rätselhafte Anrufe

[damarco]

Im Prinzip schon aber die Adressen tauchen nicht öffentlich auf und werden somit zum interessanten Ziel. Unsere ganze Infrastruktur ist ein potenzielles Ziel, auch wenn es nicht darum geht diese zu stören. Sie läuft auf Rechnern die angreifbar sind und durch vorhandene Sicherheitslücken auch für andere Zwecke benutzt werden können. Beim iTelex ist das ausgeschlossen "AVR" aber wir haben einen Zentralen TNS ohne diesen das Netzwerk nicht funktioniert. Auf diesen sich auch noch eine Datenbank mit weiteren Zielen befindet...

Ich möchte nicht wissen welche Diskussionen in Musen mit der IT zu führen waren um solche Projekt umzusetzen.

[detlef]

Unsere i-Telex-Infrastruktur mit seine paarhundert Adressen und proprietärer Hard- und Software ist sicher kein allgemeines Ziel von Hackern. Was wollen die da erreichen? Um irgendwelche Lücken zu finden, muss man hundertausende von Anschlüssen scannen. Nenn mir irgendeine Motivation, dann können wir das weiterdiskutieren.

Wir hatten jetzt in den ganzen Jahren einen Fall, wo jemand das i-Tekex-Netz stören wollte. Weil er wegen seines unerträglichen Benehmens rausgeflogen ist. Das hat nichts mit dem Scannen der Ports zu tun. Der wollte nichts hacken sondern nur Unfrieden stiften.

Ansonten werden ja keine IP-Adressen gezielt gescannt, die irgendjemand auf irgendwelchen Servern gefunden hat, sondern ganze IP-Bereiche. Da ist man mit seinem Router dabei, egal ob man ein i-Telex laufen hat oder nicht. Und auch egal, ob die IP-Adresse auf irgendeinem Server steht oder nicht.

Die Diskussion führen wir ja nun zum x-ten Mal. Nach wie vor sitzt da kein Hacker mit fettigen Haaren zwischen Pizzakartons und versucht i-Telex-Systeme zu hacken. Das war mal vor 30 Jahren, als es sich "lohnte", in einen einzelnen Großrechner einzudringen.
Also bitte nicht immer wieder auf's Neue irgendwelche fiktiven und unrealistischen Angstszenarien verbreiten.

Wer einen Router mit öffentlich erreichbarer IP-Adresse betreibt, braucht einen sicheren Router. Völlig egal ob mit oder ohne i-Telex.

Das schlimmste Angriffsszenario, das ich mir vorstellen kann, ist, dass jemand einem böswillig die Telexrolle leerdruckt. Das schafft aber auch mein Rundsender (wenn er fehlerhaft ist). Dafür brauchen wir keine Hacker.

[damarco]

Die Diskussion führen wir ja nun zum x-ten Mal. Nach wie vor sitzt da kein Hacker mit fettigen Haaren zwischen Pizzakartons und versucht i-Telex-Systeme zu hacken. Das war mal vor 30 Jahren, als es sich "lohnte", in einen einzelnen Großrechner einzudringen.
Also bitte nicht immer wieder auf's Neue irgendwelche fiktiven und unrealistischen Angstszenarien verbreiten.

Richtig. Keine Hacker.
Heute sitzen da Softwarebots.

Und es geht nicht darum Dein System zu stören.
GANZ IM GEGENTEIL

Dein System soll funktionieren. Aber es soll ein paar Sachen machen, die das botnet will. Und wenn es nur zwei Mails pro Minute versendet. Das merkst Du nichtmal.
Bis dann eine Blacklist zuschlägt oder sowas.
Oder bis das botnet einen Großangriff befiehlt---
Dann tut Dein Raspberry halt mal ne halbe Stunde lang Ping absenden...
Für Dich nicht schlimm. Du merkst kaum was davon.

Für Dich ist das egal...
naja... meistens...
So ein botnet kann aber wenn es dann bei Dir im Lan erstmal drin ist, auch nebenbei mal scannen, ob da Kameras sind. Oder offene Windowsrechner...
Meldet der bot nach Hause und meist passiert nix.... meistens.

