Hier der Link zum Artikel: https://www.heise.de/security/meldung/Kein-Sicherheitspatch-in-Sicht-Ein-Oszilloskop-mit-Hintertueren-4237543.html
:
Verschoben durch User
Für die meisten fälle dürfte das relativ irrelevant sein. Bei meinem Oszi zu Hause ist das recht egal und in Firmen dürfen Messgeräte in der Regel eh nicht ans Netzwerk.
Muss man wirklich jeden Pisstopf ans Internet hängen?
Beitrag #5645005 wurde von einem Moderator gelöscht.
Problem ist doch eigentlich HEUTE, daß es Geräte gibt, die noch Jahrzehnte benutzt werden können, obwohl es schon keinen Hersteller und keine Sicherheitspatche mehr gibt. Sollte man deswegen jede teure Maschine mit W95 wegwerfen?
Das zeigt einmal mehr, dass die IoT-Sachen in Punkto Sicherheit noch nicht zu Ende gedacht ist. Hersteller können aus Kostengründen nicht ihre Produkte beliebig lang supporten, der Kunde würde die Kosten sicher nicht in der Masse akzeptieren. Die Nutzungsdsauer, eines Oszilloskops (bei vielen anderen IoT Sachen ist es ähnlich), ist sicher > 10J. Wie sollte da eine Pflege kostendeckend funktionieren? Die einzige für mich plausible Lösung wäre, einen akzeptierten Standard auf Basis von open source zu schaffen inkl. der Möglichkeit des Updates für den Kunden.
Eigentlich hilft nur ein neues Kästlein dazwischen, was die Sicherheit verbessert. Da aber IT-Welt sehr verschieden ist, kann keiner die GANZE Welt retten.
Bürovorsteher schrieb: > Muss man wirklich jeden Pisstopf ans Internet hängen? In einer Firma, die sich einigermaßen Mühe mit IT-Sicherheit gibt, gehen Oszis nicht ans Firmennetzwerk. Zweite Netzwerkkarte am PC und man kann auf die notwendigen Sachen zugreifen. Mehr muss nicht sein.
Was ist mit den ganzen ESP8266 & Co? Anfangs habe ich mich auch dafür begeistert, heute überwiegen die Bedenken. Gerade jetzt, wo China jeden seiner Einwohner persönlich Überwachen und Bewerten will, sollte man auf alles gefasst sein.
Wie man sich über sowas aufregen kann. Dann sind die Messergebnisse eben falsch. Da haben die Jungspunte eine schöne Ausrede, wenn ihre Ergebnisse nicht stimmen, von dem was sie zusammengebastelt haben. Mal im Ernst: Welcher Chinese setzt sich hin und hackt die Oszilloskope? Und wie soll das gehen, von dort aus das Netz zu übernehmen? Die Ergebnisse vom Oszi werden nur von der Software abgefragt und die wird kaum irgendwas ausführen, was von dort kommt, oder? Es sollte ein Leichtes sein, den Zugriff per Router nur auf einen Rechner einzuschränken und zudem sicherzustellen, dass PCs nicht einfach irgendeinen Code ausführen, der von einem Netzwerkclient kommt. Weil dann kann jder Entwickler einen RasPI dranhängen und das Netz hacken!
Alter Knacker schrieb: > Wie man sich über sowas aufregen kann. Dann sind die Messergebnisse eben > falsch. Sind sie eben nicht, Also manchmal mag man glauben, die ct' heinis haben noch nie vor einem Scope gesessen. Beim scope liest man die Ergebnisse nicht am LAN ab, sondern vom Schirm. Und vor der Messung klemmt man kurz die Probe an den Kalibrierausgang um das Raster zu checken. Die Knallchargen haben es nicht mal geschafft ein Foto von dem Scope aufzutreiben, sondern pappen lediglich eine symbolhafte Vectorgraphik in den Artikel.... https://www.batronix.com/versand/oszilloskope/Siglent-SDS1202X-E.html Softwerker eben,
Alter Knacker schrieb: > Mal im Ernst: Welcher Chinese setzt sich hin und hackt die Oszilloskope? > Und wie soll das gehen, von dort aus das Netz zu übernehmen? Eine nette Anwendung wäre ein SMB2 nach ftp-Gateway. Nach Feierabend liest das Oszi alle im Netz vorgefundenen SMB-Freigaben ("Netzwerklaufwerke") aus und schaufelt die Daten auf einen ftp-Server ausserhalb der Firma. Nachdem die Daten extern gesichert wurden könnte man sie auch noch AES-verschlüsseln.
