Der DNSSEC-Fail beim DENIC und andere Neuigkeiten

00:00:00:

00:00:02: Passwort,

00:00:03: der Heises Security

00:00:04: Podcast.

00:00:08: Hallo liebe Hörerinnen und Hörern!

00:00:11: Willkommen zu einer neuen Folge von Passwort dem Podcast von Heises security.

00:00:15: Ich bin Christopher Kunz von heises security

00:00:18: Und mein Name ist Sylvester Trömmel vom Computer-Bagazin CT.

00:00:22: So wir haben uns heute natürlich eine Reihe von spannenden Themen überlegt aber zuerst wollen ein bisschen zurückgreifen auf eine Sache die jetzt schon ein bisschen her ist und zwar den Ausfall bei der Dänik Punkt D domains betroffen hat und wollen den bisschen was die Autopsie geschrieben technisch auseinandernehmen.

00:00:42: Und dafür haben wir uns in Experten eingeladen, nämlich Karsten Strottmann der auch ab und zu für CTE und für heise schreibt und Für uns Workshop gibt es und sich allgemein sehr gut mit dem DN System auskennt.

00:00:57: Karsten vielleicht magst du dich kurz selber vorstellen?

00:01:00: Ja hallo guten Morgen oder... Hallo, das ist der Westalder Christopher.

00:01:06: Ich ja, machen Sie DNS!

00:01:09: Bin da irgendwie seit ... ... in das Thema reingerutscht?

00:01:13: Dann kam DNSSEC was ja dann rund um den Dänikausfall.

00:01:18: Das Thema ist im Jahr ... ... und in meiner Zeit habe ich das Glück gehabt... ...in einige der Registries reinzuschauen.

00:01:28: Das sind die Organisationen, die große Top-Level Domains verwalten.

00:01:34: Und anderen bei der DENIC habe ich mal reingeschaut aber auch in der Schweiz und den Niederlanden und den Kanada.

00:01:41: Ich versuche mal ein bisschen Licht ins Schatten zu bringen.

00:01:45: was da genau passiert ist am fünften Mai.

00:01:47: Ja vielleicht... also vielen Dank!

00:01:50: Vielleicht greifen wir erst einmal kurz oder machen wir erstmal so Basis?

00:01:54: Du hast gar schon Registry genannt.

00:01:56: das ist ja so Zumindest für mich.

00:01:58: eine von den schlimmsten Sachen am DNS ist die Nomenklatur.

00:02:02: Es gibt ja Registries und es gibt Registrasse, Registranten... Und Zonen?

00:02:08: Ganz

00:02:08: viele Zonen!

00:02:10: Das fängt wenigstens nicht mit Ehre an.

00:02:13: Rutzone?

00:02:14: Fängt nicht mehr an.

00:02:15: Okay, von mir aus.

00:02:17: Vielleicht magst du mal kurz irgendwie aufdrösen.

00:02:20: also was ist eigentlich sozusagen was und wer ist die Dienik?

00:02:24: Ja, also Es gibt ja im Domainnamesystem, im DNS, im Internet wie der Christopher gesagt hat diese Zonen und irgendwie möchte man die Zonen auch im Internet sichtbar haben.

00:02:39: Wenn ich jetzt als Endbenutzer mir einen eigenen Namen im Internet besorgen möchte, so ein Domainnamen dann bin nicht der Registrant derjenige der selber vielleicht eine Zone verwalten möchte, selber einen Domainname haben möchte.

00:02:57: Verwalten tun diese Domain-Namen, die sogenannten Registries.

00:03:02: Das sind die Betreiber dieser Top-Level-Domains wie COM, Net & Org auf globaler Ebene oder DE für Deutschland, ATE für Österreich, CH für Schweiz und so weiter.

00:03:14: Die Registrie machen den technischen Betrieb.

00:03:20: Also das wäre die Dänik.

00:03:23: den namensraum.de, den technischen Betrieb, die betreiben halt die Rechner, die Server im Internet, die abgefragt werden und die sind dafür auch zuständig dass die DNS-Zone korrekt zusammengestellt wird.

00:03:37: Ich kann aber in der Regel heutzutage nicht direkt an die Registrieren als Endverbraucher und sagen ich hätte da gerne einen Namen sondern damit das Ganze ein bisschen skaliert sitzen dazwischen noch die registrare.

00:03:51: Registrale sind häufig kommerzielle Firmen können aber auch Privatorganisationen sein, die es einem Endbenutzer erlauben eine Domain zu erwerben.

00:04:02: Die nehmen halt ein wenig Geld vom Endbenuzer, knapfen sich dann bisschen was von ab und geben den Rest dann weiter an die Registrie und übermitteln dann die Daten und verwalten diese Domain im Namen des Endbenutzers.

00:04:22: Das heißt, als Endbenutzer habe ich dann die Möglichkeit beim Registrar.

00:04:27: Das könnte zum Beispiel eine Telekom sein oder einer Einzel-Einzel-Strato.

00:04:32: Habe ich dann diese Möglichkeit über ein Webinterface meine Daten einzutragen?

00:04:35: Nämlich welche Records möchte ich in meiner Zone haben?

00:04:40: Ich kann auch vielleicht wenn ich selber DNS Server Betreiber dort eintragen wie heißen in meiner eigenen DNS Server wo kann man sie finden?

00:04:48: Und wenn ich DNSSEC benutze, kann ich da halt auch meine DNSSEc-Schlüsselinformation hinterlegen.

00:04:56: Und diese drei die müssen halt zusammenspielen damit das Ganze im DNS klappt.

00:05:03: Ich hab das Gefühl du kommst ganz ohne Moderation hier durch.

00:05:05: jetzt hast du das nächste Stichwort schon genannt.

00:05:07: ne?

00:05:07: Nämlich DNSsec...

00:05:10: Das ist ja... Mach's doch schon mal Feierabend ne?

00:05:12: Tschüss!

00:05:15: Also dazu hatten wir auch eine ganze Folge Portresfolge Nummer siebenunddreißig.

00:05:20: Wenn sich jemand dafür interessiert wie es jetzt mit DNS genau aussieht und wie es eigentlich funktioniert.

00:05:28: Ganz grundsätzlich ist es ja so, dass es halt diese Informationen kryptografisch absichert.

00:05:33: und zwar korrigier mich Kasten wenn ich daneben lang in der nicht so wie man das vielleicht instinktiv im Kopf hat im Sinne von dann sind die verschlüsselte man kann sie nicht mehr lesen sondern die werden halt signiert sodass sie nicht fälschbar sind.

00:05:47: damit halt nicht irgendein D DNS-Server, ich komme mit den S doch einander behaupten kann in diese IP hier sei halt irgendwie heise.de obwohl sie das gar nicht ist oder so und dabei ist irgendwas schiefgegangen.

00:06:06: ich weiß jetzt reicht es schon als Kontext oder fehlt noch was.

00:06:09: Kasten willst du irgendwie gleich erzählen was schief gegangen ist?

00:06:13: Oder ist es zu knapp gewesen?

00:06:15: ja ich würde noch ein bisschen ausholen.

00:06:17: ganz kurz aber nur dass wir diese kryptographischen Signaturen haben und das die beim Empfänger geprüft werden.

00:06:25: Und Empfängern in diesem Falle sind heutzutage hauptsächlich sogenannte DNS Resolver oder auch Caching-DNS Server, die können beim Provider stehen, sie können in einer Firmenumgebung im Firmennetzwerk stehen, werden davon den Admin der Firma betreut.

00:06:40: es ist aber auch möglich dass jemand die zu Hause stehen hat, jemand jetzt zum Beispiel in den Piehole betreibt.

00:06:46: Da läuft einen Anbauendresolver drauf und der hat in der Regel auch DNSSEC-Validierung angeschaltet.

00:06:53: Die DNSSEc-Validierung bedeutet jetzt das... ...die DNSSEcc Daten, die Signaturen, die da kommen, auch geprüft werden ob sie entsprechend korrekt sind.

00:07:03: Und bei einigen Anwendungen ist es heute auch schon so, dass die Anwendung das selber prüfen kann.

00:07:09: insbesondere auf dem Apple-Betriebssystem gibt es da die Möglichkeit für App-Entwickler, dass ein App-Enwickler beim API auf Ruf der DNS-Anfrage sagen kann.

00:07:20: Ich möchte ganz gerne hier diesen Domainnamen in einer IP-Adresse aufgelöst haben.

00:07:25: aber ich möchte bitte das ganze DNS-Hack abgesichert ist und wenn nicht dann möchte ich die Antwort gar nicht sehen.

00:07:33: Das kann also eine Anwendung schreiben irgendwie sicherheitsrelevant ist, vielleicht eine Bankanwendung oder so weiter.

00:07:42: Dann kann er das entforsen, dass auf jeden Fall DNSSEC verwendet wird da drin und das sind entsprechend die Stellen wo es dann knallen kann wenn das DNSSEc nicht korrekt ist.

00:07:55: und das war halt das was am fünften Mai bei der DENIC passiert ist.

00:08:01: Ja vielleicht also jetzt will ich doch wieder selber vom Thema ab aber nur kurz.

00:08:06: es gibt ja sozusagen zwei so Fehlermöglichkeiten werde ich eine Antwort bekomme, aber dann keinen... also entweder mit einer falschen Signatur oder ohne Signatur.

00:08:19: Dann stehe ich ja so ein bisschen vor der Frage was mache ich?

00:08:22: Und du hast gesagt man kann dann knallen.

00:08:25: die Alternative wäre halt zu sagen naja wenn es per DNS der Gesichter kriegt dann ist schön, wenn nicht dann halt nicht, aber da habe ich vermutlich nichts von dem System.

00:08:33: Also im Prinzip muss es dann ja knallen.

00:08:37: Na ja wir haben heutzutage die Situation dass wenn ich DNSseq-Validierung auf dem Resolver oder in der Anwendung angeschaltet habe, dann habe ich die Sicherheit.

00:08:49: Dann knallt es aber auch, wenn irgendwas mit dem DNSsec nicht korrekt ist?

00:08:52: Oder aber ich betreibe einen DNS-Resolver, der nicht DNSSEQ-validiert, der also im Grunde so funktioniert wie DNS-Besolver schon vor DNSSEC funktioniert haben – in den neunzigern und nachtziger Jahren!

00:09:04: Und dem wäre das dann komplett egal, wenn es irgendwo im DNSSEc Probleme

00:09:08: gibt.".

00:09:09: Wir haben weltweit derzeit so ungefähr um die

00:09:41: passiert ist.

00:09:43: Ja, im April diesen Jahres hat die DENIC eine neue Generation ihres DNS-Sexiner-Systems in Betrieb genommen.

00:09:55: Das DNS-Exigner-Ssystem das ist das System was die DNS Daten mit den Signaturen anreichert und das heißt da werden dann aus einem privaten Schlüssel der nur bei der DENEC liegt werden Signature Erzeugt von den dns-daten und dann werden diese signaturen zu den normalen daten in die dns zone geschrieben.

00:10:19: Im jahre, two thousand elf hat die denik angefangen dnssack zu machen.

00:10:22: das war dann die erste generation.

00:10:24: dann haben sie ein paar jahres später die zweite generation eingeführt.

00:10:28: Haben wir von nichts mitgekriegt.

00:10:29: da hat alles gut geklappt.

00:10:30: jetzt haben sich die dritte generation einggeführt Und als die dann zum ersten Mal am fünften Mai wirklich benutzt werden sollte, nämlich weil da eines der Schlüssel für die DE-Zone getauscht werden sollte.

00:10:45: Da hat es einen Fehler gegeben und zwar liegt der Fehler daran dass drei unterschiedliche Schlüssel erzeugt worden sind aber nur der dazugehörige öffentliche Schlüssel der notwendig ist, um die Signaturen zu validieren.

00:11:03: Da wurde nur einer von den Dreien veröffentlicht sodass wenn man am fünften Mai abends die DE-Zone abgefragt hat eine ein zu drei Chance bekam dass man kaputte Daten bekamen.

00:11:19: und wenn man kapute Daten bekommen hat dann gab es... Und man hatten DNA-Sekvalidierenden Resolver.

00:11:25: Dann hat's einen DNA-Secvila gegeben das heißt die Anwendung hatte keine den das Daten bekommen, mit der sie arbeiten konnte und konnte dann zum Beispiel die Webseite nicht aufrufen.

00:11:37: Die Mail konnte nicht ausgeliefert werden usw.

00:11:39: Für einen Endanwender sah es halt so aus als wenn das Internet kaputt

00:11:42: ist.".

00:11:45: Und also dieses eine Drittel war das sozusagen zufällig im Sinne von naja machst ja noch ne Anfrage hast du wieder ein Drittelschance oder war dann halt ein Drittel?

00:11:55: alle Domains waren betroffen?

00:11:56: Also wie hat sich das

00:11:57: verteilt?".

00:12:00: Ja so einfach ist es nicht.

00:12:02: Im Grunde werde es schon so, dass ja wir machen nochmal eine Anfrage und dann haben wir wieder ne neue Eintrittelschance.

00:12:08: Aber habe ich erst mal die falsche Antwort bekommen?

00:12:11: Landet die bei mir im Cash?

00:12:14: Das heißt wenn ich sofort ne neue Anfrage stelle, dann kriege ich sehr wahrscheinlich die Antwort wieder aus dem Cash.

00:12:20: Und wie lange das im Cash bleibt liegt an der sogenannten Time to Live im DNS.

00:12:25: Die Time To Live von DNS-Einträgen in einer Top Level Domänen sind traditionell sehr hoch nämlich... mehr als ein Tag.

00:12:34: Das heißt, ich hätte erst dann wieder eine neue Chance bekommen wenn der Eintrag aus dem Cash rausgefallen wäre oder aber wenn nicht manuell den Cash gelöscht hätte.

00:12:44: dafür muss ich aber Zugriff auf meinen DNS-Besolver haben.

00:12:47: also wenn ich zum Beispiel einen Pi-Hole habe und ihn hätte durchgebotet Dann hätte ich wieder ne Eins zu Drei Chance gehabt dass ich vielleicht eine richtige Antwort kriege.

00:12:56: Andersrum habe ich einmal die richtige Antwort gekriegt bleibt dir auch sehr lange im Cash.

00:13:02: dann habe ich vielleicht gar nichts von diesem Ausfall mitbekommen.

00:13:07: Ich bin ein bisschen überrascht davon, dass sozusagen ungültige Antworten gecached werden.

00:13:12: Was ist da der Sinn davon?

00:13:13: Ist es so eine DEDOS-Schutzmaßnahme oder warum caschig was, von dem?

00:13:18: ich weiß das Ungültiges?

00:13:21: Die Information besagt ja im Grunde, dass die Signaturen, die hergekommen sind und nicht korrekt sind Und das Prüfen von den Signaturen ist CPU-intensiv.

00:13:35: Da muss viel gerechnet werden.

00:13:38: und zusätzlich kommt noch in diesen Situationen, dass die gesamte Kette auch nochmal geprüft werden muss damit nicht jedes Mal bei jeder Anfrage passiert Caching, denen es resolver diese Daten.

00:13:55: Also du hast gesagt es wurden sozusagen drei Schlüssel erzeugt aber nur eine davon wurde publiziert.

00:13:59: war der Fehler jetzt dass nur ein Schlüssel publiziert worden ist und nicht drei?

00:14:04: oder war der Fehler, das drei Schlüssel erzeugt worden sind?

00:14:07: Und nicht einer.

00:14:08: Der Fehler war, dass drei unterschiedliche Schlüsse erzeugт worden sind.

00:14:11: Idealerweise sollte es so sein, dass einschlüssel erzeucht wird und dann verteilt wird.

00:14:17: Die DINEC hatte drei unterschiedlichen Hardware Security-Module.

00:14:21: Das sind spezielle Geräte auf denen diese Schlüssel gespeichert werden aus denen dann oder mit denen dann signiert wird.

00:14:29: Idealerweise sollten die im Grunde den gleichen Schlüssel haben und dann wird der öffentliche Schlüssel dazu, wird in der Aktion publiziert.

00:14:42: Und alle hardware security Module erzeugen die gleichen Signaturen nämlich mit dem gleichen privaten Schlüssel, die dort hinterlegt sind.

00:14:51: Wenn wir drei unterschiedliche Schlüsse benutzen würden, würde das zwar technisch gehen.

00:14:56: Würde aber entsprechend die Zone größer machen weil dann hätten wir drei Schlüssel in der Zone und damit auch unter jedem ResourceRecord drei Signaturen.

00:15:06: Und ich nehme an, die drei benutzen sie einfach aus Resonanzgründen.

00:15:09: also die wollen halt nicht dass irgendwie ein HSM abschmiert und dann

00:15:13: genau

00:15:13: singieren.

00:15:14: Und möglicherweise sind es auch HSMs von unterschiedlichen Herstellern, wenn es einen systemischen Fehler beim Hersteller gibt, dass man noch eine Auswahlmöglichkeit hat auf einem anderen Umzug.

00:15:24: Zwitschern, weil so ein HSM kann man halt nicht mal eben schnell in paar Minuten austauschen.

00:15:30: Das wäre eine längere Prozedur und dafür möchte man einen Satz haben.

00:15:37: Jetzt sind ja... ich kriege Christopher unterbrechen wenn du auch was sagst.

00:15:40: Ja,

00:15:41: ich höre gespannt zu aber ich habe nichts runterbrechen gerade.

00:15:46: Passiert ist das ganze.

00:15:47: abends um kurz vor zehn oder besser gesagt um eins, zwanzig Uhr drei und dreißig?

00:15:54: wurde der neue Schlüssel benutzt, wurde erst einmal damit signiert und um ein zwanzig zu siebenfünfzig wurde der Vorfall dann bei der DENIC gemeldet.

00:16:06: Man hat das also mitbekommen und dann hat es von zehn Uhr bis eine Nacht gedauert, also ungefähr drei Stunden, bis der Fehler wieder behoben war.

00:16:17: aber die DENIK musste dann erstmal erkennen woran nicht ist denn überhaupt.

00:16:23: Was ist der Fehler überhaupt?

00:16:26: Und dann haben sie einen Rollback gemacht auf den schon vorherrigen Schlüssel, der ja noch aktuell war.

00:16:32: Den man noch hätte weiter benutzen können.

00:16:34: die laufen nicht ab im DNS-Sack.

00:16:37: und als der vorherrige Schlüssel wieder aktiv war und sozusagen mit dem vorherriger Schlüssel mit dem alten Schlüssel widersigniert wurde, dann lief auch alles wieder richtig.

00:16:46: Dann konnte man in Ruhe eine Analyse machen was den Fehl gelaufen ist.

00:16:52: Was wir gesehen haben, während des Ausfalls ist es die Resolver.

00:17:01: Die haben DNA-Seq Validierungsfehler gebracht.

00:17:04: Das heißt sie haben nur einen Surffail Fehler zurückgebracht und das hat sich nicht nur auf die DNA-Zonen ausgewirkt von den Besitzern per DNA-SEQ signiert worden sind, sondern das hat sich auf alle DE-Zonen ausgewirkt.

00:17:20: Also auch auf die, die selber kein DNA-Sack haben.

00:17:22: Das liegt daran dass in der DE-zone sämtliche Delegationen,

00:17:29: d.h.,

00:17:29: die Verweise auf die darunter liegenden Zonen auch mit DNA-Sec abgesichert sind.

00:17:33: Die ganze DE- Zone ist DNA-sec gesichert und wenn wir eine Delegacion haben auf einer Dann wird trotzdem geprüft vom entsprechenden Resolver, ob es in der DI-Zone einen hinterliegten sogenannten Delegation-Stainer-Record hat.

00:17:56: So da hätte ich dann aber doch direkt eine Zwischenfrage nachdem der Silvester mich geweckt hat.

00:18:03: Zwischen einundzwanzig Uhr dreiunddreißig und einund zwanzig uhr siebenundfünfzig sind ja schon auch vierundzwanzig Minuten.

00:18:10: Vielleicht ist das eine Frage für die Denigpresse Stelle, aber warum hat es denn so lange gedauert?

00:18:16: Also ich hätte jetzt auch die Erwartung dass die DE-Zone einer der am besten gemonitierten Entities im Internet ist oder im deutschen Internet zumindest und dass man da nicht über zwanzig Minuten braucht bis einen Ausfall bemerkt wird vor allem nicht einer in einer solchen Größenordnung.

00:18:36: Wir haben natürlich die Situation, dass wenn wir eine neue DE-Zone ausspielen oder wenn die Dänik eine neue Dezone ausspielt.

