Discussion:
Stuxnet
(zu alt für eine Antwort)
Ottmar Ohlemacher
2010-10-02 08:02:06 UTC
Permalink
Hallo,

wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?

Hier das Video zu dem Filmeitrag von Stuxnet.

http://www.tagesschau.de/multimedia/video/ondemand100_id-video779798.html

Gruß.
Ottmar
Roland Ertelt
2010-10-02 11:12:37 UTC
Permalink
Post by Ottmar Ohlemacher
Hallo,
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
...
Indem auf den Kisten ein Windows läuft...

Roland
Michael Landenberger
2010-10-02 14:10:21 UTC
Permalink
Post by Roland Ertelt
Post by Ottmar Ohlemacher
Hallo,
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
...
Indem auf den Kisten ein Windows läuft...
Das ist a) keine Antwort auf Ottmars Frage und b) trifft auch nicht den Kern
der Sache. Genausogut kann man ja auch behaupten: indem auf den Kisten eine
Siemens-Prozesssteuerung läuft. Auf eine solche haben es die
Stuxnet-Programmierer nämlich abgesehen. Wenn die mehrheitlich von Rechnern
mit einem anderen Betriebssystem gesteuert und überwacht würden, dann hätte
man eben dieses Betriebssystem gehackt. Egal welches Betriebssystem das
gewesen wäre, Vollprofis wie die Stuxnet-Programmierer [1] hätten sicher
auch da einen Weg gefunden, ihre Malware einzuschleusen.

[1] Lt. dem von Ottmar verlinkten Tagesschau-Bericht wird hinter Stuxnet ein
Team von ca. 50 versierten Programmierern und ein Budget von mehreren
Millionen Euro vermutet.

Gruß

Michael
Roland Ertelt
2010-10-02 19:30:24 UTC
Permalink
Post by Michael Landenberger
Post by Roland Ertelt
Post by Ottmar Ohlemacher
Hallo,
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
...
Indem auf den Kisten ein Windows läuft...
Das ist a) keine Antwort auf Ottmars Frage und b) trifft auch nicht den
Kern der Sache. ...
Nicht?

" ... Stuxnet is a Windows-specific computer worm ..."

Damit stehen dem Wurm alle Möglichkeiten offen, die eine Windose so bietet.

Irgendwann musste es ja mal passieren, wenn Windows für kritische
Anwendungen eingesetzt wird...

Roland
Michael Landenberger
2010-10-02 20:04:01 UTC
Permalink
Post by Roland Ertelt
Nicht?
" ... Stuxnet is a Windows-specific computer worm ..."
Du hast mich offenbar nicht verstanden. Wenn die Steuerungs- und
Kontrollrechner für Siemens Industriesteuerungen statt unter Windows
unter $Irgendein_OS gelaufen wären, hätte es Stuxnet trotzdem gegeben.
In den Pressemeldungen hätte dann eben gestanden "Stuxnet is a
$Irgendein_OS-specific computer worm".

Und die Programmierer von Stuxnet sind keine Freizeithacker. Das sind
Profis, die mit ziemlicher Sicherheit *jedes* OS geknackt hätten.
Post by Roland Ertelt
Damit stehen dem Wurm alle Möglichkeiten offen, die eine Windose so bietet.
Wären es Rechner mit $Irgendein_OS gewesen, hätten dem Wurm alle
Möglichkeiten offengestanden, die $Irgendein_OS so bietet. Und glaub
mir: diese Möglichkeiten gibt es. Bei *jedem* Betriebssystem.

Übrigens waren nur die Computer, die als erstes infiziert wurden,
Windows-Rechner. Danach hat der Computer die Software der Steuerung
befallen, und die stammt von Siemens, nicht von Microsoft.
Post by Roland Ertelt
Irgendwann musste es ja mal passieren, wenn Windows für
kritische Anwendungen eingesetzt wird...
Es wäre mit jedem anderen OS auch passiert.

Gruß

Michael
Roland Ertelt
2010-10-03 16:33:00 UTC
Permalink
Post by Michael Landenberger
Post by Roland Ertelt
Nicht?
" ... Stuxnet is a Windows-specific computer worm ..."
Du hast mich offenbar nicht verstanden. Wenn die Steuerungs- und
Kontrollrechner für Siemens Industriesteuerungen statt unter Windows
unter $Irgendein_OS gelaufen wären, hätte es Stuxnet trotzdem gegeben.
Was zu beweisen wäre. Wenn man die Simatic z.B. auf $Unix laufen liesse,
würde es den Virus so nicht geben.

Der Virus baut darauf, dass als OS ein per se unsicheres System
verwendet wird, und dass die SPS-Steuerung Simatic-kompatibel ist.
Post by Michael Landenberger
In den Pressemeldungen hätte dann eben gestanden "Stuxnet is a
$Irgendein_OS-specific computer worm".
Nein. Du hast offenbar den Infizierungsweg nicht verstanden.

Wenn man natürlich ein Betriebssystem, welches für Endanwender und
Spieler erzeugt wurde, in kritischen Umgebungen einsetzt, darf man sich
über derartige Probleme nicht wundern...
Post by Michael Landenberger
Und die Programmierer von Stuxnet sind keine Freizeithacker. Das sind
Profis, die mit ziemlicher Sicherheit *jedes* OS geknackt hätten.
Post by Roland Ertelt
Damit stehen dem Wurm alle Möglichkeiten offen, die eine Windose so bietet.
Wären es Rechner mit $Irgendein_OS gewesen, hätten dem Wurm alle
Möglichkeiten offengestanden, die $Irgendein_OS so bietet. Und glaub
mir: diese Möglichkeiten gibt es. Bei *jedem* Betriebssystem.
Das Problem für die Schreiber ist dabei, dass $irgendeinOS nicht die
Sicherheitslücken vom Wintendo aufweist.
Post by Michael Landenberger
Übrigens waren nur die Computer, die als erstes infiziert wurden,
Windows-Rechner. Danach hat der Computer die Software der Steuerung
befallen, und die stammt von Siemens, nicht von Microsoft.
Schlage bitte mal die Definition eines Betriebssystems, und einer
Anwendung nach...

Als Hilfe:
Windows -> Betriebssystem
Simatic -> Anwendung

Der Wurm ist nicht anders, als alle bisherigen. Er benutzt eine
Sicherheitslücken des OS um eine bestimmte Anwendung auf dem OS zu
stören/benutzen/etc.
Post by Michael Landenberger
Post by Roland Ertelt
Irgendwann musste es ja mal passieren, wenn Windows für
kritische Anwendungen eingesetzt wird...
Es wäre mit jedem anderen OS auch passiert.
Sicher. Aber wenn ich den Zeitrahmen betrachte, in dem es z.B. $Unix
gibt, und die Anzahl der (funktionierenden) Viren dafür, hätten wir noch
gut 100 Jahre Zeit...

Roland
Christoph Sternberg
2010-10-03 17:26:17 UTC
Permalink
Post by Roland Ertelt
Der Wurm ist nicht anders, als alle bisherigen. Er benutzt eine
Sicherheitslücken des OS um eine bestimmte Anwendung auf dem OS zu
stören/benutzen/etc.
Und Du meinst, die gäbe es bei $Unix nicht? Träum weiter.

Christoph Sternberg */\
Michael Unger
2010-10-03 17:21:07 UTC
Permalink
Post by Roland Ertelt
[...]
Schlage bitte mal die Definition eines Betriebssystems, und einer
Anwendung nach...
Windows -> Betriebssystem
Simatic -> Anwendung
Magst Du konkreter werden? Den einzigen Hinweis, den ich bei Siemens zu
"Windows" gefunden habe, ist "SIMATIC STEP 7-Micro/WIN. Das Engineering
Paket zur Projektierung der SIMATIC S7-200" -- die Beschreibung [1]
liest sich so, als sei das eine Art "Cross-Compiler":

| Die Software lässt sich wie eine Windows-Standard-Anwendung handhaben
| und enthält alle notwendigen Tools für die komfortable Programmierung
| der SIMATIC S7-200: Vom leistungsfähigen SIMATIC Befehlssatz über die
| Programmierung nach IEC 1131 bis hin zu Trend Charts und Wizards.
Post by Roland Ertelt
[...]
Michael


[1]
<https://www.automation.siemens.com/mcms/simatic-controller-software/de/step7/step7-micro-win/Seiten/Default.aspx>
--
Real names enhance the probability of getting real answers.
My e-mail account at DECUS Munich is no longer valid.
Roland Ertelt
2010-10-03 19:25:58 UTC
Permalink
Post by Michael Unger
Post by Roland Ertelt
[...]
Schlage bitte mal die Definition eines Betriebssystems, und einer
Anwendung nach...
Windows -> Betriebssystem
Simatic -> Anwendung
Magst Du konkreter werden? Den einzigen Hinweis, den ich bei Siemens zu
"Windows" gefunden habe, ist "SIMATIC STEP 7-Micro/WIN. Das Engineering
Paket zur Projektierung der SIMATIC S7-200" -- die Beschreibung [1]
| Die Software lässt sich wie eine Windows-Standard-Anwendung handhaben
| und enthält alle notwendigen Tools für die komfortable Programmierung
| der SIMATIC S7-200: Vom leistungsfähigen SIMATIC Befehlssatz über die
| Programmierung nach IEC 1131 bis hin zu Trend Charts und Wizards.
...
Dann ist das ja noch "simpler", als ich eigentlich dachte. Der
infizierte Windows-Rechner baut den Wurm in das SPS-Programm als eigenen
Funktionsbaustein ein. Analog klassischem .com oder .exe Virus...

Das bedeutet: Der Wurm kann sich nur verbreiten, wenn man von einem
infizierten Rechner aus ein neues Programm auf die SPS lädt.

Dann ist die Sicherheitslücke nicht die (embedded) SPS, sondern der
"Kompiler" auf der Windose. Entweder wurde dem eine neue "standard.lib"
untergejubelt, oder sogar eine Binary modifiziert, damit der Benutzer
das neue Modul im Programmfenster nicht sieht.

Dabei kann man sich dann aussuchen, ob das Problem das ungefragte
Ausführen eines Programmes ist, oder ob das Programm einfach Binaries
der Applikationen überschreiben darf.

Aus dem Sicherheitswinkel betrachtet, ist so ein Angriff allerdings sehr
wirkungsvoll. Da kein (intel)Schadcode enthalten ist, schlägt keine
Heuristik an. Da auf der Windose zum Zeitpunkt des eigentlichen Angriffs
auch kein neuer Prozess läuft, ist der Angriff quasi unsichtbar.

