Manfred Kloiber: Vorgestern ist in Las Vegas die fünftägige Sicherheitskonferenz Blackhat zu Ende gegangen. Die Blackhat-Veranstaltung hat ja mal als reine Hacker-Konferenz begonnen. Inzwischen hat sie sich aber sehr weit Unternehmen und öffentlichen Verwaltungen geöffnet. In diesem Jahr hat sogar Robert Lentz, einer der Cyber-Defense-Chefs des amerikanischen Verteidigungsministeriums, eine Keynote gehalten. Wie offen hat Robert Lentz denn über die Cyber-Defense-Programme des Pentagon gesprochen, Peter Welchering?
Peter Welchering: Robert Lentz war ausgesprochen offen. Das muss man wirklich anerkennen. Und er war vor allen Dingen sehr bemüht, das doch insgesamt so eher kritisch eingestellte Publikum für sich, für das Pentagon zu gewinnen. Immer wieder hat er betont, es gehe um Sicherheit, es gehe um Sicherheit der Kommunikation, wozu eben auch die Garantie von Privatheit zähle, es gehe um Sicherheit der IT-Infrastrukturen, es gehe um Sicherheit der kritischen Infrastrukturen in anderen Bereichen. Die aber auch natürlich mit der IT-Infrastruktur ganz ganz eng verbunden seien. Und deshalb hat man sich im Pentagon auch ein Stück weit von den Cyber-War-Veranstaltungen verabschiedet, also von den Cyber-Kriegsvorstellungen. Deshalb heißen die entsprechend aufgelegten Programme jetzt seit neuestem auch Cyber-Defense – Verteidigung. Auch die Cyber-Warrior im Pentagon, die haben erkannt, dass sie nur noch dann Geld für ihre Arbeit und ihre schicken Projekte bekommen, wenn sie Verteidigungsstrukturen gegen Computerangriffe entwickeln: also keine eigenen Computerangriffe mehr. Und so erklärt sich auch der Auftritt von Robert Lentz auf der Blackhat-Tagung, die stand nämlich diesmal ganz im Zeichen von Verteidigungsstrategien gegen Angriffe.
Kloiber: Und welche Angriffe und Angriffsarten wurden in Las Vegas besonders intensiv diskutiert?
Welchering: Man kann quasi drei Oberbegriffe zu diesem wirklich umfangreichen Tagungsprogramm ausfindig machen. Da ging es dann um Angriffe auf die Privatheit. Das Zweite wären Angriffe auf die Integrität. Und das Dritte auf das digitale Eigentum. Und es ging natürlich darum, wie man sich dagegen wehren kann, in erster Linie, beziehungsweise, wie man sich davor schützen kann. Und das so die drei Oberthemen in diesem Jahr in Caesars Palace in Las Vegas. Insbesondere der letztgenannte Punkt, nämlich Angriffe auf digitales Eigentum, der wurde sehr spannend diskutiert. Ein wesentlicher Punkt dabei: die Exploit-Thematik, also Schwachstellen, die sich dann Angriffsprogramme zunutze machen, um beispielsweise Konteninformationen oder Zugangsdaten zu erbeuten und sie über sogenannte Darkzones, also Sammelstellen im Internet, weiterzuschleusen und letztlich dann zu verkaufen. Klar wurde auch: gegen Exploits hilft letztlich nur die umfassende und schnelle Veröffentlichung von Schwachstellen, so dass auch sehr schnell Sicherheitspatches entwickelt werden können, um diese Sicherheitslücken dann eben zu schließen.
Kloiber: Der Schutz der Privatheit war ja in Las Vegas ein weiteres wichtiges Thema. Beschränkten sich die Diskussionen hier auf Verschlüsselung?