00:18:45: Dass sehr viele der Daten noch im Cash sind, die alten Daten so das erst dann auffällt, wenn Benutzer mit einem neuen Cash kommen sozusagen, wenn irgendwo ein Resolver durchgestartet wird oder wenn da gerade die Tomationen aus der DE Zone rausgefallen sind und bei den wirklich populären Domains in der dezone heiße die zum beispiel ich kann mir vorstellen das ist in allen resolvern.

00:19:11: Drinnen und wenn die TTL entsprechend groß ist dann ist es erstmal nicht aufgefallen, und Dann ist es natürlich so Die leute.

00:19:21: wenn sie dann plötzlich feststellen dass irgendeine domain nicht auflöst oder irgendein webseite nicht lädt sucht man natürlich erst mal den fehler bei sich selber Oder im eigenen netzwerk.

00:19:29: da kommt man nicht drauf dass ich hier die ganze dezone kaputt sein könnte.

00:19:33: Und so kann ich mir schon vorstellen, dass es einige Minuten gedauert hat bis jemand darauf gekommen ist.

00:19:39: Oh das liegt ja gar nicht bei mir!

00:19:41: Das ist gar nicht mein Netzwerk sondern das ist bei der Denig.

00:19:45: Warum hat die Denig selber nicht gemerkt?

00:19:48: Ich denke, das ist der große Knackpunkt in dem Blog-Post den die Denik veröffentlicht hat über das Postmortem.

00:19:55: Schreiben Sie, dass sie drei verschiedene Monitoring Systeme haben DE-Zone prüfen, bevor sie ausgespielt wird und zwar auf logische Konsistenz.

00:20:08: Und alle drei Systeme haben den Fehler bemerkt.

00:20:12: Nur waren diese Monitoring-Systeme wohl nicht korrekt verbunden mit dem Rest des Systems, dass diese Systeme A nicht verhindern konnten, das die defekte Zone ausgeliefert wird an die DNS Server, das hier also nach außen kompliziert wurde.

00:20:29: Und B war es anscheinend auch so, dass diese Alarme von diesen Monitoring-Systemen nicht durchgedrungen sind.

00:20:35: zu den Mitarbeitern.

00:20:38: Das ist natürlich ein guter Monitoringssystem momentan!

00:20:44: So bisschen wie das Backup Restore Problem, das ist ja super wenn wir Backups haben aber wenn der Restorer nicht funktioniert dann ist irgendwie nur eine Hälfte der Arbeit erledigt Und zwar die falsche.

00:20:53: also das ist schon ich hab ja lange hosting gemacht und wenn dns Sachen kaputt waren, dass war dann immer komisch kaputt.

00:20:59: Und am Ende was dann immer?

00:21:00: dns und das hat man oft sehr schnell gemerkt und hat sehr sehr schnell laute Alarme ausgelöst.

00:21:07: Das war bei uns immer so im subzehn Minutenbereich, dass da einer am rechner sitzen musste.

00:21:11: insofern war jetzt ein bisschen überrascht über die zwanzig minuten.

00:21:14: das ist doch War das ein Wochentag?

00:21:17: Jetzt muss ich mal gerade nachgucken.

00:21:18: Ich meine, das war irgendwie ein Mittwoch oder so was.

00:21:20: Wie

00:21:20: einen Dienstagabend!

00:21:23: Also das ist jetzt auch nichts, wo sich nicht in Feiertagswochen enden oder so... Hat's ja letzter Zeit auch gegeben dass man jemand am Oster Montag Zertifikate tauschen musste aber in diesem Fall war es ganz normaler Arbeitstag.

00:21:35: Ja also ich kann die Erklärung von Karsten schon sehr gut nachvollziehen.

00:21:39: irgendwelche Domains gehen nicht und wenn du dann sagst, da ist sicher bei der Dänik was kaputt gegangen, das glaubt ihr doch kein Mensch.

00:21:47: Ich habe eine sozusagen technische Verständnisfrage noch.

00:21:51: Wenn ich mich recht entsinnte, waren das ja nicht nur Domains die per DNSsec gesichert waren, die dadurch ausgefallen sind?

00:21:58: Also wie kann es dann sein so zu sagen dass ein DNSseck Fehler dazu führt, dass Domains, die DNSsecks gar nicht nutzen auch betroffen sind?

00:22:06: Ja das liegt daran, dass DNSsecs hat im Grunde einen Markierung, einen Marker, einen Flagg in der jeweiligen, darüber liegenden Elternzone.

00:22:17: Das heißt eine Zone unterhalb von DE die DNSSEC signiert ist hat in der DE-Zone den sogenannten Delegationssigner-Rekord.

00:22:25: das ist ein Hash des Schlüsseln, des DNSSECs Schlüsselns der darunter liegende Zone verwendet wird.

00:22:31: und dieser Delegation-Signer der wird verwendete um die Vertrauenskette herzustellen um die Möglichkeit zu haben über die Top Level Domain zur Hutszone einer Vertrauinskette aufzubauen.

00:22:43: Also damit sozusagen nicht so eine DNS-Sec Zone gefälscht werden kann, weil die wiederum wird validiert über die darüber liegende Zone und so weiter.

00:22:52: Genau!

00:22:54: Und es muss halt auch geprüft werden.

00:22:56: wenn ich einen dnssec validehner Resolve habe der muss prüfen wenn er ne Antwort ohne dnssec bekommt muss er prüffen hat diese zone denn vielleicht doch dnssek?

00:23:07: könnte ja sein dass ein angreifer einfach nur die signaturen gelöscht hat und die wirklichen Daten, die gesendet worden sind, gefällt statt.

00:23:17: Also müssen wir prüfen hat diese Zone eigentlich DNSsec?

00:23:20: Wenn wir eine Antwort auch ohne DNSSEC-Daten bekommen.

00:23:23: Und dafür guckt so ein Resolver in der jeweiligen darüber liegenden Elternzone nach und das wäre halt die DE-Zone gewesen.

00:23:30: Gibt es da jetzt einen DS-Rekord dann kommt er zurück mit einer Signatur und in diesem Fall gab's ne eins zu drei Chance dass die Signatur falsch war.

00:23:41: wenn der DS Rekord nicht da ist kriegen wir eine negative Antwort.

00:23:46: Eine sogenannte No-Data-Antwort ist das, weil der Name den wir anfragen, der existiert aber der DS-Rekord existiert nicht und in diesem Fall müssen wir auch im DNSsekt eine Möglichkeit haben, negative Antworten zu validieren, zu prüfen.

00:24:01: Und das wird mit sogenannten NSEC und NSEc III Rekords gemacht.

00:24:05: die NSEicNSEcIII Rekorts beschreiben über ne verkettete Liste welche Namen denn in einer Zone existieren, also in der DE-Zone existieren.

00:24:17: Und damit diese NSEC und NSEcIII Records geprüft werden können sind die auch signiert.

00:24:22: Das heißt, in dem Fall eine Zone, die nicht selber Däneseck signiert ist hat der Resolver nach dem DS-Record gefragt, hat dann eine negative Antwort bekommen.

00:24:33: Diese negative Antwort hatte NsecIII-Records und die waren auch bei ein Drittel der Antworten falsch signiert.

00:24:41: Moment, zwei Drittel falsch.

00:24:45: Du meintest vorhin man hätte eine ein Drittel Chance dass die Signatur falsch ist.

00:24:49: aber genau andersherum ist glaube ich richtig.

00:24:51: ne das hier richtig ist ja.

00:24:52: Ja

00:24:53: sonst wäre es ja in guter Erwartungswerte kam er zu

00:24:59: einem drittel kaputt.

00:25:00: okay aber sozusagen nur.

00:25:01: das heißt ich brauche das alles weil ansonsten wenn den angreifen sozusagen irgendwie halt auf meinem Traffic drauf zu essen, dann könnte der die DNS-Sec Daten einfach wegschmeißen.

00:25:16: Könnte gefälsche Daten schicken und wenn ich dann versuche rauszufinden hat die Zone dnssec könnte er auch das einfach weg schmeißen.

00:25:23: Das heißt deswegen müssen auch diese insects irgendwie validiert sein.

00:25:26: damit letztlich komme ich ja sozusagen aus den sseg Nutzung so nicht raus, sobald einen Domain habe unterhalb von so einer Zone, die irgendwie den Essack nutzt oder?

00:25:41: Ja genau und das sind eigentlich alle Top-Level-Domains bis auf ein H weniger Ausnahmen heute.

00:25:46: Das heißt das Argument ich mache den Essag nicht weil das fällt mir auf die Füße ist gar kein gutes Argument weil es fällt dir auch auf die füße wenn du's gar nicht hernimmst.

00:25:56: Zum Glück kann ich dann sagen es war nicht mein Fehler.

00:25:58: ich kann auf andere Leute zeigen.

00:26:06: Was macht man denn dann?

00:26:07: also?

00:26:10: Das wäre sowieso die nächste Frage.

00:26:12: Aber jetzt hat tatsächlich die Dänik Fehler gemacht, man merkt irgendwie da sind sozusagen Daten mit einer falschen Signatur.

00:26:22: das ist aber offensichtlich kein Angriff sondern also die erste Frage ich weiß nicht ob du dazu was sagen kannst aber woher weiss ich das denn?

00:26:28: Also wie validiere ich dass die Dänik gerade einen Fehler gemacht hat?

00:26:35: Das ist ganz schwer zu sagen.

00:26:38: Als es passiert ist, saß ich gerade im ICE von München nach Essen und habe das auch relativ schnell mitgekriegt weil ja mich Leute auch angerufen haben angetrickert haben hier ist irgendwas bei der Dänik kaputt.

00:26:52: dann hab' ich da drauf geguckt um auch zu schauen Ist das jetzt ein Angriff oder ist das ein Fehler der gemacht worden ist?

00:26:59: Und das lässt sich von außen ganz schwer abschätzen.

00:27:05: Die Fehler-Situationen, die wir gesehen haben nämlich ein Drittel korrekt.

00:27:09: Zwei Drittel defekt hätte auch sein können das einen Angreifers geschafft hat zwei Drittel der D-Server zu übernehmen durch eine Sicherheitslücke und ein Drittle hat er nicht geschafft.

00:27:20: Und deswegen sind plötzlich zwei Drittel der Signaturen defekt weil der Angreifer irgendwas nicht vollständig übernommen hat.

00:27:33: Das kann eigentlich nur der Betreiber sagen Ob das jetzt ein Fehler war oder ob das eine Angriff war und das ist auch einer der Lehren aus diesem Inzidenz, was jetzt auch in den entsprechenden Gremien bei der ITF und bei Reib besprochen wird.

00:27:48: Nämlich wie kann man schneller diese Informationen nach außen kommunizieren?

00:27:54: Denn für jemanden der jetzt entscheiden muss schalte ich Selektiv-Dnseq-Validierung für eine bestimmte Domäne aus, da kommen wir gleich zu Negativ-Trustenker.

00:28:06: Derjenige der es entscheidet muss möglichst gute Informationen haben ob sich um einen Angriff handelt oder ob es sich um den Fehler handelt.

00:28:14: denn wenn es sich über einen Angriff handelt dann will ich entsprechend Dnesec nicht ausgeschaltet haben und dann funktioniert das ja genau so wie es sollte nämlich dass er den Angriff abwehrt und verhindert dass ich bösartige Daten bekomme.

00:28:27: Und irgendwie drüber zu bloggen auf einer Webseite mit der betroffenen Domain ist natürlich sozusagen inherent irgendwie nicht sicher, wenn ich sozusagen nicht weiß ob ich diesen Domain noch vertrauen kann.

00:28:38: Genau also die DENIC hat eine Status-Webseite die heißt status.denic.de.

00:28:45: Die war aber auch nicht erreichbar Wenn man nicht gerade den Eintrag schon im Cash hatte und den hatten die wenigsten im Cash Denn da guckt man normalerweise nicht drauf solange alles gut läuft.

00:28:56: Ja, also da ist und das gilt nicht nur für DNS und für die DNX sondern eigentlich für jeden der öffentliche Infrastruktur betreibt.

00:29:06: Da es ist ganz gut eine Statusseite oder eine Statusinformation irgendwo zu haben außerhalb der eigenen Infrastruktur wo man solche Fehler publizieren kann und auch Informationen an seine Kunden, an Personen die diese Infrastruktur nutzen, kommunizieren können.

00:29:24: Und das sollte natürlich vorher schon bekannt sein, weil wenn der Inzidenz erstmal da ist habe ich wenig Zeit und Möglichkeiten über so eine neue Kommunikationsplattform mich auszutauschen.

00:29:39: Ja also in diesem Fall wäre status.dänig.com wahrscheinlich die bessere Wahl gewesen, wenn diese Domain denn der Dänig gehören

00:29:46: würde.

00:29:47: Die wäre außerhalb deren DNS Zone gewesen.

00:29:51: Genau und dabei ist es auch noch wichtig dass man aufpasst, dass die DNS, den DNS-Namen der DNS Server, die für eine Zone zuständig sind.

00:30:03: Dass sie auch außerhalb oder zum Teil wenigstens außerhalb der eigenen Infrastruktur liegen.

00:30:09: Beispiel wäre hier ZDF.

00:30:13: zweite deutsche Fernsehen hat zdf.com deren beide DNS Server für zdf.com liegen aber unterhalb von zdf .de.

00:30:22: Das heißt auch die ZDF.com war am fünften Mai nicht erreichbar, weil man die DNS Server nicht erreichen konnte.

00:30:30: D.h.,

00:30:31: die Namen der DNS Server konnten nicht in IP-Adressen aufgelöst werden.

00:30:34: Insofern konnten die Resolver die DNS Servers vom ZDf nicht erreichen und dann ging zdf.com auch nicht.

00:30:41: Da ist es gut dass man sich überlegt ob man vielleicht nichts Die Namen der DNA Server in unterschiedliche Top-Levelumens liegt.

00:30:54: Ich sehe gerade die...

00:30:56: Bei mir gehen da halt die ganzen Fishing Alarmglocken an, also das Nächste ist natürlich dass jemand ankommt und guckst wenn man hier status-dänig.ru sagt doch sie haben gerade ein Problem.

00:31:06: Also wenn die sozusagen anfangen.

00:31:08: Also woher weiß ich denn, dass das Status.Denik.com die die wahre Status-Webseite der DENIK ist?

00:31:15: Gerade bei sowas wie der Denik, wo ich annehmen würde sie haben ihr Zeug unter Punkt E.

00:31:19: Ja es sollte natürlich dann auch DNSSEC signiert sein und das Schöne bei DNSSEc ist da ist bei DNSsec ist mir egal von wo die Daten kommen.

00:31:29: so lange ich sie validieren kann und den die Vertrauenskette zur Ruht verfolgen kann und alles ist korrekt.

00:31:35: dann ist es mir eigentlich egal wer mit die Daten schickt.

00:31:38: Denn wenn sie richtig signiert waren, dann weiß ich.

00:31:41: Sie kommen vom Besitzer der privaten Schlüssel und solange der Besitzer dieser Domäne seine privaten Schlüssel unter eigener Kontrolle hat ist alles gut.

00:31:50: Also ich habe gerade gesehen dass die DENIG tatsächlich DENIK.COM und DENICK.NET auch besitzt.

00:31:57: das ist nur ein bisschen komisch weil die so WHOIS Protection Services nutzen?

00:32:00: Und da stehen sind eingetragen NS-I bis drei Punkt DENIC.DE und NSFIR.DENICK .NET.

00:32:06: Der Nameserver für nsv.dennig.net ist aber auch wieder ns-eins bis drei Punkt denik.de und nnsv.dening.net.

00:32:12: Und, denic.com ist nicht DNS signiert, denics.net isst DNS sex signiert.

00:32:18: also Sie haben da offensichtlich schon mal die Infrastruktur irgendwann mal angefangen und dann hat es aber irgendwie haben sie nicht weiter gemacht weil denic .com hat keinen a entry und denic net hat einen dafür aber keine nmx eintracht.

00:32:34: Also vielleicht kommt da ja zukünftig mal irgendwas, aber über die was sie sich jetzt ins Stammbuch geschrieben haben sprechen wir eh gleich noch.

00:32:43: Du hast gerade eben noch gesagt also angenommen ich habe es irgendwie magisch herausgefunden das ist tatsächlich kein Angriff sondern ein Fehler und ich möchte halt einfach Punkte e antworten wahrnehmen auch wenn die Signatur nicht stimmt.

00:32:58: Was mache ich dann?

00:32:59: Du hast den Negative Trust Anchor, glaube ich genannt.

00:33:01: Ja genau ein Negative Trust Enker ist eine technische Möglichkeit in einem Resolver die DNSSEC-Validierung für einen bestimmten Namensraum auszuschalten.

00:33:11: Das heißt wenn ich hier negative trust anchor für DE eintrage Dann bedeutet das alles unterhalb von de wird nicht mehr DNSSEc validiert.

00:33:19: Das bedeutet die DE Zone nicht aber auch alles was drunter liegt da nicht mehr.

00:33:24: Und das haben dann auch große Resolver wie der von Cloudflare, der Eins Punkt Eins Punkt eins oder Quad Nine.

00:33:32: Die haben das gemacht.

00:33:33: die haben so negative Trust Enker eingetragen in ihren Resolvern um es wieder zu ermöglichen dass die Namen unter DE überhaupt auflösbar waren.

00:33:44: Aber das müssen die jeweils sozusagen autark machen.

00:33:48: also da gibt's keine Möglichkeit irgendwie zu verbreiten?

00:33:53: Es gibt derzeit keine Möglichkeit, das zu verbreiten und das muss jeder, der einen Resolver betreibt, derzeit selber entscheiden.

00:34:00: Da spricht man jetzt darüber ob man da irgendwie ein System machen könnte über eine vertrauenswürdige Stelle dass man die darüber beziehen kann oder auf jeden Fall die Kommunikation openden NTA gesetzt werden darf, sollte das die besser funktioniert.

00:34:20: Das zum Beispiel wenn eine Registrie ein technisches Problem hat dass sie möglichst schnell nach außen kommuniziert ja wohl es ist ein technisches Problem ist kein Angriff.

00:34:29: ihr dürft einen NTA setzen bei den negative trusten kann.

00:34:33: das ist ein internetstandard.

00:34:34: da gibt's einen rfc zu.

00:34:37: Der sollte immer nur temporärer Natur sein.

00:34:40: Das heißt für Betreiber von den es besolvern, die das vielleicht zu Hause auf ihrem Piehole machen.

00:34:47: Wenn dann ein NTA eingetragen wird Dann sollte der nicht für Ewigkeiten da drin bleiben Sondern maximal so lange wie das Problem existiert.

00:34:54: Da haben die Entwickler vom Bind Name Server Die haben das sehr schön geregelt.

00:34:59: Da kann ich nämlich einen Negative Trust Enker Nur eintragen mit einer Ablaufzeit.

00:35:04: Den kann ich maximal für vierundzwanzig Stunden eintragen.

00:35:08: Und wenn ich ihn länger haben möchte, dann muss sich entsprechend alle vierund zwanzig Stunden rangehen und wieder neu eintragen.

00:35:13: Und zusätzlich prüft der Beinserver im Hintergrund immer ob das auf das Problem noch existiert.

00:35:19: Das heißt er sendet periodisch immer mal Anfragen und versucht die DNS-Equalidierung auf den Domainnamen, der den Negativ-Trustdenker hat.

00:35:28: Kriegt er eine Antwort zurück?

00:35:32: Den ist der Qualitiatur also kein Fehler mehr drin ist, dann nimmt er selbstständig den Negativ Trust Enker schon wieder raus.

00:35:41: Aber habe ich da nicht in genau so einem Fall das Problem dass sich eine Eindrittelschance hat?

00:35:45: Dass der den Negative Trust Enkel wieder raus mit.

00:35:50: Das wäre genau hier der Fall gewesen.

00:35:52: Das haben die Entwickler damals wahrscheinlich auch nicht bedacht.

00:35:56: Bei den anderen Resolver bei anbauen und Power DNS Rekurser ist es so, da kann ich auch einen Negativ-Trustdenker einsetzen.

00:36:04: Der bleibt dann aber drin, solange bis ich ihn wieder manuell raus konfiguriere.

00:36:07: Das darf ich halt als Admin nicht vergessen.

00:36:09: Sonst habe ich Dnssec ausgeschaltet und das ist nicht im Sinne der Sicherheit.

00:36:16: Das ist aber sozusagen auch downstream dann offensichtlich?

00:36:20: Also sind es einfach DNS Antworten ohne DnsSec?

00:36:23: Genau!

00:36:25: Heutzutage muss man... Dabei jetzt auch aufpassen denn wenn ich denesig ausschalte, dann.

00:36:33: Mach ich möglicherweise andere protokoll kaputt.

00:36:36: zum beispiel dayn.

00:36:38: bei den werden ja die x-fünfhundert neun Zertifikate auf mail server geprüft mittels hashes im dns egg ein Postfix-Mail-Server zum Beispiel, wenn der Dane Prüfung macht, macht er das nur.

