M2M-Probleme, SCADA-Schwachstellen und Pwnies

Doch nicht nur Endpunkte im Netzwerk, auch die Infrastruktur ist Ziel der Angreifer. Der Forscher Don Baily etwa hat sich mit der M2M-Kommunikation auseinandergesetzt, speziell mit dem Fall, dass Maschinen untereinander über GSM, GPRS oder UMTS kommunizieren. Das Ergebnis: Gelingt es einem Angreifer, solch ein System zu übernehmen, hat er leichtes Spiel. Der Forscher zeigte unter anderem, wie er mittels eines PCs ein Auto aufsperren konnte, dessen Sicherheitssystem auf M2M basiert. Zudem war er in der lage, den Wagen über einen Desktop-Befehl sogar zu starten - ganz ohne Schlüssel. Der Fehler liege vor allem darin, dass kaum eine kommerzielle Lösung ihre Kommunikation richtig verschlüssele, da entsprechende Chips einfach als zu teuer empfunden würden.

In die gleiche Bresche schlägt Dilion Beresford, der sich SCADA-Systeme von Siemens vorgenommen hat. Diese haben zuletzt durch den Wurm Stuxnet zweifelhaften Ruhm erlangt: Dem Wurm war es unter anderem gelungen, mehrere Forschungsanlagen für Nukleartechnik im Iran lahmzulegen. Laut Beresford sind die meisten SCADA-Systeme, nicht nur von Siemens, anfällig. Das liegt daran, dass viele verwendete Protokolle seit den 80er Jahren nicht mehr aktualisiert wurden. Zudem finden immer mehr dieser Geräte Anschluss ans Internet, was sie zu relativ einfachen Zielen macht - vorausgesetzt, man setzt sich mit der Architektur, dem Betriebssystem und der Programmierung auseinander. Ein Problem sei, dass es zwar teilweise Updates gibt, welche einzelne Fehler beheben, sich aber ein SCADA-System, welches ein Kraftwerk oder eine Industrieanlage steuert, nicht ohne weiteres vom Netz nehmen und aktualisieren lässt.

Neben den ernsten Themen bietet die Konferenz auch Raum für Unterhaltung. Dazu gehören beispielsweise die Pwnie-Awards, die jedes Jahr vergeben werden und in etwa den Oscars der IT-Sicherheitsbranche entsprechen. Die Jury zeichnet damit einfallsreiche Hacks oder besonders dummes Verhalten von Herstellern aus. Unsere Bilderstrecke zeigt die diesjährigen Empfänger.

Um den aktuellen Bedrohungen zu entgehen, muss sich laut Moss die grundsätzliche Einstellung der Unternehmen zu Sicherheitsfragen ändern. Jeder solle davon ausgehen, dass die eigenen Systeme akut bedroht sind und entsprechende Abwehrmaßnahmen einleiten. Dieses Szenario sei deutlich realistischer als die Annahme, dass man selbst vor Attacken geschützt sei.