Roland
Michael Landenberger
2010-10-03 21:00:13 UTC
Permalink
Post by Roland Ertelt
Dann ist das ja noch "simpler", als ich eigentlich dachte. Der
infizierte Windows-Rechner baut den Wurm in das SPS-Programm
als eigenen Funktionsbaustein ein. Analog klassischem .com oder
.exe Virus...
Nur dass er das nicht über die Programmierumgebung tut, sondern über ein
Programm (WinCC), das normalerweise nicht zum Programmieren, sondern zum
Steuern und Visualisieren benutzt wird. Der von Michael erwähnte
Cross-Compiler (Step7) ist nach derzeitigem Kenntnisstand nicht betroffen.
Post by Roland Ertelt
Dann ist die Sicherheitslücke nicht die (embedded) SPS, sondern der
"Kompiler" auf der Windose.
Die "Windose" hätte genausogut eine Unix-Dose sein können. Nochmal zum
Mitmeißeln: die Angreifer mussten genau den Rechner knacken, der zum Steuern
benutzt wird. Wäre das ein $Unix-Rechner gewesen, wäre der geknackt worden,
und zwar genauso raffiniert und genauso erfolgreich wie ein Windows-Rechner.
Natürlich hätte man eine andere (Zero-Day-)Lücke ausnützen müssen, denn
jedes OS weist andere Schwachstellen auf. Aber letztendlich ist doch egal,
welche Lücke ausgenutzt wird, oder?

Für das Funktionieren des Wurms war übrigens noch eine viel größere
Schwachstelle erforderlich, nämlich ein fest einprogrammiertes
Datenbank-Passwort in WinCC. WinCC stammt aber nicht von Microsoft und diese
Sicherheitslücke hat auch mit Windows und dessen Schwachstellen nicht das
geringste zu tun.

Gruß

Michael
Roland Ertelt
2010-10-04 16:22:52 UTC
Permalink
Post by Michael Landenberger
Post by Roland Ertelt
Dann ist das ja noch "simpler", als ich eigentlich dachte. Der
infizierte Windows-Rechner baut den Wurm in das SPS-Programm
als eigenen Funktionsbaustein ein. Analog klassischem .com oder
.exe Virus...
Nur dass er das nicht über die Programmierumgebung tut, sondern über ein
Programm (WinCC), das normalerweise nicht zum Programmieren, sondern zum
Steuern und Visualisieren benutzt wird. Der von Michael erwähnte
Cross-Compiler (Step7) ist nach derzeitigem Kenntnisstand nicht betroffen.
Ich bin mir nicht so sicher, ob WinCC nicht auch aktiv in die SPS
eingreifen kann. Wenn es das kann, ist auf jeden Fall ein Kompiler drin.
Post by Michael Landenberger
...
Für das Funktionieren des Wurms war übrigens noch eine viel größere
Schwachstelle erforderlich, nämlich ein fest einprogrammiertes
Datenbank-Passwort in WinCC. WinCC stammt aber nicht von Microsoft und
diese Sicherheitslücke hat auch mit Windows und dessen Schwachstellen
nicht das geringste zu tun.
Das sehe ich nicht ganz so. Als Anwendungsprogrammierer möchte ich mich
auf die Rechtetrennung des OS verlassen können. Bei MS klappt das aber
offenbar noch nicht bis zur Endkonsequenz.

Natürlich ist ein standartmäßig aktivierter "Generalschlüssel" in jeder
Software ein Unding. Sowohl alsauch...

Roland
Stefan Kanthak
2010-10-05 15:07:11 UTC
Permalink
Post by Roland Ertelt
Post by Michael Landenberger
Für das Funktionieren des Wurms war übrigens noch eine viel größere
Schwachstelle erforderlich, nämlich ein fest einprogrammiertes
Datenbank-Passwort in WinCC. WinCC stammt aber nicht von Microsoft und
diese Sicherheitslücke hat auch mit Windows und dessen Schwachstellen
nicht das geringste zu tun.
Das sehe ich nicht ganz so. Als Anwendungsprogrammierer möchte ich mich
auf die Rechtetrennung des OS verlassen können. Bei MS klappt das aber
offenbar noch nicht bis zur Endkonsequenz.
Bloedsinn! Apropos Endkonsequenz: ist das sowas wie die Endloesung?
Ganz offensichtlich ist nur, dass Du KEINERLEI Ahnung von Windows hast.

Was bei MSFT nicht klappt: die bei der Inbetriebnahme angelegten
Benutzerkonten sind noch immer Administratoren.
Und viel zu viele Softwareverbrecher erstellen noch immer Windows-
Software, die nur mit administrativen Rechten laeuft.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Arno Welzel
2010-10-05 20:47:42 UTC
Permalink
[...]
Post by Roland Ertelt
Post by Michael Landenberger
...
Für das Funktionieren des Wurms war übrigens noch eine viel größere
Schwachstelle erforderlich, nämlich ein fest einprogrammiertes
Datenbank-Passwort in WinCC. WinCC stammt aber nicht von Microsoft und
diese Sicherheitslücke hat auch mit Windows und dessen Schwachstellen
nicht das geringste zu tun.
Das sehe ich nicht ganz so. Als Anwendungsprogrammierer möchte ich mich
auf die Rechtetrennung des OS verlassen können. Bei MS klappt das aber
offenbar noch nicht bis zur Endkonsequenz.
Immer auf "Windows ist unsicher" herumzuklopfen, ist etwas kurz gedacht.
Selbstverständlich hat auch Windows eine funktionierende
Rechtetrennnung, die im Detail auch deutlich weiter geht, als bei vielen
Unixoiden. Das hilft aber eben nicht, wenn der Angreifer solche Grenzen
gar nicht umgehen muss.
Post by Roland Ertelt
Natürlich ist ein standartmäßig aktivierter "Generalschlüssel" in jeder
Software ein Unding. Sowohl alsauch...
In diesem Fall war es vermutlich *das* Unding schlechthin, ohne das
Stuxnet schlicht nicht möglich gewesen wäre.
--
http://arnowelzel.de
http://de-rec-fahrrad.de
Jo Kerr
2010-10-12 16:11:37 UTC
Permalink
Post by Roland Ertelt
Ich bin mir nicht so sicher, ob WinCC nicht auch aktiv in die SPS
eingreifen kann. Wenn es das kann, ist auf jeden Fall ein Kompiler drin.
WinCC kann die Daten (nicht die Programmbausteine) der SPS verändern.
Das ist ja eine der Aufgaben eines Steuerungssytems.
Da aber die Daten die Zustände der Anlage spiegeln, kann leicht ein
falscher Zustand angezeigt werden oder gesteuert werden. Und das ist
schon genug um einen schönen Chaos zu haben.
--
In gold we trust (c)
Michael Landenberger
2010-10-03 18:09:02 UTC
Permalink
Post by Roland Ertelt
Post by Michael Landenberger
Du hast mich offenbar nicht verstanden. Wenn die Steuerungs- und
Kontrollrechner für Siemens Industriesteuerungen statt unter
Windows unter $Irgendein_OS gelaufen wären, hätte es Stuxnet
trotzdem gegeben.
Was zu beweisen wäre. Wenn man die Simatic z.B. auf $Unix laufen
liesse, würde es den Virus so nicht geben.
Natürlich würde es in "so" nicht geben, dafür aber "anders".

Die Macher von Stuxnet hatten es ganz konkret darauf abgesehen,
Siemens-Prozesssteuerungen manipulieren zu können. Das war ihr eigentliches
Ziel. Und genau das unterscheidet sie von Otto Normal-Malwareschreiber: der
will nämlich nur irgendeinen Rechner (egal was für einen) kapern, um daraus
eine Spamschleuder zu machen oder in das Bankkonto des Besitzers
einzubrechen. Wenn das beim einen Rechner nicht klappt, wird eben ein
anderer angegriffen. Die Stuxnet-Programmierer wollten dagegen nicht
irgendeinen Rechner kapern, sondern genau den, der für die Überwachung einer
Siemens-Prozesssteuerung eingesetzt wird. Hätte es sich dabei um einen
$Unix-Rechner gehandelt, so hätte die Aufgabenstellung eben nicht gelautet
"hackt einen Windows-Rechner", sondern "hackt einen $Unix-Rechner". Und 50
Vollprofis mit einem Millionenbudget im Rücken gelingt auch das, glaub mir.
Post by Roland Ertelt
Post by Michael Landenberger
In den Pressemeldungen hätte dann eben gestanden "Stuxnet is a
$Irgendein_OS-specific computer worm".
Nein. Du hast offenbar den Infizierungsweg nicht verstanden.
Natürlich habe ich den verstanden. Es waren Windows-Rechner, die der Wurm
zuerst befallen hat. Das war aber nicht sein eigentliches Ziel. Das
eigentliche Ziel war die Siemens-Prozesssteuerungssoftware. Und die läuft
eben nicht auf dem Windows-Rechner, der als erstes befallen wurde. Meines
Wissens läuft sie überhaupt nicht unter Windows, sondern irgend einem
Embedded-Betriebssystem. Sie wurde aber trotzdem kompromittiert. Wenn man
also schon Windows als unsicher anprangert, dann müsste man das genauso mit
der Siemens-Software machen. Aber nein, es muss mal wieder Windows als
Sündenbock herhalten. Dabei war es IMO Siemens, die viel größeren Bockmist
gebaut haben.

Davon abgesehen war es reiner Zufall, dass Windows-Rechner als erstes
angegriffen wurden. Wären statt Windows- $Unix-Rechner zur Steuerung der
Siemens SPS eingesetzt worden, wären eben die gehackt worden.
Post by Roland Ertelt
Wenn man natürlich ein Betriebssystem, welches für Endanwender und
Spieler erzeugt wurde, in kritischen Umgebungen einsetzt, darf man
sich über derartige Probleme nicht wundern...
Windows wurde nicht (nur) für Endanwender und Spieler entwickelt. Im
Gegenteil, die Hauptzielgruppe sieht ganz anders aus.
Post by Roland Ertelt
Das Problem für die Schreiber ist dabei, dass $irgendeinOS nicht
die Sicherheitslücken vom Wintendo aufweist.
Ein korrekt konfiguriertes Windows ist genauso sicher (oder eben unsicher)
wie jedes andere Betriebssystem auch. Die Zeiten, in denen Windows
Ähnlichkeit mit einem Schweizer Käse hatte, sind längst vorbei [1]. Wenn man
also den Verantwortlichen einen Vorwurf machen kann, dann nicht den, dass
sie Windows eingesetzt haben, sondern eher den, dass sie dieses Windows
nicht korrekt administriert haben. Und wenn man den Einsatz von Windows als
Fehler ansieht, dann muss man auch den Einsatz der Siemens-SPS kritisieren,
denn die hat sich als genauso anfällig erwiesen. Und das obwohl die
Plattform, auf der sie läuft, weder mit Windows noch mit Microsoft etwas zu
tun hat.

