Konferenz: Hacker drohte Festnahme wegen Vortrag

Ursprünglich wollte der Sicherheitsexperte Raoul Chisea auf der Sicherheitskonferenz Hack In The Box in Form von einem Vortrag Schwachstellen von Bankautomaten aufzeigen. Diesbezüglich wurde ihm schon im Vorfeld mit einer Festnahme gedroht. mehr...

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben

[o1] am ++15 --1

Die Hersteller drohten mit Festnahmen?

[re:1] am ++6 --4

@mcbit: Jap. Nur mit welcher Begründung würde mich mal interessieren.

[re:1] am ++13 --

@Slurp: Maximal können die Hersteller mit'ner Klage drohen, aber niemand festnehmen! Deshalb wohl seine Frage...

[re:2] am ++5 --

@Slurp: Freie Meinungsäußerung ist das Delikt. Es heißt zwar das man beim Kapitalist / Demokratie Rede und Meinungsfreiheit hat, dem ist aber nicht so.

[re:1] am ++--

@marcol1979: Ist es euch noch nicht aufgefallen??? Man hat zwar in diesem Land eine Stimme aber die darf man nur alle 4 Jahre abgeben, danach hat man hier nichts mehr zu sagen....

[re:2] am ++1 --1

@mcbit: musste spontan an 'the Coca Cola case' denken

[o2] am ++1 --1

Ansich verständlich aber auch unverständlich.
Verständlich insofern, als das die Hersteller ja nicht wollen, dass jemand diese Lücke ausnutzt, und unverständlich, weil ja evtl auch andere auf solch eine Idee kommen bzw. wie hier, auf Vorhandenes Material zurückgreifen können.

[re:1] am ++4 --

@BigFunny: Was hindert die Hersteller daran, die Lücken zu schließen? Jemanden mundtot zu machen, indem man ihm mit Kidnapping droht, ist doch wohl eher was für die Mafia, oder?

[re:2] am ++17 --

@BigFunny:
Das letzte was ich von einem Geldautomaten erwarte ist eine Sicherheitslücke!
Wenn jemand dann eine findet und den Hersteller darüber informiert und dieser nichts tut, ist das für mich eine riesen Sauerei.

Bearbeitet am 08.07.10 um 11:53 Uhr.

[re:1] am ++1 --

@ichmagcomputer: Absolut richtig. Daher sollte man den Hersteller informieren und nach einer gewissen Zeit das ganze öffentlich machen. Am besten schon dem Hersteller direkt sagen: "Nach 90 Tagen wird diese Lücke veröffentlicht." Dann wissen die was sie erwartet.

[re:1] am ++--

@Timurlenk: Ich denke mal, dass er das in etwa so auch getan hat. Wie übrigens viele, die Lücken entdecken und öffentlich machen wollen. Ehrlich gesagt, sind die Hersteller selbst Schuld, wenn sie dann dennoch nichts gegen die Lücken machen.

[re:3] am ++1 --

@BigFunny: würden die Hersteller mit einer Klage drohen und gleichzeitig die Lücken schließen, würde niemand was sagen. Aber mit einer Klage drohen, da man wohl nicht geneigt ist, die Lücken zu schließen, ist dreist

[o3] am ++3 --

Tja Google hätte die direkt veröffentlicht.... Ne im Ernst das geht doch nicht, der hat die gewarnt und anscheinend ist es denen egal. Der sollte es veröffentlichen, damit die dran arbeiten, denn sie kassieren sicherlich ordentlich Geld...

[o4] am ++2 --1

typisch winfuture, denn bei "Security-Experten machen sich über Microsoft lustig" waren einige hier anderer meinung obwohl dort die lücken auch rechtzeitig gemeldet wurden. mit festnamen drohen ist eben billiger als lücken schließen. in diesem fall sollten zuständige schnellstens eingreifen und der bankomaten firma kräftig auf die finger klopfen.

[re:1] am ++--

@OSLin: Nein bei der Microsoftsache war es so das Sicherheitslücken gepostet wurden OHNE M$ vorher bescheid zu sagen.
- Hier wurde bescheid gesagt
- nichts wurde getan
- Es sollte öffentlich werden
- Es wird mit "Festnahme" (vermutlich anklage) gedroht.

