Fragen? Antworten! Siehe auch: Alternativlos
Aktuell gibt es mal wieder ein tolles Beispiel. Und zwar hat ja der Bund in seiner unendlichen Weisheit entschieden, dass Ärzte, die schon mit der Fortbildung auf ihrem eigenen Gebiet überfordert sind, jetzt auch Computerspezialisten werden und an eine "Telematik-Infrastruktur" angeschlossen werden sollen.
Idee: Wir digitalisieren das Gesundheitswesen!
Problem: Die Ärzte können das nicht. Die wollen und sollen das auch nicht können. Wenn ich die Wahl habe, ob mein Zahnarzt seine Zeit für Fortbildung in Zahnarzt-Themen oder für Fortbildung in IT-Themen investiert hat, werde ich natürlich immer den Zahnarzt nehmen, der sich in seinem Fach weitergebildet hat. Die ganze Idee ist schon beschissen.
Aber gut. Also wurde eine Firma namens Gematik beauftragt, und da sitzen dann lauter Bürokraten drin, deren einzige Sorge war, am Ende an irgendwas Schuld zu sein. Also haben sie sich für Fundamentalismus entschieden. Aber nicht Fundamentalismus wie "das ist eine grundsätzlich schlechte Idee, das machen wir nicht" sondern Fundamentalismus wie "wir werden da jetzt soviel Compliance-Theater drauf, wie wir nur können".
Das Highlight war vor vielen Jahren, dass die ernsthaft mit "beschlagnahmesicheren Käfigen" geworben haben. Da stehen die Server in den Rechenzentren drin. In Käfigen, damit Behördenwillkür nicht einfach so zum kompletten Datenverlust führt, sondern die sich erstmal durch die Käfige beißen müssen.
Da hätte man auch sagen können: Hervorragender Punkt. Daten so zentral zu sammeln ist eine grundsätzlich beschissene Idee, das machen wir nicht. Irgendein Arschloch wird immer kommen und darauf zugreifen wollen. Irgendein Vorwand wird sich schon finden. Ein Kindermörder soll per DNA-Abgleich identifiziert werden oder sowas. Wer kann da schon nein sagen? Und schon ist das Fluttor offen.
Aber nein, haben sie natürlich nicht gemacht. Dann wären sie ja nicht bezahlt worden. Stattdessen haben sie da beschlagnahmesichere Käfige beworben und Krypto gesprenkelt, und dann meinte jemand: Ja aber können wir denn deren Internet einfach so trauen?! Nein, natürlich nicht! Also geben wir ihnen VPN-Endpunkte. Aber nicht irgendwelche, nei-hein! Wir geben ihnen zertifizierte Bullshit-Theater-Endpunkte!
Wer macht sowas in Deutschland? U.a. Secunet. Sowas wird sonst zum Vernetzen von Botschaften eingesetzt. Daher ist Teil von solchen Geräten, dass sie versuchen sollen, sich Angreifern mit physischem Zugriff zu widersetzen.
Diese Idee gibt es häufiger, aber sie war schon immer Schwachsinn. Mein Lieblingsspruch zu dem Thema ist von Peter Gutmann, der mal meinte: Die einzige tamperproof hardware, die es gibt, ist Voyager 1. Weil die inzwischen ausreichend schwierig physisch zu erreichen ist für Angreifer.
Egal. Gegen Angreifer mit physischem Zugriff kannst du dich nicht sinnvoll wehren. Du kannst sie ärgern und aufhalten, aber wehren geht nicht. Das wussten die Ingenieure natürlich, und sie wussten auch, dass sie hier nicht an einer Atombombe arbeiten, die in Feindeshand fallen könnte und dann nicht explodierfähig sein darf, sondern an einem stinkenden VPN-Tunnel. Also haben die gemacht, was Ingenieure leider immer machen in solchen Fällen: Sie haben Bullshit-Theater gemacht. Sie haben Krypto drübergesprenkelt, damit es sicher riecht. Aber weil das Teil natürlich booten können soll, ohne dass der Arzt einen 128stelligen Code eingibt, liegt der Schlüssel für die Krypto-Simulation daneben. Mit der "Lösung" können alle leben.
Der Chef kann sagen: Wir haben doch Krypto gesprenkelt!