Welchering: Nein, bei weitem nicht. Das zentrale Thema rund um die Privatheit war diesmal der Schutz von Informanten. Also für diese Hacker-Tagung, Sicherheits-Tagung eigentlich ein ganz neues Thema. Von Insidern also, die Journalisten unerkannt Dokumente zuspielen wollen, weil sie wollen, dass etwas Skandalöses aufgedeckt wird. Da existieren mittlerweile ja sogenannte Whistleblower-Sites, also Webseiten, über die Informanten unerkannt und geschützt mit Journalisten kommunizieren können. Also die pfeifen dann den Journalisten was zu oder stecken ihnen eben Dateien zu, verschicken Dateien. Und diese Whistleblower-Sites, das sind in der Regel klassische Webserver. Und genau da liegt das Problem. Denn dann gibt’s eine Reihe von Schwachstellen, über die ein Informant dann enttarnt werden kann. Das fängt bei der Überwachung der Zugangskanäle zu diesen Webservern an, das sogenannte Problem der ersten Meile, das geht über die Beschlagnahe und anschließende Entschlüsselung der Festplattensysteme dieser Systeme und das hört bei der Rückverfolgung von Datenpäckchen von dieser Servern über diverse Internetknotenrechner zum absendenden PC noch längst nicht auf. Und hier muss besserer Schutz her.
Kloiber: Gibt es denn Alternativen zu diesen Whistleblower-Sites?
Welchering: Ja, die Alternative heißt Darknet, dunkles Netz, und ein solches Darknet ist im Prinzip ein virtuelles privates Netzwerk, das von allen Computersystemen gebildet wird, die eine bestimmte Webadresse geöffnet haben. Und jedes Darknet-Mitglied stellt Speicherplatz und Server-Ressourcen für alle anderen dann auch zur Verfügung. Alle Darknet-Mitgleider speichern auf allen anderen Rechnern, tauschen verschlüsselte Daten aus, und alle Datenverbindungen sind eben wie bei einem virtuellen privaten Netzwerk auf einer sehr hohen Sicherheitsstufe getunnelt. Das erhöht die Sicherheit. Und bisher waren noch keine Angriffe auf Darknets erfolgreich. Gegenwärtig scheint das also eine recht sichere Möglichkeit zu sein, privat, unerkannt und vor allen Dingen unbewacht Daten austauschen zu können. Allerdings sind Darknets nicht ganz trivial, denn die Installation der Darknet-Software wird von einigen Anwendern noch beklagt. Darüber wurde in Las Vegas auch sehr intensiv diskutiert.
Peter Welchering: Robert Lentz war ausgesprochen offen. Das muss man wirklich anerkennen. Und er war vor allen Dingen sehr bemüht, das doch insgesamt so eher kritisch eingestellte Publikum für sich, für das Pentagon zu gewinnen. Immer wieder hat er betont, es gehe um Sicherheit, es gehe um Sicherheit der Kommunikation, wozu eben auch die Garantie von Privatheit zähle, es gehe um Sicherheit der IT-Infrastrukturen, es gehe um Sicherheit der kritischen Infrastrukturen in anderen Bereichen. Die aber auch natürlich mit der IT-Infrastruktur ganz ganz eng verbunden seien. Und deshalb hat man sich im Pentagon auch ein Stück weit von den Cyber-War-Veranstaltungen verabschiedet, also von den Cyber-Kriegsvorstellungen. Deshalb heißen die entsprechend aufgelegten Programme jetzt seit neuestem auch Cyber-Defense – Verteidigung. Auch die Cyber-Warrior im Pentagon, die haben erkannt, dass sie nur noch dann Geld für ihre Arbeit und ihre schicken Projekte bekommen, wenn sie Verteidigungsstrukturen gegen Computerangriffe entwickeln: also keine eigenen Computerangriffe mehr. Und so erklärt sich auch der Auftritt von Robert Lentz auf der Blackhat-Tagung, die stand nämlich diesmal ganz im Zeichen von Verteidigungsstrategien gegen Angriffe.
Kloiber: Und welche Angriffe und Angriffsarten wurden in Las Vegas besonders intensiv diskutiert?