00:36:56: Wenn die sogenannten Telesaregods mit dem Hash auch den Sack signiert waren und validiert werden konnten.

00:37:03: Wenn ich eine Negative Trust Enker setze dann funktioniert Dane nicht mehr.

00:37:08: Und wenn jemand in einer E-Mails Kommunikationsbeziehungen auf seinen Mail Servern konfiguriert hat dass Dane verpflichtend ist also nicht nur optional dann würde die Mail nicht mehr ausgeliefert.

00:37:21: Und jetzt ganz neu und da hattet ihr im Heiseticker letztens eine Meldung, gibt es DNS-Aid das ist AI Discovery.

00:37:30: damit können KI-Agenten andere KI-Agenten finden.

00:37:35: Das heißt zum Beispiel wenn ich meine KI beauftragenden Urlaub zu buchen Dann geht meine KI hin und fragt rum weiß vielleicht Buche gerne bei Firma A und Firma B. Und fragt an, habt ihr eine KI-Schnittstelle?

00:37:53: Wo ich gucken kann, welche Flüge gibt es?

00:37:55: Welche Hotels gibt das?

00:37:56: Wo kann ich die Preise vergleichen

00:37:58: usw.?

00:37:58: Und dieses Schauen ob die Gegenstelle auch einen KI-Agent eine KI Schnittstell hat.

00:38:03: Das geht über DNS, über dieses DNS AI Discovery oder DNS AID.

00:38:09: Der RFC dazu sagt dass die Kommunikation DNS hack gesichert ablaufen muss.

00:38:19: Wenn ich jetzt eine negative Trust Denker setze, in Zukunft wenn dieses DNS-Aid sich vielleicht durchsetzt.

00:38:25: Das wissen wir noch nicht.

00:38:25: aber wenn sich das Durchsetz kann es sein dass Ich auf der einen Seite normales DNS wieder fixe damit und das funktioniert Aber meine KI Agenten kaputt machen und die plötzlich mehr ihre Gegenstellen finden können.

00:38:39: Also das Risiko ist sozusagen Die könnten sogar noch funktionieren, wenn die passenden Sachen noch im Cash rumliegen.

00:38:47: Aber dadurch, dass ich den Negativ-Trust in irgendeine Sätze mache, ich sozusagen mehr kaputt als vorher, schlimmstenfalls zumindest.

00:38:52: Naja,

00:38:52: wenn sie im Cash sind dann ist alles gut weil im Cash wird auch mitgespeichert das es DNA qualitiert wurde.

00:39:01: Wo ist denn das Risiko?

00:39:04: Wenn DNS gerade ausgefallen ist, dann ist ja eh kaputt und wenn ich dann da kann nicht mit dem NTA halt Ein paar Sachen vielleicht wieder beheben und die anderen Sachen, die damit nicht zufrieden sind weil sie DNA-Stick brauchen.

00:39:17: Die sind ja eh kaputt oder?

00:39:18: Ja okay also ich habe zumindest keinen erhöhtes, kein zusätzliches Ausfallrisiko dann oder so.

00:39:27: Man sieht ja an diesem fünften Mai wieder wie zentral dieses ganze Auflösungsgedöns ist und ich hab mir tatsächlich auch mal wieder in den späten neunzigenden Rostseintrag gemacht Weil ich nicht ab Schreibtisch gesessen habe, sondern in der Werkstatt brauchte aber immer mal wieder so ein How-to.

00:39:44: Dass ich im Internet abgerufen hab und dann hab' ich mir einfach... also nicht in den Hosts, sondern bei meinem Pie-Hol die IP-Adresse, die noch gekächt war eingetragen.

00:39:52: Damit ich wenigstens da weitermachen würde weil alles andere wäre eh kaputt gewesen.

00:39:56: Das wär ganz schlimm geworden hätte ich einen Buch lesen müssen am Abend.

00:39:59: Und das wollen wir ja eigentlich alle vermeiden.

00:40:02: Vielleicht sprich

00:40:03: für dich selbst

00:40:06: Vielleicht schauen wir mal Das DENIC hat ja sicherlich viel gelernt.

00:40:11: Lernen durch Schmerzen ist das geflügelte Wort und hier wurde wieder netzweit durch schmerzen gelernt, ich habe selber in meiner vorherigen Tätigkeit auch das mit dieser netztopologisch getrennten Statusseite durch Scherzen gelernt.

00:40:25: die DENIK-Statusseite ist übrigens bei CloudFront gerostet also auch außerhalb des souveränen EU Internet vermutlich und es ist dann dementsprechend wahrscheinlich fast vollständig unabhängig.

00:40:38: aber Was kommt denn da jetzt noch bei raus?

00:40:41: Also was können Sie denn jetzt noch oder wollen sie dann jetzt noch besser machen, wie wollen Sie die Resilienz erhöhen oder vielleicht auch Auswirkungen wenn möglich mindern.

00:40:54: Ja es gab auf der Dennis Orag in Edinburgh vor ein paar Tagen einen kleinen Imprompto-Vortrag von Peter Koch von der DENIC und dort hat er auf der letzten Folie werden mal die Schleiz verlinken in den Shownots.

00:41:12: Da hat er geschrieben, dass die DENICK jetzt die Qualitätssicherung und die Tests und Alarms und Rollbacks nochmal prüfen wird besser machen wird und auch die Abhängigkeiten zu anderen Systemen noch einmal überprüfen wird das möglicherweise halt auch über die Statusseite Und dass sie sich überlegen, auch mit der Community allgemein.

00:41:34: Wie kann man besser kommunizieren?

00:41:36: Wie können wir den aktuellen Status nach außen kommunizierend noch so sicher kommuniziert werden?

00:41:41: Dass es bei einem Ausfall einer wichtigen Infrastruktur wie eine Top-Level Domainzone trotzdem möglich ist das noch abzufragen und dass man sich auch sicher sein kann als derjenige, der es liest, dass es jetzt wirklich von der Dänik kommt und Informationen sollte ein NTA gesetzt werden, ja oder nein.

00:42:01: Dass das auch schnell kommuniziert wird.

00:42:04: Ich denke mal bei all dem was jetzt passiert ist hat es doch etwas Gutes gehabt dass in der DNS Community nicht nur bei der DENIC etliche neue Fehler Situationen sichtbar geworden sind und man jetzt darüber diskutiert wie man das in der Zukunft vermeidet.

00:42:26: Du hast ja im Vorgespräch ein bisschen angekündigt, dass es in der Zukunft ein Ereignis gibt für das solche Lehren vielleicht sehr wichtig wären oder andersrum bei dem es nochmal deutlich schlimmer wäre wenn was passieren würde.

00:42:43: Wovon können wir uns denn?

00:42:44: Also wann kann ich mein nächstes Buch lesen?

00:42:46: Fragen wir mal so rum!

00:42:48: Ja also ihr solltet euch am elften Oktober diesen Jahres um... Das ist ja achtzehn Uhr.

00:42:54: Unsere Zeit wird das sein.

00:42:59: Der oberste Schlüssel der Ruhtzone wird getauscht.

00:43:03: Das Gleiche, was die DENEC im Mai vorgehabt hat, wird dann noch mal auf globaler Ebene gemacht.

00:43:10: Das ist zum zweiten Mal, dass es passiert.

00:43:13: Im Jahre Jahr zwei Tausendzehn wurde die Ruhtzone zum ersten Mal signiert.

00:43:19: Das war noch unproblematisch, weil da hat es ja noch keiner benutzt gehabt.

00:43:22: Im Jahr zwei Tausend achtzehn war der erste Roll.

00:43:26: Das ist einigermaßen gut gelaufen.

00:43:29: Das war sehr spannend, weil das bisher noch niemand gemacht hatte und wir hatten alle ein bisschen Schweißperlen auf der Stirn an dem Tag.

00:43:35: aber es hat alles geklappt und am elften Oktober wird das jetzt zum zweiten Mal passieren.

00:43:42: was dabei kritisch ist dass der entsprechende öffentliche Schlüssel zu diesen neuen Schlüssel der Hutzone, der steckt in allen denes Resolvern drin.

00:43:53: Also in das Software selber ist er einkompiliert und einigen Betriebssystemen ist da auch drin.

00:43:59: Und wenn es so einen Roll gibt dann muss der vorher ausgetauscht worden sein.

00:44:05: Der neue Schlüssel, der existiert schon seit und wird auch seit den Software-Updates verteilt.

00:44:13: Das heißt, wer in den letzten zwei Jahren seinen DNS Resolver irgendwann mal mit einem Update aktualisiert hat sollte die noch jetzt schon haben?

00:44:23: Und Telemetriedaten sagen auch aus dass über neunzig Prozent aller Resolvers auf der Welt schon diesen neuen Schlüssel haben.

00:44:31: Denn im Jahr zwei tausend achtzehn hatte man diese Telemetridate noch nicht.

00:44:39: der neuen Schlüssel an die Resolver.

00:44:41: Man musste im Grunde den Rollover blind machen und man hat sich dann überlegt, wir bauen vielleicht in alle Resolvers eine Funktion ein, dass die Resoler in periodischen Abständen einfach an die Routeserver zurückmelden welchen Vertrauensanker für die Rutschwunde sie denn besitzen?

00:44:58: Das hat man seitdem gemacht und diese Telemetriedaten sagen jetzt aus das weit über neunzig Prozent aller Resolvern das schon haben davon.

00:45:07: Deswegen gehe ich eigentlich davon aus, dass es auch klappen wird.

00:45:10: Nur wer irgendwo im Stellen Camerlein in Raspberry Pi hat mit einem Pi-Hol, was er seit zwei Jahren nicht angefasst hat, der sollte vielleicht mal ein Update durchführen und

00:45:19: sich danach fragen warum er diesen Podcast hört?

00:45:23: Das auch

00:45:24: oder ihn vielleicht häufiger hören?

00:45:25: das könnte man vielleicht auch so argumentieren.

00:45:28: Ja aber spannend ist trotzdem wenn sowas passiert denn wenn das schief geht dann dürfen wir uns alle für den Abend oder so was anderes vornehmen.

00:45:41: Bis auf die Leute, die es reparieren müssen.

00:45:42: aber das sind ja zum Glück nicht wir.

00:45:45: Aber okay also die Ersthilfe-Maßnahme wäre dann ähnlich wie in diesem Fall von der Dänik dass man sozusagen einfach auf den alten Schlüssel zurückwechselt weil der noch vorhanden und gültig ist?

00:45:58: Ja genau!

00:45:59: Das wird man da noch

00:46:00: machen.

00:46:01: Wie ist das denn... Das wird offensichtlich immer so gemacht, dass die diese Schlüssel überlappend sind.

00:46:08: Aber jetzt zum Beispiel der alte Dänik-Schlüssel?

00:46:10: Wird er irgendwann ungültig?

00:46:11: Wie ist das geregelt?

00:46:13: Nee, da wird nicht ungületig hier.

00:46:15: Dänisecks Schlüssel haben keine Ablaufzeiten, sondern... ...die Betreiber, die entscheiden wann ein Schlüssel ausgetauscht wird und solange man ihn nicht physisch gelöscht hat kann man auch immer wieder zurückgehen.

00:46:29: Ja, und es muss sozusagen nur im System hinterlegen Welche der aktuelle ist sozusagen?

00:46:33: Ja, genau.

00:46:33: Und wenn es ... Und bei Vocation

00:46:35: oder so was gibt's ja für DNS-Sech auch nicht.

00:46:38: Also dieser Mechanismus wie in der X-Five und neun PKI, der existiert einfach nicht.

00:46:41: Ja doch, gibt das schon!

00:46:43: Ich kann den Schlüssel revoke'n und dann wird er wieder publiziert mit nem Flagg, der sagt die sei ich jetzt revoked.

00:46:50: Wird selten gemacht.

00:46:53: Und auch selte für die Ruhtzone nämlich an also noch seltener.

00:46:58: Wie ist denn... Also vielleicht nochmal so bevor wir Das Thema schließen nochmal so ein bisschen anecdotisch.

00:47:06: Wie stelle ich mir denn eigentlich das Sicherheitsniveau für diese ganzen Key-Signing-Key vor?

00:47:11: Also die sind ja schon sehr instrumental, also wenn die in falsche Hände geraten, das wäre nicht so richtig gut!

00:47:19: Ich weiß es gibt diese Key-signing-Ceremonie – das ist auch glaube ich DNS-Sec und wo die Leute dann alle um einen Tisch sitzen und das wird gefilmt und dann stehen sie auf und unterschreiten die Schlüsse.

00:47:30: aber Wo wohnt denn so dieser KSK für die Ruhtzone?

00:47:35: auf einem HSM?

00:47:36: Nämlich an irgendwo in Virginia oder in den USA ist der

00:47:40: nur noch bestimmten

00:47:41: Land, also es ist ja nur ein USA.

00:47:43: Oder wie stelle ich mir das vor?

00:47:45: Der ist nur in den usa soweit Ich weiß in zwei rechenzentren einmal westküste einmal ausküsten Da eine.

00:47:52: der ist auch offline.

00:47:53: der ist also nicht in dem rechner oder so sondern der liegt irgendwo im trisor und der sowas in bunker.

00:47:59: Und der wird nur rausgeholt, einmal bei dieser Key-Signing-Seremonie um den Sohnsigning-Key zu signieren und dann wird er wieder eingeschlossen.

00:48:09: Das heißt, er ist gar nicht online erreichbar und es gibt eine ausgewählte Gruppe von Menschen die aus der DNS Community kommen, die jetzt nicht nur Amerikaner sind sondern wirklich sehr international, die fliegen zu dieser Seremoni in die USA gehen in den Bunker, von dem man nicht genau weiß wo der ist Und das Ganze wird dann gefilmt und live gestreamt, aber wenn man sich das angucken möchte.

00:48:35: Dann wird er rausgeholt aus dem Safe... Damit wird der Sohn seinen Kiel unterschrieben und wieder weggeschlossen.

00:48:46: Dann geht es weiter mit dem Sohn einen Kiel.

00:48:48: Der wird dann publiziert!

00:48:50: Ganz interessant, ich geb ja hin und wieder mal Schulungen.

00:48:53: Und ich hatte vor Jahren mal eine Schulung und hab dann den Teilnehmern gesagt hey heute Nacht wenn ihr nicht schlafen könnt ist wieder so ne Key-Seremonie.

00:49:03: Könnt ihr doch auf YouTube gehen oder sich den Livestream angucken?

00:49:06: Und am nächsten Morgen... Ich hatte es mir nicht angeguckt war dann ein Teilnehmer der Schulung der wirklich sich das angetan hat und den ganzen Nacht backgeblieben ist.

00:49:14: Der fragte mich dann Karsten ist das denn normal dass die den Safe aufflexen Und ich sage nein, das ist sicherlich nicht normal.

00:49:24: Aber da ist es wohl passiert, dass aus irgendwelchen Gründen entweder der echte Schlüssel zu dem Safe abhandgekommen war oder wer funktionierte nicht und dann gab es wirklich eine Documentated Prozedur und es gab einen Flex in dem Raum und dann hat man den Safe aufgeflext und das dann gefilmt und gestreamt.

00:49:44: Ja also

00:49:45: wir haben ja schon mehrfach heute das wort flex gehört aber da ging es ja irgendwie eher so kleine markierung an irgendwelchen dns antworten und nicht um das gerät von der gleichnamigen firma.

00:49:54: Das ist ja schon auch sehr drollig, wir haben in den show notes in den shown aus habe ich die link hinterlegt zu der übersichtseite bei der iana wobei ich nicht glaube dass da das Flexen extra markiert.

00:50:08: Das hier steht zwar, da werden auch HSMs zerstört aber weißt du noch wann das war?

00:50:13: Hattest du das gesagt schon?

00:50:15: Ja es ist ein paar Jahre her ich weiß es nicht mehr genau.

00:50:19: Vielleicht ist ja der eine oder andere Hörer vielleicht ist heute langweilig genug beim nächsten DNS-Ausfall wobei dann kommt ihr auch nicht dran um das nochmal einmal nachzuschauen und dass eine komplette Übersicht aller Key Signing Ceremonies.

00:50:33: Aber ich muss sagen, ich bin also seltsam sozusagen positiv überrascht davon dass das auch vom Plan abgedeckt war und deswegen gibt es in dem Raum eine Flex oder so.

00:50:47: Das finde ich sehr rund um gedacht.

00:50:54: Vielleicht

00:50:54: zum Abschluss noch nachdem das jetzt aufgetreten ist gab's natürlich auch wieder Kommentare Ein weiterer DNSsec-Fehler und das DNSsec einen nicht wirklich durchgedachte Technologie wäre, zu unsicher wäre usw.

00:51:15: Da würde ich aber sagen es war jetzt kein Problem des DNSsec Protokolls selber sondern wo es einfach lag bei der DENIC in den Prozeduren oder in der Software.

00:51:25: Und auch nichts zu vergessen dass vor der Einführung von DNSSEC schon mal was Ähnliches passiert ist.

00:51:33: Da gab's mal die Situation, dass das DINX-System auch die DEzone falsch rausexportiert hatte.

00:51:43: Da hab ich den Newsticker von der Zeit damals, das war halt noch vor der Einführung von DNSsec rausgesucht und den können wir auch mal in die Schonholz packen.

00:51:52: Also sowas gab es vor DNSsec

00:51:56: Ja!

00:51:56: Und ich mein letztendlich ist euch... Ich habe vorhin auch so ein bisschen Flapsig gesagt, dass einem DNSsec auf die Füße fällt Es ist ja eigentlich ein kleiner Preis, zu sagen alle Jubeljahre habe ich mal für drei Stunden Probleme bei der Namensauflösung und dafür hab' ich ansonsten immer immer immer diese Auflösung halt gesichert.

00:52:14: Das ist ein kleiner Preis.

00:52:17: es fällt halt nur so nicht auf weil wenn alles funktioniert dann denkt man sich ja ist ja nix dabei.

00:52:22: aber das ist ja also der Punkt dass alles so funktioniert und nicht leicht gefälscht werden kann.

00:52:27: Ja wir gehen ja auch nicht jedes Mal wenn wir mit SSH ein Problem haben sofort wieder auf Daniel zurück.

00:52:31: Genau, das ist glaube ich ein gutes Beispiel.

00:52:35: Oh naja also wenn wir... Ach nee ich mach keinen...

00:52:38: Ja wir wissen auch von Leuten die auf Telnick zurückgehen aber das machen wir jetzt nicht.

00:52:44: Joa dann haben wir das ja jetzt noch ein bisschen nachbesprochen und wenn ihr jetzt gleich noch lange Weile habt nach dem Fertighörer dann könnt ihr euch ganz viele DNSSEC KSK Ceremonies angucken.

00:52:55: Ich hab' noch mal nachgeschaut dass muss die am fünftzehnten Februar zwanzigzwanzig gewesen sein.

00:52:59: da klemmte wohl irgendwie der Schließmechanismus.

00:53:02: Vielleicht ist das auf dem Video auch noch zu sehen, könnt ihr ja mal reinschauen.

00:53:06: Das war erstmal das Thema Denik versus DNS-Sech und vielen Dank dass du uns das nochmal erklärt hast Karsten.

00:53:13: Vielen Dank für deine Teilnahme!

00:53:15: Und joa vielleicht bis ein andern Mal wenn hoffentlich nichts kaputt ist aber wenn wir vielleicht nochmal bisschen mehr im Detail über einige spannende DNS und DNS-Sec Themen sprechen.

00:53:25: und

00:53:26: Joa

00:53:27: dann bis bald!

00:53:29: Danke dir!

00:53:29: Ja danke

00:53:30: euch, bis

00:53:30: bald, danke dir So, weiter geht's.

00:53:34: Es könnte sein dass ihr das merkt weil ich leider jetzt in eine leicht andere Aufnahmesituation hab.

00:53:39: Wir haben nämlich diese Folge in zwei Teilen aufnehmen müssen damit wir das Termin nicht mit Karsten hinkriegen und es hat aber den Vorteil dass wir jetzt gleich sozusagen live in die Folge ein Feedback von Karsten einbauen können obwohl er uns erst nach seiner Aufnahme mitgegeben hat und zwar der Sorge er könnte so missverstanden werden Auch die invalide Antwort für die Time to Live des angefragten DNS Records gecached wird.

00:54:09: Und das ist nicht so und es wäre auch nicht sinnvoll, weil man ja wenn der nicht valide ist den empfangenen Daten nicht trauen kann inklusive der angeblichen Time to live.

00:54:21: was deswegen de facto gemacht hat ist dass diese invalidierte Anfrage für eine Time to Life gecached wird, die von der DNS-Implimentation abhängt.

