Ex-NSA-Hacker im Interview: "Nichts ist zu 100 % sicher!"

Dave Kennedy (@HackingDave) ist Gründer und Senior Principal Security Consultant von TrustedSec, einem Unternehmen, das Unternehmen für das Hacken ihrer Produkte, Netzwerke und Computersysteme beauftragen können. Warum sollten sie das tun? Um Lücken in ihren Sicherheitssystem zu finden natürlich.

Kennedy nennt diesen Service "Informationssicherheitsberatung". Sein Team besteht aus Hackern, die das Eindringen in Computersysteme zu einer Kunstform gemacht haben. Wenn Dave und sein Team durch Eure Sicherheitssysteme schlüpfen, könnt Ihr echte kriminelle Angriffe besser vorhersehen und Euch vor ihnen schützen.

Kennedy selbst war früher ein Hacker für die National Security Agency (NSA), den Auslandsgeheimdienst der Vereinigten Staaten. Von traditioneller Bildung wenig angetan, zog er es vor, sich stattdessen auf das Programmieren zu konzentrieren, an Computern herumzubasteln und zu versuchen, herauszufinden, wie diese Dinge funktionieren. Anstatt aufs College zu gehen, entschied sich Dave für das United States Marine Corps (USMC), das mit dem Geheimdienst an Cyberoperationen arbeitet.

Er war fünf Jahre lang beim Militär und wurde zweimal für nachrichtendienstliche Missionen in den Irak entsandt, bevor er den Dienst quittierte und schließlich TrustedSec startete. Er hat bereits vor dem US-Kongress über Cybersicherheit ausgesagt.

Wir sprachen mit Dave Kennedy, um seine Meinung in Sicherheitsfragen zu erhalten, mit denen die Technologiebereiche im Jahr 2019 konfrontiert ist, nämlich Smart Home, autonomes Fahren und 5G.

Smart Home

Im Jahr 2019, in dem es den Anschein hat, dass alles "verbunden" wird, besteht ein großes Sicherheitsproblem darin, dass viele Unternehmen zuerst Hersteller und dann IT-Unternehmen sind.

"Nichts ist jemals 100 Prozent sicher und es gibt immer Schwachstellen, besonders in einer vernetzten Welt", sagt Kennedy, bevor er erklärt, dass die Hoffnung besteht, die Schwachstellen im Voraus zu minimieren, indem man von Anfang an Sicherheit schafft. "Es ist viel schwieriger, Sicherheitsbedrohungen anzugehen, wenn sie bereits in Produktion sind oder freigegeben wurden", sagt er. "Es ist gängige Praxis, eine Technologie so schnell wie möglich auf den Markt zu bringen und sich später um die Auswirkungen zu kümmern."

Kennedy sagt, dass Unternehmen mehr tun müssen, um ihre Technologie zu sichern, besonders im Jahr 2019, wenn fast alles, was wir tun, direkt mit dem Internet verbunden ist.

• Status Quo der Smart-Home-Sicherheit: Es brennt!

Autonomes Fahren

Das bedeutet nicht, dass es keine Unternehmen gibt, die anders arbeiten. Dave Kennedy, selbst Tesla-Besitzer, nennt als Beispiel den bekanntesten Namen in Sachen Elektroautos: "Unternehmen wie Tesla sind zuerst ein Softwareunternehmen und erst danach ein Hersteller. Obwohl sie in der Vergangenheit auch mit Sicherheitsproblemen zu kämpfen hatten, waren die Reaktion und die Fähigkeit, diese Bedrohungen zu bewältigen, außergewöhnlich und schnell, während andere Hersteller oft unvorbereitet und langsam sind und keinen schnellen Weg zur Lösung des Problems bieten können."

• Einen Tesla stehlen? Eine dumme Idee!

Autonomes Fahren ist einer der spannendsten technologischen Fortschritte für das TrustedSec-Team. Kennedy sagt, dass er glaubt, dass eine echte Integration großer Datensätze in die Lernprozesse, wie Maschinen uns von Punkt A nach Punkt B fahren können, das Fahrerlebnis wirklich revolutionieren wird.

Dave sagt voraus, dass wir innerhalb von zehn Jahren ein Auto bestellen können, das keinen Fahrer hat und uns ohne Zutun zum Ziel bringt: "Stell Dir vor, nicht einmal ein Auto zu besitzen. Du willst zur Arbeit, drückst eine Taste auf dem Smartphone und ein Auto ohne Fahrer holt Dich ab und bringt Dich zur Arbeit."

