News Lapsus$: Samsung bestätigt Diebstahl von kritischem Quellcode

[fullnewb]

Immer wenn ich „Quellcode“ lese, denke ich als erstes an eine verstopfte Toilette. „Quelltext“ oder „Source code“ klingen hübscher und vermischen nicht zwei Sprachen in einem Wort. 😇

Dann nenn es doch Quälkot

weil ja Open Source auch so viele Sicherheitslücken in letzter Zeit verhindert hat...aka Log4J und co.

Es gibt sicher sehr viele Sicherheitslücken, die durch OSS verhindert wurden. Leider ist OSS auch kein Allheilbringer, durch den unsere kaputte Welt plötzlich in Ordnung wird. Oder kaputte Software funktionsfähig.

Log4J ist da in vielerlei Hinsicht ein interessantes Beispiel. Sehr wenige Maintainer und ein langsam ausartendes Projekt mit immer mehr Features und dann ein eklatanter Fehler. Hätte man das Pattern-Feature einfach optional gemacht (also OPT-IN statt OPT-OUT), dann wäre uns viel Ärger erspart geblieben.

Wie können solche IT-Schwergewichte nicht nur gehackt werden, sondern den Hack auch Tage lang nicht bemerken, es fließen 180 GB Daten ab und keiner bemerkt es? [...]

Gute Frage, fehlendes Monitoring, vermutlich? Oder eine gekaperte VPN-Verbindung, die unter normalen Umständen schonmal das komplette Repository klonen darf. Gibt viele Möglichkeiten, aber wir können hier nur Vermutungen anstellen.

Falsch. Das größte Sicherheitsrisiko ist ein schlampiger Admin.

Der ist aber auch nur ein Mensch, also...

 

[Crowbar]

@fullnewb
Da hast du Recht 😂

 

[flappes]

Spitze des Eisbergs.

In dem Fall wurde einfach ein Code veröffentlicht.

Das Problem dürften eher Hacker sein, die Codes unbemerkt verändern und somit in den Produkten Sicherheitslücken schaffen.

So ein geänderter Code, wenn gut gemacht, ist automatisiert nicht aufzuspüren und nur durch manuelle Suche auffindbar, was aber keine Firma macht (da Kostenintensiv).

Und dass ein Entwickler In-House darüber stolpert ist auch schon sehr unwahrscheinlich, vor allem in größeren Teams. Denn wenn es so aussieht, dass der Code von einem anderen Mitarbeiter gemacht wurde, dann "wird das schon seine Richtigkeit haben" und man guckt nicht weiter danach, bis das Kind in den Brunne gefallen ist.

 

[tollertyp]

Denen fiel nicht der 190 GB Traffic nach extern auf ne dumme IP auf?

Du kennst also Einzelheiten zum Hack, wie das genau ablief?

 

[Max007]

Du kennst also Einzelheiten zum Hack, wie das genau ablief?

Man muss keine Einzelheiten kennen, die Frage ("Wie können 190 GB von unserern Servern nach extern hochgeladen werden, ohne dass irgendein Mechanismus Alarm schlägt?") ist völlig berechtigt. Diese Frage wird das Samsung-Management sicherlich auch der eigenen IT gestellt haben.

Der Hack ist die eine Sache. Das bemerkt man vielleicht nicht so schnell, aber dass binnen weniger Tage 190 GB abgezapft werden sollte man doch bemerken.

Wenn eine Sicherheitsfirma einen Wertgegenstand bewachen muss und der Wertgegenstand aber gestohlen wird, dann hat die Firma versagt. Nichr nur, dass der Einbruch nicht bemerkt wurde, die Diebe konnten sich auch in Ruhe im Lager umschauen und dann das komplette Lager leerräumen. Hier liegt ein komplettes Versagen vor. Samsung hat ja eingeräumt, dass Sicherheitslücken geschlossen wurden, also hätte man es auch verhindern können.

 

[tollertyp]

Immer schön, dass man reale Güter mit digitalem Zeugs vergleicht.

Und ich weiß nicht, aber weißt du, wieviel Traffic Samsung in welchen Bereichen hat? Ich nicht. Aber 190 GB halte ich persönlich eigentlich für Peanuts (ich meine damit nicht den Inhalt).

 

[m1key_SAN]

Falsch. Das größte Sicherheitsrisiko ist ein schlampiger Admin.

