CrowdStrike verursachte bereits vor Monaten Schäden bei Debian und Rocky Linux

Ausfälle bei Debian und Rocky Linux

• CrowdStrike ist ein bekannter Anbieter von Cybersicherheitsdiensten und wurde kürzlich als Ursache des Blue Screen of Death (BSOD)-Problems auf Windows-PCs identifiziert
• Dieses Problem beeinträchtigte den Betrieb in vielen Bereichen wie Fluggesellschaften, Banken und Gesundheitsdienstleistern, wirkte sich jedoch nicht auf Macs oder Linux-PCs aus
• Allerdings erlitten auch Debian- und Rocky-Linux-Nutzer über mehrere Monate hinweg schwerwiegende Ausfälle durch CrowdStrike-Updates, ohne dass dies große Beachtung fand
• Dies wirft Bedenken hinsichtlich der Software-Update- und Testverfahren von CrowdStrike auf

Ausfall bei Debian Linux

• Im April fielen alle Debian-Linux-Server eines zivilgesellschaftlichen Tech-Forschungslabors gleichzeitig durch ein CrowdStrike-Update aus und verweigerten den Bootvorgang
• Obwohl dieses Update nicht mit der neuesten stabilen Version von Debian kompatibel war, galt diese Linux-Konfiguration als unterstützt
• Das IT-Team stellte fest, dass die Systeme nach dem Entfernen von CrowdStrike wieder booteten, und meldete den Vorfall
• Ein Teammitglied äußerte Unmut über die verzögerte Reaktion von CrowdStrike und sagte, dass es nach der Anerkennung des Problems mehrere Wochen dauerte, bis eine Ursachenanalyse vorgelegt wurde
• Die Analyse ergab, dass die Debian-Linux-Konfiguration nicht in der Testmatrix von CrowdStrike enthalten war

Ausfall bei Rocky Linux

• Nach dem Upgrade auf Rocky Linux 9.4 meldeten CrowdStrike-Nutzer ebenfalls ein ähnliches Problem, bei dem Server aufgrund eines Kernel-Bugs ausfielen
• Der CrowdStrike-Support erkannte das Problem an; es zeigt ein Muster unzureichender Tests und mangelnder Sorgfalt bei Kompatibilitätsproblemen über verschiedene Betriebssysteme hinweg

Verbesserungsmaßnahmen

• Um solche Probleme künftig zu verhindern, sollte CrowdStrike strenge Tests für alle unterstützten Konfigurationen priorisieren
• Außerdem sollten Organisationen CrowdStrike-Updates genau beobachten und Notfallpläne vorbereiten, um mögliche Ausfälle abzumildern

[click]

Es sieht so aus, als hätte die KI nicht den Haupttext, sondern die Werbung zusammengefasst.

[xguru]

Die HTML-Struktur der Neowin-Website ist merkwürdig, daher wurden alle Anzeigen in der oberen Leiste als Haupttext erkannt. Ich habe das korrigiert.

[GN⁺]

Hacker-News-Kommentare

• Das OSS/Linux-Ökosystem besteht zwar aus unabhängig arbeitenden, locker koordinierten Gruppen und aus Code, der kostenlos geschrieben wurde, ist aber dennoch robuster als die Software von Milliardenunternehmen.
  • OSS-Systemprogrammierer schreiben Code öffentlich, vielleicht weniger wegen „Viele Augen machen Bugs flach“, sondern eher weil „Schon irgendein Auge schlechten Code beschämt“.
  • Ich plane, ein kommerzielles Projekt als Open Source zu veröffentlichen, muss aber vor der Veröffentlichung noch viele Korrekturen vornehmen.
  • Ich habe mehrere geschlossene kommerzielle Codebasen gesehen und dabei auch viel deutlich schlechteren Code.
• Es gab einen Kommentar, dass Crowdstrike am 19. April Probleme auf Linux-Produktivsystemen verursacht habe.
• Die Produktqualität befindet sich im freien Fall, von Flugzeugen bis zu Software, und mangelnde QA ist heutzutage offenbar normal.
• Als ich in diesem Bereich gearbeitet habe, habe ich mich immer gefragt: „Sind diese Dinge tatsächlich nützlich?“
  • Ich frage mich, ob es unabhängige Studien zur Wirksamkeit von Crowdstrike und Ähnlichem gibt oder ob sie unser Leben nur für Security-Theater schlechter machen.
• Es gab Berichte, dass Crowdstrike fehlerhafte DLLs in Windows-Anwendungen einschleuste, sodass Apps von selbst abstürzen konnten.
• Das Problem ist, dass Unternehmen Vertragsklauseln verwenden können, mit denen sie sich der Haftung für Folgeschäden entziehen.
  • Solche Klauseln müssten vielleicht für Fälle wie vertragliche Folgeschäden mit Todesfolge für nichtig erklärt werden.
  • Zumindest sollten sie eingeschränkt werden.
• Das Update war nicht mit der neuesten stabilen Version von Debian kompatibel.
  • Die Analyse ergab, dass die Debian-Linux-Konfiguration nicht in der Testmatrix enthalten war.
  • Das kommt tatsächlichem Betrug sehr nahe. Man erklärt Unterstützung, testet es aber in Wirklichkeit nicht.
  • Das ist so, als würde ein Autohersteller keine Sicherheitsgurte einbauen. Ich frage mich, warum Crowdstrike nicht bestraft wird.
• Crowdstrike sollte strenge Tests für alle unterstützten Konfigurationen priorisieren.
  • Tests kosten Geld, und in einem Wettbewerbsmarkt verkauft man sein Produkt nicht an Firmen, die es brauchen oder wollen.
  • Es ist ein Geschäftsmodell, bei dem das Produkt Unternehmen aufgezwungen wird, daher gibt es keinen Anreiz, in Qualität zu investieren.
• Die Aussage „Niemand hat es bemerkt“ bedeutet wohl, dass Crowdstrike die mediale Aufmerksamkeit unterdrückt hat.
  • Am Tag des Bugs gab es im HN-Post Kommentare von Leuten, die seit Monaten versuchten, das Problem zu melden.
  • Auch im Artikel steht, dass Leute es bemerkt haben. Deshalb frage ich mich, wer es angeblich nicht bemerkt hat oder ob das Problem einfach nicht populär genug war und deshalb ignoriert wurde.
• Ich frage mich, ob hier jemand Crowdstrike nutzt und was es eigentlich tut.
  • Es ist auf meinem Firmenlaptop installiert und wirkt wie ein Keylogger und Aktivitätsmonitor.
  • Man sagt zwar „Ich habe nichts zu verbergen“, aber es ist mir trotzdem unangenehm, dass mich irgendein Unternehmens-Superuser überwacht.