Dass wir diese Podcast Folge hier überhaupt aufnehmen und ins
Internet hochladen können, verdanken wir Andreas Freund,
einem echten Internethelden. Der hat nämlich vor ein paar
Wochen den wahrscheinlich größten und weitreichendsten
Angriff auf das Internet aufgedeckt, weil er gemerkt hat,
dass er ne Tests eine halbe Sekunde länger dauern als sonst
und sich dann auf die Suche nach dem Grund gemacht hat und was er
dabei gefunden hat, ließ uns mit sehr viel Glück an einer
digitalen Internetkatastrophe vorbeischrammen.
Was genau passiert ist, besprechen wir in dieser Folge.
Und damit herzlich willkommen zum to do Developer Podcast.
Heute sprechen wir über Exi, Utils und der Welt, wie sie kurz
vor dem Ende des Internets gerettet wurde.
Dort gerade im Intro schon gesagt, aber bevor wir in die
Folge einsteigen, wie geht es dir heute und wie waren die
letzten 2 Wochen? Oh, irgendwie bin ich so ein
bisschen wie sagt man zwischen den Stühlen oder so.
Ich bin so bisschen matschig, ich weiß nicht, ob das am an
diesem Wetter Umschwung liegt, dass es in den letzten 2 Wochen
einmal so warm war, dass ich in Badehose hier am Fluss saß und
irgendwie jetzt gerade Schneeregen in München ist.
Aber irgendwie, mir fällt im Homeoffice die Decke auf den
Kopf. Ich hab aber auch keine Lust ins
Büro zu fahren. Ich hab letztens mal versucht
aus einem café zu arbeiten, ich weiß nicht, irgendwie fehlt mir
Antrieb, motivation, ich fang 10 Sachen gleichzeitig an, ich mach
nix fertig. Ach also ich weiß, das wird auch
wieder besser. Da kommen auch wieder andere
Zeiten, aber irgendwie ist gerade so n bisschen der Wurm
drin und ich hab mit n paar Leuten gesprochen und irgendwie
hab ich das Gefühl, dass es einigen gerade so geht.
Das beruhigt mich dann selber immer so n bisschen.
Aber Oh, irgendwie ist gerade so.
Ne, aber wir hatten ja auch n paar Highlights.
Ne ein persönliches Highlight in den letzten 2 Wochen war das wir
zusammen bei einer Kundenveranstaltung waren und
uns da getroffen haben, mehr zufällig wir wurden beide
eingeladen dort einen Workshop zu halten und haben uns dort
getroffen, haben natürlich so viel Werbung für den Podcast
gemacht, dass es den Teilnehmerinnen und Teilnehmern
schon fast auf den Geist ging. Ich hoffe aber wir konnten ein
paar neue Fans gewinnen, zumindest haben wir Feedback
bekommen, dass einige der Leute die da waren den Podcast hören,
von daher. An der Stelle nochmal viele
Grüße und hat mich auf jeden Fall sehr gefreut dich da zu
treffen. Diese Woche war ich dann noch
auf einer anderen großen Veranstaltung in Berlin, die
extrem viel Spaß gemacht hat. Ich war auf der github Galaxy,
habe dort viele Leute getroffen, das war eine echt gute
Veranstaltung und man hat so ein bisschen das Gefühl dafür
gekriegt, wo geht halt. Mit github in den nächsten 6 bis
12 Monaten hin. Das war extrem spannend, können
wir in einer separaten Folge vielleicht.
Gerne 2 bis 4 Wochen noch mal diskutieren, ganz viele
spannende Dinge, die da geplant sind.
Ja, ich hab mich auch sehr gefreut, dass wir uns noch mal
gesehen haben. Ich hatte, hatten wir immer
irgendwie viel zu wenig Zeit, so meistens, wenn malte nicht auf
irgendwelchen Konferenzen sind, dann.
Muss er eine irgendwie früher abreisen?
