#67 DNSSEC stolpert, Edge plaudert Passwörter aus

[00:01] Hallo und herzlich Willkommen zu einer neuen Runde gepflegter Paranoia. Hier ist 2 Faktor Geplauder. Ich bin Martin und am anderen Ende der verschlüsselten Leitung sitzt wie immer mein liebster Gesprächspartner Mark. Wir begrüßen auch euch diese Woche wieder zu unserer 17

[00:21] Folge. Hoffen, dass ihr immer noch schön leidgeplagte Security Experten seid, oder? Menschen, die es noch werden wollen oder einfach Interessierte an Security. Ja, und uns haben einiges an Feedback zu unserer letzten Folge erreicht.

[00:42] Ja. Und da war sehr viel Enttäuschung, dass wir den aktuellen Part ausgelassen haben mit dem ganz kurzen Überblick, so was eigentlich diese Woche passiert ist. Das haben uns einige gesagt und dann haben wir gesagt, OK, test. Müssen wir n bisschen was

[01:00] anpassen, was justieren und der ein oder andere hat auch erwähnt, dass er gerne eine Good News immer dabei haben möchte. Ja. Deswegen haben wir uns gesagt, OK, bevor wir jetzt in unser deepdive Thema einsteigen, machen wir ne ganz schnelle News Runde, was die Woche passiert

[01:20] ist und was uns jetzt halt auch interessiert hat und eine kurze Good News. Die News will ich ans Ende setzen. Wir hören mit einem Positiven auf. Also bis zum Ende dranbleiben, um die, die gute News mitzubekommen.

[01:36] Ganz. Aber was war denn jetzt ganz kurze Short News, bevor wir unser Hauptthema einsteigen, wer vielleicht den Edge Browser, ich weiß gar nicht wieviel Leute überhaupt den Edge Browser verwenden? Auf jeden Fall gab es dort eine News.

[01:55] Die gesagt hat, Sicherheitslücke bei Design von Microsoft und deswegen sollte man sich überlegen, ob man den Browser auch wirklich verwendet. Und zwar ist es so, dass der Edge Browser hat n eingebautes Passwort Manager der dann die Passwörter halt für euch managt und die werden halt wenn der

[02:18] Browser initialisiert wird werden diese Passwörter halt. Entschlüsselt und als Klartext bei euch in den RAM gespeichert. Also den Arbeitsspeicher so und dort bleiben die im Klartext abrufbar. Hat was mit Geschwindigkeit zu tun, dass die Halt nicht mehr ausgepackt werden müssen und so

[02:37] weiter und Microsoft hat gesagt, das ist halt bei Design Software Design halt so vorgesehen, dass das genauso ist und es ist kein Sicherheitslücke, weil der Computer, damit man auf diesen RAM. Zugreifen kann, muss halt erstmal kompromittiert sein und solange der nicht kompromittiert

[03:00] ist, kann der natürlich auch nicht auf die Passwörter zugreifen. So aber sobald irgendwie n Virus oder n Trojaner auf euch drauf ist, könnte der es theoretisch. Auslesen, das macht ja jedes Security Feature irgendwie ad absurdum. Wenn ich sag ich brauch ja gar

[03:15] keinen Virenschutz, weil man muss ja erstmal auf meinen Rechner drauf kommen. Genau weißt du was ich mein? Die Argumentation ist ja Quatsch, eigentlich ja, und vor allem sind sie der einzige Bro, also der der großen 4. Sind sie die Einzigen, die das nicht die das so machen, wenn

[03:32] ich das richtig im Kopf hab. Genau also die anderen haben auch, die machen nur temporär unter anderen entschlüsseln die und haben da mehr. Sicherheitsaspekt eingebaut dass andere Applikationen zum Beispiel nicht auf diese entschlüsselten Bereiche zugreifen können.

[03:53] Ja. Und ja, es ist, auf jeden Fall könnt ihr das mal fragen, sollte man Edge nutzen? Klare Meinung ist nein sollte man Chrome verwenden kann man. Wenn man möchte, ja. Wenn man möchte, es gibt zumindestens kein direktes Security Vorfall wenn man es.