00:54:30: Also nicht von dem was in dem DNS-Record steht.

00:54:33: Laut RFC soll diese TTL fünf Minuten nicht übersteigen.

00:54:39: Empfohlen wird sozusagen dass man damit sehr kleinen TTL Werten anfängt und so ein invalidierantwort nur eine Sekunde im Cash hält Und bei jedem Validierungsfehler also bei ihm folgenden Validierung Fehler wenn das Problem immer noch besteht diese Zeit dann exponentiell hochschraubt, bis eben auf maximal fünf Minuten.

00:54:58: So dass hoffentlich so eine invalide Anfrage dann auch nur fünf Minuten einen Cash blockieren sollte wenn man das Problem behoben hat und sozusagen dann wieder valide Anfragen vom DNS Server zurückkommen.

00:55:09: So viel dazu, das hatten wir auch noch nicht, dass sie sozusagen schon in der Folge Sachen korrigieren die wir danach erfahren haben.

00:55:15: Ja also ja, wir haben schon mal zwischen Aufnahme- und Veröffentlichung Ich habe schon mal etwas neu eingesprochen, was misslungen war.

00:55:25: Aber das ist unheimlich selten.

00:55:26: also wir schneiden hier wirklich ja sehr wenig.

00:55:30: Wir hatten allerdings auch und ich hoffe dass wir das technisch gelöst kriegen bis zur Veröffentlichung leichte Tonprobleme bei dem Stück mit Karsten.

00:55:39: Es gab dann in einer Audiospuhr ein bisschen einen Knacken.

00:55:42: Wir hoffen dass wir jetzt für den restlichen Teil auf jeden Fall Eliminiert haben Und dann auch möglicherweise mit technischen Mitteln am Anfang in der ersten Stunde mit Carsten gelöst kriegen.

00:55:55: Also idealerweise merkt ihr überhaupt keine Tonprobleme oder Tonqualitätsunterschiede in dieser Aufnahme, falls doch bitten wir um Entschuldigung?

00:56:03: Ich glaube meine Stimme klingt jetzt wieder normal die Klangen bei der Aufnahme mit Carston noch ein wenig heiser weil ich am Wochenende viel laut sprechen musste.

00:56:13: So!

00:56:14: Jetzt haben wir den Nachtrag zur zu Carstens DNS-Sack Geschichte Auf jeden Fall abgedeckt, was wir auch ja nicht am Anfang der Folge gemacht haben.

00:56:22: Weil wir direkt reingesprungen sind mit Karsten zusammen war das Feedback.

00:56:27: da haben wir jetzt eine Sache rausgesucht

00:56:30: die

00:56:31: uns zwei Hörer geschrieben haben und zwar auf Mastodon Der Heinrich und Thomas Per E-Mail.

00:56:36: Die hatten beide noch ne Verständnisfrage zu der Fails-Fiebel von DigiCert Mit ihren Co-Signing-Zertifikaten Und zwar zu diesem Modus Operandi Du diesen USB-Key kriegst und das dann da irgendwas generiert wird.

00:56:50: Und dann kriegste du, überträgst du irgendetwas zu Digitzert und kriegts'n da diesen Validierungscode und den gibst du in irgendeinem Software ein.

00:56:57: Also um das klarzustellen der Private Key für dieses Code Signing Certificat verlässt nie dieses Hardware Token.

00:57:07: Das ist auch so wie ich die Veränderung in den baseline requirements verstanden habe.

00:57:14: Licht für Code Sining Certificate ist daran begründet, dass diese Private Keys, wenn die halt irgendwo beim Developer im Home-Deal liegen oder sogar auf irgendeinem CI CD Maschine rumfliegen und so was dann gerne mal geklaut werden.

00:57:25: Und dann kann man damit natürlich zusammen mit dem Crowd-Signing-Zertifikat Software signieren.

00:57:30: das gibt es nicht mehr.

00:57:32: Ich hatte es glaube ich in der Folge gesagt, ich glaub seit Jahr zwanzig oder vierundzwanzig sind diese Tokenspflichten und da drauf wird ein paar aus einem Private Key und einen CSR generiert also eine Certificate Signing Request oder ähnlich.

00:57:45: Da wird dann hinterher übertragen wird, aber nur dieser CSR.

00:57:49: Der Private Key bleibt auf dem Device und der wird auch nicht an die Zertübertragung dort auch nicht gespeichert.

00:57:54: Das ist ganz, ganz böse Schlimm verboten.

00:57:57: also ich weiß es noch aus meiner früheren Tätigkeit da gab's schon mal öfter so Spezialisten die bei uns ein TLS-Zertifikat bestellt haben gesagt haben hier ist der CSR und der Private Key.

00:58:07: Da kam immer sofort die Antwort von uns, dann könnt ihr das beide jetzt bitte über wegschmeißen und bitte nochmal neu machen.

00:58:13: Und diesmal bitte nur den CSR an uns mailen.

00:58:15: im Ticketsystem möchten wir keine Private Keys speichern dürfen wir auch nicht.

00:58:18: also Die Idee ist eben in dass die Angreifer ihr eigenes Hardwaretoken hatten und dieses Hardware-Token und diese Software von DigiCert hatten und dann im Grunde darauf ihren eigenen Private Key Generiert haben und damit dieses Zertifikat abholen konnten weil sie diesen Aktivierungscode hatten.

00:58:36: Das war der Trick und das war der Angriff.

00:58:39: Private keys verlassen nie das Token, das nochmal zur Klarstellung.

00:58:43: So!

00:58:45: Und jetzt für etwas völlig anderem.

00:58:46: wieder zurück zum ursprünglichen Thema des Beginns unserer Folge glaube ich oder?

00:58:51: sozusagen also wir kommen zu einem... Wir kommen wieder zu DNS-Problemen allerdings diesmal organisatorischer Art ist trotzdem ein bisschen schade dass Karsten nicht dabei sein kann aber es ist eine Geschichte die Die ich jetzt schon länger hier sozusagen auf der Tasche liegen habe und die.

00:59:08: Ich jetzt einfach mal bringen will, wenn sich dann doch noch mal weiß ich scheinbar nichts mehr tut aber wenn sie dann doch nochmal was tut Dann greifen wir es eventuell nochmal auf.

00:59:16: wie gesagt in.

00:59:17: die liegt seit Mitte April rum Und es geht um das das Krypto Universum.

00:59:22: nicht dass das gute Kryptos sondern das fragwürdige Kryptor.

00:59:25: also es geht im Blockchain und Konsorten.

00:59:27: Krypton ist ein Wertverlust

00:59:30: Ja, oder Gewinn je nachdem.

00:59:31: Ich wünsche euch ja nix.

00:59:32: Im Moment eher Verlust glaube ich.

00:59:36: Jedenfalls geht es um die KAU-DAO also KAU wie DQ und DAO wie Decentralized Autonomous Organization.

00:59:43: Wir haben da in Folge Achtdreißig habe ich mit Jan Mahn über Smart Contracts gerätet auch so ein bisschen darüber geredet was nicht DAO ist.

00:59:50: wenn ich mich recht entsinne Spielt hier keine große Rolle, ist halt so ein Web-Drei Blockchain Dienst.

01:00:00: Das wissen wir in der Selbstbeschreibung.

01:00:11: Ich lasse das mal unkommentiert.

01:00:13: Jedenfalls betreibt diese DAO eine Website unter den Domain Finance, get it.

01:00:23: Aber eigentlich ist Punkt FE halt Finnland und das bedeutet dass die Traffi-Kom, die finnische Transportekommunikationsbehörde für Dot FE zuständig ist.

01:00:33: Die sind die Registry genauso wie die DENIC für Punkt DE was wir vorhin mit Carsten besprochen hatten.

01:00:40: Und das ist die Registrie der Registrarer Und zwar laut COW-DHO, weil ihr DNS Anbieter, das ist AVS Route fifty three.

01:00:56: Das so vorsieht.

01:00:58: Ich habe da kurz reingeguckt also kann die es tatsächlich irgendwie einer von vier Registaren oder so den AVS Chamber erlaubt oder zumindest per Default irgendwie vorsieht?

01:01:08: Ich muss jetzt einen Kaviat vorne darstellen, weil ein Grund, warum ich mit dieser Story länger gewartet hab, ist sich hätte die gerne sozusagen besser belegt.

01:01:17: Habe ich aber nicht geschafft.

01:01:19: was ihr jetzt hört, ist im Wesentlichen die Sicht von ca.fi oder halt von der ca.drao und zum Teil ist es eben etwas DI über trafikon sagt und zum teil ist es was kaufei sagt das trafikom über gandhi sagt.

01:01:38: insofern nehmt das mit mehr als einer priese salz des problemes hat.

01:01:42: ich habe natürlich traficom angefragt und nicht abgandy angefragt Und Traficom wollte mir fast nix sagen.

01:01:49: Sie haben immerhin reagiert und mir ein bisschen was gesagt, dazu komme ich gleich.

01:01:53: Und Gandhi hat nicht mal geantwortet wenn man davon absieht dass die von ihnen für Kontakte verlinkte Mail Adresse nicht existiert und nicht deswegen einen Mail Server Fehler bekommen habe.

01:02:07: Die verlinkte Adresse ist aber auch nicht die Adresse, die sichtbar auf der Webseite steht.

01:02:12: Also es spricht schon sehr für einen Registrar wenn er irgendwie nicht versteht wie links im Internet funktionieren und wie man Web-Email-Adressen schlauerweise angebt oder so.

01:02:23: Ich habe jedenfalls an beide Mailadressen geschrieben, die andere war auch die, die sinnvoll aussieht das war MarketingEd, die hat einfach gar nicht reagiert.

01:02:32: Naja, also worum geht es?

01:02:34: Es gibt so ein Report von der Kau DRO.

01:02:38: Die hatten im vierzehnten April einen Vorfall und zwar hat sich offenbar jemand bei Traficom gemeldet mit gefälschten Ausweisdokumenten... ...und er scheint behauptet zu haben, er sei der Besitzer vom Kautot-Fai.

01:02:50: Der Trafico sagt niemand hat ihn gegenüber einen Anspruch auf die Domänen Kautottei erhoben.

01:02:57: Das muss man jetzt vielleicht ein bisschen vorsichtig fädeln.

01:03:00: was jedenfalls ist Dass?

01:03:02: diese Person, ob sie jetzt einen Anspruch auf die Domain behauptet hat oder nicht gesagt hat.

01:03:07: Sie würden gerne ihre Domain von Gandhi wegtransferieren zu einem anderen Registrar und der Registar würde sich Weigern einen dafür nötigen, also Gandhi würde sich WEIGERN einen dafür Nötigen Transfer Key zu erstellen.

01:03:21: Das bestellt die Trafik auch.

01:03:22: Also sie sagt questions have been raised whether the registrar has fulfilled its obligations Inhandling a request to provide a registered transfer key to a requester.

01:03:34: Das braucht man, damit man halt nicht einfach an irgendein anderen Registrar hingehen kann und sagen kann gib mir mal diese Domäne oder so nach da muss halt der Registar bei dem Domain aktuell ist in einem Transfer Key erstellen.

01:03:45: Und jetzt hat dieser Person behauptet Der Registral würde sich weigern.

01:03:49: daraufhin hat sich Traficom halt ein Gandhi gewendet gesagt was ist da los?

01:03:54: Und eine Frist bis zum siebten vierten gesetzt, also das ist jetzt sozusagen alles noch vor Vorlauf.

01:04:02: Gandhi hat nicht reagiert, sagt Traficom, sagt ... traficom hat mir gegenübergesagt sie wollen sich zu dem aktuellen, also zu diesem spezifischen Fall oder jedem spezificent Fall nicht weiter äußern.

01:04:17: insofern kann ich das nicht belegen aber es zumindest plausible.

01:04:23: und dann hat irgendwie und das ist halt auch sehr Der Angreif ist geschafft, die Kontakt-Mailadresse für Anfragen zu dieser Domain zu ändern.

01:04:35: Bei Gandhi oder via Gandhi das ist Trafikum.

01:04:38: ganz wichtig dass sie damit nichts zu tun haben.

01:04:41: also da hat sozusagen nicht jemand Trafikon ein Ohr abgequatscht bis sie die Mail Adresse geändert haben sondern es lief irgendwie via Gandhi.

01:04:51: Das sagt auch Kau die Kaudiao, sie sagen Sie wissen nicht wie es sein konnte dass Gandhi sozusagen diese hinterlegte Mail Adresse ändert ohne das sozusagen jemand von Kaudi Aodes de facto beauftragt hat.

01:05:04: Jedenfalls war da jetzt eine neue Mail Adress hinterlegt nämlich die des Angreifers und nun hat er einfach das benutzt um einen Transferkey zu erstellen was er vorher vermutlich gar nicht angefragt hatte.

01:05:15: na und was halt dann die ganz normal gemacht hat.

01:05:17: und mit diesem Transferkey hat er dann seinen Domain auf einem anderen Registrar umgezogen.

01:05:22: Damit hatte er dann Kontrolle drüber gehabt, konnte die Nameserver von AWS wegziehen zu Cloudflare.

01:05:28: Aber spielt keine Rolle, es geht darum dass sie von AWS kommen.

01:05:31: Konnte sich ein Zertifikat für die Domain besorgen weil er ja Kontrolle über den Domain hatte und konnte unter der Domain eine Fishingseite ausliefern.

01:05:38: Die halt so aussah wie die originale Cow.Fi-Seite.

01:05:41: nur das sie versucht hat Leute dazu bringen ihre Wolle zu verknüpfen oder dann später irgendwie sich verändert hat Leute dazu zu bringen, dass sie sieht Phrases und Passwörter ihre Wolle eingeben.

01:05:51: Also ein klassisches Blockchain Fishing.

01:05:54: Die wollten halt die Wallets der leute ausräumen.

01:05:57: Ein Aspekt an dieser Sache ist sehr unangenehm ist und das ist auch eine der Gründe warum ich das erzähle weil man es halt auf dem Schirm haben muss ne?

01:06:06: Die Kauder O-Leute hat große Probleme in der Kommunikation oder Krisenmanagement.

01:06:12: zu diesem Vorfall.

01:06:14: Ihre normalen Mail-Adressen alle adcau.fi sind und genau adcao.fi hatten sie keine Kontrolle mehr drüber, das heißt die üblichen Mail-Addressen haben nicht mehr funktioniert.

01:06:23: Das heißt Sie hatten zwar intern halt andere Kommunikationswege aber sie mussten jetzt eben den Registrar und die Registry kontaktieren von irgendwelchen anderen Addressen was natürlich bei denen dann erstmal die anderen Glocken angehen lässt.

01:06:37: wer seid ihr überhaupt?

01:06:39: Und was also?

01:06:40: was einfach Erklärungen und Zeit gefressen hat.

01:06:44: Und Kaudia beschwert sich auch sehr lautstark darüber, dass wieder trafekommen noch.

01:06:50: Gandhi eine vierundzwanzig stundenbesetzte abuse hotline hätten und das sie auch keine notfallkontakte Hätten die sinnvoll reagieren würden.

01:07:03: Das kann ich zumindest.

01:07:04: also ich habe keine Habt nicht nach Notfall Kontakten gesucht.

01:07:07: Ich hab die normalen kontakte kontaktiert kann zumindest für gandhi bestätigen.

01:07:11: Die haben bei mir auch nicht reagiert.

01:07:14: Jetzt hat Christopher mir hier live noch eingeschrieben was für einen Schaden dabei entstanden ist, weil ich das interessiert.

01:07:18: Also die konnten dann halt für eine Weile so lange die Angriffe diese Domain und ihre Kontrolle hatten.

01:07:24: Da versuchen zu fischen und hatten scheinbar bei diversen Leuten Erfolg und konnten also Blockchain Token im damaligen Gegenwert von US Dollar abziehen darunter angeblich ein einzelnes Opfer... dem twohundert neunzehn ifa abhanden gekommen sind also nicht ganz eine halbe million dollar.

01:07:51: was haben sie da?

01:07:52: was hat die kaudia aus dieser sache gelernt?

01:07:54: naja so ein bisschen dass sie vielleicht zu einem anderen registrar sollten ist zumindest meine meinung.

01:08:01: sie haben jetzt einen regis tree lock gesetzt.

01:08:04: auch der kleines caviar.

01:08:05: das gibt registrar locks und es gibt regis trelocks jetzt.

01:08:09: was sie vorher nicht hatten war ein registry lock.

01:08:12: hatten sie vorher nicht, weil das angeblich nicht via Route-Fifty-Three ging.

01:08:18: Aber der Effekt von so einem Registry Lock ist halt dass ein anderer Registrar oder ein Registar jetzt nicht einfach Kontaktinfos oder Nameserver und so weiter ändern kann sowie es hier passiert ist ohne dass die Registry sagt Moment dafür brauchen wir eine separate Verifizierung.

01:08:37: ob das in so einem Fall hilft hängt er davon ab ob man diese separate Verifizierung bei der Registry, also in diesem Fall bei Traficom nicht hinkriegt als Angreifer.

01:08:48: und jetzt in diesem fall hat der angreifer angeblich mit gefälschten Ausweistokumenten gearbeitet.

01:08:53: Das könnte natürlich gut sein dass eine Registry dann auch solchen gewälschte Aussage Dokumenten irgendwie Glauben schenkt und dann auch so ein Registry Lock eben deaktiviert.

01:09:05: das ist natürlich nicht ganz einfach wenn jemand Da will.

01:09:09: es ist ausreichend Gewieftokumente zu fälschen.

01:09:13: Eigentlich wollte Kaufei diesen Artikel nochmal vervollständigen, wenn sie mehr von Gandhi wissen also insbesondere wie Gandhi dazu sein konnte dass über Gandhi diese Kontaktadresse geändert wurde.

01:09:24: das ist jetzt wochenlang nicht passiert.

01:09:27: An Trafi kommen wollte sich wohl auch noch mal mit Gandhi Kontakt aufnehmen und sagen was ist denn hier eigentlich los?

01:09:33: ich habe von Trafi kommt aber auch keinen Reporter zu mir gehört wollte es jetzt aber die Geschichte nicht noch weiter liegen lassen, damit sie nicht völlig veraltet.

01:09:41: Wenn sich da mal was tut, bringe ich's nochmal auf!

01:09:44: Ich habe sie hier vor allem aufgebracht weil das ist glaube ich etwas, was auch außerhalb von diesem ganzen Defi und Web Three Universum ganz zentral ist.

01:09:53: Oft isst die Domain so einen Single Point of Failure und wenn der wegkommt hat man nicht nur in Haufen Probleme sondern man hat auch noch seine üblichen Kommunikationswege um Probleme anzugehen kompromittiert, weil halt zum Beispiel die Mails oder irgendwelche anderen Accounts auch über diese Domain laufen.

01:10:12: Das heißt geht mal in euch überlegt sozusagen wie aufgeschwissen wäre ihr wenn aufgrund von irgendeinem Fehler ihr auch nur temporär nicht über eure Domain verfügt?

01:10:21: Wie würdet ihr sozusagen in so einem Fall dann vorgehen können um diesen Fehler zu beheben?

01:10:28: und solltet ihr vielleicht auch euch mal angucken, ob es ein Registry-Log eine gute Idee war.

01:10:34: Und geht vielleicht auch in euch... Also ich möchte das Trafikkommen hier nix anlasten.

01:10:40: und dort FI ist ja sozusagen einfach die reguläre finnische TLD, sie ist aber eigentlich für Sachen mit Findernbezug dass diese ganze Finanzkram diese Sachen hat weil das halt irgendwie ganz lustig sich reimt.

01:10:53: Ist ja auch bei vielen anderen Domains der Fall und ist es das wert sich da an irgend eine Registry zu binden, die vielleicht in irgendeinem komischen Land sitzt wo man keine gute Handhabe hat.

01:11:10: Nur für so einen flachen Witz weiß ich nicht solltet ihr euch überlegen.

01:11:15: und das andere ist ihr solltest euch halt gut überlegen welchen Registrar ihr benutzt ob der gut ist ob der schnell reagiert wenn er Probleme hat habt und ob der vielleicht auf seiner Webseite Kontaktadressen verlinkt, die gar nicht existieren.

01:11:29: Das nämlich schlecht.

01:11:31: Dazu ungeskriptet weil ich das heute morgen erst gekriegt habe kam neulich eine Übersicht raus welche Domains also welche Registrare wie viele malicious bösartige Domains registrieren.

01:11:46: Und Ich mache mal ein kleines Ratespiel auch Wie gesagt liebe zuhörer un geskripted mit Silvester jetzt Mal wie viel Prozent aller neuen Domain Registrierungen jährlich sind, bösartig werden.

01:11:58: Also später irgendwie weggeblockt als C&C-Domains oder Fishing oder so was über alle TLDs.

