News Chip-Spionage: Tim Cook fordert Widerruf des Bloomberg-Berichts

Sephiroth51 schrieb:
der Aktienkurs eines Lieferanten oder Konkurrenten ist doch für die uninteressant in der freien Marktwirtschaft.
Und der Weihnachtsmann kommt zu allen Kindern auf einem Rentierschlitten..

Bei so viel Naivität in der Welt ist es kein Wunder das Meinungspopulation auch so lange nach der Aufklärung immer noch erfolgreich ist.
 
fuyuhasugu schrieb:
Nicht könnten sondern sind als kompromittiert zu betrachten. Das sollten wir spätestens seit Snowden und allem, was danach noch kam, wissen.

Bloomberg hätte übrigens am wenigsten zu verlieren. Die berufen sich einerseits nur auf externe Quellen und sind andererseits auch gar nicht vom Fach. Da war Kujaus Coup schon ein größeres Problem für den Verlag.

Jain, kommt drauf an wieviel Zugriff NSA, GCHQ, etc haben. Wobei, ja, die haben auch schon Hardwarezugriff, gab's in Belgien einen netten Fall.

Metalfreaky schrieb:
Sehe ich anders. Gerade weil es eben keine typische Pressemitteilung ist. Keine Pressestelle (in Zusammenarbeit mit der Geschäftsführung) würde eine derartige Pressemitteilung herausgeben, wenn sie sich nicht absolut sicher sind (oder es ihnen verboten wurde darüber zu reden).


Wie wäre es mit einfach schweigen?
https://www.cnbc.com/2018/10/10/fbi...r-micro-servers-be-careful-what-you-read.html
https://www.engadget.com/2018/10/19...-director-national-intelligence/?guccounter=1
https://9to5mac.com/2018/10/07/department-of-homeland-security-apple-spy-chip/
https://www.zdnet.com/article/dhs-a...d-apple-in-denying-bloomberg-chip-hack-story/

Einfach schweigen ist so das duemmste was man machen kann. Eine Firma hat ihren Wert zu schuetzen gegenueber Investoren. Und genau das machen sie gerade. Und wie du sagst, ausser es ist ihnen verboten darueber zu reden, was, im Fall, dass es wahr ist, natuerlich der Fall waere.
Wenn du dir die direkten Zitate aus den Artikeln anschaust bestaetigt keiner, dass es den Vorfall nicht gab. Sie glauben nicht, dass es das gab. Und das, egal ob es wahr ist oder nicht, muessen sie sagen. Hier geht es darum Menschen zu beruhigen. Aber ich denke das ist klar.

Metalfreaky schrieb:
Da ist doch der Punkt. Es gibt von allen Seiten erhebliche Zweifel und Ungereimtheiten an der Story. Was willst du auch sonst hören? Ohne die Quellen zu kennen, wird eine dritte Partei auch nichts anderes machen können als Zweifel zu sähen. Der einzige, der die Story zu 100% enkräften kann, ist Bloomberg selbst, aber die sind längst über den Point-of-No-Return hinaus.

Der einzige der wirklich Aussagekraft hat derzeit ist der Forscher. Beide, Unternehmen und Geheimdienste, muessen diese Aussage machen. Und beide sind natuerlich parteiisch und verfolgen nur ihre eigenen Interessen. Von dem her hoffe ich, dass von dem Forscher noch etwas mehr kommt.

Metalfreaky schrieb:
Hier geht es nicht um FBI Ermittlungen. Laut Bloomberg hat Apple bereits im Mai 2015 von den fremden Chips gewusst. Warum sollte man nach diesem kritischen Befund noch weitere 8 Monate mit Supermicro weiterarbeiten?

Btw, was zum Teufel ist bitteschön ein "senior insider"?

Moeglicherweise weil man es klaeren wollte bevor man handelt? 8 Monate sind keine so lange Zeit. Spontane Aktionen sind auch nicht so wirklich gut fuers Geschaeft.

Metalfreaky schrieb:
Na und? Wenn Bloomberg von annähernd 30 betroffenen Unternehmen weiß, wie sie behaupten, wo ist der Vorteil sie explizit zu verschweigen? Entweder ich weiß es und kann sie benennen oder ich schreibe direkt nur Apple und AWS hin.

Du hast noch nie Artikel gelesen wo es hiess "A und B und X weitere"? Das ist recht normal und hilft dem Lesefluss. Und natuerlich nennt man dann die bekannten zuerst. Komplett davon abgesehen ob Bloomberg irgendwelche Absichten hat oder nicht.

Metalfreaky schrieb:
Warum wäre Apple angreifbar, wenn sie eine typische Pressemittielung veröffentlichen, die die Sache durch geschickte Formulierungen nur halb oder gar nicht dementiert. Wissentliche Falschaussagen in einer Pressemitteilung und vor dem Kongress ist ja wohl aus legaler Sicht die wesentlich riskantere Strategie.

Sie waeren von ihren Investoren angreifbar, weil sie eben nicht alles tun um die Firma zu schuetzen. Gleichzeitig waere es wohl legal es abszustreiten selbst wenn es passierte, wenn sie eben die Anweisung bekommen haben und die ganze Aktion als die nationale Sicherheit gefaehrdend eingestuft wuerde. Was, wenn es wahr ist, mit ziemlicher Sicherheit ist.


