Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Security Done Wrong: Leaky FTP Server - Adam Caudill

Link Sicherheit

Mitglied: Lochkartenstanzer

Lochkartenstanzer (Level 5) - Jetzt verbinden

05.04.2013, aktualisiert 20:14 Uhr, 2413 Aufrufe, 6 Kommentare, 2 Danke

Hi,

Der Kollege schreibt von einem FTP-Server, auf dem der Sourcecode eines UEFI-BIOS von AMI aufgetaucht ist samt private-signing-key!

Wenn das stimmt, was der Kollege da schreibt, muß man in nächster Zeit beim UEFI-Bios von AMI aufpassen, daß einem da kein gefaktes BIOS unterschiebt. Insbesondre sollte man bei BIOS-Updates sicherstellen, daß des tatsächlich original vom Hersteller stammen.

lks
Mitglied: filippg
05.04.2013 um 21:35 Uhr
Oh mein Gott! Ein gefaktes BIOS! Das war meine Horrorvorstellung, schon immer. Deswegen frage ich, wenn ich ein neues BIOS brauche auch immer auf superhackers.ru im Forum nach, ob mir einer ein garantiert sauberes schicken kann.

Auf gut deutsch: Ich würde mich wundern, wenn irgendeins, der vielen, vielen BIOS-Updates (die kann ein einhändiger an beiden Händen abzählen, wenn man Telefon-Updates nicht dazuzählt) die ich bisher gemacht habe, durch PKI abgesichert gewesen wäre. Bestenfalls ist auf der Download-Seite des Herstellers (die sich dann ähnlich leicht manipulieren lässt wie sein Download-Verzeichnis) ein Hashwert angegeben.
Bitte warten ..
Mitglied: Lochkartenstanzer
06.04.2013 um 10:18 Uhr
Zitat von filippg:
Bestenfalls ist auf der Download-Seite des Herstellers (die sich dann ähnlich leicht
manipulieren lässt wie sein Download-Verzeichnis) ein Hashwert angegeben.

Du vergißt, daß heuzutgae es ein leicchtes ist, bei dem ein oder anderen Hersteller Malware unterzubringen, bei neueren BIOS's schietert es meist an der Signatur. Außerdem gibt es heute genug möglichkeiten MITM zu spielen. Und nachdem die wenigsten Hersteller tatsächlich Hashwerte angeben, wird die Überprüfung auch schwierig.

Ein weitere punkt ist, daß heutztage BIOS-Updates meist mit Windows-Tools erfolgen, die automqatisch nahschauen, ob was neueres da ist und dieses dann installieren. Die prüfen dann meist keine md5 oder sha1-Summen, sondern nur die Signatur.

Davon geht jetzt die Welt nicht unter und wir werden auch nicht alle sterben, aber es ist ist jedenfalls ein zusätzlicher Angriffsvektor, den man betrachten muß.

lks
Bitte warten ..
Mitglied: C.R.S.
06.04.2013 um 21:57 Uhr
Die Sicherheitsbedingungen in den asiatischen Hardware-Schmieden sind ein generelles Problem; schön dass darauf mal so ein Schlaglicht fällt. Bei nahezu jeder Malware, die mit einem gestohlenen Zertifikat aufwartet, steht einer dieser Hersteller im Aussteller.
Die eigentliche Implikation aus meiner Sicht: Das sagt alles über die Vorstellung, man könne Trusted-Boot-Strukturen auf Herstellervertrauen stützen. Die müssen für den Anwender offen bleiben!

Grüße
Richard
Bitte warten ..
Mitglied: filippg
06.04.2013 um 23:18 Uhr
Hallo,

Bei nahezu jeder Malware, die mit einem gestohlenen Zertifikat aufwartet, steht einer dieser Hersteller im
Aussteller.
Soso, "einer dieser Hersteller". Das in Security-Vorfälle relativ viele asiatische Hersteller involviert sind könnte daran liegen, dass die allermeisten Hersteller nun mal aus Asien stammen.
Apple glänzt(e) dafür mit einer "Geräteverschlüsselung", die sich durch Anschließen des Geräts an USB _vor_ dem Einschalten umgehen lies. Ui. Und wenn's dir nur um Zertifikate geht: Ich hoffe, du hast mal was von Diginotar gehört & auch mit bekommen, dass RSA die Seeds gestohlen bekommen hat - beide Firmen nicht wirklich verdächtig "einer dieser Hersteller" zu sein. Ach ja, Default-Kennwörter in Siemens Steuer-Anlagen sind auch so ein Knüller.

Grüße

Filipp
Bitte warten ..
Mitglied: C.R.S.
08.04.2013 um 23:11 Uhr
AMI hat inzwischen reagiert und klargestellt, dass es ich um einen Developer-Key handelt:
http://www.ami.com/News/PressRelease/?PrID=392
Bitte warten ..
Mitglied: Lochkartenstanzer
09.04.2013 um 00:17 Uhr
Auch wenn es nur ein developer-key ist/sein sollte, zeigt das doch, wie nachlässig die Entwickler mit sicherheitsrelevanten Belangen umgehen.

Ein gesundes Mißtrauen ist immer angebracht.
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(8)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Linux Tools
CURL mehrere Dateien vom ftp-Server herunterladen (10)

Frage von highpriest zum Thema Linux Tools ...

Netzwerkmanagement
Zugriff auf FTP-Server durch Chrome in Windows 7 klappt nicht (3)

Frage von emilien2 zum Thema Netzwerkmanagement ...

Batch & Shell
gelöst Per Batch FTP-Server Dateien ändern (1)

Frage von Marlon1 zum Thema Batch & Shell ...

Heiß diskutierte Inhalte
Microsoft
Ordner mit LW-Buchstaben versehen und benennen (20)

Frage von Xaero1982 zum Thema Microsoft ...

Outlook & Mail
gelöst Outlook 2010 findet ost datei nicht (19)

Frage von Floh21 zum Thema Outlook & Mail ...

Netzwerkmanagement
gelöst Anregungen, kleiner Betrieb, IT-Umgebung (18)

Frage von Unwichtig zum Thema Netzwerkmanagement ...