Dem Oszilloskop eine statische IP-Adresse, keinen Nameserver und kein Standardgateway/Router zu verpassen, ist vermutlich schon zu kompliziert, wie?
soul e. schrieb: > Nach Feierabend > liest das Oszi alle im Netz vorgefundenen SMB-Freigaben > ("Netzwerklaufwerke") aus Scopes werden spätestens zum feierabend ausgeschaltet und ausgeschaltete Scopes können nichts auslesen ... Ich sag's ja, wahrscheinlich noch nie vor einem scope gesessen.
oszi40 schrieb: > Problem ist doch eigentlich HEUTE, daß es Geräte gibt, die noch > Jahrzehnte benutzt werden können, obwohl es schon keinen Hersteller und > keine Sicherheitspatche mehr gibt. Sollte man deswegen jede teure > Maschine mit W95 wegwerfen? W95 braucht keinen "Sicherheitspatch". Es gibt schon lange keine W95 Viren mehr. Warum heute jeder Eierkocher ins Internet und jeder Klospülksten USB haben muss, erschließt sich mir nicht. Wer sowas töpfiges kauft, ist ein berechtigtes Opfer dieses Schwachsinns.
HildeK schrieb: > Bürovorsteher schrieb: >> Muss man wirklich jeden Pisstopf ans Internet hängen? > > In einer Firma, die sich einigermaßen Mühe mit IT-Sicherheit gibt, gehen > Oszis nicht ans Firmennetzwerk. > Zweite Netzwerkkarte am PC und man kann auf die notwendigen Sachen > zugreifen. > Mehr muss nicht sein. Hast Du eine Ahnung.... Jemand der ein Netzwerk betreut dessen Sicherheit darauf beruht das ein altes Oszi oder Spektrumanalyser mit welchem OS auch immer nicht ans LAN darf um die Netzwerksicherheit zu garantieren hat seinen Beruf verfehlt und ist als fahrlässig anzusehen... VLAN ist bekannt? Na also und ja, unsere Geräte (W2k, XP Embedded, irgendwelche proprietären LeCroy-Dinger, Linux-irgendwas mit Kernel 2.x.x.x) dürfen ins LAN... aber sie können nicht weiter... und sie können auch nicht aus dem LAN erreicht werden. Aber dafür gibts eine IT die ihr Handwerk versteht - zumindest in diesem Bereich. PS: es gibt Oszis, die keinen eigenen Bildschirm haben und nur über LAN erreichbar sind... 1HE hoch, 4x1GHz Analogbandbreite, keine Ahnung was für ein OS... und die funktionieren seit Jahren problemlos und auch Netzwerksicher.... MiWi
Axel Zucker schrieb: > Beim scope liest man die Ergebnisse nicht am LAN ab, > sondern vom Schirm. Und vor der Messung klemmt man kurz die Probe an den > Kalibrierausgang um das Raster zu checken. Es soll schon häufiger vorkommen, dass man die Messungen auf dem PC betrachtet oder weiterverarbeitet und diese daher über LAN-ausließt. Zudem ist es am PC auch manchmal gemütlicher Einstellungen am Oszi vorzunehmen oder Lagzeitmessungen zu betrachten (größerer Bildschirm). Da Du aber vom Kalibrierausgang sprichst um das Raster zu prüfen, nehme ich mal an, dass dein Röhrenoszi keinen LAN-Anschluss