Metalfreaky schrieb:
Ich sehe nicht, wo ich unsachlich war. Niemand bestreitet, dass so eine Aktion theoretisch möglich ist. Es gibt nur (in der Öffentlichkeit) außer dem Artikel von Bloomberg keinerlei Indizien dafür. Gleizeitig gibt es aber (zumindest meiner Meinung) genug Indizien, die derzeit dafür sprechen, dass der Artikel so einfach nicht stimmt.
Bloomberg hat nach meinen Kentnissen bisher nichts nachgelegt. Weder die anderen Unternehmen in einem Folgeartikel benannt, noch sind sie, Abseits der üblichen Floskeln, ausf Kritik eingegangen und haben versucht ihren Standpunkt weiter zu untermauern.

Das mit der Sachlichkeit war nicht direkt an dich sondern allgemein. Es gibt hier genug, die bestreiten, dass es moeglich ist. Das ist gefaehrlich und naiv. Aber gut, die gleichen dachten wohl auch, dass die NSA das was sie macht nie machen koennte. Klar kann es sein, dass Bloomberg eine Menge geistigen Duennschiss rausgelassen hat und vollkommen falsch lag, allerdings sollte das Thema im Bewusstsein bleiben, da es eben real ist und gefaehrlich.

Metalfreaky schrieb:
Das im Tech Bereich nahezu die gesamte Lieferkette auf China ausgelagert wurde und dies erhebliche Risiken mit sich bringt, steht auf einem anderen Blatt.

Das ist ein riesen Problem, dass uns noch schoen auf die Fuesse fallen wird. Allerdings haben wir auch keine Chance die Produktion wieder zurueck zu holen. Die Fachkenntnisse, die Manpower, die Schnelligkeit und Flexibilitaet sind hier einfach nicht vorhanden.

iSight2TheBlind schrieb:
Das hat nicht nur "etwas Gehalt", das sieht richtig schlimm aus. Ich habe Fitzpatrick - ohne den Namen zu nennen - schon vorher im Thread erwähnt und das was er über seine Aussage gegenüber Bloomberg berichtet ist das ein klassischer Fall eines in völlig falschem Kontext zitiertem Zeugen.
Bildblog ist voll mit solchen Fällen in denen Zeitungen/Magazine Personen zitiereren, meistens mit irgendeiner sensationellen Behauptung - und diese stellen anschließend ihre Aussagen gegenüber der Zeitung ganz anders dar, sagen beispielsweise dass sie nur gebeten wurden zu spekulieren und über keine echten Ereignisse berichtet haben.

Wenn die iirc einzige benannte Quelle Bloomberg später so kritisiert und ihre Aussage als völlig aus dem Zusammenhang gerissen erklärt, dann wirft das kein gutes Licht auf den gesamten Artikel.

"Das ist richtig schlimm, andere machen das" ist ein Beispiel, aber kein Argument. Mal abgesehen davon, dass wahrscheinlich so gut wie kein Zitat wirklich im Kontext zitiert wird, kann es gut sein, dass Bloomberg hier weit uebertrieben hat. Alleine deswegen aber den Artikel als komplett falsch ab zu tun ist schwach, da fehlen Argumente.

blackiwid schrieb:
Genau daran kann man erkennen das du parteiisch bist und dich von jemandem einlullen lassen hast, das sag ich gar nicht von oben herab vom hohen Ross oder mach dir daraus einen großen Vorwurf.

Mir ist das so auch schon passiert, ich habe bei der Ukraine-Berichterstattung auch lange 1:1 den öffentlich rechtlichen geglaubt.

Nun sage ich nicht das alles super sauber von Russlands Seite abgelaufen ist, aber man muss auch die andere Seite betrachten und das ins Verhältnis setzen. Mann muss beachten das der einzige 100% des Jahres Eisfreie Hafen der Russen dort liegt etc.
Es ist zu viel da jetzt zu sehr ins Detail zu gehen, aber der Punkt ist, mir war am Ende auch egal wer Recht hat, es geht nur darum das man von Kriegspropaganda die wir damals im TV sehen mussten, irgendwann ein einfaches einseitiges Weltbild bekommt, und schon wütend wird wenn man z.B. Putin nur sieht.

Die vielen schwierigen Seiten mit den Nazis in der Ukraine im Parlament / Regierung, der illegale Putsch, das die USA sich da eingemischt hatte etc, das wurde entweder gar nicht oder deutlich weniger berichtet.

Nun hinkt der Vergleich da wir in Ukraine ja wissen das auch etwas reales vorgefallen ist, nur was genau (z.B. Annexation oder Sezession) und wer die Scharfschützen die dort mal geschossen hatten (auch auf Polizisten) geschickt hatte ist alles unklar.

Der Punkt ist ich kann nachfühlen das irgendwann Fakten Nebensächlich werden wenn die Presse einem ein Feindbild immer wieder präsentiert.

Die Berichterstattung läuft ja seit den US Wahlen so ähnlich ab, alle 2 Wochen hast ne News "nun der absolute Beweis das Putin Trump steuern, Aussage XY", da wird immer irgend ein Gerücht oder eine tatsächliche Gegebenheit die viel viel harmloser ist zum absoluten Beweis einer riesen Weltverschwörung aufgespielt.

Es wurden schon Leute gefeuert teils die es zu weit getrieben haben, dann wird aber genau so weiter gemacht. Das verkauft sich einfach, der US Presse ist Wahrheit völlig egal, solange sie auf irgend eine Geheime Quelle oder irgend ne Halbwahrheit stützen können berichten sie drüber. Wenn dann die Leute kommen und sagen, hei das stimmt aber gar nicht, dann kann man sagen aber eine Quelle hat uns davon doch berichtet, damit sind die Fein raus, denn sie dürfen natürlich berichten wenn jemand ihnen eine Lüge erzählt. Im zweifel wäre dann die Quelle schuld, die man aber geheim halten darf.

