News NASA: Hacker erbeuten Daten per Raspberry Pi

[TheGreatMM]

Naja die haben auch die Challenger leichtsinnig, ach lassen wir‘s... was ist da schon ein Rasperry...

 

[Krautmaster]

Die Nasa kann wegen mir gern komplett "open source" werden. Zu Area 51 und grünen Männchen wurde nichts erbeutet?

 

[Kenshin_01]

Dürfen jetzt nach Huawei auch bald keine Raspberrys gebaut werden 😂😂😂

Nachdem was ich so auf die Schnelle gefunden habe, kommt das Ding ja auch aus dem eigenen Land (oder so). Währe also vermutlich irgendwie kontraproduktiv das zu verbieten.

Zu Area 51 und grünen Männchen wurde nichts erbeutet?

Doch....wir wissen jetzt sicher das es blaue Männchen sind 🤪

 

[Fragger911]

Diese Bananenrepublik hängt an einer absteigenden Liane und Donald gibt den Ersten Orang-Utan.

Wenn man mal den Sicherheitsbericht für Nuklearanlagen inkl. der ICBM-Silos (sowie die taktischen Atomwaffen) und der zugrundeliegenden Struktur anschaut, dann kann einem dieser Fauxpas beim JPL Lichtjahre weit am Poppes vorbei gehen.
Von den gesellschaftspolitischen Zeitbomben, welche da drüben ticken, ganz zu schweigen.

 

[|SoulReaver|]

Da wird wohl demnächst eine Stelle frei

Wenn man dort Drogentests macht klicken bei sehr vielen die Handschellen. Offene Stellen gäbe es dann genug.
Die Tatsache das die gehackt wurden ist schon ein wenig peinlich.

 

[Computerfuchs]

Da fehlt in den news einfach viel und so ist es nur genau der gleiche clickbait unsinn, den golem schon verbreiter hat.

Volle Zustimmung!

Ein Raspberry Pi ist ja ein ganz normales Linux-System und damit grundlegend genauso sicher bzw. unsicher, wie jeder andere Linux-PC oder Server auch. Die Meldung ist von daher ziemlich nichtssagend. Viele interessanter als diese Betonung der Hardware, wäre die Frage, was genau nun bei der Installation und/oder Wartung falsch gemacht wurde (unsicheres Passwort, keine Updates, unsichere Pakete, usw.).

Die im Artikel erwähnte fehlende Eintragung in eine Datenbank sagt da auch nicht wirklich was aus. Angenommen, man hätte den Raspberry korrekt in die Datenbank eingetragen: Dann steht da irgendwo in einer Liste, dass es ihn gibt. Und dann? Wird er damit plötzlich von Geisterhand sicherer als ohne diese Eintragung? Wohl eher nicht. Die spannende Frage, die hier mit keinem Wort erwähnt wird, wäre nicht die Eintragung in die Datenbank, sondern was dann auf Grundlage dieser Eintragung an weiteren Schritten unternommen wird, was hier wohl unterlassen wurde.

So, wie es hier geschrieben ist, ist das auch ein Stück weit unnötiges Bashing für Raspberry. Falls wir hier nicht grade von nächsten Melddown oder Spectre Skandal reden, kann die Hardware herzlich wenig dafür, wenn das System unsicher ist. Schuld daran ist allein der Anwender, der offensichtlich etwas falsch konfiguriert hat. Das hätte mit jedem anderen PC 1:1 genauso passieren können.

 

[andi_sco]

Die NASA hat unglaubliche Probleme in der internen Struktur. ... oder auch HIER.
Was da an Milliarden verbrannt wird, stellt jeden Flughafen in den Schatten.

Sicherheit nach dem Motto: bau mir eine Glühbirne, die nicht heiß sein darf, es darf aber auch keine LED sein, denn das Ding muss Wärme abgeben 😂

Edit: die haben doch sogar zwei Teleskope geschenkt bekommen?!

 

[SVΞN]

Ein Raspberry Pi ist ja ein ganz normales Linux-System und damit grundlegend genauso sicher bzw. unsicher, wie jeder andere Linux-PC oder Server auch.

Völlig richtig.

Die Meldung ist von daher ziemlich nichtssagend. Viele interessanter als diese Betonung der Hardware, wäre die Frage, was genau nun bei der Installation und/oder Wartung falsch gemacht wurde (...)

Weshalb auch einem jedem nach dem lesen der News klar sein sollte dass es hier nicht um den Raspberry Pi als solches geht, sondern um den Umstand dass da bei der NASA scheinbar Bastlercomputer im Netzwerk hängen.

Es wäre genauso peinlich wenn’s eine PlayStation 4 oder eine Xbox One gewesen wäre.

So, wie es hier geschrieben ist, ist das auch ein Stück weit unnötiges Bashing für Raspberry.

Mit dem Pi als Hardware hat das gar nichts zu tun und wird im Beitrag auch nicht so intendiert.

