Black Hat 2013 - Prism wirft Schatten

Jeden Sommer zieht es ITler mit dem Schwerpunkt Sicherheit in die Wüste nach Las Vegas. Bei über 40 Grad Aussentemperatur sitzen sie in den gut gekühlten Konferenzräumen der Black-Hat-Konferenz und tauschen sich über die neusten Erkenntnisse im Bereich der IT-Sicherheit aus. In diesem Jahr war natürlich auch die Datenüberwachung der US-Geheimdienste ein beherrschendes Thema. Das lag mitunter an der heiss erwarteten Eröffnungsansprache, die vom NSA-Leiter General Keith Alexander vorgetragen wurde. Statt des eigentlich versprochenen Klartextes gab es allerdings Pathos mit einigen wenigen Neuheiten. Trotz Beifalls nach der Rede zeigten sich vor allem ausländische Gäste der Black Hat enttäuscht. Passend fasste es Mikko Hypönnen, der CTO des Antivirenherstellers F-Secure, in einem Tweet zusammen: «Ich fühlte mich auf der Black Hat immer zu Hause. Als gestern das Publikum den Vortrag des NSA-Direktors bejubelte, fühlte ich mich nicht sehr daheim.»

Neben Prism lag noch ein weiterer Schatten über der Konferenz: Barnaby Jack, ein bekannter Hacker und regelmässiger Redner auf der Konferenz, starb eine Woche zuvor überraschend. Barnaby Jack war unter anderem durch seine erfolgreiche Attacke auf Geldautomaten und seine Berichte über die Schwachstellen medizinischer Implantate bekannt geworden. Aus Respekt entschlossen sich die Organisatoren, seinen angesetzten Vortrag nicht zu ersetzen, sondern als einen Gedächtnistermin für Freunde und Familie zu verwandeln. Barnaby Jack war nicht nur eine Hacker, sondern auch ein ausgezeichneter Sprecher, sein Vortrag zum Hacking von Geldautomaten ist noch immer sehenswert (von der Relevanz seiner Themen ganz abgesehen).

Doch natürlich blieb die Black Hat in der aktuellen Auflage (die Konferenz findet seit 1997 jedes Jahr statt) ihrem Thema der «Digitalen Selbstverteidigung» auch diesmal treu. Die Forscher zeigten innerhalb der zwei Tage zahlreiche Attacken, Analysen, Schwachstellen und Tools.

So beschäftige sich etwa Ralf-Philipp Weinmann (einer der Autoren des iOS Hackers Handbuch) mit der Sicherheit von BlackBerry OS 10. Sein Urteil fiel angenehm positiv für die Plattform aus, allerdings gab er zu bedenken, dass die komplette Sicherheitsarchitektur darauf aufsetzt, dass der Nutzer keinen Root-Zugriff auf dem System erhält (BlackBerry Balance etwa separiert die Apps und Inhalte durch verschiedene Nutzer- und Gruppen-IDs. RIM scheint aber seine Arbeit ordentlich zu machen. Laut Weinmann wurden etwa im Update von Version 10 auf 10.1 einige mögliche Schwachstellen und Ansätze bereinigt. Weinmann fand noch weitere interessante Funktionen, darunter QUIP. Diese Funktion ist Teil jedes BlackBerry, allerdings nicht allgemein zugänglich. Das System liefert zahlreiche Informationen, darunter etwa auch einen Mitschnitt des Netzwerkverkehrs. QUIP ist aber laut dem BlackBerry-Sprecher Adrian Stone standardmässig deaktiviert (mehr dazu hier auf Threatpost).

Deutlich interessanter war der SCADA-Vortrag von Kyle Wilhoit. Der Trend-Micro-Mitarbeiter hatte Pumpenanlagen virtuell nachgebaut (inklusive Steuerzentrale und SCADA-Controller) und diese als zwölf Honeypots in acht Ländern installiert. Wie viele andere SCADA-Anlagen waren die Verwaltungssysteme vom Internet aus erreichbar - Wilhoit ging es nicht um die Absicherung, sondern darum, Attacken zu zählen und zu untersuchen. Tatsächlich musste er nicht lange warten: Innerhalb kürzester Zeit konnte er 63 nicht-kritische Attacken (die nicht gezielt auf die Infrastruktur zugreifen wollten) sowie elf kritische Attacken beobachten. Die kritischen Attacken waren dabei besonders interessant: Neben dem Diebstahl von Daten versuchten sich mehrere Angreifer an der Manipulation des Pumpensystems, etwa, indem der Druck verändert wurde oder das Pumpensystem heruntergefahren werden sollte. SCADA-Systeme sind also, obwohl eigentlich seit Viren wie Stuxnet mehr Aufmerksamkeit herrscht, noch immer im Visier der Angreifer, und die Forschung von Wilhoit zeigt, dass im Internet auffindbare Systeme auch attackiert werden.

