Linus Neumann 1:15:40
Äh würde ich den zweiten Kommentar von Andreas äh nochmal also wie gesagt, wir wir sind ja in diesem großen Bereich ja im Prinzip einmal hier gegen jemanden, der ähm.Minderjährige stalkt in sozialen Netzwerken. Ähm da kommentiert Andreas. Ähm zu eurer Diskussion bezüglich,Facebook und FBI, warum empfindet ihr das Entwickeln der Schwachstelleproblematisch. Die war ja die ganze Zeit da. Die ist ja nicht dafür gebaut worden, aus dem gleichen Grund, verstehe ich den Vorbehalt nicht gegenüber Exploit-Aufkauf, beziehungsweisebeziehungsweise Entwicklung durch das BSi. Das ist für mich das gleiche wie Securitysolange wir nicht hinschauen, wird der Bug schon nicht da sein. Ähmkürze den Kommentar ein bisschen übersehe ich da etwas oder ist die Problematik von in den Händen von offiziellen Stellen nicht einfach nur das geheim halten der selben und nicht das beschaffen,Ja, jein, also du hast in dem Kommentar, ich weiß nicht, ob absichtlich oder unabsichtlich die beiden Begriffe Schwachstelle und verwendet und die würde ich ähm.Nochmal kurz auseinander halten wollen, denn du hast natürlich Recht, die Schwachstelle ist da drin in diesem,Software. Die ist da wahrscheinlich nicht absichtlich drin gelandet. Da hat irgendein Programmierer oder eine Programmiererin. Ähm keine Ahnung, nicht nachgedacht beim,Programmieren und fertig, ja? So, dadurch ergibt geben sich Schwachstellen unterschiedlicher Schwere und wenn du eine Kombination aus Schwachstellen hast, dann,oder eine Kombination aus Dummheiten ähm unter Umständen auch schwerwiegende Schwachstellen.Die Schwachstelle selber kann da von mir aus Jahre oder Jahrzehnte unentdeckt liegen, bis eben jemand hinschaut. Ähm ich glaube, so die Dienstälteste Schwachstelle,war das nicht.War das nicht das mit den oder so? Ich weiß nicht mehr genau welche, aber ich weiß, sie war über fünfundzwanzig Jahre, ja. Die die war quasi, die war in.Die war seit fünfundzwanzig Jahren dort. Die war damit zu dem Zeitpunkt älter als der IP-Stick von Microsoft aus,Und äh irgendwann hat sie dann mal jemand gefunden, weil sich dann diesen Teil des Codes mal jemand angeschaut hat und gesagt hat, haha, wenn ich hier so und so mache, kann ich das System hier ausm Tritt bringen. Genau das Ausnutzen der Schwachstelle ist dann der ExplodeJa, alsoAusnutzen, die Möglichkeit, diese Schwachstelle auch tatsächlich zu verwenden, um in irgendeiner Form die Integrität, Verfügbarkeit oder Vertraulichkeit eines Systems zu verletzen ist, irgendwie aus dem Tritt zu bringenund es in irgendeiner Weise dazu zu bringen, etwas zu tun, was von Betreiber und Programmiererinnen nicht gewünscht war. Ähm.Und das einzige diesem Treiben dann ein Ende zu bereiten ist wiederum das Entfernen der Schwachstelle. Nun, mein Argument ist,oder ich nicht nur meins, das ist das äh, ich denke, das gängige Argument ist, in dem Moment, wo es irgendwo eine Schwachstelle gibt,ist äh wichtig, dass sie entfernt wird, damit nicht alle, die diese Software nutzen, dem Risiko, dass von der,Tense oder den Wissen über diese Schwachstelle ausgeht, ausgesetzt werden. Und ähm der Security bei obscurity Argument,ist nämlich genau das.Die Geheimdienste oder Facebook FBI in diesem Fall sagen, ja ja, wir sind ja die einzigen, die den Exploit kennen.Und deswegen ist das ja kein Problem. Es gibt aber trotzdem Millionen von LENUX Installationen, die diese Schwachstelle auch haben.Und in dem Moment, wo die Schwachstelle entdeckt wird, von anderen oder der Explod, geklaut wird von anderen, stehen dann alle diese Nutzerinnen im Risiko. Das beste Beispiel dafür istdieser ähm Angriff und Notpetjaangriff. Weil ich jetzt als das wichtigste Beispiel nehmen würde, wo.Ein sagen wir mal ein Sammelkistchen der NSA.Abhanden gekommen ist, in die Hände der Shadow Brokers, einer ja, fiktiven Hackergruppeunterschiedlichen Ländern zugeordnet wird, ähm aber die auf jeden Fall dann nach und nach Teile deren Chartcodes veröffentlicht hat. Und wir erinnern uns, es war damals so, als die,Schwachstelle in der Windows Dateifreigabe. Veröffentlicht wurde, gab es,Einen Monat