Web-Sicherheit

Mai 4, 2011

Polizeispitzel packt über Sony’s PlaysStation Network aus

Filed under: Allgemein — sebastiankuebeck @ 08:56
Tags: , , ,

Zwei Monate vor dem Einbruch in Sony’s PlaysStation Network unterhielten sich einige Playstation-Hacker über Sicherheistprobleme dieses Netzwerks. Der Teilnehmer „Trixer“  schreibt:

Wenn Sony diesen Channel verfolgt, sollten sie wissen, dass es nicht sehr gescheit ist, eine ältere Version des Apache Webservers mit bekannten Schwachstellen auf einem RedHat Linux Server laufen zu lassen, besonders dann nicht, wenn der Server jedem seine Versionsnummer verrät und wenn es der Server ist, auf dem sich die PlaysStation-Network-Mitglieder anmelden.

Anm: Inzwischen hat Sony zugegeben, dass Hacker über eine bekannte Schwachstelle in das PlaysStation Network (PSN) eingedrungen sind.

Stehen PlayStation-Hacker hinter dem Einbruch?

Diese Unterhaltung wurde am 16. Februar imIRC Channel „#ps3dev“ abgehalten. Das ist ein Forum für Leute, die ohne Genehmigung von Sony an ihrer eigenen PlayStation herumbasteln. Sie installieren beispielsweise neue Firmware, versuchen, Linux auf der PlayStation laufen zu bringen oder arbeiten daran, ihr eigenes PlaysStation Network aufzubauen. Inzwischen werden diese Leute bereits in zahlreichen Foren beschuldigt, hinter dem Einbruch zu stehen.

Die interessante Vergangenheit von Bret McDane

In einem Interview bestreitet Bret McDane alias „Trixer“ diese Vorwürfe. Der 38-jährige Bret McDane kam 2003 in die Schlagzeilen, als er 16 Monate für ein Computer-Verbrechen im Gefängnis saß, dass er nie begangen hatte. Er bekam schwierigkeiten mit den behörden, als er 5000 Kunden seines ehemaligen Arbeitgebers Tornado Development warnte, dass das Unternehmen ein schwerwiegendes Sicherheitsproblem hätte. Dieses Sicherheitsproblem könnte E-Mails der Kunden verwundbar für Hackerangriffe machen. Die US-Behörden klagten ihn dafür an, unter der Annahme, er hätte damit gegen das Gesetz „Computer Fraud and Abuse Act“ verstoßen, da das Vorgehen des Beklagten die „Integrität des Systems“ beeinträchtigen würde.

Es war eine so „eigenwillige“ Lesart dieses Gesetzestextes, dass das US-amerikanische Verteidigungsministerium zugeben musste, dass es sich geirrt hatte, was – nicht nur in den USA – äußerst selten vorkommt.  Das Verteidigungsministerium stimmte schließlich der Verteidigung zu, die Anklage fallen zu lassen. Als die Anklagen schließlich fallengelassen wurde, saß Bret McDane allerdings bereits seit 16 Monaten in Untersuchungshaft.

McDane und SKFU bestreiten Beteiligung von Internet-Aktivisten

McDale – der inzwischen ein kleines Telekom-Unternehmen außerhalb von Sacramento betreibt – sagt, dass er trotz seiner früheren Erfahrungen mit den Behörden keine Angst hat, mit dem Einbruch bei Sony in Verbindung gebracht zu werden. Am Telefon sagt er zu einem Reporter des Wired-Magazin:  „Ich bin bereit darauf zu wetten, dass der Einbruch von jemand völlig anderem durchgeführt wurde.“

Er behauptet weiterhin, er sei vor drei Monaten in der „PlayStation-Modding-Szene“ zum ersten Mal aufgetaucht, weil er sich laut eigener Angaben um den Schutz von Benutzerdaten in diesem Netzwerk sorgen machte. Er wollte, wie er sagte,  herausfinden, welche personenbezogenen Daten Sony sammelt und mit seinen Partnerfirmen über das Netzwerk austauscht. Um das zu bewerkstelligen, klinkte er sich in die verschlüsselte Kommunikation zwischen PlayStation und dem Netzwerk ein und beobachtete die übertragenen Daten. Dabei bemerkte er, dass Sony eine veraltete Version des Apache-Webservers betrieb.

McDanel glaubt (wie auch der deutsche Forscher SKFU), dass die Hacker ausschließlich finanzielle Interessen hätten und nicht aus der Ecke der Internet-Aktivisten kämen: „Es war kein Angriff auf Sony sondern ein Angriff auf ein großes Computersystem, welches massenhaft wertvolle Informationen beinhaltet.“

„Anonymous“ bestreitet ebenfalls eine Beteiligung

Die Hackergruppe „Anonymous“ hat inzwischen auch jede Beiteligung an diesem Vorfall bestritten. In einer Videobotschaft wenden sie sich an die Mitglieder des PlayStation Network und bestreiten, an dem Vorfall beteiligt zu sein, auch wenn sie nicht ausschließen können, dass eines der Mitglieder von Anonymous „auf eigene Faust“ gehandelt haben könnte. Dieser Vorfall würde vor allem die Mitglieder des PlayStation Network und nicht Sony selbst schädigen, weshalb sie Angriffe dieser Art ablehnten, so Anonymous.

Sony’s heuchlerisches Entgegenkommen

Inzwischen übt sich Sony in heuchlerischer Kundenfreundlichkeit: Ein Sprecher verkündete grosspurig, dass Sony für alle Kosten aufkommen würde, die Kunden entstünden, wenn Kreditkarte aufgrund des Vorfalls gesperrt und neu ausgestellt werden müssten oder Kunden durch diesen Vorfall wiederrechtlich belastet würden.

Würde Sony das nicht machen, würden das die Banken, die die betroffenen Kreditkarten ausgegeben haben, die Kosten vorerst übernehmen. Letztlich würden sie sich das Geld dann aber über den Klageweg wieder von Sony zurückhohlen, deshalb verkauft Sony etwas, wofür sie sowieso aufkommen müssten, als „Entgegenkommen“.

Geplanter Neustart des PlayStation Network

Sony plant inzwischen einen Relaunch des PlayStation Network – natürlich mit mehr „Sicherheit“ und zahlreichen Willkommensgeschenken für die Mitglieder. Wann es soweit ist, wird auf Sonys Blogs für Europa und die USA bekanntgegeben.

1 Kommentar »

  1. […] Anoymous in einem Video ihre Beteiligung an dem Einbruch in Sony’s PlayStation Network bestritten hat meldet nun Sony dass es einen Beleg dafür gibt, dass Anonymous doch hinter dem Vorfall steckt. […]

    Pingback von Sony Hack: Anonymous oder nicht Anonymous? « Web-Sicherheit — Mai 5, 2011 @ 07:24 | Antwort


RSS feed for comments on this post. TrackBack URI

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

Bloggen auf WordPress.com.

%d Bloggern gefällt das: