it-defense 2005
Bericht vom IT-Sicherheits-Kongress it-defense 2005 in Köln.
Vorwort
){kind=small}
jwm
Eröffnung der Konferenz
In Köln fand vom 26.1. bis zum 28.1. der IT-Sicherheits-Kongress IT-Defense statt. Motto des von cirosec und dpunkt.verlag veranstalteten Kongresses war: "Meet the IT-Security wizards".
Die (leider immer) aktuelle Thematik und die hochkarätigen Referenten sorgten dafür, dass das auf 200 Teilnehmer begrenzte Treffen trotz des hohen Preises (ab 995,- EUR) komplett ausgebucht war.
Wer immer die Gelegenheit hat, seine Firma zu überzeugen, dass er (oder auch sie, Grüße an die Dame vom Bundesamt für Informationstechnologie) zu dieser Tagung muss (privat ist es doch arg teuer) - macht es! Wann hat man schon mal die Gelegenheit, den Programmierer von Nessus, den Schöpfer des Sleuth-Kits, den Erfinder der Proxy-FW sowie unzählige andere Fachleute zu treffen und sich mit ihnen auszutauschen? Oder mit Clifford Stoll (ja, exakt, der allererste "Hackerjäger" und Autor von "Kuckucksei") über Gott und die Welt, Kinder, Gesellschaft und Computersicherheit zu reden. Für diejenigen, die an der Thematik interessiert sind, aber nicht teilnehmen konnten, stelle ich hier einige Vorträge des zweiten Tages (Mittwoch, 26.1.2005) vor.
Die Vorträge
){kind=small}
jwm
Marcus Ranum nach dem Vortrag
Nach kurzer Begrüßung durch Stefan Strobel lautete der erste Vortrag von Marcus J. Ranum "Die Dynamik der Verschiedenheit in der Computersicherheit". Ranum beschäftigte sich intensiv mit dem häufig geäußertem Vorwurf, dass Monokulturen wie zum Beispiel der hohe Anteil von Microsoft-Betriebssystemen und Anwendungen mit Ursächlich an der desolaten Sicherheitslage in der IT seien. Ranum vertritt die These, dass wir noch nicht von einer Monokultur sprechen können, da unter anderem Desktops unterschiedlich konfiguriert sein können, unterschiedliche Programme nutzen etc. In größeren Installationen (sei es in Firmen oder komplexeren häuslichen Installationen) wird die vermeintliche Monokultur noch stärker aufgeweicht durch komplexe Kombinationen von Routern, Firewalls, Desktops etc.
Bedrohlicher als das Streben eines Anbieters nach Monopolbildung findet er den Wunsch vieler Systemadministratoren nach einfacher, zentraler Administration, bedingt durch möglichst gleiche Hardware bzw. Software auf den verschiedenen Rechnern.
Trotz aller Vorteile, die so etwas natürlich hat, wie zum Beispiel einfachere Administration, weniger aufwändiges Benutzertraining usw. macht man sich durch zentrale Administration auch zentral angreifbar.
Mit schönen, griffigen Beispielen fegte Ranum en passant zwei weitere, gerne benutzte Schreckgespenster hinweg: die Dominotheorie (kaskadierende Fehler) und die Cyberwar-Theorie.
Bezüglich der ersten Theorie führte er aus, dass Menschen sich zwar gerne aufregen, aber keineswegs direkt der dritte Weltkrieg ausbricht, selbst wenn alle Computer weltweit ausfallen würden.
Cyberwar scheitert heutzutage seiner Meinung nach an mangelnder Technologie und an fehlenden Ressourcen. Wenn man sich Beispielsweise vorstellt, dass ein Team von Experten gebildet wird, dieses für alle möglichen Systeme des Gegners X geschult wird, sogar eine gravierende Lücke entdeckt, die sonst noch niemand gefunden hat, zu geeigneter Zeit zuschlagen will - um dann entsetzt festzustellen, dass dieser Exploit vorgestern auf Bugtraq veröffentlicht wurde und der Bug gefixt ist.
Ranum sieht die Ursachen für viele Sicherheitsprobleme eher im mitunter seltsamen Verhalten der Industrie und der User. Bei den Herstellern gibt es eine gefährliche Hingabe zu riskanten Praktiken wie zum Beispiel WLan, VoIP, Bluetooth und so weiter - in allen Fällen fielen die gravierenden Sicherheitslücken erst nach Markteinführung auf. Seltsam auch das Verhalten von Usern, die Software von Firmen kaufen, die bekannt sind für ihre Sicherheitslücken. Oder diejenigen, die unsichere Produkte nutzen, obwohl es sicherere Alternativen gibt (ja, damit sind u.a. IE und Outlook gemeint).
Der Schluss seines Vortrages betrachtete die für Sicherheit aufzuwendenden Kosten - nachdem man schon für die Software, die es abzusichern gilt, ein große Menge Geld ausgegeben hat.
Ebenso interessant wie der Vortrag (und seine Vortragsart) waren die Statements von Ranum in kleiner Runde - darum hier ein paar der schönsten/provokantesten ohne weiteren Kommentar:
- einige Entwickler scheinen ihre eigenen Programme teilweise nicht mehr zu verstehen - wie sonst ist zu erklären, dass Bugfixing teilweise so lange braucht
- Linux entwickelt sich in eine Richtung, wo "es" nie hinwollte - kommerziell, Business. Seitdem Red Hat, SUSE etc. teure Unternehmenslizenzen anbieten, zücken auch Firmen die Scheckbücher, die Linux vorher belächelt haben - verrückt.
- Immer komplexere Programme, immer mehr Gadgets, Sachen, die keiner braucht, machen Programme immer schwieriger zu warten und angreifbarer.
- Firmen kaufen Software, die nicht funktioniert - gerne auch mehrmals hintereinander beim gleichen Anbieter - WARUM?