01:12:06: Über alle THDs neu registriert?

01:12:08: Ja.

01:12:12: Vierzig Prozent!

01:12:13: Nee es weniger sind.

01:12:14: zehn Prozent finde ich aber auch schon eine Menge.

01:12:16: bei einzelnen Registrarn sind's aber tatsächlich bis zu sieben achtzig Prozent.

01:12:23: und ganz vorne liegt da Die Nice Nick International und ein Unternehmen namens Main Rack, habe ich auch noch nie von gehört.

01:12:31: Auf Platz fünf kommt dann einen Anbieter den ich kenne weil ich da beide privaten Domains draufhabe.

01:12:38: die Gandhi taucht aber tatsächlich gar nicht auf in dieser Liste.

01:12:41: das ist ja so ein bisschen so ein Bad Neighborhood Ding.

01:12:43: wenn da also ein großer Anteil von Domains bösartig registriert wird weil es wohl leicht ist für diese Thread Actors da so ein Reseller-Konto zu kriegen und Domains darüber zu registrieren kann sich das natürlich auch auf die gutartigen Domains auswirken.

01:12:57: Ich schau mal, dass ich dieses Dokument, also diese Studie in den Show Notes noch verlinke.

01:13:03: Das finde ich ganz spannend und das kann ein bisschen vielleicht auch bei der Auswahl eines seriösen Registrars helfen wenn man mal seine Domains registrieren beziehungsweise neue Domains irgendwo hinpacken will.

01:13:12: Und es gibt ja auch für Finanz eine eigene TLD-Punkt Finance – ich glaube sie nutzt nur keiner oder?

01:13:19: Ganz lustig!

01:13:21: Alternativen Kommunikationskanälen, die die Kaudee auch noch hatte.

01:13:24: Die haben sich nämlich Kau.finance auch schon besorgt gehabt und sie hatten halt Mail Adressen zum Beispiel über Kautot Finance glaube ich laufen.

01:13:31: das heißt darüber konnten Sie kommunizieren.

01:13:33: aber trotzdem wenn halt du bislang mit deiner Registry oder deinem Registrar über kau.fi kommuniziert hast und dann kommt plötzlich Mails von Kautod Finance.

01:13:43: es ist ja sozusagen nicht belegbar dass es immer noch Du bist.

01:13:46: also Du hast dir geweise, ja hatten sie das und ich weiß gar nicht.

01:13:50: Weißt du, wer ist die Registry von dort Finance?

01:13:54: Ach,

01:13:55: wenn du es schon aufbringst dann musst du's auch irgendwie...

01:13:58: Du fragst Sachen, wo ist denn der TLD-List?

01:14:02: steht da der Registry drin?

01:14:10: Find' ich jetzt offen.

01:14:11: Ich trage vielleicht nach aber... Identity.digital is die Regestry für Punkt Finance?

01:14:19: Okay.

01:14:21: Naja, aber allgemein ist das vielleicht keine schlechte Idee?

01:14:24: Na überlegt euch habt ihr nicht vielleicht sozusagen eine Backup-Domain die ihr vielleicht auch entsprechenden Stellen schon bekannt machen könnt?

01:14:31: jetzt dass sie sagt so hey wenn wir hier Probleme haben dann können mails von hier oder von da kommen weil natürlich wenn man dann in der Problemsituation erklären muss warum man gerade nicht und dass man bitte das einem trotzdem bitte geglaubt wird.

01:14:44: und so das ist natürlich maximal schlecht.

01:14:47: Ihr hört diese diesen Hinweis jetzt schon zum zweiten mal in dieser Folge, denn das hatten wir in dem Dänikteil am Anfang auch schon.

01:14:56: Guckt dass ihr eine Status-Seite oder irgendwie Notfallkontakte komplett außerhalb eures Netzes habt und auch komplett aus idealerweise vollständig außerhalb Eurer regulären Infrastruktur von DNS über Mail Server bis hin auch tatsächlich vielleicht sogar zur TLD.

01:15:11: Das ist ein guter Hinweis.

01:15:15: Und jetzt kommen wir glaube ich wirklich zu was völlig anderem.

01:15:18: Ja jetzt kommen wir zu etwas völlig andere.

01:15:20: Ich muss auch erstmal meinen Gehirn wieder so auf links drehen, weil das echt ein ganz anderer Schnack ist.

01:15:26: Wir kommen wieder zur Windows Sicherheitslücken und auch das Thema hat sich in den letzten Tagen ein Stück weiter gedreht.

01:15:36: Bis zum zehnten Juni an dem diese Folge rauskommen wird gibt es noch mal die eine oder andere Wollte?

01:15:47: Und zwar gibt es wieder was Neues von mit und rund um Nightmare Eclipse.

01:15:53: Den ich, der heißt ja auch manchmal chaotic eclipse aber ich glaube nightmare eclips ist der Name der sich durchgesetzt hat.

01:16:00: Und das ist ja dieser anonymen researcher den beef mit dem Microsoft Security Response Center also MSRC hat und dann gesagt hat.

01:16:08: okay wenn ihr nicht wollt dann veröffentliche ich halt meine Sicherheitslücken alle als Full Disclosure und Blogge dazu.

01:16:16: Und beschwere mich im Blog noch Expressis-Verbys über MSRC vorab.

01:16:21: Im letzten

01:16:22: Teil können wir ja durchaus nachvollziehen, oder?

01:16:25: Ja also ich melde ja selten Bugs an MSRC.

01:16:29: Ich frage immer eher so die Pressestelle von Microsoft Deutschland ob sie mal zu einem bestimmten Fall wie zum Beispiel diesem Disput mit Nightmare Eclipse eine Stellungnahme von MSRC einholen konnte.

01:16:41: das ist dann immer Die gleiche leere Worthöse, die auch schon in allen möglichen anderen Medien kommt.

01:16:47: Und das wird selten aktualisiert und auch nur wenn MSRC unter einem besonderen Veröffentlichungsdruck steht.

01:16:54: Dazu kommen wir dann gleich denn das müssen wir auf jeden Fall auch einmal zum Diskurs besprechen.

01:16:58: also... Vorab ist es einigermaßen unklar, ob diese Sicherheitslücken aus diesem großen Batch, also Red Sun, Blue Hammer und so, wirklich komplett gefixt wurden im Sinne von die programmatischen Lücken.

01:17:10: Und konzeptionellen Lücken, die da ausgenutzt worden sind.

01:17:14: Also diese Cloud-Files API in Verbindung mit diesen NTFS Junctions und dann eben dem Defender eine GTube Datei unterzuschieben damit er die falsche Dateis scant und in Quarantäne schieben wird Ob die behoben wurden oder nicht.

01:17:27: Oder ob da tatsächlich einfach nur ein Workaround gemacht wurde, also da gab es noch ein bisschen habe ich auch mit dem Will Dornen herumprobiert ist im Security Researcher und seine Auffassung war dann hinterher das aber auch schon wieder ein paar Wochen alt dass da im Wesentlichen über eine Defender ein Signatur Update diese Exadatai die der exploit angreift und verwendet um sie diese Shell mit System Privilegien zu spawnen, dass die einfache Quarantäne geschoben wird.

01:17:55: Dass das im Grunde der Fix ist, so ein Hotfix um diese Symptome zu beseitigen... Das ist so ein bisschen wenn wir in den Linux-Welt gehen als würde ich jetzt bei diesem Copy Fail einfach das Sudo Binary löschen und sagen so Edge Badge, jetzt funktioniert der Exploit nicht mehr.

01:18:13: dann sucht man sich halt irgendein anderes Instrum-System-Dreißig, das einen ähnlichen Zweck erfüllt und dann ist man auch schon wieder dran.

01:18:20: Wenn du unter Linux zum Zweiunddreißig ein Binary findest, ist schon so viel kaputt dass ich dieses System nicht anfassen will.

01:18:28: Du weißt genau was ich meine!

01:18:30: Das war ein böswilliger Nitpick.

01:18:33: Ich schalte dir gleich das Mikrostum, fass mal auf oder ich sorg einfach dafür, dass du wieder auf dieses kurbische XLR-Ding umschalten musst... ...das knackt und dann kannst du vor dich hinknacken.

01:18:44: Also immerhin hat Red Sun mittlerweile in CVE gekriegt CvE-Sechs, zwanzig, sechsundzwanzig.

01:18:51: Einfünfzig, Null und neunneinz.

01:18:53: Und aber ist nach wie vor eben so ein bisschen gefühlt in so einem Limbo.

01:18:59: Wer nicht mehr so richtig im Limbo ist das Nightmare Eclipse.

01:19:02: der hatte einen GitHub Account wo die ganzen Explorts lagen also Proof of Concept für alle seine Explortes auch für denen um den es jetzt eigentlich gleich gehen soll.

01:19:08: und dann hat Microsoft gesagt auch Mensch uns fällt gerade auf uns gehört GitHub ja dass relativ praktisch weil wir haben gar keinen Bock mit diesem Typen zu diskutieren.

01:19:16: wir löschen dem einfach seinen GitHub Account.

01:19:18: Dann war Nightmare Eclipse natürlich wenig belustigt, hat sich dann bei GitLab angemeldet.

01:19:22: Da die ganzen Proof-Of-Concept-Codes Sachen hochgeladen und ist dann da Schubdiewurb auch rausgeflogen.

01:19:28: und in dem einen Tag oder zwei Tagen oder so habe ich mir auch noch mal ein Mirror von den jeweiligen Main-Git-Trees gezogen damit ich das auch nochmal lokal hab'.

01:19:37: Und dann war sein GitLab Account auch Geschichte.

01:19:40: Ich weiß nicht ob der jetzt ein bisschen Cats and Maus noch spielt und sich einen neuen GitHub-Account angelegt hat Das ist mir nicht bekannt, aber auch alles was ich erstmal brauche.

01:19:46: Wenn es was Neues gibt, dann wird er das an seinem Blockannounce.

01:19:49: Denn der Block auf Blogspot funktioniert noch und da wütet er... Das kann man schon oder sie schon sagen nach wie vor gegen MSRC.

01:19:59: mit so Sachen wie am vierzehnten Juli kommt etwas, dass wird Microsofts Knochen zerschmettern.

01:20:06: Das ist schon richtig so.

01:20:07: Heavy Metal-Lyrik ne?

01:20:10: Da kann man ein Menoboss von groß machen!

01:20:13: Eigentlich

01:20:13: müsste man Microsoft dann mit Metal umlauten schreiben oder Microsoft.

01:20:17: Ja

01:20:17: also, ja also ich müsste mir vielleicht auch noch mal irgendwie Bone Shatter exploit.com registrieren.

01:20:27: Vielleicht mache das bei Gandhi.

01:20:28: die soll ja ein guter Registrar sein habe ich gehört.

01:20:33: MSRC hat da lange relativ stillgehalten und auch nichts gesagt.

01:20:39: Ich habe den Presse-Sprecher zweimal gebeten, mir doch mal irgendwie was zu geben dass ich auch die andere Seite zu Wort kommen lassen kann.

01:20:47: Da kam gar nix, dann hab' ich irgendwann gesagt so jetzt hier letzte Gelegenheit danach frage ich nicht mehr, ich habe jetzt keine Lust da ständig vor die Wand zu laufen weil es ist bei Leibe das erste Mal, wenn ich eine Frage an MSRC habe also bei Leiben nicht und dann kam zurück, ja übrigens wir haben da jetzt ein Blogartikel zugeschrieben.

01:21:05: Und dieser Blogarticle... ich will mal so sagen der hat nicht dazu geführt dass die Situation sich beruhigte weil da so naja im Grunde MSRC ganz viel Mimimi gemacht hat so der böse Researcher der hat Nichtkoordiniert disklusifiziert und Hat eine Volldisklusifizierung gemacht.

01:21:24: und Wir finden das Ganz Schlimm Weil unsere lieben Kunden Die Werden Dadurch alle geschädigt und wir werden Erzündete sich da doch ein gewisser Widerstand an diesem Satz.

01:21:34: Wir werden unsere Digital Crimes Unit rausholen um Fälle, also um Ermittlungen gegen böswillige Akteure.

01:21:44: Also sie meinten damit sicherlich Malware und Cybercrime Und diejenigen, die ihre kriminellen Aktivitäten unterstützen und ermöglichen Das hat jeder der diesen Blogartikel gelesen hat, als Leute die Full Disclosure Exploits und Sicherheitslücken veröffentlichen.

01:22:04: Da haben sie im Grunde mit diesem Nebensatz die Security Researcher Community frontal angegriffen, dann noch mit so einem Nachsatz.

01:22:14: natürlich werden auch die Strafverfolgungsbehörden in diese Koordination mit einbezogen.

01:22:20: Das hat also zu einem Aufschrei geführt der sich komplett durch alles von den etablierten Whiteheads bis hin zu natürlich so dieser Grey und Blackhead Exploit Researcher Community hingezogen hat.

01:22:33: Die war natürlich alles andere als amüsiert, was dazu geführt hat dass es erstmal eine sehr große Diskussion und viel Solidarität auch mit Nightmare Eclipse gab und zum anderen aber auch Microsoft Security Response Center sich genötigt sah zum Stand heute, glaube ich aber noch nicht auf ihrem Blog sondern nur auf dieser Social Media Plattform die nur noch einen Buchstaben im Namen hat.

01:23:02: Also einer sich zu einer Antwort herabzulassen und tatsächlich da zurückzurudern.

01:23:07: wir haben das intern ein bisschen diskutiert ob sie jetzt wirklich effektiv zurück rudern.

01:23:12: natürlich ist das alles so Marketing Krisen und pr.

01:23:16: Und inzwischen glaube ich auch krisen pr.

01:23:18: Ich glaube am Anfang hatte Microsoft zur Zeitung dieses blockarticles noch den Eindruck sie könnten das Thema jetzt einfach erschlagen indem Sie da oben mit einem hammer draufhauen und sagen so jetzt klappe halten oder die Polizei kommt.

01:23:28: und dann haben wir aber auch gemerkt dass sie, ich kenn das schön kein schönes deutsches wort für dieses englische worttone deaf waren dass sie so ein bisschen ja den raum nicht gelesen haben und nicht festgestellt haben wie sehr ihnen der wind da schon ins gesicht wehte.

01:23:43: Und jetzt schlagen sie erheblich versöhnliche Töne an.

01:23:45: Sie haben mal so gesagt, ChatGPT schreibt mir mal einen Entschuldigungs-Tweet an die Security Researcher Community und wir möchten wenig echtes Commitment haben aber wir möchten so tun als seien wir total transparent und total committet.

01:23:59: also ein paar Sachen kann man aber schon sehr deutlich lesen und die sind schon ein deutliches Kommt mit ein Versprechen, dass ich dann auch sicherlich und jeder andere hoffentlich auch wieder hervorholen werde.

01:24:13: Wenn dann mal wieder in einem halben Jahr oder einen Vierteljahr oder in dem Monat wenn also wirklich dieser Knochen zerschmetterer bug veröffentlicht wird MSRC anfängt mit denselben zu rasseln.

01:24:23: wir haben Wir haben nicht vor In irgendeiner Weise diejenigen individuen zu verfolgen Die Sicherheitsforschung durchführen oder veröffentlichen.

01:24:35: Punkt Also, da geht... Das

01:24:38: ist wirklich ganz wichtig.

01:24:40: Ja genau.

01:24:42: Dieses Wort macht schwere Arbeiter.

01:24:44: Das heißt auch Full Disclosure die ist davon mit diesem Statement inbegriffen und sie schreiben auch und das ist ja schon wahrscheinlich so nah wie eine Butze wie MSRC einer Entschuldigung kommt.

01:25:00: Wir anerkennen, dass manche der Interaktion mit Security-Researchern nicht in Ordnung waren und wir arbeiten daran von ihnen zu lernen.

01:25:12: Also das ist so ein Deeskalationspr aus dem Deescalationspr Playbook.

01:25:19: also wenn du JetGPT fragen würdest und Florian Roth hat das ja wirklich gemacht dann würde genauso was rauskommen.

01:25:26: Der Florian Hoth ist ja auch noch Security Researcher, er hat vor ein paar Tagen gefälschten block eintracht von msrc veröffentlicht datiert auf den dreißigsten june mai der sich in weiten teilen sehr ähnlich liest aber, der eine zentrale passage also nicht antizipiert hat nämlich dieses wir haben no intention to pursue action.

01:25:44: Also wir werden security researcher nicht verfolgen und durch unsere digital crimes unit irgendwie bedrohen lassen dass dieser zentraler aspekt stand da nicht drin.

01:25:55: das ist naja.

01:25:58: Also ich hätte jetzt gesagt, ist die Plattform nicht wert?

01:26:00: Auf der es veröffentlicht wurde.

01:26:01: Aber wie viel die Wert ist das kann man sich auch an zwei Fingern abzählen.

01:26:03: also Es ist einfach ein Ja Sie werfen da jetzt noch ein bisschen Ein Brotkrumm hin.

01:26:11: Ich glaube wir würden sie genauso kritisieren wenn sie jetzt einfach gar nichts mehr sagen würden.

01:26:14: sie sind also sicherlich auch in so einer Diemals macht macht man's falsch Situation.

01:26:17: aber Jeder Von dem ich jetzt dazu Kommentare gelesen habe Der ist sich sehr sicher dass Das einfach ein wertloses Statement ist das jetzt nur dazu führen soll, dass die Lage irgendwie so ein bisschen befriedet ist oder einen befriedeten Eindruck macht.

01:26:31: Aber keine echte Änderung herbeiführen wird und sie werden sich an diesen Aussagen messen lassen müssen.

01:26:37: aber dann ist es das auch schon?

01:26:40: Ja also wie man's macht, machen wir uns falsch glaube ich nicht.

01:26:45: Ich könnte mir schon Aktionen vorstellen wo wir sie deutlich weniger kritisieren oder zumindest dann dafür loben würden Und das wäre eben zum Beispiel Wir passen diesen... Wir machen ein Update zu diesem Blog Post Der steht ja immer noch so online und dann wäre auch sozusagen klar, welche von ihren Sachen aus ihrer Sicht denn genau unzureichend waren.

01:27:11: Und also ich finde es schon das ist wirklich das Minimum wenn man die noch weniger werden.

01:27:16: wir machen gar nichts.

01:27:17: aber in der anderen Plattformen und dann eben auch noch in so einer Micromessaging Plattform da dann so Sachen zu sagen wie wir arbeiten dran daraus zu lernen was halt ein commitment für genau gar nix ist, ne?

01:27:32: Das ist wirklich also ganz knapp über null.

01:27:35: Wie du sagst das einzige was darin steht ist Sie haben auch da sie sagen nicht dass sie sozusagen solche individuellen nicht verfolgen werden.

01:27:43: sie sagen nur sie haben nicht die absicht diese absicht könnte sich ja entwickeln.

01:27:47: bis bis zum wann war der knochenbrecher angekündigt?

01:27:53: Also es ist schon wirklich, wirklich minimal.

01:27:55: Aber das ist vom Ton her natürlich ganz anders als der Blockposter und das ist immerhin etwas was man sehen kann.

01:28:03: Weißt du wofür wir Microsoft vielleicht sogar loben würden?

01:28:08: Die Lücke zu fixen!

01:28:10: Ja, wenn Sie sichere Software machen würden und wenn sie Security-Researcher sauber in ihren Advisories auch mit Credit geben würden.

01:28:20: Denn das haben Sie ja auch nicht gemacht.

01:28:21: Das ist klar von wem die Sicherheitslücken kamen.

01:28:24: Trotzdem stehen da irgendwelche Random Dudes dran, die halt als Erste bei MSRC vorstellig geworden sind und denen gesagt haben guckt mal was hier der Github?

01:28:32: Das ist zwar nicht von mir aber ich melde euch das trotzdem jetzt kriegen.

01:28:34: Die Credit für die Sicherheizlücken!

01:28:38: Ja, ich dachte das Credit System funktioniert sozusagen so.

01:28:42: Also du bist der Finder wenn dir der Github-Account gezückt wird?

01:28:45: Das ist sozusagen das Batch.

01:28:48: Ja kann sein.

01:28:51: Wenn du dafür sensiert wirst dann musst du der Fender sagen naja also Ich meine wir leben ja auch in einem Zeitalter indem man einfach einen Support-Shadboard fragen kann kannst du mal das Passwort von wem anders ändern?

01:29:02: und dann sagt er ne mache ich nicht.

01:29:03: und dann fragst du nochmal und da sagt er ohja okay dann wenn du so nett fragst und zweimal dann mache ich das.

01:29:07: Und in dem einem Zeitalter, indem man ein Windows, einen zentralen Windows Server Dienst crashen kann.

