Bugs, Security-Super-GAUs und andere Bosheiten – „IT“ working as expected?

Datenklau leicht gemacht?

Bequemlichkeit und Unwissen

Wenn man sich die momentane Situation (Spectre, Meltdown, Bugs, Faktor Mensch,…) anschaut und nur ein wenig darüber nachdenkt, sollte grundsätzlich jedem klar werden, dass die Informationstechnologie NIE wirklich sicher sein kann, sobald Daten über Netzwerke ausgetauscht werden. Noch schlimmer wird es in diesem Kontext, wenn von außen (Internet) auf Geräte zugegriffen wird bzw. ein Datenaustausch über das Internet stattfindet (z.B: Surfen).

Innerhalb eines Netzwerkes ohne Außenanbindung (Internet) ist man verhältnismäßig sicher, aber…

Nehmen wir die Daten einfach mit nach Hause

Im Allgemeinen braucht es kein Netzwerk, um Datenklau zu ermöglichen. So kann innerhalb eines Betriebes auch ein Mitarbeiter Daten „absaugen“. Dies geschieht jedoch meist nicht aus einer bösartigen Absicht heraus!

Ich möchte nicht wissen, wie oft Firmendaten per USB Stick auf den heimischen PC transferiert werden, um dann auch außerhalb der Dienstzeiten an einem „Projekt“ weiterzuarbeiten.

Nebst dem Datenaustausch mit dem klassischen USB-Stick, gäbe es hier dann noch:

  • E-Mail (nach Hause)
  • diverse Online-Cloud-Services (Dropbox, Nextcloud, Onedrive…)
  • Das Smartphone als USB-Stick

Das Tolle an den Cloudservices ist, dass NIEMAND weiß, wo die Daten wirklich liegen (vielleicht irgendwo auf einer Serverfarm in den USA) bzw. was mit ihnen gemacht wird.

Passwortsicherheit – Aus Sicht des Anwenders

Anwender sehen ihr Passwort eher als lästig an. „Muss halt sein… nervt!“.

Admins, die es eigentlich gut meinen, ernten Kritik, sofern eine strikte Passwortrichtlinie zum Einsatz kommt. In diesem Zusammenhang meinen viele immer noch, dass der Zwang zur Passwortänderung binnen x Tagen zu einer Erhöhung der Sicherheit führt. Dem muss ich entschieden widersprechen!

Überspitzt formuliert wird aus dem Passwort Test1234 dann halt Test5678.

Besser ist es ein langes (12 Zeichen+) komplexeres Passwort ohne Änderungszwang zu fordern.

Viele User geben ihr Passwort an Kollegen/innen weiter, speichern Passwörter im Browser, legen sich ungeschützte Dateien an, in denen jede User-/Passwortkombination brav mitdokumentiert wird, verwenden unsichere Passwörter, weil ein sicheres Passwort zu schwer zu merken ist, …

Passwortsicherheit – Aus Sicht der Hersteller, Provider usw.

Die meisten Menschen auf dieser Erde, wollen die IT nutzen. Sie wollen sich keine Gedanken darüber machen, warum etwas funktioniert, oder wie etwas funktioniert und das ist auch ihr gutes Recht!

Beispiel „WLAN-Router Installation durch den Provider“:
Provider X stellt einen WLAN-Router zur Verfügung. Der Techniker des Providers kommt, steckt den Router an, checkt die ordnungsgemäße Funktion und geht.

Es wird weder darauf hingewiesen, dass am Router selbst noch per Standardlogin (admin, admin) eingestiegen werden kann, noch dass man bestenfalls bitte für das WLAN ein neues langes Passwort vergeben soll.

Prinzip: Hinstellen, funktioniert, tschüss – also sozusagen „fire and forget“.

Nun redet die Welt schon länger über das Internet of Things (IoT). Vernetzte Kühlschränke, Trockner, Waschmaschinen, Klorollenhalter, Zahnbürsten, Vibratoren, Türöffner, Heizungssteuerungen,…

Wozu überhaupt noch Sicherheitslücken? Der Gau ist doch auch so programmiert! Quasi: „Mit Plug&Play zum Super-GAU“

  • „Jeder“ will alles besitzen und verwenden.
  • Die Wenigsten wollen sich mit den Grundlagen auseinandersetzen um zu verstehen, worauf man achten muss.
  • „Alle“ schreien schließlich, wenn etwas passiert.

