Werden alle Sicherheitsbedrohungen durch Softwarefehler ausgelöst?

Die meisten Sicherheitsbedrohungen, von denen ich gehört habe, sind auf einen Fehler in der Software zurückzuführen (z. B. werden alle Eingaben nicht ordnungsgemäß auf ihre Richtigkeit überprüft, Stapelüberläufe usw.). Wenn wir also alle sozialen Hacker ausschließen, sind alle Sicherheitsbedrohungen auf Fehler zurückzuführen? Mit anderen Worten, wenn es keine Bugs gäbe, gäbe es dann keine Sicherheitsbedrohungen (wiederum ohne die Fehler von Menschen wie das Offenlegen von Passwörtern und dergleichen)? Oder können Systeme auf eine Weise ausgenutzt werden, die nicht durch Fehler verursacht wird?

Ein Fehler ist definiert als Software, die nicht den Spezifikationen entspricht. Wenn nun Spezifikationen fehlerhaft sind, handelt es sich nicht um einen Softwarefehler. Wenn ein dummer Kunde verlangt, dass alle Passwörter dreistellige Codes ohne Nachfrist zwischen fehlerhaften Eingaben sein müssen, ist nicht die Software schuld.

Viele Systeme verfügen über einen "Servicemodus", der die Sicherheit außer Kraft setzen kann. Der Zugriff darauf sollte zwar sicher sein, die Codes werden jedoch häufig der Öffentlichkeit zugänglich.

Fortschritte in der Mathematik gefährden alte Kryptografiemethoden. Was vor 30 Jahren Sicherheit bot, wird heute schwach.

Es gibt verschiedene Methoden des Datendiebstahls, die häufig übersehen werden. Eine drahtlose Tastatur hat aufgrund winziger Antennen eine Reichweite von ca. 2 m, und der gesendete Code ist unverschlüsselt. Mit einer guten Antenne von der anderen Straßenseite aus zu lesen, ist eine bekannte Methode.

Manchmal werden Sicherheitskompromisse mit vollem Bewusstsein für die Konsequenzen geschlossen - Kryptosysteme verbrauchen Strom und CPU-Zeit. Eingebettete Überwachungsanwendungen senden ihre Daten häufig auf eine Weise, die für die Öffentlichkeit klar lesbar ist, da erstens die Gefährdung der Daten vernachlässigbar ist und dann die zusätzlichen Kosten für die Implementierung der Sicherheit unnötig sind.

Alle Sicherheit basiert auf Vertrauen. Der bestellte Administrator benötigt kein Social Engineering, um Ihre E-Mails zu lesen.

Und kann man am Ende in Betracht ziehen, einen Baseballschläger auf ein Knie anzuwenden, eine soziale Technik?

Es kann auch Situationen geben, in denen Hardware-Fehler Sicherheitsprobleme verursachen. Stellen Sie sich einen fehlerhaften RAM-Chip vor, der das Bit "isAdmin" spontan umdreht.

Oder stellen Sie sich einen hypothetischen Hardwarefehler vor, bei dem der Speicherschutz nicht wie erwartet funktioniert und ein Prozess den Speicher eines anderen Prozesses überschreiben kann, ohne einen Interrupt auszulösen.

Für Ihr Lesevergnügen: Computersicherheit durch Hardwareausfall beeinträchtigt

Viele Sicherheitsbedrohungen gehen von Softwarefunktionen aus, nicht von Fehlern. Viele sehr nützliche Softwarefunktionen haben, abhängig von der Absicht des Benutzers, einen Nutzen für das Gute oder das Böse.

Betrachten Sie einen verteilten Denial-of-Service-Angriff (DDOS). Dies kann ein Sicherheitsrisiko darstellen, das jedoch nicht durch einen Softwarefehler, sondern durch einen Angreifer verursacht wird, der die Grenzen des Systems überschreitet. Und jedes System hat eine Grenze.

Die Antwort auf Ihre Frage lautet also: Nein, nicht alle Sicherheitsbedrohungen werden durch Softwarefehler ausgelöst.

Soziale Entwicklung.

Hallo, ich bin XX aus der IT-Abteilung. Ihr Computer verbreitet derzeit Viren auf andere Bürocomputer. Ich benötige Ihren Benutzernamen und Ihr Passwort, um sie entfernen zu können.

Wenn der Hacker den Benutzernamen / das Passwort hat, kann er sicher Trojaner usw. installieren.

Social Engineering kann auf verschiedene Arten angewendet werden, und die Umgehung der Sicherheit ist nur eine davon.

Wie wäre es mit Firesheep , dem Firefox-Addon, das Cookies stiehlt, die in einem gemeinsam genutzten drahtlosen Netzwerk übertragen werden?

Sie könnten argumentieren, dass die Anfälligkeit für solche Angriffe ein Fehler ist, aber Sie könnten auch dagegen argumentieren. Es gibt nicht viel, was eine Website tun kann, um zu verhindern, dass Benutzer kompromittiert werden. Sie müssen lediglich die gesamte Kommunikation über HTTPS ausführen. Können Sie sagen, dass es ein Fehler ist, die HTTP-Kommunikation auf Ihrer Website zu akzeptieren?

Ja, sofern ein Fehler in der Sicherheit der Software - aus welchen Gründen auch immer - ein Fehler der Software ist, ihre Anforderungen zu erfüllen.

Ich akzeptiere, dass dies nur eine Tautologie ist, aber das ist das Maß dafür.