Würde ich nicht unterschreiben, immer wieder wird auf den Admin gehauen obwohl die Prozesse nicht sauber implementiert wird oder es keine internen checks/Revisionen gibt.
Ich kann mich bei einer Zertifizierung erinnern, das auf den armen Sicherheitsmann gehauen wurde weil er ja mit 11 Brutto/h ja eine hohe kriminelle Energie hätte um Schaden zu verursachen.
Das bringt mich meistens zum lachen, jeder Mitarbeiter kann mehr Schaden verursachen, dann darf der Wachmann nicht rein, wer soll die Alarme abklappern? "Need to know" wird normalerweise vom Unternehmen entschieden und sind wir uns mal klar, meistens hat die Reinigungskraft oder der Wachmann kein Plan was ein Server ist oder was die Hardware macht.

Die Evaluatoren schauen zu viel Mission Impossible oder Mr.Robot, nicht das es das nicht gibt aber ich sehe hier das Problem eher beim Mitarbeiter und ja auch bei einem IT-Mitarbeiter, aber wenn der Leiter keine Prozesse implementiert kann der Admin nur nach bestem Gewissen arbeiten, mag sein das es bei vielen Administratoren so etwas fehlt.

Ich hatte vor kurzem mit meiner Frau eine Diskussion weil sie die PINs der Kreditkarten in Ihrer Brieftasche mit den Karten hatte, da wurde ich auch als Paranoid "klassifiziert" erst als ich Ihr zeigte das ihr iPhone PIN "sicher" speichern konnte, hat sie mich die Aufkleber vernichten lassen

 

[Ranayna]

Die Firma in der ich arbeite hat etwa 3.000 Mitarbeiter. Mit anderen Worten: gegenueber Firmen wie nVidia, und vorallem Samsung, sind wir ein kleiner Fisch.

Auf die reine Datenmenge bezogen sind 190 Gigabyte garnichts.
Wenn du einfach nur die Menge der Daten ueberwachst die ueber die Anschluesse laeuft, fiele das nicht grossartig auf. Selbst dann nicht, wenn man das am Stueck transferiert.
Dazu werden bei uns, und wir setzen quasi garnicht auf irgendwelche Cloudservices, zu oft Daten an Kunden uebermittelt.

Gut, zusaetzlicher Datenabfluss an den Datenbanken direkt mag theoretisch auffallen. Aber wer weiss wer da intern alles drauf Zugriff hat. Ich hab keine Ahnung wie gross die Entwicklungsabteilung von Samsung ist, aber ein konstanter zusaetzlicher Datenstrom von ein paar MBit/s faellt so schnell nicht auf.
Und es sei die Frage gestellt ob der Backupserver genau so ueberwacht wird.

Solche automatischen Systeme haben dann auch noch ein anderes Problem: Insbesondere in der "Lernphase", bevor eingeschaetzt werden kann was normal ist und was nicht, kann es passieren das unzaehlige Fehlalarme ausgeloest werden. Passiert das ein paar Wochen so, dann stupft jeder Admin ab und faengt an die Benachrichtigungen zu ignorieren.

 

[Donnerkind]

Man muss keine Einzelheiten kennen, die Frage ("Wie können 190 GB von unserern Servern nach extern hochgeladen werden, ohne dass irgendein Mechanismus Alarm schlägt?")

Das muss nichtmal ein Server gewesen sein. Die hätten sich auch auf der Workstation eines Mitarbeiters umgucken können, der den Code ausgecheckt hat.

 

[tollertyp]

@Donnerkind: Sie kennen doch alle Einzelheiten und wissen genau wie was passiert ist.
Und bei einem Diebstahl wissen sie auch ohne Ermittlungen direkt, wie es passiert ist und wie es hätte vermieden werden können.

 

[Max007]

Immer schön, dass man reale Güter mit digitalem Zeugs vergleicht.

Und ich weiß nicht, aber weißt du, wieviel Traffic Samsung in welchen Bereichen hat? Ich nicht. Aber 190 GB halte ich persönlich eigentlich für Peanuts (ich meine damit nicht den Inhalt).

Es geht nicht um die reine Menge an sich. Diese 190 GB liegen nicht wahllos auf irgendwelchen Servern neben der Geburtagsliste.xls
Es handelt sich um besonders schützenwerte Daten (Quellcode, Patente, Geplante Neuprodukte usw.). Wenn diese als "kritisch" eingestuften Dateien binnen weniger Tage komplett runtergeladen werden, sollte ein Mechanismus das bemerken und den Admin darauf hinweisen, dass da eine ungewöhnliche Aktivität passiert.
ich bin kein IT-Sicherheitsexperte, aber es ist m.E. zumindest naheliegend, dass man neben den ganzen anderen Sicherheitsmechanismen, auch den Datenabgriff kritischer Dateien monitoren kann und sollte. Dafür gibts doch Logfiles, man definiert Schwellwerte und dann wird ein Alert ausgelöst.