Arbeiten mit Adminrechten / Rootrechten

Man arbeitet NICHT mit Admin oder Rootrechten! Diese erhöhten Berechtigungen sind ausschließlich für die Installation / Konfiguration zu verwenden und nicht im „daily-business“.

(Ich kenne zig Systemadmins die permanent mit Adminrechten unterwegs sind – ein NO GO!)

Updates

Softwareupdates können Nebenwirkungen haben, stimmt. Dies wurde in der Vergangenheit leider viel zu oft durch MS vorgemacht. Dennoch sind sie ein notwendiges Übel.

Unter „Linux“ läuft dies meiner Erfahrung nach problemlos(er) ab. Ein Riesenvorteil gegenüber Windows ist, dass sämtliche installierten Pakete über die Paketverwaltung aktualisiert werden können. (Einfacher geht es einfach nicht mehr!)

Generell sollten Updates immer zeitnah eingespielt werden!

Meltdown und Spectre

Unterm Strich ein ziemlicher GAU, ja. In Summe jedoch nur ein weiterer Fingerzeig, dass die IT ganz einfach nicht sicher ist!

Fakt ist, dass:

  • Es die Sicherheitslücken schon Jahrzente gibt.
  • Ein Ausnutzen der Sicherheitslücke nicht protokolliert wird.
  • Intel meint, dass sich die Prozessoren „as expected“ verhalten.
  • AMD weniger betroffen ist.
  • der Anwender „übrigbleibt“, wenn etwas passiert.

Wie kann man eigentlich ausschließen, dass es in den vergangenen Jahrzehnten nicht bereits unzählige Übergriffe gegeben hat?

Hilft nur patchen, patchen und nochmals patchen…

Details: https://www.golem.de/news/updates-wie-man-spectre-und-meltdown-loswird-1801-132125.html

 

Fazit

Eine Verbesserung der Gesamtsituation kann nur dann erreicht werden, wenn möglichst flächendeckend ein gewisses Grundverständnis für die IT geschaffen wird. (Bsp: Passwörter sind nicht lästig, sondern in vielen Fällen als letzte Bastion zu sehen. Ein Kühlschrank, der von überall aus dem Internet erreichbar ist, ist nicht cool!).

Die Kommunikationskultur der Hersteller in Richtung der Verbraucher MUSS verbessert werden (Transparenz!)

Sicher war die IT noch nie!

Meltdown, Spectre: Systeme patchen nicht vergessen

Angesichts der momentan vorherrschenden Securityproblematik (Spectre, Meltdown…) solltet ihr eure Systeme Patchen. Für „Linux“ gilt es bereits vorhandene Kernelaktualisierungen einzuspielen und das System danach neu zu starten.

So gibts für die Stable Version von Debian (Stretch) mittlerweile die Kernelversion 4.9.65-3+deb9u2, die der Sicherheitsproblematik entgegenwirkt.

https://www.debian.org/security/2018/dsa-4078

https://security-tracker.debian.org/tracker/linux

Auch Microsoft stellt Patches zur Verfügung

Windows 7: https://support.microsoft.com/en-us/help/4056897/windows-7-update-kb4056897

Windows 8: https://support.microsoft.com/en-us/help/4056898/windows-81-update-kb4056898

Windows 10: https://support.microsoft.com/de-de/help/4056892/windows-10-update-kb4056892

Mikrotik Router – Grundkonfiguration from scratch

Generell kann der Mikrotik Router entweder über eine fixe IP-Adresse, oder das Programm Winbox angesprochen werden. Der Vorteil der Winbox besteht u.a. darin, dass der Mikrotik Router auch über seine MAC-Adresse gefunden wird.

Somit wird es möglich, per MAC-Adresse ins „Admin-Backend“ des Routers zu gelangen.

Ausgangslage

Sofern man die Werkseinstellungen des Routers übernimmt ist ein Port des Routers für den Anschluß des „Internet“ (anderer Router) gedacht. Die verbleibenden Ports stehen dem LAN zur Verfügung.

