Aus diesem Grund bräuchten IT Firmen ihren firmeninternen Hacker

[Hanmac]

ich meine jemand der mental dafür ausgelegt ist, womöglich eine latent krimielle ader hat.

der solang versucht das Produkt zu hacken bis er entweder drin ist, oder es für sicher befindet.

wäre ich ITChef eines Unternehmens oder einer Abteilung würde ich das Produkt erst veröffentlichen wenn ich weis das es sicher ist ...



aber leider ist das ja dank unserer Politiker verboten :/

[PeperJohnny]

Komplett sicher geht sowieso nicht, aber zumindest ein Stück sicherer wäre schon schön.

[Mingfu]

Hanmac schrieb:
--------------------------------------------------------------------------------
> aber leider ist das ja dank unserer Politiker verboten :/

Das ist Quatsch. Selbstverständlich kann man eigene Systeme derart auf Sicherheit prüfen - und einige Firmen leisten sich diesen Luxus durchaus und stellen Leute genau dafür an.

Das Problem ist, dass die meisten Firmen für Sicherheit kein Geld in die Hand nehmen wollen. Sicherheit ist nämlich kein Verkaufsargument, die wird stillschweigend vorausgesetzt. Nebenbei halten in deren Vorstellung Sicherheitsleute nur die Produktentwicklung auf, erheben Einwände gegen hippe, verkaufsfördernde (aber leider total unsichere) Features und stellen auch sonst nur total unnötige Hürden in den Weg. Wenn wirklich mal was sein sollte, kann man ja einfach einen Patch nachschieben - die Konkurrenz macht es doch komplett genauso.

Sicherheit ist einfach etwas, was sich, wenn überhaupt, nur langfristig auszahlt. Manager denken aber viel zu kurzfristig (nämlich nur bis zum nächsten Bonus-Stichtag) als dass sie dafür Kosten genehmigen wöllten. An dieser kleingeistigen Welt krankt es, nicht an gesetzlichen Regelungen.

[Eheran]

Was genau ist daran verboten, sein eigenes zeug zu "hacken" - also einfach zu testen?
Und welche Politiker verbieten das?

[elgooG]

PeperJohnny schrieb:
--------------------------------------------------------------------------------
> Komplett sicher geht sowieso nicht, aber zumindest ein Stück sicherer wäre
> schon schön.

Komplett sicher? In den meisten Unternehmen die ich bisher miterleben musste waren kritische Systeme völlig ungesichert im Netz, Kennwortrichtlinien gab es keine "weil es so lästig ist". Dann kommt es immer wieder vor, das einzelne Wörter oder Telefonnummern als Kennwörter herhalten müssen.

Ich kann mir nicht vorstellen das ein Hacker ėingestellt wird wenn schon gar kein Geld für Sicherheit ausgegeben werden will und auf Hobby-Administratoren gesetzt wird, die mit jahrerlanger Berufserfahrung und eine handvoll von Zertifikaten herumwedeln.

Es fehlt doch die Bereitschaft selbst die minimalsten Vorkehrungen zu treffen, sobalt es Geld kostet.

[Eheran]

Und das Krasse gegenteil ist es, wenn wie bei uns überall und alles (!) mit eigenen Passwörtern gesichert ist.
Mag sein, dass ich mir die meisten der 50 Zugangsdaten auch bei seltener nutzung merken kann - aber die aller meisten können dies absolut nicht.
Dies behindert dann die Ausübung der Arbeit und kostet mitunter viel Zeit und Geld.
Darunter sind ~80% völlig sinnloser Passwörter, weil ohnehin niemand unbefugtes an diese Anlagen kommt.
Zur Sabotage kann jeder mit dem Druck des Notaus ganz Anonym viel mehr schaden anrichten, zumal dann ganze Produktionsabschnitte lahmgelegt sind.

PS: Die Anlagen sind selbstverständlich nicht über Internet zu erreichen.

[RaupenKopie]

Eheran schrieb:
--------------------------------------------------------------------------------
> Was genau ist daran verboten, sein eigenes zeug zu "hacken" - also einfach
> zu testen?
> Und welche Politiker verbieten das?

http://de.wikipedia.org/wiki/Hackerparagraf#Absatz_1

Der Paragraf ist so ein Mist, das die Richter schon nicht mehr wissen wie sie damit umgehen sollen. Auch wenn es die Ausnahme für "gutartige Verwendungszwecke" gibt, ist das Programmieren und das freie verteilen solcher Tools immer noch sehr fragwürdig.

[S-Talker]

Das Problem bestand ja offensichtlich nicht darin die Lücke zu finden - da sie bereits im September 2011 im Vorseriengerät entdeckt wurde.

Das Problem ist wohl wieder einmal die Sparwut und der fehlende Willen in die letzten 20% der Softwarequalität zu investieren. Was hätten "Hacker" daran geändert?