Im Streit um die Zukunft Grönlands spielt nun auch die Bundeswehr eine Rolle. 13 deutsche Soldaten werden als Teil eines internationalen Erkundungsteams nach Nuuk fliegen. Ziel sei es, Rahmenbedingungen zur Sicherung der Region zu erkunden.
Ob das wirklich so perfekt abgeschottet werden kann, mag ich als Laie nicht beurteilen aber es klingt vom Prinzip her doch ziemlich anders als “die BW hostet ihre Daten in der amerikanischen Cloud”.
In dem Moment, wo das System Updates bezieht, ist es nicht abgeschottet und abhängig. Ohne Updates kann man ein System, das am Netz hängt, nicht sicher betreiben. Finde den Fehler.
Die Updates kommen trotzdem noch von einer nicht vertrauenswürdigen, weil amerikanischen Quelle. Deswegen ist man nicht unabhängig und auch nicht abgeschottet, denn wer das Update bereitstellt, kommt durch das Update auch durch eine Air Gap ins System, egal, wer das installiert. Damit ist Sabotage Tür und Tor geöffnet. Egal wieviel Sicherheitstheater man betreibt.
Bitte kläre dann uns unwissenden auf, warum sind Updates aus US Quellen kein Sicherheitsproblem?
Ganz Stumpf kommt dann wie immer ein USB Stick per Brieftaube an, das wird dann installiert. RZ nicht am öffentlichen Netz, überall hin liegen eigene Kabel, also physisch komplett vom normalen Internet getrennt. Im installierten Update ist nur leider auch der Dienst “Ich_mache_alles_in_drei_monaten_platt.exe”. Im nächsten monatlichen Update wird der Timer dann um ein Monat verschoben.
Im Fall der Fälle sendet man dann einfach keine Brieftauben mehr, das RZ ist dann in 3 Monaten platt.
Das Beispiel ist massiv vereinfacht und arg plump, trotzdem würde mich hier mal interessieren wo da kein Sicherheitsproblem ist.
Beginnen wir mal damit, dass kritische Infrastruktur nie direkt Updates eingespielt bekommt, sondern stets ein Staging vorgelagert ist - Testplattform, Integrationsplattform und schließlich noch das eigentliche System, die Updates in der ersten eben gerade durch Experten in Augenschein genommen werden.
Dann kommen noch die entsprechenden Verträge sowie vertraglich vereinbarte Sicherheitsleistungen ins Spiel. Sicher, den Karl-Dieter, der irgendwo im Github oder einem anderen Repository seine Updates pflegt und die anderen OpenSource Bastelbuden, die sich mit der jeweils gerade im Sonderangebot befindlichen Tüte Ramen einen guten Tag machen, kann man nicht belangen, einen Multimilliarden Konzern jedoch kriegt man, wenn er sowas abzieht und es auffällt, empfindlich am primären Geschlechtsorgan und zieht demjenigen dieses dann auf die unangenehmste Art und Weise lang.
Wie ich schon sagte: Viel Meinung, GAR KEINE Ahnung. Und deswegen lacht die Gemeinde der ECHTEN Experten über genau solche Schaumschläger
Was von viel Meinung und gar keiner Ahnung reden und dann davon ausgehen dass der Multimilliardenkonzen des Feindes es nicht hin bekommt Malware durch die Teststufen der Bundeswehr bekommen kann. Dann noch gegen opensource schießen bei dem die Experten dann im Zweifel zumindest prüfen könnten ob in Software Malware drin ist bzw. selbst kompelieten, krass für wie inkompet du die USA hältst. Palau oder Mikronesien würde ich hier nicht als Gefahr für eine Supplychainattack sehen, aber wen wenn nicht die USA?
Ich lass nur mal den Cloud-Act und den kleinen Artikel hier als kleine Rechercheaufgaben da. Ins Handy der Kanzlerin haben die Amis es übrigens geschafft, glaube kaum dass die Fähigkeiten bis heute plötzlich geschrumpft sind ;D
Die Bundeswehr hat einen Vertrag mit Google geschlossen, und will eine eigene, selbst gehostete Google Cloud betreiben.
https://www.bwi.de/magazin/artikel/private-cloud-der-bundeswehr-bwi-nimmt-erste-ausbaustufe-in-betrieb
Ob das wirklich so perfekt abgeschottet werden kann, mag ich als Laie nicht beurteilen aber es klingt vom Prinzip her doch ziemlich anders als “die BW hostet ihre Daten in der amerikanischen Cloud”.