Und die Quellen sind dann entweder wie schon beschrieben Leute die irgendwas spekuliert haben und das dann als Tatsachen zitiert wird, oder Leute aus den Luegengeheimdiensten die alle schon 100% ihre Glaubwürdigkeit verloren haben mit den Brutkastenluegen und den Lügen zu den Fake Bildern zu Massenvernichtungswaffen im Irak.

Es gibt noch ein Feld wo das so ab läuft #metoo, dort sagen dann auch die Protagonisten es ist egal wenn es falsche trifft:

https://www.westernjournal.com/femi...accusations-get-men-fired-tucker-big-problem/

Nein wir sollten nicht so weit sinken und aus reiner ideologischer Verblendetheit Lügen als etwas gutes hin zu stellen.

Man warnt einfach immer wieder vor dem nicht existierenden Wolf, wenn man das zu oft macht, glaubt einem niemand mehr wenn tatsächlich was passiert, den Punkt haben wir allerdings längst erreicht. Und dann jammern alle rum wegen Fakenews, wenn man selbst der Hauptproduzent von ist.

Nur ist der Presse völlig egal ob man ihr glaubt oder nicht und ob sie die Wahrheit sagen oder nicht (mal die große Mainstreampresse) sie wollen halt Clicks und Views und dafür opfern sie offenbar alles.

Das ist die eine Gefahr die andere ist das manche Menschen oder wahrscheinlich sogar die meisten eine Lüge irgendwann glauben wenn sie nur oft genug wiederholt. Daher wenn man 1000 Stories bringt über russische Einmischung und sich fast keine einzige davon belegen lässt oder direkt bewiesen wird das es nicht stimmt, erstens folgen dann meist keine klaren Richtigstellungen die genauso lange im TV berichtet werden, zum anderen kommt beim zuschauer an ok 1000 Berichte in ne Richtung die meisten ließen sich nicht erhärten oder gab keine beweise aber ein bisschen was wird ja an jeder dran sein, und wenn 1000 Stories hast in eine Richtung und an jeder ein bisschen was dran sein wird, dann stimmt wohl das Narrativ doch, so kommt das bei vielen an.

Gekoppelt wird das dann noch mit Techniken wie Vereinfachungen da wird dann nicht von russischen Bürgern oder der Russischen Regierung sondern "dem Russen" geredet. Auch wenn es riesen unterschied macht, ob jemand in ner Trollfabrik um Werbung zu verkaufen Clickbait lügen nachrichten verbreitet oder ob Putin persönlich jemand an heuert der amerikanische Wahlen sabotiert. (Davon abgesehen das das das Tagesgeschäft der USA ist und das offenbar niemand stört)

Mal abgesehen davon, dass dein Ukraine-Ausflug ziemlich OT war ist es mir eigentlich recht egal ob das wahr ist oder nicht. Was viel wichtiger ist, ist die Tatsache, dass solche Moeglichkeiten mal in der Oeffentlichkeit ankommen. Aber ich kann durchaus verstehen, dass viele das sofort ablehnen, da die Auswirkungen einfach so enorm waeren, dass bei vielen der Ablock-Reflex sofort zuschlaegt. Das ist nicht negativ, das ist ziemlich normal und natuerlich. Das Problem ist halt, dass man es super ausnutzen kann und wird oder schon tut.

Atkatla schrieb:
Damit er Code in anderen Systemkomponenten einschleusen kann, muss er eine Verbindung zu den Komponenten haben. Und dass geht nur über feststellbare elektrische Leiterbahnen im Plantinenlayout. Diesen wesentlichen Kritikpunkt an der Bloomberg Argumentation wischst du einfach beiseite. Zudem reicht nicht eine Leitung zu den jeweiligen Komponenten. Überlegmal, an wievielen Kontakten du bei CPU, RAM oder Netzwerkcontroller du ankommen musst, um überhaupt mit den Komponenten kommunizieren zu können. Zudem nutzt eine Kompromittierung des Netzwerkcontrollers nicht viel. Denn wichtige Sachen hängen in internen Netzen und wer wichtiges betreibt, beobachtet die Netzwerkdaten im Netzwerk über Netflow u.ä. in den eigenen Switchen und Routern. Deine Argumentation, in Deutschland sei die Entwicklung ja stehen geblieben und deswegen könne es keiner nachvollziehen ist unsinnig und ohnehin falsch.

Ja, die Komponente muss Zugriff haben, die Leiterbahn kann aber zum einen unter anderen angeordnet sein, was natuerlich enormer Aufwand ist, oder, sie kann theoretisch existierende Leiterbahnen nutzen. Gleichzeitig muss die Komponente nicht mit allem was du aufzaehlst verbunden sein, dann koennten sie sie ja direkt in die Komponenten einbauen, waere wahrscheinlich einfacher. Es reicht wenn das Teil Zugriff auf das Mainboard alleine hat. Was glaubst du was du mit modifiziertem BIOS anstellen kannst? Klar wird das geupdated, aber auch das kann man umgehen.
Netzwerk Traffic beobachten tut fast jeder, wirklich alles finden keiner. Es gibt genug Moeglichkeiten den Traffic so zu manipulieren, dass es nicht auffaellt, vor allem wenn der Traffic minimal ist.

Atkatla schrieb:
Im Übrigen "es muss nicht viel können um Code einzuscheusen" ist unsinnig anhand der Tatsache, dass die Firmware und deren genutzten Zugangsschlupflöcher in den Controllern sich durch Updates ändern, worauf der ominöse Spionagechip nicht reagieren könnte, wenn er nicht viel kann, selbst wenn er Verbindungswege hätte. Wer noch nie mit Platinenlayout auch nur ansatzweise zu tun gehabt, dem reicht es zu suggerieren, die Existenz eines so winzigen Chips reiche aus, um alles mögliche zu tun. Ein bisschen "Stille Post" über mehrere anonyme Quellen bis hin zu Bloomberg reicht aus, um das Szenario deutlich zu verändern.