[04:14] Ganz sicher haben möchte, nimmt man am besten ein externen Tool, mit dem man. Externen Passwort Manager. Genau um das Passwort dazwischen. Nutzt. Ich nutze dafür nordpass, die finde ich eigentlich ganz cool, also finde ich funktioniert ganz

[04:31] gut oder auch Keeper Keepers auch wahnsinnig. Gut, gut, ich glaube geschäftlich bitworden ist da gesetzt. Privat muss ich ehrlich gestehen, bin ich dann doch eher auf dem, auf dem Chrome. Liegt aber auch daran, dass ich mit dem Android Handy die

[04:53] Usability ist da zu gut. Wenn. Man gerade ist über mehrere Devices über Handy, Laptop und PC halt hat. Ja, ist. Ist das halt, ja, aber ich sag ja. Aber das war jetzt wir, wir kommen schon wieder, wir driften

[05:12] ab, wir wollten es eigentlich nur als Short News machen. Ja und dann und dann landen wir wieder so lange, weil wir gerne drüber plaudern, aber wir haben ja noch n Hauptthema oder haben wir noch ne andere News? Nee. Nee, dann, NÖ, gab es jetzt nicht so was Interessantes, dann

[05:30] gehen wir direkt in unser Hauptthema mit rein, weil ist ja auch eine News, weil wer es mitbekommen hat am 5. Mai. Montag, Dienstag. Ich wollt sagen, du bist doch der Experte, der uns jetzt gleich aufsieht was passiert ist.

[05:49] Also stellt euch, stellt euch vor, es ist Dienstagabend, ich weiß nicht so 21:00 Uhr und plötzlich 57. OK, 21:57 Uhr. Ist ist ja nur n Beispiel. Schüttel dich. Nur. Und plötzlich geht gar nichts mehr, es geht kein.

[06:16] Es gibt unsere Webseite 2 Faktor Geplauder. De geht nicht mehr, es geht kein DB Navigator, es gibt geht keine DHL App, keine e Mails, keine Webseite lässt sich aufrufen, man kann nicht shoppen, ja alles was auf de endet ist wie vom Erdboden verschluckt. Und alles sah am Anfang wie ein

[06:42] massiver Cyberangriff aus. Ne entpuppte sich aber als technischer Fehler korrekt, nämlich die Herzkammer des deutschen Internets, Mhm, also das, das das Herz des Internets des deutschen Internets, muss man ja fast sagen, was vielleicht die wenigsten Leute wissen.

[07:08] Ist die Organisation Dänik hatte einen technischen Fehler. Korrekt. Und dann? Soll ich mal damit anfangen, was die Dänik überhaupt ist? Genau. Und deswegen würde uns jetzt mal interessieren, was ist denn die Dänik überhaupt und warum ist es

[07:27] so wichtig für das deutsche Internet? Also. Die Dänik ist, sie ist vielleicht nicht das Herz, aber ich würde jetzt sagen, das Hirn. Der de Domain, also die Denik, ist die zentrale Registry oder der zentrale Register für sämtliche de ur LS

[07:52] Internetadressen. Wie auch immer ihr es nennen wollt, also sie betreibt technisch, also auf Technikdeutsch, den Autor autorativen Nameserver für die ganze de Zone. Und verwaltet damit verschiedene Zonendateien sowie etwas, was sich DNS, SEC, SIGNIERUNGEN

[08:15] nennt. Dns ist Domain Name, System Security Extensions was ist DNS kurz für euch? Ein DNS Server löst eure, wenn ihr in in browsergoogle.com Eingebt löst einen DNS Server auf. Wohin der Traffic jetzt geht? Weil im Internet arbeiten wir ja

[08:42] mit IPS, also mit Zahlenkombinationen, und ihr wollt euch jetzt nicht diese ganzen Zahlen merken, das heißt, um diese Zahlen zu finden, ist diese diese Abfolge von je nachdem wie auf welchem, auf welcher Version man jetzt arbeitet von zahlen. Hinterlegt in Verbindung mit dem

[09:03] Namen, den ihr da in euren Browser oben eingebt. So, dafür gibt es noch ne spezielle Security Extension und darin hat es gekracht. Am Ende hab ich jetzt schon irgendwelche Wörter verwendet, die erklärungsbedürftig sind. Du hast glaube alle erklärt, aber du könntest uns jetzt mal