[1] <http://www.ct.de/-208604.html>
Post by Roland Ertelt
Windows -> Betriebssystem
Simatic -> Anwendung
Falsch. Du darfst dich jetzt auch noch mal schlau lesen. Als Hilfe:

Windows -> Betriebssystem, auf dem die Programmierumgebung Step7 und die
Kontrollsoftware WinCC läuft
Simatic -> Produktname für SPS-*Hardware* (siehe auch
<http://de.wikipedia.org/wiki/Simatic>)
??? -> (Embedded-/Microcontroller-)Betriebssystem der Simatic-Steuerung, auf
dem die eigentliche (und ebenso kompromittierte) Steuerung läuft

Die drei Fragezeichen kannst du ja ersetzen, sobald du dich etwas eingelesen
hast. Ich habe jetzt auf die Schnelle nichts dazu gefunden. Vielleicht taugt
ja
<http://de.wikipedia.org/wiki/Speicherprogrammierbare_Steuerung#Aufbau_und_Programmierung>
als Ausgangspunkt.
Post by Roland Ertelt
Der Wurm ist nicht anders, als alle bisherigen. Er benutzt eine
Sicherheitslücken des OS um eine bestimmte Anwendung auf dem OS
zu stören/benutzen/etc.
Korrekt. Und solche Sicherheitslücken gibt es in *jedem* Betriebssystem, ob
du's glaubst oder nicht. Es wäre im vorliegenden Fall also völlig egal
gewesen, welches Betriebssystem zum Einsatz gekommen wäre. Der Auftrag
lautete ja nicht: "Windows-Rechner hacken", sondern "Prozesssteuerung
hacken". Bei $Unix auf den Steuerungsrechnern wäre man eben etwas anders
vorgegangen und hätte andere Lücken ausgenutzt. Das Ergebnis wäre das
gleiche gewesen. Vermutlich hätten dann aber alle nur auf Siemens
herumgehackt, denn $Unix gilt ja als ach so sicher. So dient Windows als
willkommener Sündenbock, und Siemens als eigentlich Verantwortlicher für die
Malaise kommt mehr oder weniger ungeschoren davon.
Post by Roland Ertelt
Sicher. Aber wenn ich den Zeitrahmen betrachte, in dem es z.B. $Unix
gibt, und die Anzahl der (funktionierenden) Viren dafür, hätten wir
noch gut 100 Jahre Zeit...
<Verschwörungstheorie>
Sobald ein Geheimdienst oder eine ähnlich potente Organisation einen Grund
sieht, gleich mehrere Dutzend hochqualifizierte Programmierer und ein
Millionenbudget auf ein $Unix anzusetzen, schrumpfen die 100 Jahre im
Handumdrehen auf ein paar wenige Jahre oder gar nur Monate. Es könnte sogar
noch schneller gehen als bei Windows, denn Windows-Hacker müssen
Sicherheitslücken mit viel Herumprobiererei ausfindig machen, während
$Unix-Hackern zusätzlich auch der Quellcode zur Verfügung steht, den sie
nach Schwachstellen absuchen können. Du kannst froh sein, dass in den
befallenen Prozesssteuerungen Windows zum Einsatz kam, denn sonst wäre $Unix
gehackt worden (IMO genauso raffiniert und genauso erfolgreich) und es wäre
ein für allemal vorbei gewesen mit dem Ruf des "sicheren Betriebssystems".
</Verschwörungstheorie>

Gruß

Michael
Claus-Dieter Schulmann
2010-10-03 19:17:52 UTC
Permalink
Post by Michael Landenberger
Ein korrekt konfiguriertes Windows ist genauso sicher (oder eben unsicher)
wie jedes andere Betriebssystem auch. Die Zeiten, in denen Windows
Ähnlichkeit mit einem Schweizer Käse hatte, sind längst vorbei [1]. Wenn
man also den Verantwortlichen einen Vorwurf machen kann, dann nicht den,
dass sie Windows eingesetzt haben, sondern eher den, dass sie dieses
Windows nicht korrekt administriert haben. Und wenn man den Einsatz von
Nach meinen Informationen wurde mindestens ein Windows-Zero-Day-
Exploit ausgenutzt.
Der Vorwurf von nicht korrekter Windows-Administration ist damit
für mich nicht nachvollziehbar.
--
Claus-Dieter
Michael Landenberger
2010-10-03 20:06:55 UTC
Permalink
Post by Claus-Dieter Schulmann
Nach meinen Informationen wurde mindestens ein Windows-Zero-Day-
Exploit ausgenutzt.
Der Vorwurf von nicht korrekter Windows-Administration ist damit
für mich nicht nachvollziehbar.
Unter "korrekter Administration" verstehe ich z. B. das Abschotten von
sensiblen Rechnern gegenüber weniger gesicherten Netzbereichen und externen
Datenträgern wie z. B. USB-Sticks. Es ist auch möglich, dass Stuxnet ohne
Administratorrechte weniger Chancen gehabt hätte, einen Rechner zu befallen.

Gruß

Michael
Claus-Dieter Schulmann
2010-10-03 21:00:41 UTC
Permalink
Post by Michael Landenberger
Post by Claus-Dieter Schulmann
Der Vorwurf von nicht korrekter Windows-Administration ist damit
für mich nicht nachvollziehbar.
Unter "korrekter Administration" verstehe ich z. B. das Abschotten von
sensiblen Rechnern gegenüber weniger gesicherten Netzbereichen und
Das ist nicht die Aufgabe der Windows- sondern der Netzwerk-
Administration.
Genau diese Abschottung erscheint mir als sehr sinnvolle Massnahme.
Aber wie gesagt: Kein Thema der Windows-Admins.
Post by Michael Landenberger
externen Datenträgern wie z. B. USB-Sticks. Es ist auch möglich, dass
Das ist vielschichtig.

Z. B. könnten fremde Windows-Systeme mit falscher Konfiguration
in Bezug auf USB-Sticks an das Netz angeschlossen worden sein.
Das wäre wieder in der Verantwortung der Netzwerkadministration.

Oder es könnte eine Person, die berechtigt war, mit USB-Sticks zu
arbeiten, den Stick unter Missachtung der Sicherheitsregeln
eingesteckt haben.
Auch das wäre nicht von der Windows-Administration zu verantworten.

Oder es könnte von der Geschäftsführung gefordert worden sein, bei
manchen Windows-Maschinen die USB-Anschlüsse offen zu lassen.
Auch das wäre nicht von der Windows-Administration zu verantworten.

Oder die Windows-Maschinen könnten sich die Malware über das
Internet (oder über Verbindungen mit anderen Netzen) durch das
Ausnutzen eines Windows-Zero-Day-Exploits eingefangen haben.
Auch da könnte man der Windows-Administration keinen Vorwurf
machen.

Oder es könnte tatsächlich eine Nachlässigkeit der Windows-Admini-
stration sein weil USB mehr oder weniger offen war und ein unbe-
darfter Anwender einen unbekannten Stick eingesteckt hat. Selbst
in diesem Fall hätte die Windows-Administration nicht die
alleinige Schuld.
Post by Michael Landenberger
Stuxnet ohne Administratorrechte weniger Chancen gehabt hätte, einen
Rechner zu befallen.
Bei einem Windows-Zero-Day-Exploit?
Nein.
--
Claus-Dieter
Michael Landenberger
2010-10-03 23:12:54 UTC
Permalink
Post by Claus-Dieter Schulmann
Post by Michael Landenberger
Stuxnet ohne Administratorrechte weniger Chancen gehabt hätte,
einen Rechner zu befallen.
Bei einem Windows-Zero-Day-Exploit?
Nein.
Bei einem Zero-Day-Exploit nutzt ein Angreifer eine bislang unbekannte
Sicherheitslücke aus, um Schadcode einzuschleusen und zu starten. Das
bedeutet aber noch lange nicht, dass dieser Schadcode dann auf dem Rechner
machen kann, was er will. Auch eingeschleuster Schadcode hat zunächst nur
die Rechte, die der angemeldete Benutzer hat (es sei denn, er verschafft
sich durch eine weitere Sicherheitslücke höhere Rechte).

Stuxnet ist insofern eine Ausnahme, als dass er keine Admin-Rechte braucht,
um z. B. einen Reboot zu überleben. Stuxnet wird nämlich über Verknüpfungen
(lnk-Dateien) eingeschleust, und die kann auch ein Benutzer mit
eingeschränkten Rechten z. B. auf seinen eigenen Desktop kopieren. Der Wurm
muss also nur eine Kopie der infizierten lnk-Datei auf dem Desktop des
angemeldeten Benutzers ablegen und wird dann ganz ohne Registry- oder
Autostart-Eintrag (wofür er Admin-Rechte bräuchte) jedes Mal ausgeführt,
wenn der Desktop angezeigt wird, also im Prinzip nach jeder
Benutzeranmeldung. Stuxnet kann man demnach durch eingeschränkte
Benutzerrechte vermutlich nicht nennenswert beeindrucken. Das hat aber
nichts damit zu tun, dass es sich um einen Zero-Day-Exploit handelt. Es gab
schon genügend andere Zero-Day-Exploits mit anderer Arbeitsweise, die ohne
Admin-Rechte nicht funktionierten.

Gruß

Michael
Stefan Kanthak
2010-10-04 06:28:14 UTC
Permalink
Post by Michael Landenberger
Post by Claus-Dieter Schulmann
Post by Michael Landenberger
Stuxnet ohne Administratorrechte weniger Chancen gehabt hätte,
einen Rechner zu befallen.
Bei einem Windows-Zero-Day-Exploit?
Nein.
Bei einem Zero-Day-Exploit nutzt ein Angreifer eine bislang unbekannte
Sicherheitslücke aus, um Schadcode einzuschleusen und zu starten. Das
bedeutet aber noch lange nicht, dass dieser Schadcode dann auf dem Rechner
machen kann, was er will. Auch eingeschleuster Schadcode hat zunächst nur
die Rechte, die der angemeldete Benutzer hat (es sei denn, er verschafft
sich durch eine weitere Sicherheitslücke höhere Rechte).
Stuxnet ist insofern eine Ausnahme, als dass er keine Admin-Rechte braucht,
Falsch! Wie kommst Du auf dieses duenne Brett?
Post by Michael Landenberger
um z. B. einen Reboot zu überleben. Stuxnet wird nämlich über Verknüpfungen
(lnk-Dateien) eingeschleust,
Nein. Die *.LNK enthalten nur ShellCode, der eine DLL nachlaedt und den
darin befindlichen Schaedling ueber DllMain() ausfuehrt.
Unterbinde das Laden von DLLs, die ausserhalb von %SystemRoot% oder
%ProgramFiles% liegen, und Kroppzeux wie Stuxnet ist UNSCHAEDLICH!
Post by Michael Landenberger
und die kann auch ein Benutzer mit eingeschränkten Rechten z. B. auf
seinen eigenen Desktop kopieren.
Soweit richtig.
Post by Michael Landenberger
Der Wurm muss also nur eine Kopie der infizierten lnk-Datei auf dem
Desktop des angemeldeten Benutzers ablegen
Wie soll der Wurm das machen? Der ShellCode in der *.LNK genuegt dazu
nicht. Und die Ausfuehrung weiteren Codes ist unter Windows problemlos
zu verhindern: <http://home.arcor.de/skanthak/download/XP_SAFER.INF>
erledigt das auch fuer Dich, ab XP Home aufwaerts.

