Edition 20

Dreieinhalb Jahre nach Veröffentlichung des Fixes waren 1.590 dieser Systeme allein in Frankreich noch über das Internet erreichbar. Niemand hat hier einen Zero-Day eingesetzt. Jemand hat ein Risiko akzeptiert, durch eine Unterschrift, ein aufgeschobenes Budget oder ein Schweigen, und genau diese Entscheidung habe ich diese Woche aufgeschrieben. Ein Cyberrisiko ist ein Geschäftsrisiko; es wird ungefähr so akzeptiert, wie man die Pflanze in der Rezeption auswählt: eine Zeile in einer Tabelle, kein Betrag, kein Ablaufdatum, oft kein Name. Kein Supermarkt darf sein eigenes Brandschutzniveau selbst festlegen. Er wendet es an, finanziert es und lässt es von einer Kommission prüfen, die die Türen schließen kann. Lesen Sie Ihr eigenes Risikoregister mit diesem Gedanken im Hinterkopf und prüfen Sie, welche akzeptierten Risiken einer Verlesung standhalten würden.

Jeder Schritt vertraute dem vorherigen. Das Manifest trug eine gültige Signatur, also akzeptierte der Pairing-Dienst es, und niemand fragte, ob die Signatur einer Demo-App einen privilegierten Schlüssel wert sein sollte. Die App war legitim, also prüfte niemand, wohin sie navigierte. Der Daemon vertraute seiner Eingabe. Eine gültige Signatur ist keine Berechtigung, und ich habe diese Aussage inzwischen in diesem Quartal dreimal aufgeschrieben, einmal zu einem MFA-Token und einmal zu einem Zahlungssignierungsprozess. Währenddessen führt der Fernseher in Ihrem Sitzungssaal Anwendungen aus, stellt Dienste bereit, die Befehle von anderen Geräten entgegennehmen, und erscheint in keinem Asset-Register.

Jedes Mobile-Security-Modell, das Sie haben, geht davon aus, dass das Betriebssystem der Trust Anchor ist und die Bedrohung als App ankommt. Hier wurde sie unter der Plattformsignatur ausgeliefert, sodass Androids eigene Schutzmechanismen sie als vertrauenswürdig einordnen, ohne Möglichkeit zur Bereinigung. Man reinigt das Gerät nicht, man entsorgt es. Für eine Organisation ist das nicht das BYOD-Gespräch, das Sie bisher geführt haben. Es ist das Sechzig-Euro-Smartphone, das ein Auftragnehmer auf einem Marktplatz gekauft hat und das Traffic durch Ihr Netzwerk leitet und Benachrichtigungen vom Bildschirm liest. Bitdefender stellt klar, dass die dauerhafte Lösung bei den Herstellern und den Marktplätzen liegt, was eine andere Art ist zu sagen, dass sie nicht kommt.

Der Hersteller wurde nicht kompromittiert. Seine Systeme wurden nie berührt. Jemand hat sich zwischen Fabrik und Käufer eingeschaltet, und die vom Hersteller bereitgestellte Echtheitsprüfung war dafür konzeptbedingt blind. Grand zerlegt seit Jahrzehnten Hardware und sagt, er habe so etwas bisher noch nie in der Praxis gesehen. Jetzt hat er vier von acht gefunden. Abstrahiert man von der Kryptothematik, stellt sich eine unbequeme Frage: Welcher Anteil Ihrer Hardware kommt über einen Reseller, den Sie nie bewertet haben, und was würden Sie bei Erhalt tatsächlich prüfen? Manipulationssichere Verpackung ist keine Antwort, wenn das Implantat unter der Batterie sitzt.

Die vier oben genannten Fälle betreffen Geräte, die niemand geprüft hat. Dies ist der Fall, in dem jemand es getan hat, und das war kein Zufall. OpenAI betreibt ein Team, das Räume physisch absucht, was fast keine Organisation tut, und als sie das Gerät fanden, taten sie das Schwierigere: Sie ließen es vor Ort und beobachteten es. Das ist ein Decoy, in einem Sitzungssaal, und es ist genau das, was CISA einen Monat zuvor empfohlen hatte. Beachten Sie auch die Zurückhaltung im weiteren Verlauf. Zugang eingeschränkt, der Mitarbeiter beurlaubt, die Kündigung mit dem FBI abgestimmt, damit die Ermittlung nicht beeinträchtigt wurde. Wenn ein Insider-Fall auf Ihrem Schreibtisch landet, ist das die Abfolge, die Sie übernehmen sollten.