So manche Dinge sind offenbar ganz tief verwurzelt in den Gehirnen von Programmierern. Zum Beispiel, dass man in Steuerungssoftware unbedingt einen (aber natürlich nicht dokumentierten…) Admin- oder Superuseraccount einbauen muss . Am besten mit einem festen, hardcodierten Passwort wie “admin” oder “12345”. Weil – ja weil? Ach ja, weil man dann, wenn der DAU-Kunde das System vermurkst hat, ganz easy von außen wieder alles in Ordnung bringen kann. Oder – na ja; irgendwie ist das auch ganz nett, da mal bei Bedarf reinzuschauen in so ein Kundensystem, vielleicht läuft da irgendwas interessantes ab. Oder vielleicht möchte man das System ja auch mal abschalten oder sabotieren. Oder so.

Mit anderen Worten: Immer wenn mal wieder eine Backdoor aufgedeckt wird, fragt man sich, ob die verantwortlichen Hersteller und Programmierer nur dämlich oder aber böswillig sind. Am besten ist natürlich, wenn sie ihre Hände in Unschuld waschen und die Verantwortung auf den Kunden schieben: “Klar ist da eine Backdoor drin. Aber das macht ja gar nix, das System wird ja auch immer nur hinter einer super-dichten Firewall betrieben. Und außerdem: Wer sollte schon auf die Idee kommen, Strahlenmessgeräte oder Autowaschanlagen hacken und manipulieren zu wollen?”

Embed from Getty Images

Genau. Da kommt nie im Leben einer auf die Idee. Man soll anderen Menschen ja nichts Böses wünschen. Aber wenn jetzt die Verantwortlichen für die Strahlenmess-Software von einer wahnsinnig gewordenen Waschwalze zerdrückt und die Waschanlagen-Programmierer durch rausgeschmuggeltes Plutonium verstrahlt würden, dann würde doch ganz bestimmt überall in der Welt ab sofort besserer Code geschrieben werden? OK, das war jetzt ein irrationales Gedankenspiel. Außerdem profitiere ich ja von der Schlamperei – da hat man immer etwas nett Gruseliges zu berichten 🙂 …

Black Hat-Hacker-Konferenz: AKW bis Waschanlage · Deutschlandfunk Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 28.07.2017 (Moderation: Diane Hielscher)

Nachklapp 31.07.2017: Ein Bericht bei Heise: “Reddoxx: Angreifer können TÜV-geprüfte Mail-Archivierungssoftware kapern“.

Weitere von RedTeam gefundene Lücken betreffen einen nicht dokumentierten Administrator-Account, mit dem Angreifer sich mit Admin-Rechten anmelden können.

Sag ich doch. Die Backdoor muss da einfach unbedingt rein in eine Software. Auch wenn die TÜV-geprüft ist.