News „Grob fahrlässig“: Microsoft schob brisante Azure-Schwachstelle mehrere Monate auf

[Tettroff]

Frechheit! Ihr seid viel besser Dürfen die das überhaupt?

 

[SheepShaver]

Unsere Services laufen seit Jahren in der Cloud. Ausfälle sind sehr viel unwahrscheinlicher, als bei eigenem Hosting.
Die meisten CTOs haben entgegen deiner Darstellung durchaus Ahnung oder lassen sich zumindest gut beraten.

 

[ghecko]

Was ich heute könnt besorgen, mach ich vielleicht morgen.
Die NSA braucht die Backdoor schließlich noch bis zum 27.09.

 

[roaddog1337]

Amazon ist der weitaus größere Konkurrent im Cloud-Geschäft. Daher stimmt deine Aussagen null. Und Google mischt auch noch mit.

Schon mal SSO bei einem Mittelständler >10 000 Mitarbeiter mit google oder amazon gemacht?
Stichwort: Active Directory in der Cloud, On-Prem oder Hybrid.

Kenne keinen IT Konzern wie google, amazon, ibm, oracle, sap, etc... welcher hier eine brauchbare Alternative anbieten könnte.
Das wird leider bei den Medien oft nicht erwähnt.

 

[Painkiller72]

Meine Behauptung: Jedes Betriebssystem ist löchrig wie ein Schweizer Käse. Nur bei dem Marktanteil von Windows weiß ich, wo ich nach versteckten Türen suchen würde.
Wäre Linux genauso verbreitet, hätten wir hier vermutlich genauso solche Meldungen.

Stimme ich dir auch voll und ganz zu. Jedes OS hat seine Hintertürchen, da wird auch Linux nicht besser sein. Jedoch scheint hier durch die Kernelanpassungs Möglichkeiten einiges besser konfigurierbar zu sein.

 

[k0ntr]

Bin absoluter Cloud Fanboy. Wir haben vor zwei Jahren damit angefangen und Citrix etc. alles durch Azure ausgetauscht. Es läuft super und ich kann einfach von überall arbeiten und muss nicht ständig den Laptop mitschleppen.

Wir hatten dieses Jahr 2 kleine Ausfälle, waren aber ziemlich schnell behoben, von daher, go Cloud

 

[DefconDev]

Schon mal SSO bei einem Mittelständler >10 000 Mitarbeiter mit google oder amazon gemacht?
Stichwort: Active Directory in der Cloud, On-Prem oder Hybrid.

Das ist aber auch nicht alles was ich mir Cloud meine. Schon einmal Infrastruktur eines physikalischen Server in die Azure Cloud migriert? Da ist Azure verglichen mit AWS wirklich noch hinten dran.

Ergänzung (4. August 2023)

Unsere Services laufen seit Jahren in der Cloud. Ausfälle sind sehr viel unwahrscheinlicher, als bei eigenem Hosting.
Die meisten CTOs haben entgegen deiner Darstellung durchaus Ahnung oder lassen sich zumindest gut beraten.

Und deine Aussage ist allgemeingültig? Ich kann genau das Gegenteil berichten. Seit dem wir in der Azure sind, hatten wir viel öfters Ausfälle als wir noch bei einem namentlich sehr bekannten deutschen WebHoster waren. Das fängt bei den Pipelines an, die nicht mehr liefen, bis hin zu kompletten Ausfällen, die unsere Applikationen nicht mehr erreichen ließen.

 

[Sebbi]

, dass seit 2014 ca 40% aller ZeroDay Exploits auf MS kappe gehen....

dann vergleiche bitte aber auch die Verbreitung von MS OS zu anderen. Dann fällt nämlich auf, das dann MS doch nicht soo der Buhmann ist, aber auch kaum besser als alle anderen. Es kochen alle nur mit Wasser.

Zudem gab es auch z.B. auch SW vom Fallobst, wo in der Browser Engine jahrelang eine fette Lücke war und die immer wieder totgeschwiegen oder verneint wurde.

https://www.sueddeutsche.de/digital/sicherheitsluecke-apple-iphone-ipad-1.4582499
https://www.heise.de/news/Safari-15-Apple-geht-schwere-Datenschutzluecke-an-6332249.html


Doch alles das macht aber diese Lücke hier nicht besser und MS sollte hier gerade stehen und für eventuelle Verluste ortentlich zur Kasse gebeten werden.
Ich sehe Cloud immer noch als massive Sicherheitslücke und potenzelles Datenleck, was dringend vermieden werden muss. Firmendaten gehören auf eigene Firmeninfrastruktur. PUNKT.

 

[Caramon2]

Davon ab geht die MS Strategie klar Richtung cloud. Viele services werden lokal nicht mehr weiter entwickelt und haben ein Ablaufdatum. Da kannst du noch so sehr drauf bauen aber Ende ist Ende.

Dann greift wieder die Frage wie immer: Linux?
Kompatibilität?
Und man dreht sich wieder zu Windows um.