Das BSI zertifiziert das, weil Dateisystem ist verschlüsselt!1!!
Der Kunde kriegt ein Häkchen für seine Checkbox, deren Sinn er eh die ganze Zeit nicht verstanden hat.
Und der Arzt kann das benutzen, ohne irgendwas davon verstanden zu haben, und (hoffentlich) ohne dass das unsicherer ist als es ohne das Theater gewesen wäre.
Aber wenn wir genau hingucken, stellen wir fest, dass wir hier eine Security-Zusage gemacht haben. Von der wir die ganze Zeit wussten, dass sie nicht einhaltbar ist. Eines Tages kommt also ein missratener Teenager und hackt das mit primitivsten Mitteln auf (denn der Schlüssel liegt ja wie gesagt daneben!). So ist das gerade mit den "Konnektoren" in den Arztpraxen geschehen. Abwehren von Angreifern mit physischem Zugriff war die ganze Zeit keine reelle Anforderung, denn wieso würde der Arzt seinen Konnektor hacken oder da Patienten ranlassen?! Und wenn jemand in die Praxis einbricht, dann kann der da das Papier raustragen und muss nichts hacken.
Aber jetzt kommt ein Winkel dazu. Und zwar haben die so viel Bullshit-Security-Theater über das Projekt gesprenkelt, dass "die Hardware veralten" kann. Die veraltet natürlich nicht wirklich, sondern das Bullshit-Theater-Zertifikat läuft aus. Es gibt keinerlei inhaltliche Sachgründe hinter irgendwas davon. Das war von vorne bis hinten Bullshit.
Aber wartet. Der missratene Teenager hat als Demo für seinen Hack gezeigt, dass man damit auch X.509-Zertifikate erneuern kann. Auf den Boxen. In Software. Ja, äh, natürlich kann man das. Wer würde denn Boxen bauen, wo man das nur per Hardwaretausch machen kann? Nun, wie sich rausstellt: Gematik und ihre Zulieferer. Nur waren sie dabei eben inkompetent, weil das eh sinnlose Compliance-Theater-Anforderungen waren, die die Ingenieure also auch nur Compliance-Bullshit-Theater-mäßig "umgesetzt" haben.
Tja und jetzt stehen alle Seiten peinlich berührt in der Gegend rum. Die Hersteller können nicht erklären, wieso man das doch tauschen kann, oder wieso sie das verhindern wollten. Gematik kann nicht erklären, wieso das überhaupt in den Anforderungen landen konnte. Und niemand kann erklären, wieso das eh finanziell kurz vor dem Kollaps stehende Gesundheitssystem jetzt 300 Millionen zahlen sollte, um unnötig Geräte zu tauschen, wenn ein Softwareupdate gereicht hätte.
So hat dann Berichten zufolge einer der Hersteller sich verleugnen lassen und ging nicht mehr ans Telefon und die Gematik findet die eine Äußerung, mit der sie ihren Griff ins Klo noch vertiefen konnten: Ach komm, Atze, lass uns mal trotzdem die Hardware tauschen!1!!
Darf ich nochmal darauf hinweisen, dass nichts davon sachlich oder technisch begründet ist. Das war alles Compliance-Flipper zwischen in Inkompetenz festgekalkten Behörden und Institutionen. Wenn ich mir was wünschen dürfe, würden die alle gefeuert und müssten ihre Gehälter für die letzten Jahre zurückzahlen. Unfassbar.
Update: Bei der Gelegenheit möchte ich auch noch auf den Umstand hinweisen, dass man überhaupt gar keine Konnektoren braucht. Die erfüllen keinen Zweck. Ein VPN macht Transportverschlüsselung und Authentisierung. Die macht beides auch TLS.
Update: Ja aber Fefe, bei der Box kann der Trojaner auf dem Windows-Rechner aber doch die Schlüssel nicht klauen! Das ist doch viel sicherer! Ja, äh, wieso soll der Angreifer denn die Schlüssel haben wollen, wenn die Box ihn auf Zuruf mit der Telematik-Infrastruktur verbindet? Hier wird ein Problem gelöst, das niemand hatte. Mit anderen Worten: Das ist Bullshit-Theater.