hat... Moderne Oszis lönnen bspw. auch in Labview eingebunden werden, sodass die Messungen direkt weiterverarbeitet werden. Das hat nichtmehr viel mit den "alten" Osziloskopen von damals zutun. Axel Zucker schrieb: > Scopes werden spätestens zum feierabend ausgeschaltet und ausgeschaltete > Scopes können nichts auslesen ... Ja, Oszis mit Soft-off sind dann ja auch komplett Stromlos und ausgeschaltet... @Topic. Was ich mich jedoch frage: Selbst bei normalen Homeusern ist doch meist eine FritzBox am Netzanschluss. Wenn man hier nicht aktiv die Ports öffnet kommt doch eigentlich keiner ins Netz herein (?). Ich denke mal dem Gedankengang entspringt auch das "Sie raten dazu, das Oszilloskop ausschließlich in vertrauenswürdigen Netzwerken zu betreiben. " aus dem Artikel, da nur ein Angriff innerhalb des lokalen Netzwerkes stattfinden kann. Dabei kann man natürlich allen möglichen Kram installieren der später nach draußen funkt. Da die Oszis, anders als R&S, Lecroy etc. (ich gehe mal nur von Siglent und Rigol aus) nicht nach aussen Funken gibt es auch keine Schnittstelle auf die ein Hacker von aussen Zugreifen kann. Bei R&S wäre es bspw das Statusupdate, die Aktivierung etc. (eventuell Windows Update).
Angehängte Dateien:
-
scissors_secure.jpg
150 KB
oszi40 schrieb: > Eigentlich hilft nur ein neues Kästlein dazwischen, was die > Sicherheit > verbessert. Da aber IT-Welt sehr verschieden ist, kann keiner die GANZE > Welt retten. Ja, gibt genau dafür es ein neues sehr wirkungsvolles Produkt aus Japan, wird direkt am Netzwerkkabel plaziert. Siehe Bild
Es geht auch nicht nur darum, dass Messwerte verfälscht werden. Bei nicht gepflegten Systemen gibt es immer mehr bekannte Sicherheitslücken die einen Einbruch ermöglichen. Der Angreifer will aber auch keine Messwerte auslesen, sondern einen Bot installieren um sich dann von dort aus das eigentliche Netzwerk ansehen. Ein Windows-System wird durch einen Virenscanner "geschützt" und überwacht. Ein Oszi oder gar ein Telefon gerät da schon seltener in den verdacht, böse Dinge im Netz zu tun. Der Angreifer kann sich hier richtig gemütlich einnisten, da sicherlich niemals jemand nachschauen wird. Er braucht auch nicht besonders schnell zu sein, sondern kann sich Zeit lassen.
MiWi schrieb: > Jemand der ein Netzwerk betreut dessen Sicherheit darauf beruht das ein > altes Oszi oder Spektrumanalyser mit welchem OS auch immer nicht ans LAN > darf um die Netzwerksicherheit zu garantieren hat seinen Beruf verfehlt > und ist als fahrlässig anzusehen... Das 'darf' bezog sich doch nicht darauf, das es nur verbal verboten wird, sondern dass das Gerät gar keine Verbindung bekommen wird, ohne von der IT als zugelassener Rechner anerkannt zu sein.