So wie es beschrieben ist bekommt der Chip alles von aussen. Damit kannst du sehr wohl auf Updates reagieren. Das ganze wird ausserhalb engineered und dann Stueck fuer Stueck gesendet. Sehr wahrscheinlich sind das nur ein paar Instruktionen wie die neue Firmware manipuliert werden muss.
Genauso wie Leute die noch nie was mit Security zu tun hatten meinen das ist alles unmoeglich. Da braucht es nicht mal stille Post dafuer.

Atkatla schrieb:
Die Wahrheit liegt sicher irgendwo in der Mitte. Sicher versuchen die Dienste, den Fuß in die Technik zu bekommen, aber die Darstellung von Bloomberg ergibt kein funktionierendes Bild. Die Firmware oder die normalen Chips selbst zu kompromittieren wäre um ein vielfaches einfacher und effizienter (Stichwort Cisco), und es fällt nicht auf, wenn einer mal das Board auseinander nimmt. Viele Controller kommen eh von da unten. Einen MiniChip und dessen Leiterbahnen als feststellbare Spur zu hinterlassen, passt nicht wirklich zu einem Geheimdienst und SuperMicro wäre weg vom Fenster in den westlichen Märkten, sobald auch nur ein so ein Board in die Öffentlichkeit gelangt. Man könnte fast meinen, das jemand Informationen platziert hat, um SuperMicro zu schaden.

Dass die Wahrheit irgendwo in der Mitte liegt scheint wahrscheinlich. Wir wissen, dass Geheimdienste alles tun um Informationen zu bekommen. Wir sollten auch wissen, dass wir ja die guten sind und die Russe, Chinesen, etc ja die boesen, oder sowas in der Art. NSA tut es, GCHQ tut es, andere tun es. NSA hat es auf dem Transportweg gemacht weil sie keine andere Moeglichkeit haben. China kann es in der Produktion, weil alles bei ihnen ist. Da ist es nicht mal so abwegig das in Hardware zu machen. Wenn die es wirklich schaffen so etwas mehrschichtig zu platzieren, dann gute Nacht. Eine Hardwarekomponente hat halt den immensen Vorteil, dass sie nicht einfach so entfernbar ist, wenn man sie nicht entdeckt. NSA und co. waere da wohl ziemlich angepisst und machen es wahrscheinlich schon selbst.

psYcho-edgE schrieb:
Es gibt Grenzen der Machbarkeit und Durchführbarkeit. Egal wie viel bzw. wie wenig dieser ominöse Chip kommuniziert bzw. installiert: Eine popelige Leiterbahn reicht da einfach nicht (bzw. drei, wenn das Bild aus Bloombergs Artikel das "Original" zeigt)

Klar gibt es Grenzen der Machbarkeit, aber der Chip hat Zeit. Der muss das nicht in Minuten machen, der kann Tage dafuer nutzen. Das ist ja der riesen Vorteil wenn du direkt an der Hardware bist. Von dem her waere ich da vorsichtig.

psYcho-edgE schrieb:
Genau das haben wir gemacht. Und zwar weit abseits jedweder Spekulation, sondern nur mit dem einen Mittel das wir zur Verfügung haben: ob und wie wahrscheinlich die Existenz des Chips ist, um den es eigentlich geht.

Ich weiss nicht wie es bei dir mit dem Hintergrundwissen aussieht, @Atkatla deutet an dass er/sie Ahnung von Platinen hat, aber ich denke die meisten hier haben wenig Hintergrundwissen auch von aktueller Forschung. Ich denke bei den meisten ist es ein "es darf nicht sein, was ich mir nicht vorstellen kann". Es gibt viel zu viele Angriffe die moeglich sind mit genug Backing und China hat es.

psYcho-edgE schrieb:
Niemand hier bestreitet, dass es unmöglich ist. Aber nicht so, wie es hier durch Bloomberg dargestellt wurde und sicher nicht ohne dass es Supermicro mitbekommen hätte.

Hier bestreiten genug, was das eigentliche Problem ist. Auch die Aussage, das haette ja wer mitbekommen, ist nicht wirklich zutreffend. Das geht viel leichter als man denkt, leider.

psYcho-edgE schrieb:
Merkste selbst, oder? :rolleyes:

Lernen ist falsch? Gut, bei manchen habe ich das Gefuehl, dass diese Haltung durchaus vorhanden ist. Und manche muessen halt durch Schmerz lernen.
 
JDBryne schrieb:
Wer denkt News seien dazu da Wahrheiten zu verbreiten versteht nicht wie unsere Welt momentan Funktioniert.

Wissen ist nicht Macht, sondern wer die Wahrheit kontrolliert!

Cool Master schrieb:
Ich unterstelle Bloomberg nicht mal böse Absichten, aber ein Wirtschaftsblatt welches IT-News bringt ist halt etwas außerhalb seiner Komfortzone.
Bloomberg wird sicherlich Experten* dazu haben oder welche befragt haben ;)

*) so wie sich die "Experten" mittlerweile in den Medien präsentieren, sind das in meinen Augen nur irgendwelche Leute, die möglichst geschwollen und wichtigtuerisch das zu Ausdruck was man hören möchte und zu dessen Meinung passt.
 