[ GIGO entsorgt ]

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Michael Landenberger
2010-10-04 08:47:06 UTC
Permalink
Post by Stefan Kanthak
Die *.LNK enthalten nur ShellCode, der eine DLL nachlaedt und den
darin befindlichen Schaedling ueber DllMain() ausfuehrt.
Unterbinde das Laden von DLLs, die ausserhalb von %SystemRoot%
oder %ProgramFiles% liegen, und Kroppzeux wie Stuxnet ist
UNSCHAEDLICH!
Danke für die Aufklärung. Womit wir wieder bei dem von mir bereits erwähnten
Umstand wären, dass die befallenen Rechner schlecht administriert waren.

Gruß

Michael
Roland Ertelt
2010-10-04 16:18:30 UTC
Permalink
Post by Stefan Kanthak
...
Post by Michael Landenberger
um z. B. einen Reboot zu überleben. Stuxnet wird nämlich über Verknüpfungen
(lnk-Dateien) eingeschleust,
Nein. Die *.LNK enthalten nur ShellCode, der eine DLL nachlaedt und den
darin befindlichen Schaedling ueber DllMain() ausfuehrt.
Unterbinde das Laden von DLLs, die ausserhalb von %SystemRoot% oder
%ProgramFiles% liegen, und Kroppzeux wie Stuxnet ist UNSCHAEDLICH!
Und warum muss ich das erst explizit wollen?
Für deine hochgelobte eNTe gehört das standartmäßig ab Werk so eingerichtet.
Und wer es anders will, möchte es bitte nach einer anständigen Warung,
welche Probleme er sich einhandelt, einschalten.

Aber da sind wir ja wieder beim Kern des Problems. MS will sein Wintendo
an Zocker verticken, wo jeder bunte Schnulli gleich laufen muss, und die
tatsächlich glauben, ein Virenscanner hilft auch gegen Fusspilz. Und
dann ist da noch die Katastrophe, die MS "Meldung" oder "Hilfe" nennt...

Roland
Stefan Kanthak
2010-10-05 15:18:36 UTC
Permalink
Post by Roland Ertelt
Post by Stefan Kanthak
Unterbinde das Laden von DLLs, die ausserhalb von %SystemRoot% oder
%ProgramFiles% liegen, und Kroppzeux wie Stuxnet ist UNSCHAEDLICH!
Und warum muss ich das erst explizit wollen?
Unter ALLEN Betruebssystemen koennen Benutzer Anwendungen (inkl. ihrer
Bibliotheken) von allen ihnen zugaenglichen Pfaden laden.
Stell Dir vor, Du mountest auf (D)einem UNIX /home mit noexec, und alle
Deine eigenen Shell-Skripts etc. liefen nicht mehr. Die anderer Leute
uebrigens auch nicht: nimm irgendein groesseres OS-Paket, beispielsweise
GhostScript oder Samba, und sieh Dir an, welche Hilfsprogramme beim "make"
erzeugt und benutzt werden.
Post by Roland Ertelt
Für deine hochgelobte eNTe gehört das standartmäßig ab Werk so eingerichtet.
Wieso? Uebrigens: mein Standard fuer Standard ist standard.
Post by Roland Ertelt
Und wer es anders will, möchte es bitte nach einer anständigen Warung,
welche Probleme er sich einhandelt, einschalten.
Aber da sind wir ja wieder beim Kern des Problems.
Richtig: Du hast nicht nur von Windows keine Ahnung, sondern von keinem
Betruebssystem.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Stefan Kanthak
2010-10-04 06:24:50 UTC
Permalink
Post by Claus-Dieter Schulmann
Post by Michael Landenberger
Post by Claus-Dieter Schulmann
Der Vorwurf von nicht korrekter Windows-Administration ist damit
für mich nicht nachvollziehbar.
Unter "korrekter Administration" verstehe ich z. B. das Abschotten von
sensiblen Rechnern gegenüber weniger gesicherten Netzbereichen und
Das ist nicht die Aufgabe der Windows- sondern der Netzwerk-
Administration.
Falsch!
Wenn ein Rechner Dienste nicht anbieten muss, dann schaltet sie JEDER
denkende Administrator ab, und deinstalliert sie wenn moeglich.
Microsoft haengt aber lieber ein Feigenblatt vor MS-RPC, die Datei-
und Druckerfreigabe, RemoteDesktop, DCOM, ...
Post by Claus-Dieter Schulmann
Genau diese Abschottung erscheint mir als sehr sinnvolle Massnahme.
Aber wie gesagt: Kein Thema der Windows-Admins.
Falsch. Natuerlich DIE Standard-Aufgabe eines Windows-Administrators.
Post by Claus-Dieter Schulmann
Post by Michael Landenberger
externen Datenträgern wie z. B. USB-Sticks. Es ist auch möglich, dass
Das ist vielschichtig.
Z. B. könnten fremde Windows-Systeme mit falscher Konfiguration
in Bezug auf USB-Sticks an das Netz angeschlossen worden sein.
Das wäre wieder in der Verantwortung der Netzwerkadministration.
Nein. S.o.
Und zweitens: Windows beherrscht sein 10 Jahren IPsec. Damit laesst
sich auf den ENDSYSTEMEN definieren, mit welchen anderen ENDSYSTEMEN
diese ueberhaupt reden duerfen. Port-spezifisch. Unabhaengig vom
Transportweg. JEDER denkende Administrator nutzt diese Moeglichkeit,
auch wenn im Netzwerk noch eine zweite/dritte Schutzebene moeglich
sein sollte. Sowas nennt sich "layered defense" oder "gestaffelte
Verteidigung/Abschottung".
Post by Claus-Dieter Schulmann
Oder es könnte eine Person, die berechtigt war, mit USB-Sticks zu
arbeiten, den Stick unter Missachtung der Sicherheitsregeln
eingesteckt haben.
Auch das wäre nicht von der Windows-Administration zu verantworten.
Wenn "Datenaustausch per USB-Speichergeraet" am Endsystem nicht
notwendig ist, dann deaktiviert JEDER denkende Administrator den
entsprechenden Treiber. Bei Windows heisst dieser "USBStor", bei
anderen Systemen: sieh selbst nach!
Post by Claus-Dieter Schulmann
Oder es könnte von der Geschäftsführung gefordert worden sein, bei
manchen Windows-Maschinen die USB-Anschlüsse offen zu lassen.
Auch das wäre nicht von der Windows-Administration zu verantworten.
Dann, und NUR DANN!
Post by Claus-Dieter Schulmann
Oder die Windows-Maschinen könnten sich die Malware über das
Internet (oder über Verbindungen mit anderen Netzen) durch das
Ausnutzen eines Windows-Zero-Day-Exploits eingefangen haben.
Auch da könnte man der Windows-Administration keinen Vorwurf
machen.
Doch. S.o.
Post by Claus-Dieter Schulmann
Oder es könnte tatsächlich eine Nachlässigkeit der Windows-Admini-
stration sein weil USB mehr oder weniger offen war und ein unbe-
darfter Anwender einen unbekannten Stick eingesteckt hat. Selbst
in diesem Fall hätte die Windows-Administration nicht die
alleinige Schuld.
Doch. S.o. und s.u.!
Post by Claus-Dieter Schulmann
Post by Michael Landenberger
Stuxnet ohne Administratorrechte weniger Chancen gehabt hätte, einen
Rechner zu befallen.
Bei einem Windows-Zero-Day-Exploit?
Nein.
Aber natuerlich.
SAFER wehrt Kroppzeux wie Stuxnet problemlos ab.
Wenn SAFER fuer Administratoren aktiv ist, auch unter deren Konten!

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Roland Ertelt
2010-10-03 19:51:09 UTC
Permalink
... Und genau das unterscheidet sie von Otto
Normal-Malwareschreiber: der will nämlich nur irgendeinen Rechner (egal
was für einen) kapern, um daraus eine Spamschleuder zu machen oder in
das Bankkonto des Besitzers einzubrechen.
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff einen
SPS-Kompiler, oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?

Ich sehe da keinen. Es ist ein spezieller Angriff auf ein spezielles
Stück Software.

Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in der
SPS.

...
Natürlich habe ich den verstanden. Es waren Windows-Rechner, die der
Wurm zuerst befallen hat. Das war aber nicht sein eigentliches Ziel. Das
eigentliche Ziel war die Siemens-Prozesssteuerungssoftware. Und die
läuft eben nicht auf dem Windows-Rechner, der als erstes befallen wurde.
Meines Wissens läuft sie überhaupt nicht unter Windows, sondern irgend
einem Embedded-Betriebssystem. Sie wurde aber trotzdem kompromittiert.
Wenn man also schon Windows als unsicher anprangert, dann müsste man das
genauso mit der Siemens-Software machen. Aber nein, es muss mal wieder
Windows als Sündenbock herhalten. Dabei war es IMO Siemens, die viel
größeren Bockmist gebaut haben.
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt. Sie
*kann* gar keine Kontrolle machen, ob das richtig ist.

Das Problem ist *nur* das Betriebssystem, welches ungefragt Aktionen
macht, sobald es etwas vorgesetzt bekommt, was nach Aktion aussieht.

Mal mit IE folgende Links benutzen:

http://piology.org/ie/vbscript.txt
http://piology.org/ie/mime.txt

Wenn eine einfache Applikation schon glaubt, besser zu wissen, als der
Benutzer, was soll dann das OS tun?
Davon abgesehen war es reiner Zufall, dass Windows-Rechner als erstes
angegriffen wurden. Wären statt Windows- $Unix-Rechner zur Steuerung der
Siemens SPS eingesetzt worden, wären eben die gehackt worden.
Nein. Das Sicherheitsmodell diverser $Unix hätte auffällige
Benutzeraktionen erfordert, mindestens ein "su", um einen solchen
Angriff auszuführen.
Post by Roland Ertelt
Wenn man natürlich ein Betriebssystem, welches für Endanwender und
Spieler erzeugt wurde, in kritischen Umgebungen einsetzt, darf man
sich über derartige Probleme nicht wundern...
Windows wurde nicht (nur) für Endanwender und Spieler entwickelt. Im
Gegenteil, die Hauptzielgruppe sieht ganz anders aus.
Wenn ich mir die Patches fürs Windows so anschaue, und die Hardware, die
vom Wintedo so unterstütz wird, sehe ich das deutlich anders. Die
Zielgruppe für Windows ist eindeutig die Zockergesellschaft...

Und wer Wikipedia kennt, weiss dass da ein Haufen Müll steht.
Die Korrektur dort erfolgt nach dem Fliegen-Mist-Schema:
Wenn 1000 Fliegen den Misthaufen toll finden, kann der nur toll sein.
Wenn dann ein Marienkäfer sagt, da gibts was bessres, ist der ja doof.
Korrekt. Und solche Sicherheitslücken gibt es in *jedem* Betriebssystem,
ob du's glaubst oder nicht. Es wäre im vorliegenden Fall also völlig
egal gewesen, welches Betriebssystem zum Einsatz gekommen wäre.
Natürlich hat jedes System Sicherheitslücken. Der Unterschied liegt
darin, ob sie theoretisch vorhanden sind aber durch die Architektur des
Systems nicht ausnutzbar sind, oder praktisch nutzbar. Windows bietet
als bisher einziges (mir bekanntes) beides.
Der
Auftrag lautete ja nicht: "Windows-Rechner hacken", sondern
"Prozesssteuerung hacken". ...
Falsch. Da die SPS selbst nicht direkt angreifbar ist, *kann* man nur
den PC hacken, der die SPS programmiert.