Der andere kommt n Tag später und ich fand wir hatten gar
keine Zeit, dass wir beide uns einfach auch mal hingesetzt
haben. Das passiert eigentlich eh so
was, ja verteilt viel zu selten, weil wir auch diese Podcasts ja
hier immer Remote aufnehmen und gar nicht im gleichen Raum
sitzen. Aber das schaffen wir auch noch
mal. Na.
Absolut und ansonsten auch noch vielen Dank für euer Feedback
zur letzten Folge. Wir hatten ja über die
Lizenzänderung bei Reddit gesprochen, meine Urlaubsfolge,
wie ihr vielleicht gesehen und gehört habt und wir haben
gefragt, ob ihr eigentlich Radiss im Einsatz habt.
Man hört in ganz vielen Teams immer, dass Reddits Credits
genutzt wird und bei euch sind es so 50%, zumindest bei denen,
die abgestimmt haben. Halt natürlich davon abhängig,
in was für einer Art von Projekt ihr arbeitet, in was für einer
Firma ihr arbeitet. Aber es zeigt halt schon, wenn
allein schon bei dieser nicht repräsentativen Gruppe der
Zuhörerinnen und Zuhörer unseres Podcasts 50% diese Technologie
im Einsatz haben, ist das natürlich etwas, was extrem weit
verbreitet ist und daher natürlich diese Änderung jetzt
etwas ist, was sehr viele Leute betreffen wird.
Wir haben Spannenderweise auch richtig Diskussionen auf tik tok
ausgelöst. Wir posten immer einzelne
Ausschnitte. Von den Podcasts auch auf
tiktok. Also wenn ihr da auch mal
vorbeischauen wollte, das ist immer ganz, ganz spannend, weil
das irgendwie ne Plattform ist, wo relativ viel dann irgendwie
in den Kommentaren stattfindet und da teilweise wirklich
Zuhörerinnen und Zuhörer von euch auch richtig viel dann
miteinander diskutieren unter diesen einzelnen Ausschnitten,
da haben wir dann teilweise irgendwie auch zu diesen
Lizenzänderungen von Reddits natürlich Kurzvideos gemacht,
das war auch immer sehr sehr spannend, da eure Meinung zu
hören und damit euch zu diskutieren, das zeigt nämlich
auch, dass, obwohl vielleicht gar nicht alle Redist benutzen,
das Thema ja auf jeden Fall relevant ist und spannend ist.
Und dann natürlich wie immer die Danksagung.
Wir haben diese Woche oder in den letzten 2 Wochen.
Extrem viel Kaffee von euch bekommen und zwar 2 Kaffee von
David oder David, 5 von marquisa. 2.
Von einer unbekannten Person und du hast auch noch einen Kaffee
bekommen, aber mal nicht über unsere Webseite, sondern in.
Person danke an Sebastian, der hat mir tatsächlich in Persona
einen Kaffee ausgegeben und gesagt hier, das ist, weil ich
immer euren Podcast hören, noch nie einen Kaffee spendiert habe.
Ganz lieb, vielen Dank dafür. Ansonsten gab es noch eine
spannende Rückmeldung von Julian, der uns gefragt hat, ob
man nach der IT Ausbildung auch noch N Bachelor braucht.
Wir wissen, dass ganz viele von euch tatsächlich sich auch mit
den Themen Karriereentwicklung intensiv auseinandersetzen und
da auch immer Input von uns haben wollen und von daher haben
wir gedacht, das Thema, das werden wir jetzt nicht im Detail
diskutieren und beantworten, sondern auch mal in einer
separaten Folge wieder aufgreifen, wo wir einfach noch
mal darüber sprechen, wie kann man.
Auch in die Software Developer Karriere einsteigen.
Welche Wege kann man da gehen und was ist das, was aus unserer
Sicht da überhaupt für nötig ist?