 

[Schaby]

Ein ranghoher Administrator gab laut dem Bericht zu, neue Systeme nicht regelmäßig in die Liste eingetragen zu haben, weil die Aktualisierung der Datenbank oft nicht funktionierte und er anschließend vergaß, die Systeme händisch nachzutragen. Die genaue Anzahl der womöglich noch immer nicht autorisierten Systeme im NASA-Netzwerk nennt der Bericht nicht.

Unfassbar, in solch einem Unternehmen darf sowas nicht passieren! Wenn sowas einem Praktikanten passiert, ist es Verzeihbar. Aber einem "ranghohem Administrator" nicht. Das ist mehr als Fahrlässig. Es sollte auch klar sein, warum die Datenbanken oft nicht funktionierten, bei dem Administrator

 

[MHumann]

nicht wirklich verwunderlich. Erstmal ist kein Netz wirklich sicher.
Ich kenne Menschen, die haben im internen Netzwerk einer größeren deutschen Kommunalverwaltung undokumentierte Administratorrechte. Weil die regelmäßig Programme außerhalb der Softwareverwaltung der IT aktualisieren mussten hat die IT denen kurzerhand Administratorrechte gegeben, sonst müssen die das alle 2 Wochen per Fernzugriff machen.
Unsere IT ist da zum Glück ganz ordentlich organisiert, außer dass deren Switches nicht wirklich gesichert

 

[Computerfuchs]

Umstand dass da bei der NASA scheinbar Bastlercomputer im Netzwerk hängen.

Es wäre genauso peinlich wenn’s eine PlayStation 4 oder eine Xbox One gewesen wäre.

Ist das wirklich so? Sofern man darauf achtet, dass alles korrekt konfiguriert ist und der Raspberry Pi möglichst hinter einer guten Firewall gesichert ist, sehe ich darin nichts negatives oder peinliches. Natürlich könnte man auch für viel Geld etwas "professionelles" kaufen oder sogar selbst eigene Hardware neu entwickeln. Aber wenn für die geplante Anwendung ein Raspberry ausreichend ist, sehe ich darin keinen Mehrwert oder Zugewinn an Sicherheit. Tendenziell könnte bei eigener, in Kleinserie hergestellter Hardware sogar das Gegenteil der Fall sein, in dem Sinne, dass dort sehr leicht grobe Fehler übersehen werden, die bei einem millionenfach bewährten Gerät wie dem Raspberry Pi längst aufgefallen und behoben worden wären.

 

[Piktogramm]

Weshalb auch einem jedem nach dem lesen der News klar sein sollte dass es hier nicht um den Raspberry Pi als solches geht, sondern um den Umstand dass da bei der NASA scheinbar Bastlercomputer im Netzwerk hängen.

Es wäre genauso peinlich wenn’s eine PlayStation 4 oder eine Xbox One gewesen wäre.

Geh mal davon aus, dass in der Entwicklung / Forschung jede Abteilung einen Schieber mit Raspis, Arduinos und sonstigem "Bastelkram" hat. Die Hobbylösungen sind in vielen Belangen oft deutlich nutzerfreundlicher als die "professionellen" Lösungen die auch gern um Faktor 10 teurer sind.
Gerade die Kombination Raspi + Labview ist so ein nicht vereinbarter Standard, der gefühlt an jeder 2. Anlage klebt.

Playstations für die Nachtschicht für die Maschinenüberwachung gibt es. Die hängt man aber wenn auch an ein Netzwerk, welches sauber isoliert ist vom sensiblen Bereich der Firma.

Das selbe sollte man auch für wilde Installationen in der Forschung machen, sauber getrennte Netzwerke mit nicht all zu restriktiven Regeln. Die Anwender wollen ihren Job erledigen und werden Sicherheitsvorkehrungen unterlaufen, wenn die Sicherheitsregeln zu restriktiv sind.
Und was auch Usus ist, sein eigenes Netzwerk sollte man in engen Abständen auf unsichere Geräte abklopfen und gegebenenfalls aus dem Netzwerk schmeißen wenn es zu wild wird.

 

[Zanza]

Zum glück haben die Hacker keine Dateien der Mond Missionen entwendet.

 

[Corros1on]

Diese Bananenrepublik hängt an einer absteigenden Liane und Donald gibt den Ersten Orang-Utan.

Naja, diese Missstände gibt es nicht erst seit dem Trump Wahlsieg bekannt bzw. herrschen dort, auch wenn man es ihm all zu gerne auch ankreiden möchte.

Angeblich arbeiten die in den Behörden immer noch mit uralt EDV aus 19hundert vor dem Krieg, dass sogar unsere (deutschen) Behörden fortschrittlich und modern wirken und das will was heißen.

