Als Verbraucher sind wir alle gezwungen, den von uns genutzten Technologieunternehmen ein gewisses Maß an Vertrauen zu schenken. Schließlich sind die meisten von uns nicht fähig genug, Sicherheitslücken und Schwachstellen selbst zu entdecken.
Die Debatte um die Privatsphäre und den jüngsten Unmut von Windows 10 Stellt die WiFi Sense-Funktion von Windows 10 ein Sicherheitsrisiko dar? Stellt die WiFi Sense-Funktion von Windows 10 ein Sicherheitsrisiko dar? Read More ist nur ein Teil des Puzzles. Ein anderer - insgesamt unheimlicherer Teil - ist, wenn die Hardware selbst Mängel aufweist.
Ein versierter Computerbenutzer kann seine Online-Präsenz verwalten und ausreichende Einstellungen vornehmen, um seine Datenschutzprobleme zu begrenzen Alles, was Sie über die Datenschutzprobleme von Windows 10 wissen müssen Alles, was Sie über die Datenschutzprobleme von Windows 10 wissen müssen Während Windows 10 einige Probleme aufweist, die Benutzer beachten müssen Viele Behauptungen wurden übertrieben. Hier finden Sie unseren Leitfaden für alles, was Sie über die Datenschutzprobleme von Windows 10 wissen müssen. Lesen Sie mehr, aber ein Problem mit dem zugrunde liegenden Code eines Produkts ist schwerwiegender; Es ist viel schwieriger zu erkennen und schwieriger für einen Endbenutzer zu adressieren.
Was ist passiert?
Die neueste Firma, die sich in einen Sicherheitsalarm einmischt, ist der populäre taiwanesische Netzwerkausrüster D-Link. Viele unserer Leser werden ihre Produkte entweder zu Hause oder im Büro verwenden; Im März 2008 wurden sie zum weltweit führenden Anbieter von Wi-Fi-Produkten und kontrollieren derzeit rund 35 Prozent des Marktes.
Die Nachrichten von Fauxpas haben heute früh gebrochen, als die Firma ihre privaten Codesignaturschlüssel im Quellcode eines aktuellen Firmware-Updates veröffentlicht hat. Private Schlüssel werden verwendet, damit ein Computer überprüfen kann, ob ein Produkt echt ist und der Code des Produkts seit der ursprünglichen Erstellung nicht geändert oder beschädigt wurde.
Aus der Sicht des Laien bedeutet dieses Schlupfloch also, dass ein Hacker die veröffentlichten Schlüssel in seinen eigenen Programmen verwenden könnte, um einen Computer zu glauben, dass sein schädlicher Code tatsächlich ein D-Link-Produkt sei.
Wie ist es passiert?
D-Link ist seit langem auf seine Offenheit stolz. Ein Teil dieser Offenheit ist eine Verpflichtung, alle seine Firmware unter einer General Public License (GPL) Lizenz zu veröffentlichen. In der Praxis bedeutet dies, dass jeder auf den Code eines beliebigen D-Link-Produkts zugreifen kann. Dies ermöglicht es ihm, den Code an seine eigenen präzisen Anforderungen anzupassen und zu ändern.
Theoretisch ist es eine empfehlenswerte Position. Diejenigen unter Ihnen, die sich mit der Debatte über Apple iOS und Android auf dem Laufenden halten, werden zweifellos wissen, dass eine der größten Kritikpunkte an der in Cupertino ansässigen Firma ihr unerschütterliches Engagement ist, für Personen gesperrt zu bleiben, die die Quelle optimieren möchten Code. Es ist der Grund, warum gibt es keine benutzerdefinierten ROMs wie Android Cyanogen Mod Wie CyanogenMod auf Ihrem Android-Gerät installieren Wie CyanogenMod auf Ihrem Android-Gerät installieren Eine Menge Leute können zustimmen, dass das Android-Betriebssystem ziemlich genial ist. Es ist nicht nur großartig zu benutzen, aber es ist auch kostenlos wie in Open Source, so dass es modifiziert werden kann ... Lesen Sie mehr für Apples mobile Geräte.
Die gegenteilige Seite der Medaille ist, dass wenn große Open-Source-Fehler gemacht werden, sie eine große Anstoßwirkung haben können. Wenn ihre Firmware geschlossen wäre, wäre der gleiche Fehler viel weniger ein Problem gewesen und viel weniger wahrscheinlich entdeckt worden.
Wie wurde es entdeckt?
Der Fehler wurde von einem norwegischen Entwickler namens "bartvbl" entdeckt, der kürzlich die Überwachungskamera DCS-5020L von D-Link erworben hatte.