Kacha schrieb:
Lernen ist falsch?
Natürlich nicht. Meine Anmerkung bezog sich darauf, was deine Aussage im Unterton mit sich bringt. So wie du anderen, die die Vorwürfe von Bloomberg ablehnen den Abblock-Reflex unterstellst:
Kacha schrieb:
Aber ich kann durchaus verstehen, dass viele das sofort ablehnen, da die Auswirkungen einfach so enorm waeren, dass bei vielen der Ablock-Reflex sofort zuschlaegt.
scheint es gleichermaßen der Fall zu sein, dass du WILLST, dass es passiert ist. Vllt. damit endlich alle mal darauf achten was die Weltuntergangsfraktion so täglich von sich gibt.

Das einzige was ich aktuell sehe, ist
a) Bloomberg wirft anderen Firmen etwas vor ohne explizit belastbare Quellen, die andere nachprüfen könnten
b) die Existenz und beschriebene Verwendung der beschriebene Technologie ist grundsätzlich möglich, aber krankt an einigen ungeklärten Fragen, die von der Größe und Leistungsfähigkeit/Speicher des Chips und der Anbindung abhängen und es somit höchst unwahrscheinlich machen, dass das bei Supermicro niemandem aufgefallen ist
c) die Firmen dementieren deutlich, haben (bis auf Supermicro) aber keinen Grund das nicht zuzugeben oder einfach schön zu reden, da sie sofort jedwede Schuld auf Supermicro abwälzen könnten und mit der Aussage "die betroffene Hardware wurde nicht mit Produktivdaten verwendet und beim Erkennen der Schwachstelle umgehend entfernt" aus dem Schneider wären
d) dass kein weiteres Medium etwas haltbares bezüglich der Geschichte findet

Aktuell steht m.E. Bloomberg in der Bringschuld deutlicher auf die technische Funktion und die Anbringung im bestehenden System bzw. während der Zusammensetzung des Systems einzugehen und belastbare Quellen zu nennen. Solange glaube ich Bloomberg kein Wort, auch wenn ich weiß, dass es technisch möglich wäre (aber wie gesagt extrem unwahrscheinlich ohne bereits in der Produktion aufzufallen).


Vor allem ist es nicht lange her, dass Fake News über Schwachstellen in AMDs Chipsätzen durch die Medien gingen und das zur Börsenspekulation genutzt wurde. Da ich Bloomberg aber an sich keine Börsenmanipulation unterstellen will (maximal dem Autor), warte ich ab und bleibe sehr skeptisch.

Das hier ist ein typischer Fall für Ockhams Rasiermesser:
Was ist wahrscheinlicher?
Vollständige und lange Zeit unbemerkte Kompromittierung der kompletten Supply Chain des größten Servermainboard-Herstellers der Welt oder eine Zeitungsente?
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: iSight2TheBlind
Kacha schrieb:
Ja, die Komponente muss Zugriff haben, die Leiterbahn kann aber zum einen unter anderen angeordnet sein, was natuerlich enormer Aufwand ist, oder, sie kann theoretisch existierende Leiterbahnen nutzen.
Damit störst du zum einen die regulären Signale -> Servercrash, zudem müssten die genutzten Bahnen alle zufällig an dem Bleistiftspitzen großen Chip vorbei gehen. Das würde sogar ein Blinder im Layout sehen.
Es reicht wenn das Teil Zugriff auf das Mainboard alleine hat. Was glaubst du was du mit modifiziertem BIOS anstellen kannst? Klar wird das geupdated, aber auch das kann man umgehen.
Wenn du das Bloombergszenario dahingehend reduziert, dass es "nur" ein Einbrechen in das BIOS ist, dann muss dafür ebenfalls eine Möglichkeit vorhanden sein. Wenn die geschlossen wurde, wie willst du dass dann umgehen? Eine elektrische Verbindung zum BIOS allein reicht nicht, es muss auch eine entsprechende Kommunikation stattfinden können, d.h. beide Seiten (BIOS und Chip) müssen wissen, wie sie miteinander kommunizieren. Wenn wir davon ausgehen, dass es hierbei lediglich darum geht, das BIOS zu kompromittieren (was zumindest denkbar wäre), dann geht immer noch nicht all das, was laut Bloomberg gehen sollte. Die notwendige Kommunikation nach außen wirft nämlich weitere Probleme auf:
Netzwerk Traffic beobachten tut fast jeder, wirklich alles finden keiner. Es gibt genug Moeglichkeiten den Traffic so zu manipulieren, dass es nicht auffaellt, vor allem wenn der Traffic minimal ist.
Du musst eben nicht alles finden. Wenn du Datacenter betreibst und sichere Strukturen baust (z.B: zwischen deinen Datenbank- und Anwendungsservern) dann bestimmst du, welcher Server mit welchem Protokoll mit wem redet. Diese Verbindungen gibst du in den Hardwarefirewalls deines Netzwerks frei und JEDEN Verbindungsversuch woandershin oder mit dem falschen Protokoll kannst du dir von deinem Netzwerk oder Firewallsystem denien und reporten lassen. Server, die intern arbeiten oder die internen Interfaces der Webserver würden sich auf diese Weise sehr schnell verraten, sofern man ein vernünftiges Sicherheitskonzept und ein paar Leute hat, die die Reports auch auswerten. Kleine und mittlere Firmen vernachlässigen das gerne und haben nicht die Mittel dazu, aber bei Großen sieht das anders aus. Zudem wird in solchen eigenen Umgebungen auch gern DeepPacket-Inspection eingesetzt, sofern die Kohle dafür vorhanden ist. Es gibt aber noch ein weiteres Problem:
So wie es beschrieben ist bekommt der Chip alles von aussen. Damit kannst du sehr wohl auf Updates reagieren. Das ganze wird ausserhalb engineered und dann Stueck fuer Stueck gesendet.
Und wie soll das funktionieren, wenn das VLAN der Serverports gar nicht von außerhalb erreichbar ist? Welche IP-Adresse soll der ominöse Chip benutzen? Eine vom Betriebssystem, die aber meist intern ist? Eine eigene, die sofort in den Tabellen der Router und Switche auftauchen würde und sofort Alarm auslösen würde und mangels Regeln in den Firewalls davor ohnehin nicht erreichbar wäre? Und wenn der Chip von sich aus versucht nach Hause zu telefonieren, landen wir wieder bei der eben beschriebenen Problematik, dass z.B. bei unseren Firewalls im Reporting sichtbar wäre, dass ein Server immer wieder versucht, eine bestimmte externe Adresse anzusprechen obwohl er in einer Zone ist, wo das nicht erlaubt ist und wir die Routen im Server-OS so konfiguriert haben, dass das Betriebssysstem es gar nicht könnte, selbst wenn eine Applikation es wollte? Und da wir hier nicht von ConsumerSystemen reden, die ständig in alle Welt telefonieren, wäre das Misstrauen geweckt und Techies sind eben genau die neugierige Spezies, die dann einen Tap dazwischen hängen um genau zu schauen, was da für Pakete laufen. Daher wäre diese Vorgehensweise feststellbar und durch den Chip und das Layout im nachhinein nachweisbar. Geheimdienste legen normalerweise Wert darauf, keine physischen Spuren zu hinterlassen.