[obrecht]

Also ich denke mal, im ersten Schritt werden stumpf offene Ports gesucht und im zweiten Schritt werden die gefundenen offenen Ports stumpf nach bekannten Diensten gescannt und im dritten Schritt die bekannten Dienste an den offenen Ports stumpf nach bekannten Schwachstellen durchsucht. Im vierten Schritt können diese Schwachstellen dann intelligent ausgenutzt werden durch Einschleusen von Schadsoftware usw.

Frage ist, welche Chance haben wir, darauf zu reagieren. Zum einen durch regelmäßige Sicherheitsupdates der Software, und zwar einerseits des Betriebssystems, da ist Linux recht fix. Aber man muss halt regelmäßig selber aktiv werden. Systeme mit ungepatchtem bullseye sind sicher unsicher. Je älter eine Software ist, desto angreifbarer ist sie.
Andererseits muss auch die Anwendung immer mal wieder gegen die neuesten libs kompiliert werden, um zwischenzeitlich gefixte Löcher zu stopfen. Kann denn das Original i-telex auch jetzt noch mit Sicherheitspatches versehen werden oder ist das statisch?
Und piTelex ist vmtl. auch nicht mit Fokus auf Sicherheit, sondern auf Funktion programmiert, was z.B. Buffer oder stack overflows angeht, und Python ist als beliebte Programmiersprache vermutlich auch bei den Hackern beliebt.

Nur was hilft uns die Erkenntnis? Die einzig sichere Firewall ist nach wie vor der Seitenschneider, und selbst das hilft bei WLAN nicht ....

[detlef]

Frage ist, welche Chance haben wir, darauf zu reagieren. Zum einen durch regelmäßige Sicherheitsupdates der Software, und zwar einerseits des Betriebssystems, da ist Linux recht fix. Aber man muss halt regelmäßig selber aktiv werden. Systeme mit ungepatchtem bullseye sind sicher unsicher. Je älter eine Software ist, desto angreifbarer ist sie.

Eigentlich schirmt der Router das ganz gut ab. Es wird ja nur ein einziger Port freigeben und nur auf den kann der Angreifer zugreifen.
Und auf diesem Port horcht ausschließlich piTelex.

Solange mir nicht jemand erklären kann, wie man das konkret hacken kann, halte ich das für unkritisch.

Kann denn das Original i-telex auch jetzt noch mit Sicherheitspatches versehen werden oder ist das statisch?

Das ist absolut statisch.

In dem Sinne, dass die Software in einem Flash-Speicher läuft, der sich nicht selber beschreiben kann. Auf einem Mikrocontroller mit Harvard-Architektur. Das heisst strikte Trennung zwischen Code und Daten und Daten könnte niemals als Code ausgeführt werden.
Ganz schwierig da irgendwelchen Schadcode reinzubekommen. Das ist wie ein Stück Hardware.

Da muss man sich keine Gedanken machen.

[damarco]

Wir müssen in Zukunft ohnehin darüber nachdenken wie wir das System zukunftsfähig machen. Mit IPV6 fällt das ganze Netzwerk hinten herunter und damit ist nicht nur die iTelex Hardware gemeint.

Wir müssen uns dingend über die Erweiterung des Teilnehmerservice unterhalten das dieser auch IPV6 Adressen zurückgeben kann und der natürlich zum alten System kompatible bleibt. Das erste Hindernis ist zuteilen der TNS, wenn dort eine IP hinterlegt wurde. Bei einer Adresse besteht das Problem das wenn man einen DNS Anfrage mit IPV6 auch nur eine IPV6 zurückbekommt. Für das iTelex wäre die Adresse nicht auflösbar und der Connect scheitert am einem DNS Error.

Ich habe mir auch schon überlegt wie es technisch möglich wäre mit einem alten IPV4 System IPV6 Adressen zu erreichen ohne in die Firmware einzugreifen. Wir benötigen eigentlich eine völlig neue Ethernetkarte, welche aber auf der Zeitskala weit hinten liegt.