Cybersicherheit: Realitätscheck vor dem Krieg

 (berthub.eu)
2 Punkte von GN⁺ 2024-05-19 | 1 Kommentare | Auf WhatsApp teilen
  • Europas Cybersicherheit entwickelt sich über die Abwehr von Hacks und Ransomware hinaus zu der Frage, ob Kommunikation, Stromversorgung, Brücken und staatliche IT in einer Vorkriegszeit auch im Chaos standhalten können
  • Entscheidend sind eine robuste Infrastruktur, die nicht von selbst zusammenbricht, bekannte Abhängigkeiten und technisches Eigentum, das es erlaubt, Probleme selbst zu beheben
  • Stuxnet, die Zerstörung von Viasat-Modems sowie Angriffe auf das ukrainische Stromnetz und Kyivstar zeigen, dass Cyberangriffe über Dienstausfälle hinaus zu Gerätezerstörung und Lähmung gesellschaftlicher Infrastruktur führen können
  • Notfallkommunikationsnetze und Brückenbetrieb in den Niederlanden stützen sich auf Cloud, Telefonnetz, VPN und ausländisches Wartungspersonal; bei Stromausfällen oder Krieg kann die Wiederherstellungskette reißen
  • Während die Abhängigkeit von Google, Microsoft, AWS und ausländisch betriebener Telekommunikationsausrüstung wächst, schrumpft das interne technische Personal, und auch die eigene Wiederherstellungsfähigkeit von Organisationen wird schwächer

Cybersicherheit in der Vorkriegszeit

  • Donald Tusk sagte, Europa sei in eine „neue Ära“ eingetreten, nämlich in eine Vorkriegszeit. In diesem Kontext muss Cybersicherheit über den Schutz von Geheimnissen oder die Abwehr von Ransomware hinaus als Frage der Überlebensfähigkeit gesellschaftlicher Infrastruktur behandelt werden
  • Auch NATO-Generalsekretär Mark Rutte sagte in einer Rede am 12. Dezember 2024, es sei „Zeit, auf eine Kriegsmentalität umzuschalten“
  • Katastrophale Cybervorfälle wie Stromabschaltungen, Internetausfälle oder lahmgelegte Krankenhäuser bereiten allen Sorgen, sind bislang aber nur begrenzt eingetreten
  • 2013 ging Brenno de Winter davon aus, dass erst ein großer Unfall wie der Untergang der Titanic die Regulierung richtig in Gang bringen würde; doch auch ohne ein solches Ereignis hat die EU mehrere Cybersicherheitsgesetze geschaffen
    • Es gibt bereits etwa sechs bis sieben ausgearbeitete Gesetze, aber nur eines ist teilweise aktiviert, die übrigen befinden sich noch in der Einführung
    • Diese Gesetze kommen einer Post-Titanic-Umgebung nahe, die den Zustand der Cybersicherheit bis zu einem gewissen Grad verbessern kann

Beispiele realer militärischer Cyberangriffe

  • Stuxnet war eine Operation gegen iranische Uran-Zentrifugenanlagen, die die Anlage nicht nur einfach stoppte, sondern sie physisch selbst beschädigen ließ
  • Kurz vor Russlands Invasion der Ukraine kam es zum Angriff auf Viasat-Modems
    • Die Angreifer löschten die Firmware der Modems für Satellitenkommunikation und versetzten die Geräte in einen Zustand, in dem sie ausgetauscht werden mussten
    • In Deutschland konnten 4.000 Windturbinen, die diese Modems nutzten, nicht mehr betrieben werden
    • Auch die militärische Kommunikation der Ukraine wurde stark gestört, was Russland zugutekam
  • Russland hatte bereits zuvor auf ähnliche Weise das ukrainische Stromnetz lahmgelegt
    • Auf ukrainischer Seite waren die Systeme einfach und robust, und die Reaktionsfähigkeit war gut, sodass die Störung auf etwa sechs Stunden begrenzt blieb
  • Solche Beispiele sind selten, zeigen aber, dass Cyberangriffe in Kriegssituationen über Netzwerkausfälle hinaus zu Gerätezerstörung und zur Lähmung gesellschaftlicher Infrastruktur führen können

Drei Voraussetzungen, die im Chaos nötig sind

  • In Krieg, großflächigem Chaos und bei Stromausfällen sind drei Eigenschaften wichtig
    • Robustheit: Infrastruktur darf nicht von selbst umfallen, auch wenn sie nicht angegriffen wird
    • Begrenzte und bekannte Abhängigkeiten: Man muss wissen, ob man von Computern oder Menschen in 5.000 km Entfernung abhängt
    • Reparierbares Eigentum: Man muss Geräte, Firmware, Verkabelung und Konfiguration selbst verstehen und sogar provisorische Maßnahmen ergreifen können
  • Moderne Kommunikationswerkzeuge wie Microsoft 365 können auch ohne Angriff ein oder zwei Tage pro Jahr ausfallen und sind in diesem Sinne schwerlich als robuste Infrastruktur zu betrachten
  • Ein Telekommunikationsanbieter, dessen Gerätewartung 5.000 km entfernt erfolgt, wird bei einer unterbrochenen Verbindung nur schwer Hilfe bekommen
  • In Notlagen kann es nötig sein, mangels des richtigen Kabels ein inoffizielles Kabel zu verwenden oder Firmware selbst zu reparieren