vorher, nee, zwei Monate vorher eine Meldung an Microsoft.Microsoft, das das war tatsächlich immer so in Monatsabschnitten. Microsoft hatte damals das Februar-Update aus irgendwelchen Gründen nicht gemacht,Man wusste nicht genau wieso. Und der Grund war, dass sie wahrscheinlich im Februar alarmiert wurden, dann haben sie in dem März Update die Schwachstelle behoben, die,eben Eternal Blue hieß und im April, einen Monat später haben die Shadow Brokers dann.Den Explode Code veröffentlichtDas heißt, und da da muss man wirklich sagen, es wird immer so behauptet, das wäre das wäre die NSA gewesen, das ist Unsinn. Die Shadow Brokers hatten jeden Tag ihres Lebens, seitdem sie die Schwachstelle hattenGelegenheit, sie zu veröffentlichen,die waren es, die einen Monat gewartet haben. Es war nicht so, dass die NSA gesagt hat, ey, äh Microsoft veröffentliche mal einen äh Monat vorher den Fix als dass die die Shadow Brokers veröffentlichenEs war viel mehr so, dass die NSA über ein Jahr lang wusste, dass die Shadow Brokers diese Schwachstelle hatten und sie nicht gemeldet hatja? Aber was ist passiert? Es kam also hier der Fix Shadow Brokers haben einen Monat gewartet und einen weiteren Monat dann nämlich im Mai kamen die,massenhaften Angriffe, die eben unter bekannt wurden, wo dann hier auch, ne, Deutsche Bahn, Anzeigetafeln und was da nicht alles in Mitleid.Heißt also, was wir als Katastrophe gesehen haben.War im Prinzip nur ein vorsichtiger Vorgeschmack was passiert, wenn solche dann in die Öffentlichkeit gelangen und von jedem ausgenutzt werden können. Und das Einzige, was wir.Als Möglichkeit haben, uns davor zu schützen, ist das Melden der Schwachstellen und die Beseitigung. So und genau diese Abwägung steht dieser Abwägung steht, dass.Nutzen von Schwachstellen durch Geheimdienste entgegen.Weil sie sagen, oh, wir haben hier einen wunderschönen Explode, wenn wir niemandem sagen, wo die Schwachstelle ist, können wir davon noch lange zehren. Und genau das,ist tatsächlich hier passiert in diesem Fall. Ich habe das letzte Woche gar nicht so betont, weil ich dachte, es kann eigentlich gar nicht sein, weil ähm,Tatsächlich, die Entwicklerinnen von Tales sagen, tja ähm offenbar hat dieser ganze Zinnova da zwanzig siebzehn stattgefunden.Wir wüssten jetzt mal ganz gerne, über welche Schwachstelle das war, damit wir die ähm entsorgen können, also damit wir die beseitigen können. Undweder Facebook noch das FBI, noch,diejenigen, die vom vom Facebook bezahlt wurden, die Schwachstellen zu finden, hat den Tales-Leuten Bescheid gesagt und denen erklärt, wie sie die Schwachstelle loswerden. Die müssen also im Prinzip davon ausgehen.Dass sie noch vorhanden ist. Jetzt kommt erschwerend hinzu, dass,Tales natürlich nicht seinen eigenen Video-Player hat, sondern den ganz normalen äh genauen Video-Player benutzt, der ähm in so gut wie, also genom ist, der,glaube ich, der am meisten verwendete Window Manager im Lenux Ökosystem. Und wenn ihr zum Beispiel benutzt, was wahrscheinlich die am meisten verwendete Linox-Distribution auf dem Desktop ist. Dann habt ihr auch diesen Player und.Es stellt sich nun da, dass im Zweifelsfall alle UNTO Nutzerinnen und,diesen Gnomen Video-Player haben, mit dem dieses Tales gehackt wurde, also auch die Schwachstelle haben. Und das ist genau, ne, was du ansprichst, äh Andreas, ähm,Security bei Obscurity, die wir die wir jetzt hier alle haben, weil eben offenbar hier die ähm Strafverfolgungsbehörden,zu einem Entschluss gekommen sind, dass diese Schwachstelle für sie nützlich ist und es ähm ihnen offenbar lieber ist, wenn wir alle sie haben.Als äh dass sie die jetzt aufgeben und sich für den nächsten eine neue aussuchen müssen. Und das ist das Problem an dieser ganzen Angelegenheit und das macht auch für mich jetzt diese Bewertung dieses Falles noch,Also da dadurch, dass dass ich das erst nur implizit gedacht habe, jetzt auch nochmal das in einem Artikel äh von Francesco äh bestätigt wurde,Nee, Entschuldigung, Francesco Quatsch von Lorenzo. Ähm das äh lässt diese ganze Sache dann doch äh sehr viel einfacher bewerten.