Welchering: Man kann quasi drei Oberbegriffe zu diesem wirklich umfangreichen Tagungsprogramm ausfindig machen. Da ging es dann um Angriffe auf die Privatheit. Das Zweite wären Angriffe auf die Integrität. Und das Dritte auf das digitale Eigentum. Und es ging natürlich darum, wie man sich dagegen wehren kann, in erster Linie, beziehungsweise, wie man sich davor schützen kann. Und das so die drei Oberthemen in diesem Jahr in Caesars Palace in Las Vegas. Insbesondere der letztgenannte Punkt, nämlich Angriffe auf digitales Eigentum, der wurde sehr spannend diskutiert. Ein wesentlicher Punkt dabei: die Exploit-Thematik, also Schwachstellen, die sich dann Angriffsprogramme zunutze machen, um beispielsweise Konteninformationen oder Zugangsdaten zu erbeuten und sie über sogenannte Darkzones, also Sammelstellen im Internet, weiterzuschleusen und letztlich dann zu verkaufen. Klar wurde auch: gegen Exploits hilft letztlich nur die umfassende und schnelle Veröffentlichung von Schwachstellen, so dass auch sehr schnell Sicherheitspatches entwickelt werden können, um diese Sicherheitslücken dann eben zu schließen.
Kloiber: Der Schutz der Privatheit war ja in Las Vegas ein weiteres wichtiges Thema. Beschränkten sich die Diskussionen hier auf Verschlüsselung?
Welchering: Nein, bei weitem nicht. Das zentrale Thema rund um die Privatheit war diesmal der Schutz von Informanten. Also für diese Hacker-Tagung, Sicherheits-Tagung eigentlich ein ganz neues Thema. Von Insidern also, die Journalisten unerkannt Dokumente zuspielen wollen, weil sie wollen, dass etwas Skandalöses aufgedeckt wird. Da existieren mittlerweile ja sogenannte Whistleblower-Sites, also Webseiten, über die Informanten unerkannt und geschützt mit Journalisten kommunizieren können. Also die pfeifen dann den Journalisten was zu oder stecken ihnen eben Dateien zu, verschicken Dateien. Und diese Whistleblower-Sites, das sind in der Regel klassische Webserver. Und genau da liegt das Problem. Denn dann gibt’s eine Reihe von Schwachstellen, über die ein Informant dann enttarnt werden kann. Das fängt bei der Überwachung der Zugangskanäle zu diesen Webservern an, das sogenannte Problem der ersten Meile, das geht über die Beschlagnahe und anschließende Entschlüsselung der Festplattensysteme dieser Systeme und das hört bei der Rückverfolgung von Datenpäckchen von dieser Servern über diverse Internetknotenrechner zum absendenden PC noch längst nicht auf. Und hier muss besserer Schutz her.
Kloiber: Gibt es denn Alternativen zu diesen Whistleblower-Sites?
Welchering: Ja, die Alternative heißt Darknet, dunkles Netz, und ein solches Darknet ist im Prinzip ein virtuelles privates Netzwerk, das von allen Computersystemen gebildet wird, die eine bestimmte Webadresse geöffnet haben. Und jedes Darknet-Mitglied stellt Speicherplatz und Server-Ressourcen für alle anderen dann auch zur Verfügung. Alle Darknet-Mitgleider speichern auf allen anderen Rechnern, tauschen verschlüsselte Daten aus, und alle Datenverbindungen sind eben wie bei einem virtuellen privaten Netzwerk auf einer sehr hohen Sicherheitsstufe getunnelt. Das erhöht die Sicherheit. Und bisher waren noch keine Angriffe auf Darknets erfolgreich. Gegenwärtig scheint das also eine recht sichere Möglichkeit zu sein, privat, unerkannt und vor allen Dingen unbewacht Daten austauschen zu können. Allerdings sind Darknets nicht ganz trivial, denn die Installation der Darknet-Software wird von einigen Anwendern noch beklagt. Darüber wurde in Las Vegas auch sehr intensiv diskutiert.