soul e. schrieb: > Eine nette Anwendung wäre ein SMB2 nach ftp-Gateway. Nach Feierabend > liest das Oszi alle im Netz vorgefundenen SMB-Freigaben > ("Netzwerklaufwerke") aus und schaufelt die Daten auf einen ftp-Server > ausserhalb der Firma. Das ist so ziemlich das Dümmste was man als Hacker machen kann. Erhöhte Netzwerkaktivität nach Feierabend ist per se schon verdächtig. Das macht man während der normalen Arbeitszeit. Dann geht das im Rauschen unter. Axel Zucker schrieb: > Scopes werden spätestens zum feierabend ausgeschaltet und ausgeschaltete > Scopes können nichts auslesen ... Das ist Unsinn. Natürlich lässt man Scopes in diversen Tests auch über Nacht oder länger an. Patrick B. schrieb: > @Topic. Was ich mich jedoch frage: Selbst bei normalen Homeusern ist > doch meist eine FritzBox am Netzanschluss. Wenn man hier nicht aktiv die > Ports öffnet kommt doch eigentlich keiner ins Netz herein (?). Ich denke > mal dem Gedankengang entspringt auch das "Sie raten dazu, das > Oszilloskop ausschließlich in vertrauenswürdigen Netzwerken zu > betreiben. " aus dem Artikel, da nur ein Angriff innerhalb des lokalen > Netzwerkes stattfinden kann. Dabei kann man natürlich allen möglichen > Kram installieren der später nach draußen funkt. Ich könnte mir vorstellen das man per Java-Script TCP/UDP Verbindungen zu beliebigen IP Adressen aufbauen kann. Zumindest gibt es dort entsprechende Objekte. Eventuell wird das vom Webbrowser unterbunden, aber im Prinzip würde es dann reichen wenn der Entwickler auf seinem PC eine entsprechende Web-Seite aus dem Netz aufruft die Code enthält der sich mit einem solchen Oszi verbindet. Eine solche Webseite könnte mit entsprechenden Begriffen wie Oszilloskoptyp, eventuell Beschreibung eines Fehlers/Lösung ausstaffiert werden so dass diese in den üblichen Suchmaschinen möglichst weit oben erscheint... Da hilft es auch nicht getrennte Netzwerkkarten, VLANs oder sonstewas zu benutzen. Der Entwickler PC kann immer als Sprungbrett genutzt werden, solange dieser Zugang zum Internet hat. Ein solches Netz (mit potentiell anfälligen Geräten) muss komplett isoliert sein, also mit keiner Maschine verbunden sein die einen irgend gearteten Zugang zum Internet hat. > Da die Oszis, anders als R&S, Lecroy etc. (ich gehe mal nur von Siglent > und Rigol aus) nicht nach aussen Funken gibt es auch keine Schnittstelle > auf die ein Hacker von aussen Zugreifen kann. Bei R&S wäre es bspw das > Statusupdate, die Aktivierung etc. (eventuell Windows Update). Wenn das Oszilloskop keine Schnittstelle hätte, wozu hat es dann einen Netzwerkanschluss? Natürlich hat es eine irgendwie geartete Schnittstellenfunktionalität die auch am Netzwerk sichtbar ist. Und nur weil die Original-Software keine Funktionalität hat um selbst nach draußen zu telefonieren heißt das ja nicht, das man diese als sog. "Hacker" nicht dazubauen könnte. Gerade im Bereich älterer Netzwerkdrucker (also die die noch nicht selbst Tinte bestellen konnten) gab es ja ab Werk auch erstmal nur Funktionen um die Druckdaten zu empfangen. Aber gerade diese Geräte wurde ja gerne als Einfallstor ins Firmennetz genutzt, indem die Firmware durch einen Angriff (über den Druckdatenempfang) so modifiziert wurde dass sie eben auch Daten senden konnte.
Axel Zucker schrieb: > Scopes werden spätestens zum feierabend ausgeschaltet und ausgeschaltete > Scopes können nichts auslesen ... > > Ich sag's ja, wahrscheinlich noch nie vor einem scope gesessen. Tja, wer nur Rigol kennt... https://www.keysight.com/en/pdx-x202271-pn-DSO6054L/low-profile-oscilloscope-500-mhz-4-analog-channels?cc=US&lc=eng Solche Geräte laufen in automatischen Prüfplätzen 24h am Tag. Die Ergebnisse werden ausschließlich über Ethernet ausgelesen und verarbeitet. MES und Prüfstände hängen natürlich an einem lokalen Netzwerk, aber irgendwo gibt es dann auch wieder ein Gateway ins Firmennetz, denn die QS will ja vom Büro aus Auswertungen fahren können. Genug zu tun für die IT, um das abzusichern.
Beitrag #5645684 wurde von einem Moderator gelöscht.