Genau, wir hatten Julian auch einfach, der hat uns das per
E-Mail geschickt auch schon geantwortet, aber lasst uns auch
gerne wissen, wenn ihr so mal noch mal ne weitere so
Karriereweg und irgendwie so unsere Sicht darauf, wenn ihr
das spannend findet, dann schreibt uns das gerne.
Entweder genauso, wie Julian per E-Mail, es gibt immer unten in
der also zu jeder Beschreibung von jeder Podcast Folge findet
ihr auch ne E-Mail-Adresse. Wir freuen uns da mal sehr auf
Zuschrift von euch, das können wie gesagt sagen einfach und
kann ne Einzeiler sein wo ihr sagt Jo das Thema fände ich auch
mal spannend oder ihr macht so wie Julian und schreibt uns
irgendwie ein bisschen was, wir versuchen da auch immer auf
alles zu antworten, wir fühlen uns immer sehr geehrt wenn ihr
da unsere Meinung zu Themen haben wollt und versuchen das
auch immer alles zeitnah zu beantworten.
Und damit kommen wir zu dem Thema dieser Folge, und zwar zu
einem ernsten Thema, wenn man. Sich mit dem Thema
auseinandersetzt und tatsächlich n bisschen tiefer reingeht und
auch wirklich die Hintergründe kennt, die dahinter stecken und
welche massiven Auswirkungen diese.
Geschichte, die wir gleich ein bisschen nacherzählen werden,
möglicherweise hätte haben können.
Dann wird einem ganz anders. Ich mein, wir leben natürlich in
unruhigen Zeiten, was die ganze Weltpolitik betrifft.
Kriege und der wer weiß was was hier auf der Erde vor sich geht.
Und das sind Themen, mit denen wir uns üblicherweise nicht
beschäftigen, aber tatsächlich technologiethemen sind Themen,
mit denen wir uns beschäftigen und gerade auch dort sehen wir
unruhig. Seiten.
Und da kommen natürlich solche geopolitischen Themen,
vielleicht auch mit den IT Themen, mit denen wir uns
beschäftigen, immer näher zusammen und dementsprechend
sprechen wir heute über Executiles und die mögliche
Katastrophe. Beziehungsweise einen
potenziellen vorübergehenden Totalausfall des Internets, den
das Ganze hätte mit sich bringen können und beschäftigen uns
damit, wie es dazu kommen konnte und wie es letzten Endes
verhindert wurde. Und vielleicht fangen wir
einfach mal damit an, was eigentlich Executive ist und
warum das solche weitreichenden Auswirkungen gehabt hätte, wenn
tatsächlich dieser Security Incident bei diesem einen Tool.
Letzten Endes auch ausgenutzt worden wäre.
Da hast du dich natürlich ein bisschen intensiver auch mit
beschäftigt. Wir haben uns beide im Vorfeld
viele Presseartikel und Videos durchgeschaut und durchgelesen
und würden das gerne einfach für euch noch mal knapp
zusammenfassen. Glaube alle haben es vielleicht
irgendwo gehört, aber vielleicht nicht alle Details im Kopf.
Von daher fassen wir es vielleicht am Anfang noch mal
kurz zusammen, was eigentlich dieses Tool ist, wo es
eingesetzt wird und welche Auswirkungen dieses Security
Problem möglicherweise hätte haben können.
Genau also Executive XZ utils wird das geschrieben, ist in der
Linux Welt eigentlich ein sehr populär eingesetztes
Kompressions Tool, das deswegen spannend, weil es weil ja quasi
80 bis 90% aller Server im Internet laufen auf Linux und
dieses Tool wird eben eingesetzt, man kann sich das so
vorstellen wie ZIP um Dateien kleiner zu machen und ja quasi
ist halt ein Kompressionstool und das wird auch innerhalb des
Linux Kernels weitreichend benutzt und wird schon sehr früh
beim Systemstart eines Servers geladen.
Um unter anderem so Tools wie SSH und sowas Nachzuladen und
das spannende und wir arbeiten jetzt gleich noch mal so ein
bisschen die Timeline auf, was da genau passiert ist.
