Latest / Die Abschweifung / Die Abschweifung 90 – PHP-Alarm: Wie eine Sicherheitslücke LautFunk lahmlegte

Transcript

Die Abschweifung 90 – PHP-Alarm: Wie eine Sicherheitslücke LautFunk lahmlegte · Die Abschweifung

• 0:00
  In dieser Ausgabe werde ich mich damit ein bisschen beschäftigen und ein paar Gedanken
• 0:05
  zur IT-Sicherheit machen.
• 0:08
  Denn der 20.10. hat uns allen gezeigt, wie angreifbar und verletzlich doch unsere Infrastruktur
• 0:17
  im Ganzen ist.
• 0:19
  [Musik]
• 0:22
  [Musik]
• 0:52
  Ja, hallo und willkommen zu einer neuen Folge der Abschweifung, da wo ich gelegentlich, eigentlich
• 0:59
  nie, aber ich habe es mir fest vorgenommen, in jeder Episode abschweife. Ich bin Sascha
• 1:06
  Machmann und sage Hallo. Ich hatte mir ein paar Gedanken gemacht im Zuge einer Sicherheitslücke,
• 1:14
  die am 20.10. bekannt gegeben wurde und - lasst mich nicht lügen - am 21. ja große Wellen geschlagen
• 1:29
  hat. Denn ich war so ein bisschen unterwegs gewesen zwischen Haushalt und den üblichen
• 1:39
  Sachen, die ich so mache und war dann auf Mastodon unterwegs. Das ist so quasi mein
• 1:45
  Lieblings-Kurznachrichtendienst meiner Wahl. Und da hatte ich gesehen, dass mein
• 1:50
  Internet-Provider, nein nicht Internet-Provider, mein Hosting-Anbieter eine Meldung rausgegeben
• 1:58
  hatte, dass er jetzt vorsorglich einen speziellen Dienst, den meine Software,
• 2:05
  die meine Webseite bereitstellt, abgeschaltet haben. Und dann habe ich mal geschaut, warum,
• 2:13
  weshalb, wieso und habe gesehen, da gibt es ein riesen Problem. Denn es war nicht so gewesen,
• 2:23
  dass die Software für meine Webseite, das ist WordPress, einen Fehler hatte. Ich meine,
• 2:31
  da tauchen immer wieder mal Fehler auf, aber die werden relativ schnell gefixt.
• 2:35
  Sondern es war auf Serverseite, denn die Programmiersprache PHP,
• 2:43
  auf denen halt eine Vielzahl an Software da draußen im Internet basiert,
• 2:51
  so CMS wie WordPress, Drupal, Nextcloud und so weiter, basieren alle auf PHP.
• 3:00
  da gab es einen massiven Sicherheitsfehler. Das interessante ist, dieser Sicherheitsfehler ist
• 3:07
  schon Ewigkeiten bekannt. Ewigkeiten. Ich glaube, das erste Mal wurde der irgendwie 2014 erwähnt
• 3:16
  und das hat sich immer so durchgeschleppt. Auf jeden Fall reagierte das PAP-Team relativ schnell
• 3:24
  und hatte am frühen Nachmittag des 21.10. Patches bereitgestellt und so konnte dann auch mein
• 3:36
  Hosting-Anbieter die neuen Patches einspielen und damit war dann erstmal das Problem gelöst.
• 3:46
  Soviel dazu. Also wenn sich jemand gewundert hat, warum der Podcast, die Webseite und so weiter am
• 3:58
  21.10. so von ungefähr mittags bis frühen Nachmittag offline war, das ist die Erklärung.
• 4:07
  Was dabei so richtig interessant ist und auch so auffällig ist, ist eigentlich,
• 4:13
  wie anfällig unsere Infrastruktur ist. Ja, super, wenn man eine Aufnahme macht und jemand anruft.
