Bericht Gehackte Konten und Patch-Flut: Wie man sich schützt, wenn KI-Agenten das Internet unsicher machen

Find das alles ein bisschen dünn, ja ne theoretische Gefahr besteht logisch, aber wenn man paranoisch ist, kann das auch echte Gefahr betreffen deren Risiko man aber überschätzt...

Cloudflair und Google haben beide ein Interesse das maximal zu hypen, Cloudflair weil sie sicherheit verkaufen mehr Angst machen lässt bei denen Geldscheine regnen, bei Google ists das man Werbung für K.I. machen kann.

Das sind also keine neutralen Quellen. Schon alleine das man sagt hundert tausende und dann Millionen, da fehlt der Kontext wieviel gabs bei Sicherheitslöchern vor 1 2 3 Jahren, wo K.I. noch weniger benutzt wurde oder unfähiger war?

Ohne diesen Vergleichswert sind die Zahlen irrelevant, es könnten damals genau so viele gewesen sein und wenn es weniger sind wieviel weniger 99%, 50%, 20%, 5% weniger das macht ja schon ein Unterschied.

Obwohl diese ja anglich 1000x mehr Sicherheitslöcher finden findet man extrem wenig Nachrichten von gehackten Servern rein Subjektiv würde ich sagen das es da vor einigen Jahren mehr gab, aber lass mich gerne von ner Statistik von was anderem belehren.

Und ja im Zweifel muss man den Admin halt mal bisschen besser bezahlen oder einen mehr Einstellen, und die Tools stehen ja auch den Verteidigern offen.

Worst case müsste man hier halt die Passwörter nach nem einspielen eines Backups zurück setzen... das wäre jetzt auch nicht der Weltuntergang, Banken haben eh ganz andere Sicherungen und benutzen auch kein PHP.
 
Komisch das eine das erst jetzt aufgefallen ist.. die Lücke gab und gibt es ja schon länger
 
  • Gefällt mir
Reaktionen: SweetOhm, Cyron2k und Tsu
G00fY schrieb:
Ich bin selbst Softwareentwickler. Sehe leider selbst in großen IT Abteilung immer wieder gravierende Defizite beim Thema Dependency Version Updates und Release Workflows. […]

Also Sicherheitspatches gab es schon immer. Ich denke nur Entwickler und Firmen müssen Maßnahmen ergreifen um schneller zu reagieren als bislang.
Wenn ich an Buden denke, die Node einsetzen: Hunderte Abhängigkeiten die nicht verstanden und auditiert wurden! Die fahren blind auf gut Glück.

Selbst beim Installieren dieser Abhängigkeiten werden Änderungen in Kauf genommen statt ein npm -ci aufzurufen. Ich finde das Wahnsinn.

Bei PHP:
  1. Warum läuft der Webserver als root?
  2. Warum läuft PHP als root?
  3. Warum darf PHP überhaupt noch weitere Prozesse (abgesehen sich selbst durch fork) aufrufen?!
  4. Warum läuft das mit weiteren statt minimalen Privilegien?
  5. Warum ist das System read-write statt read-only bis auf den Platz für die veränderlichen Kundendaten?
  6. Warum sind die nicht auch read-only nachdem sie vom (zentralen?) Storage gespiegelt wurden?!
Insgesamt taumelt die Branche von einer beinahe-Katastrophe zur nächsten. Wir brauchen da Professionalität und auch mehr Betreiberhaftung.
 
  • Gefällt mir
Reaktionen: Himbeerdone, G00fY, Snapuman und eine weitere Person
Ich vermute mal ins blaue die übliche Antwort auf alle deine Fragen ist entweder "dat hamwa schon immer so jemacht!" oder "hä?"... seufz
 
  • Gefällt mir
Reaktionen: Tsu
Bei dem ganzen Thema geht meiner Meinung viel zu sehr das Thema vernachlässigt: Unbedarfter User-Selfadmin sperrt sich von seinen eigenen Daten aus. c't 3003 hatte dieses Jahr schon ein Youtube-Video veröffentlicht, in dem breit erklärt wurde, warum es so irre wichtig ist, den Bitlocker-Wiederherstellungsschlüssel 1. herauszufinden und 2. irgendwo aufzuschreiben, damit man an die Daten noch rankommt, nachdem beim Blumengießen ein bisschen Leitungswasser über einen MOSFET auf dem Laptop-Mainboard geflossen ist. Vor solchen Hintergründen wage ich mich nicht, mit meiner Ü70-Mutter darüber zu referieren, wie sie einen Password-Manager nutzen kann, der einerseits nicht in der Cloud liegt, andererseits aber geräteunabhängig funktioniert.