Rückschritt bei Notfallkommunikationsnetzen

  • Ein sound-powered phone ist ein einfaches Gerät, das ohne Strom funktioniert und mit dem man selbst dann noch mit dem Deck sprechen kann, wenn ein Schiff brennt
    • Es ist so einfach und robust, dass es selbst nach einem Schlag mit dem Hammer noch funktioniert
    • Es kann mit bis zu 10 Stationen kommunizieren und auch über 50 km Kabel funktionieren
  • Das frühere niederländische Mini-noodnet war ein kupferdrahtbasiertes Notfallkommunikationsnetz, das 20 Bunker verband
    • Es war vollständig unabhängig vom normalen Telefonnetz und darauf ausgelegt, Krieg und Katastrophen zu überstehen
    • Es war vollständig A/B-redundant aufgebaut
  • Dieses Netz wurde stillgelegt, und die modernisierte Notfallkommunikationsausrüstung hängt von KPN-VPN-Diensten und DSL-Modems ab
    • Alle Gespräche laufen über mehrere Router von KPN, und wenn etwas ausfällt, ist es wahrscheinlich eines der ersten Dinge, die ausfallen
    • Bei einem Stromausfall vor einigen Jahren wollte man dieses System nutzen, aber es funktionierte nicht
  • WhatsApp wird von der niederländischen Regierung häufig wie ein faktisches Kommunikationsmittel für Katastrophenfälle genutzt
    • Das Konzept eines notfalltauglichen Netzes auf Basis kurzer Textnachrichten ist an sich nützlich
    • Wenn jedoch die Kabelverbindungen zu den USA unterbrochen werden, kann auch WhatsApp ausfallen; die Redundanz des Notfallnetzes selbst ist daher gering

Brücken und Reparaturfähigkeit vor Ort

  • Rijkswaterstaat teilt häufig mit, man habe „einen Ingenieur gerufen“, wenn eine Brücke sich nicht schließt
    • Um eine Brücke zu reparieren, muss das Telefonnetz funktionieren, und die Telefonnummer des Ingenieurs könnte in einer Excel-Datei in der Cloud stehen
    • Die Wiederherstellungskette für eine Brücke im Jahr 2024 kann Cloud, Telefonnetz, Einsatzfahrzeuge vor Ort und in manchen Fällen sogar die Cloud eines Elektro-Vans umfassen
  • Moderne gesellschaftliche Infrastruktur ist so aufgebaut, dass Strom, Kabelverbindungen in die USA, Cloud und Telefonnetz alle funktionieren müssen, damit sie aufrechterhalten werden kann
  • Die Botlek Bridge ist eine moderne Brücke, die insgesamt 250 Mal ausfiel; anfangs lag die Zahl der Ausfälle bei etwa 75 pro Jahr
    • Da sie eine zentrale Route für den Lkw-Verkehr ist, waren die Auswirkungen der Störungen groß
    • Indem ein dedizierter Ingenieur in einem Van vor Ort stationiert wurde, konnte die Ausfallzeit ungefähr halbiert werden
    • Es gibt sogar eine Website zur Störungsverfolgung und einen SMS-Benachrichtigungsdienst
  • Jahre später stellte sich als Ursache ein defektes Ethernet-Kabel oder ein defekter Port am Server heraus, der Zustände und Sensoren verwaltete
    • Dass die Ursache über mehr als drei Jahre nicht gefunden wurde, zeigt einen Mangel an Kontrolle über die eigene Infrastruktur
  • Die Maeslantkering ist dagegen ein Beispiel für große Infrastruktur, die einfach und robust ist
    • Es handelt sich um ein Bauwerk zum Schutz vor Hochwasser; die roten Motoren, die zum Schließen eingesetzt werden, dienen nur dazu, die Konstruktion zuzuschieben
    • Selbst wenn die Motoren nicht funktionieren, gibt es andere Möglichkeiten zum Schließen, und sie muss nicht vollständig geschlossen sein
    • Sie ist eine passive Struktur und nicht von Sensoren abhängig