[09:25] beibringen, warum dieses Sicherheitsfeature, was ja wahrscheinlich irgendwie uns schützen soll. Zum zum Blackout oder zumindest zum gefühlten Blackout geführt. Hat ja, also ich kann auch kurz noch drauf eingehen, warum DNS sec überhaupt existiert. Das soll eigentlich zusätzlichen

[09:45] Schutzsicherheit mit einbringen vor DNS Spoofing zum Beispiel, also vor Verfälschung der IP Adressen in Verbindung zu den URLS, mit denen sie stehen zum Beispiel. Dafür gibt es DNS Sack, weil das dann gewisse Zertifikate, nennen wir es mal Zertifikate, mit einbaut, die von anderen DNS

[10:16] Servern oder von Relay Servern überprüft werden können. So und nur wenn da eine positive Antwort zurückkommt, ist eben klar, dass die. Internetseite, die ihr da eingetippt habt, auch tatsächlich. Die ist. Die Antworten soll so was ist

[10:36] jetzt passiert. Die Sicherheit hat uns die Verfügbarkeit gekostet. Nee, das ist einfach nur ein Konfigurationsfehler gewesen, muss man sagen, also okay, ich rufe dich hier noch mal kurz zurück, so hundertprozentig kann man es gar nicht sagen, was es ist, also was passiert ist.

[10:55] Es gibt nur Vermutungen. Die Denic hat nicht genau gesagt, was passiert ist. Es liegt aber anhand der Tests und an der Fehlerbilder sehr nahe, dass es bei dem sogenannten Zsk Rollover passiert ist. Zsk Rollover ist der Zone signing Key rollover.

[11:17] Da wird dann ein neues asymmetrisches Key Pair, also ein Public und ein private Key die. Schlüssel. Ja genau, Schlüssel in diese in diese. Also man nennt das Chain of Trust, also in die wie nennt wie kann man das denn auf Deutsch

[11:34] gut erklären in so eine in so eine ja in so eine Wirkkette eingebracht, die in so eine Vertrauenskette mit eingebracht, die eben Glied für Glied wie in einer Kette durchlaufen werden muss und erst wenn man ganz am Ende angekommen ist, ist man validiert, verifiziert, wie auch immer.

[11:55] Das heißt, wenn es nur an einem Glied fehlschlägt, geht gar nichts. Dazu muss man jetzt sagen, DNS SEC muss auf der URL normalerweise enables sein, also angeschalten sein, das heißt in der Theorie hätte es dann auch sein können, dass nur jur LS die DNS SEC verwenden oder auflösen

[12:18] Server die diese die die Namen auflösen DNS SEC verwenden den. In den Fehler laufen allerdings ist der Fehler bei diesem Zsk Roll over so früh passiert, dass man die komplette Vertrauenskette derkompletten.de Struktur gebrochen hat. Normalerweise wird das so gemacht, nachdem also

[12:45] ehrlicherweise muss ich sagen, das ist jetzt nicht mein Kerngebiet, womit ich mich jeden Tag beschäftigt. Aber so einen Rollover funktioniert so, dass man ein neues Keeper, ein neues Schlüsselpaar bildet. Das wird hochgeladen, das läuft parallel zum alten Schlüsselpaar

[13:05] am Anfang, damit die Server, die auf diese Schlüsselpaare dann zugreifen müssen, auch die Neuen schon kennenlernen und dann nach einem gewissen Zeitraum, wie groß der jetzt ist, kann ich euch gar nicht sagen. Wird das alte Keypair oder das alte Schlüsselpaar Abgeschalten beziehungsweise rausgenommen und

[13:26] dabei muss ein Fehler passiert sein, weil die großen sogenannten DNS, SEC, VALIDIERENDEN, rekursiven Resolver, also die DNS Server, die hier in der Welt rumstehen, da gibt es ganz viele, wenn ihr davon schon gehört habt, gibt es Cloud Flair. Die dann 1111 als IP haben.