Und ja, ich schließe mich denjenigen an, die fordern, dass man sich nicht für jeden Mumpitz mit Benutzerkonto registrieren sollte. Ich finde es haarsträubend, dass einem mittlerweile jeder Einzelhandel seine persönliche Laden-App aufschwatzen will - und dann fällt mir beim S-Bahn-Umsteigen im Halbschlaf mein Smartphone ins Gleisbett - zweiter Faktor für alles Weg, Lebensteilhabe tot und natürlich Straftäter weil nun Schwarzfahrer aber hauptsache in Zukunft muss das Smaretphonbe noch den Ausweis ersetzen.
 
  • Gefällt mir
Reaktionen: Drahminedum und Snapuman
Jedes Unternehmen oder Person hat Zeit die eigenen Lücken mit Unterstützung von KI schließen zu lassen und das mit viel größeren finanziellen Mitteln als der gelangweilte Kellerhacker in Castrop-Rauxel.
 
@MountWalker Selbst schuld wer sich keine Apple iWatch Max Ultra Plus mit iD-Wallet, iFahrkarte und iOTP Generator leisten kann... /s
 
Sly123 schrieb:
Jedes Unternehmen oder Person hat Zeit die eigenen Lücken mit Unterstützung von KI schließen zu lassen und das mit viel größeren finanziellen Mitteln als der gelangweilte Kellerhacker in Castrop-Rauxel.
Mag sein. Dein Fokus und der des Artikels ist aber, finde ich, auf dem falschen Aspekt aus der falschen Perspektive.

Nicht wesentlich ist, wie die Lücke gefunden wurde.

Es ist vielmehr so, dass da eine zu große Komplexität (PHP + X, X wie Wordpress oder Drupal) für zu kleine Dinge gefahren wird (99% der Mächtigkeit braucht der Shop des Kleiderhändlers nicht). Die ist dabei nicht voll von den Betreibern verstanden worden (Mystizismus um Einstellungen), es fehlt ihnen praktisch an der Expertise ihre System einzudämmen (Minimum an privileges and capabilities), die Grundlage ist laienhaft zusammengestellt (Debian all-write statt read-only OS), das Ensemble ist von Anfang an unsicher (keine privilege separation, z. B. dass PHP Programme ausführen oder weitere Netzwerkverbindungen unkontrolliert öffnen darf ist ein Unding!), … das Abhängigkeiten blauäugig in Kauf genommen und installiert werden (z. B. mangelndes Auditing und Pinning per Hash), dass auf Lücken reagiert wird statt dass das gemanaged wird (automatisches Alerting ab CVE, Aufwachen erst durch Presse… Abknipsen vom Netz statt read-only Betrieb), das Rollouts z. T. nicht automatisiert sind (@G00fY hatte da Gegen-Ansätze skizziert).

Überhaupt dass im Jahre 2026 noch immer der Neffe des Chefs mal eben einen Server ans Internet anschließen darf.
 
  • Gefällt mir
Reaktionen: Snapuman
Dass man Oma nicht erklären könnte, dass "Wasser" und "Eletrisch" keine gute Mischung ist, halte ich für einen modernen Mythos.

Jedes beschissene Röhrenradio hat es nicht vertragen, wenn es im Betrieb mit Wasser in kontakt gekommen ist.
Jede Hausfrau in den 1970ern wusste, dass es eine verdammt doofe Idee ist, sich in der Badewanne die Haare zu föhnen.

Die Verwunderung, dass das Handy nichts mehr tut, wenn man es ausgiebig gebadet hat, erwarte ich doch eher bei jüngeren Semestern. Und auch da würde bei mir die Hand wohl nur reflexartig zur Stirn gehen.

Schön, dass ich meine Cookies grundsätzlich lösche und eher nicht dazu neige, "sensible" Daten auf meinen Computern oder Handy zu speichern. Bei mir gibts schlicht keine Kontonummern oder ähnliches.
Sogar aus Textdokumenten werden entsprechende Informationen nach dem Druck oder Versandt entfernt ... wenn Ich die überhaupt behalte.
Also versuchts erst garnicht. Bei mir gibts allenfalls ein paar Spielstände zu holen ... und die könnten mir egaler nicht sein.