Hier dürfen und müssen sich Trumps Vorgänger die Frage und Kritik gefallen lassen, dass sie nichts in dieser Richtung unternehmen zu haben in ihren Amtszeit(en).
Sorry, ist aber so.

 

[SVΞN]

@Computerfuchs und @Piktogramm genau davon rede ich doch. Es geht nicht darum dass da ein Raspberry Pi, eine PlayStation oder sonst etwas steht. Es geht darum dass da ein ungesicherter Raspberry Pi steht und ein ranghoher Administrator sogar zugibt dass das kein Einzelfall ist bei der NASA.

 

[Pr0krastinat0r]

Uns ist es im Unternehmen AUSDRÜCKLICH untersagt, fremde Geräte (Access Points, gemanagte Switchtes, Notebooks/PCs, etc.) ins System einzubringen. Warum? Ganz einfach. Weil diese u.a. nicht die Group Policies bezogen haben (läuft über den Domain Controller), oftmals bereits mit Viren, Trojanern usw. befallen sind und bereits mit Software laufen, welche auf Firmengeräten nicht zugelassen ist.
Neulich wurde ich von meinem Chef gefragt, ob Notebook XYZ meins wäre, welches im Gäste-WLAN hing. Ja, war es. Es blieb zum Glück bei einer mündlichen Aufforderung, das Gerät aus dem WLAN zu entfernen und entweder mein Firmennotebook zu verwenden, oder über meinen eigenen Hotspot ins Internet zu gehen.

Ja, je größer eine Organisation ist, desto schwieriger wird die Kontrolle. Bei zehntausenden Geräten verliert selbst der beste Admin irgendwann die Übersicht. Wobei ich bei einer Organisation wie der NASA schon erwarten würde, dass dort zumindest ein Warnsystem das die Netzwerke überwacht, welches bei der Installation von neuen/fremden Geräten Alarm schlägt. Wobei auch hier das beste, automatisierte System nicht viel bewirkt, wenn die zuständigen Admins pennen.

 

[22428216]

Schon doof sowas!
Man sollte sich als NASA Mitarbeiter doch mehr Gedanken darum machen.

Was ist, wenn der PI genutzt wird, um Raketen zu maipulieren?
Selbstzerstörung via Remote deaktivieren und das Ding über bewohntem Gebiet ausmachen.
Den Rest kann man sich denken. Ist jetzt evtl der Worst Case, aber davon sollte man doch ausgehen.

 

[esb315]

Da hat sich wohl jemand von Mr. Robot inspirieren lassen .

Echt traurig das bei der NASA so etwas möglich.

 

[Silverangel]

Darf ich raten, es waren die Russen wie üblich

Nein, es war ein Iranischer Huawei-Mitarbeiter mit Nordkoreanischem Migrationshintergrund und Russischem Wohnsitz.

Wichtiger als die Erkenntnis, dass es nen ungesicherten Rechner gab, ist daraus die richtigen Konsequenzen zu ziehen damit es nicht wieder passiert. Die Lehre dürften sie daraus gezogen haben und jetzt alle Rechner prüfen und nachbessern (offensichtlich weiß man ja noch von mehreren die darunter fallen).

 

[Piktogramm]

@RYZ3N
Das sich in großen Netzwerken irgendwann unsichere Geräte tummeln ist der Erwartungswert, bei gleichzeitig hoher Dynamik der Geräte [1]. Das ist keine Neuigkeit, dass ist der Erwartungswert. Der eigentliche Punkt der Geschichte ist, dass die Nasa anscheinend eine Strategie fährt, die mittlerweile völlig aus der Zeit gefallen ist. Das manuelle Pflegen irgendwelcher white/black lists bzw. Datenbanken ist einfach zum Scheitern verurteilt und ist gescheitert.

[1] Das muss kein ungesicherter Pi sein. Das ist in der Regel genauso eine Horde ungesicherter Anlagensteuerungen auf DOS 3.11 bis Win XP Basis, eine Tausendschaft Siemenssteuerungsgeräte und noch eine Handvoll Oszilloskope. Oder einfach Switche von CISCO

@Pr0krastinat0r
Deine Bude macht etwas falsch, wenn Geräte im Gastnetzwerk irgendwie so kritisch sind, dass dein Chef davon etwas mitbekommt. Ein gescheites Intranet sollte einem Gastnetz ebenso vertrauen wie dem gesamten Internet (gar nicht). Es sollte also vollkommen egal sein, ob du im Gastnetz oder mit deiner eigenen LTE Verbindung unterwegs bist.

Ergänzung (23. Juni 2019)

Wobei auch hier das beste, automatisierte System nicht viel bewirkt, wenn die zuständigen Admins pennen.

Solche Systeme gehören so ausgelegt, dass sie soweit wie möglich gegen Falschbedienung von Admins abgesichert sind. Wer Systeme baut, die nur sicher sind, wenn Admins manuell Listen/Datenbanken pflegen, dass ist das System kacke.