Nun ja, ich werde nicht dafür bezahlt mir Gedanken zu machen, wie man es lösen könnte. Da zerbrechen sich gerade sicherlich einige zig IT-Manager bei Samsung den Kopf darüber,

 

[tollertyp]

Es geht nicht um die reine Menge an sich. Diese 190 GB liegen nicht wahllos auf irgendwelchen Servern neben der Geburtagsliste.xls

Quellen? Von welchen Servern wurde über welche Wege die Daten übermittelt?

Aber Vorverurteilungen sind einfacher, ich weiß.

 

[q0p]

Doch letzte Woche haben sie ihn gekriegt.
Die Bestellungen über ihn wurden storniert.

Und die woche davor kam er nicht durch.

Auch wenn es drei Minate gedauert hat, immerhin.

 

[Bigeagle]

Das ist halt das Problem an closed source und "security through obscurity"...

Ganz mein Gedanke als ich den Artikel gelesen habe. Da ist auf einmal viel 'obscurity' verloren gegangen und alles was darauf aufbaute.

Immer wenn ich „Quellcode“ lese, denke ich als erstes an eine verstopfte Toilette.

OMG, jetzt muss ich dieses Bild wieder aus dem Kopf bekommen. Ich hoffe das bleibt da nicht stecken XD

weil ja Open Source auch so viele Sicherheitslücken in letzter Zeit verhindert hat...aka Log4J und co.

Falscher Ansatz. Nur weil man trotz Zähneputzen Karies bekommen kann heißt das nicht dass man es auch gleich ganz bleiben lassen kann. Bei OSS kann und darf wenigstens jeder draufgucken, das heißt noch nicht dass es auch jeder tut, oder dass jeder den Code auch ändern darf, oder dass es den Entwickler interessiert wenn da jemand einen Bug meldet.
Aber jeder könnte einen Fehler finden, öffentlich machen und so die Welt davor warnen. Closed Source hingegen heißt ja öfters auch dass derjenige der den Fehler findet erstmal verklagt wird, oder doch wenigstens einen Knebelvertrag unterschreiben soll damit das auch ja nicht bekannt wird und man das beheben muss.
Klar gibts auch da Unternehmen die das ernster sehen und auch ohne äußeren Druck aufgrund von Qualitätsanspruch und purer Nächstenliebe jeden Bug fixen. Aber die meisten sehen das eher so wie du hier ->

Wenn ich etwas gebe, egal was, muss es MIR etwas nutzen. Wozu etwas geben, wovon ich nahezu keinen Nutzen habe?

Weil es manchmal mehr oder überhaupt nur hilft wenn man allen, bzw seinem ganzen Umfeld hilft.
In der Hinsicht sind sich IT Sicherheit, Hygiene, Klimaveränderungen und Geruchsbelästigung ähnlich.
Wenn jeder seine Ausscheidungen auf die Straße kippt stinkts. Egal ob du ein Klo mit Wasserspülung hast. Abhilfe schafft eine Kanalisation. Für alle.
Genauso ist es ziemlich schwer sich in ein keimfreies Heim zurückzuziehen wenn der Rest der Welt fleissig Viren verteilt, mit Beulenpest herumläuft, oder Krätzmilben züchtet. Aufklärung und Gegenmaßnahmen für alle ist die beste Methode wenn man halbwegs frei draußen herumlaufen will.
Da die meisten auch Strom, Wasser aus der Leitung und funktionierende Computer samt Internet mögen würde ich auch sagen dass man das am besten sicherstellt indem alle Computersysteme sicherer werden. Neue Fehler gibts reichlich solange es neue Entwicklungen gibt. Code Reviews usw sind teuer und da arbeiten auch nur Menschen oder Pseudo-KI. Das lässt sich gut ergänzen indem man den Code offen legt und den 'Crowdsourced Code Review' mitnutzt. ^^
Zuweilen schreibt sich dann sogar die ganze Software dank interessierter Leute unentgeltlich weil es eben vielen nutzt, die Autoren eingeschlossen.
Außerdem gibts auch einfach Philanthropen die doch tatsächlich einfach die Welt verbessern wollen.

