1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Sicherheitslücken: Microsoft…

Anfängerfehler allerorten

  1. Thema

Neues Thema Ansicht wechseln


  1. Anfängerfehler allerorten

    Autor: WalterSobchak 17.01.20 - 11:03

    Und wenn sowas sogar bei MS unbemerkt durchgeht, dann wissen wir, wie es um uns eigentlich bestellt ist. Schwachmaten überall an den Schaltern.

    Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software nicht ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401 zurückkommt. Es gibt nie einen Grund so eine Software offen im Web zu haben.

    Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports explizit freigeschaltet werden.

  2. Re: Anfängerfehler allerorten

    Autor: bofhl 17.01.20 - 12:14

    WalterSobchak schrieb:
    --------------------------------------------------------------------------------
    > Und wenn sowas sogar bei MS unbemerkt durchgeht, dann wissen wir, wie es um
    > uns eigentlich bestellt ist. Schwachmaten überall an den Schaltern.

    Eigentlich nicht MS, sondern eine Firma die im Auftrag Parkhäuser überwacht!
    Und da gibt es leider Manager die immer wieder "vergessen" in den Verträgen entsprechende Sicherheitspunkte hinein zu schreiben - wobei durchaus solche Konzerne wie Microsoft bei deren Partnern einfach mal auf Granit beissen und entsprechendes nicht durchsetzen können. (keiner will im Fall des Falles seiner Versicherung erklären müssen warum nun zig Millionen für Schäden bezahlt werden sollen, da wird deren Antwort sein "unterschreiben Sie niemals solche Klauseln!" - schon erlebt!)

    >
    > Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software nicht
    > ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401
    > zurückkommt. Es gibt nie einen Grund so eine Software offen im Web zu
    > haben.

    Das soll ein Scherz sein, oder? Den Hersteller bleibt nichts anders über als seine Partner und Kunden schlicht über die Einsatzweise zu informieren - betreiben muss es immer noch ein Kunde der Firma! Und nur der ist für die sichere Nutzung verantwortlich.

    >
    > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports explizit
    > freigeschaltet werden.

    So stellt es sich der kleine Heini zu Hause vor - die Welt sieht blos komplett anderes aus! (leider..)

  3. Re: Anfängerfehler allerorten

    Autor: WalterSobchak 17.01.20 - 13:19

    bofhl schrieb:
    --------------------------------------------------------------------------------
    > WalterSobchak schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Und wenn sowas sogar bei MS unbemerkt durchgeht, dann wissen wir, wie es
    > um
    > > uns eigentlich bestellt ist. Schwachmaten überall an den Schaltern.
    >
    > Eigentlich nicht MS, sondern eine Firma die im Auftrag Parkhäuser
    > überwacht!

    Das ändert an meiner Aussage nichts.


    > > Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software
    > nicht
    > > ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401
    > > zurückkommt. Es gibt nie einen Grund so eine Software offen im Web zu
    > > haben.
    >
    > Das soll ein Scherz sein, oder? Den Hersteller bleibt nichts anders über
    > als seine Partner und Kunden schlicht über die Einsatzweise zu informieren
    > - betreiben muss es immer noch ein Kunde der Firma! Und nur der ist für die
    > sichere Nutzung verantwortlich.

    Das war kein Scherz. Nur so darf die Software rausgegeben werden. Schon zum Selbstschutz des Herstellers. Es gibt keinen Grund warum so eine Software ohne Anmeldung überhaupt etwas anzeigen sollte ausser die Anmeldemaske.

    > > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports
    > explizit
    > > freigeschaltet werden.
    >
    > So stellt es sich der kleine Heini zu Hause vor - die Welt sieht blos komplett anderes aus! (leider..)

    So stellt es sich einer vor der schon Infrastruktur aufgebaut hat. Dass es da drausen "komplett anders" aussieht muss eben geändert werden. So geht es jedenfalls nicht weiter.

  4. Re: Anfängerfehler allerorten

    Autor: bulli007 17.01.20 - 13:27

    Nur weil man im Parkhaus ist kommt man deswegen noch lange nicht bei MS rein!
    Abgesehen davon werden Parkhäuser von Serviceunternehmen eingerichtet und betreut, da hat MS überhaupt nichts damit zu tun!
    Eine Artikel mit diesen Titel aufzusetzen ist schon sehr unprofessionell und zeigt das der Schreiber nur clickbaits erzeugen will oder einfach nicht lange genug darüber nachgedacht hat.

