ClickShare-Sicherheitslücken wurden zwar gepatcht, verbergen aber ein viel größeres Problem
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools nicht nur überraschend komplex, sondern auch mit allem anderen vernetzt sind.
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Inhaltsübersicht
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Die Leistungsfähigkeit von OpenText Fortify + Secure Code Warrior
OpenText Fortify und Secure Code Warrior bündeln ihre Kräfte, um Unternehmen dabei zu helfen, Risiken zu reduzieren, Entwickler zu Sicherheits-Champions zu machen und Kundenvertrauen aufzubauen. Lesen Sie hier mehr darüber.
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Die Secure-by-Design-Bewegung ist die Zukunft der sicheren Softwareentwicklung. Erfahren Sie mehr über die wichtigsten Elemente, die Unternehmen berücksichtigen müssen, wenn sie über eine Secure-by-Design-Initiative nachdenken.
Ressourcen für den Einstieg
10 wichtige Vorhersagen: Secure Code Warrior über den Einfluss von KI und Secure-by-Design im Jahr 2025
Unternehmen stehen vor schwierigen Entscheidungen über den Einsatz von KI, um die langfristige Produktivität, Nachhaltigkeit und den Sicherheits-ROI zu unterstützen. In den letzten Jahren ist uns klar geworden, dass KI die Rolle des Entwicklers niemals vollständig ersetzen wird. Von KI + Entwicklerpartnerschaften bis hin zum zunehmenden Druck (und der Verwirrung) rund um die Secure-by-Design-Erwartungen - lassen Sie uns einen genaueren Blick darauf werfen, was wir im nächsten Jahr erwarten können.
OWASP Top 10 für LLM-Bewerbungen: Was ist neu, was hat sich geändert, und wie bleibt man sicher?
Bleiben Sie bei der Absicherung von LLM-Anwendungen mit den neuesten OWASP Top 10 Updates immer einen Schritt voraus. Entdecken Sie, was neu ist, was sich geändert hat und wie Secure Code Warrior Sie mit aktuellen Lernressourcen ausstattet, um Risiken in der generativen KI zu minimieren.
Trust Score zeigt den Wert von Secure-by-Design-Upskilling-Initiativen
Unsere Forschung hat gezeigt, dass Schulungen für sicheren Code funktionieren. Trust Score verwendet einen Algorithmus, der auf mehr als 20 Millionen Lerndaten aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen basiert, und zeigt, wie effektiv die Initiative ist, um Schwachstellen zu beseitigen und wie man sie noch effektiver gestalten kann.
.png)
Reaktive versus präventive Sicherheit: Prävention ist das bessere Heilmittel
Der Gedanke, Legacy-Code und -Systeme zur gleichen Zeit wie neuere Anwendungen mit präventiver Sicherheit auszustatten, kann entmutigend erscheinen, aber ein Secure-by-Design-Ansatz, der durch die Weiterbildung von Entwicklern durchgesetzt wird, kann die besten Sicherheitsverfahren auf diese Systeme anwenden. Dies ist für viele Unternehmen die beste Chance, ihre Sicherheitslage zu verbessern.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