Das eigentliche Risiko liegt im Vertrauen in die Technologie und in die Illusion der Sicherheit. Ki wird KI bekämpfen, aber es wird (wie seit Anbeginn der Vernetzung) ein Katz-und-Maus-Spiel bleiben. Es wird sich durch KI nur deutlich beschleunigen, und sich wahrscheoinlich recht bald komplett unserem Verständnis entziehen.
Wir werden schlicht nicht genau wissen, we ein Angriff stattfand und was ihn letztlich gestoppt hat. Dazu werden erst lange KI-Analysen der entsprechenden Protokolle notwendig sein.
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: SweetOhm
Die Frage ist nun also: reicht täglich updaten, oder sollte es schon mindestens stündlich sein?
wenn das ausnutzen bekanntgewordener lücken weniger als eine stunde dauert wirds langsam unpraktisch mit patches die einen neustart brauchen.
und dann gibts da noch dieses unternehmen mit monatlichen patchdays :D

die hoffnung dass sich keiner die mühe macht halbwegs gesicherte privatpcs anzugreifen weil es leichtere beute gibt stirbt so langsam wenn der aufwand zu gering wird.
DerOlf schrieb:
"to be absolutely safe, go offline" - weil "Was nicht im Netz ist, kann nicht gehackt werden".
reicht genau genommen schon länger nicht mehr
führte afaik auch zu lustigen dingen wie verbot von optischen mäusen für systeme zur einsicht in geheimdokumente weil die hardware emissionsfrei sein sollte. also gab es kugelmäuse für den fensterlosen raum. zumindest bin ich relativ sicher dass mangels fenster keine optischen emissionen mehr relevant waren und elektrische gibt auch die kugelmaus samt kabel ab.
das einzige was vermutlich garantiert hilft ist strom weg, solange niemand physisch dran kommt.
der absolut sichere pc ist stromlos, in beton eingegossen, ggf beschichtet um wie ein kleiner asteroid auszusehen und in eine sonnenferne umlaufbahn geschickt :D
 
DerOlf schrieb:
Dass man Oma nicht erklären könnte, dass "Wasser" und "Eletrisch" keine gute Mischung ist,
Och Olf, als ob die Spezifizität der Schadensursache jetzt irgendwie wichtig fürs Argument wäre. Wie auch immer Mainboards sterben, sie sterben gelegentlich. Manchmal gehen solche MOSFETs sogar komplett ohne Userinteraktion einfach aufgrund der fortlaufenden Elektromigration hopps, nachdem der Rechner x,y Jahre betrieben wurde. c't 3003 hatte das angerissene Video deshalb gepostet, weil bei Leuten, die, ob privat (Familie) oder professionell Rechner-Service für Laien anbieten, solche Fälle aufgetreten sind, nach dem Schema: "Mein Rechner macht irgendwie keinen Muks, mehr, komme ich noch an die Daten ran, wie Bitlockerwiederherstellungsschlüssel, was ist das?" Und bitte bitte mit Zuckerkuss und Sahne komm mir jetzt nicht damit, dass die microsoftsche Verschlüsselungsfunktion bei Windows Home nicht Bitlocker, sondern irgendwie anders heißt, ist mir bekannt und auch darum geht es wiederum nicht.
 
Andy schrieb:
Die Kontrolle sinkt zudem mit dem Komfort-Level...
So könnte man alles zusammenfassen. Wer nichts tun möchte und sich bequem auf die KI verlässt, verliert die Kontrolle.
Die Feststellung lässt sich eigentlich auf alle Bereiche des Lebens ausweiten - und KI wird in ALLE Bereiche des Lebens vordringen. Davor graut mir wirklich. Selbst der Waldarbeiter im einzigen polnischen Urwald holt sich Tipps, per Handy (so er Empfang hat) von Chatbots - eigentlich nur Deep learning und Machine learning und wie ich das verstehe noch keine echte KI, aber es geht so schnell voran!
Wer von den Nutzern kann denn jetzt schon die Aktionen der von ihm eingesetzten KI nachvollziehen? Ich behaupte Niemand.
 
MountWalker schrieb:
"Mein Rechner macht irgendwie keinen Muks, mehr, komme ich noch an die Daten ran, wie Bitlockerwiederherstellungsschlüssel, was ist das?"
Mein Mitleid (mit der Servicern) hält sich in extrem engen Grenzen.
Wer sowas nicht meistert, ist in dem Bereich eigentlich falsch.

Zumindest sehe ich das so ... ich habe im privaten Bereich (Win95- Win8)) jahrelang Datemnrettungen vorgenommen, und es letztlich geschafft, den Leuten ihre Systeme so einzurichten, dass ich damit nur noch wenig Arbeit hatte, wenn es dann doch mal nötig wurde. Nur deswegen mache ich das aktuell (und seit etwa 8 Jahren) nur noch extrem selten.
 
Was soll eigentlich der Käse von wegen PHP2Shell und Erdbeben?
Es hat sich doch längst rausgestellt, dass der Fehler nicht mal annährend so kritisch war, wie es die vielen PoCs auf Github angedeutet haben. Auch die sind auf einem LLM Mist gewachsen und viele der PoCs haben nicht mal funktioniert.

Klar es ist trotzdem gut, dass es gepatcht wurde, aber die Berichterstattung dazu war maßlos überzogen.
 
Zurück
Oben