Kategorie: Computer

Log4j Sicherheitslücke

Es gibt mal wieder eine Sicherheitslücke. Diesmal in der weit verbreiteten Java-Logging Bibliothek "Log4j" wie Heise berichtete.
Wenn man die Liste der Firmen anschaut, welche diese Bibliothek mutmaßlich einsetzen ist das auch leicht erschreckend. Hinzu kommt, dass Java eben auch mehr oder weniger die Hauptprogrammiersprache ist, wenn es um Geschäftsanwendungen geht. Eben weil es dazu auch schon sehr viele Bibliotheken gibt.
Dieser XKCD zum Thema Dependency bringt es wirklich gut auf den Punkt. Irgendjemand schreibt eine ziemlich gute Bibliothek und viele Programmierer nutzen diese einfach. Das ist durchaus legitim, man nennt es auch Open Source Software. Allerdings hatten wir doch schon mal mit Heartbleed Lücken in der OpenSSL Bibliothek das gleiche Szenario. Irgendjemand kümmert sich in seiner Freizeit unbezahlt um eine Bibliothek, die wiederum sehr viele große Firmen einfach kostenfrei nutzen. Vermutlich bekommt dieser Programmierer nicht mal irgendeine Form des Dankes zurück. Und dann wundern wir uns, wenn irgendwann mal eine Sicherheitslücke gefunden wird und plötzlich das ganze Internet davon betroffen ist. Die gesammelten Memes dazu sind jedenfalls goldig.

Dieser Tweet fasst die Situation auch nochmal gut zusammen. Besonders bemerkenswert finde ich die Tatsache, dass ausgerechnet die Minecraft Leute diesen Bug entdeckt haben. Das kam wirklich unerwartet. Scheinbar ist die Mod Community dort mittlerweile auch sehr gut in solchen Dingen. :D

Ich bin echt gespannt, was nun alles bei uns in der Firma davon betroffen ist und wie schnell man das Problem abstellen kann.

Update vom 13.12.2021:

Heise hat schon einen Artikel mit Lösungsvorschlägen veröffentlicht.

Golem hat natürlich auch einen Beitrag dazu veröffentlicht.

Alles von der Informationsfreiheit gedeckt

FragdenStaat.de ist eine Plattform um Dokumente, die für die Öffentlichkeit relevant sind im Rahmen von Informationsfreiheits Anfragen bei den zuständigen Behörden anzufragen. Leider stellen die Behörden hier auch immer wieder Fallstricke auf, da sie nicht wollen, dass alles so transparent ist. Meistens entstehen dann auch ein paar Kosten dazu. Deshalb sammelt Frag den Staat aktuell auch wieder Spenden ein.
Aber es wurde dazu auch eine Cover Version von Danger Dans "Das ist alles von der Kunstfreiheit gedeckt" erstellt. Hört es euch selbst an.

Fefe hat den Koalitionsvertrag "gehackt"

Als regelmäßiger Hörer vom LNP ist man das Totalversagen Deutschlands in Sachen Digitalisierung gewöhnt. Auch heute gibt es noch weite Teile ohne gescheite Mobilfunkabdeckung, das Internet ist auch immer noch Glückssache. Wobei es die letzten Jahre doch besser geworden ist. Auch die Corona Warn App war dann wieder ein gutes und positives Beispiel. Selbst die Briten hatten uns damals dafür gelobt. :)
Trotzdem werden immer wieder unschöne Dinge wie die Vorratsdatenspeicherung und weitere weitreichende Überwachungsmaßnahmen für die Polizei und Geheimdienst gefordert. Auch der Staatstrojaner ist ein beliebtes Mittel für die CDU und die Polizei. Das mag für Einzelfälle sinnvoll sein, aber durch solche Maßnahmen schränkt man auch die grundsätzliche Sicherheit aller technischen Geräte ein. Für Staatstrojaner müssen Sicherheitslücken geheim gehalten werden, damit man einen Angriffsvektor hat. Das ist grundsätzlich nie eine gute Idee.
Genau deshalb freut es mich, dass es Fefe und weiteren Mitgliedern des CCC gelungen ist endlich technisch sinnvolle Vorschläge für den Koalitionsvertrag abzugeben. Da die Leute scheinbar auch faul sind, haben sie einfach mal weite Vorschläge 1 zu 1 übernommen. Wenn die neue Regierung das tatsächlich umsetzt wird Deutschland hoffentlich auch wieder in Sachen Technologie deutlich besser als bisher.
Vor allem ist es sinnvoll bekannte Sicherheitslücken dem BSI zu melden und nicht mehr geheim zu halten. Eine schöne Zusammenfassung der technischen "Hacks" gibt es bei Fefe.
Das ist aktuell bei all dem Corona Gedöns wirklich mal eine hoffnungsvolle Botschaft und ich bin gespannt ob die neue Regierung es schafft das Ganze sinnvoll umzusetzen oder ob es es am Ende doch wieder nur eine CDU 2.0 Regierung ist obwohl diesmal keine CDU in der Regierung dabei ist. ;)