Azure läuft m. W. auf Linux-Servern.

 

[M@tze]

Leider wird man aber auch bei immer mehr Applikationen vom Anbieter Richtung Cloud gedrängt, weil neue Features einfach nur noch für die Cloudversion erscheinen und die lokal gehostete Serverversion außen vor bleibt.

Lücken in Software gibt es überall, aber wie hier mit dem Fehler von MS umgegangen wurde, ist ein Armutszeugnis. Dafür würden bei uns in der Firma „Köpfe rollen“.

Jetzt erfahren wir im nachhinein, dass irgendwelche Chinesen unsere Post monatelang lesen konnten.

Kann dann aber nichts wichtiges gewesen sein, sonst wären die Mails verschlüsselt gewesen?! 😉

Wir hatten dieses Jahr 2 kleine Ausfälle, waren aber ziemlich schnell behoben, von daher, go Cloud

Im Prinzip, hierbei geht es aber nicht um Ausfallsicherheit, anderes Thema.

 

[SheepShaver]

Schon mal SSO bei einem Mittelständler >10 000 Mitarbeiter mit google oder amazon gemacht?

Da sich OpenID Connect inzwischen als Industriestandard durchgesetzt hat, geht das mit jedem OIDC-konformem IdP.

 

[tomgit]

Die Tatsache, dass der Anteil von Windows relativ gering ist, wenn man "Verbreitung" nicht nur auf Deskto-PCs begrenzt lässt die Aussage ziemlich...fragwürdig erscheinen

Genau, weil in großen Unternehmen, wo es um relevante Patente oder Geschäftsgeheimnisse geht, diese auf iPads oder Android Phones lagern
Egal wie kritisch man es sehen mag, aber für kritische Bereiche ist Windows eben der wichtigste Faktor, irgendwo abgeschlagen liegt Apples macOS, vermutlich noch deutlich hinter Linux wegen Server-Infrastrukturen. Dass entsprechend die meisten Lücken für Windows entdeckt werden, wo es auch die meisten Incentives gibt, um Lücken zu finden - entweder als Black oder als White Hat -, sollte da absolut niemanden überraschen.

Ich sehe Cloud immer noch als massive Sicherheitslücke und potenzelles Datenleck, was dringend vermieden werden muss. Firmendaten gehören auf eigene Firmeninfrastruktur. PUNKT.

Naja, als ob die Cloud das einzige Problem wäre. Fast jeder Firewall-Anbieter hatte kritische Sicherheitslücken, Adobe hatte kritische Sicherheitslücken, macOS wurde in den letzten Wochen mehrfach gestopft, etc. pp.
Schau dir doch nur mal die Security Alerts von heise Security an: https://www.heise.de/security/alerts/

Aktuell scheint kein System sicher zu sein.

 

[Salamimander]

Meine Behauptung: Jedes Betriebssystem ist löchrig wie ein Schweizer Käse. Nur bei dem Marktanteil von Windows weiß ich, wo ich nach versteckten Türen suchen würde.
Wäre Linux genauso verbreitet, hätten wir hier vermutlich genauso solche Meldungen.

@DefconDev Im Cloud-Geschäft, vielleicht. Aber für ein Unternehmen ist es dann doch einfacher, die Cloud von Microsoft zu nehmen, wenn sonst auch sämtliche Anwendung auf Microsofts 365 Suite basiert bzw. darauf zurückgreift. Was meinst du, was das für ein Aufwand wäre, hier Systeme auszutauschen? Viel Spaß dabei. Das kann sich vielleicht ein kleines Unternehmen leisten, aber kein riesiger Konzern. Das verschlingt nicht nur paar Euro.

Wenn die Daten abwandern (Was SEHR wahrscheinlich ist), ist die Firma DICHT, das ist deutlich teurer als die dringend notwendige Migration. Mein AG steckt auch tief im MS Molloch, was der Grund ist, warum ich immer ein Auge auf dem Jobmarkt habe, da ich es leider nicht beinflussen kann (Und unsere Abteilung sich eh voll auf Linux konzentriert)

 

[DieRenteEnte]

So langsam aber sicher bestätigt sich, dass auch das Blendwerk "Cloud" nicht per se besser oder gar sicherer als lokale Infrastruktur ist. It's just someone else's computer...

Das sollte jeder mit logischem Menschenverstand schon am ersten Tag der Erfindung der Cloud verstanden haben.
Es kann niemals sicher sein, seine wichtigen Daten auf irgendwelchen, fremden Servern eines Privatunternehmens zu haben!

Selbst wenn es eine 100% sichere Methode geben würde, was absolut unmöglich ist, kommt der Faktor Mensch und kann diese Sicherheit jederzeit wieder aushebeln. Denn alles, was der Mensch erschafft, kann er auch rückgängig machen. Und die größten Motivatoren dafür sind Geld und Macht. Und wer dagegen immun ist, wird von (Überwachungs-)Gesetzen ausgestochen, die es vorschreiben.