Kommunikationsinfrastruktur und Auslandsabhängigkeit

  • In der 5G-Debatte behandelte die Politik das Thema so, als ginge es darum, neu über chinesische Ausrüstung zu entscheiden; in Wirklichkeit betrieb die chinesische Seite bereits viel Telekommunikationsausrüstung
  • Dass in KPN-Stellenanzeigen keine Betriebsrollen im Zusammenhang mit 5G zu finden sind, zeigt, dass der Anbieter diese Infrastruktur nicht selbst betreibt
  • Früher hielt man Kommunikation für so wichtig, dass man 20 Bunker und ein unabhängiges Kommunikationsnetz unterhielt; heute hat man faktisch eine Struktur akzeptiert, die von Peking aus betrieben wird
  • Dass Telekommunikationsanbieter auf Ausrüstung von Ericsson und Nokia umsteigen, ist positiv, doch das Wartungspersonal muss nicht der schwedische „Sven“ sein, sondern kann weit entfernten Standorten angehören
  • China und Indien sind eng mit Russland ausgerichtet, und es ist ungewiss, ob eine externe Organisation wie Infosys bei russischen Hackerangriffen zur Rettung eilen kann
  • Europa verfügt über Fähigkeiten in hochwertiger Optik und bei Anlagen zur Chipfertigung, hat sich aber nicht ausreichend darauf konzentriert, wichtige Infrastruktur selbst zu betreiben

Schwachstellen sind zu grundlegend und zu zahlreich

  • Der niederländische Journalist Joost Schellevis scannte an einem Wochenende das niederländische Internet und fand 10.000 Stellen, die Hackern offenstanden
    • Das NCSC und andere arbeiten an Verbesserungen, und Schwachstellen-Scans sind inzwischen möglich geworden
    • Eine Zeit lang konnte der Journalist solche Scans durchführen, die niederländische Regierung aus rechtlichen Gründen jedoch nicht
  • Ratschläge nach dem Motto „Kauft eine gute Firewall, dann seid ihr sicher“ greifen in diesem Zustand kaum
    • Viele große Sicherheitsanbieter bringen sehr unsichere Produkte heraus, die jedes Jahr Hunderte von Problemen aufweisen
    • Bei Sicherheitsupdates großer Anbieter wie Oracle und Microsoft erscheinen Monat für Monat Hunderte von Schwachstellen
  • Viele jüngere Sicherheitsvorfälle gehen nicht nur auf hochentwickelte Angriffe zurück, sondern auf sehr grundlegende Fehler
    • Bei Helpdesk-Software konnte man mit einem zusätzlichen Slash am Ende der URL als neuer Administrator zugreifen und Passwörter zurücksetzen
    • GitLab hatte etwa sechs Monate lang ein Problem, bei dem beim Zurücksetzen von Passwörtern ein Reset-Link an eine zweite E-Mail-Adresse geschickt wurde, während nur bei der ersten E-Mail geprüft wurde, ob sie einem Administrator gehörte
    • Ivanti bleibt ein Beispiel dafür, dass grundlegende Pfadmanipulationen wie ../ auch 2024 noch funktionieren
  • Die US-Regierung hat die Nutzung von Ivanti verboten, während die niederländische Regierung die Position einnimmt, dass es in Ordnung sei, wenn davor eine andere Firewall steht

Cloud ist nicht automatisch die Antwort

  • Die Schlussfolgerung „Wenn man in die Cloud umzieht, wird es sicher“ gilt nicht
  • Microsoft erklärte, einen Einbruch erkannt zu haben und darauf zu reagieren, räumte später jedoch ein, danach immer noch gehackt gewesen zu sein
  • Um den tatsächlichen Sicherheitszustand eines Unternehmens zu erkennen, kann man die Pflichtmitteilungen an den Wertpapiermarkt lesen
    • Wenn in solchen Mitteilungen Probleme verschwiegen werden, kann der Vorstand bestraft werden, daher sind sie vergleichsweise ehrlich
  • Das US Cyber Safety Review Board untersuchte Vorfälle im Zusammenhang mit Microsoft; der entsprechende Bericht wird als wichtige Referenz genannt
  • Europa und die Niederlande verlagern viel IT in große Clouds wie Google, Microsoft und AWS
    • Die niederländische Regierung sagt, bestimmte Dinge wie Verschlusssachen und grundlegende staatliche Register nicht in die Cloud verlagern zu wollen
    • Der Großteil des übrigen Bereichs kann jedoch Ziel einer Cloud-Migration werden
  • Wenn Organisationen, die ihre eigene IT betrieben haben, in die Cloud wechseln, verlassen interne Betriebskräfte das Unternehmen
    • Manchmal gehen sie von selbst, weil die Arbeit langweilig wird
    • Gute technische Fachkräfte wechseln zu Cloud-Unternehmen, und danach ist schwer zu erkennen, wie der Betrieb innerhalb dieser Unternehmen funktioniert
  • Das Kernproblem ist eine Situation, in der in wichtigen Organisationen niemand mehr übrig ist, der weiß, was Computer tatsächlich tun