Sicher kann man Siemens hier den Vorwurf machen, ihr Produkt nicht auch
für $Unix anzubieten.

Roland
Michael Landenberger
2010-10-03 20:50:31 UTC
Permalink
Post by Roland Ertelt
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff
einen SPS-Kompiler,
Es wurde kein SPS-Compiler angegriffen. Es wurde die Steuerungs- und
Visualisierungssoftware WinCC angegriffen.
Post by Roland Ertelt
oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?
Was hätte Stuxnet mit einem Adressbuch anfangen sollen? (BTW: iexplorer.exe
hat kein Adressbuch). Stuxnet wollte die Steuerung kapern, nicht
irgendwelche E-Mail-Adressen harvesten.
Post by Roland Ertelt
Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in
der SPS.
Korrekt. Allerdings läuft der nicht unter Windows.
Post by Roland Ertelt
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt.
Sie *kann* gar keine Kontrolle machen, ob das richtig ist.
Natürlich kann sie das nicht. Erstaunlich ist allerdings, dass Stuxnet zum
Laden von Programmen in die SPS nicht die eigentlich dafür vorgesehene
Programmierumgebung Step7 benötigt, sondern er schafft das über eine
Software, die eigentlich gar nicht zum Programmieren gemacht ist, nämlich
WinCC, einer Steuer- und Visualisierungssoftware (SCADA). Und das soll lt.
<http://www.sps-forum.de/showthread.php?t=39033> nicht so ganz trivial sein,
zumal es Stuxnet auch noch versteht, seine Manipulationen direkt in der SPS
(also nicht auf dem Steuerrechner!) zu verstecken.
Der IE spielte bei Stuxnet keine Rolle.
Post by Roland Ertelt
Nein. Das Sicherheitsmodell diverser $Unix hätte auffällige
Benutzeraktionen erfordert, mindestens ein "su", um einen
solchen Angriff auszuführen.
Das wäre der Normalfall. Ein relativ mächtiger Auftraggeber, 50 versierte
Hacker und ein Millionenbudget sind aber nicht der Normalfall. Weißt du, ob
es in $Unix nicht irgendwelche Buffer Overflows und andere unentdeckte Bugs
gibt, die einem Angreifer ganz ohne "su" und ohne dass es der Benutzer
merkt, Root-Rechte verschaffen können? Warum soll einem $Unix-Programmierer
nicht auch einmal ein Fehler unterlaufen?
Post by Roland Ertelt
Natürlich hat jedes System Sicherheitslücken. Der Unterschied liegt
darin, ob sie theoretisch vorhanden sind aber durch die Architektur
des Systems nicht ausnutzbar sind, oder praktisch nutzbar.
Worin unterscheiden sich denn die Sicherheitsvorkehrungen eines korrekt (!)
konfigurierten Windows von denen eines korrekt konfigurierten $Unix?
Post by Roland Ertelt
Falsch. Da die SPS selbst nicht direkt angreifbar ist,
Sie war es offenbar im Fall von Stuxnet. Und zwar nicht über die
Programmierumgebung Step7, sondern über die Visualisierungssoftware WinCC.
Lt. <http://www.ct.de/-1080584.html> kann Stuxnet einzelne Codeblöcke in den
SPS austauschen oder hinzufügen. Er ist also quasi selbst eine
Programmiersoftware für die SPS. Sowas kann man für jedes Betriebssystem
programmieren. Allerdings sollte eine SCADA-Software nur auf einem
entsprechend abgeschotteten Rechner laufen. Hätten die "Opfer" von Stuxnet
das berücksichtigt, hätte Stuxnet keine Chance gehabt. Es hätte nie eine
Verbindung zwischen einem infizierten Rechner und einem SCADA-Rechner
gegeben, und es hätte am SCADA-Rechner auch kein externer Datenträger
gelesen werden können.
Post by Roland Ertelt
*kann* man nur
den PC hacken, der die SPS programmiert.
Man kann auch einen PC hacken, der die Anlage steuert und überwacht. Das ist
etwas anderes als Programmierung.

http://www.sps-forum.de/showthread.php?t=39033
Post by Roland Ertelt
Sicher kann man Siemens hier den Vorwurf machen, ihr Produkt nicht
auch für $Unix anzubieten.
Schon wieder falsch:
<http://is.industry.siemens.com/broschueren/pdf/services/de/SOFTNET_S7-LINUX_SOFTBUS-LINUX_de.pdf>
<https://www.hqs.sbt.siemens.com/gip/general/dlc/data/assets/hq/21057_N9827de_hq-en.pdf>,
S. 4

Gruß

Michael
Stefan Kanthak
2010-10-04 06:31:57 UTC
Permalink
Post by Roland Ertelt
... Und genau das unterscheidet sie von Otto
Normal-Malwareschreiber: der will nämlich nur irgendeinen Rechner (egal
was für einen) kapern, um daraus eine Spamschleuder zu machen oder in
das Bankkonto des Besitzers einzubrechen.
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff einen
SPS-Kompiler, oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?
Ich sehe da keinen. Es ist ein spezieller Angriff auf ein spezielles
Stück Software.
Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in der
SPS.
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt. Sie
*kann* gar keine Kontrolle machen, ob das richtig ist.
Das Problem ist *nur* das Betriebssystem, welches ungefragt Aktionen
~~~~~~~~~~~~~~~~~~~~~~~~
Post by Roland Ertelt
macht, sobald es etwas vorgesetzt bekommt, was nach Aktion aussieht.
~~
Post by Roland Ertelt
http://piology.org/ie/vbscript.txt
http://piology.org/ie/mime.txt
Der Internet Explorer ist eine Applikation, NICHT das Betriebssystem!
Uebrigens: das Ausfuehren von Skripten im Internet Explorer ist
abschaltbar.
Post by Roland Ertelt
Wenn eine einfache Applikation schon glaubt, besser zu wissen, als der
Benutzer, was soll dann das OS tun?
Die Rechtetrennung gewaehrleisten!

Aber: wieso wirfst Du Nebelkerzen? Der IE war nicht der Angriffsvektor.
Und: den IE kann man auf Windows problemlos lahmlegen. Oder Scripting
und Ausfuehrung externer DLLs abschalten. Fuer ALLE Benutzer. Und ohne
Administratorrechte kann es keiner wieder einschalten.-)
Post by Roland Ertelt
Davon abgesehen war es reiner Zufall, dass Windows-Rechner als erstes
angegriffen wurden. Wären statt Windows- $Unix-Rechner zur Steuerung der
Siemens SPS eingesetzt worden, wären eben die gehackt worden.
Nein. Das Sicherheitsmodell diverser $Unix hätte auffällige
Benutzeraktionen erfordert, mindestens ein "su", um einen solchen
Angriff auszuführen.
Stuxnet braucht unter Windows ebenso Administratorrechte, um seinen
Schadcode in das Repository mit den Code-Bausteinen der SPS zu pflanzen.
Hast Du WIRKLICH so gar keine Ahnung von Windows?
Post by Roland Ertelt
Korrekt. Und solche Sicherheitslücken gibt es in *jedem* Betriebssystem,
ob du's glaubst oder nicht. Es wäre im vorliegenden Fall also völlig
egal gewesen, welches Betriebssystem zum Einsatz gekommen wäre.
Natürlich hat jedes System Sicherheitslücken. Der Unterschied liegt
darin, ob sie theoretisch vorhanden sind aber durch die Architektur des
Systems nicht ausnutzbar sind, oder praktisch nutzbar. Windows bietet
als bisher einziges (mir bekanntes) beides.
Du hast ganz offensichtlich keinerlei Ahnung von der Windows-Architektur!
Post by Roland Ertelt
Der
Auftrag lautete ja nicht: "Windows-Rechner hacken", sondern
"Prozesssteuerung hacken". ...
Falsch. Da die SPS selbst nicht direkt angreifbar ist, *kann* man nur
den PC hacken, der die SPS programmiert.
Nicht der PC infiziert die SPS, sondern deren Steuerprogramm, WinCC.
Post by Roland Ertelt
Sicher kann man Siemens hier den Vorwurf machen, ihr Produkt nicht auch
für $Unix anzubieten.
Siemens MUSS der Vorwurf gemacht werden, dass sie EXPLIZIT vom Setzen
eigener Zugangsdaten zu WinCC abraten und moeglicherweise ihren Support
einschraenken, falls ein Kunde das macht.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Ansgar -59cobalt- Wiechers
2010-10-04 08:23:21 UTC
Permalink
Post by Stefan Kanthak
Post by Roland Ertelt
Post by Michael Landenberger
Korrekt. Und solche Sicherheitslücken gibt es in *jedem*
Betriebssystem, ob du's glaubst oder nicht. Es wäre im vorliegenden
Fall also völlig egal gewesen, welches Betriebssystem zum Einsatz
gekommen wäre.
Natürlich hat jedes System Sicherheitslücken. Der Unterschied liegt
darin, ob sie theoretisch vorhanden sind aber durch die Architektur
des Systems nicht ausnutzbar sind, oder praktisch nutzbar. Windows
bietet als bisher einziges (mir bekanntes) beides.
Du hast ganz offensichtlich keinerlei Ahnung von der Windows-
Architektur!
Er hat ganz offensichtlich von Windows ebensoviel Ahnung wie von jedem
anderen Betriebssystem (oder von Stuxnet): gar keine.

In Bezug auf Stuxnet mag dieser FAZ-Artikel von Frank Rieger erhellend
sein:
<http://www.faz.net/s/RubCEB3712D41B64C3094E31BDC1446D18E/Doc~E8A0D43832567452FBDEE07AF579E893C~ATpl~Ecommon~Scontent.html>

cu
59cobalt
--
"All vulnerabilities deserve a public fear period prior to patches
becoming available."
--Jason Coombs on Bugtraq
Karl-Josef Ziegler
2010-10-06 06:55:46 UTC
Permalink
Post by Ansgar -59cobalt- Wiechers
In Bezug auf Stuxnet mag dieser FAZ-Artikel von Frank Rieger erhellend
<http://www.faz.net/s/RubCEB3712D41B64C3094E31BDC1446D18E/Doc~E8A0D43832567452FBDEE07AF579E893C~ATpl~Ecommon~Scontent.html>
Wobei hier ja recht unverblümt angedeutet wird, dass es sich um einen
professionellen Angriff handelt. Also mit recht hoher Wahrscheinlichkeit
CIA/NSA und/oder Mossad. Und da stehen natürlich ganz andere
Möglichkeiten dahinter. Z. Bsp. das Einschleusen von Mitarbeitern in die
betreffenden Software-Firmen, wo dann Hintertüren ganz bewusst
'programmiert' bzw. offengelassen werden ggf. sogar in Absprache mit den
betreffenden Firmen. Was die betroffenen Firmen natürlich niemals
zugeben würden/könnten.

BTW: Wie war das noch einmal mit dem 'NSA-Key' in Windows? Alles nur
eine 'urban legend'? Oder der 'Bundestrojaner'....

http://en.wikipedia.org/wiki/NSAKEY

Viele Grüße,

- Karl-Josef
Roland Ertelt
2010-10-04 16:13:04 UTC
Permalink
Post by Stefan Kanthak
Post by Roland Ertelt
... Und genau das unterscheidet sie von Otto
Normal-Malwareschreiber: der will nämlich nur irgendeinen Rechner (egal
was für einen) kapern, um daraus eine Spamschleuder zu machen oder in
das Bankkonto des Besitzers einzubrechen.
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff einen
SPS-Kompiler, oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?
Ich sehe da keinen. Es ist ein spezieller Angriff auf ein spezielles
Stück Software.
Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in der
SPS.
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt. Sie
*kann* gar keine Kontrolle machen, ob das richtig ist.
Das Problem ist *nur* das Betriebssystem, welches ungefragt Aktionen
~~~~~~~~~~~~~~~~~~~~~~~~
Post by Roland Ertelt
macht, sobald es etwas vorgesetzt bekommt, was nach Aktion aussieht.
~~
Post by Roland Ertelt
http://piology.org/ie/vbscript.txt
http://piology.org/ie/mime.txt
Der Internet Explorer ist eine Applikation, NICHT das Betriebssystem!
Genau! Wie verschieden der IE vom OS ist, zeigt die Eingabe von
www.google.de in eine beliebige Windows-Explorer-Pfadleiste.

