Wenn dies Cyberwar ist, wo sind dann all die Cyberwaffen?

Wie die Atombombe in den letzten Tagen des Zweiten Weltkriegs schien der 2010 entdeckte Computervirus Stuxnet eine neue Ära der Kriegsführung einzuläuten. Im Zeitalter des Cyberwars, warnten Experten, werden lautlose, softwarebasierte Angriffe Sprengsätze, Panzer und Maschinengewehre ablösen oder zumindest vorbereiten.

Oder vielleicht nicht. Fast vier Jahre nach seiner ersten öffentlichen Identifizierung ist Stuxnet eine Anomalie: die erste und einzige Cyberwaffe, die jemals eingesetzt wurde. Jetzt wollen einige Experten für Cybersicherheit und kritische Infrastrukturen wissen, warum. Gibt es weniger realistische Ziele als vermutet? Sind solche Waffen schwieriger zu konstruieren als gedacht? Oder ist die aktuelle Generation von Cyberwaffen einfach zu gut versteckt?

Solche Fragen beschäftigten die weltweit führenden Experten für die Sicherheit industrieller Steuerungssysteme letzte Woche auf der jährlich stattfindenden S4 Konferenz außerhalb von Miami. S4 versammelt die weltweit führenden Experten für die Sicherheit von Kernreaktoren, Stromnetzen und Montagelinien.

Bei S4 herrschte breite Einigkeit darüber, dass – lange nachdem der Name Stuxnet aus den Schlagzeilen verschwunden ist – industrielle Steuerungssysteme wie die speicherprogrammierbaren Steuerungen von Siemens immer noch angreifbar sind.

Eireann Leverett , ein Sicherheitsforscher der Firma IOAktiv , sagte den Teilnehmern der Konferenz, dass gängige Sicherheitspraktiken in der Welt der Unternehmensinformationstechnologie bei Anbietern, die industrielle Steuerungssysteme entwickeln, noch immer ungewöhnlich sind (siehe Schutz von Stromnetzen vor Hackern ist eine große Herausforderung ). Leverett stellte fest, dass moderne industrielle Steuerungssysteme, die für Tausende von Dollar pro Einheit verkauft werden, oft mit Software geliefert werden, der grundlegende Sicherheitskontrollen wie Benutzerauthentifizierung, Code-Signierung, um nicht autorisierte Software-Updates zu verhindern, oder Ereignisprotokollierung, damit Kunden Änderungen am Gerät verfolgen können .

Es ist auch klar, dass in den Jahren, seit Stuxnet bekannt wurde, sowohl Industrie- als auch Entwicklungsländer Cyber-Operationen als fruchtbaren neuen Weg für Forschung und Entwicklung aufgegriffen haben (siehe Welcome to the Malware Industrial Complex ). Laura Galante, eine ehemalige Geheimdienstanalystin des US-Verteidigungsministeriums, die jetzt für die Firma arbeitet Mandiant , sagte, dass die USA nicht nur die Aktivitäten von Nationen wie Russland und China verfolgen, sondern auch Syriens und Stuxnets bevorzugtes Ziel: den Iran. Galante sagte, dass Cyberwaffen kleineren, ärmeren Nationen die Möglichkeit geben, asymmetrische Kräfte gegen viel größere Feinde einzusetzen.

Trotzdem erfordern wirklich effektive Cyberwaffen außerordentliches Fachwissen. Ralph Langner , vielleicht die weltweit führende Autorität beim Stuxnet-Wurm, argumentiert, dass das bloße Hacken kritischer Systeme nicht als Cyberkrieg gilt. So machte Stuxnet Schlagzeilen, weil er vier Exploits für Zero-Day- (oder bisher unentdeckte) Löcher im Windows-Betriebssystem nutzte. Langner sagte jedoch, dass die metallurgische Expertise, die erforderlich ist, um den Bau der iranischen Zentrifugen zu verstehen, weitaus beeindruckender sei. Diejenigen, die Stuxnet entwickelt haben, mussten den genauen Druck oder das Drehmoment kennen, das erforderlich ist, um die Aluminiumrotoren in ihnen zu beschädigen und die Urananreicherung des Landes zu sabotieren.

Die Konzentration auf softwarebasierte Tools, die körperlichen Schaden anrichten können, lege die Messlatte für Diskussionen über Cyberwaffen viel höher, argumentiert Langner. Nach diesem Standard war Stuxnet eine echte Cyberwaffe, aber der Shamoon-Angriff 2012 auf den Ölgiganten Saudi Aramco und andere Ölgesellschaften war es nicht, obwohl er die Festplatten der infizierten Computer löschte.

Einige argumentieren, dass die Bedingungen für den Einsatz einer so zerstörerischen Cyberwaffe einfach nicht mehr entstanden sind – und wahrscheinlich auch für eine Weile nicht mehr. Operationen wie Stuxnet – Stealth-Projekte, die darauf abzielen, die Anreicherungskapazität des Iran über Jahre hinweg langsam zu verringern – seien eher die Ausnahme als die Regel, sagte Thomas Rid des Department of War Studies am Kings College in London. Es gebe nicht allzu viele Ziele, die sich für eine verdeckte Kampagne eignen würden, wie es Stuxnet getan hat, sagte Rid.

Rid sagte den Teilnehmern, dass die Qualität der Informationen zu einem bestimmten Ziel den Unterschied zwischen einer effektiven Cyberwaffe und einem Flop ausmacht.

Es ist auch möglich, dass andere Cyberwaffen verwendet wurden, aber die Umstände ihres Einsatzes sind geheim, von Regierungen als Verschlusssachen gesperrt oder durch strenge Geheimhaltungsvereinbarungen geschützt.

Tatsächlich sagte Langner, der mit einigen der weltweit führenden Industrieunternehmen und Regierungen zusammenarbeitet, dass er von einem anderen echten physischen Cyberangriff weiß, der mit einer kriminellen Gruppe in Verbindung steht. Aber er würde nicht darüber sprechen.

Fachleute für industrielle Kontrolle und Akademiker beklagen, dass die Informationen, die für die Erforschung zukünftiger Angriffe erforderlich sind, der Öffentlichkeit vorenthalten werden. Und Stadtwerke, Industrieunternehmen und Eigentümer kritischer Infrastrukturen werden sich erst jetzt bewusst, dass Systeme, von denen sie dachten, sie seien vom öffentlichen Internet abgeschottet, sehr oft nicht der Fall sind.

Unterdessen treibt die Technologie im Rahmen des sogenannten Internets der Dinge noch schnellere und transformativere Veränderungen voran. Die allgegenwärtige Internet-Konnektivität in Kombination mit kostengünstigen und winzigen Computern und Sensoren wird es autonomen Systemen ermöglichen, direkt miteinander zu kommunizieren (siehe Absicherung des Smart Home, vom Toaster bis zur Toilette).

Ohne geeignete Sicherheitsfunktionen, die von Anfang an in Industrieprodukte integriert sind, steigt das Potenzial für Angriffe und physische Schäden dramatisch an. Wenn wir das Problem weiterhin ignorieren, geraten wir in große Schwierigkeiten, sagte Langner.

verbergen