Proprietäre Unsicherheit

Dieses Werk ist eine Übersetzung aus dem Englischen.

Weitere Beispiele proprietärer Schadsoftware

Diese Seite zeigt eindeutig nachgewiesene Fälle von Unsicherheit in proprietärer Software, die schwerwiegende Folgen hat oder anderweitig erwähnenswert ist.

Es wäre falsch, proprietäre Software mit einer fiktiven Vorstellung wie freie Software sei perfekt zu vergleichen. Jedes nicht triviale Programm enthält Programmfehler, und jedes System, sei es frei oder proprietär, kann Sicherheitslücken aufweisen. Das ist an sich nicht verwerflich. Aber Entwickler proprietärer Software missachten häufig klaffende Löcher oder führen sie sogar absichtlich ein, und Nutzer sind hilflos sie zu beheben.

FitBit Fitness-Überwacher haben eine Bluetooth-Sicherheitslücke, die Angreifern erlaubt Schadsoftware auf die Geräte zu übertragen, die sich anschließend mit damit interagierenden Rechnern und anderen FitBit-Überwachungsgeräten austauscht.
„Selbstverschlüsselnde“ Festplatten führen die Verschlüsselung mittles proprietärer Firmware aus, der man daher nicht uneingeschänkt vertrauen kann. Western Digitals „My Passport“-Festplatten haben eine Hintertür.
Apple OS X hatte vorsätzlich für 4 Jahre eine lokale Hintertür, die von Angreifern ausgenutzt werden konnte, um Root-Rechte zu erlangen.
Sicherheitsforscher entdeckten eine Schwachstelle in Diagnose-Dongles für Kraftfahrzeugortung und -versicherung, über die mittels einer SMS die Fernsteuerung eines Autos oder Lastwagens möglich ist.
Cracker konnten „Vernetzte Fahrzeug“-Technologie eines Jeep fernsteuern und manipulieren.[1]
Sie konnten unter anderem das Fahrzeug verfolgen, den Motor starten oder stoppen und die Bremsen aktivieren bzw. deaktivieren und vieles mehr.

Vorstellbar wäre, dass Chrysler und NSA dies auch können.

Wäre ein Fahrzeug serienmäßig mit „Infotainmentsystem“ ausgestattet, sollte es besser grundsätzlich deaktiviert werden.
Infusionspumpen von Hospira (einem weltweit agierenden US-Anbieter von injizierbaren Arzneimitteln und Infusionstechnologien), welche der Schmerzbehandlung und der parenteralen Versorgung einer optimalen Patientenversorgung dienen, wurden von einem Sicherheitsexperten als das unsicherste IP-Gerät das ich bisher gesehen habe bewertet.

Je nachdem welches Arzneimittel infundiert wird, könnte die Unsicherheit die Tür zu einem Mord öffnen.
Aufgrund der schlechten Sicherheit in einer Medikamentenpumpe könnten Cracker Patienten töten.
Der US-Geheimdienst NSA kann sich Zugang zu iPhone- und BlackBerry-Geräten sowie zu Geräten mit Android-Betriebssystem verschaffen. Es gibt zwar kaum Details, es scheint aber, dass dies nicht über die universelle Hintertür funktioniert, von der wir wissen, dass sie nahezu alle tragbaren Telefone haben. Dies kann verschiedene ausnutzbare Programmfehler einschließen. Es gibt viele Programmfehler in der Mobilfunksoftware von Mobiltelefonen.
Intelligentes Wohnen [engl.] entpuppt sich dummerweise anfällig für Angriffe.
Die Unsicherheit von WhatsApp [engl.] macht Abhören zum Kinderspiel.
Die US-Bundeshandelskommission FTC straft Unternehmen wegen Herstellung von Webcams mit schlechten Sicherheitsstandards ab, so dass es für jedermann leicht war zuzugucken.[2]
Es ist möglich, die Kontrolle über einige Fahrzeug-Bordrechner durch Schadsoftware in Musikdateien zu übernehmen. Auch per Funk. Weitere Informationen …
Es ist möglich, Menschen durch Kontrolle medizinischer Implantate per Funk zu töten. Weitere Informationen unter Medical device hack attacks may kill, researchers warn und “Broken Hearts”: How plausible was the Homeland pacemaker hack?[3]
Eine Menge Geräte in Krankenhäusern haben eine lausige Sicherheit, und das kann tödlich sein.[3]
Geräte bzw. Terminals zum bargeldlosen Zahlen an elektronischen Kassen (eigentlich Verkaufsort), sogenannte Point-of-Sale (POS)-Terminals wurden ‑ unter Windows ‑ übernommen und zu einem Botnetz gemacht, um Kreditkartendaten von Kunden zu sammeln.
Eine Applikation, die „Identitätsdiebstahl“ (Zugriff auf persönliche Daten) durch Speichern von Nutzerdaten auf einem speziellen Server verhindern soll, wurde vom Entwickler deaktiviert, als dieser eine Sicherheitslücke entdeckte.

Dieser Entwickler scheint generell im Umgang mit personenbezogenen Daten von Dritten gewissenhaft zu sein, aber es kann nicht die Daten vor dem Staat schützen. Ganz im Gegenteil: dem Server von irgendjemand anderen die eigenen Daten anzuvertrauen, untergräbt, sofern nicht zuvor selbst mit freier Software verschlüsselt, Ihre Rechte.
Einige Flash-Speicher enthalten modifizierbare Software, die sie anfällig für Viren macht.

Wir nennen dies nicht Hintertür, weil es üblich ist, dass man auf einem Rechner ein neues System in Anbetracht physikalischen Zugangs darauf installieren kann. Allerdings sollten Speichersticks und -karten nicht auf diese Weise modifizierbar sein.
Austauschbare unfreie Software in Festplatten kann von einem unfreien Programm geschrieben werden. Dies macht ein System anfällig für dauerhafte Angriffe, die übliche Forensik nicht erkennt.
Viele Smartphone-Applikationen verwenden unsichere Authentifizierungsmethoden bei der Speicherung IHRER persönlichen Daten auf (irgendwelchen) Internetservern. Dies macht persönliche Daten wie E-Mail-Adressen, Passwörter und Gesundheitsinformationen angreifbar. Da viele dieser Apps proprietär sind, macht es schwierig ‑ wenn nicht gar unmöglich ‑ zu wissen, welche Apps eine Gefahr darstellen.

Anmerkungen des Übersetzungsteams:

Weiterführende Referenzen:
1. [1] Heise Security, Hacker [sic] steuern Jeep Cherokee fern, unter: heise.de 2015. (abgerufen 2015-07-23)
2. [2] Heise Security, Black Hat: Zehntausende offene Webcams im Netz, unter: heise.de 2013. (abgerufen 2013-09-07)
3. [3] Süddeutsche Digital, Hack ins Herz, unter: sueddeutsche.de 2010. (abgerufen 2013-11-06)