollt. Es sind ja "die Guten" diesmal betroffen. Nicht "die Bösen" wie z.B. Supermicro die angeblich ja die Trojaner Chips verbaut hatten. Bloomberg hat nach wie vor keine Auswirkungen von den Lügen zu spüren bekommen.

Sehe ich auch so. Die Frage ist nur ob sie den ganzen Code haben? Ich gehe aber stark davon aus. Ein Leak für alle wäre der super super Gau.

 

[supertramp]

(Und das NSA Programm richtete sich voranging darin terroristen zu finden und auszuschalten, hier sind die Ziele viel schlimmer)

genau, und wir alle glauben auch an den Weihnachtsmann, die Frage die ich mir stelle, lebst du eventuell hinterm Mond.

 

[Monstranz]

Sry aber lebst du hinterm Mond?
als das mit der NSA aufgedeckt wurde war es ein Riesen Skandal der Monate bis Jahre durch die Medien ging
(Und das NSA Programm richtete sich voranging darin terroristen zu finden und auszuschalten, hier sind die Ziele viel schlimmer)

und macht doch Sinn das Land zu Verdächtigen was in den letzten Jahren immer aktiver gegen den Westen und der Demokratie vorgeht
Mal abgesehen von den gefunden Spuren die in Richtung Russland deuten

Seit Snowden ist es Fakt das die NSA auch bei "Freunden" Wirtschaftsspionage betreibt.
Russen Bashing ist der groesste Witz ueberhaupt. Die Amis wuerden gerne Zugriff auf deren Rohstoffe haben, sonst nichts. Militaerisch kann Russland mit den Amis, Nato nicht mithalten und ist ein nur vorgeschobenes Argument.
Ich kann Trump nicht ab, aber das der gegenueber China auf die Bremse getreten hat traut sich in der EU niemand, was aber angebracht waere um nicht zum Wasallen zu verkommen. Ich bin gespannt was aus dem Bestreben der Eu fuer eine EU eigene Halbleiter-Industrie wird. Open-Source waere die Moeglichkeit einer unabhaengigen
Software-Landschaft fuer die Verwaltungen in den EU-Laendern. Wenn man dann noch die Hardware selber macht, ist die NSA erstmal draussen oder hat es schwerer, auch Russland und China.
Seit dem 9.11 hat jedes US-Unternehmen zu machen was von oben gesagt wird um der so genannten nationalen Sicherheit zu dienen. Alles was Appel und Co zu gespeicherten Daten sagen ist gelogen, da der Patriotact prioritaet hat. Wer bietet das meisste Geld fuer Hightech Firmen, die USA. Noch fragen. Ob Intel auch deswegen Probleme hat, weil die fuer den militaerischen Komplex der USA noch laenger gewisse Bauteile auf aelterer Technik produzieren muessen?

 

[hoxi]

Das ist schon irgendwie witzig. Einsicht in den Sourcecode von Windows gefährdet Windows Anwender. Bei Opensource Software und Betriebssystemen ist genau das Gegenteil der Fall.

 

[Tada100]

@andy_m4 ​

Der Defender wie auch alle anderen AV programme usw. haben versagt, bzw. es war/ist schwer das ganze im Netz (intern) ausfindig zu machen.

Das Attacke lief über eine Backdoor in einer signierten .dll datei im Update steckte , die schadcode über DNS & htttp abfragen gezogen & weitergeleitet hatte.

Mehr dazu siehe :
https://www.fireeye.com/blog/threat...chain-compromises-with-sunburst-backdoor.html

 

[P4P800]

Jeder hackt jeden.
China-USA-Russland-Deutschland....
Sind immer "die anderen"

 

[Monstranz]

Jeder hackt jeden.
China-USA-Russland-Deutschland....
Sind immer "die anderen"

Mit nur MS-Software in Schulen, Verwaltung, Industrie wird alles noch schlimmer. Hab bis Heute nicht verstanden wieso Produktionsanlagen z.B. ans Web gekoppelt werden. Muessen eh vor Ort gewartet werden, oder sind es die dummen Chefs die von der Badewanne, Strand aus alles im Blick sofort haben wollen (weil immer misstrauisch).
Wie kann man alle Daten, Verwaltungsvorgaenge der NSA in den Rachen werfen.

 

[andy_m4]

Das ist schon irgendwie witzig. Einsicht in den Sourcecode von Windows gefährdet Windows Anwender. Bei Opensource Software und Betriebssystemen ist genau das Gegenteil der Fall.