Damit gilt für mich Windows=IE.

Wer vor 15 Jahren dem Herrn Gates zugehört hat, weiss dass das sein Ziel
war (und seit XP ist).

Falls du es immer noch nicht kapiert hast, dient der IE hier als
Beispiel, wie wirksam MS Probleme in seiner Software behebt. Nämlich nur
sehr oberflächlich bis garnicht.
Post by Stefan Kanthak
Uebrigens: das Ausfuehren von Skripten im Internet Explorer ist
abschaltbar.
Genau. Schalten wir die Skripte im IE ab. Dumm nur, dass das restliche
System das offenbar nicht so ernst nimmt, wie durch Stuxnet bewiesen wurde.

Für MS rächt es sich jetzt (und seit Jahren) immer wieder, dass keine
wirksame Trennung zwischen Anwendung und Betriebsystem gemacht wird. Es
werden immer irgend welche Automatismen und Hintertüren eingebaut, damit
der Benutzer ja nicht mitbekommt, was gerade abläuft.
Post by Stefan Kanthak
Post by Roland Ertelt
Wenn eine einfache Applikation schon glaubt, besser zu wissen, als der
Benutzer, was soll dann das OS tun?
Die Rechtetrennung gewaehrleisten!
Wie denn, wenn das OS es dann doch besser weiss, als der Benutzer?
Offenbar reicht es dem Wintendo eine bekannte digitale Signatur zu
zeigen, und schon darf die Applikation alles.
Post by Stefan Kanthak
Aber: wieso wirfst Du Nebelkerzen? Der IE war nicht der Angriffsvektor.
...
Der IE dient hier nur als Beispiel, wie zuverlässig und schnell
Microsoft Probleme in seiner Software beseitigt. Die o.g. Seite
funktioniert ja erst seit IE4...
Post by Stefan Kanthak
...
Stuxnet braucht unter Windows ebenso Administratorrechte, um seinen
Schadcode in das Repository mit den Code-Bausteinen der SPS zu pflanzen.
...
Offensichtlich brauchte Stuxnet das nicht.
Post by Stefan Kanthak
...
Du hast ganz offensichtlich keinerlei Ahnung von der Windows-Architektur!
Was nutzt diese Kenntnis mir? Bzw. den Stuxnet Opfern? Offenbar Garnix.

Roland
Detlev Wenzel
2010-10-04 17:42:30 UTC
Permalink
Post by Roland Ertelt
Genau! Wie verschieden der IE vom OS ist, zeigt die Eingabe von
www.google.de in eine beliebige Windows-Explorer-Pfadleiste.
Das öffnet bei mir (Win 7) ein Tab im Firefox.
Der ist eben der Standardbrowser.
Roland Ertelt
2010-10-04 17:52:13 UTC
Permalink
Post by Detlev Wenzel
Post by Roland Ertelt
Genau! Wie verschieden der IE vom OS ist, zeigt die Eingabe von
www.google.de in eine beliebige Windows-Explorer-Pfadleiste.
Das öffnet bei mir (Win 7) ein Tab im Firefox.
Der ist eben der Standardbrowser.
Naja. Immerhin nach 8 Jahren in den Griff bekommen. Respekt.

Bedenklich ist es trotzdem. Es ist einer der Automatismen, der Windows
immer wieder das Sicherheitsgenick brechen wird.

Roland
Arno Welzel
2010-10-05 08:38:36 UTC
Permalink
Post by Roland Ertelt
Post by Detlev Wenzel
Post by Roland Ertelt
Genau! Wie verschieden der IE vom OS ist, zeigt die Eingabe von
www.google.de in eine beliebige Windows-Explorer-Pfadleiste.
Das öffnet bei mir (Win 7) ein Tab im Firefox.
Der ist eben der Standardbrowser.
Naja. Immerhin nach 8 Jahren in den Griff bekommen. Respekt.
Bedenklich ist es trotzdem. Es ist einer der Automatismen, der Windows
immer wieder das Sicherheitsgenick brechen wird.
Wieso? Die Interpretation von URLs und die Weitergabe derselben an das
zuständige Programm ist auch bei anderen Systemen schon lange üblich.
--
http://arnowelzel.de
http://de-rec-fahrrad.de
Stefan Kanthak
2010-10-05 16:57:11 UTC
Permalink
Post by Roland Ertelt
Post by Stefan Kanthak
Post by Roland Ertelt
http://piology.org/ie/vbscript.txt
http://piology.org/ie/mime.txt
Der Internet Explorer ist eine Applikation, NICHT das Betriebssystem!
Genau! Wie verschieden der IE vom OS ist, zeigt die Eingabe von
www.google.de in eine beliebige Windows-Explorer-Pfadleiste.
Damit gilt für mich Windows=IE.
Dann ist fuer Dich beispielsweise auch Ubuntu=GNOME oder SUSE=KDE?

Schrieb ich schon mal, dass Du ganz offensichtlich keine Ahnung hast?`

BTW: <http://support.microsoft.com/kb/928675/en-us>
Post by Roland Ertelt
Wer vor 15 Jahren dem Herrn Gates zugehört hat, weiss dass das sein Ziel
war (und seit XP ist).
Wirklich? Seit Vista bzw. dem IE7 verfolgt er dieses Ziel nicht mehr!
Post by Roland Ertelt
Falls du es immer noch nicht kapiert hast, dient der IE hier als
Beispiel, wie wirksam MS Probleme in seiner Software behebt. Nämlich nur
sehr oberflächlich bis garnicht.
Ach? Ich dachte, hier geht's darum, wie verwundbar Windows durch Stuxnet
sei.
Post by Roland Ertelt
Post by Stefan Kanthak
Uebrigens: das Ausfuehren von Skripten im Internet Explorer ist
abschaltbar.
Genau. Schalten wir die Skripte im IE ab. Dumm nur, dass das restliche
System das offenbar nicht so ernst nimmt, wie durch Stuxnet bewiesen wurde.
Wieso sollte Abschalten von Skripten in EINER Anwendung eine Wirkung
auf das restliche System haben? Das ist 'ne dumme Vorstellung.
Noch duemmer ist, dass Stuxnet weder JScript/VBScript noch ActiveX
benutzt. Du hast folglich nur Deine Ahnungslosigkeit bewiesen.
Post by Roland Ertelt
Für MS rächt es sich jetzt (und seit Jahren) immer wieder, dass keine
wirksame Trennung zwischen Anwendung und Betriebsystem gemacht wird.
Nein, es raecht sich nur, dass Du komplett Ahnungslos bist!
Post by Roland Ertelt
Es
werden immer irgend welche Automatismen und Hintertüren eingebaut, damit
der Benutzer ja nicht mitbekommt, was gerade abläuft.
Welche denn?
Post by Roland Ertelt
Post by Stefan Kanthak
Post by Roland Ertelt
Wenn eine einfache Applikation schon glaubt, besser zu wissen, als der
Benutzer, was soll dann das OS tun?
Die Rechtetrennung gewaehrleisten!
Wie denn, wenn das OS es dann doch besser weiss, als der Benutzer?
Offenbar reicht es dem Wintendo eine bekannte digitale Signatur zu
zeigen, und schon darf die Applikation alles.
Die einzige Offenbarung: Du hast ABSOLUT keine Ahnung!
Post by Roland Ertelt
Post by Stefan Kanthak
Aber: wieso wirfst Du Nebelkerzen? Der IE war nicht der Angriffsvektor.
...
Der IE dient hier nur als Beispiel, wie zuverlässig und schnell
Microsoft Probleme in seiner Software beseitigt. Die o.g. Seite
funktioniert ja erst seit IE4...
Und hat was mit Stuxnet zu tun?
Post by Roland Ertelt
Post by Stefan Kanthak
...
Stuxnet braucht unter Windows ebenso Administratorrechte, um seinen
Schadcode in das Repository mit den Code-Bausteinen der SPS zu pflanzen.
...
Offensichtlich brauchte Stuxnet das nicht.
Du hast Zugriff auf eines der mit Stuxnet befallenen Systeme, auf denen
WinCC laeuft?
Du weisst GANZ sicher, das dort mit "eingeschraenkten Benutzerkonten"
gearbeitet wurde, nicht mit administrativen Rechten?
Post by Roland Ertelt
Post by Stefan Kanthak
...
Du hast ganz offensichtlich keinerlei Ahnung von der Windows-Architektur!
Was nutzt diese Kenntnis mir? Bzw. den Stuxnet Opfern? Offenbar Garnix.
Welche Stuxnet-"Opfer"?
Wer die in einem beliebigen Betruebssystem vorhandenen Sicherheits-
barrieren NICHT nutzt ist selbst schuld!
Stuxnet ist mit seit XP RTM verfuegbaren Windows-Bordmitteln abwehrbar.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Ottmar Ohlemacher
2010-10-22 15:03:51 UTC
Permalink
Post by Roland Ertelt
... Und genau das unterscheidet sie von Otto
Normal-Malwareschreiber: der will nämlich nur irgendeinen Rechner (egal
was für einen) kapern, um daraus eine Spamschleuder zu machen oder in
das Bankkonto des Besitzers einzubrechen.
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff einen
SPS-Kompiler, oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?
Ich sehe da keinen. Es ist ein spezieller Angriff auf ein spezielles
Stück Software.
Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in der
SPS.
...
Natürlich habe ich den verstanden. Es waren Windows-Rechner, die der
Wurm zuerst befallen hat. Das war aber nicht sein eigentliches Ziel. Das
eigentliche Ziel war die Siemens-Prozesssteuerungssoftware. Und die
läuft eben nicht auf dem Windows-Rechner, der als erstes befallen wurde.
Meines Wissens läuft sie überhaupt nicht unter Windows, sondern irgend
einem Embedded-Betriebssystem. Sie wurde aber trotzdem kompromittiert.
Wenn man also schon Windows als unsicher anprangert, dann müsste man das
genauso mit der Siemens-Software machen. Aber nein, es muss mal wieder
Windows als Sündenbock herhalten. Dabei war es IMO Siemens, die viel
größeren Bockmist gebaut haben.
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt. Sie
*kann* gar keine Kontrolle machen, ob das richtig ist.
Das Problem ist *nur* das Betriebssystem, welches ungefragt Aktionen
macht, sobald es etwas vorgesetzt bekommt, was nach Aktion aussieht.
Was ich allerdings immer noch nicht verstehe:

Es war die Rede von Atomkraftwerken und Verkehrsnetzen.