Die Kosten nichttechnischer Entscheidungen

  • Entscheidungen in den Niederlanden und Europa können sehr untechnisch verlaufen
  • An Entscheidungen wie einer Cloud-Strategie können Menschen beteiligt sein, die Jura, Geschichte, Kunst oder Französisch studiert haben, während es an Personen fehlt, die wissen, was Computer tun
  • Während keine Techniker an der Besprechung teilnehmen, kann ein Unternehmen beschließen, alles ins Ausland auszulagern
  • Der aktuelle Trend geht dahin, immer weniger über das zu wissen, was man betreibt, und immer stärker von weit entfernten Menschen abhängig zu werden
  • Diese Entwicklung ist bereits zu weit gegangen und scheint sich eher weiter zu verschlechtern, als zum Stillstand zu kommen

Kyivstar und der Unterschied bei der Wiederherstellungsfähigkeit im Krieg

  • Die Ukraine hatte bereits zwei Jahre Krieg erlebt, und vieles, was einfach kaputtgehen konnte, war zu diesem Zeitpunkt bereits kaputt
  • Russland griff später einen der großen ukrainischen Telekommunikationsanbieter, Kyivstar, zerstörerisch an
  • Kyivstar und die ukrainische Seite waren auf Chaos vorbereitet und konnten die Systeme von Grund auf wiederherstellen, sodass sie nach zwei Tagen wieder liefen
  • Es besteht die Sorge, dass VodafoneZiggo oder Odido bei demselben Angriff ohne externe Hilfe ein halbes Jahr lang offline sein könnten
    • Der Grund ist, dass sie ihre eigenen Systeme nicht ausreichend kennen
  • Wie während der Corona-Zeit, als man persönliche Schutzausrüstung und Masken nicht selbst herstellen konnte und von China abhängig war, ist es gefährlich, in einer Kriegssituation Indien oder eine Regierung Donald Trump um die Lösung von Cloud-Problemen bitten zu müssen

Kleines Softwareexperiment und das Problem der Komplexität

  • Beim Versuch, Bilder ohne Cloud zu teilen, wurden moderne Bild-Sharing-Websites wie Imgur als Systeme mit etwa 5 Millionen Codezeilen und hoher Komplexität behandelt
  • Die selbst erstellte Lösung zum Teilen von Bildern umfasste 1.600 Codezeilen und war tausendfach kleiner als Konkurrenzdienste
  • IEEE behandelte diesen Fall, der auch im gedruckten Magazin erschien
  • Sicherheitsexperten prüften diese 1.600 Zeilen Code und fanden drei wesentliche Schwachstellen
    • Auch kleiner Code kann schwerwiegende Schwachstellen verbergen
    • Bei Code im Umfang von 5 Millionen Zeilen führt das zu der Schlussfolgerung, dass er faktisch dauerhaft unsicher sein kann
  • Kleiner Code, wenige Abhängigkeiten und verständliche Strukturen sind weiterhin möglich, aber Sicherheit ist dadurch nicht automatisch garantiert

Aktueller Zustand und praktische Warnung

  • Die Systeme, die den Alltag tragen, sind zu komplex und verletzlich und versagen auch ohne Angriff von selbst
  • Wenn ein großer Telekommunikationsanbieter ausfällt, muss man heute unterscheiden, ob es sich um einen Cyberangriff oder bloße Inkompetenz handelt
  • Technische Wartung verlagert sich immer weiter weg, und selbst in Stellenanzeigen von Telekommunikationsanbietern sieht man kaum noch Personal, das direkt an Funknetzen arbeitet
  • Die eigenen technischen Fähigkeiten werden schwächer, und damit Kommunikation weiter funktioniert, ist Hilfe aus aller Welt nötig
  • Überträgt man diesen Zustand auf eine Kriegssituation, sind sehr schlechte Ergebnisse zu erwarten
  • Ursache ist, dass nichttechnische Entscheider Optionen gewählt haben, die billiger sind oder weniger Mühe machen; mehr technisches Denken ist nötig, aber es ist unklar, wie sich das erreichen lässt

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-05-19
Hacker-News-Kommentare

  • Ich stimme der Sichtweise des Autors voll und ganz zu. Bei den European Train Control Systems etwa wollen viele GPS zur sicheren Positionsbestimmung von Zügen nutzen; der Raumfahrtsektor mag das, weil sich damit die Kosten für Satelliten wie Galileo im Orbit rechtfertigen lassen.
    Macht man aber vor einem Krieg eine Realitätscheck-Übung, kommt man sofort zu dem Schluss: Wenn GPS gestört oder interferiert wird, können alle Züge in Europa nur noch im Schneckentempo fahren und schließlich anhalten. Vor dem Ukrainekrieg wurden solche Warnungen kaum gehört.
    Kritische Infrastruktur darf nicht von etwas im Weltraum oder auf der anderen Seite der Erde abhängen. In solchen Bereichen muss Regulierung vor Marktlogik kommen; wir können nicht auf die nächste Titanic warten.