Viele der Vorträge wurden in diesem Jahr vorab bekannt. Dazu gehört beispielsweise die in SIM-Karten gefundene Schwachstelle, die der Forscher Karsten Nohl nutzte, um Handys zu übernehmen. Mit ein Grund, warum diese Attacken überhaupt möglich sind, ist die teilweise aus den Siebzigerjahren stammende Verschlüsselung, die entsprechend alt und inzwischen relativ einfach zu knacken ist. Zahlreiche Provider hätten allerdings die Karten bereits ausgetauscht und SIMs mit stärkeren Verschlüsselungen ausgestattet. Ein weiteres Thema der Vorberichterstattung waren die zwei Hacks, die sich mit Smart-TVs von Samsung beschäftigten. Die Forscher waren zwar durchaus in der Lage, TVs zu attackieren, tatsächlich klappte das allerdings vor allem durch bösartige Apps, die der Nutzer installieren oder durch manipulierte Webseiten, die der Nutzer ansurfen muss.

Können die Angreifer einen TV übernehmen, so haben sie Zugriff auf alle gespeicherten Informationen (darunter etwa Facebook-Daten oder möglicherweise Zahlungsinformationen für Video-on-Demand-Dienste) sowie auf Kamera und Mikrofon, die vielfach inzwischen in moderne TVs verbaut sind. Die meisten Systeme setzen auf einen Linux-Unterbau, verzichten aber auf mögliche Sicherheitsfunktionen. Tatsächlich täten Hersteller gut daran, jetzt auf die Probleme einzugehen - aktuell werden Apps oder der Browser nur von relativ wenigen Nutzern verwendet. Aaron Grattafiori und Josh Yavor gaben den Herstellern in ihrem Beitrag den Tipp, ein Cross-Plattform-Security-Framework zu nutzen und beispielsweise die Sicherheitsarchitekturen aktueller Smartphone-Plattformen zu emulieren.

Doch es wurden nicht nur Attacken und Schwachstellen, sondern auch potenzielle Lösungen demonstriert. Mario Vuksan und Tomislav Pericin beschäftigten sich in ihrem Beitrag mit dem UEFI-Bios und Secure Boot. Neben den möglichen Schwachstellen zeigten sie ein Tool namens Rootkit Detection Framework for UEFI, kurz RDFU. Dieses lässt sich in den UEFI-Bootloader laden und bringt dann eine ganze Reihe von Werkzeugen mit, über die infizierte UEFI-Systeme untersucht und möglicherweise bereinigt werden können. Die Forscher wollen damit Sicherheitsexperten und Analysten ein praktisches Werkzeug an die Hand geben.

Die Ausrichtung der Black Hat wird zwar deutlich kommerzieller, allerdings sind viele der Beiträge noch immer technisch weit vor allen anderen Konferenzen. Die meisten Vorträge sind technisch immer noch fordernd und weit von Grundlageninformationen oder Herstellerpräsentationen entfernt, mit denen andere Konferenzen ihr Programm auffüllen. Dazu kommt das Programm um die Konferenz: In den Tagen davor finden Schulungen und Weiterbildungen statt, die meist innerhalb kürzester Zeit ausverkauft sind. Sie reichen von Trainings für angehende Social Engineers und Penetration-Tester über Malware-Analyse bis hin zu Krisenmanagement und Forensik.

Während der täglichen Schulungen zeigen verschiedene Anbieter zudem Tools und Vorgehensweisen im sogenannten Arsenal-Bereich. In diesen Schulungen wird jeweils ein Programm hervorgehoben und von den Machern genauer vorgestellt. Alles in allem ist die Black Hat noch immer eine der besten Konferenzen für IT-Profis und Sicherheitsverantwortliche. Denn obwohl jedes Jahr mehrere Tausend Besucher die Vorträge besuchten, so lassen sich Erfahrungen auf den Gängen, in Gesprächen nach den Vorträgen, auf mittäglichen oder abendlichen Veranstaltungen ohne Probleme mit anderen Besuchern austauschen, Kontakte knüpfen oder neue Einsichten gewinnen.