MiWi schrieb: > PS: es gibt Oszis, die keinen eigenen Bildschirm haben und nur über > LAN erreichbar sind... 1HE hoch, 4x1GHz Analogbandbreite, keine Ahnung > was für ein OS... und die funktionieren seit Jahren problemlos und auch > Netzwerksicher.... Der Fachbegriff ist Transientenrekorder oder Datenlogger aber nicht Oszilloscope ohne Schirm, weil dann isses kein scope aber auch kein Oszillator... Und solche Transientenrecorder sind auch eher dafür ausgelegt automatisiert 24/7 zu testen. Und schon aus Gründen der Isochronen datenübertragung im verbund eher nicht mit paketorientierenden Protokollen resp. Schnitstellen versehen sondern mit PCI-X. http://www.ni.com/pdf/product-flyers/oscilloscopes.pdf IMHO kann man schon einen Unterschied machen ob das Gerät zeitweise mit einem einzelnen Laptop verbunden wird wie so ein Nachmess-scope oder direkt als Netzwerkgerät konzipiert wurde, wo man wöchentlich Sicherheitspatches aufspielen muss. Und "Netzwerksicher" heisst hier lediglich, das die selbsternannten Sicherheitsexperten grad kein script zur hand haben, was auf solche profanitäten wie alte Versionen oder Standardpasswörter "testet". Mehr haben die bei dem oben genannten Scope nicht getrieben, diese Experten. >Ja, Oszis mit Soft-off sind dann ja auch komplett Stromlos und ausgeschaltet... Oszi haben kein Soft-Off, Elektrische Geräte mit denen der Elektrofachmann arbeitet müssen mit einem Netzschalter versehen sein, der die Ganze Kiste hart vom Stromnetz trennt, also die so schön klacken beim Ausschalten. Und in manchen Laboren ist es immer noch üblich, das die letzten beiden die gehen entweder Not-Aus drücken oder den Hauptschalter (der mit dem lauten "Klack") betätigen. Ich sags ja, Softwerker und Grundlagen Elewktro-Gerätetechnik.
Brummbär schrieb: > Es geht auch nicht nur darum, dass Messwerte verfälscht werden. > Der Angreifer will aber auch keine Messwerte auslesen Du denkst etwas sehr viel zu kurz. Folgendes Szenario: Du hast eine Maschine/Anlage, welche die ganze Zeit ueberwacht wird, z.B. einen Generator. Ist die Anlage gross genug, und waere ich ein staatlicher Akteur, z.B. NSA, Mossad, etc. dann will ich die Messwerte schon verfaelschen. Waerend ich die Anlage hoch/runter drehe und damit in die Zerstoerung treibe, siehst du auf deinem Monitor die angeblich richtigen Werte. Und dann fragst du dich, warum gerade die Anlage explodiert ist. Klar, jetzt werden wieder die ueblichen Kommentare kommen, dass das ja total unrealistisch waere. Sehe ich aber nicht so. Das ist ein ganz reales Szenario. Siehe Stuxnet, siehe den Blackout in der Ukraine wegen Hackerangriff, die kaputten Hochoeffen der deutschen Stahlindustrie... Es ist sogar sehr interessant die Messwerte zu faelschen. Je nach Angreiffer sogar interessanter als ein langweiliges Botnetz, das sich viel leichter aufbauen laesst, als das man dazu ein Oszi hacken muesste. Stuxnet habe ich schon genannt, dann lege ich auch gerne noch das Buch "Blackout" und den Film "Blackhat" nach. Aber sicher, es gibt keine Gefahr. Sind ja alles nur ausgedachte Geschichten...so wie "1984" ja auch.
Das Ganze wird nochmal richtig interessant wenn wirklich irgendwann ipv6 flächendeckend eingeführt ist und praktisch jedes Endgerät aus dem Internet zumindest direkt addressierbar ist. Momentan verhindern ja schon meistens die privaten ipv4 Adressen im internen Netz das Schlimmste, da durch das zwangsläufige NAT die Geräte nicht direkt von außerhalb ansprechbar sind, selbst wenn man die Firewallpolicy total vergurken würde.