• 4:26
  Wir waren bei der Anfälligkeit der Infrastruktur. Denn ein Anbieter von Software müsste den Fall ja
• 4:40
  nur quasi, wenn es dort einen Fehler gibt, die Software anpassen. Und dann wäre ja auch quasi
• 4:46
  nur dieses Produkt betroffen. Aber da diese Lücke quasi auf der Server-Ebene war, betraf es einfach
• 4:54
  eine Vielzahl von Diensten und gestern am 23. war noch nicht alle Services online. Zumindest
• 5:04
  die Oberflächen davon. Die Dienste haben zwar funktioniert, aber die Oberflächen waren halt
• 5:11
  nicht erreichbar. Weil ich denke mal, dass dort einfach auf Serverseite die Patches noch nicht
• 5:19
  gemacht wurden. Denn ältere Visionen als PAP 8.2 wurden gar nicht berücksichtigt und eigentlich
• 5:44
  ganz schnell wurden nur die 4 und die 5 gepatcht. Die anderen haben halt ein bisschen länger
• 5:51
  gedauert. Und ältere Versionen werden gar nicht berücksichtigt. Das muss man sich erstmal auf
• 5:57
  die Zunge zergehen lassen. Ich kenne das auch noch von einigen Leuten aus meinem Bekanntenkreis,
• 6:04
  Kreis, die sogar Sachen noch unter 7.4, 4.7 laufen lassen haben.
• 6:11
  Ne, 7.4, doch 7.4 haben laufen lassen, weil einfach die Software nicht weiterentwickelt
• 6:19
  wurde und weil danach immer wieder solche Änderungen es gab in der PAP, ja, im PAP-Unterbau, um
• 6:30
  das mal ganz einfach und salopp zu erklären, der es unmöglich gemacht hatte, die Visionen zu
• 6:37
  aktualisieren, weil bestimmte Funktionen weggefallen sind oder Funktionen, auf die die Software zugegriffen
• 6:44
  hat, so geändert wurden, dass die Software damit nicht klarkam. Und wenn es dann keine Updates
• 6:51
  gegeben hat für die Software, konnte man quasi den Unterbau nicht auf den neuesten Stand bringen.
• 6:57
  Und ich denke, das ist zurzeit ein ganz großes Problem und entweder geht man das Risiko ein,
• 7:05
  dass diese Lücke ausgenutzt wird oder man muss warten bis es halt Updates gibt für die Software.
• 7:13
  Ja, ich bin froh, dass ich eine Software verwende, die halt weiterentwickelt wird und
• 7:21
  dran geschaut wird, dass halt die neuesten Sachen unterstützt werden und wie ich jetzt halt geschaut
• 7:33
  habe, bei mir auf dem Server, waren die Updates eingespielt und es gab auch die aktuellste neuste
• 7:40
  Version vom PHP, die 8.5. Da habe ich mir gedacht, das probiere ich mal aus, was passiert, wenn du
• 7:48
  halt von vier auf fünf Wechsels. Und ich muss sagen, interessanterweise sind Teile der Webseite
• 7:58
  jetzt schneller. Vorher hat das immer gefühlt Ewigkeiten gedauert, also bestimmt so fünf,
• 8:04
  sechs Sekunden, bis der Player für den Podcast geladen wurde auf der Webseite. Jetzt ist das
• 8:10
  doppelt so schnell, vielleicht nur noch zwei Sekunden. Und da denke ich mir so, das ist schön,
• 8:16
  Denn es gibt nämlich ganz oft bei neueren Versionen Optimierungen im Code, wo das einfach
• 8:26
  schneller ausgespielt wird oder schneller ausgeführt wird.
• 8:29
  Und da bin ich echt froh, dass da die Entwickler für die Plugins, die halt im WordPress drin
• 8:36
  sind, die auch den Podcast bereitstellen, das alles immer auf einen sehr aktuellen Stand
• 8:41
  halten und auch wenn sie immer sagen, ja wir sind nicht hundertprozentig sicher, ob das
• 8:49
  halt alles funktioniert, weil es gibt ja verschiedene Konstellationen mit den ganzen Plugins, die
• 8:54
  man installieren kann für WordPress, also so quasi Erweiterungen, ob das alles zusammen
• 9:03
  funktioniert.