Warum laufen solche Anlagen überhaupt auf einem "Standard"-Betriebssystem
wie Win oder Unix, und außerdem, warum sind solche Rechner überhaupt mit
dem Internet verbunden???? (prellt, ich weiß ;-)

Ich hatte die Vorstellung, dass Prozessrechner die solche Geschichten
steuern gekapselte Rechner wären, die ein "propritäres" Betriebssystem
verwenden würden, welches speziell für den Anwendungszweck entwickelt
worden wäre und praktisch Betriebssystem und Betriebssoftware in einem wäre
- zu war zumindest meine Vorstellung. Dass die aber ein Atomkraftwerk mit
einem Windoofsrechner steuern, der auch noch ans Internet angeschlossen
ist, das find ich schon irgenwie der Hammer.

Gruß
Ottmar
Roland Ertelt
2010-10-22 16:56:48 UTC
Permalink
Post by Ottmar Ohlemacher
...
Warum laufen solche Anlagen überhaupt auf einem "Standard"-Betriebssystem
wie Win oder Unix, ...
Weil Geiz geil ist.
Post by Ottmar Ohlemacher
und außerdem, warum sind solche Rechner überhaupt mit
dem Internet verbunden???? (prellt, ich weiß ;-)
...
Im konkreten Fall war der Übertragungsweg nicht das Netz, sondern ein
Datenträger.

Und Prozressrechner als Insel untereinander zu vernetzen ist durchaus in
Ordnung.

Roland
Alexander Kluss
2010-10-22 19:31:34 UTC
Permalink
Post by Roland Ertelt
Post by Ottmar Ohlemacher
Warum laufen solche Anlagen überhaupt auf einem "Standard"-Betriebssystem
wie Win oder Unix, ...
Weil Geiz geil ist.
Damals[TM] hies das noch Synergieeffekte nutzen :-P
Die Engineering Systeme mussten auch für normale Officetätigkeiten
herhalten, da sie noch sehr teuer waren und die Kunden darauf bestanden.
Post by Roland Ertelt
Und Prozressrechner als Insel untereinander zu vernetzen ist durchaus in
Ordnung.
Und auch nötig, sonst wären ja keine in der Anlage verteilten Bedien-
und Beobachtungstationen (neudeutsch Clients) möglich.

Gruß Alex
--
Die einzige funktionierende intuitive Maßnahme, einen Rechner
idiotensicher zu machen, ist keine Idioten an den Rechner zu lassen.
Patrick Knosowski
2010-10-27 19:10:34 UTC
Permalink
Post by Ottmar Ohlemacher
Post by Roland Ertelt
... Und genau das unterscheidet sie von Otto
Normal-Malwareschreiber: der will nämlich nur irgendeinen Rechner (egal
was für einen) kapern, um daraus eine Spamschleuder zu machen oder in
das Bankkonto des Besitzers einzubrechen.
Wo siehst du jetzt bei deiner Auführung den Unterschied im Angriff einen
SPS-Kompiler, oder einen Angriff auf iexplorer.exeoder dessen Adressbuch?
Ich sehe da keinen. Es ist ein spezieller Angriff auf ein spezielles
Stück Software.
Und beim Stuxnet wird sehr wohl ein Rechner gekapert. Nämlich der in der
SPS.
...
Natürlich habe ich den verstanden. Es waren Windows-Rechner, die der
Wurm zuerst befallen hat. Das war aber nicht sein eigentliches Ziel. Das
eigentliche Ziel war die Siemens-Prozesssteuerungssoftware. Und die
läuft eben nicht auf dem Windows-Rechner, der als erstes befallen wurde.
Meines Wissens läuft sie überhaupt nicht unter Windows, sondern irgend
einem Embedded-Betriebssystem. Sie wurde aber trotzdem kompromittiert.
Wenn man also schon Windows als unsicher anprangert, dann müsste man das
genauso mit der Siemens-Software machen. Aber nein, es muss mal wieder
Windows als Sündenbock herhalten. Dabei war es IMO Siemens, die viel
größeren Bockmist gebaut haben.
Nein. Die SPS führt das Programm aus, welches sie geladen bekommt. Sie
*kann* gar keine Kontrolle machen, ob das richtig ist.
Das Problem ist *nur* das Betriebssystem, welches ungefragt Aktionen
macht, sobald es etwas vorgesetzt bekommt, was nach Aktion aussieht.
Es war die Rede von Atomkraftwerken und Verkehrsnetzen.
Warum laufen solche Anlagen überhaupt auf einem "Standard"-Betriebssystem
wie Win oder Unix, und außerdem, warum sind solche Rechner überhaupt mit
dem Internet verbunden???? (prellt, ich weiß ;-)
Ich hatte die Vorstellung, dass Prozessrechner die solche Geschichten
steuern gekapselte Rechner wären, die ein "propritäres" Betriebssystem
verwenden würden, welches speziell für den Anwendungszweck entwickelt
worden wäre und praktisch Betriebssystem und Betriebssoftware in einem wäre
- zu war zumindest meine Vorstellung. Dass die aber ein Atomkraftwerk mit
einem Windoofsrechner steuern, der auch noch ans Internet angeschlossen
ist, das find ich schon irgenwie der Hammer.
Gruß
Ottmar
Solche Anlagen laufen ja nicht mit einem "Standard"-Betriebsystem. Die
eigentliche Steuerung ist eine kleine graue Kiste (S7-Steuerung (die
SPS)) die in der Tat ein proprietaeres System ist. Aber irgendwie muss
man die Steuerungen auch programmieren. Und die Software die das
erledigt (Step7) laeuft auf Windows.

Dann gibt es da noch WinCC, eine Visualisierungssoftware die ebenfalls
auf Windows laeuft. Warum hier nicht wenigstens ein speziell fuer den
Anwendungsfall konfiguriertes Windows oder Unix zum Einsatz kommt weiss
ich allerdings auch nicht.

Ich habe bereits mehrere Industrieanlagen erlebt wo die Line-PC's
Vierenverseucht waren. Dafuer muessen die PC's auch nicht am Internet
angeschlossen sein (was aus Fernwartungszwecken aber durchaus auch
gemacht wird). Niemals ging es hierbei um einen Angriff auf die
Anlagensteuerung, aber die mangelnde IT-Sicherheit in diesem Umfeld war
mir schon immer unheimlich.

Mich hat es ehrlichgesagt gewundert das es erst jetzt so weit kam. Die
Moeglichkeiten solcher Angriffe sind erschreckend.

Deutsche AKW's anzugreifen ist etwas schwieriger (Stichwort Redundanz
und Diversitaet) aber auch nicht unmoeglich.

Gruss Patrick
Dirk Ohme
2010-10-31 08:38:11 UTC
Permalink
Patrick Knosowski schrieb im Newsbeitrag
Post by Patrick Knosowski
Solche Anlagen laufen ja nicht mit einem "Standard"-Betriebsystem.
Die eigentliche Steuerung ist eine kleine graue Kiste (S7-Steuerung
(die SPS)) die in der Tat ein proprietaeres System ist.
Nein - nicht mehr. Es werden durchaus "mainstream"-Betriebssysteme
eingesetzt, wobei ich damit nicht Linux oder Windows von der Stange
meine. Aber bspw. Linux mit Echtzeiterweiterung im Kernel oder Windows
CE oder Windows embedded.

Gruß, Dirk
Patrick Knosowski
2010-11-02 18:12:49 UTC
Permalink
Post by Dirk Ohme
Nein - nicht mehr. Es werden durchaus "mainstream"-Betriebssysteme
eingesetzt, wobei ich damit nicht Linux oder Windows von der Stange
meine. Aber bspw. Linux mit Echtzeiterweiterung im Kernel oder Windows
CE oder Windows embedded.
In einer Simatic S7 CPU? Oha, das ist mir neu.
Naja, ich will mich hier auch nicht zu weit aus dem Fenster lehnen. Aber
da wuerden mich Details ja schon interessieren. Ich weiss das es
sogenannte Soft-SPSen gibt die unter "mainstream"-Betriebssystemen
laufen, aber das eine S7-300 oder S7-400 (um diese ging es bei Stuxnet)
mit einem Windows oder Linux betrieben werden hoere ich so zum ersten mal.
Das besagte 'rootkit' war ja auch nicht auf der S7 selber, sondern auf
den befallenen PC's mit Step7-Software. Daher nahm ich an das sowas fuer
die SPS selbst, aus Mangel an manipulierbaren API's, nicht moeglich ist,
und die SPS ohne grossartiges Betriebssystem was noch irgendwelche
anderen Aufgaben hat als Bits/Bytes zu schieben/manipulieren auskommt.
Vielleicht sollte ich nicht soviel annehmen ;) Aber falls Du das weisst:
Welches Betriebsystem laeuft also nun auf einer S7-300/S7-400?
Dirk Ohme
2010-11-03 21:24:18 UTC
Permalink
Patrick Knosowski schrieb im Newsbeitrag
Post by Patrick Knosowski
In einer Simatic S7 CPU? Oha, das ist mir neu.
Nein, ich bezog mich eher auf den allgemeinen Fall. Aber die
Bediengeräte von Siemens haben durchaus Windows CE. Ob eine S7 auch
... vermutlich noch nicht. Näheres findest Du bei Siemens auf den
Webseiten.
Post by Patrick Knosowski
Naja, ich will mich hier auch nicht zu weit aus dem Fenster lehnen. Aber
da wuerden mich Details ja schon interessieren. Ich weiss das es
sogenannte Soft-SPSen gibt die unter "mainstream"-Betriebssystemen
laufen, aber das eine S7-300 oder S7-400 (um diese ging es bei
Stuxnet)
mit einem Windows oder Linux betrieben werden hoere ich so zum
ersten mal.
Das besagte 'rootkit' war ja auch nicht auf der S7 selber, sondern auf
den befallenen PC's mit Step7-Software.
Nicht nur - über WinCC ging es auch durchaus auf die S7-Steuerung.
Aber dazu weiß Tante Google mehr.
Post by Patrick Knosowski
Daher nahm ich an das sowas fuer die SPS selbst, aus Mangel an
manipulierbaren API's, nicht moeglich ist,
Warum soll das nicht mit einer S7 möglich sein? Was auf einer S7
schaut denn nach, ob alles, was bei einem Neuprogrammieren rüber
kommt, auch tatsächlich "sauber" ist und nicht manipuliert? Wo kann
man bestimmte Kernbereiche gesondert gegen Veränderung schützen (d.h.
Rechtekonzept wie auf einem "großen" Betriebssystem)?
Post by Patrick Knosowski
und die SPS ohne grossartiges Betriebssystem was noch irgendwelche
anderen Aufgaben hat als Bits/Bytes zu schieben/manipulieren
auskommt.
Welches Betriebsystem laeuft also nun auf einer S7-300/S7-400?
Das ist unerheblich, weil Stuxnet über WinCC die S7 neu programmieren
kann.