01:29:13: Wenn man ihm einen Benutzernahmenparameter mit hundertdreißig Ars schickt.

01:29:16: Wir sind nicht im Jahr neunzehntandundundundneinzig oder so gefangen?

01:29:20: Nein wir nehmen das hier am dritten Juni.

01:29:21: zwei tausend sechs zwanzig auf aber das ist ein aktueller CVI in Microsoft Windows Server.

01:29:28: Ja, denke ich mir auch, wenn ich mit Windows Sachen zu tun habe.

01:29:35: Das andere ist, ich wollte es kurz sagen also du sprichst von dieser schlauen Idee die das war so eine kleine Internet-Butze.

01:29:41: Irgendwas

01:29:43: in Menlo Park?

01:29:43: Ich weiß auch nicht mehr genau.

01:29:44: Genau!

01:29:45: Die haben sich gedacht oh das können wir jetzt alles mit KI machen.

01:29:48: und dann haben sie halt die heißen Meta und haben halt ihren Instagram Support an eine KI rangeknotet und der die Fähigkeit geben beliebige Accounts zu editieren.

01:29:59: Das ist halt genauso gut ausgegangen wie man sich das vorstellen kann.

01:30:02: aber ich mein man kann es auch nicht erwarten dass irgendwie also jede internetfirma die halt irgendwie jetzt auf diesen kai heiberein fällt, des besser weiß.

01:30:12: Ja also und ich

01:30:13: meine das facebook oder meta hat jedem schmarrn hinterher rennen blind wissen wir seit dem meta bürsten

01:30:20: ja.

01:30:20: also ich finde aber nicht dass wir da so drauf umreiten sollen weil Das ist ja bei so kleinen Startups und Bustle buden auch einfach schwierig, dass die haben so wenig Mitarbeiter.

01:30:29: Gerade mal ein siebzig Tausend, das sie auch vernünftigen menschlichen Support einfach nicht leisten können.

01:30:35: Ich hab das schon auch totales verstanden ist.

01:30:37: Dann

01:30:37: komm ich zu großen Bastelboden und du erzählst mal wie Yellow Key eigentlich funktioniert?

01:30:42: Also wir wollten nämlich eigentlich von euch was von der Yellow Key erzählen, dass es eine von den Sicherheitslücken von Nightmare Eclipse die so ein bisschen zu kurz gekommen ist bei uns woanders wurde die schon diskutiert weil wir einfach jetzt auf Blue Hammer und dem anderen auch hier auf Red Sun bisschen rumgerippen sind diese als LPEs ein bisschen... leichter zugänglich sind, du kannst einfach mal kurz eben ausprobieren und so.

01:31:06: Aber Yellow Key ist trotzdem noch relativ spannend weil es nämlich eine ganz andere Lückenklasse ist.

01:31:12: das ist ein Bypass also eine Umgehung.

01:31:16: wir kommen gleich dazu wie gerechtfertigt diese Bezeichnung ist von BitLocker der Vollbit Verschlüsselung von Datenträgern bei Microsoft Und zwar für Windows, diese exploit funktioniert für Windows Elf, Windows Server zwanzig-zweiundzwanzig und Windows Server fünfundzwantzig.

01:31:34: Nicht für Windows zehn weil da ist irgendwas anders was anderses?

01:31:38: ich habe es mir durchgelesen ich hab's aber schon zweimal wieder vergessen.

01:31:41: und das Yellow Key erlaubt Angreifern mit physischem Zugriff auf einen Rechner dass sie auch die Laufwerke zugreifen und auch auf die Daten auf den Laufwerk zu greifen Die eigentlich per BitLocker geschützt sein Sollen und eben verschlüsst also da sollte man keine Daten lesen können auf den ding an.

01:32:02: Wenn man den rechner zum beispiel in des windows recovery environment also diese der herstellungs umgebung von von microsoft rein bootet und genau da setzt, yellow kioch an also die ganze look spielt sich nicht beim laufenden windows ab dass ich also in ein laufendes in eine laufende windows oberfläche eingreifen wie bei Luhemmer oder Red Sun eine Exe ausführe und die macht dann irgendwelche Dinge, sondern wir befinden uns in dieser eingeschränkten Windows Recovery Umgebung.

01:32:31: Die nämlich eigentlich so eine GUI spawnt und da kannst du dann Sachen machen wie keine Ahnung Registry reparieren und Datenträger, Wartungen und all so ein Zeugs.

01:32:39: und ich glaube du kannst wenn du viele Umwege gehst so ne ganz beschränkte Shell auch spornen.

01:32:46: aber in diesem Fall Umgeht die Yellow Key diese Beschränkungen mit ein paar Tricks in dieser Recovery Environment kommt man.

01:32:55: Mit verschiedenen Mechanismen.

01:32:56: also wenn man Zugriff offen laufendes Windows hat dann kann man glaube ich.

01:33:00: Hift gedrückt halten und das Windows herunterfahren über die Startmenü.

01:33:04: man kann aber den Rechner auch einfach ein paar mal anstarten bis Windows anfängt zu laden, dann hart ausschalten und dass ein paar Mal wiederholen und dann sagt Windows irgendwann so Ich bin jetzt dreimal nicht fertig gebutet.

01:33:13: irgendwas ist komisch und putet dann in dieses Recovery environment Die exploit-idee, also dass exploit primitiv ist.

01:33:22: Dass man sich einen USB Stick anlegt... Ich habe hier bootbar in die Notizen geschrieben aber ich glaube das ist gar nicht nötig oder?

01:33:28: Ich glaube da muss einfach nur ein usb stick sein.

01:33:31: Ich weiß es nicht so genau und darin muss ein Verzeichnis sein unterhalb dieses standardmäßig bei allen ndfs Dateisystem angelegten system volume information verzeichnisses und das heißt fstx.

01:33:45: Und dieses Verzeichnis enthält das kannte ich vorher auch noch nicht.

01:33:48: Ich wusste auch gar nicht, dass NTFS das kann aber es hat mich auch nie interessiert.

01:33:52: Das hat NTFSS Transaction Logs.

01:33:55: Diese NTFAS Transaction logs kann man nutzen um sie beim booten.

01:34:00: also sind du kleine Dateien um sie bei dem Boot zu replayn und damit NTFSTransaktionen zu wiederholen.

01:34:08: Damit kann man dann zum Beispiel so einem NTFS-Datei-System sagen, löschen mal die und jene Datei.

01:34:14: Und machen mal diese und jener anderen Dinge.

01:34:17: Das Witzige ist in diesem Windows Recovery Environment scheint das auch zu funktionieren auf dem Datenträger, auf dem dieses Transaction Lock gar nicht ist.

01:34:27: Also ich stecke den USB Stick rein und der hat eine Laufwerksbuchstabe keine Ahnung.

01:34:32: K. Auf diesem Laufwerks Buchstaben K gibt es NTFS Transaction Logs, die sagen immer löschen wir mal bitte Windows C, Doppelpunkt, Windows System thirty-two irgendeine INI.

01:34:45: Das finde ich schon einigermaßen drollig.

01:34:47: aber kommen wir gleich auch nochmal zu.

01:34:49: in diesem Fall sagt das Replay nämlich zu der zu dem Windows Recovery Environment.

01:34:54: er soll bitte die Datei winpe sl.ini lösche und die ist dafür zuständig dass Startup Verhalten von Windows Recovery Environment und Windows PE, ich weiß nicht mehr genau wofür das P steht.

01:35:08: Ich hatte es nachgeguckt um Pre-Installation Environment das Startup zu verhalten so kontrollieren.

01:35:15: also bootet das in die GUI, booted das in irgendeinen spezielles Wiederherstellungsmenü oder booted dass in eine Shell wenn nämlich diese Datei nicht existiert beziehungsweise leer ist Das ist ein unerwartetes Verhalten.

01:35:27: dann spawnt dieses Windows PE bzw.

01:35:31: Windows RE Wohl weil es nichts anderes weiß und denkt irgendwie ist sogar das recovery environment kaputt, ne?

01:35:38: cmdx also eine normale Schell.

01:35:41: ich packe mal dieses Das habe ich gefunden unter der putzigen domain slightly over complicated.com Dieses diagramm zum start up Verhalten von windows pe in die show notes Dann könnt ihr euch das nochmal angucken.

01:35:56: dass so ein ablaufdiagramm drin das macht vielleicht ein bisschen besser verständlich.

01:36:01: So, zu diesem Zeitpunkt und da wird es für mich unverständlich.

01:36:08: Im Sinne von ich verstehe das nicht weil ich mich auch nie in dem Teil mit befasst habe, aber ich glaube Silvester du hast ja noch ein bisschen genauer angeschaut.

01:36:15: Zu diesem Zeitpunkt wenn also dieses Windows Recovery Environment anbooted und merkt irgendwie ist meine INI kaputt?

01:36:21: Ich mache mal eine Schelle auf sind die Disks... Also sagen wir mal Laufwerk C um einfach einen Bild zu haben mit den man sich dann hier weiter durch dieses Beispiel hangeln kann bereits Anloggt.

01:36:32: also es heißt der bit locker die sind die sind entschlüsselt der master key ist eingegeben und man kann auf die unverschüsselten Daten zugreifen.

01:36:39: Und das geschieht in diesem exploit und dem scenario für diesen exploit durch den Das tpm auf dem auf dem mainboard so oder beziehungsweise im uefi.

01:36:52: Warum habe ich nicht ganz verstanden aber du hast da noch ein bisschen reingeguckt, oder?

01:36:58: Also ich verstehe auch nicht ganz warum Aber das ist so ein bisschen die Crux, warum ich Mühe habe dass das Ding unter dem Namen BitLocker Bypass läuft.

01:37:09: Weil zumindest der aktuelle Angriff von den wir wissen bekommen nachher noch dazu was vielleicht noch kommen könnte funktioniert nur wenn BitLocket in einem Modus betrieben wird wo er der Schlüssel für die Festplattenverschlüsselung ausschließlich im TPM liegt also wo es keine Pin oder Passwort

01:37:27: gibt

01:37:28: dass man eingeben muss, um die Daten zu entschlüsseln.

01:37:31: Und in so einem Fall wenn ich das Windows ganz regulär bute dann werden automatisch die Daten entschlüsselt und ich komme halt bis zur Nutzeanmeldung.

01:37:45: aber die Nutze Anmeldungen des Passwortes die da eingebe hat mit der Festbuttonverschlüsselung nichts zu tun Und das passiert hier halt auch, also dass das System fertig hat.

01:37:56: Ich habe die physischen Zugriff auf den Rechner.

01:37:58: Ich stecke den USB-Stick an und ich bute den Halt und das TPM rückt den Schlüssel raus und damit werden die Datenträger entschlüsselt.

01:38:09: Jetzt könnte man natürlich argumentieren ja du boot ist aber nicht einfach nur des unverändertes System Warum?

01:38:16: Also du bootest hier gerade in so ein Windows RE Da.

01:38:19: warum gibt es TPM da die Schlüssel frei?

01:38:23: Das ist, denke ich eine valide Frage.

01:38:27: Ich

01:38:27: könnte mir vorstellen ohne das genauer betrachtet zu haben dass es halt einfach praktikabel ist.

01:38:32: Also das Windows RE dient ja dazu ein Windows zu reparieren.

01:38:36: Das heißt da brauche ich irgendwie Zug auf die Platte.

01:38:40: Wenn ich das sozusagen in diesem Fall... also wenn ich das irgendwie schaffe dem DPM beizubringen in so einem Fall nicht die Schlüssel raus zurück und dann habe ich vermutlich noch sehr viel mehr Support-Probleme am Hals als ich eh schon hab.

01:38:52: Es ist aber schon so, dass Microsoft... Also die Alternative wäre das TPM verweigerten in so einem Fall den Schlüssel und BitLocker bringt einen Recovery Screen hoch und sagt zu hey ich habe keinen Schlüssel für dieses Laufwerk.

01:39:06: Ich brauche ein Recovery Key wenn man BitLocke anschaltet.

01:39:10: Das hängt dann bisschen von der BitLocket Variante ab und so beüblicherweise kriegt man so ein Recovery key auf die Nase gedrückt und es wird immer auch eingeschärft.

01:39:18: Man soll den irgendwie sich aufbewahren In vielen fällen automatisch irgendwie an den Windows Account hinterlegt, dass man halt dann einen anderen Rechner hat und sich einfach bei Microsoft anmeldet in seinem Nutzer-Account diesen Recovery Key findet aber man braucht ihn halt.

01:39:32: Und das ist auch ein regelmäßiges Problem, dass Leute halt irgendwie irgendwas gemacht haben was BitLocker dazu bringt zu sagen, sehr hey hier ist etwas komisch.

01:39:38: ich erzwing mal eine Recovery und dann wissen die Leute nicht wo der Key ist oder sie haben ihn noch nicht oder so.

01:39:45: Aber

01:39:47: wenn ihr das hier hört... fragt euch mal und beantwortet euch auch diese Frage, wo ist mein BitLocker Recovery key für meinen Windows Rechner?

01:39:54: Ja das sollte dir wissen.

01:39:58: Ich schaue mal wir haben dazu glaube ich auch Artikel vielleicht schaffen müssen um was in die Shownutz zu tun.

01:40:04: Lustig ist ein bisschen dass Microsoft sagt naja eigentlich soll der BitLocket in so einem Recovery laufen wenn man neue Hardware anschließt after adding or removing hardware such as inserting a new card.

01:40:17: Aber also der Lachsatz stellt schon klar, die reden hier halt von irgendwie.

01:40:21: ich habe eine neue PCIe Karte oder so in den Rechnern gesteckt.

01:40:25: Die Reden hier offenbar nicht von USB Hardware, die man angeschlossen hat sowie diesen Stick.

01:40:31: Das kann ich mir auch vorstellen, weil dann würdest du halt andauern wenn du ne neue Tastatur oder einen neuen USB Stick am Rechen hast dir denn ein harmloser USB Stick ist?

01:40:39: Wenn dann jedes mal Windows sagt, naja jetzt hier erstmal BitLocker Recovery da wirst ja doof!

01:40:48: Was für mich der größere Punkt ist, wenn ich das so mache und dann bote ich da eine Windows Recovery und BitLocker SE nur mit dem TPM geschützt.

01:40:57: Da ist keine Nutzeeinkabe nötig.

01:40:59: Dann macht ihr es halt automatisch auf weil das Windows Recovery E-Zugriff darauf braucht das Windows zu reparieren.

01:41:06: Dann sollte man in so einer Situation meiner Meinung nach nicht die Transaction Locks von einem angeschlossenen USB Stick Einfach wieder einspielen.

01:41:16: Das ist das was ich nicht verstehe, das ist was meiner Meinung nach auch irgendwie der größere Punkt hier ist.

01:41:22: Der C übrigens Will Dorman auch ähnlich hat in dem längeren Tut dazu geschrieben I think the buried lead here is that system volume information.

01:41:31: FSTX directory on one Volume has the ability to modify the contents of another volume when it's replayed.

01:41:38: Also das man sozusagen, was du vorhin auch schon gesagt hast auf dem einen Datenträger so nen FSTX also NTFS Transaction Lock-Ding haben kann und der dann Dateien auf nem anderen Datenträger sei, der halt jetzt entschlüsselt ist oder gar nicht irgendwie verschlüsseld war, bearbeitet.

01:41:56: Das schon wie... Entschuldigung!

01:41:58: Wollte ich grad sagen, da krieg' ich auch überhaupt nicht... Ich kriege da kein Use Case für hin, warum sollte man also das klingt für mich nach einer ganz massiven auch Möglichkeit sich unheimlich ins Knie zu schießen.

01:42:16: Warum sollte man das wollen?

01:42:19: Kannst du dir irgendeinen sinnvollen Anlehrungssektor vorstellen?

01:42:23: Ich kenn' mich mit diesen Transaction-Loks nicht aus.

01:42:26: Ich könnte mir schon vorstellen dass man sagt ich will, ich hab hier irgendwie ein riesiges NTFS-Datei System, ich brauche der Transaktionssicherheit Und ich will aber sozusagen diesen Transaction-Lock, den ich dafür hernehme auf hier irgendeinem anderen Device haben weil das halt brutal schnell ist oder so.

01:42:45: Also das ist jetzt total wild spekuliert!

01:42:47: Ich könnte mir schon vorstellen Situationen wo man sagt ich will diesem Transaction Lock auf irgendeinen speziellen Gerät liegen haben und es ist aber nicht das Gerät dass sozusagen das Hauptdateisystem trägt.

01:42:59: Weil's vielleicht einfach nicht groß genug ist oder sonst irgendwas ne?

01:43:03: möchte ich nicht in Abrede stellen.

01:43:04: Aber spätestens wenn ich sage, ich habe hier einen Rechner der gerade in den Recovery Rhyne bootet und sozusagen eh schon in einem schwierigen Zustand ist und der macht jetzt automatisch irgendwie die Platte auf weil kein Passwort gesetzt ist und so.

01:43:19: Dann halt irgendwie automatisch sagen auch hier ist ein USB Stick angeschlossen ja dann nehme ich diesen Transaction Records.

01:43:25: Also das ist wild.

01:43:27: Was ich gerade als Beispiel herangezogen habe, da wäre es eine explizite Konfiguration.

01:43:31: Da würde man sagen hey für dieses System sind die Action Locks hier und nicht irgendwo anders.

01:43:37: Und nicht ja such dir halt einfach irgendein Gerät wo irgendwie Transaction Locks rumlegen und gucken mal was da drin steht oder so.

01:43:46: Das ist meiner Meinung nach der größere Punkt an der ganzen Geschichte.

01:43:50: Ich finde halt die Bezeichnung BitLocker beipass Zumindest sehr verzerrend, weil wie gesagt also ich kann ja auch nichts machen.

01:43:57: Ich hab diesen Rechner, ich habe physischen Zugriff und ich kann da einfach gar keinen USB Stryker anschließen.

01:44:02: Und den Buten und das TPM wird automatisch die Platte... Also die Schlüssel für die Platten herausgeben und der Rechne wird hochfahren und die Platta entschlüsseln und dann lande ich halt am Windows Login Screen.

01:44:14: Und deswegen sehe ich in diesem Yellow Key eigentlich, also ich fände es passender dazu sagen das ist ein Login Screen Bypass.

01:44:20: Weil da komme ich dann eben dran vorbei ne?

01:44:24: Ich habe denn auch voll zugegriffen auf das Dateisystem.

01:44:27: Also wenn ich irgendwie zum Beispiel einen Nutzer mit eingeschränkten Rechten bin Dann bin ich halt nicht limitiert auf diese Eingeschränkte Rechte.

01:44:35: Das sind alles Sachen an denen ich vorbeikomme.

01:44:37: Das sind aber Sachen die mit der Festplattenverschüsselung nichts zu tun haben.

01:44:42: Sinn macht die Bezeichnung meiner Meinung nach, wenn man da hingeht und vielleicht habe ich das einfach das falsche Mindset.

01:44:47: Das BitLocker nicht nur die Festplattenverschlüsselung ist sondern BitLocke ist ein Gesamtkonstrukt aus Plattenverschlüßelungen mit dem Windows Logon mit den Nutzerzugrechten und so.

01:44:59: und dieses GesamtKonstrukt, das fällt hier halt auf die Nase.

01:45:05: Fährerweise muss man sagen Microsoft dokumentiert zwei so Angriff oder Angreiferszenarien gegen BitLocket und sagt halt, na ja bei einem Angreifer der irgendwie sehr hoch entwickelte Fähigkeiten hat und längeren Zugriff auf den physischen Zugriffsgerät hat.

01:45:22: Da muss man so eine BitLocker-Pin setzen, da kann man sie nicht drauf verlassen, dass einfach das TPM den Schlüssel schon nicht irgendwie raus rückt oder so.

01:45:28: Das ist auch etwas was ich unbedingt raten würde wenn ihr Systeme... also wenn ihr darauf angewiesen seid, dass die Festverschlüsselung hält dann setzt eine Pin oder ein Passwort dazu.

01:45:40: Microsoft sagt aber auch im fall von einem angreifer der nicht hochentwickelte fähigkeiten hat oder nur bedingt physischen zugriff irgendwie nur kurz oder so.

01:45:51: Der sollte auch an so nem bit locker mit nur tpm schlüssel Nicht vorbeikommen und das tut er mit yellow key offensichtlich schon.

01:45:59: na weil dieser angreifern muss nur diesen usb stick einstecken und den rechner hochfahren.

01:46:04: Da reichen halt irgendwie drei minuten und minimales technisches skill set.

01:46:11: Wenn man sagt, BitLocker ist nicht nur die Festplattenverschlüssung sondern BitLocers dieses ganze Ding dann kann man von mir aus von dem Beipass.