Dementsprechend ergeben viele der angeblichen Möglichkeiten des Chips keinen Sinn. Bloomberg weiß angeblich wo der Chip ist, konnte aber bisher physisch keines aufzeigen (obwohl sehr viele SuperMicro-Boards weltweit im Umlauf sind und die beschrieben Manipulation bereits während der Produktion implementiert werden musste, bevor klar ist, wer welches Board bekommt, die Cisco-Vorgehensweise der NSA funktioniert also nicht). Als "Argument" wurde angegeben, dass nach Auftauchen der Chips Server ausgetauscht worden seien, was ein Null-Indiz ist, da in jedem Rechenzentrum immer irgendwo Server getauscht/modernisiert werden. Und selbst wenn es mit dem Chip nur um eine BIOS-Kompromittierung ginge, ist es eine furchtbar ineffiziente Vorgehensweise, da du mit jeder Boardrevision neu anfangen musst.
 
  • Gefällt mir
Reaktionen: iSight2TheBlind und psYcho-edgE
Kacha schrieb:
Einfach schweigen ist so das duemmste was man machen kann. Eine Firma hat ihren Wert zu schuetzen gegenueber Investoren. Und genau das machen sie gerade. Und wie du sagst, ausser es ist ihnen verboten darueber zu reden, was, im Fall, dass es wahr ist, natuerlich der Fall waere.
Das Schweigen bezog sich auf die diversen Behörden.
Apple hat klipp und klar bestätigt, dass sie keinerlei Verschwiegenheitspflicht unterliegen. Sollte dies doch der Fall sein, hätten sie diesen Satz aus ihrer Pressemitteilung einfach weggelassen.


Kacha schrieb:
Der einzige der wirklich Aussagekraft hat derzeit ist der Forscher. Beide, Unternehmen und Geheimdienste, muessen diese Aussage machen. Und beide sind natuerlich parteiisch und verfolgen nur ihre eigenen Interessen. Von dem her hoffe ich, dass von dem Forscher noch etwas mehr kommt.
Der Forscher hat ein Interview mit Bloomberg geführt, in dem er einen theoretischen Angriff via Hardware skizziert. Mehr nicht. Er kann wohl kaum die "Insider Quellen" von Bloomberg widerlegen.
Ehrlich gesagt muss gar keiner diese Story widerlegen. Erstmal muss Bloomberg sie beweisen. Die komplette Story basiert volkommen auf diesen "Insider Quellen". Es wurden keine Dokumente, E-Mail Nachrichten oder ähnliches gezeigt. Kein einziger Beweis!

Kacha schrieb:
Moeglicherweise weil man es klaeren wollte bevor man handelt? 8 Monate sind keine so lange Zeit. Spontane Aktionen sind auch nicht so wirklich gut fuers Geschaeft.
8 Monate in denen Apple angeblich bereits weiß(!), dass diese Chips existieren und was sie bezwecken. Wenn du weißt, dass dein Telefon von einer Partei abgehört wird, benutzt du es dann 8 Monate weiter?

Kacha schrieb:
Du hast noch nie Artikel gelesen wo es hiess "A und B und X weitere"? Das ist recht normal und hilft dem Lesefluss. Und natuerlich nennt man dann die bekannten zuerst. Komplett davon abgesehen ob Bloomberg irgendwelche Absichten hat oder nicht.
Nein habe ich nicht, zumindest keine seriösen. Ich rede ja nicht davon, dass in dem einen Satz nicht alle Firmen aufgezähl werden. Das im Aufmacher Apple und AWS erwähnt werden ist okay. Das aber in keinem weiteren Abschnitt, in keiner Folgestory, in keinem Nebensatz, in keiner Fußnote jemals eine der anderen Firmen benannt werden ist einfnach sehr dubios.
Bloomberg hat ebenfalls nicht begründet, warum sie die anderen Unternehmen geheim halten (z.B. keine Relevanz für die Öffentlichkeit).

