News Verschlüsselung: Zitis will keine Zero-Day-Exploits kaufen

[Andy]

Wilfried Karl hat sich als Präsident der Zentralstelle für Sicherheit in der Informationstechnik (Zitis) erstmals öffentlich zu Wort gemeldet. Bei einer Fachkonferenz in Berlin skizzierte er den Aufgabenbereich der Entschlüsselungsbehörde und nannte Details zur Vorgehensweise, berichtet die Süddeutsche Zeitung.

Zur News: Verschlüsselung: Zitis will keine Zero-Day-Exploits kaufen

 

[basilisk86]

Es hat niemand vor eine Mauer zu bauen....

Kennen wir....

 

[sLy]

Genau den Spruch wollte ich auch grade bringen

 

[Dimos]

Sie wollen nicht, haben aber schon gekauft.
Ich glaub denen nichts.

 

[Ycon]

Zu dumm nur, dass der Bund schon seit geraumer Zeit fleißig Zero-Days einkauft. EINKAUFT! Die bezahlen Geld dafür -.-

 

[Piktogramm]

So erklärte er laut der Süddeutschen Zeitung: „Wir schaffen keine Sicherheitslücken, diese existieren bereits und sind seit Jahren bekannt.“

Einer der vielen Gründe wieso die IT-Stellen beim Bund wenig beliebt sind ist die als wenig kompetent geltende Führung des Ganzen. Ich freue mich, dass diese Tradition fortgesetzt wird.

 

[ghostwriter2]

Es wurde nirgends gesagt, das Zitis keine 0-Day-Hacks kauft! Das ist so falsch! (edit: Vielleicht auch von Zitis gewollt, wer weiß)
Die kaufen nichts vom Schwarzmarkt oder unseriösen Firmen. Das von seriösen Sicherheitsdienstleistern oder anderen Einrichtungen (FBI... die ich jetzt mal als seriös bezeichne) nichts gekauft wird bzw. überhaupt gar keine 0-Day-Hacks gekauft werden wurde nirgends gesagt. Nur kein Schwarzmarkt.

Man hat nur eine von vielen Quellen ausgeschlossen. Und wenn ich jetzt was falsch Verstehe korrigiert mich.

 

[Optimus91]

Man hat nur eine von vielen Quellen ausgeschlossen. Und wenn ich jetzt was falsch Verstehe korrigiert mich.

Das nennt man dann überspezifisches Dementi.

 

[DeusoftheWired]

Seine Behörde wolle demnach keine Zero-Day-Exploits auf Grau- oder Schwarzmärkten kaufen. Mit unseriösen Firmen würde man nicht zusammenarbeiten.

Überspezifisches Dementi? Heißt das, daß seine Behörde auf Weißmärkten 0-Days kaufen und mit seriösen Firmen zusammenarbeiten wird?

€dit: Optimus91 hatte die gleiche Idee.

 

[Biedermeyer]

Gibt es irgendeine Moeglichkeit, wird sie auch genutzt

 

[Wolfi Scheuble]

Die wollen keine Exploits kaufen, die müssen es aber tun. Das wäre das Ergebnis der politischen Ausdrucksweise.
Oder eine andere "seriöse" Behörde kauft diese Exploits und sendet diese zu...

Zum Glück lässt die politische Ausdrucksweise immer großen Spielraum!?
Das Muster bei solchen Aussagen ist jedenfalls immer gleich. Es brauch nur ein Wort um die Gutgläubigen etwas glauben zu lassen, was nicht der tatsächlichen Wahrheit entspricht.

"Ich habe keinen Fernseher." -> "Meine Frau hat einen Fernseher, ich schaue aber mit."
"Meine Frau hat kein Auto." -> "Ich habe zwei Autos, Eines nutzt hauptsächlich meine Frau."