[13:49] Es gibt Google DNS Server die 4 mal die 8 haben, es gibt what 9 die 4 mal die neuen haben, das sind so die die größten die ihr wahrscheinlich in euren Browsern verwendet. Also ihr habt einen Firmenlaptop, dann werdet ihr einen eigenen haben, aber auch die sind vermutlich in die

[14:08] Probleme gelaufen, die bekommen dann nämlich eine Antwort zurück. Die sie als sogenannten DNS Sack Bogers ein einstufen. Und das ist dann am Ende einfach ein Fehlercode für entweder Server Failure oder non existant domain, das heißt es sieht so aus, als ob diese Domain

[14:29] überhaupt nicht existiert hat. Das sind diese. Bogers das wird von diesen Resolvern als DNS Sack bogers eingestuft. Aber kannst du kurz erklären, was Bogers. Sind Bogers muss ich weiß nicht wie man das übersetzt. Das der also das ist die

[14:46] Fehlermeldung die die bekommen, das heißt DNS sec Fall also Ogas heißt wohl ist einfach ne Übersetzung für falsch das der bekommt so das ist einfach der Errorcode praktisch den die Resolver zurückbekommen. Genau das heißt es waren auch Domains betroffen, wie gesagt ohne eigene DNS, sec Signatur,

[15:07] wiebahn.de oder spiegel.de, die haben das nämlich nicht, aber die gingen trotzdem nicht. Wann ist das jetzt passiert? Wie du gesagt hast, am Dienstag um 21:57 Uhr ging das los, man muss sagen um 00:08 Uhr wurde eine korrigierte Zone verteilt, da haben dann die die die diese DNS Server betreiben schnell

[15:30] reagiert und haben ihren DNS Servern diese neue korrigierte Zone beigebracht im Vergleich zu der kaputten davor. Und ab 01:15 Uhr war wohl wieder Normalbetrieb hauptsächlich möglich. Cloud Flare sagt rund 3 Stunden lang gab es einen spürbaren Auswahl für die Nutzer, das

[15:56] Problem ist jetzt, ich denke das hat viele IT Abteilungen getroffen die dann auf einmal gedacht haben Huch meine Website ist gar nicht erreichbar oder UPS, bei uns funktioniert das Internet gar nicht mehr, die konnten aber gar nichts dafür, das heißt das. Mhm, man muss so ein bisschen

[16:15] als IT Team auch solche Faktoren mit einbeziehen in seine Fehlersuche. Ich mein Martin, das kannst du ja sicher vorstellen, da sitzt du dann, keine Ahnung, du sitzt in irgendeinem Werk wo was produziert wird und auf einmal bekommst du die Meldung Hey das Internet geht nicht mehr, dann

[16:34] kriegst du aber Puls wenn du gerade Produktion neben dir hast. Ja, oder wenn gerade. Du am shoppen bist. Ja, oder da ist dein Warenkorb weg, also bitte ja, das darf ja, darf ja nicht passieren, das heißt, man muss da jetzt sagen, die Dänik dafür, dass man die,

[16:53] also, die nicht sehr bekannt sind, haben die eine wahnsinnige Verantwortung, was Erreichbarkeit und Internet in Deutschland betrifft, wenn die Mist bauen, dann fallen. Reihenweise Geschäftsprozesse aus, obwohl eigentlich in der Infrastruktur der Kunden oder der Nutzer alles normal ist und

[17:16] alles in Ordnung ist. Mhm. Das ist natürlich schon n Schwerwiegendes, dass wir, gerade ich mein Wir sprechen sehr viel über digitale Souveränität. Ja. Und wenn wir jetzt mal davon ausgehen, dass, wenn wir mal

[17:30] sagen, eine fehlerhafte Konfiguration. Im Prinzip die komplette digitale Infrastruktur lahmlädt. Ja. Ist das schon schwerwiegend schwer? Da ist immer noch die Frage, wie kann man, ich weiß gar nicht, ob du das beantworten kannst, aber

[17:49] kann man da Alternativen schaffen? Boah also. Also mir passiert nur ein Einfallen auf EU oder Comdomains oder sowas zu wechseln. Ja gut, aber da kann das ja genauso passieren. Ist halt ne andere, ne ne ne andere Organisation die dahinter

[18:13] steht. In der Theorie könnte das ja da auch passieren. Es gibt sowas, das nennt sich negative Trust Trust Anchors für die.de Domänen oder die Dänik könnte beziehungsweise die Unternehmen. Wenn sie keinen Public DNS Server verwenden, also keinen