Als kompetenter und neugieriger Entwickler entschied er sich, im Firmware-Quellcode des Geräts "unter der Haube" herumzustochern. Darin fand er sowohl die privaten Schlüssel als auch die Passphrasen, die zum Signieren der Software benötigt wurden.
Er begann mit seinen eigenen Experimenten und stellte schnell fest, dass er eine Windows-Anwendung erstellen konnte, die mit einem der vier Schlüssel signiert war - und so den Eindruck erweckte, als käme er von D-Link. Die anderen drei Tasten haben nicht funktioniert.
Er teilte seine Ergebnisse mit der niederländischen Tech-Nachrichtenseite Tweakers, die die Entdeckung an die niederländische Sicherheitsfirma Fox IT weitergab.
Sie bestätigten die Sicherheitslücke und gaben folgende Erklärung ab:
"Das Code-Signing-Zertifikat ist in der Tat für ein Firmware-Paket, Firmware-Version 1.00b03. Sein Quelldatum ist der 27. Februar dieses Jahres, was bedeutet, dass die Schlüssel dieses Zertifikats lange vor dem Ablauf des Zertifikats veröffentlicht wurden. Es ist ein großer Fehler ".
Warum ist es so ernst?
Es ist auf einer Reihe von Ebenen ernst.
Erstens hat Fox IT gemeldet, dass sich vier Zertifikate in demselben Ordner befinden. Diese Zertifikate stammten von Starfield Technologies, KEEBOX Inc. und Alpha Networks. Alle von ihnen könnten verwendet werden, um bösartigen Code zu erstellen, der die Fähigkeit hat, Antiviren-Software zu umgehen. Vergleichen Sie die Leistung Ihres Anti-Virus mit diesen 5 Top-Sites. Vergleichen Sie die Leistung Ihres Anti-Virus mit diesen 5 Top-Sites sollte nutzen? Welches ist das Beste"? Hier sehen wir uns fünf der besten Online-Ressourcen zur Überprüfung der Antiviren-Leistung an, damit Sie eine fundierte Entscheidung treffen können. Lesen Sie mehr und andere traditionelle Sicherheitschecks - in der Tat vertrauen die meisten Sicherheitstechnologien den signierten Dateien und lassen sie ohne Frage passieren.
Zweitens werden Advanced Persistent Threat (APT) -Angriffe zu einem zunehmend bevorzugten Modus Operandi für Hacker. Sie benutzen fast immer verlorene oder gestohlene Zertifikate und Schlüssel, um ihre Opfer zu unterwerfen. Jüngste Beispiele sind die Detover Scheibenwischer-Malware 2014 Final Controversy: Sony Hack, Das Interview & Nordkorea 2014 Final Controversy: Sony Hack, das Interview & Nordkorea Hatte Nordkorea Sony Pictures wirklich gehackt? Wo ist der Beweis? Hat noch jemand von dem Angriff profitiert, und wie wurde der Vorfall in die Werbung für einen Film gesponnen? Lesen Sie mehr verwendet gegen Sony im Jahr 2014 und die Duqu 2.0 Angriff auf die chinesischen Hersteller von Apple.
Es ist klar, dass es nicht sinnvoll ist, der Waffenkammer des Kriminellen mehr Macht zu verleihen, und kommt auf das eingangs erwähnte Element des Vertrauens zurück. Als Verbraucher müssen diese Unternehmen wachsam sein, um ihre sicherheitsbezogenen Vermögenswerte zu schützen, um die Bedrohung durch Cyberkriminelle zu bekämpfen.
Wer ist betroffen?
Die ehrliche Antwort hier ist, dass wir es nicht wissen.
Obwohl D-Link bereits neue Versionen der Firmware veröffentlicht hat, gibt es keine Möglichkeit zu sagen, ob es Hackern gelungen ist, die Schlüssel vor der öffentlichen Entdeckung von bartvbl zu extrahieren und zu verwenden.
Es besteht die Hoffnung, dass die Analyse von Malware-Proben auf Diensten wie VirusTotal letztendlich eine Antwort auf die Frage liefern kann. Wir müssen erst auf die Entdeckung eines potenziellen Virus warten.
Erschüttert dieser Vorfall Ihr Vertrauen in Tech?
Wie ist deine Meinung zu dieser Situation? Sind Fehler wie diese in der Welt der Technologie unausweichlich, oder sind die Unternehmen für ihre schlechte Einstellung zur Sicherheit verantwortlich?
Würde Sie ein solcher Vorfall in Zukunft von der Verwendung von D-Link-Produkten abhalten, oder würden Sie das Problem akzeptieren und trotzdem weitermachen?
Wie immer würden wir gerne von Ihnen hören. Sie können uns Ihre Gedanken in den Kommentaren unten mitteilen.
Bildquelle: Matthias Ripp über Flickr.com