Kacha schrieb:
Sie waeren von ihren Investoren angreifbar, weil sie eben nicht alles tun um die Firma zu schuetzen. Gleichzeitig waere es wohl legal es abszustreiten selbst wenn es passierte, wenn sie eben die Anweisung bekommen haben und die ganze Aktion als die nationale Sicherheit gefaehrdend eingestuft wuerde. Was, wenn es wahr ist, mit ziemlicher Sicherheit ist.
Ich bin kein Anwalt und kenne mich erst recht nicht mit amerikanischem Recht aus, aber ich habe erhebliche Zweifel, dass so etwas tatsächlich legal wäre. Das Unternehmen wird nicht geschützt, indem wissentlich Falschaussagen diesen Ausmaßes getätigt werden. Ganz im Gegenteil, dadurch erhöht sich im Zweifel der Schaden um ein Vielfaches. Sollte die Sache stimmen, wäre der übliche Weg Schadensbegrenzung zu betrieben und nicht eine aufwendige Vertuschungsaktion zu starten.
Nochmal, die Pressemitteilung ist in ihren Formulierungen sehr aggressiv. Diese Einschätzuung teilen dutzende Journalisten. Zum NSA Skandal (von dem wir ja wissen, dass er wahr ist) hat Apple damals eine sehr vorsichtig formulierte Pressemitteilung veröffentlich. Damals wurde im Wesentlichen nur bestritten, dass die NSA "direct access to our servers" hatte (dieses Wording wurde übrigens 1:1 auch von Google und Facebook verwendet). Das ist schon sehr spezifisch und lässt eine ganze menge Hintertürchen offen. Die aktuelle Pressemitteilung tut dies nicht.


Der Bloomberg Artikel ist aus journalister Sicht einfach schlecht.
Es gibt diverse Quellen aus allen Bereichen (die beteiliten Unternehmen, die Behörden, andere unabhängige Journalisten, Experten), die erläutern warum dies der Fall ist und die Story so nicht stattgefunden haben kann. Ich habe bisher noch keine einzige Quelle gehört, die die Bloomberg Story in irgendeiner Weise bestätigt (abseits von der theoretischen Machbarkeit).
Hinzu kommt, dass die einzige Reaktion vom Bloomberg ist:
Bloomberg Businessweek’s investigation is the result of more than a year of reporting, during which we conducted more than 100 interviews. Seventeen individual sources, including government officials and insiders at the companies, confirmed the manipulation of hardware and other elements of the attacks. We also published three companies’ full statements, as well as a statement from China’s Ministry of Foreign Affairs. We stand by our story and are confident in our reporting and sources.

Das ist einfach schwach.
 
  • Gefällt mir
Reaktionen: smalM, iSight2TheBlind und psYcho-edgE
Wattwanderer schrieb:
Vielleicht kann man das für Heimbgebrauch mit einer 200 MB HDD vergleichen. Der Nutzen steht in keinem Verhältnis mehr zum Aufwand sie weiter zu betreiben.

Da kriegste ja nichtmal mehr nen halben Nvidia Treiber drauf :D
 
Spionage ... ja, findet definitiv statt. Jedoch macht das die NSA ganz "offiziell", seit man weiss, das Cisco Router teilweise bei der NSA einen Zwischenstopp einlegten, bevor sie beim Besteller ankamen. Wurde alles in den News breitgetreten. Wieso regt man sich jetzt bei den Amis auf, wenn andere genau dasselbe machen wie sie selbst?!

Schizophrenie ist bei den Amis wohl sehr weit verbreitet?
 
  • Gefällt mir
Reaktionen: psYcho-edgE
Hier gib't übrigens eine technische Analyse der Story. https://www.servethehome.com/investigating-implausible-bloomberg-supermicro-stories/

Und wieder das Fazit:
Der beschriebene Hack im Bloomberg Artikel ist nicht plausibel und teilweise unmöglich.

Dort ist auch folgender Tweet von einem Cybersecurity Reporter der NYT verklinkt
https://twitter.com/nicoleperlroth/status/1049018902984835072?ref_src=twsrc%5Etfw schrieb:
Something is wrong. Blanket denials from companies, NCSC and DHS are v. unusual. The only precedent for this is a 2014 Bloomberg article, by the same author, which claimed NSA exploited Heartbleed, and was vigorously knocked down with zero follow up by Bloomberg or correction.
Zufälle gibt's was? :rolleyes:
 
  • Gefällt mir
Reaktionen: iSight2TheBlind und psYcho-edgE
GGG107 schrieb:
Habe vor über 10 Jahren Artikel über Nanotechnologie gelesen. Die hatten unter anderen überlegt Wirkstoffe in Medikamente damit aus zu statten u.ä. Chips noch kleiner als Staubkörnchen. Wenn man überlegt was mittlerweile alles so möglich ist - vielleicht wollen wir das besser nicht wissen.
Das ist Forschung, nicht Anwendung und schon gar nicht von irgendeinem unbekannten Anwender. Glaub mir, wenn es Chips in staubgröße praktisch gäbe, wüssten wir davon. Dann würden nämlich Apple, Google und all die anderen Giganten Geld damit verdienen. Außerdem ließe sich so ein 'Staubkorn' erst recht nicht 'mal schnell' auf die Platine draufhusten :).

Eigentlich gibt es nur eine vernünftige Möglichkeit so etwas zu realisieren. Man muss an einen Hardware-Debugport ran. Das gibt es in praktisch allen komplexeren Chips. Z.B. JTAG ist sowas. Man braucht nur 4-5 Leitungen und kann im laufenden Betrieb auf vieles zugreifen (Speicher, Register, I/Os etc.). Hätte Supermicro auf seinen Boards Testpins für solch einen Port herausgeführt (meist ein Array von kleinen goldenen Kreisen, die temporär mit Testadaptern kontaktiert werden), könnte man dort tatsächlich andocken. Ein 'bleistiftspitzengroßer Chip' würde dafür aber immer noch nicht reichen und außerdem wird der JTAG Port normalerweise deaktiviert für Serienboards. Wie die 'Erkenntnisse' dann versendet werden, ist nochmal ein anderes Problem. Wie gesagt, als Entwickler fallen einem da einige Wege ein, aber keiner mit solch einem winzigen, unauffälligen Chip.
 