Wobei man dazu auch sagen muss, bei Closed-Source man tendenziell eher dazu geneigt ist unsauber zu programmieren, weil man weiß das das nur dann ein Problem darstellt, wenn man die Funktionsweise kennt.
Bei Open-Source macht man so was eher nicht, weil Open-Source.

Also wie gesagt: Als Tendenz. Das bedeutet jetzt nicht, das jede Closed-Source-Software unsicher ist oder jede Open-Source-Software sicher.

Und speziell bei Microsoft muss man auch sagen, das die relativ viel tun um ihr System sicher zu kriegen. Der Softwareentwicklungsprozess ist dort schon vergleichsweise professionell. Ich glaub, Microsoft kann man nicht nachsagen, das sie miesen Code abliefern. Anders wäre ein solch komplexes System wie Windows auch gar nicht bestreitbar.

Wobei das früher anders war. Bis Microsoft halt irgendwann mal gemerkt hat, das es (auch aufgrund der vielen Sicherheitslücken) so nicht weiter geht (war so zur Zeit von Windows XP, wenn ich mich recht erinnere). Damals gabs ja diese Sicherheitsinitiative wo Microsoft viel in den Software-Engeneering-Prozess investiert hat um die Qualität zu verbessern.

Außerdem ist Microsoft rigoroser geworden was den Rausschmiss von alten Code angeht. Daher hat man insbesondere bei Windows 10 häufiger den Effekt, das irgendeine uralt Software nach nem Update nicht mehr funktioniert.

Zudem hat man bei den Mitigations (die also im Fall des Falles das Ausnutzen eines Bugs erschweren wie z.B. durch Adressverwürfelungen und ähnlichem) aufgerüstet.

Insofern ist ein reiner Lesezugriff auf den Quelltext jetzt sicherheitstechnisch tatsächlich kein SuperGAU. Trotz alledem muss man damit rechnen das dennoch dadurch potentiell sicherheitsrelevante Bugs gefunden werden. Also völlig von der Hand zu weisen ist dieses Szenario nicht.

 

[Chris007]

Mich wundert es immerwieder, was wären wir ihnen die bösen Russen oder Chinesen, müssen ja für alles herhalten. Wie gut, dass solche Behauptungen immer von den guten, der USA kommen.

Das Russlands seine politischen Feinde vergiftet ist ja auch nur ein Hirngespenst. Und sowas wie Software Spionage wäre Russland natürlich überhaupt nicht zuzutrauen lol

 

[Endless Storm]

Hoffentlich nutzen die Hacker das gewonnene Wissen, um eine paar Bugfixes zu programmieren und zu veröffentlichen^^ Das würde MS ebenfalls Schaden

 

[Monstranz]

Das Russlands seine politischen Feinde vergiftet ist ja auch nur ein Hirngespenst. Und sowas wie Software Spionage wäre Russland natürlich überhaupt nicht zuzutrauen lol

Bei Spionage geben sich alle seit mindestens zu Zeiten des Kalten Krieges nichts. China ist da neu in die Breche geschlagen und wurde viel zu wenig beachtet in der Vergangenheit.
Das hier das Russen Bashing der USA uebernommen wird, find ich arm. Wir hatten eigentlich, gerade Deutschland ein vergleichweises gutes Verhaeltniss zu Russland, alles kaputt gemacht um als 51gen Bundesstaat zu fungieren.
Ich bin mit amerikanischen Kindern aufgewachsen, arbeite aber lieber mit einem Russen zusammen.

 

[Pelto]

Da MS ja ein Musterknabe in sauberer und sicherer Programmierung ist, müssen wir uns ja keine Gedanken machen, siehe MS Teams.
Hätten sie einen ernsthaften Konkurrenten, müssten sie jetzt ein Sicherheitsaudit nach dem anderen zulassen, oder direkt OpenSource gehen.
Anderseits kann man sich auch einfach Verwaltung/Banken zum Vorbild nehmen und WindowsXP nutzen.

Wie sagt Fefe immer so schön:"Kann man nix machen, ist halt Software"

 

[darulaster]

... und macht doch Sinn das Land zu Verdächtigen was in den letzten Jahren immer aktiver gegen den Westen und der Demokratie vorgeht...

verstehe ich das richtig?
du meinst also die trump-regierung steckt dahinter?

