Les vulnérabilités de ClickShare ont peut-être été corrigées, mais elles masquent un problème bien plus important
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Il n'est pas facile de réintégrer les correctifs de sécurité au processus de développement, mais c'est nécessaire dans le monde d'aujourd'hui où même des appareils apparemment simples, tels que les outils de présentation, sont à la fois étonnamment complexes et connectés à tout le reste.
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Klicken Sie auf den untenstehenden Link und laden Sie das PDF dieser Ressource herunter.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht anzeigenDemo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Eine Version dieses Artikels erschien in DevOps.de. Er wurde für die Syndizierung hier aktualisiert und enthält interaktive Links zu Schwachstellenherausforderungen.
Ich denke, wir alle können uns an ein Ereignis aus der jüngeren Vergangenheit erinnern, bei dem jemand in einem Meeting oder auf einer Konferenz Probleme mit der Präsentationstechnik hatte. Das passiert so oft, dass man fast schon eine klobige Erfahrung erwartet, zumindest am Anfang. Es ist daher keine Überraschung, dass die nahtlose App von ClickShare bei den Endanwendern sofort beliebt war. Für sie gibt es nichts Einfacheres als eine ClickShare-Anwendung zu verwenden, um eine Präsentation von ihrem Laptop, Tablet oder Smartphone auf eine große Leinwand oder einen Konferenzraumprojektor zu übertragen. Der in Belgien ansässige Anbieter von digitaler Projektions- und Bildtechnologie Barco hat seine Automatisierungsplattform so konzipiert, dass sie auf diese Weise funktioniert, und die großen Unternehmen haben das Konzept angenommen. FutureSource Consulting beziffert den Marktanteil von Barco im Bereich Konferenztechnologie auf 29 %, mit einer Integration in 40 % aller Fortune-1.000-Unternehmen.
Als Forscher von F-Secure im Dezember aufdeckten, dass die scheinbar harmlose Automatisierungsplattform mit Sicherheitslücken gespickt war, ging ein Ruck durch die Geschäftswelt. Die aufgedeckten Sicherheitslücken sind kritischer Natur und könnten potenziell jede Menge bösartige Aktivitäten ermöglichen.
Die Forscher demonstrierten, wie die Schwachstellen es Remote-Benutzern ermöglichen könnten, aktive Präsentationen auszuspähen, Hintertüren in sichere Netzwerke zu schaffen oder sogar einen Spyware-Verteilungsserver zu konfigurieren, der jeden Benutzer infiziert, der sich mit einem Barco-Gerät verbindet. Plötzlich sahen sich Unternehmen mit der Aussicht konfrontiert, ernsthafte Sicherheitsprobleme direkt in den Konferenzräumen und Büros ihrer Organisation installiert zu haben. Und aufgrund der Art der Schwachstellen konnte ein einziges kompromittiertes Gerät einen netzwerkweiten Einbruch unterstützen.
"Ein Angreifer, der ein Gerät erfolgreich kompromittiert hat, erhält die Möglichkeit, es zu entschlüsseln und gültige verschlüsselte Bilder für jedes beliebige Gerät zu erstellen, egal ob innerhalb einer Familie oder familienübergreifend", schreiben die Verantwortlichen von F-Secure in ihrem Bericht. "Außerdem kann ein solcher Angreifer Zugriff auf sensible Daten im Ruhezustand erhalten, wie z. B. den konfigurierten Wi-Fi-PSK und Zertifikate."
Barco hat sehr proaktiv Patches und Fixes für die in seinen Produkten gefundenen Sicherheitslücken herausgegeben. Der Sicherheitsanbieter Tenable hat kürzlich einen Bericht veröffentlicht, der 15 Schwachstellen in acht Präsentationstools, einschließlich Barco, aufzeigt. Seit Februar hat nur Barco aktiv Fixes bereitgestellt.
Obwohl einige der Barco-Schwachstellen Hardware-Änderungen erfordern (und diese zu implementieren ein Alptraum sein wird, wenn ein Unternehmen in diesem Ausmaß handelt, um sie überhaupt zu sichern), können viele von ihnen mit Software-Patches korrigiert werden. Das gibt den meisten Unternehmensanwendern einen scheinbar guten Plan, um ihre unmittelbaren Probleme zu beheben, aber sie sind jetzt kaum im Reinen. Die Probleme mit Barco sind nur die Spitze des Eisbergs, wenn es um den Umgang mit Sicherheitslücken in bekannten Hard- und Softwareprodukten geht.
Die Wurzel des Problems
Nun, da die unmittelbaren Probleme gelöst sind, müssen wir uns fragen, wie Geräte mit schwerwiegenden Sicherheitslücken in Tausenden von Konferenzräumen weltweit gelandet sind, oder warum sie überhaupt so schlecht konzipiert und programmiert wurden. Es ist ja nicht so, dass das F-Secure-Team Zero-Day- oder bisher unbekannte Schwachstellen aufgedeckt hätte. Zehn der in den Barco-Produkten entdeckten Schwachstellen standen im Zusammenhang mit bekannten, weit verbreiteten Sicherheitslücken wie Code-Injection-Angriffen. Für die meisten gab es bereits CVE-Kennungen (Common Vulnerabilities and Exposures).
Wie konnten also jahrzehntealte CVEs in moderne Präsentationstools codiert oder sogar fest verdrahtet werden? Die einzig mögliche Antwort ist, dass die Entwickler entweder nichts von ihnen wussten oder dass die Sicherheit bei der Entwicklung der Barco-Geräte keine Priorität hatte. Leider ist dies eine häufige Situation, und sicherlich nicht nur bei den Barco-Teams.