    • Auch die Bahn kann die Zugsteuerung inzwischen auslagern. Wabtecs „Wabtec Cloud Positive Train Control Communication Solution“ wird als „vollständige schlüsselfertige gehostete Office-Lösung für I-ETMS-basierte Positive Train Control-Systeme“ beschrieben.
      Wabtec hatte einen Sicherheitsvorfall, behauptet aber, betroffen seien nur Mitarbeiterdaten gewesen, nicht die Steuerungssysteme.
      https://www.wabteccorp.com/digital-intelligence/signaling-an...
      https://industrialcyber.co/ransomware/wabtec-suffers-data-br...
    • Ganz zustimmen kann ich nicht. Das gesamte Krankenhaussystem von Ascension Healthcare musste seit dem 8. Mai zu Papierakten zurückkehren und Patienten verlegen; Change Healthcare hat seit dem Angriff im Februar 872 Millionen Dollar verloren.
      Wie bei der Pandemie wirkt so etwas oft harmlos, bis man selbst direkt betroffen ist.
      https://en.wikipedia.org/wiki/Ascension_(healthcare_system)
      https://www.wired.com/story/change-healthcare-admits-it-paid...
      Außerdem ist ein Computer 5.000 km entfernt nicht zwangsläufig schlecht. Wenn man an der von Hurrikanen bedrohten Gulf Coast lebt, möchte man, dass außerhalb der Region Reserve-Computing-Ressourcen eingeschaltet sind. Nach Katrina konnte sich die medizinische Fakultät der Tulane University dank eines Forums, das auf einer VM in Rumänien lief, schnell neu organisieren; der Rest stand unter Wasser.
      Schallbetriebene Telefone habe ich bei der Schadensbegrenzung auf Schiffen erlebt; sie funktionieren fast nie richtig. Für die Koordination bei echten Bränden braucht man Funkgeräte und Bordlautsprecher, und die hängen von Strom ab.
      Auch als 2011 ganz San Diego zur Pendelzeit vier Stunden lang ohne Strom war, funktionierte das Mobilfunknetz, und ich konnte aus dem Auto ohne Ampeln heraus Dokumente per E-Mail nach Tokyo schicken.
      Es gab Fälle, in denen Kabel auf US-Seite durchtrennt wurden, aber es gibt auch viele Katastrophen, bei denen die Kabel intakt bleiben. Graceful Degradation entsteht durch breit verteilte Optionen; wenn man IP-Netze für verwundbar hält, ist man mit einem Starlink-Terminal und einer Amateurfunklizenz vermutlich besser beraten.
      https://en.wikipedia.org/wiki/SpaceX_Starshield
    • Züge verwenden mehrere Sensoren zur Wegmessung; der Ausfall eines davon führt also nicht sofort zur Katastrophe.
    • Die Bahn sollte selbstverständlich GPS nutzen. Allerdings muss es, wie in der Luftfahrt, durch lokale Sender ergänzt werden, und davon braucht es sehr viele.

  • Einer der besten Beiträge, die ich bisher auf HN gelesen habe; ich wünschte, mehr Leute würden ihn sehen. Auch als „Nerd“ frage ich mich oft, ob wir Probleme, die sich einfacher lösen ließen, nicht unnötig mit einem Nerd-Ansatz angehen.
    Oft wählen wir offenbar die komplizierteste oder nerdigste Methode, um uns selbst und anderen zu beweisen, dass wir es können, statt zu fragen, ob wir es tun sollten. Natürlich heißt das nicht, dass ein solcher Ansatz immer schlecht ist; bei manchen Problemen passt eine einfache Lösung besser.

    • In meiner Ausbildung wurde der Therac-25-Unfall als Paradebeispiel für übermäßiges Vertrauen in Software ziemlich ausführlich behandelt.
      https://en.m.wikipedia.org/wiki/Therac-25
    • Der Autor spricht schon lange über die Nachteile von Outsourcing, und auch seine früheren Beiträge sind interessant.

  • Ich stimme zu, dass Nichttechniker Entscheidungen getroffen haben, die auf das Billigste optimiert waren; dazu kommen noch zwei Dinge. Die böswilligen Akteure in der Cybersicherheit sind dezentralisiert und verteilt, innovieren schnell und teilen Wissen, während die Verteidiger zentralisiert, proprietär und in ihren Grenzen gefangen sind.
    Außerdem haben Software- und Serviceanbieter sichere Vernetzung traditionell nicht in ihre Produkte eingebaut, sondern sie den Kunden als etwas überlassen, das später angeflanscht wird. Das ist riskant, weil das Netzwerk oft die größte und anfälligste Angriffsfläche ist.