• 9:04
  Da geben sie zwar nie eine Garantie, aber wenn ich das ausprobiere, das läuft zu 99% immer.
• 9:12
  Und jetzt auch die Tests, die ich so gemacht habe, zeigen, dass die Seite einfach wesentlich schneller ist.
• 9:18
  Ich meine, ich habe einen Cache drin, der diese PHP-Funktionen, die immer wieder verwendet werden,
• 9:28
  zwischenspeichert, so dass das nicht jedes Mal neu berechnet werden muss, der
• 9:33
  bestimmte Inhalte, die die Seite einfach braucht um zu funktionieren, also aus der
• 9:39
  Datenbank, auch zwischenspeichert, so dass es einfach schneller geladen wird, weil
• 9:44
  dieser Speicher ist im Arbeitsspeicher vom Server und dadurch natürlich
• 9:49
  unwahrscheinlich schnell. Ich will jetzt nicht so sehr ins Detail
• 9:53
  gehen und auch irgendwelche Fachbegriffe dafür verwenden. Das will ich jetzt nicht, weil jemand,
• 10:00
  der sich jetzt nicht dafür interessiert, der wird dann einfach mit tausende von Begrifflichkeiten
• 10:05
  erschlagen. Aber so ein RADIUS Server und Cache, der ist schon echt genial, weil man da wirklich
• 10:14
  viele Funktionen, die oft gebraucht werden, einfach zwischenspeichern kann. Und nicht jedes Mal aus
• 10:22
  der Datenbank oder aus dem Code geladen werden muss, dann ausgeführt, sondern der Code ist fix und fertig
• 10:28
  halt in diesen Cache drinnen und kann ganz schnell ausgelesen werden und dann verwendet. Ja, ich bin
• 10:36
  einfach nur froh, dass ich da so auf die richtigen Pferdchen gesetzt habe, ohne es zu wissen. Das ist
• 10:44
  ganz wichtig, das war keine Entscheidung gewesen, ja die sind alle zukunftssicher, sondern ich habe
• 10:51
  diese Funktion halt in Verbindung mit meinem Anbieter, der muss das auf Serverseite ja auch
• 10:57
  bereitstellen, mit mir rausgesucht gehabt, weil ich dachte so, das ist bewährte Technologie,
• 11:03
  die wird massenhaft in der, ja in dem professionellen Einsatz eingesetzt, dann probierst du das auch aus
• 11:11
  und ich glaube, das war die richtige Entscheidung, weil ich jetzt eine Seite habe, die mit der neuen
• 11:16
  Version vom PHP einfach schneller ist.
• 11:23
  Zwar nicht so schnell, als wenn ich
• 11:26
  jetzt eine statische Seite machen würde, also
• 11:29
  eine Seite, die einen festen Code hat und dann
• 11:32
  ausgeführt wird, sondern ich habe eine
• 11:34
  dynamische Seite. Wenn ich da neue
• 11:36
  Texte, einen neuen Blogbeitrag und so weiter
• 11:39
  einfüge, dann wird das halt nicht im
• 11:42
  Code auf der Seite gespeichert, sondern in
• 11:42
  einer Datenbank und diese ganzen Abrufe aus der Datenbank verbraucht ja auch immer Zeit und das
• 11:48
  macht die Seite halt schon spürbar langsamer, aber ich habe halt die großmöglichste Freiheit,
• 11:56
  was Gestalten angeht, was Inhalte angeht. Ich kann zwar viel kompensieren durch einen normalen
• 12:04
  Cache, der quasi immer quasi eine starten Abbild als statische Seite speichert und diese immer
• 12:10
  wieder ausliefert, weil wenn man mal überlegt, ich lade ja nicht alle 15 Minuten neuen Content
• 12:17
  hoch. Das ist bei mir halt manchmal nur einmal in der Woche, selten, dass ich halt zwei oder
• 12:25
  dreimal was mache und so gibt es dann halt wahnsinnige Geschwindigkeitsvorteile, weil halt
• 12:33
  diese ganzen Cache ineinandergreifen und sich gegenseitig quasi unterstützen,
• 12:40
  beschleunigend. Wisst ihr, was ich meine? Ja, das war jetzt ein kurzer Diskurs in
• 12:47
  WordPress, Infrastruktur, Geschräger. Wie kriege ich die Seite, dass das schneller
• 12:57
  ausgeliefert wird, ohne dass ich mir einen super schnellen Server dahin stelle?
