Priusfreunde.de

Wieso sollte das illegal gewesen sein?

Mir ist es lieber, solche Dinge werden offengelegt, dann ist der Hersteller gezwungen Fehler zu beheben.

Sonst kann man ja immer leicht behaupten "ist sicher".

Nichts desto trotz ist hier sicher ein bißchen Publicity hascherei im Spiel.

Ist es legal eine Verschlüsselung
im Personalausweis
in der Kredit Karte
in der EC Karte
in der Pay TV Karte
im digitalen Polizeifunk
E-Mail Passworte
usw. usf.
zu "hacken"?
Ohne das ich jetzt dazu Gesetzestexte uvm. suche, sollte die Antwort eindeutig sein.
Wenn Firmen Schwachstellen aufdecken, ist das eine Sache, die bereits einen faden Beigeschmack hat. Wenn das Studenten im Lehrbetrieb machen "müssen", ist das für mich "der Gipfel". Gruß Hybridfan5

Das siehst du mMn. völlig falsch.

Sicherheitsforschung ist eminent wichtig um eben solche Schwachstellen in Software und Hardware aufzudecken und damit eben die Ausnutzung durch kriminelle zu verhindern sowie Druck auf die pfuschenden Hersteller auszuüben, in Zukunft korrekte und gute Verschlüsselungsmethoden zu verwenden und sichere Software zu entwickeln.

Die Firmen, wissenschaftliche Mitarbeiter, Studenten und Privatpersonen, die diese Verschlüsselung hacken und die Lücken veröffentlichen, leisten damit äußerst wertvolle Arbeit. Studenten lernen dadurch zudem, wie man es nicht machen sollte.

Kriminelle lassen sich von verboten nicht abhalten, Sicherheit bietet nur eine sichere Implementierung.

Ich hoffe, wir kommen nicht vom Thema ab.
Kriminelle lassen sich von verboten nicht abhaltenDamit gibst Du zu, es ist etwas gesetzeswidrig.

Auf die schnelle ein Presseartikel ( bitte lesen ! ):
Hacken, ausspähen, abfangen - was alles strafbar ist
Schon wer sich unbefugt Zugang zu fremden Daten verschafft, verstößt gegen das Gesetz. Dann drohen Haft oder Geldstrafe. - www.sueddeutsche.de/digital/hackerangriff-strafrecht-1.4277701

Sicherheitsforschung ist eminent wichtig um eben solche Schwachstellen in Software und Hardware aufzudecken.Forschung steht im Vorfeld. Nicht hinterher an bestehenden Systemen. Wenn bestehende Systeme Schwachstellen haben, ist im Vorfeld etwas schief gegangen.
Es können ja gerne Firmen den Verschlüsselungschipherstellern, den Autoherstellern, Banken etc. Ihre Dienste anbieten und im Vorfeld, bevor das Produkt in den Markt gelangt, dies absichern. Alles danach ist in meinen Augen strafbares Hacken.

Gruß Hybridfan5

Warst du vom Fach, würdest du das garantiert anders sehen. Grundsätzlich gibt es keine 100% sichere Software, dazu kommt, dass viele Firmen / Entwickler entweder kein Bewusstsein für sicherer Entwicklung haben oder schlicht nicht die Kompetenz.

Sicherheitslücken, vor allem unentdeckte zero day Lücken, sind ein riesen Geschäft und werden sowohl von Geheimdiensten als auch Kriminellen ausgenutzt.

Jede Lücke, die vor ihrer Ausnutzung entdeckt , behoben und veröffentlicht wird, ist ein Segen. Grundsätzlich informieren die Entdecker normalerweise zuerst den Hersteller / Inverkehrbringer der Software und warten auf die Behebung bevor sie die Lücke veröffentlichen. Reagiert der Hersteller nicht, wird die Lücke auch so veröffentlicht, um Druck auf den Hersteller zu erzeugen, was oftmals leider auch nötig ist.

Oder ist es dir lieber, Kriminelle entdecken die Lücke, klauen dein Auto und geben dein Geld aus? Hinterher weiß dann keiner wie sie das gemacht haben und keiner glaubt dir, die Versicherung zahlt entsprechend nicht? Und das können sie so lange machen wie sie wollen, weil die Forschung verboten ist?

Der sog. Hackerparagraph ist übrigens eine Schande für unsere Gesetzgebung, die das Thema leider auch nicht verstanden hat. Und zudem ein ernsthafter Wettbewerbsnachteil für europäische Firmen.

illusion schrieb:
Warst du vom Fach, würdest du das garantiert anders sehen.
Ich glaube, die Aussage ist nicht konkret. Wo ist die Grenze ? Was muss ich wissen, was muss ich nicht Wissen, um vom Fach zu sein ?

Vielleicht kennst Du den Werdegang von Hrn. Schilly. Vom Rechtsanwalt einiger RAF Terroristen und über die Politik zum dt. Innenminister.
Was will ich damit sagen ? Hr. Schilly hat eine Kehrtwende innerhalb seines Lebens durchgeführt. Er war vom Fach und hat doch seine Meinung im Laufe der Zeit geändert.

Somit sollte man niemandem unterstellen, er würde etwas garantiert anders sehen.

Oder ist es dir lieber, Kriminelle entdecken die Lücke, klauen dein Auto und geben dein Geld aus? Genau das ist Panikmache ! In diesem veröffentlichten Fall wird wegen des Aufwand niemand das Auto stehlen.

Wie gesagt, ich sehe forschen an UNIs im Vorfeld. Neue Verschlüsselungsverfahren erdenken und später industriell umsetzten. Militär und Abschirmdienste versuchen das unter Verschluss zu halten. Dagegen hilft dann nur ein Veröffentlichung der neu erforschten Idee.

