Infoguard und der Punkt, an dem Science-Fiction real wird

Zum neunten Geburtstag hat Infoguard seiner Security-Lounge-Eventreihe eine neue Location geschenkt. Der Anlass fand dieses Jahr erstmals im Theater Casino Zug statt – nur wenige Meter vom Zugersee entfernt.

Rund 280 Gäste waren der Einladung des IT-Security-Dienstleisters gefolgt und lauschten den Referaten zu Cybercrime, IT-Trends und der Internetarchitektur der Zukunft. "Die IT-Security war früher oft der Klotz am Bein", sagte CEO Thomas Meier zur Eröffnung des Events. "Mittlerweile mausert sie sich aber immer mehr zum Enabler." Gewisse Geschäftsmodelle etwa seien nur dank Security möglich.

Thomas Meier, CEO von Infoguard. (Source: Netzmedien)

Dieses Umdenken ist auch wichtig. Der IT-Security steht heute ein hochprofessionelles Business gegenüber: Cybercrime. "Mit Cybercrime wird heute mehr Geld generiert als im internationalen Drogenhandel", sagte Meier.

Unternehmen sollten in Cyberresilience investieren

Sich in einem Bollwerk mit starken Mauern zu verstecken, helfe heute nicht mehr. Stattdessen müsse man auf Cyberresilience setzen, sagte Meier. "Unternehmen sollten weiterhin in den Schutz ihrer Systeme investieren. Aber nicht nur", sagte der CEO. Sie sollten auch die Bereiche Detection und Response ausbauen. Sodass sie in der Lage sind, Angriffe zu erkennen und korrekt darauf zu reagieren.

Hannes Lubich, Professor an der FHNW. (Source: Netzmedien)

Anschliessend sprach Hannes Lubich, Professor an der FHNW, darüber, was für Bedrohungen man sich derzeit stellen müsse. Eines der grössten Probleme: "Die unendlich dumme und unabsichtliche Benutzung von für diesen Zweck nicht gedachte Hard- und Software", sagte Lubich. Oder anders formuliert: menschliches Versagen.

Smarte Lautsprecher hören immer zu

"Wir machen in diesem Bereich keine Fortschritte", sagte er. "Wir kämpfen noch immer mit Nutzern, die schwache Passwörter nutzen, ihre Zugangsdaten mit anderen teilen oder fremde USB-Sticks ohne Bedenken in ihre Rechner stecken!"

Nicht alle Gefahren sind jedoch intern. Auch DDoS-Attacken und nachgelagerte Erpressungen seien nach wie vor ein grosses Risiko. Lubich selbst kenne genug Unternehmen, die im Falle einer Erpressung zahlen würden, "weil alles andere zu mühsam ist".

Mit smarten Lautsprechern wie Amazon Echo holen wir gemäss Lubich ein weiteres Risiko in unsere Wohnzimmer. "Smarte Lautsprecher hören immer zu und sie nehmen auch Befehle in für Menschen nicht hörbare Frequenzen entgegen."

VoIP bietet für Angreifer einige sehr interessante Features

Zu Infoguards Mitarbeiterstamm gehört auch das sogenannte Red-Team, das hauseigene Pentester-Team. Ihr Job ist es, Schwachstellen und neue Angriffsmethoden zu finden, bevor Cyberkriminelle auf die Idee kommen.

In Zug zeigte das Team, was es drauf hat. Das Team hatte sich mit der Frage befasst, wie man heute noch versteckt Daten übermitteln kann aus Unternehmen heraus. Ihre Antwort war VoIP. Genauer gesagt: mittels Skype for Business. Ihre Lösung nannten sie Skynet.

Nicht unmöglich, aber extrem schwierig

"VoIP bietet für Angreifer einige sehr interessante Features", sagte Luca Cappiello, Head of Penetration Testing & Research bei Infoguard. So geniesse VoIP im Netzwerk etwa eine Priorisierung bei der Bandbreite.

Zudem würden nur wenige Systeme prüfen, was für Daten effektiv über die Verbindung flössen. Derartige Attacken auf der Netzwerkebene zu erkennen sei "zwar nicht unmöglich", sagte der Anführer des Red-Teams, "aber extrem schwierig". Skype for Business bietet auch noch ein paar weitere Vorteile: der Anmeldeprozess ist klar definiert über Windows Credentials und die Lösung ist vorinstalliert.

Da es zu auffällig wäre, die Client-Schnittstelle zu nutzen und die Server-Schnittstelle zu leicht zu blockieren sei, entschieden Cappiello und sein Team sich für einen anderen Weg: Sie bauten den Sykpe-for-Business-Protocol-Stack selbst nach. Nach eigenen Angaben eine enorm aufwändige Arbeit, die einige Nachtschichten erforderte.