 

[pseudopseudonym]

Genau, weil in großen Unternehmen, wo es um relevante Patente oder Geschäftsgeheimnisse geht, diese auf iPads oder Android Phones lagern

Eigentlich lagerst du solche Sachen heute gar nicht mehr lokal. Schon gar nicht, wenn du wie hier auf Cloud setzt. Vielleicht hast du eine Kopie von dem, woran du gerade arbeitest und syncst das dann.

 

[Phneom]

Soviel zur sicheren Cloud.
Da mögen die Cloud Freunde sagen was sie wollen aber so ein fettes Loch hat die lokale Technik noch nie gehabt. Das eigne Blech läuft redundant und im lokalen Netz gibts immer Anwendungen die laufen auch nur dort schnell. Wer gut plant der hat auch genügend Luft auf den Servern und wenn es mal knapp wird: So what? Mehr Blech rein und fertig. Virtuelle Desktops etc sind ja auch in der private Cloud kein Problem.
Mal ganz abgesehen von den Sicherheits-GAU sind die Preise der Azure Cloud ja auch nicht gerade attraktiv.

 

[Skysnake]

@up.whatever Die Frage ist, in welcher Situation. Unsere Infrastruktur an nur einem Standort lokal zu betreiben, also nicht redundant an mindestens zwei Standorten, mit Sicherheitsdienst, Feuerlöscheinrichtungen usw, wäre grob fahrlässig (und das Internet wäre an keinem unserer Standorte schnell und zuverlässig genug

Es gibt aber andere Cloude Anbieter und Colocation ist auch was feines.

Dann noch auf die von uns benötigte hohe Skalierbarkeit der Cloud zu verzichten, wäre auch noch wirtschaftlicher Irrsinn.

Was heißt denn für sich skalierbar?

Ich habe Tests verfolgt, da wollten man nur 1000 Cores mit 40TB an Speicher haben und das hat ewig gedauert. Bzw man hat das binnen 6h gar nicht bekommen und ist dann mit nem Zehntel etwa rumgegurkt.

Das war schon ziemlich schlecht. Ok vielleicht war die zone schlecht gewählt, aber unterm Strich ist da wohl auch nicht viel mit skalieren, wenn man nicht bereit ist nur einzelne Cores dür paar minu zu nehmen. Also spot Market Bei Sachen die Stunden/Tage laufen keine Option.

Zudem ist das Cloudgeraffen ziemlich teuer im Vergleich zu on prem

 

[Syranite]

90% bei denen war damit beschäftigt GPT4 zu zensieren und dann als bing chat in die katastrophale bing app zu integrieren!

 

[Intruder]

Azure Schwachstelle über Monate...
dann so Dinge wie gestohlene Cloud Masterkeys...

Gestohlener Cloud-Master-Key: Microsoft schweigt – so fragen Sie selbst

leider hinter Paywall 🧐
Gestohlener Master-Key: Der kleingeredete GAU der Microsoft-Cloud

Gewaltiger Sturm über Microsoft: Massive Folgen durch gestohlenen Sicherheitsschlüssel

"Masterkey" für Microsoft Cloud Update: Gestohlener Microsoft-Key ist mächtiger als angenommen

Schlüssel zu fast allen Cloud Diensten?

Nicht nur Firmen sind betroffen - auch private Nutzer könnten betroffen sein


tja und dann das Ding, worüber hier berichtet wird 👍


Genau das sind so Dinge vor die ich immer versuche zu warnen und man wird immer wie nen Volldepp abgestempelt der Paranoia schiebt weil man die Cloud in Himmel lobt 🤭

Klar hat die Cloud Vorteile - ohne Frage!! Aber sie birgt nun mal auch Gefahren und wenns mal richtig dicke kommt, dann kanns auch sehr schnell unangenehm werden nur die Frage ist = wer wird dafür zur Rechenschaft gezogen? Wer wird der Sündenbock in der Firma sein? Wer darf gerade stehen?

Also ich möchte nicht in dessen Schuhe stecken.

Ich sage immer das man für seine eigene Hardware verantwortlich ist. Wenn im eigenen Netzwerk auf einer Hardware was passiert, hat man meistens selber was verbockt und muss selber dafür auch gerade stehen aber mit der Cloud? Da kann man sein System perfekt abgesichert haben...

und dann sowas?? Wo man absolut keinen Einfluss drauf hat?
Sehr bedenklich.

So lange alles gut geht und nichts passiert, denkt man alles ist toll und wird schon gut gehen und vertraut uneingeschränkt Cloud Diensten allerdings zu welchem Preis? Von heute auf morgen ....

 

[cbuser01]

Daher empfehle ich jedem meiner Kunden, der auf eine Microsoft Cloud-Only Strategie setzt, sich das noch mal genau zu überlegen.

Leider haben viele Unternehmensberater wie Accenture, EY und Co. auf den Golfplätzen dieser Welt gute Arbeit geleistet und den Entscheidungsträgern im Top Management die dollsten Geschichten erzählt. Dagegen ist man teilweise machtlos.