    • Das größere Problem ist tatsächlich, dass die Entwicklung sicherer Produkte – von Ausnahmen abgesehen – als Störfaktor gesehen wird, den man an das Cybersecurity-Team abschieben kann. Diesen Teams fehlt oft auch die tatsächliche Engineering-Kompetenz für Produktentwicklung.
      Also bleibt nur, noch ein Tool von Tausenden Anbietern zu kaufen, die versprechen: „Wenn ihr nur das kauft, seid ihr sicher.“ Für jeden, der schon einmal ein sicheres Produkt gebaut hat, sollte das offensichtlich Unsinn sein.
      Die meisten Tools sind ein bisschen nützlich oder völlig nutzlos, aber niemals die Allzwecklösung. Um ein sicheres Produkt zu bauen, muss Sicherheit eine Anforderung erster Klasse sein und vom ersten Tag an ins Design einfließen. Leicht gesagt, schwer getan.
    • Entscheidungen von Nichttechnikern muss man verhindern

  • Vor gut zehn Jahren schrieb ich einmal einen Text, in dem ich vorhersagte, dass die USA nicht eingreifen würden, um einen kleinen Verbündeten zu unterstützen, weil westliche Infrastruktur für Cyberoperationen verwundbar sei. Die Logik war: Die Kosten innerer Unruhen durch Angriffe auf Infrastruktur würden dazu führen, dass man vor einer Beteiligung an einem Krieg im Ausland zurückschreckt, und diese Verwundbarkeit würde Gegner wie Russia oder China ermutigen.
    Bislang lag ich damit falsch. Einige jüngere Infrastrukturvorfälle wirkten zwar wie russische Abschreckungsoperationen nach dem Motto „Wir können euch so etwas zeigen, wenn ihr nicht zurückweicht“, aber die USA sind weiterhin tief in den Krieg in Ukraine involviert und scheinen auch Israel gegen Iran Rückendeckung zu geben. Es scheint wenig Sorge zu geben, dass beide Gegner die Fähigkeit haben könnten, das US-Stromnetz lahmzulegen.
    Auch China tritt gegenüber Taiwan hart auf, scheint sich aber damit zufriedenzugeben, es zu managen, statt eine vollständige politische Eingliederung anzustreben, und scheint die US-Unterstützung für Taiwan ernst zu nehmen. Selbst wenn man annimmt, dass China nahezu alles in den USA zum Stillstand bringen könnte, in dem Halbleiter stecken.
    Vielleicht müssen Staaten in der neuen Weltordnung ihr souveränes Territorium gar nicht unbedingt ausweiten, solange sie das, was sie brauchen, effektiv managen können. Abgesehen von Dingen wie der Stationierung von Raketen: Warum die Kuh erobern und die Last des Regierens übernehmen, wenn man an die Milch kommt? Damit befindet sich Cyber in einer dynamischeren Lage, als die geopolitischen Annahmen aus der Zeit vor Weltraum und Netzwerken nahelegen.

    • Was in dieser Analyse fehlt, ist meiner Meinung nach die offensive Cyberfähigkeit der USA. Ich vermute, dass das Ausmaß, in dem diese Fähigkeit völlig heruntergespielt wird, eher proportional zu ihrer Stärke ist.
      Wenn es viele laute Debatten darüber gäbe, dass mehr in offensive Cyberfähigkeiten investiert werden müsse, würde ich mir Sorgen machen. Schon die Art, wie man so tut, als existiere sie nicht, sagt genug.

  • Ich bin der Autor. Wenn ihr Fragen habt, sagt Bescheid.