• 13:00
  Im Großen und Ganzen würde ich sagen, hat ja dieser Vorfall gezeigt, dass wir zwei Sprachpunkte haben.
• 13:12
  Ich meine, dass die Software, wie WordPress oder so, immer wieder mal irgendwelche Lücken aufweisen
• 13:20
  kann. Das ist bekannt und damit rechnet jeder. Aber dass es halt auf Serverseite mit der
• 13:30
  Bereitstellung der Dienste solche Probleme gab und das vor allem ein Problem ist, was so viele
• 13:36
  Seiten betrifft. Wenn ich alleine überlege, dass ungefähr der Webseiten im Internet 50 Prozent
• 13:43
  mindestens auf WordPress basieren, auch wenn das quasi statische Seiten sind, weil die keine
• 13:52
  veränderlichen Inhalte haben, also so One-Pager oder sowas, dann ist das ja umso bedrohlicher,
• 14:02
  wenn man dann aus Sicherheitsgründen ein Protokoll abschalten muss und dann quasi
• 14:08
  die ganzen Seiten alle nicht mehr funktionieren, weil halb PHP abgeschaltet wurde, was gebraucht
• 14:15
  wird, damit die Seiten überhaupt funktionieren, damit sie überhaupt angezeigt werden können.
• 14:20
  Und natürlich andere Sachen. Ich meine, bei der Bahn sind Anzeigen ausgefallen,
• 14:28
  weil die sich garantiert auch über PHP irgendwie irgendwo aus einer Datenbank oder so halt sich
• 14:36
  die Daten gezogen haben, diese Anzeigen sollten. Man muss halt einfach damit rechnen, dass solche
• 14:44
  Lücken immer wieder mal auftreten können und vor allen Dingen jetzt in der aktuellen Zeit,
• 14:48
  wo wir KI haben, die einfach Software viel schneller durchsuchen kann und viel schneller
• 14:54
  irgendwelche Schwachpunkte finden kann. Ich weiß nicht, ob ihr das mitbekommen habt, warum bei
• 15:01
  Anthropic das Fable-Modell rausgekommen ist, weil es davor ein Modell gab, das viel zu stark war,
• 15:13
  Müst 5 und dass Cyber Security so krasse Angriffsvektoren geboten hat, dass man das
• 15:25
  erstmal unter Verschluss gehalten hat und eine abgespeckte Version heraus veröffentlicht hat
• 15:31
  und nur ganz wenige Leute Zugang zu dieser extrem starken Software haben, weil man Angst hatte,
• 15:38
  dass die massenhaft genutzt wird, um Schwachstellen zu finden in Software,
• 15:42
  dass die gefunden werden und dann ausgenutzt werden. Ja, diese Sachen finden solche
• 15:53
  Schwachpunkte. Und das war ja auch so gewesen in diesem Fall. Ein junger Programmierer hatte das
• 16:01
  gefunden. Das Interessante dabei ist, das sagte ich ja am Anfang, dass diese Stelle schon seit
• 16:07
  2014 bekannt ist, denn da wurde schon dieser Code, der so anfällig war, schon eingeführt in PRP und
• 16:18
  man hat das nie gefixt, weil man dann hätte zu viel an der Software ändern müssen, aber nicht an der
• 16:26
  Serverseitigen, sondern an der Software, die diesen Dienst PRP benutzt hat. Und das hat man einfach
• 16:33
  aus Kostengründen nicht gemacht. Und jetzt ist das quasi einem vor die Füße gefallen,
• 16:39
  weil ich glaube, es war Amazon, hatte einen Tag vor einen großen Angriff genau über diese Lücke
• 16:45
  – und ich will jetzt nicht erklären, wie die funktioniert hat – aber es hatte damit zu tun
• 16:51
  gehabt, dass da in diesem PRP-Protokoll, in dieser Verarbeitung, Speicher nicht richtig verwaltet wurde
• 17:01
  und dass man halt von außen bestimmte kleine Fetzen auslesen konnte. Und damit kam man ans
• 17:10
  Schlüssel dran, um halt in die große Infrastruktur von Amazon einzubrechen. Dass es einen Tag vor
• 17:16
  Bekanntgabe diese Sicherheitslücke passiert. Wer weiß, wie viele Systeme schon geknackt und
• 17:23
  wo eingedrungen wurde, ohne dass das quasi bekannt gegeben wurde, weil es nicht aufgefallen ist,
• 17:30
  weil es diese Sicherheitslücke gegeben hat.