[18:33] von Google oder von Cloud Flair oder so, könnten temporär die Validierung abschalten. Das heißt aber, dass ihr halt auch keine nicht mehr diesen Security Bonus habt. Ihr könnt dann zwar ihr seid dann zwar wieder vermutlich wieder operational und könnt wieder arbeiten, aber nicht auf

[18:54] eine sichere Art und Weise. So, das ist dann so ein bisschen die Frage, wie hoch ist der Trade off oder welcher Trade off ist es wert darauf zu verzichten? Ähm, das wäre so eine Strategie, die man, die man wählen kann, wie gesagt, ob das jetzt gut ist oder nicht, ja schwierig zu

[19:14] sagen, das heißt also eigentlich, was können Security Teams machen, sie müssen äh DNS beziehungsweise DNS SEC Monitoring bauen haben. Dass Sie sehen, was da für Fehlermeldungen kommen, weil anhand der Fehlermeldung hätten sie dann sagen können, das liegt nicht an uns, das Problem, wir

[19:35] bekommen ja surfail, wir bekommen NX domain. Nee, NX Domain ist falscher Name also. Das heißt, man, was du sagen willst ist die einzigste Möglichkeit ist halt selbst herauszufinden an wem es liegt, aber ne Lösung selber zeitnah beizufügen ist natürlich

[19:53] unmöglich. Wenn so ein zentraler Dienst ausfällt. Ja genau. Also wie gesagt, wenn Ihren Public DNS Server verwendet, habt ihr keine andere Lösung als es zu akzeptieren, dass es so ist. Wenn ihr einen eigenen DNS

[20:06] Server habt, dann könnt ihr da drin die Validierung abschalten und dann könnte das funktionieren, ist aber also kann ich euch jetzt nicht bestätigen wie gut das funktioniert oder wie schlecht das funktioniert. Theoretisch wäre es möglich. Aber auf jeden.

[20:25] Fall Mal, ist dieses. Aber das hat ja schon Ähnlichkeiten, auch wie der crowdstrike Vorfall, als dort auch n Konfigurationsfehler gewesen sind und alle Rechner beim Booten dann nen Bluescreen bekommen haben ob. Das ja auch. Ja, das war ja, das war ja ja so

[20:44] n halber konfigurationsfehler, du meinst mit mit was war das Falcon? Genau. Die, das war ja unzureichendes Testing, da hat man ja ne ungetestete Software ausgerollt im Prinzip. Na ja, ob es jetzt hier in dem Fall nicht auch ungetestetes

[21:02] Update gewesen ist, steht ja auch noch wahrscheinlich auf, oder? Weil irgendwie. Muss der Konfigurationsfehler ja reingekommen sein. Da hast du recht, da muss n, da muss muss vielleicht die Denics ihre Prozesse anschauen. Keine Ahnung wie sowas

[21:17] organisiert ist. Das kann ich wirklich nicht sagen. Aber ein zsk Rollover ist jetzt nichts Ungewöhnliches. Ich behaupte da ist dann also ja, da hat irgendjemand halt geschlafen, also das sieht für mich ganz stark einfach nach menschlichem, ich will nicht

[21:35] versagen aus, sondern einfach nach einem menschlichen Fehler aus. Fehler können nun mal passieren, ja genau das ist von Dienstag auf Mittwoch passiert. Mittlerweile geht wieder alles ohne Problem. Es könnte jetzt auch die positive Nachricht sein.

[21:54] Ich bin, nein, gut, wir haben, wir haben noch eine positive Nachricht, aber das ist jetzt, ich meine mal grundsätzlich, wir sprechen jetzt auch wieder nicht über einen Hack, sondern wir sprechen eigentlich mit DNS Hack über ein Sicherheitsfeature. Ja was ist ja eigentlich, ist immer toll, ja, aber hier.