 

[onetwoxx]

Wenn die qualifiziertes Personal wollen, dann müssen sie auch mehr zahlen und vorallem ihre Anforderungen herunterschrauben. Selbst jemanden mit zig Jahren Beruferfahrung in der IT Sicherheitsbranche und Masterabschluss mit ca 3000€ brutto abspeisen ist relitätsfremd. Ein weniger qualifizierter Hacker wird in der freien Wirtschaft deutlich besser bezahlt

Die Exploits werden so oder so verkauft, ob da jetzt eine Behörde nichts kauft fällt da garnicht ins Gewicht

Man hat nur eine von vielen Quellen ausgeschlossen. Und wenn ich jetzt was falsch Verstehe korrigiert mich.

Dann muss man sich aber auch fragen woher die anderen Behörden, Organisationen, etc die Exploits her haben, wahrscheinlich genau aus diesen unseriösen Quellen. Was die Zusammenarbeit mit den anderen kostet wird ja auch nicht genannt, da muss man sich schon fragen ob dies die billigere Arbeitsweise ist indem man auf diese unseriösen Quellen verzichtet nur um politisch schön dazustehen

 

[Herdware]

Überspezifisches Dementi? Heißt das, daß seine Behörde auf Weißmärkten 0-Days kaufen und mit seriösen Firmen zusammenarbeiten wird?

"Seriöse Firmen" wie z.B. HBGary.

Es ist tatsächlich eine bewährte Vorgehensweise, dass Sicherheitsbehörden Maßnahmen, die ihre Kompetenzen überschreiten würden, einfach an Privatunternehmen outsourcen.
Wenn man sich die Hände nicht schmutzig machen will, schaltet man einfach Strohmänner dazwischen, die die Drecksarbeit für einen machen.

 

[lemba]

Das Geld für die gesamt Aktion wäre sinnvoller in die Entwicklung und Verbesserung sicherer Verschlüsselung investiert.

 

[chithanh]

In der Praxis bedeutet das allerdings: Wenn sich die Verschlüsselung selbst nicht knacken lässt, muss Zitis einen Staatstrojaner entwickeln. Das setzt allerdings voraus, dass die Behörde Sicherheitslücken in Betriebssystemen wie Windows, Android oder iOS ausnutzt, um die Malware einzuschleusen.

Dieser Absatz lässt doch ein wenig am Sachverstand des Autors zweifeln. Der Staatstrojaner ist eine so genanntes Implant (ähnlich wie ein rootkit), der setzt erstmal gar keine Sicherheitslücken voraus.

Wie der Staatstrojaner auf den Rechner kommt ist eine ganz andere Frage. Hier können Sicherheitslücken eine Rolle spielen, müssen aber nicht. In der Vergangenheit kam oft Social Engineering zum Einsatz (z.B. Email mit gefälschtem Absender und bösartigem Anhang), oder Man-In-The-Middle auf SSL mit gefälschten Zertifikaten. Da das immer schwieriger wird, werden auch Evil-Maid-Angriffe beliebter: Wenn die Zielperson ihr neues Handy im Versandhandel bestellt, braucht es halt einen Tag länger oder Notebooks dürfen plötzlich aus Sicherheitsgründen im Flugzeug nicht mehr ins Handgepäck sondern nur noch in den Frachtraum.

So erklärte er laut der Süddeutschen Zeitung: „Wir schaffen keine Sicherheitslücken, diese existieren bereits und sind seit Jahren bekannt.“

Das ist in vielen Fällen auch korrekt so, nur wenige Android- (und inzwischen auch Windows-)Telefone sind auf einem aktuellen Sicherheitsstand. Und sowohl Smartphone- als auch PC-Hardwarehersteller lassen sich oftmals mehrere Jahre Zeit, gemeldete kritische Sicherheitslücken auch zu beheben, wenn überhaupt.

Und selbst dort, wo ein 0-day-Exploit nötig wäre: Dann beauftragt man lieber einen externen Dienstleister oder bittet einen befreundeten Dienst, anstatt sich selber die Hände schmutzig zu machen. Je mehr Leute über einen 0-day Bescheid wissen, desto größer das Risiko, dass er publik wird.