• 17:32
  Tja, das zeigt einfach nur,
• 17:38
  wir müssen uns einfach viel mehr Gedanken machen.
• 17:40
  Und was auch wichtig ist,
• 17:42
  immer wieder Aktualisierung einspüren.
• 17:45
  Ich habe Gott sei Dank einen Hosting-Anbieter,
• 17:48
  das ist Uberspace,
• 17:50
  die alle extrem Nerds sind
• 17:53
  und einige sind da auch aktive Mitglieder
• 17:55
  im Chaos Computer Club.
• 17:57
  Ich halte mich ja dort auch in den Gefilde auf und bin selbst im Dortmunder Chaos Computer Club aktiv
• 18:08
  und kenne auch einige Leute darüber. Ja, ich kann nur froh sein, dass diese Leute alle solche Nerds
• 18:21
  sind und auf Sicherheit bedacht sind, die dann sehr schnell und sehr aktiv darauf bedacht sind,
• 18:28
  halt diese Updates und Patches einzuspielen, ohne dass man sich drum kümmern muss. Ich meine,
• 18:36
  ich hatte ja nur ausgedacht, probier's mal aus. Ich habe gesehen, dass die neueste Version da ist,
• 18:40
  also nicht 4, sondern die 8.5 und habe dann gesehen, dass meine Seite schneller läuft davon,
• 18:48
  profitiere ich. Aber ich brauche mich jetzt um Aktualisierung und Patches nicht zu kümmern,
• 18:54
  weil das macht mein Anbieter. Sobald eins da ist und das als stabil erwiesen ist,
• 18:58
  wird es eingespielt und zack, habe ich dann quasi dort eine Version ohne bis dahin bekannte
• 19:08
  Sicherheitslücken. Und da kommen wir jetzt zu einem bestimmten Punkt. Ich sagte gerade ohne
• 19:14
  Bekannte. Das heißt nicht, dass diese Version, die gerade verwendet wird, keine Sicherheitslücke hat.
• 19:20
  Sie ist nur noch nicht bekannt. Veröffentlicht. Tja, ich hatte bei den letzten Problemen, was ich
• 19:31
  hatte, das betraf das Plugin, was den Podcast bereitstellt. Das Word, vom WordPress, war es
• 19:41
  gar kein Problem, sondern es war ein Problem vom Potlov Publisher und zwar, dass dort Bilder falsch
• 19:51
  zwischengecached wurde und man so Programmcode einschleusen konnte, weil man in diesen Cache
• 19:57
  reinschreiben konnte. Und so wurde auch meine Seite mal infiziert und dazu hatte ich auch einen
• 20:04
  Blogartikel gemacht und ich hatte auch eine Podcastfolge dazu gemacht. Ja, also egal wie weit
• 20:11
  man vorausdenkt und man denkt man ist sicher, es wird immer wieder solche Probleme geben und es
• 20:17
  wird immer wieder mal solche Ausfälle geben und damit muss man einfach rechnen. Und sofern uns
• 20:24
  diese künstliche Intelligenz, die jetzt diese Probleme und Schwachstellen ja aufspürt und
• 20:31
  sichtbar macht, hilft, diese Probleme zu lösen, kann das auch eine Gefahr werden, wenn jeder so
• 20:43
  starke Modelle nutzen kann und nicht jeder macht das in den besten Absichten. So wie ich halt
• 20:50
  hingehen kann mit einem guten Modell, ein schönes Stückchen Software schreiben, was man dann "Vipe
• 20:59
  Coding nennt oder so.