    • Als Software Engineer stimme ich bis zu einem gewissen Grad zu, aber die Geschichte ist nicht vollständig. Wenn man sich die Angriffe auf Ukraine und die Schäden im Bereich Cybersecurity ansieht, waren sie im Großen und Ganzen ziemlich begrenzt.
      Außerdem half Microsoft bei der Verteidigung, also war es keine schlechte Investition. Mich würde interessieren, ob es eine quantitative Risikobewertung gab, um den potenziellen Schaden zu verstehen, falls die Russians einen ähnlichen Angriff auf die Netherlands durchgeführt hätten.
    • Schön zu sehen, dass es noch jemanden gibt, der altmodische Programmier-Tugenden verteidigt. Bei all der kapitalgetriebenen Zentralisierung, Skalierung und Verkomplizierung, die die Debatte beherrscht, dachte ich schon, ich werde verrückt.
    • Keine Frage, aber als Europäer, der bei einem „für den Staat/die EU wichtigen Großunternehmen“ gearbeitet hat, trifft dieser Text sehr viel von meiner Frustration. Ich habe nicht im Sicherheitsbereich gearbeitet.
      Alles in der IT-Infrastruktur wurde nach India ausgelagert, und wenn es besser lief, nach Poland. In den EU-Büros gibt es zwar kompetente Leute, aber sie haben keine Berechtigung, ihre eigene Hardware zu nutzen. Man muss wochenlang bei gering qualifizierten Ticket-Bearbeitern der Outsourcing-Firma betteln und endlose Meetings führen.
      EU-Mitarbeiter werden in Feature-Fabriken oder zu Prozessmanagern abgeschoben, Betrieb gibt es überhaupt nicht. Es heißt dann: „Das ist keine Kernkompetenz.“
      Ich werde nie wieder bei einem europäischen Großunternehmen arbeiten, das „für die nationale Sicherheit wichtig“ ist. Es zermürbt die Seele, und es ist vollkommen klar, dass es niemanden interessiert.
      Jedes Mal, wenn ich Nachrichten sehe, dass zig Milliarden Euro für EU-Souveränität bereitgestellt werden, tut es weh. Ich habe zu oft in Teams mit 10 Managern und 2 Engineers viel zu lange Meetings erlebt, in denen man das Team von $indian_outsourcing_company anfleht, einen die eigene Arbeit machen zu lassen.
    • Wenn man diesen Vortrag in den USA hält, könnte man auch erwähnen, dass amerikanische Landwirte offenbar ohne GPS nicht mehr Landwirtschaft betreiben können.
      Es kann nicht gut sein, wenn die Lebensmittelversorgung vollständig von einem heiklen und leicht störbaren Satellitensystem abhängt.
      https://www.404media.co/solar-storm-knocks-out-tractor-gps-s...
    • Das war ein großartiger Vortrag, und ich fand gut, wie er die Risiken betont und mit klaren Bildern die Notwendigkeit robuster Infrastruktur erklärt hat. Allerdings würde ich die Stelle „4.000 Windturbinen konnten nicht mehr betrieben werden“ gern überprüfen.
      Was ich gefunden habe, unterscheidet sich in einem wichtigen Detail. Die Turbinen liefen weiter, und die Zahl scheint nicht 4.000, sondern 5.800 gewesen zu sein. Verloren ging offenbar die Fähigkeit zur Fernüberwachung und Fernsteuerung.
      https://cyberconflicts.cyberpeaceinstitute.org/law-and-polic...
      Es wäre gut, wenn du diesen Unterschied erklären könntest. Ich werde dieses Transkript definitiv mit anderen teilen, daher lohnt es sich, das zu klären.

  • Ich habe kürzlich Fluglotsen gefragt, was passieren würde, wenn GPS nicht mehr nutzbar wäre, und alle reagierten unbehaglich.
    Es würde ein sehr arbeitsreicher Tag werden, weil man alle Flugzeuge per Vektoren zur Landung führen müsste. Plötzlich könnten die meisten Flugzeuge nicht mehr sicher navigieren und faktisch nicht mehr starten.
    Das Budget für bodengestützte Navigationshilfen zu kürzen, halte ich für Wahnsinn.

    • Es gibt auch andere Navigationsmittel. Zum Beispiel VOR, ein bodengestütztes Funkfeuer.
      Leider werden solche Mittel zugunsten von GPS-Wegpunkten immer weniger genutzt und laufen faktisch aus. Selbst wenn sie noch vorhanden sind, sinkt die Erfahrung, weil Piloten sie nicht täglich verwenden.
    • Wegen russischer Störsender ist GPS in Ost- und Nordeuropa schon häufig nicht mehr nutzbar. Einige kleinere Flugplätze mussten ihre Systeme aktualisieren, damit sie nicht ausschließlich von GPS abhängig sind.
    • Ich dachte, GPS sei in der Luftfahrt ein nicht-kritisches Asset, das jedes Flugzeug jederzeit sicher abschalten und dann mit VOR und anderen Navigationshilfen weiterfliegen könne.
      Dieser Artikel stellt einige Szenarien vor, in denen Piloten ausschließlich auf GPS angewiesen sind. Für günstigen Wind und direktere Routen werden GPS-basierte Wegpunkte auch dort genutzt, wo es keine VORs gibt, und RNAV-Abflüge und -Ankünfte verlassen sich „nicht auf funkbasierte Hilfsmittel, sondern ausschließlich auf GPS“, um genauere Abstände und höhere Kapazität zu ermöglichen. In gebirgigem Gelände wird GPS bei manchen Anflügen als Ersatz für ILS verwendet.
      https://simpleflying.com/gps-in-aviation-pilots-guide/
    • GPS ist nur eines von drei derzeit eingesetzten Satellitenortungssystemen; ich frage mich, warum Flugzeuge die anderen nicht ebenfalls nutzen.

  • Es fühlt sich verrückt an, dass wir so viel von der Wartung nationaler Infrastruktur an China auslagern.
    Wenn China in Taiwan einmarschiert: Was könnten wir tun, wenn es einen solchen Hebel gegen uns in der Hand hält? Die Abhängigkeit von russischem Gas war schon schlimm genug.