01:46:19: Aber es klingt halt so als irgendwie die Festplattenverschlüsselung sei gebrochen und das ist sie offensichtlich nicht soweit wir bislang sehen können.

01:46:27: Und ich würde sagen wenn ihr einen Angreifer habt der physischen Zugriff auf den Laptop hat Dann könnt ihr euch auch sowas wie Den Login Screen und die Nutzerrechte und so nicht mehr verlassen.

01:46:39: Das ist kein zuverlässiger Schutz, da hilft nur noch die Festplattenverschlüsselung und die muss halt so konfiguriert sein dass sie nicht automatisch entschlüsselt.

01:46:49: Da braucht ihr halt eine Pin oder ein Passwort?

01:46:53: Das ist auch so.

01:46:54: also das ist vielleicht... Wir müssen jetzt schauen.

01:46:56: wir kommen schon wieder reden vom hundertsten, tausendsten Jahr.

01:46:58: aber das ist ein wichtiger Unterschied zum Handy zum Beispiel.

01:47:04: Das Handy bootet ja auch durch bis zur Pin-Eingabe Und da ist es aber anders gelöst, ne?

01:47:11: Da sind Dateien verfügbar.

01:47:13: Aber nicht eure Nutzerdateien und auch vieles andere nicht!

01:47:16: Erst wenn ihr die PIN eingebt, dann wird dieses Zeug entschlüsselt.

01:47:21: Also die Anmeldung am Handy ist das was de facto die Verschüßlung öffnet.

01:47:24: Das ist bei einem klassischen Desktop oder Server-System nicht so.

01:47:28: Die Anmeltungen an Windows oder auch die Anmeldungen am Linux mit euren Benutzennamen machen an der Full Disc Encryption Nichts mehr.

01:47:38: Wenn ihr die mit einem Passwort habt, dann kommt sehr früh ein Boot unabhängig von eurem Benutzernamen, kommt in eine Passwort- oder Pinneingabeaufwaltung und wenn ihr die nicht eingebt, dann kommen sie gar nicht bis zum Login Screen und so.

01:47:49: Und das ist... Das ist ein Knackpunkt und deswegen ... Die BitLocker ist für mich die Festplattenverschüßlung, die Festplattenverschüsselung scheint zu halten.

01:47:59: Ich habe auch auf Masse, sondern mal so in der Welt geschrieben, so hey warum sagt ihr alle, dass es einen BitLocker beipass?

01:48:03: Ich verstehe das nicht.

01:48:05: Hab da auch sehr nette Antworten bekommen, die aber sozusagen mich über dieses Problem nicht hinweggehoben haben.

01:48:13: Was ich jetzt schon mehrfache angedeutet habe ist halt Nightmare.

01:48:17: Eclipse sagt er hat auch einen Bypass der mit einem gesetzten BitLocker Pin funktioniert und der Fehler wäre dann immer noch ausnutzbar.

01:48:30: wenn er damit wirklich meint dass sich sozusagen ohne die Pin zu kennen an dieses System herankomme, dann wäre das... Also a. Manchmal noch wahrlich ein Bitlocker Beipass und b. Ein sehr viel größeres Problem.

01:48:48: Ich muss sagen, dass glaube ich wenn ich sie in meinen Verdacht aktuell ist, dass sozusagen dieser Bug über den Nightmare Eclipse hier redet und so der halt auch besteht mit der Pin-Eingabe.

01:48:59: aber da sich die Pin kennen muss.

01:49:02: Aber wir werden sehen.

01:49:04: er hat angekündigt Dass er die noch nicht veröffentlicht, weil es sozusagen die Situation schon schlimm genug ist.

01:49:14: Aber vielleicht ist er ja dann von Microsoft irgendwann mal auch so genervt dass er das doch auch noch veröffentlichen und dann werden wir sehen inwieweit ich eine Pin kennen muss oder nicht.

01:49:22: ab der aktuelle Stand ist.

01:49:24: es funktioniert nur wenn dich Wenn keine pin gesetzt ist Beziehungweise ich wenn den pin gesetzte sich die pin halt kennen muss.

01:49:35: also Ich bin auch nicht ganz sicher, warum er in seinem Blog immer schreibt.

01:49:39: Ich kann es nicht erwarten da endlich drüber reden zu dürfen.

01:49:42: das klingt so ein bisschen als sei ja noch an irgendwelche Stillschweigeabkommen mit Microsoft gebunden.

01:49:48: ich glaube man muss da auch einen ganzen Stapelsachen unterschreiben wenn sich so eine MSRC-Konto anlegt.

01:49:53: wahrscheinlich hat er das da einmal reingepackt und muss jetzt irgendwelchen dreißig Tage Deadlines abwarten oder sowas mal gucken.

01:50:00: wir warten.

01:50:01: aber es gibt mehrere Blogartikel in denen er schreibt oder sie schreibt dass es also wirklich ein proof of concept für tpm plus pin gibt.

01:50:08: das kann natürlich immer noch ein bisschen überzogen sein aber bis jetzt war eigentlich alles was daraus kam von nightmare clips kein blöff sondern nachprüfbar auch wenn da vielleicht die nomenklatur mit dem bypass ein kleines bischen überzogen ist nur nochmal weil sie um diesen physischen zugriff geht.

01:50:33: Du kannst natürlich auch dieses Yellow Key ein Grunde bauen oder ausführen, indem du an den eingelockten Rechner also wenn der gestartet ist und auf dem Desktop ist und irgendwie unbeaufsichtig ist.

01:50:46: Kommst dann schreibst du das auf die EFI System Partition diese Payload Also diesen Trick der dazu führt dass eine Command ausgeführt wird beim nächsten Ribut Oder wenn man so ne Evil Maid ist also jemand der unbeaussichtigten Zugriff auf den Rechler hat Während der Besitzer nicht anwesend ist und möglicherweise sogar ein paar Stunden Zeit hat, dann baut man einfach den Datenträger aus.

01:51:08: Und dann schreibt man diese Payload an einem anderen Rechner in die EFI-Systempartitionen.

01:51:12: Wenn der Opferrechner neu gestartet wird nachdem er die Platten wieder eingebaut hat, kommt man da dran bzw.

01:51:18: man kann es auch in dem anderen Rechen direkt auf die Daten zugreifen und sich einen Abzug davon machen.

01:51:22: Weil das ja der Effekt ist, den man bei dieser Art von Exports will... In der Regel an die Daten ran und von den Daten dann so schnell wie möglich eine Kopie ziehen, während der Besitzer nicht mitbekommt.

01:51:32: Dass man seine BitLocker Partitionen irgendwie geknackt hat.

01:51:38: So...

01:51:40: Aber wenn euch ein

01:51:41: Gerät

01:51:42: physisch erpannten kommt, dass automatisch die Platte entschlüsselt, dann würde ich dieses Gerät als kompromittiert betrachten no matter what?

01:51:54: Man kann mit ausreichend Aufwand natürlich solche BitLocker Keys auch einfach an dem System Bus abgreifen wenn sie übertragen werden und so.

01:52:00: Und ja der Aufwand ist höher, aber insofern ihr sozusagen ihr könnt im Regelfall nicht belegen wie geschickt der Angreifer vorgeht oder nicht und welche Fähigkeiten er hat und ob den vielleicht eine Stunde im Hotelzimmer reicht um halt das Gerät aufzuschrauben.

01:52:16: Mit einem vorgefertigten Adapter an die Busse heran zu gehen das Abzugreifen das Geräte dazu

01:52:22: zu schrauben.

01:52:23: Ich würde einfach einem solchen physisch abhanden gekommenen Gerät, wo die Daten nicht so verschüsselt sind.

01:52:29: Dass man halt ein Geheimnis kennen muss ist der Angreifer sicherlich kannte.

01:52:33: Einfach nicht mehr vertrauen.

01:52:35: Genau!

01:52:37: Damit es uns nicht langweilig wird in den nächsten Wochen hat sich Nightmare Eclipse auch noch was Zusätzliches ausgedacht zu diesem Bone-Shattering Ding das am vierzehnten Juli rauskommt nämlich im Juni.

01:52:50: Möchte er oder sie zusammen mit einem anderen Researcher namens Jonas Lick noch.

01:52:57: Bitzkrieg rausbringen?

01:52:59: also wie Blitz Krieg nur mit den bits verstanden?

01:53:03: witziges Wortspiel der bittskrieg Bob wird das und dass führt diese so eine so eine spontan Kooperation weil es wohl mehrere Angebote von Security Research gab an Nightmare Eclipse Außer Literität, dass sie ein paar von ihren Lücken einfach sozusagen abgetreten haben oder die zusammen mit ihm fertig entwickelt haben zu einem funktionierenden waffenfähigen Proof of Concept.

01:53:28: Und da geht es wohl um einen Teil-Bypass also auch wieder irgendeiner nicht vollständige Umgehung für Secure Boot.

01:53:39: Das kommt irgendwann im Juni.

01:53:41: Also vielleicht kurz vor oder kurz nach erscheinen dieser Folge sogar schon in der ersten Juni Hälfte.

01:53:47: Wir werden es sehen.

01:53:49: Also der Stoff geht uns nicht aus, aber wir hatten uns ja fest vorgenommen als nächstes Mal wieder eine monothematische Folge zu machen und ich glaube nicht dass das die Monothematische Folge rund um Neidmeer Eclipse werden wird.

01:54:04: Das zum Thema Yellow Key?

01:54:05: Nee,

01:54:06: also ja

01:54:07: doch nicht, doch nicht das Thema.

01:54:09: zum Thema yellow key möchtest du noch zwanzig Minuten was Yellow Key im Kontext von... Nein nein!

01:54:13: Ich habe gesagt

01:54:14: hoffentlich kriegen wir's hin Hoffentlich kriegen wir ein bisschen diese monothematische Folge zu machen als nächstes.

01:54:21: Das habe ich gesagt, okay!

01:54:24: Wir hoffen es mal... Wir haben ein paar Sachen in der Pipeline die wir uns ein bisschen detaillierter angucken wollen.

01:54:29: das ist einfach immer mal wieder dasselbe Problem.

01:54:32: Es läuft auf den Zeitproblemen aus.

01:54:33: aber was ist unser und nicht eures dies hier hört?

01:54:36: Euer Problem ist immer nur euch die zweieinhalb Stunden alle zwei Wochen freizuschaufeln so und das ist auch eine wunderbare Überleitung als hätte ich es geplant.

01:54:45: Wir haben jetzt hier die Uhr stehen bei insgesamt zwei Stunden und eins.

01:54:50: Und haben aber noch unheimlich viele Themen, und jetzt haben wir uns mal was ausgedacht.

01:54:53: Wir wollten mal etwas Neues ausprobieren um...

01:54:56: Wir haben das Problem vorher gesehen, ne?

01:54:58: Das muss ja erstmal

01:54:59: schnell umgehen!

01:55:00: Also selbsterkennend

01:55:01: ist es ja der erste Schritt zur Besserung.

01:55:04: Oh Gott, das ist ja hier schon fast so ein Psychologie-Podcast geworden.

01:55:08: Also, wir haben das Problem natürlich vorher gesehen und wir hätten auch glaube ich noch drei oder vier andere Themen hier reinpacken können.

01:55:14: Alleine dieser lustige Militias Domain Report den ich da am Montag gefunden habe der wäre auch ein lustiges Thema gewesen.

01:55:19: aber unser Problem ist ja nicht der Mangel an Themen sondern der Mange an Zeit die Themen zu besprechen damit es eben nicht drei Stunden hinterher werden.

01:55:29: Und jetzt machen wir mal was Neues und probieren mal wie das funktioniert und zwar eine fünf Minuten Challenge.

01:55:34: Wir haben jetzt ein paar kleinere Themen wir ohne Probleme in der dreiviertel stunde pro thema erzählen konnten aber von denen wir glauben dass sie auch nicht unheimlich darunter leiden wenn wir sie einfach mal in fünf minuten pro tema erzählen.

01:55:47: das machen wir nicht indem wir doppelt oder viermal so schnell reden sondern wir versuchen jetzt einfach mal uns ein bisschen kurz zu fassen und dazu stellen wir uns einen timer.

01:55:56: Wenn der timer piept dann sind wir hoffentlich mit dem thema fertig und das ist jetzt mein experiment.

01:56:01: wir schauen mal ob es rausschneiden müssen um.

01:56:05: die haben noch Drei Themen jeweils in einer fünf Minuten Challenge.

01:56:12: Es sind doch drei, ne?

01:56:13: Ja es sind drei!

01:56:14: Okay und ich habe meinen fünf Minuten Thema eigentlich als halbstunden Thema ausgearbeitet.

01:56:18: das wird interessant.

01:56:19: so Silvester liegt los Ich stelle einen Timer und wir schauen mal wie weit wir gehen.

01:56:23: Du

01:56:23: stellst den Timer okay sehr gut.

01:56:24: dann sprach ich den Timers bei mir.

01:56:30: Es geht ums Signal, die waren in letzter Zeit ja mehrfach in der Presse unter anderem weil es diese groß angelegte Fishing Kampagne gibt und gab.

01:56:40: Da rede ich jetzt aber nicht drüber wenn euch das interessiert!

01:56:41: Ich war bei den Kollegen von der Auslegungssache zu Gast im Episode fünfundhundertneunundfünfzig.

01:56:48: Tu mir die Show Notes.

01:56:48: da könnt ihr hören wie ich über die Signal-Fishing Geschichte rede.

01:56:53: Signal war aber auch in den Nachrichten Die Inhalte von Signal Messages nicht wie gedacht weggeräumt wurden und zwar in zwei verschiedenen Vorfällen, einmal unter IOS.

01:57:05: Weil diese Nachrichten halt auch in der Notification History des lokalen Gerätes lagen.

01:57:12: sogar nach dem Signal die installiert worden war konnte man immer noch diese Benachrichtigungen die halt auch Nachrichteninhalte enthielten auslesen.

01:57:21: das war natürlich sehr unschön war aber meiner Meinung nach kaum Signalsfehler, sondern das ist eher ein Problem von iOS.

01:57:29: Wenn nachdem eine App die installiert wird diese History nicht weggeschmissen wird und auch sonst vielleicht nicht irgendwie gut aufgeräumt wird da gab es auch einen Fix von Apple dafür Und wenn man sozusagen das vermeiden will dann sollte man den Signal einstellen, dass es da gibt's ne Einstellung dafür, dass halt in die Notification keine Nachrichteninhalte reinkommen Sondern nur der Name oder halt auch nur die Tatsache, dass da eine Nachricht vorliegt.

01:57:54: Dann gab es aber noch einen zweiten Vorfall.

01:57:56: Und zwar stellt sich raus, Nachrichten die man das Signal löscht werden nicht sofort wirklich gelöscht.

01:58:03: Das betrifft zumindest den Desktop-Kleins eventuell auch andere Kleines und das klingt natürlich schon komisch und man fragt sich so ein bisschen wie kann das denn sein?

01:58:14: Es hat der nachvollziehbaren technischen Grund und zwar ist es so dass Signal seine Inhalte in einer SQLite Datenbank verwaltet Und da nutzt es, also der willes Atomage Transaktionen haben.

01:58:26: Dass halt irgendwie so ein Datum in die Datenbank geschrieben wird ganz oder gar nicht oder halt löscht wird ganz und gar nicht.

01:58:32: Es benutzt aber nicht das standardmäßig eingestellte Journal für diese Transaktionen sondern einen Right Ahead Logging.

01:58:38: Das beherrscht SQLite seit einer Weile und dieses IAL hat eine Reihe von Vorteilen unter anderem ist schneller.

01:58:44: Das ist auch der Grund warum Signal das wohl eingeführt hat.

01:58:48: Und das bedeutet, wenn man irgendwelche Änderungen an Datenbank vornimmt, es erinnert ein bisschen an diese NTFS-Transaktionen von vorhin.

01:58:54: Dann werden die erst mal nur ins Log geschrieben und irgendwann später in die Datenbank übertragen.

01:58:59: Das bedeutet eben auch, wenn eine Nachricht gelöscht, dann wird erstmal nur die Tatsache dass sie jetzt gelösst ist in dieses Log geschrieben.

01:59:06: aber die Nachricht ist noch nicht wirklich aus der Datenbank entfernt.

01:59:09: Das passiert erst später.

01:59:10: und genau das was hier Signal auf die Füße fällt, das passiert teilweise deutlich... zu spät.

01:59:15: und man kann sich fragen warum sollte es eigentlich nicht sofort passieren.

01:59:18: Denn, man kann natürlich der Datenbank sagen jetzt bitte ich habe hier gerade eine Nachricht gelöscht, jetzt Flasch bitte das Lock.

01:59:27: also warte nicht irgendwie bis zum nächsten regulären Lockflasche oder so sondern mach das genau jetzt weil ist wichtig dass gelöschte Daten auch wirklich gelösst werden.

01:59:35: Das ist schon ziemlich unschön.

01:59:37: das finde ich ein Fehler der einfach klar bei Signal liegt.

01:59:41: Ich habe mal ihren Source Code geflürt, wenn ich es richtig sehe ist das im Main-Zweig schon gefixt aber es gibt aktuell noch kein Release wo das diesen Fix enthält.

01:59:51: Alle Angaben ohne Gewehr und auch da im Mainzeichen vom Desktop Client.

01:59:55: wie gesagt ich bin mir nicht sicher und der Entdecker der Lücke ist sich nicht sicher inwieweit das mobile Clients betrifft.

02:00:06: Falls es einen Fix für Mobile Clients gibt, habe ich ihn da auch nicht gefunden.

02:00:10: Wenn euch das bis dahin beunruhigt oder wenn euch das jetzt sozusagen beunrückt, dann ist die einfachste Methode euer Signal einfach immer mal wieder neu zu starten.

02:00:20: Weil ein Neustart der App macht halt die Datenankzonen wieder auf und dann wird auch dieses Lock geflasht und halt löschungen werden tatsächlich vorgenommen.

02:00:29: was ich nochmal deutlich schlechter finde ist die Tatsache dass es diesen meiner Meinung nach letztlich einen Logikfehler gab ist, dass der Finder des Problems berichtet.

02:00:41: Er hat es nicht geschafft das ordentlich an Signen zu kommunizieren.

02:00:43: Er hatte immer wieder sich über verschiedene Kanäle an die gewandt und die haben nicht reagiert.

02:00:49: Und er hat dann scheinbar auch über irgendwelche Hilferufe an andere Leute.

02:00:53: Ist es wohl soweit gekommen, dass es bis zur Signal durchgedrungen ist?

02:00:57: Aber er selber hat von Signeln nach wie vor nichts gehört.

02:01:05: Die Lücke des Close, so ist das bekannt geworden.

02:01:08: Und das finde ich schon sehr kritisch!

02:01:10: Ich hoffe mal dass es kein Regelfall ist oder so, aber da hätte ich mir von Signal mehr versprochen, dass solche Sachen auf solche Sachen zeitig reagiert wird.

02:01:20: Dass jetzt der Fix schon in Main drin ist natürlich schön, aber das hätten wir scheinbar auch vor ungefähr hundert-achtzig Tagen schon haben können.

02:01:34: Sehr gut, das hat ja schon mal exzellent geklappt.

02:01:37: Die anschließende Diskussion dazu zählen wir aber nicht in die fünf Minuten, aber wir machen jetzt nicht nochmal eine dreiviertel Stunde Diskussion.

02:01:43: ich habe das ja auch verfolgt mit dem ursprünglichen advisory.

02:01:46: Ich finde diese Zeitabfolge schon bemerkenswert gerade für ne App die ja doch sehr stark auf die Sicherheit als Alleinstellungsmerkmal aus ist.

02:01:56: und sie haben natürlich mehrfach auch immer wieder den Kontexten dieser Fishing-Kampagne Darauf abgestellt, dass sie nicht durch technische Sicherheitslücken angegriffen wurden sondern das Fishing ist also die Nutzer angegriffen worden.

02:02:09: In diesem Fall haben Sie sich aber wirklich nicht mit Ruhm bekleckert finde ich denn dein der Kommittin du da rausgefischt hast mit diesen WL Flush Schedule und also das einfach in regelmäßigen Abständen dieses Ride Ahead Logging

02:02:24: Also nicht nur in den regelmäßigen, sondern auch wenn eine Löschung vorliegt dann wird der Abstand verkleinert.

02:02:30: Sie machen es immer noch nicht sofort aber dann flaschen nach einer Minute oder so, also Reasons.

02:02:36: Das war am sechsenzwanzigsten Mai, mehr als ein halbes Jahr nachdem der Harry-Synton die Lücke gemeldet hat und da hätte ich doch schon mal gerne auch nochmal ne Antwort aus dem Signalteam dafür was da jetzt schief gelaufen ist denn das ist ja tatsächlich dass ein Bruch des in der UI gegebenen Versprechen Sven gelöscht, dann gelösst und Harry hat das in seinem Advise auch noch bisschen eingegrenzt.