Gruß Hybridfan5

Ja, in DIESEM Fall wird die Lücke voraussichtlich nicht ausgenutzt werden. Dennoch haben die betroffenen Hersteller sprichwörtlich gesagt "Scheisse gebaut" und dadurch ein eigentlich sicheres System unsicher genutzt. Durch die Veröffentlichung werden die Hersteller auch aufgrund des Imageschadens in Zukunft gezwungen sein, besser auf solche Dinge zu achten, was wiederum einige wirklich kritische Lücken verhindern kann. Zudem bewahrt es andere davor, den selben Fehler zu machen.

illusion schrieb:

Der sog. Hackerparagraph ist übrigens eine Schande für unsere Gesetzgebung, die das Thema leider auch nicht verstanden hat. Und zudem ein ernsthafter Wettbewerbsnachteil für europäische Firmen.
Der sogenannte Hackerparagraph ist kein Wettbewerbsnachteil. Das haben einige falsch verstanden. Kein Richter würde einen Sicherheitsforscher verurteilen, wenn dieser sorgsam vorgeht. Der schaut sich auch die Kommentierung zu den Gesetzen an, bevor er etwas macht.

Und die CERTs sowie unsere entsprechenden Bundesämter sind froh, wenn man Ihnen Sicherheitslücken meldet. Da wird sicherlich keiner bestraft, der keine vorsätzliche Straftat begangen hat.

Sofern man keine Straftat vorbereitet/begeht (unbefugtes Aussähen von Daten, etc.) kann man ohne Probleme Tools verwenden und diese auch selbst entwickeln. Wichtig ist halt und das ist m.E. selbstverständlich, dass man dies nicht unbefugt macht. Wer also mit dem Besitzer der Daten abstimmt, dass man die Daten abhört, manipuliert, etc. hat gar kein Problem.

Wenn ich mein eigenes Auto hacke bzw. nach Schwachstellen suche oder dies mit dem Besitzer abstimme, ist das kein Problem.

Wer allerdings unbefugt die Autos anderer hackt, gehört m.E. bestraft.

illusion schrieb:
ein eigentlich sicheres System unsicher genutzt. Aufgrund der Veröffentlichung ist dem nicht zu widersprechen.

Zudem bewahrt es andere davor, den selben Fehler zu machen.Dem kann ich zustimmen.

Ja, in DIESEM Fall wird die Lücke voraussichtlich nicht ausgenutzt werden.Darin sind wir zwei uns offenbar einig. Und wenn man das als Grundlage nimmt, so haben die Hersteller zwar eigentlich eine Dummheit begangen, welche jedoch voraussichtlich keinerlei Folgen hat. Vielleicht hatten die Hersteller das damals durchaus einkalkuliert.

Wozu also nun ( nach ca. 6 J. im Fall Toyota ) eine öffentliche Diffamierung besagter Hersteller durch Fachleute (die besagte UNI) und auf den Zug aufgesprungene Medien ? In meinen Augen ist das nicht erforderlich gewesen.

Bitte jetzt keine Danksagungen zu meinen bereits 5000 Beiträgen. Ich wollte diese Anzahl nie erreichen.
Viele Grüsse Hybridfan5

@Hybridfan5, o.k., dann ohne weiteres Lobgehudel: "Danke!"

Ganz so einfach, wie es Toyota sagt, ist es leider nicht

RFID ist ein inzwischen weit verbreiteter Standard, für den es sehr preisgünstige Lesegeräte gibt - das ist alles Andere als eine "hoch spezialisierte Technik"!

Mit den ausgelesenen Daten einen neuen Schlüssel zu fertigen ist zwar ein wenig aufwendiger, aber selbst in diesem Forum findet man Hinweise auf entsprechende Geräte.

Auch den Hinweis auf "alte" Fahrzeugtypen finde ich schwach, zumal Toyotas eher langlebig sind.

Warum ist der Hinweis schwach das Toyota offenbar die Lücke im System selbst erkannt und entsprechend gehandelt hat?

Beim RAV4 dem Auto was ja laut Versicherer das geklaute Auto schlechthin ist, betrifft es nicht mal die XA4 Baureihe sondern den deutlich günstigeren Vorgänger.

Pardon, das war wohl unglücklich formuliert

Als 'schwach' empfinde ich diese Argumentation von Toyota, weil man das Ganze für die betroffenen "alten" Fahrzeuge aussitzen möchte, ohne etwas zu tun.


Darüber hinaus, um es ganz deutlich zu machen: Der Heise-Artikel ist IMHO trotz einiger sachlicher Informationen arg reiserisch geraten und der Uni ging es wohl auch in erster Linie um Publicity.

Zitat:
Verdacht auf Ransomware
Honda muss Produktion nach Cyberangriff stoppen

In mehreren Ländern musste der Auto- und Motorrad-Hersteller seine Produktion anhalten: Verantwortlich ist offenbar ein relativ neuer, auf Industrieanlagen ausgelegter Verschlüsselungstrojaner.
- www.spiegel.de/netzwelt/web/honda-muss-p...c7-9ee9-59d3926d6314

Grüße, Egon

BSI weist Automobilindustrie auf Sicherheitsprobleme hin
Mit der weiteren Digitalisierung und Vernetzung von Autos ist zu erwarten, dass Schwachstellen auftreten und behoben werden können. Davon geht das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem dritten "Branchenbild Automotive" zur Cyber-Sicherheit in der Automobilbranche aus. Darin behandelt das BSI neben der Sicherheit im Fahrzeug selbst auch Aspekte in der Produktion, in Lieferketten und der Infrastruktur wie Ladestationen.
www.heise.de/news/BSI-weist-Automobilind...eme-hin-9292044.html

LG
Klaus