    • Die USA sind bei ihrem Energiebedarf von niemandem abhängig. China schon, und wenn ein paar Pipelines wie Nord Stream gesprengt werden, ist es ziemlich verwundbar.
      Das ist auch ein Grund, warum die USA im Middle East eine so starke Präsenz aufrechterhalten.

  • Ich frage mich, ob es im Geheimen eine gegenseitig zugesicherte Vernichtung im Cyberkrieg gibt.
    Die Annahme wirkt ziemlich plausibel, dass die großen Mächte jederzeit genügend 0-days besitzen, um, wenn sie sie gemeinsam einsetzen, einen erheblichen Teil der Computer und Handys weltweit zu formatieren. Es dürfte auch nicht allzu schwer sein, einen Wurm dazu zu bringen, IPs intelligent zu nutzen, um gezielt ein bestimmtes Land anzugreifen.
    Schon wenn nur 25 % der Arbeits- und Heimcomputer gelöscht würden, dazu die meisten Handys, die seit sechs Monaten kein Update bekommen haben, und ein ziemlich großer Teil der Online-Server, ist schwer vorstellbar, wie groß der Schaden wäre.

    • Wenn das stimmt, frage ich mich, warum man aus der Ukraine kaum hört, dass russische Hacker massenhaft Daten auf Handys und Computern gelöscht hätten.
      Die Antwort, der Kreml spare 0-days für einen noch ernsteren Konflikt auf, ist nicht überzeugend. Der Kreml betrachtet die Lage in der Ukraine als sehr ernstes Problem für die nationale Sicherheit Russlands, setzt massenhaft Raketen ein, die mehr als eine Million Dollar pro Stück kosten, um das ukrainische Stromnetz zu schwächen, und hat auch mehrfach versucht, den ukrainischen Präsidenten zu ermorden.
      Warum sollte er dann nicht alles daransetzen, der Ukraine mit Cyberangriffen so viel Schaden wie möglich zuzufügen?
    • Ein nuklearer EMP in niedriger Erdumlaufbahn könnte so eine Option sein. Technisch gesehen ist das allerdings kein Cyberangriff.

  • Wenn COVID-19 die Abhängigkeit davon, Drecksarbeit ins Ausland auszulagern, nicht geändert hat, halte ich es für sehr unwahrscheinlich, dass eine Lage kurz vor einem Krieg daran etwas ändert.
    Wir sind eine Spezies, die den kürzesten Weg optimiert und dabei Ecken abschneidet. Erst wenn es passiert ist und wir in der Asche sitzen, werden wir denken: „Was zum Teufel haben wir falsch gemacht?“

    • Der gesuchte Begriff dürfte Friendshoring sein.
      Einige Unternehmen und Regierungen treiben Friendshoring voran, um geopolitische Risiken zu reduzieren und zugleich den Zugang zu internationalen Märkten und Lieferketten zu erhalten. Bonnie Glick prägte zu Beginn der Covid-19-Pandemie als stellvertretende USAID-Administratorin den Begriff „allied shoring“, und auch die neue US-Handelspolitik, einschließlich USMCA und IPEF, passt zur Friendshoring-Struktur.
      https://en.wikipedia.org/wiki/Friendshoring

  • Es nagt an mir, dass ich kurz nachdem ich viele Sicherheitsbedenken zu Gerichts- und Justizsoftware geäußert hatte, praktisch gefeuert wurde.
    Seitdem bin ich durchgehend arbeitslos, mein Einkommen wird unsicher, und bei der Jobsuche geht überhaupt nichts voran.
    Wie viele hochqualifizierte Menschen gibt es wohl gerade, die trotzdem nur schwer Arbeit finden? Wie stark ist wohl ihre Versuchung, wegen des Einkommens auf Black Hat umzusteigen? Ich werde nicht der Einzige sein, der solche Gedanken hat.

    • Im Moment ist es wirklich schlimm. Über die Jahre habe ich gelernt, nicht unnötig Staub aufzuwirbeln. Wenn Sicherheit nicht die Hauptaufgabe ist, fährt man besser damit, mit dem Strom zu schwimmen.
      In jeder Firma, in der ich gearbeitet habe, habe ich riesige Sicherheitslücken gesehen. Solange die Checkboxen für die Versicherung abgehakt sind, kümmert es niemanden.
    • Ich habe die Jobsuche aufgegeben. Ich ertappte mich dabei, wie ich mich jeden Tag aus dem Bett zwang, ins Café ging und neue Versionen meines Lebenslaufs erstellte, nur um bei Jobs abgelehnt zu werden, die ich nicht einmal wollte.
      Wenn du Black-Hat-Tipps kennst, schick sie gern auch mir rüber … nur ein Scherz.