02:03:03: Das natürlich bei sehr aktiven Signalkonten die dann auch wo auch viel Kommunikation stattfindet und die vielleicht ihr Gerät oder ihre App öfter mal neu starten keine große Gefahr besteht weil da einfach dann auch sehr schnell dieses Right Ahead Logging zuschlägt oder geflasht wird.

02:03:22: Aber wenn du so einen Wegwerfkonto hast, wo du nur ganz selten mal irgendwelche Nachrichten hast und dann die entsprechend löscht, dann bist du da schon in Gefahr.

02:03:31: Es ist natürlich kein super kritisches Sicherheitsproblem aber definitiv etwas was Signal früher hätte bearbeiten können müssen aus meiner Sicht.

02:03:44: So,

02:03:45: fairerweise sei noch angemeldet.

02:03:46: ich habe Signal dazu nicht kontaktiert weil das ist ja irgendwie fünf Minuten Challenge und wenn wir jetzt anfangen weiter zu recherchieren dann sind wir doch wieder bei forty-fünf Minuten.

02:03:56: Also ich gehe davon aus dass wir es mitbekommen wenn sie sich da so äußern denn das werden würden Sie dann ja im Block machen.

02:04:02: oder Meredith Whitaker macht das irgendwie auf Social Media?

02:04:05: Jetzt kommt eine fünf Minuten challenge von mir.

02:04:08: ich stelle wieder den Timer Und meine fünf Minuten Challenge kommt aus dem A für Availability, aus der CIA Triade und hat einen alten Bekannten an Bord.

02:04:18: Nämlich Railway.

02:04:20: Da erinnert ihr euch an die letzte oder vorletzte Folge noch, Folge siebenundfünfzig.

02:04:25: das war der Hoster von PocketOS und PocketOS ist doch durch irgendwie so ein Agent ihre komplette Produktionsumgebung gelöscht worden und Sie haben dann mit dem Finger auf Railway gezeigt Auf alle!

02:04:37: Und deswegen kannte ich den Namen und als ich jetzt den Blogartikel gelesen habe, dachte ich das ist ein schöner, schönes Beispiel für wieder mal so eine kleine Felswiebel.

02:04:46: Denn die hatten jetzt ihr eigenes Problemchen und das war ein Verfügbarkeitsproblem gewesen dass nicht ganz Haus gemacht war wo also auch wieder mehrere Akteure beteiligt waren aber wo es dann am Ende zu einem Totalausfall kam findeweide.

02:04:59: und zwar hat am neunzehnten Mai Google Als einer der Cloud-Hoster von Railway, wo die ihre Plattform drauf betreiben, ihnen das Konto gesperrt.

02:05:08: Und sämtliche Ressourcen gingen dann offline inklusive ihrer API, ihrer ganzen Datenbanken, ihre Storage und einiges an Compute.

02:05:17: Das dauerte zwar nur knapp zwanzig Minuten aber dummerweise ging nicht sofort alles wieder online als dass Konto entsperrt wurde also einiges An Computersorzen und Disks Am schlimmsten ihr ihre routing infrastrukturäre network control plain waren weiter offline und ohne netzwerk.

02:05:36: ist so eine cloud.

02:05:37: Ja doch eher so ein bisschen doof.

02:05:40: das wurde dann so um ein uhr dreißig durch google wieder hergestellt, und dann lief es auch irgendwann wieder.

02:05:45: da waren alle server also computer ressourcen Und auch alle discs wie online aber die konnten nicht miteinander reden weil ja kein netzwerks da war.

02:05:53: und auch in den anderen Standorten, die nicht bei Google Cloud Platform waren zum Beispiel AWS oder Azure.

02:06:00: Die Railway auch betreibt war das Netzwerk weg weil in dieser Control Plane auch die Routing Table im Grunde denn war und die war Nicht Redundant.

02:06:09: so dann Haben sie wieder ein Netzwerk gehabt und dann hat ihnen aber GitHub Ihren API-Zugriff für die Logins Rate Limited.

02:06:17: Also du kannst dich da bei Railway mit deinem GitHub-Konto einloggen, das ist ja dann dieser O-Offflow und der war plötzlich rate limited so dass sie Kunden, die alle irgendwie mit zitternden Fingern vor ihren UIs saßen und ihre Ressourcen und ihre Unternehmen im Grunde wieder beleben wollten nicht an ihre Ressen kam.

02:06:32: Das war dann die nächste Ebene dieser Feldzwiebel.

02:06:35: Und das ging dann irgendwann wieder um vier Uhr war das ganze Thema dann vorbei Und da hatten sie dann also ja im Grunde ein netto nur zwanzigminütigen ausfall hochskaliert zu.

02:06:49: Ja fünf stunden total beziehungsweise teilausfall bei railway und das ist natürlich bitter vor allem weil des nachts utc war dass heißt tags über us west coast die ganzen us start-ups in kalifornien, die bei railway hosten.

02:07:03: die konnten dann im gunde eine ganze weile nichts machen.

02:07:06: so das erzähle ich jetzt in fünf minuten weil das ein Verfügbarkeits-Thema ist.

02:07:11: Das ist zwar nicht so sexy, also niemand findet N plus eins red und dann so sexy wie die Linux Kernel exploits aber es ist trotzdem ein gleichberechtigter Teil dieser CIA Triade und ohne Availability sind die beiden anderen Teile halt auch infällig wenn's sicher ist und nicht.

02:07:26: da ist es halt trotzdem nicht verfügbar.

02:07:28: Und ich wollte noch mal Felswiebel sagen Also diese dreischichtige Felsiebel mit der irrtümlichen Abschaltung von Google Cloud Platform Die hätte ich auch nicht auf der Risiko Ur gehabt, also als Risiko das ich irgendwie abschätzen muss was sich in meiner in meine Contingency und mein mein mein Business Continuity Management mit aufnehmen muss.

02:07:48: Und einige Systeme in diesem wichtigen Netzwerk Bereich Also dieser Network Control Plane die dafür sorgen dass das Routing für die komplette Cloud von Railway funktioniert Die waren einfach nicht redundant ausgelegt.

02:08:02: Die war nur bei Google Cloud Platform und das hat Railway jetzt auch gelernt Weil, auch wenn du eine gekäschte Version davon hast irgendwann Times und Cash halt aus und dann fällt alles in sich zusammen möglicherweise.

02:08:16: In diesem Fall war es glaube ich ungefähr ne Stunde nach Beginn des Ausfalls und Railway hat jetzt verstanden das Redundanz nur dann was taugt wenn sie wirklich alle Schichten und alle Komponenten die in den kritischen Produktionsfaden liegen beinhaltet Naja, dass man dann halt so einen externen Dienstnutz für so ein Social Log in und der dann bei so einem Burst von Anfragen sagt, ich mache jetzt ein Rate Limit rein.

02:08:39: Und dann kannst du das nicht kontrollieren weil es einfach nicht von dir betrieben wird.

02:08:44: Das ist dann die dritte Schicht in so einer Feldzwiebel da.

02:08:47: Da muss man auch bei der Risikoanalyse auf dem Schirm haben, dass diese Convenience Features wie Login per Github, Login Per Google, dass sie das reale Risiko in sich tragen... Dass du in solchen Fällen einfach in einen Rate Limiter fällst, den du als Betreiber einer Plattform nicht selbst kontrollierst.

02:09:03: Sondern eine übergeordnete Plattform dazu fragen musst.

02:09:06: und so haben wir mal wieder ich habe es jetzt zum vierten Mal gesagt Eine mehrschichtige Feldzwiebel

02:09:14: Nicht schlecht.

02:09:15: Also zeitlich meine ich.

02:09:17: Aber also Ich musste also Du wolltest noch mal Feldziebel sagen Du wollest noch ganz oft Feldzübel sagen.

02:09:24: Das heißt wahrscheinlich wird uns dieses Wort jetzt erhalten bleiben oder?

02:09:28: Ja, weiß ich nicht.

02:09:29: Das kommt immer drauf an.

02:09:30: Man darf natürlich auch nicht überstrapazieren.

02:09:32: Siehe Dickschiff und solche Sachen aber das ist ja schon bei diesen mehrschichtigen Ausfällen... Das macht es ja auch immer ein bisschen interessant dass man dann auch sieht, dass eben dann immer so eine Interaktion von der Teufel Macht auf den dicksten Haufen ist.

02:09:52: also wenn du sowieso schon die Kacke am Dampfen hast Raid Limiter reinschlägt oder du merkst, oh jetzt timen mir hier auch noch die routigen Einträge in meiner Routing Tabelle aus weil ich irgendwann mal die Abwehrung gemacht habe wie lange sollen die gültig sein versus.

02:10:06: Wie lange brauche ich sie im offenen Fall?

02:10:07: und dann gesagt habe ok ne Stunde wird reichen.

02:10:09: das gibt es bei dns dann ja auch immer mal wieder.

02:10:11: also zum Beispiel dass Ich hatte mal das im negativen fall da das dann plötzlich irgendwie domain nicht erreichbar war und dann so negative eine negative TTL von einem tag drin stand und da mussten wir halt einen Tag warten.

02:10:22: das fand ich auch nicht so geil.

02:10:24: aber ja Ich glaube schon, dass man aus solchen mehrschichtigen Ausfällen die ja zum Glück sehr transparent hier dokumentiert wurden viel lernen kann für seine Risikobetrachtung und wie man seinen eigenen IT-Betrieb und einen seinen eigenen sicheren IT Betrieb ordentlich auslegen einfach von den Fehlern anderer lernt.

02:10:46: Als Schlussanmerkung Railway macht jetzt nicht mehr so viel mit Google Cloud Platform.

02:10:51: Die sollen erstmal nur noch so hot stand by sein um eine Stellungnahme und Analyse bei Google gebeten, wie es denn zu dieser Accountsperrung?

02:10:59: Und auch zu diesem verspäteten Wiederanlauf der Netzwerksressourcen kam.

02:11:03: Auch hier ist es so wie bei deinem Co-Fi gerade in dem Blockeintrag vom zwanzigsten Mai also vor zwei Wochen steht immer noch drin wir werden das hier aktualisieren wenn wir mal was von Google hören und auch da hat's keine Beitrag Aktualisierung gegeben.

02:11:21: Ja aber also was du vorhin gesagt hast, dass ist halt auch etwas was man unbedingt sozusagen Im Auge haben muss bei seinen Risiko oder Ausfallplänen, dass wenn also die Recovery Prozeduren.

02:11:36: Führen dann zu ungewöhnlichen Systemen Lasten und das muss man sozusagen im Auge habe damit dann eben nicht die nächste Schicht dieser Zwiebel tilt sagt weil sie sagt Moment jetzt hab ich hier plötzlich überdurchschnittlich viele Anmeldet versuchen wir natürlich alle irgendwie versuchen wieder an ihr Konto ranzukommen nachdem es weg war.

02:11:53: ne Und jetzt krätsch ich da rein und so, also dass man das im Auge hat nicht nur sozusagen, dass Man aus einem Problem wieder rauskommt sondern auch Dass die recovery Prozedur in ihrer Ungewöhnlichkeit dann nicht zu problemen Ihrerseits führt.

02:12:08: So nachdem unser zweiter fünf Minuten challenge timer so gut funktioniert hat Machen wir jetzt noch einen dritten.

02:12:16: und Jetzt ist der Silvester wieder dran und Wir Bewegen uns jetzt Wieder in der C von der CIA-Triade.

02:12:23: Wir sind ja wieder bei Verschlüsselung und Verschlüßelung nach der Quantokalypse und solchen Sachen, aber das erzählt der Silvester jetzt am besten selber.

02:12:32: Es ist eine Fortsetzungsgeschichte oder ein zweiter Teil?

02:12:35: Ein kurzer zweiter Teil in fünf Minuten!

02:12:38: Nee es ist der, weiß ich, vierte, fünfte, sechste irgendwas teilen... Also es geht wieder um die Fortschritte bei den Kantencomputern und Google's Paper dazu.

02:12:47: Kleine Rekapitulationen Bei den Quantenquittern gibt es erstaunlich zügige Fortschritte, da scheint's zu pressieren.

02:12:55: Darüber haben wir in Folge fifty-four geredet.

02:12:59: Google hatte dann ein Paper publiziert das die Anzahl logischer Cubits zum Welchen von ECC und RSA deutlich runtergeschraubt hat.

02:13:06: Hat den gefundenen Quantenschaltkreis der das ermöglicht aber nicht publiziert aus irgendwelchen unspezifischen Sicherheitsbedenken sondern hat einen Zero Knowledge Proof publiziert.

02:13:17: dass sie so eine Schaltkreise kennen.

02:13:20: Schon damals hieß es, da hatten wir in Folge fünfundfünfzig drüber geredet.

02:13:24: Dass das eventuell eine Schnappsidee gewesen sein könnte.

02:13:27: Ich habe hier noch mal ein Zitat von Scott Arons von drin.

02:13:31: Er ist sich nicht sicher wie viel das helfen wird weil wenn andere Gruppen wissen dass solche Schaltkreise existieren dann könnte es nur eine kurze Zeit sein bis sie auch finden.

02:13:43: Dann hat Trail of Bits einen Fehler in diesem Zero Knowledge Proof gefunden.

02:13:48: Das wurde mit einem reparierten Beweis behoben, aber es hat halt sehr deutlich Grenzen von diesen Zero Knowledge-Proofs aufgezeigt.

02:13:54: Darüber haben wir in Folge fifty sechs geredet.

02:13:58: Dann haben wir zwei Folgen lang überhaupt nicht darüber gerede.

02:14:00: Dafür möchte ich mich an dieser Stelle entschuldigen, aber ist halt nichts passiert.

02:14:04: und jetzt geht die Fortsetzungsgeschichte weiter.

02:14:06: Und zwar hat André Schrottenloher vom der Uni Ren ein Paper publiziert, dass die Ergebnisse von Google nachbaut und sogar leicht verbessert.

02:14:18: Ich möchte seine Leistung keiner Weise schmälern aber es ist halt sehr wichtig zu sehen er hat ... Er konnte das unter anderem weil er auf rühre publizierte Ergebnisse teilweise von den Leuten die jetzt an dem Google Paper beteiligt waren auf deren Ergebnisse aufgebaut hat.

02:14:33: so funktioniert halt Wissenschaft, Sachen werden publiziert und andere Leute können darauf aufbauen.

02:14:40: Und jetzt hat André Schottenlohe darauf aufgebaut, im Prinzip diesen ganzen zero knowledge Kram wertlos gemacht weil er halt jetzt ein leicht besseren Schaltkreis sogar einfach publiziert hat.

02:14:51: Und Craig Gidney eine der Google-Vorscher hat sich dazu geäußert und das fand ich ganz nett.

02:14:58: Der hat im Wesentlichen erst mal André gratuliert und dann hat er gesagt diese Zero Knowledge Proofs die sind halt... Ich zitiere jetzt auch wenn wir wieder gearated werden sind halt coole.

02:15:11: Und sowas wollte schon immer mal machen und deswegen fand er das auch.

02:15:14: sozusagen hat er keine Probleme gehabt, so ein Paper mit einem Seronautisch Proof zu publizieren aber sie hätten halt eh nicht viel Vertrauen gehabt dass es lange hält so wie es eben jetzt auch passiert ist weil Seronoids Proofs in diesem Setting nicht gut funktionieren.

02:15:29: zum einen weil sie den Streisand Effekt auslösen sagt Craig.

02:15:32: also wenn man so beweiswürfelig dann stürzt sich halt in Teil der Forschungs Community auf des Problemen und erhöht sehr stark die Wahrscheinlichkeit, dass das jetzt auch andere knacken.

02:15:43: Und oft reicht es so einfach zu wissen, dass eine Lösung existiert und das ist eben etwas was in Sionalspruf notwendigerweise nicht verheimlicht.

02:15:53: Und zumindest auch wenn das nicht reicht bedeutet es halt, dass die Sionalspruf auch zeigt wer eine Lösung kennt nämlich die die den Beweis veröffentlicht haben.

02:16:06: Bild von rubber house cryptographie.

02:16:08: also man prügelt halt leute mit einem auf dem garten schlauch ein.

02:16:14: Bis sie die lösung verraten oder als gartschlauch ist man foltert sie halten.

02:16:18: er verlinkt auch sehr passend den x-cd von fünfhundert achtund dreißig dazu wo es darum geht.

02:16:24: naja hier sind schraubenschlüssel für fünf dolla und damit prügelst du den schlüssel aus den leuten raus anstatt irgendwie für drei milliarden einen kryptosystem aufzubauen das versucht in muss zu brechen und dann daran scheitert.

02:16:38: Und ein Xeonolge-Proof verhindert halt, dass man irgendwie für Unsummen vielleicht so ein Kryptosystem hernehmen kann um sowas zu brechnen wenn der Proof funktioniert aber verhindern nicht das.

02:16:49: man weiß wie er die Lösung kennt oder wie man sich wenden muss.

02:16:52: Wenn man Angst hat, dass Geheimdienste da irgendwie Sachen rausziehen können weil sie im Keller schon einen Quantencomputer haben.

02:16:59: Das sind halt auch genau die Akteure, die ein Zeichen von einfach sagen kommen wir mit und das ist zwei Möglichkeiten.

02:17:04: Hier ist der Raum über den niemand redet oder du erzählst uns wie dieser Schaltkreis funktioniert.

02:17:11: Was sich noch sehr bezeichnend fand war die Einleitung von Craig's Post, der sagt da nämlich am Anfang mehr hat.

02:17:19: sie hatten diese besseren Schalt Kreise gefunden und er wollte die veröffentlichen.

02:17:24: so was hatte in der Vergangenheit mehrfach gemacht.

02:17:27: However, this time something new happened.

02:17:29: I got pushed back on publishing.

02:17:31: also da gab es irgendwie Bedenken und man könne das doch so nicht veröffentlichen.

02:17:36: Das finde ich sehr bedenklich.

02:17:37: des fehlt uns gerade noch dass sozusagen die freie Forschung darunter leidet Dass jetzt irgendwelche geheimdienstlichen oder politischen oder wirtschaftliche Interessen sagen das kannst du doch nicht publizieren.

02:17:49: Da bin ich fertig und habe nur knapp die Zeit gerissen.

02:17:53: Ja buchstäblich im letzten Satz So, das waren unsere ersten drei fünf Minuten Challenges.

02:18:00: Ich habe schon gemerkt wir haben bei allen dreien etwas schneller gesprochen als wir das üblicherweise tun.

02:18:06: Ja ich weiß nicht genau ob das...ich glaube wir müssen dann wirklich auch inhaltlich noch mehr wegschneiden denn wir haben beim allen Dreien auch.

02:18:13: also du hast bei deinen glaube ich von vornherein in den Notizen auf fünf Minuten geplant.

02:18:18: eigentlich eher nicht so.

02:18:19: aber wir kriegen also so kurze Themen damit auch schon in fünf minuten erzählt, das war jetzt der Proof of Concept.

02:18:28: Ihr könnt ja mal schreiben oder sagen was ihr davon haltet von diesen Quick Bits.

02:18:34: Das Schöne an denen ist natürlich die kann man auch auf andere Weise noch spielen.

02:18:38: da könnten wir auch irgendwelche so Sound Snippets draus machen, die wir weiß ich nicht auf Mastodon hochladen oder irgendwie sowas.

02:18:46: Anyway... Ich glaube!

02:18:49: Ich bin gar nicht so sicher aber meine Notizen sind zu Ende.

02:18:53: Wir sind schon schon aus dem Schnittmarken in meinen Notizen.

02:18:56: Was ist da passiert?

02:18:58: Nee, das war doch der Plan.

02:19:00: Ich bin überrascht, dass wir mit diesen drei mal fünf Minuten durchgekommen sind.

02:19:03: aber so sollte es laufen und sowieso ist es jetzt gelaufen.

02:19:07: Dann wollen wir euch höre auch nicht länger aufhalten und uns nicht länger mit der Technik rumquellen die im Hintergrund für einige Verwirrung gesorgt hat.

02:19:18: Das wars dann für heute.

02:19:20: Wenn ihr Feedback habt, sag mal was zu diesem... fünf Minuten Snippets, wie ihr das findet.

02:19:25: schreibt uns an password-podcast at heise.de oder auf masto.

02:19:31: dann könnt ihr uns einfach auch dazu ansprechen und uns euer Feedback geben.

02:19:35: da freuen wir uns immer drüber.

02:19:37: ich würde sagen bis zum nächsten mal und denkt dran.

02:19:43: dieser Podcast ist das einzige Passwort dass ihr teilen solltet.

02:19:46: tschau tschaus

02:19:48: bis bald tschüss.