  5. Re: Anfängerfehler allerorten

    Autor: Kleba 17.01.20 - 14:34

    bulli007 schrieb:
    --------------------------------------------------------------------------------
    > Nur weil man im Parkhaus ist kommt man deswegen noch lange nicht bei MS
    > rein!
    Das hat doch auch niemand behauptet, oder hab ich was überlesen?

    > Abgesehen davon werden Parkhäuser von Serviceunternehmen eingerichtet und
    > betreut, da hat MS überhaupt nichts damit zu tun!

    Steht auch so im Artikel

    > Eine Artikel mit diesen Titel aufzusetzen ist schon sehr unprofessionell
    > und zeigt das der Schreiber nur clickbaits erzeugen will oder einfach nicht
    > lange genug darüber nachgedacht hat.

    Ich weiß nicht, ob der Titel aktualisiert wurde (momentan ist es "Sicherheitslücken: Microsoft-Parkhäuser ungeschützt im Internet"), aber der derzeitige ist doch kein Clickbait? Auch wenn die Parkhäuser (und dazugehörige Software) nicht von Microsoft betrieben werden, sind es eben "Microsoft"-Parkhäuser (auf dem Campus; für Microsoft) und diese waren ungeschützt im Internet erreichbar.

  6. Re: Anfängerfehler allerorten

    Autor: Kleba 17.01.20 - 14:41

    WalterSobchak schrieb:
    --------------------------------------------------------------------------------
    > Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software nicht
    > ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401
    > zurückkommt.

    Und woher soll die Software wissen, unter welcher IP sie erreichbar ist? Wenn die Software einfach nur auf einem bestimmten Port lauscht, der - nach Anleitung - nur über das LAN erreichbar ist, bekommt die Software doch im Zweifel gar nicht mit, ob sie über eine öffentliche IP erreichbar ist.

    > Es gibt nie einen Grund so eine Software offen im Web zu haben.

    Natürlich kann es Gründe dafür geben. Man könnte anmerken, dass ein unauthentifizierter Zugriff nicht möglich sein sollte. Aber, dass die Software grundsätzlich so erreichbar ist, ist ja nicht per se etwas verwerfliches.
    Theoretisch könnte die Software auch ohne Authentifizierung verwendet werden, wenn sie nur über ein abgeschottetes VLAN o.ä. erreichbar ist, auf das nur bestimmte Clients innerhalb eines Admin-Netzes zugegriffen werden kann.

    > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports explizit
    > freigeschaltet werden.

    Dem kann ich mich grundsätzlich anschließen. Ausnahmen wären hier höchsten Dev-Umgebungen o.ä., welche keinen Zugriff auf sensible Daten oder andere Netzwerkbereiche haben.

  7. Re: Anfängerfehler allerorten

    Autor: SchrubbelDrubbel 17.01.20 - 17:52

    bofhl schrieb:
    --------------------------------------------------------------------------------

    > Eigentlich nicht MS, sondern eine Firma die im Auftrag Parkhäuser
    > überwacht!

    Im Text steht, dass der Hersteller die Software nicht installiert hat, sondern nur verkauft.

  8. Re: Anfängerfehler allerorten

    Autor: Kleba 17.01.20 - 18:11

    SchrubbelDrubbel schrieb:
    --------------------------------------------------------------------------------
    > bofhl schrieb:
    > ---------------------------------------------------------------------------
    > -----
    >
    > > Eigentlich nicht MS, sondern eine Firma die im Auftrag Parkhäuser
    > > überwacht!
    >
    > Im Text steht, dass der Hersteller die Software nicht installiert hat,
    > sondern nur verkauft.

    Im Text steht aber auch folgendes:

    > Gegenüber Golem.de erklärte Microsoft nach mehreren Hinweisen, dass der Azure-Server
    > von einem Drittanbieter betrieben werde.