[22:16] Hat es halt im Prinzip uns Deutsche vom Internet ausgesperrt, kurzzeitig keiner, keiner kam mehr so richtig rein. Ja es zeigt. Mal ehrlich, das zeigt ja bitte. Es es zeigt, dass natürlich auch, wo immer Sicherheit, manchmal auch ein Risiko ist für den, für den Nutzen, ja, das ist

[22:39] ja auch was, wo man aber auch nicht sparen sollte, muss ich ehrlich dazu geben. Es ist schwer da jetzt halt dagegen zu rechnen, was das, was dieser eine Ausfall kostet im Vergleich zu den abgewehrten Angriffen, die so n Feature mit sich bringt, das kann man halt nicht beziffern, weil ne könnt

[23:01] ihr nicht hochrechnen. Es ist schwierig zu beziffern, aber es hat auf jeden Fall einen wirtschaftlichen Einfluss gehabt. Ja, aber deswegen macht man ja solche Changes nicht. Mittags um 14:00 Uhr, sondern um 01:00 Uhr nachts oder so. Normalerweise, dass der Impact

[23:20] möglichst gering gehalten wird. Normalerweise sollte es ja gar keinen Impact geben, aber naja. Aber kommen wir zu. Den positiven. Genau dann machen wir immer jetzt nen positiven News einmal Abschluss. Ja, wenn wir was finden. Die Gruppe Spider, die sagt dir

[23:38] doch noch was, oder? Ah, unsere lieblings Gruppe aus den letzten Wochen. Ich. Glaube die heißen doch auch gar nicht mehr sketa Spider. Die heißen doch jetzt eigentlich oder flapsus. Hunters oder ne scheint ne. Ne, ich glaub ich verwechsle die

[23:54] gerade weil Lapsus du meinst Shiny Lapsus Hunters, aber das ist die Fusion aus Shiny Hunters und Lapsus. Naja auf jeden Fall ein zugehöriger dieser sketa Spider Gruppe ist verhaftet worden, die Festnahme von Bouquet. So ist sein Pseudonym ist ein Neunzehnjähriger, der in

[24:17] Helsinki am Flughafen festgenommen wurde. Vor 23 Tagen. Die USA haben schon Auslieferungsersuchen gestellt, weil wir ihn in den USA eben anklagen wollen. Wo war der Mann jetzt ungefähr unterwegs? Der hat bereits im Alter von 16

[24:39] Jahren Techniken angewendet, um It Helpdesks zu täuschen und 2 Faktor Authentifizierung zu brechen und so weiter weil Scatter Spider ist vor allem für Phishing Attacken bekannt. Die sind jetzt nicht für für aufwändige technische Attacken bekannt, sondern wirklich eher für Telefon, Phishing, Swim,

[25:00] Swapping, die gehen sehr oft das schwächste Glied einer Kette, also auf den Menschen. Und da war er auch dabei. Und er hat seinen Reichtum im Internet auf sozialen Medien, also sein über das Hacking bekommenen Reichtum, zur Schau gestellt, weil er Fotos mit Luxusuhren, großen Bargeldmengen

[25:23] und so weiter veröffentlicht hat und unter anderem ein Bild mit einer Diamantkette drauf mit der Aufschrift Schrift Hack the Planet. Ja, das hat auch alles geholfen. Um den jungen Mann zu verhaften. Man muss dazu sagen, Mitte April wurde schon mal ein Dritte verhaftet, der zu der Gruppe

[25:46] auch gehört. Ähm, genau, das heißt was lernen, so könnten die Hacker daraus lernen, die Anonymität, die sie glauben, im Internet zu haben, scheint zu schwinden aktuell. Vor allem ist es auch wieder n Fall, wo die Zusammenarbeit zwischen FBI und europäischen

[26:05] Behörden in dem Fall ist. Die finnische Polizei äußerst gut funktioniert hat. Genau das war die positive News für heute. Ein Hektar weniger auf der Straße. Sehr gut. Ich hab gerade gesehen, dass n Neunzehnjähriger aus ein Estland

[26:23] US Amerikaner mit Doppel der Bürgerschaft. Guck mal, was man alles schon über den guten Mann findet. Ja, ja, ja, Internet ist schnell. Ja, sogar mit Klarnamen. Aber den sag ich jetzt nicht, ja. Nee, nee.

[26:40] Nee. Nee, nee, dann würd ich sagen, sehr gut diese Woche den Laden hierzu. Wir sind wieder sicherer und dann freuen wir uns auf nächste Woche. Genau bleibt sicher aber auch n bisschen paranoid. Habt ne schöne Restwoche.

[26:58] Bis dann Tschüss.