Es gibt jedoch einen Haken: "Um mit autonomen Fahrzeugen zur Arbeit zu kommen, ist eine wahnsinnige Menge an Daten nötig, die in direkter Kommunikation mit den Automobilherstellern oder der Infrastruktur stehen müssen, die dieses Fahren unterstützt."

Das ist das, was als Telemetriedaten bekannt ist, wie Dave mir erklärt, und er sagt, dass diese Daten für Viele von Interesse sind. "Die Fähigkeit, große Datenmengen zu extrahieren und diese Daten zu nutzen, um Entscheidungen zu treffen oder eine Technologie zu verbessern", sagt er, sei das Ziel. Aber es ist mit einem großen Risiko verbunden.

"Diese Daten und deren Schutz sind ein großes Anliegen. Wenn ein Hacker in die Server eindringt, die alle autonomen Autos steuern, wäre es durchaus möglich, ganze Flotten von Fahrzeugen zu treffen und zum Beispiel alle Autos ohne Fahrerinteraktion von der Straße fahren zu lassen."

Dave Kennedy sagt, dass die selbstfahrende Autos zwar unser Fahrerlebnis verändern werden, aber wenn wir diese Systeme nicht vor Manipulationen schützen, "wird es ein langer Weg für uns sein".

5G

Fortschritte in 5G werden die Download-Geschwindigkeit erhöhen, die Latenzzeit verkürzen und einen besseren Internet-Zugang für normale Verbraucher bieten, aber diese Vorteile stehen auch Hackern mit finsteren Absichten zur Verfügung. Es besteht kein Zweifel, 5G wird es einem Hacker ermöglichen, schneller auf ein System zuzugreifen und es länger zu belagern. Das ist ein ziemlich großes Problem.

Dave Kennedy äußerte Bedenken über Huawei und den Einfluss des chinesischen Unternehmens auf 5G-Netzwerke, eine Geschichte, die in den USA und Europa derzeit viel Wirbel erzeugt, aber er sprach auch über erwartete Sicherheitsprobleme bei der Aktualisierung eines Netzwerks.

"Wann immer es einen neuen Standard gibt, fehlt es an Sicherheit. Ich würde erwarten, dass es Implementierungsprobleme mit 5G geben wird, die direkt Sicherheitsbedenken oder Schwachstellen aufdecken, wenn die Technologie eingeführt wird."

Er fügte hinzu, dass mehrere Unternehmen "wirklich massiv auf 5G setzen", um eine schnellere Integration von autonomen Fahrzeugen und IoT-Produkten zu erreichen. "Die meisten dieser Unternehmen waren zuerst Hersteller, dann Softwareentwickler und haben in der Regel keine umfangreichen Kontrollen im Bereich der Sicherheit."

Dave sieht 5G als eine "große Angriffsfläche", auf der die Möglichkeit, eine langfristige und schnelle Kommunikation mit Geräten aufzubauen, die noch nie über solche Verbindungen verfügten, bedeutende Schwachstellen bei der Sicherheit erzeugen wird.

Die Software-Fokussierung von 5G und der zunehmende Hunger auf IoT-Produkte schafft mehr Angriffspunkte für Hacker. Das Prinzip ist genau das gleiche wie bei der Raumbewachung - je mehr Türen und Fenster man hat, desto schwieriger wird es, Eindringlinge fernzuhalten.

Banküberfälle, wie bitte?!

In einem Interview mit dem Podcast "Chips With Everything" des Guardian fragte Gastgeberin Jordan Erica Webber Dave Kennedy, wie weit er und sein Unternehmen bei der Prüfung der Sicherheit eines Kunden gehen dürfen. Kennedy erklärte, wie er für einige der größten Unternehmen der Welt arbeitet, indem er Hacker-Angriffe und sogar Einbrüche simuliert. Und wenn ich Einbrüche sage, meine ich echte Einbrüche. Einbruch in ein Gebäude, Einschlagen von Fenstern, Brecheisen gegen Türen und Eindringen in Orte mit vermeintlich hoher Sicherheit.

TrustedSec und seine Kunden einigen sich auf eine Reihe von Parametern oder Regeln, wie weit die Hacker gehen dürfen. Das Team ist schon einmal in einen Banktresor eingebrochen, hat die Schließfäher geöffnet und sich am Inhalt bedient. Am Ende mussten sie das Geld natürlich zurückgeben.

Klingt insgesamt nach einem ziemlich coolen Job! Was haltet Ihr von der Cybersicherheit im Jahr 2019? Hat Dave Kennedy mit seinen Ansichten recht?