Der beste Zeitpunkt, um eine Schwachstelle zu beheben, ist während der Entwicklung einer Anwendung, lange bevor sie an die Benutzer ausgeliefert wird. Der schlechteste (und teuerste) Zeitpunkt ist, nachdem ein Produkt bereitgestellt wurde oder nachdem es von Angreifern ausgenutzt wurde. Dies kann eine harte Lektion sein, und eine, die Barco sicherlich lernen wird, da sein einst undurchdringlicher Marktanteil nach diesem Sicherheitsfiasko einen Einbruch erleidet.
Die Verlagerung von Sicherheitskorrekturen zurück in den Entwicklungsprozess ist nicht einfach, aber notwendig in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools sowohl überraschend komplex als auch mit allem anderen vernetzt sind. In dieser Umgebung muss Sicherheit zu einer organisatorischen Best Practice werden. Es spielt keine Rolle, ob ein Unternehmen Apps für soziale Medien programmiert oder intelligente Toaster herstellt, Sicherheit muss in jeder Facette einer Organisation berücksichtigt werden.
Das Ziel der DevSecOps-Bewegung ist es, bewährte Sicherheitspraktiken zu priorisieren und sie zu einer gemeinsamen Verantwortung zu machen. Dazu ist ein Kulturwandel ebenso notwendig wie alles andere. Die neue Denkweise muss sein, dass die Bereitstellung eines funktionierenden Produkts mit Sicherheitslücken genauso ein Fehler ist wie die Erstellung eines Produkts, das seine Hauptfunktion nicht erfüllen kann.
In einer gesunden DevSecOps-Umgebung sollte jeder, der mit Software in Berührung kommt, sicherheitsbewusst sein, wobei die Entwickler relevante und häufige Schulungen erhalten, um zu vermeiden, dass sie katastrophale Fehler in ihre Arbeit einbringen. Hätten die Teams, die für Barco arbeiteten, Sicherheit als gemeinsame Verantwortung betrachtet, hätte es auf keinen Fall eine so große Sammlung von Schwachstellen, einschließlich jahrzehntealter CVEs, in ihre Präsentationstools geschafft.
Der sichere Weg nach vorn
Niemand möchte der nächste Barco sein, der erklären muss, warum bekannte Sicherheitslücken über seine Geräte in Tausende von Unternehmensnetzwerken auf der ganzen Welt verbreitet wurden. Um dieses Schicksal zu vermeiden, sollten Unternehmen, die Software oder intelligente Hardware entwickeln, der Sicherheit sofort Priorität einräumen, sowohl als gemeinsame Verantwortung als auch als organisatorische Best Practice. Die Schaffung eines gesunden DevSecOps-Programms wird Zeit in Anspruch nehmen und wahrscheinlich auch einen Kulturwandel erfordern, aber die Ergebnisse werden die Mühe mehr als wert sein. Robuste DevSecOps können Schwachstellen ausmerzen, lange bevor sie Probleme verursachen.
Für Unternehmen, die Produkte und Software kaufen, ist es in ihrem besten Interesse, Firmen zu unterstützen, die DevSecOps eingeführt haben. Auf diese Weise können sie sicherstellen, dass die von ihnen erworbenen Geräte und Software keine tickenden Zeitbomben sind, die darauf warten, von immer geschickteren Angreifern ausgenutzt zu werden.
Schauen Sie sich die Secure Code Warrior Blog-Seiten, um weitere Einblicke in DevSecOps zu erhalten und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen von Sicherheitslücken und Schwachstellen schützen können.
Möchten Sie einen tiefen Einblick in die Sicherheitsprobleme bei Barco erhalten?
Spielen Sie diese gamifizierten Herausforderungen auf:
Inhaltsverzeichnis
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Schulung zum sicheren Code
Unsere hochmodernen Inhalte werden ständig weiterentwickelt, um mit den ständigen Veränderungen in der Softwareentwicklungslandschaft Schritt zu halten und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für eine Vielzahl von Positionen konzipiert, von Architekten über Ingenieure bis hin zu Produktmanagern und Qualitätssicherungsmitarbeitern. Verschaffen Sie sich einen Überblick über die Inhalte unseres Katalogs, sortiert nach Themen und Rollen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die missions „Beat the Boss“ sind jetzt auf Abruf verfügbar.
Cybermon 2025 Beat the Boss ist jetzt das ganze Jahr über in SCW verfügbar. Setzen Sie fortschrittliche Sicherheitsherausforderungen im Zusammenhang mit KI und LLM ein, um die sichere Entwicklung von KI in großem Maßstab zu stärken.
Erläuterung des Gesetzes zur Cyberresilienz: Was bedeutet das für die Entwicklung sicherer Software bereits ab der Konzeption?
Entdecken Sie, was das europäische Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams durch Sicherheitsmaßnahmen bereits in der Entwurfsphase, durch die Vermeidung von Schwachstellen und durch die Stärkung der Fähigkeiten der Entwickler darauf vorbereiten können.
Moderator 1: Definierte und messbare Erfolgskriterien
Enabler 1 gibt den Startschuss für unsere 10-teilige Serie mit dem Titel „Enablers of Success“ und zeigt, wie sichere Codierung mit geschäftlichen Ergebnissen wie Risikominderung und Schnelligkeit kombiniert werden kann, um die langfristige Reife von Programmen sicherzustellen.