Ich will mich im Rahmen dieses Beitrages jedoch mit der kompletten Neukonfiguration beschäftigen. D.h. der Router ist absolut unkonfiguriert.

Was wollen wir erreichen

  • 1 Port soll für die WAN-Schnittstelle konfiguriert werden, wobei eine statische IP-Adresse Verwendung findet.
  • Die verbleibenden Ports sollen für das LAN zur Verfügung stehen.

WAN-Konfiguration

Nach dem Einstieg auf den Router per Winbox wählt man:

  • Menü IP -> Adresses
  • Klick auf das + Symbol im erscheinenden Fenster oben

Im Beispiel wird die IP 192.168.0.100/24 für das ether1 Port vergeben. Abschließend ist das Fenster mit OK zu bestätigen.

Bridge konfigurieren

Alle verbleibenen Ports sollen für das LAN zur Verfügung stehen und „gebridged“ werden (Jedes Port „macht“ das Gleiche).

  • Menü IP -> Bridge
  • Klick auf das + Symbol

Als Name wird z.B. bridge1 vergeben. Abschließend wird das Fenster mit OK geschlossen.

Der Bridge Ports zuordnen

Im Menü IP -> Bridge / Fenster Bridge müssen nun noch die Ports zugeordnet werden, die dieser Bridge zugeordnet werden sollen. Das WAN-Port darf der Bridge NICHT zugeordnet werden!

Dieser Schritt (oben) ist mit allen Interfaces zu wiederholen, die der Bridge hinzugefügt werden sollen.

Der Bridge eine IP Adresse zuweisen

  • Menü IP -> Adresses
  • Klick auf das + Symbol
  • IP Adresse der Bridge zuordnen

Abschließend ist das Fenster mit OK zu bestätigen.

Der Bridge einen DHCP-Server zuordnen

Für das LAN soll ein DHCP-Server konfiguriert werden. Da das LAN am Bridge-Port hängt, wird dem Bridge-Port ein derartiger Server zugeordnet.

  • Menü IP -> DHCP Server
  • Klick auf Button „DHCP SETUP“
  • Wahl des Interfaces (bridge1) -> Next
  • Den gewünschten Adressraum eingeben. Wenn z.B. der Mikrotikrouter mit 192.168.88.1 im LAN angesprochen wird, könnte man einen DHCP-Adressraum von 192.168.88.2 – 192.168.88.254 verwenden. -> Next
  • DHCP Relay leer lassen

Standardroute ins Internet setzen

Die Standardroute soll über zu einem Internet-Router zeigen, an dessen LAN-Port der Mikrotikrouter (WAN-Port) hängt. Der Internet-Router hat die IP Adresse 192.168.0.1

  • Menü IP -> Routes
  • Klick auf das + Symbol
  • Als Dst. Adresse: 0.0.0.0/0 eingeben (=Route ins Internet)
  • Gateway = IP des Internet-Router = 192.168.0.1
  • Mit Ok bestätigen

Im Fenster „Route List“ muss nun noch in den Reiter „Next Hops“ gewechselt werden, um zu prüfen, dass als Adresse die IP 192.168.0.1 (Internet-Router) eingetragen ist.

DNS Server definieren

Ohne DNS-Server geht es nicht.

  • Menü IP -> DNS Settings (Häkchen bei „Allow Remote Requests“ setzen nicht vergessen)

Das sollte es gewesen sein. Alle Clients die an den LAN-Ports des Mikrotik Routers hängen, sollten nun in das Internet gelangen.

 

 

 

Datenschutzgrundverordnung (DSGVO) ab 25.05.2018 – „Short“ facts

Mit Start der DSGVO stehen uns einige Änderungen bevor.

Ich möchte hier nur einige – meiner Meinung nach wichtige Aspekte – aufführen. Genaueres ist bitte der DSGVO zu entnehmen (Ausnahmen, Sonderregelungen etc.)

Allgemeines

Die DSGVO bezieht sich ausschließlich auf den Schutz personenbezogerner Daten natürlicher Personen. Die DSGVO bezieht sich NICHT auf juristische Personen!

Die bisher bekannte Meldung an das DVR fällt weg. Die DVR-Nummer wird obsolet.