Wattwanderer schrieb:
200 MB HDD vergleichen

Da passt doch noch gut was drauf :evillol:

GGG107 schrieb:
Habe vor über 10 Jahren Artikel über Nanotechnologie gelesen. Die hatten unter anderen überlegt Wirkstoffe in Medikamente damit aus zu statten u.ä. Chips noch kleiner als Staubkörnchen. Wenn man überlegt was mittlerweile alles so möglich ist - vielleicht wollen wir das besser nicht wissen.

Die kleinsten Chips sind aktuell bei IBM in der Mache. Aber immer noch auf Forschungsebene, man forscht nämlich an CNT (Kohlenstoff-Nanoröhren) Transistoren. Es gab 2016 sogar schon funktionierende CPUs. Mit 1bit Register und 1kHz Takt (wobei das Absicht war, es hätte nicht gelohnt etwas unendlich komplexes für die reine Funktionsdemonstration zu basteln).

Bis das soweit ist dass es serienreif geht, wird's aber m.M.n. noch 5-10 Jahre dauern. Doch sie sind auf einem guten Weg :)
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: GGG107
psYcho-edgE schrieb:
Bis das soweit ist dass es serienreif geht, wird's aber m.M.n. noch 5-10 Jahre dauern. Doch sie sind auf einem guten Weg :)

As long as it can run World of Tanks ... or Crysis.
 
  • Gefällt mir
Reaktionen: psYcho-edgE
Alle Newsnetzwerke sind nichts weiter als Instrumente für Leute und Organisationen um bestimmte Agenden, Doktrinen an den gemeinen Leuten zu bringen.
Und es funktioniert auf allen Ebenen.
 
Mega-Bryte schrieb:
Spionage ... ja, findet definitiv statt. Jedoch macht das die NSA ganz "offiziell", seit man weiss, das Cisco Router teilweise bei der NSA einen Zwischenstopp einlegten, bevor sie beim Besteller ankamen. Wurde alles in den News breitgetreten.
Das waren Firmware-Hacks und sie waren spezifisch auf den Empfänger ausgerichtet. Das hat mit dem hier nicht das Geringste zu tun.

psYcho-edgE schrieb:
Hier riecht's nach verbranntem Aluminium...
Na ich weiß nicht.
Die Bloombergleute haben keine Ahnung von der Materie, das ist völlig klar. Aber wieso diese wilde Geschichte?
- Profitiert ein Konkurrent von Supermicro?
- Profitiert ein Konkurrent des Auftragfertigers?
- Profitiert jemand von Shorts auf SM?
- Profitiert jemand davon, China als Fertigerland zu diskreditieren?
- Hat Bloomberg einen Auftrag oder sind die nur blöd?
Also DEN Aluhut nehme ich nicht so schnell ab....

PS: Die Oxidation von reinem Aluminium ist geruchlos. ;)
 
Zuletzt bearbeitet von einem Moderator:
  • Gefällt mir
Reaktionen: psYcho-edgE
Naja es gibt schon übereifrige schreiber, auch im Bereich des journalismus gibt es schwarze Schafe, und wenn man einen böses unterstellen will kann man sagen die machen das mit Absicht, Aktienkurse fallen einfach um die firma zu schädigen oder einfach günstige Aktien kaufen dann sagen es war eine Ente, Kurse steigen und irgendjemand macht einen guten Profit
 
Es gibt doch so etwas wie Unterlassungsklagen oder sonstige Rechtsmittel.
Warum gehen sie denn gegen FakeNews nicht vor wenn nichts dran ist?
Zumindest müsste dann einmal der Beweis der Behauptung erbracht werden.
Kann er das nicht muss zumindest eine sofortige Richtigstellung und Entschuldigung folgen.
Und wenns noch dicker kommt könnten dann auch gleich noch Schadensersatzforderungen hinterher folgen.
Wo sind denn deren Rechtsabteilungen? Sonst klagen sie doch auch wegen jedem Pipifax.
Ansonsten wirkt das doch alles wie inszeniertes Kasperltheater.
 
Zuletzt bearbeitet:
Angenommen es wäre etwas dran, dann wäre das Vertrauen in diesen 2 Firmen (als aktionär) erstmal verloren massive kurseinbrüche und der Name/Produkt wäre erstmam mittelfristig beschmutzt.

Bei den ganzen Gates, spielte sich immer ein ähnliches Szenario ab. Irgendjemand hat etwas gehört veröffentlicht es, dann wird weiterhin geleugnet und geprüft und siehe da - dedüm.

Man wird sehen ob das eine luftnummer ist, oder ob da mehr hintersteckt.
So ist das erstmal Aussage gegen Aussage.
 
cbtestarossa schrieb:
Warum gehen sie denn gegen FakeNews nicht vor wenn nichts dran ist?
Eben.

Ein weiterer Punkt, "Nein, stimmt nicht" - Für die Welt bleibt alles okay, und die Schreiber spinnen. Vielleicht sollte man hinterfragen wie es dazu kommt, wie hier schon angesprochen, wer kann da was von haben? Was würde denn dagegen sprechen dass es wirklich so ist? Skepsis fehlt den Leuten, dafür reichlich Aluminiumphobie vorhanden...
 
Wo sind jetzt mal Fakten ? Es bringt nix einfach nur den Chip zu tauschen. Er braucht dann auch Leiterbahnen zur CPU oder einen Speicher. Sprich auch das Platinenlayout muss maipuliert werden usw.
 
Zurück
Oben