• 21:01
  Oder Fehler in der Software, die ich geschrieben habe, korrigiert.
• 21:08
  Kann ich auch Software dahin optimieren oder auch schreiben lassen,
• 21:13
  die halt Schwachstellen aufspürt, untersucht.
• 21:17
  Und da gab es ja auch schon einige Beispiele und nicht nur zu der aktuellen PAP Problematik.
• 21:24
  fertige Software, die man automatisiert scannen lassen kann, ob man Webseiten findet, die man halt ausnutzen kann und attackieren.
• 21:36
  Jo, wir leben, was in dieser Ansicht hingeht, in einer sehr interessanten Zeit und
• 21:43
  ja, sollten wir uns da wirklich Gedanken machen über
• 21:48
  Cybersicherheit.
• 21:51
  Ich weiß, dass es jetzt eine total bescheuerte und banale Folge, aber ich fand das für mich einfach mal ein wichtiges Thema, weil ich mich damit jetzt ein paar Tage beschäftigt habe und auch mich mit ein paar Blogbetreibern ausgetauscht haben.
• 22:08
  Oder einer meinte, ja ich warte halt darauf, dass Wordpress ein Update macht. Nein.
• 22:14
  Entweder macht dein Anbieter, dein Hosting-Anbieter, der deine URL und deine Webseite bereitstellt, das.
• 22:23
  Oder du musst das selber umstellen.
• 22:27
  Ja, denn mit Wordpress, der Software, die die Webseite macht, hat dieses Problem absolut nichts zu tun.
• 22:38
  Ok, ich bedanke mich fürs Zuhören und würde mich freuen, wenn ihr beim nächsten Mal wieder dabei seid, wenn es heißt "Die Abschweifung".
• 22:46
  Tschüss, euer Sascha.
• 22:48
  [Musik]
• 22:52
  [Musik]
• 22:54
  [Musik]
• 22:57
  [Musik]
• 23:03
  [Musik]
• 23:09
  [Musik]
• 23:15
  [Musik]
• 23:21
  [Musik]
• 23:24
  [Musik]
• 23:30
  [Musik]
• 23:36
  [Musik]
• 23:42
  [Musik]
• 23:48
  [Musik]
• 23:51
  [Musik]
• 23:57
  [Musik]
• 24:03
  [Musik]
• 24:09
  [Musik]
• 24:15
  [Musik]
• 24:18
  [Musik]
• 24:24
  [Musik]
• 24:30
  [Musik]
• 24:36
  [Musik]
• 24:42
  [Musik]
• 24:45
  [Musik]
• 24:51
  [Musik]
• 24:57
  [Musik]
• 25:03
  [Musik]
• 25:10
  [Musik]
• 25:13
  [Musik]
• 25:19
  [Musik]
• 25:25
  [Musik]
• 25:31
  [Musik]
• 25:37
  [Musik]
• 25:40
  [Musik]
• 25:47
  [Musik]
• 25:55
  [Musik]
• 26:03
  [Musik]
• 26:06
  [Musik]
• 26:12
  [Musik]
• 26:18
  [Musik]
• 26:24
  [Musik]
• 26:30
  [Musik]
• 26:33
  [Musik]
• 26:39
  [Musik]
• 26:45
  [Musik]
• 26:51
  [Musik]
• 26:58
  [Musik]
• 27:07
  [Musik]