Begriffsbestimmungen

  • Verantwortlicher = Verarbeiter von personenbezogener Daten natürlicher Personen
  • Auftragsverarbeiter = Verarbeiter von personenbezogenen Daten im Auftrag des Verantwortlichen
  • Betroffener = Natürliche Person, deren personenbezogene Daten verarbeitet werden.

Dokumentationspflicht (DSGVO Artikel 30)

Statt der Meldung an das DVR, hat man nun eine Dokumentationspflicht, die in Form eines Verzeichnisses von Verarbeitungstätigkeiten zu führen ist. Diese Dokumentation kann angelehnt an die bisherigen Meldungen an das DVR geführt werden und ist der Aufsichtsbehörde auf Wunsch vorzulegen.

Wichtig ist, dass die Verarbeitungstätigkeit nicht beschreibt welches Programm verwendet wird, sondern als Beschreibung des Vorganges der Datenverarbeitung zu sehen ist. Es ist jedoch naheliegend, dass man alle Programme erfassen muss, um in einem nächsten Schritt die verarbeiteten Daten (Felder, die erfasst werden) zu analysieren.

Informationspflicht (DSGVO Artikel 13, 14)

Der Betroffene ist zum Zeitpunkt der Datenerhebung über die Datenanwendung zu informieren. (Dies kann beispielsweise in Form einer Information auf der Homepage, oder auch in Form eines ausgedruckten Informationsblattes gelöst sein. Es ist anzuraten, dass der Betroffene dieses Informationsblatt unterschreibt. )

Achtung: Es macht einen Unterschied, ob die Daten direkt beim Betroffenen erhoben worden sind, oder nicht!

Einholung einer Einverständniserklärung (DSGVO Artikel 4/Z11, 7,8)

Basiert die Datenverarbeitung auf einer gesetzlichen Grundlage, so ist KEINE Einverständniserklärung des Betroffenen notwendig.

Ist keine rechtliche Grundlage für die Datenverarbeitung vorhanden, so muss eine Einverständniserklärung eingeholt werden. Die Erklärung sollte aus Beweisgründen immer in schriftlicher Form eingeholt werden. Im Falle der Datenverarbeitung über eine Homepage, wäre hier z.B. durch den Betroffenen ein Häkchen zu setzen. Eine andere (bessere Möglichkeit) ist das sogenannte Double-opt-in Verfahren. Hier wird beispielsweise nach einer etwaigen Datenerfassung per Webformular, zusätzlich ein Aktivierungslink per Email zugesandt. Erst nachdem der Betroffene diesen Link anklickt, wird dann z.B. ein Benutzerkonto aktiviert, ein Newsletterabo abgeschlossen usw.

In diese Bestätigungs-/Aktivierungsmail kann man dann auch noch weitere Informationen packen, die den Betroffenen über die Online-Datenverarbeitung informieren.

Durchführen einer Datenschutzfolgenabschätzung (DSGVO Artikel 35)

Werden sensible Daten verarbeitet und besteht für den Betroffenen durch die Datenverarbeitung ein hohes Risiko und ist keine Ausnahme anzuwenden, so ist eine Datenschutzfolgenabschätzung durchzuführen.

Bsp: Videoüberwachung, Profiling etc.

Auskunftsrecht (DSGVO Artikel 11, 12, 15, 23)

Betroffene haben ein Recht auf Auskunft.

Meldung von Datenschutzverletzungen (DSGVO Artikel  4/Z 12, Art 33, Art 34)

Bei Verletzung des Schutzes personenbezogener Daten besteht eine Meldepflicht gegenüber der Aufsichtsbehörde und ggf. gegenüber betroffener Personen.

Fazit

Wie man unschwer erkennen kann, ist die DSGVO ein weites Feld. Vor allem die hohen Bußgelder, im Falle einer Datenschutzverletzung, sollte Unternehmen hellhörig werden lassen.

Infomaterial

Disclaimer

Bei dieser Zusammenfassung handelt es sich um keine Rechtsauskunft, sondern um meine Interpretation und Zusammenfassung zum Thema DSGVO. Im Zweifelsfalle sollte auf jeden Fall juristischer Rat in Anspruch genommen werden. Dieser Artikel erhebt keinen Anspruch auf Vollständigkeit.

 

 

 

1 2 3 4 71