Bürovorsteher schrieb: > Muss man wirklich jeden Pisstopf ans Internet hängen? Es geht nicht um Anschluss ans Internet, sondern um das ganz gewöhnliche Hausnetz. Solange du davon ausgehst, dass euer internes Netz sicher ist, ist das kein Problem. Aber davon kannst du heute nicht mehr automatisch ausgehen, wenn alle PCs, Server und Pisstöpfe gleichermassen im Hausnetz hängen - und natürlich ein WLAN mit einem Passwort, das sämtliche Ex-Mitarbeiter der letzten 5 Jahre auch noch kennen.
A. K. schrieb: > Solange du davon ausgehst, dass euer internes Netz sicher ist, > ist das kein Problem. Ich finde es interessant, daß jetzt jeder Hersteller dafür verantwortlich sein soll, daß seine Geräte keine Probleme machen, egal wie unfähig der Anwender ist. Wenn Du bei deinem Auto die Bremsen ausbaust bist Du schuld, wenn Du Dein Messgerät ins Internet hängst, ist der Hersteller schuld. Irgendwie ist moderne Technik selbst für 'Fachzeitschriften' nicht überschaubar.
Horst schrieb: > Ich finde es interessant, daß jetzt jeder Hersteller dafür > verantwortlich sein soll, daß seine Geräte keine Probleme machen, egal > wie unfähig der Anwender ist. Halt wie in america, wo man extra dranschreiben muss, das "heisser Kaffee" heiss ist und man damit sich verbrühen kann. Und man Hunde nach dem Waschen nicht in der Mikrowelle trocknet ....
JGP schrieb: > W95 braucht keinen "Sicherheitspatch". Es gibt schon lange keine W95 > Viren mehr. Kann ich so nicht bestätigen. Ich hab hier in der Firma ein halbes Jahr gebraucht um Rauszubekommen wo der verd.... uuralt Bootvirus im Netz alle Nase lang wieder herkommt. Bis ich per Zufall den Chef dabei beobachtet habe wie er einen USBstick in den 4Kanal 4Ghz Tek Oskar gesteckt hat zum Screenshots sichern... Stellte sich raus daß da ein Win NT drauf läuft das verseucht war. Braucht also nicht mal Netzwerk um Ärger zu machen.
:
Bearbeitet durch User
Michael B. schrieb: > Bis ich per Zufall den Chef dabei beobachtet habe wie er einen USBstick > in den 4Kanal 4Ghz Tek Oskar gesteckt hat zum Screenshots sichern... > Stellte sich raus daß da ein Win NT drauf läuft das verseucht war. Nicht nachvollziehbar. Also das scope schreibt einen ´Boot-Virus auf den Stick vom Cheffe -> das kann man ja noch glauben. Aber wie kommt dann der BootVirus vom Cheffe Stick ins Netzwerk? Bootet der Cheffe das Firmennetzwerk von seinem WIN-NT Stick? Scannt der vorhandene Virenwächter keine Sticks?
Axel Zucker schrieb: > Bootet der Cheffe das Firmennetzwerk von seinem WIN-NT Stick? > Scannt der vorhandene Virenwächter keine Sticks? Ich hab keine Ahnung wie der das schafft. Virenwächter sind installiert... und bei MIR warnt der auch wenn ich Chefs USBStick einstecke... wie er das immer hinbekommen hat den gleichmässig im Netz zu verteilen ist mir ein Rätsel. Seit ich die Platte des Oscars "geputzt" habe ist allerdings Ruhe. Vorher ist der so alle paar Wochen wieder "aufgepoppt" und ich "durfte" die Rechner im Netz "säubern" ("Sauberes" Image einspielen und aus den neueren Backups die neueren Nutzdaten zurückspielen).
Axel Zucker schrieb: > Halt wie in america, wo man extra dranschreiben muss, das "heisser > Kaffee" heiss ist und man damit sich verbrühen kann. Und man Hunde nach > dem Waschen nicht in der Mikrowelle trocknet ... Nicht nachvollziehbar. Ja, klar - klasse Text, ist ja auch immer wieder ein Brüller :-O Leider aber waren die beiden "Geschichten" real doch nicht ansatzweise so, wie Du das hier "Stammtisch-ge-brüllst". googlen und lesen und verstehen sollte dem abhelfen, nicht nur wieder und wieder nachplappern...