Skynet wird zum Leben erweckt

Auf der Zielgeraden kam es dann doch noch zu einer leichten Verzögerung, wie Cappiello sagte. Skynet, "obwohl es keine nennenswerten Abweichungen zum regulären Datenverkehr gab", funktionierte nicht. Es folgten drei Wochen Debugging und die Realisation, dass der Code korrekt war. Es hatte sich lediglich ein Tippfehler eingeschlichen, den das Team schnell wieder behoben hatte: Canditate statt Candidate.

So konnte das Red-Team in Zug ein funktionsfähiges Skynet demonstrieren. Da die Lösung auf Skype basiert, konnte Cappiello telefonisch ein Update erhalten, wie viele Opfer Skynet infiziert hat und welche Payload auf den betroffen Maschinen geladen werden soll.

In der Live-Demo beschränkte sich Skynet darauf, auf dem infizierten Rechner die Nachricht "You have been pwned, miner is running. Best regards from the IG Red-Team" anzuzeigen. Die Möglichkeiten seien jedoch fast unbegrenzt, sagte Cappiello. So könnten Angreifer über VoIP etwa auch grosse Mengen an Daten abziehen.

ETH baut neues Internet auf

Ein weiteres Projekt, das an der Security Lounge ins Rampenlicht gestellt wurde, war Scion – kurz für Scalability, Control, and Isolation on Next-Generation Networks. Eine hochsichere Internetarchitektur, die an der ETH entwickelt wird.

Adrian Perrig, Informatikprofessor an der ETH. (Source: Netzmedien)

Das System unterteilt das Netz in isolierte virtuelle Domänen, wie ETH-Professor Adrian Perrig erklärte. Zudem stelle Scion sicher, dass Datenpakete auf ihrem Weg durch das Netz einen bestimmten Weg zurücklegen. In der heutigen Internetarchitektur könnten Datenpakete nämlich entführt und umgeleitet werden.

Das Scion-Netz ist keine blosse Theorie. In der ETH sei es bereits in einem kleinen Massstab installiert. Switch, Swisscom und die ZKB testen ebenfalls ein Scion-Netz und auch die Deutsche Telekom arbeite daran, die neue Architektur zu implementieren.

Wie Smartphones den Menschen amputieren

Den Abschluss des Events bildete ein Vortrag des Futuristen Gerd Leonhard. In seinen Ausführungen ging es um die Symbiose von Mensch und Maschine. "Smartphones sind bereits jetzt unser zweites Gehirn", sagte er in Zug. "Für viele unserer Kinder ist es bereits das erste", legte er nach.

Futurist Gerd Leonhard. (Source: Netzmedien)

Alles von Banking bis Dating laufe schon über Handys. "Mobile Geräte sind unsere externen Gehirne. Doch jede Erweiterung des Menschen ist zugleich auch eine Amputation", zitierte Leonhard den US-amerikanischen Philosophen Marshall McLuhan. "Ohne Google Maps wissen wir zum Beispiel gar nicht mehr, wo wir eigentlich leben. Ohne Tinder funktioniert ab 30 in grossen Städten Dating auch nicht mehr", sagte der Futurist.

Kinder sollten Ethik lernen, nicht Programmiersprachen

Und diese Technologien gehen gemäss Leonhard immer mehr in uns hinein. Neural oder Brain-Computer-Interfaces und Nanotechnologien könnten schon in den nächsten 10 Jahren auf den Markt kommen. "Wir sind an dem Punkt angekommen, an dem Science-Fiction zu Science Fact wird", sagte er.

Alles, was Maschinen automatisieren können, wird automatisiert. "Der Mensch wird aber nicht nutzlos, weil er keine Routinearbeiten mehr machen kann", sagte Leonhard. "Die Routine ist nutzlos."

Die übrigen Tätigkeitsbereiche würden dadurch umso wertvoller werden: Ethik, Kreativität, Vorstellungskraft und die emotionale Intelligenz. "Sollen Sie ihren Kindern jetzt wirklich Programmieren beibringen? Nein, ihre Kinder sollten Menschen sein", sagte Leonhard. Denn in der Zukunft werde es einen Bedarf geben nach just solchen Experten.

Awards für Aruba und Tenable

Im Rahmen des Events verlieh Infoguard auch zwei Awards. Der Award für den "Best Partner of the Year 2018" ging an Tenable. Die zweite Auszeichnung ging an Aruba. Das Unternehmen nahm den "Innovation Partner of the Year 2018"-Award mit nach Hause.

Das zehnte Jubiläum der Infoguard Security Lounge wird am 26. Juni 2019 wieder im Theater Casino Zug stattfinden. Ein bisschen früher, am 19. September 2018, findet bereits der Infoguard Talk statt – ebenfalls in Zug. Mit prominentem Besuch: Am Talk wird der US-amerikanische Kryptographie- und IT-Security-Experte Bruce Schneier teilnehmen.

Das Infoguard-Team in Zug. (Source: Netzmedien)