😜

 

[n8mahr]

Ihr verkennt, das diese Attacke auch politische Brisanz ohne Ende besitzt.
Solarwinds wird bzw wurde auch u.a. von Dominion Systems verwendet. Die Firma, die den Großteil der Wahlcomputer bei der Präsidentenwahl gestellt hat und denen vorgeworfen wird, manipulierbar zu sein - anders als den anderen Herstellern, die ebenfalls Wahlcomputer in einigen Staaten der USA gestellt haben.
Bevor hier Beißreflexe einsetzen: ich sage nicht, das etwas bewiesen ist oder etwas manipuliert wurde. Es ist auch vollkommen unklar, wer von so einer Aktion profitiert. Aber wer internationale Nachrichten liest, stößt eben auf diesen pikanten Zusammenhang.

 

[Dr.Pawel]

Was da wirklich dahinter steckt und wer es wirklich war werden wir so oder so nie erfahren, zu glauben die werden die volle Wahrheit erzählen ist mMn schlicht naiv. Genauso wenig werden wir glaube ich zu unseren Lebzeiten erleben das MS den Quellcode sichtbar macht.

Das Russlands seine politischen Feinde vergiftet ist ja auch nur ein Hirngespenst. Und sowas wie Software Spionage wäre Russland natürlich überhaupt nicht zuzutrauen lol

Und das die USA eine öffentlich einsehbare Liste mit ihren Feinden haben die überall auf der Welt ohne Anklage oder Prozess abgeknallt werden dürfen natürlich auch..... Sry aber die Russen immer als die Bösen hinzustellen ist einfach allbern, der Westen darf halt mit seiner Doppel oder Dreifachmoral, aber wehe einer der anderen....

 

[Monstranz]

Vollzitat entfernt

Spionage hat immer politische oder wirtschafliche Interessen. Nur um ein schnelleres Ergebniss zu haben brauch ich keine Wahl-Computer und befuerworte auch keine. Andere Staaten ist damit die Spionage und Manipulation Tuer und Tor geoeffnet. Mehr macht mir Sorgen, das die hiesigen Regierenden oder Zukuenftige die Ergebnisse per Mausklick manipulieren koennen. Das normale alte Wahlsystem ist sicherer. In Wahlzentren sind soviel Leute beschaeftigt, das da nicht aller gleicher Meinung sind und eine Kontrolle gegeben ist.

Ergänzung (2. Januar 2021)

Vollzitat entfernt

Assange..... mehr braucht man fast nicht zu wissen wie die "Guten" agieren.

 

[ss5]

Sch. egal ob Alexander Bell oder Philipp Reis der Erfinder war. Beide haben der Menschheit mit ihre Kreativität geholfen. Auf der andere Seite werden nur Kriegsmittel erfunden.

 

[Monstranz]

Sch. egal ob Alexander Bell oder Philipp Reis der Erfinder war. Beide haben der Menschheit mit ihre Kreativität geholfen. Auf der andere Seite werden nur Kriegsmittel erfunden.

Ein Land was 1/3 seiner wirtschaflichen Leistung in die Toetungs-Maschenerie steckt. Die haben einen an der Waffel.
Den Patentwahn gibts echt schon lange. China ist sehr erfolgreich mit dem ignorieren dessen. Patente sind nur gueltig so lange sich alle daran halten, denke aber das wir Menschen schon individueller sind als die die fuer Ewigkeiten damit Kohle machen wollen. Wenn ich an abgerundete Ecken denke, da bekomme ich Kraetze.

 

[Foxley]

Dann werden wir wohl bald eine Welle an Schadcode erfahren.Und sollte es sich um win10 handeln und es puplic geht, bin ich mir sicher das win10 schnell beerdigt oder das Betriebssystem das Sicherste seiner Art wird.Ich frage mich aber auch wie kann man so fahrlässig sein und den Quellcode ins Netz so zugänglich stellen ?! Firmeninterner und Geheimnisse sollte man von außen nie ansteuern können.Das weiß jede IT Laie.Und falls man darauf zugreifen muss dann nur Zeitlich begrenzt.

 

[Enurian]

Aus der Quelle:

We detected unusual activity with a small number of internal accounts and upon review, we discovered one account had been used to view source code in a number of source code repositories.

MS verrät also erstmal nicht, welche repositories betroffen sind. Kann "Windows" sein, muss aber nicht. Die bauen schließlich tausende Programme (die aber teilweise natürlich direkt in Windows enthalten/ausgeliefert sind).
Ein GAU ist das aber selbstverständlich nicht, security through obscurity wird schon lang nicht mehr gelebt. Dennoch ist es einfacher, mit dem Code Lücken zu finden. Wenn das ein staatlicher Angreifer war, wird er die aber schön für sich behalten und mit Bedacht einsetzen. Für billige Ransomware wirft man die zero day exploits nicht weg.