Gruß, Dirk

Stefan Kanthak
2010-10-04 06:18:54 UTC
Permalink
Post by Roland Ertelt
Post by Michael Landenberger
Post by Roland Ertelt
Nicht?
" ... Stuxnet is a Windows-specific computer worm ..."
Du hast mich offenbar nicht verstanden. Wenn die Steuerungs- und
Kontrollrechner für Siemens Industriesteuerungen statt unter Windows
unter $Irgendein_OS gelaufen wären, hätte es Stuxnet trotzdem gegeben.
Was zu beweisen wäre. Wenn man die Simatic z.B. auf $Unix laufen liesse,
würde es den Virus so nicht geben.
Genau. Dann waere es ein $Unix-spezifischer Virus geworden!
Post by Roland Ertelt
Der Virus baut darauf, dass als OS ein per se unsicheres System
Bloedsinn!
Windows eNTe ist kein unsicheres System. Es ist genauso sicher wie
andere auf dem Markt erhaeltliche Systeme. Ausser MacOS: das ist
eine Katastrophe!
Post by Roland Ertelt
verwendet wird, und dass die SPS-Steuerung Simatic-kompatibel ist.
Post by Michael Landenberger
In den Pressemeldungen hätte dann eben gestanden "Stuxnet is a
$Irgendein_OS-specific computer worm".
Nein. Du hast offenbar den Infizierungsweg nicht verstanden.
Ach?
Stuxnet nutzt Windows-Systeme nur als Sprungbrett, um ueber das
darauf installierte WinCC mit STANDARD-Zugangsdaten Zugriff auf SPS
zu erhalten und sich dort einzunisten.
Post by Roland Ertelt
Wenn man natürlich ein Betriebssystem, welches für Endanwender und
Spieler erzeugt wurde,
Nochmals: Bloedsinn!
eNTe wurde als netzwerkfaehiges System entworfen, nicht als Spielkonsole.
Du kennst sicher den Unterschied zwischen NT4 Workstation und -Server?
Oder zwischen Windows 2000 Professional und Server, XP und Server 2003,
Vista und Server 2008 sowie 7 und Server 2008 R2?! Bei Server 2008 auch
die "Core"-Variante, ganz ohne bunte Oberflaeche?
Post by Roland Ertelt
in kritischen Umgebungen einsetzt, darf man sich
über derartige Probleme nicht wundern...
Falsch! eNTe laesst sich problemlos sicher konfigurieren.
Das wurde bei den befallenen Systemen ganz offensichtlich NICHT getan.
Ebensowenig, wie zum letzten Jahreswechsel bei Google und anderen Ami-
Firmen und unserer glorreichen Bundesverwaltung, der US Army und dem
Pentagon, der fraenzoesischen Marine...

[...]
Post by Roland Ertelt
Post by Michael Landenberger
Wären es Rechner mit $Irgendein_OS gewesen, hätten dem Wurm alle
Möglichkeiten offengestanden, die $Irgendein_OS so bietet. Und glaub
mir: diese Möglichkeiten gibt es. Bei *jedem* Betriebssystem.
Das Problem für die Schreiber ist dabei, dass $irgendeinOS nicht die
Sicherheitslücken vom Wintendo aufweist.
Ausnahmsweise richtig. Jedes Betruebssystem hat seine eigenen
Sicherheitsluecken!

[...]

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Juergen P. Meier
2010-10-02 16:50:03 UTC
Permalink
Post by Ottmar Ohlemacher
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
Ganz einfach: Jemand installiert das Schadprogramm dort, oder es wird
ueber Netzwerkverbindungen installiert.
Lewin Bormann
2010-10-02 20:05:06 UTC
Permalink
Post by Ottmar Ohlemacher
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
Indem diese auf Windows basierend eine Autorun-Lücke haben. Ganz einfach
per USB-Stick AFAIK. Oder? So stehts jedenfalls in diversen heise
Security-Feedmeldungen.

LB
--
Visit my projects at http://dermesser-projects.webs.com
Für persönlichen Kontakt bitte <news~lewin-bormann.de> (~ = at)
Sorry wegen der ***@example.com, aber ich habe zu viel Spam bekommen...
Stefan Kanthak
2010-10-02 21:20:30 UTC
Permalink
Post by Lewin Bormann
Post by Ottmar Ohlemacher
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
Indem diese auf Windows basierend eine Autorun-Lücke haben. Ganz einfach
per USB-Stick AFAIK. Oder?
Weder noch!
Kein aktuelles Windows fuehrt AUTORUN.INF von USB-Sticks aus.

Diese Funktion ist uebrigens schon seit Jahren abschaltbar, und nur
Vollidioten verwenden unzureichend gesicherte Systeminstallationen mit
Desktopbetruebssystemen im industriellen Umfeld.
Wenn's unbedingt Windows sein muss: Windows (NT/XP) Embedded gibt's
seit ueber 10 Jahren.
Post by Lewin Bormann
So stehts jedenfalls in diversen heise Security-Feedmeldungen.
s/eed/alsch/

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Wolfgang Ewert
2010-10-12 14:45:26 UTC
Permalink
Post by Stefan Kanthak
Weder noch!
Kein aktuelles Windows fuehrt AUTORUN.INF von USB-Sticks aus.
...
Post by Stefan Kanthak
Wenn's unbedingt Windows sein muss: Windows (NT/XP) Embedded gibt's
seit ueber 10 Jahren.
Post by Lewin Bormann
So stehts jedenfalls in diversen heise Security-Feedmeldungen.
s/eed/alsch/
http://www.heise.de/tp/blogs/8/148432 ?

Wolfgang
--
Nirgendwo hängt der Schulerfolg so stark von Einkommen und Vorbildung
der Eltern ab wie in D'land. Das dt. Schulsystem versagt bei der
Förderung von Arbeiter- und Migrantenkindern. (dpa/FTD 22.11.04)
Stefan Kanthak
2010-10-12 22:10:45 UTC
Permalink
Post by Wolfgang Ewert
Post by Stefan Kanthak
Weder noch!
Kein aktuelles Windows fuehrt AUTORUN.INF von USB-Sticks aus.
...
Post by Stefan Kanthak
Wenn's unbedingt Windows sein muss: Windows (NT/XP) Embedded gibt's
seit ueber 10 Jahren.
Post by Lewin Bormann
So stehts jedenfalls in diversen heise Security-Feedmeldungen.
s/eed/alsch/
http://www.heise.de/tp/blogs/8/148432 ?
Siehe auch den bereits referenzierten FAZ-Artikel
<http://www.faz.net/s/RubCEB3712D41B64C3094E31BDC1446D18E/Doc~E8A0D43832567452FBDEE07AF579E893C~ATpl~Ecommon~Scontent.html>
des gleichen Autors.
Dummerweise enthaelt der Artikel genuegend Fehler: Stuxnet ist mit
Bordmitteln von Windows abwehrbar. Angriffe wie sie Stuxnet ausfuehrt
sind mit Standard-Sicherungsmassnahmen abwehrbar: keine administrativen
Rechte, Abschottung der Systeme/Netze, keine Standard-Zugangskennungen,
Installation der Sicherheitskorrekturen der Hersteller, ...

Der "Erfolg" von Kroppzeux wie Stuxnet zeigt nur immer wieder, dass die
befallenen Systeme FAHRLAESSIG UNSICHER und schlecht administriert sind!

Organisationen wie unsere Bundesverwaltung, die franzoesische Marine,
das Pentagon/US Army etc. sowie Firmen wie Google, Adobe etc. wurden
in den letzten Jahren immer wieder von solchen Schaedlingen lahmgelegt,
OBWOHL die Abwehrmassnahmen bekannt sind und in fast allen Faellen
Patches VORHER verfuegbar waren.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)
Wolfgang Ewert
2010-10-13 05:51:50 UTC
Permalink
Post by Stefan Kanthak
Post by Wolfgang Ewert
Post by Stefan Kanthak
Post by Lewin Bormann
So stehts jedenfalls in diversen heise Security-Feedmeldungen.
s/eed/alsch/
http://www.heise.de/tp/blogs/8/148432 ?
Siehe auch den bereits referenzierten FAZ-Artikel
<http://www.faz.net/s/RubCEB3712D41B64C3094E31BDC1446D18E/Doc~E8A0D43832567452FBDEE07AF579E893C~ATpl~Ecommon~Scontent.html>
des gleichen Autors.
Dummerweise enthaelt der Artikel genuegend Fehler: Stuxnet ist mit
Bordmitteln von Windows abwehrbar. Angriffe wie sie Stuxnet ausfuehrt
sind mit Standard-Sicherungsmassnahmen abwehrbar: keine administrativen
Rechte, Abschottung der Systeme/Netze, keine Standard-Zugangskennungen,
Installation der Sicherheitskorrekturen der Hersteller, ...
Der "Erfolg" von Kroppzeux wie Stuxnet zeigt nur immer wieder, dass die
befallenen Systeme FAHRLAESSIG UNSICHER und schlecht administriert sind!
Als Angreifer würde ich maximal die Hürden berücksichtigen, die das
Angriffsziel mir bietet - nicht mehr. Dass da mehrere 0day-
Schwachstellen genutzt wurden, ist allerdings immer noch sehr
bedenklich.

Möglicherweise nutz(t)en die Betreiber SW niedrigerem Anforderungs-
niveaus als z.B. in dt. Anlagen erlaubt, Letztere aber nicht für die
Betreiber erreichbar ist, da Exportverbot.

Wolfgang
--
Nirgendwo hängt der Schulerfolg so stark von Einkommen und Vorbildung
der Eltern ab wie in D'land. Das dt. Schulsystem versagt bei der
Förderung von Arbeiter- und Migrantenkindern. (dpa/FTD 22.11.04)
Arno Welzel
2010-10-04 17:55:56 UTC
Permalink
Post by Ottmar Ohlemacher
wie kann ein Virus in die Steuerungen von Industrieanlagen kommen?
Indem das Virus die vorhandenen Verbindungen zu diesen Anlagen ausnutzt,
konkret z.B. Schwachstellen in der Software "WinCC".
--
http://arnowelzel.de
http://de-rec-fahrrad.de
Loading...