Denen fiel nicht der 190 GB Traffic nach extern auf ne dumme IP auf? Da gibt es Automatiksysteme, die Alarm schlagen, wenn die Admins das selbst nicht mitbekommen, auch wenn das in kleineren Tranchen erfolgt. Warum waren all diese Datenbanken bei Nvidia und Samsung überhaupt ohne effektive Trennung erreichbar und nicht intern verschlüsselt?

Also ich glaube nicht dass 190 GB so viel sind. Das hätte man bei mir zuhause über ein paar Wochen rausschleusen können ohne dass es an der Datenmenge aufgefallen wäre.
Der Code ist doch kaum statisch und sobald da einige Dutzend bis Hundert Leute über auf der halben Welt verteilten Teams daran arbeiten wird es schnell kompliziert sämtliche Datenflüsse zu überwachen und rechtzeitig zu kappen.
Ob die das nun über eine längere zeit rausgeschleust haben, oder einfach von mehreren unauffälligen Addressen jeweils einmal das ganze repository geladen haben ändert erstmal nicht viel. Wenn das System jedes mal den Zugriff unterbindet wenn ein paar Entwickler gleichzeitig eine erste synchronisation machen würde das bei Admins und Entwicklern für schlechte Laune sorgen.
Ansonsten lässt sich das sicher auch nett auf kleine Anfragen aufteilen.
Oder man hat einen besseren Zugang gehabt als einfach direkt beim zentralen Server anfragen zu müssen.
Meinst du da überwacht eine Art Skynet alle Mitarbeitersysteme die Zugriff auf den Quellcode nehmen und schlägt alarm wenn innerhalb von wenigen Tagen auf mehr als 50% der Dateien zugegriffen wird? Je nachdem wäre da auch der Alarm dauerzustand oder es gibt halt keine Updates mehr im bisherigen Tempo.

Ich würde eine derart strenge Überwachung höchstens bei ausgewählten besonders kritischen Projekten erwarten. Bei Smartphonezeug würde ich auch davon ausgehen dass da eher viel und schnell verändert wird, so dass es sehr schwer wird normalen Betrieb von möglichem verteilten Datenabfluss zu unterscheiden.

Vor jedem vollständigen build mit dem aktuellen code erstmal eine Freigabe samt Sicherheitsüberprüfung beantragen erscheint mir eher etwas für die NSA als für praktisch jedes Unternehmen das Software für die breite Masse entwickelt zu sein. Letztlich würde man sich damit auch entwickler vergraulen, die mögen es ja häufiger eher 'agil'/flexibel und unkompliziert und nicht so steif und bürokratisch.

 

[ReactivateMe347]

Gut, dass ein so wunderbar abgesichertes Unternehmen einen zwingt, für die Nutzung des Galaxy Store nicht nur seine Handynummer bei einem Samsung-Account zu hinterlegen, sondern der Store App zudem Zugriff auf alle Kontakte gegeben werden muss. Und Ansonsten kriegt man halt keine Updates für Anwendungen, die man teilweise nicht einmal abschalten kann (was Samsung sich wohl von Amazon abgeschaut hat).

 

[Donnerkind]

Gut, dass ein so wunderbar abgesichertes Unternehmen einen zwingt, [...]

Danke für diese interessante Info. Ich muss mir nämlich ein neues Dienstgerät aussuchen und Samsung ist prominent in der Auswahl vertreten (A- und S-Serie). Ein Kollege erzählte mir neulich, dass die Otto-Äpp darauf vorinstalliert gewesen sei und diese nach Systemupdates trotz Deaktivierung/Entfernung auch immer wieder aufs Neue auftauchen würde.

 

[cloudman]

Gut, dass ein so wunderbar abgesichertes Unternehmen einen zwingt, für die Nutzung des Galaxy Store nicht nur seine Handynummer bei einem Samsung-Account zu hinterlegen,

Nur kann man das Galaxy problemlos ohne Samsung Account nutzen.
Otto App - sicher? Auf meinem S20 nicht

 

[ReactivateMe347]

Nur kann man das Galaxy problemlos ohne Samsung Account nutzen.

Eben nicht. Man bekommt für diverse Stock-Apps, teilwiese nicht deaktivierbar, dann keine Updates = Sicherheitsrisiko.

Besonders dreist: Legt man einen Samsung-Account an, so wird das Handy hinterlegt, bevor die Handynummer für 2FA abgefragt wird. DAs führt dazu, dass du das Gerät ohne 2FA nicht mehr vom Account trennen kannst.