    Auf Seite 2 gleich noch mal:

    > "Die Seite wurde von einem Drittanbieter von Parksystemen gehostet, um die
    > Parkplatzverfügbarkeit einiger Parkhäuser auf unserem Campus anzuzeigen. Mitarbeiter-
    > oder Kundendaten wurden dabei nicht verarbeitet"

  9. Re: Anfängerfehler allerorten

    Autor: Auspuffanlage 18.01.20 - 13:07

    bofhl schrieb:
    --------------------------------------------------------------------------------
    > WalterSobchak schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Und wenn sowas sogar bei MS unbemerkt durchgeht, dann wissen wir, wie es
    > um
    > > uns eigentlich bestellt ist. Schwachmaten überall an den Schaltern.
    >
    > Eigentlich nicht MS, sondern eine Firma die im Auftrag Parkhäuser
    > überwacht!
    > Und da gibt es leider Manager die immer wieder "vergessen" in den Verträgen
    > entsprechende Sicherheitspunkte hinein zu schreiben - wobei durchaus solche
    > Konzerne wie Microsoft bei deren Partnern einfach mal auf Granit beissen
    > und entsprechendes nicht durchsetzen können. (keiner will im Fall des
    > Falles seiner Versicherung erklären müssen warum nun zig Millionen für
    > Schäden bezahlt werden sollen, da wird deren Antwort sein "unterschreiben
    > Sie niemals solche Klauseln!" - schon erlebt!)
    >
    > >
    > > Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software
    > nicht
    > > ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401
    > > zurückkommt. Es gibt nie einen Grund so eine Software offen im Web zu
    > > haben.
    >
    > Das soll ein Scherz sein, oder? Den Hersteller bleibt nichts anders über
    > als seine Partner und Kunden schlicht über die Einsatzweise zu informieren
    > - betreiben muss es immer noch ein Kunde der Firma! Und nur der ist für die
    > sichere Nutzung verantwortlich.
    >
    > >
    > > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports
    > explizit
    > > freigeschaltet werden.
    >
    > So stellt es sich der kleine Heini zu Hause vor - die Welt sieht blos
    > komplett anderes aus! (leider..)

    "der kleine Heini" ist aber hier die Standardvorgehensweis. So wird es auch in der Ausbildung gelehrt.

  10. Re: Anfängerfehler allerorten

    Autor: tomatentee 18.01.20 - 19:34

    WalterSobchak schrieb:
    --------------------------------------------------------------------------------
    > Und wenn sowas sogar bei MS unbemerkt durchgeht, dann wissen wir, wie es um
    > uns eigentlich bestellt ist. Schwachmaten überall an den Schaltern.
    >
    > Der Parkhaussoftwarehersteller muss sicherstellen, dass die Software nicht
    > ausgerollt werden kann, wenn darauf ein simpler GET ohne status 401
    > zurückkommt. Es gibt nie einen Grund so eine Software offen im Web zu
    > haben.
    >
    Woher soll die Software das wissen? Geschweige denn der Hersteller?
    Kann ja durchaus sein, dass das in irgend nem internen Netz läuft (ich denke da an Docker bzw Klone für Windows), dann wüsste ich keinen Weg, das zuverlässig zu ermitteln.

    > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports explizit
    > freigeschaltet werden.
    >
    Wieso Firewall? Oo
    Sowas sollte auf nem internen Host laufen, der von Außen gar nicht erreichbar ist.

  11. Re: Anfängerfehler allerorten

    Autor: gaym0r 20.01.20 - 15:04

    WalterSobchak schrieb:
    --------------------------------------------------------------------------------
    > bofhl schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > WalterSobchak schrieb:
    > >
    > ---------------------------------------------------------------------------
    >
    > > -----
    > > > Eine Firewall muss grundsätzlich erstmal alles droppen. Und Ports
    > > explizit
    > > > freigeschaltet werden.
    > >
    > > So stellt es sich der kleine Heini zu Hause vor - die Welt sieht blos
    > komplett anderes aus! (leider..)
    >
    > So stellt es sich einer vor der schon Infrastruktur aufgebaut hat. Dass es
    > da drausen "komplett anders" aussieht muss eben geändert werden. So geht es
    > jedenfalls nicht weiter.

    Man stelle sich die Cloud-Provider vor, die alle Ports dicht machen... :-)

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Klinikum der Universität München, Großhadern
  2. August Storck KG, Halle (Westf.)
  3. SCHUFA Holding AG, Wiesbaden
  4. lizengo GmbH & Co. KG, Köln

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. gratis (bis zum 12. April)
  2. 799€ statt 934€ im Vergleich
  3. (Canon EOS 250D Spiegelreflexkamera, 24,1 Megapixel mit Objektiv 18-55 mm (7,7 cm Touchscreen...


Haben wir etwas übersehen?

E-Mail an news@golem.de