[re:1] am ++1 --1

@Zerodime: suche auf wf einfach nach Ormandy. die erste von ihm gemeldete lücke an ms war nach einem jahr nicht geschlossen, worauf er eine weitere an ms gemeldete lücke nach 5 tagen veröffentlichte um nicht wieder warten zu müssen. der unterschied an den beiden news, der bankomathersteller droht mit klage und microsoft hat "nur" massive kritik geübt. dem bankomatbetreiber sollte im notfall wenn er nichts dagegen unternimmt die aufstellberechtigung entzogen werden und selbst angeklagt werden.

[re:2] am ++--

@OSLin: Du hast den Artikel nicht gelesen. Da war eine Gruppe Hacker, die eben NICHT den Hersteller informieren, sondern nur die Lücken veröffentlichen (quasi als Anleitung zum Misbrauch). Daneben gab es den Google-Menschen, der 5 Tage nach informieren des Herstellers das ganze öffentlich gemacht hat. Das ist absolut verantwortungslos.

[re:1] am ++1 --1

@Timurlenk: und du hast nicht verstanden warum MSRC so vorgeht und microsoft keine lücken mehr meldet. genau wegen dem google-mensch ormandy dessen lücken meldungen einfach von ms ignoriert wurden. du kannst zwar herrlich minus verteilen aber worum und wieso es dazu kam kapierst du immer noch nicht.

[re:1] am ++--1

@OSLin: Beleidungen helfen Deiner Argumentation auch nicht. 5 Tage sind kein Zeitraum der akzeptabel ist. Und ich muss auch nicht erwarten, dass ein Hersteller bei jedem der ihm einen Fehler meldet vorbei kommt und sagt: "Danke, dass Du mir den Fehler gemeldet hast, darf ich Dir ein Keks anbieten?" Wenn man eine Lücke veröffentlich ohne dem Hersteller eine Chance zu geben diese zu fixen, dann erzieht man nicht den Software-Hersteller, sondern gefährdet nur die Benutzer draussen. Dann ist man kein Held, sondern nur ein Ar...loch.

[o5] am ++--

Die machen sichs ja ganz einfach... Zudem wird er nicht der einzige sein der die Schwachstelle kennt, also nur weil er es der Masse nicht mitteilt is das Problem nich aus der Welt. Da herrscht Handlungsbedarf, aber da sind wohl mal wieder welche zu faul nen Team zusammenzustellen und rufen lieber gleich den Anwalt wegen Unterlassungserklärungen an -.-

[o6] am ++--

Tja, unbequeme Wahrheiten.

[o7] am ++--

Geld regiert die Welt....

[o8] am ++--

Ich vermute mal, dass den Bankautomatenhersteller diese Probleme bekannt sind, die aber das wahrscheinlich ohne grosse Kosten (X-Automaten in the wild) nicht beheben können. Dann wird halt versucht, die Leute die so etwas offenlegen wollen mundtot zu machen. Übrigens war diese besagte Konferenz in Amsterdam. Unter folgenden Link kann man mehr dazu lesen und auch von Barnaby Jack, der eine Möglichkeit gefunden hatte das ATMs mehr Geld ausgeben als gewünscht (http://www.theregister.co.uk/2010/07/06/atm_security_talk_pulled/).

[re:1] am ++--

@drhook: Warum vermutest Du nur? Steht doch im Beitrag, dass die Probleme bekannt sind.

[re:1] am ++--

@mcbit: Ich vermute, dass die wegen hoher Kosten (möglicher Austausch von Bankkarten oder Firmwareupdates der Bankautomaten) nicht konkret an die Problemlösung gehen sondern einfach erst mal hoffen, dass wenig "passiert". Gibt es dann aber massive Probleme (wie Anfang des Jahres mit dem 2010-Problem) dann muss etwas getan werden und dann wird es richtig teuer.

[o9] am ++--1

Naja, bei dem Namen...

[10] am ++--

Was soll das Gedöns mit der Drohung einer Festnahme? Sind die schon zur Executive aufgestiegen, oder ist das ein privates Unternehmen? Solange Chisea nicht mittels revers engineering an die Informationen gelangt ist kann dem keiner was .. bzw. sollen die doch klagen!