Es sei denn du beziehst dich auf was anderes?
In dem Moment, wo das System Updates bezieht, ist es nicht abgeschottet und abhängig. Ohne Updates kann man ein System, das am Netz hängt, nicht sicher betreiben. Finde den Fehler.
Man kann Updates herunterladen und dann selbst auf der eigenen Infrastruktur installieren. Dafür muss man Systeme nicht ans Internet hängen.
Ansonsten empfehle ich einmal ein paar Artikel, mit denen man sich über die Funktion einer DMZ beschäftigt…
Erzähl das mal den iranischen Zentrifugen.
Die Updates kommen trotzdem noch von einer nicht vertrauenswürdigen, weil amerikanischen Quelle. Deswegen ist man nicht unabhängig und auch nicht abgeschottet, denn wer das Update bereitstellt, kommt durch das Update auch durch eine Air Gap ins System, egal, wer das installiert. Damit ist Sabotage Tür und Tor geöffnet. Egal wieviel Sicherheitstheater man betreibt.
Man merkt, da hat jemand nur sehr wenig Ahnung, dafür aber sehr viel Meinung…
Bitte kläre dann uns unwissenden auf, warum sind Updates aus US Quellen kein Sicherheitsproblem?
Ganz Stumpf kommt dann wie immer ein USB Stick per Brieftaube an, das wird dann installiert. RZ nicht am öffentlichen Netz, überall hin liegen eigene Kabel, also physisch komplett vom normalen Internet getrennt. Im installierten Update ist nur leider auch der Dienst “Ich_mache_alles_in_drei_monaten_platt.exe”. Im nächsten monatlichen Update wird der Timer dann um ein Monat verschoben.
Im Fall der Fälle sendet man dann einfach keine Brieftauben mehr, das RZ ist dann in 3 Monaten platt.
Das Beispiel ist massiv vereinfacht und arg plump, trotzdem würde mich hier mal interessieren wo da kein Sicherheitsproblem ist.
Wahrscheinlich verschwindet das Sicherheitsproblem durch Magie, wenn man nur genug Compliance-Checklisten abhakt.
Beginnen wir mal damit, dass kritische Infrastruktur nie direkt Updates eingespielt bekommt, sondern stets ein Staging vorgelagert ist - Testplattform, Integrationsplattform und schließlich noch das eigentliche System, die Updates in der ersten eben gerade durch Experten in Augenschein genommen werden.
Dann kommen noch die entsprechenden Verträge sowie vertraglich vereinbarte Sicherheitsleistungen ins Spiel. Sicher, den Karl-Dieter, der irgendwo im Github oder einem anderen Repository seine Updates pflegt und die anderen OpenSource Bastelbuden, die sich mit der jeweils gerade im Sonderangebot befindlichen Tüte Ramen einen guten Tag machen, kann man nicht belangen, einen Multimilliarden Konzern jedoch kriegt man, wenn er sowas abzieht und es auffällt, empfindlich am primären Geschlechtsorgan und zieht demjenigen dieses dann auf die unangenehmste Art und Weise lang.
Wie ich schon sagte: Viel Meinung, GAR KEINE Ahnung. Und deswegen lacht die Gemeinde der ECHTEN Experten über genau solche Schaumschläger
Was von viel Meinung und gar keiner Ahnung reden und dann davon ausgehen dass der Multimilliardenkonzen des Feindes es nicht hin bekommt Malware durch die Teststufen der Bundeswehr bekommen kann. Dann noch gegen opensource schießen bei dem die Experten dann im Zweifel zumindest prüfen könnten ob in Software Malware drin ist bzw. selbst kompelieten, krass für wie inkompet du die USA hältst. Palau oder Mikronesien würde ich hier nicht als Gefahr für eine Supplychainattack sehen, aber wen wenn nicht die USA?
Ich lass nur mal den Cloud-Act und den kleinen Artikel hier als kleine Rechercheaufgaben da. Ins Handy der Kanzlerin haben die Amis es übrigens geschafft, glaube kaum dass die Fähigkeiten bis heute plötzlich geschrumpft sind ;D