Alfies schrieb: > Leider aber waren die beiden "Geschichten" real doch nicht ansatzweise > so, wie Du das hier "Stammtisch-ge-brüllst" Doch!
Horst schrieb: > Wenn Du bei deinem Auto die Bremsen ausbaust bist Du schuld, wenn Du > Dein Messgerät ins Internet hängst, ist der Hersteller schuld. Es reicht ja schon das lokale Netz, es muss ja gar nicht offen im Internet hängen. Und ja, wenn ich einen RJ-45-Stecker ranbaue, muss ich damit rechnen, dass der auch genutzt wird. Dein Vergleich ist absolut dämlich, du Horst.
vn nn schrieb: > Und ja, wenn ich einen RJ-45-Stecker ranbaue, muss ich damit rechnen, > dass der auch genutzt wird. Dein Vergleich ist absolut dämlich, du > Horst. ja klar, ab sofort werden Geräte mit RJ-45 nur gegen nachweis eines IQ >= 120 und aktueller sicherheitsschulung abgegeben. Würde echt den weltfrieden retten.
Axel Zucker schrieb: > Alfies schrieb: >> Leider aber waren die beiden "Geschichten" real doch nicht ansatzweise >> so, wie Du das hier "Stammtisch-ge-brüllst" > > Doch! Danke. quod erat demonstrandum
Alfies schrieb: > Axel Zucker schrieb: >> Alfies schrieb: >>> Leider aber waren die beiden "Geschichten" real doch nicht ansatzweise >>> so, wie Du das hier "Stammtisch-ge-brüllst" >> >> Doch! > > Danke. > quod erat demonstrandum Errare humanum est Bitte!
vn nn schrieb: > Es reicht ja schon das lokale Netz, es muss ja gar nicht offen im > Internet hängen. > Und ja, wenn ich einen RJ-45-Stecker ranbaue, muss ich damit rechnen, > dass der auch genutzt wird. Wie soll das Scope denn Unsinn machen, wenn Du ihm den Weg ins Internet, also das Gateway, nicht zeigst? Sprich die Bremse ausbaust? Es geht um einen offen Telnetzugang. Wie soll damit estwas passieren, wenn kein Weg dahin besteht? Irgend ein Gerät an einen Heimrouter zu stöpseln und hoffen daß nichts passiert ist dumm, wenn auch sehr verbreitet. Da würde ich neben dem Nutzer aber eher dem Routerhersteller die Schuld geben, die unkontrollierte freizügige Vergabe aller Netzwerkeinstellungen und der schönen automatischen Freigaben per UPNP ist natürlich viel besser als ein freier Zugriff bei einem Gerät daß nur für den lokelen Betrieb gedacht ist.
Horst schrieb: > Wie soll das Scope denn Unsinn machen, wenn Du ihm den Weg ins Internet, > also das Gateway, nicht zeigst? Sprich die Bremse ausbaust? > Es geht um einen offen Telnetzugang. Wobei in der gennannten Sicherheitshinweis kein proof of concept für Fernzugriff über telnet gegeben wird. Da steht lediglich: Zitat: Proof of concept: ----------------- 1) Hardcoded Backdoor Accounts The following password hashes were dumped from "/etc/shadow" by connecting to the UART interface on the PCB: root siglent (The password hashes have been removed from this advisory) 2) Missing Authentication / Design Issue It is sufficient to install the "EasyScopeX" software and control the oscilloscope without any authentication. 3) Unencrypted Communication The software "EasyScopeX" communicates in plaintext via various ports by using the portmapper. The default ports are "5024" and "5025". snip Zitat Ende Man kann also mit der richtigen Software einfach mit dem scope kommunizieren das gilt als Beweis das das Scope eine Sicherheitslücke hat. Naja, jeder Idiot kann ein Schere benutzen um sich damit die 313R abzuschneiden. Das ist dann auch ne Sicherheitslücke an einem Laborwerkzeug...
Thread beobachten
Seitenaufteilung abschaltenBitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.