Aber das Spannendste ist, dass das Tool selber gar nicht so
wahnsinnig wichtig oder irgendwie interessant ist
anzugreifen. Es ist aber angegriffen worden,
weil es in einer Verkettung von Prozessen, die im Können
stattfinden, stattfinden, eine Rolle spielt.
Und einfach als das Tool, was scheinbar irgendwie auserkoren
wurde, um einen ganz weitreichenden Angriff auf Linux
zu starten und ein ein Angriff, der wie gesagt dem Angreifer der
Angreiferin Zugang zu wahrscheinlich 80 bis 90% aller
Server gegeben hätte. Und das ist über dieses kleine
kompressions Tool, was man sich so ähnlich wie zip oder Winrar
oder irgend sowas vorstellen kann, passiert.
Aber lass uns doch mal einsteigen und wirklich damit
anfangen Schritt für Schritt, was ist denn da eigentlich
passiert, weil das war ja wirklich so populär, dass es
sogar auch irgendwie in der in der Tageszeitung stand, also was
jetzt nicht nur so ein kleines. Nerd, nischen, Internet Ding,
sondern dass es, wenn dieser Angriff durchgegangen wäre, das
wäre wirklich eine digitale Katastrophe geworden, weil eben
der Angreifer, die Angreiferin Zugriff auf alle Server der Welt
gehabt hätte. Wahrscheinlich von daher rollen
wir das doch hier mal zu kurz und knapp wie wie nötig auf.
Was ich halt wirklich spannend finde, ist das, was du gerade
gesagt hat, dass dieses Tool ja erst mal etwas ist, was so
Security Technology technisch erstmal relativ.
Unverdächtig ist und dort natürlich im Vorfeld extrem viel
Recherche reingeflossen sein muss, um zu schauen, OK, wie
kann man ein Tool kompromittieren, welches eine
kritische Rolle in ganz vielen Linux Distributionen spielt,
welches aber erstmal unverdächtig ist.
Aber was ist erlaubt in der Form Schadcode zu injizieren, damit
man einen Remote Zugriff auf quasi jedes Dehnungssystem mit
Internetzugriff erlangen kann? Und wir haben gerade gesagt, ein
Großteil der Server im Internet laufen unter Linux.
Aber natürlich laufen grundsätzlich ein Großteil der
Softwaresysteme heutzutage auf einem Linux basierenden System.
Das heißt nicht nur Systeme, die im Internet vielleicht
irgendwelche Webseiten und Webapplikationen bereitstellen,
sondern auch ganz viele unternehmensinterne
Applikationen laufen auf Linux Systemen, bei denen
standardmäßigen gesicherter Remote Zugriff möglich ist.
Wo ich mich. Authentifizieren muss mit meinem
Schlüssel und dann klassischerweise Administrations
oder Userzugriff auf so eine Maschine bekomme.
Und genau solche Dinge wurden ja schon immer in der Vergangenheit
über viele Jahre hinweg immer wieder versucht anzugreifen und
dort auch durch Hacker sich Zugriff zu verschaffen auf
Systeme über diese Remote Zugriffe aber wirklich zu sagen
okay wie können wir eigentlich erstmal unverdächtiges Tool
nutzen um. Einen Großteil der
Dehnungsdistribution zu kompromittieren, macht diese
Sache. Anders als in der Vergangenheit
und auch, dass dieser Angriff seit extrem langer Zeit bereits
geplant und durchgeführt wurde und da jemand mit extrem viel
Ausdauer gearbeitet hat. Deswegen fangen wir einfach mal
am Anfang der Timeline an und das war 2021 erzähl mal, wie
ging die Geschichte los? Ja, und da, wo die Geschichte
losgeht, wird vielleicht auch relativ schnell klar, warum Ex
The Utils ausgewählt wurde als Tool, was jetzt hier angegriffen
wurde. Nämlich es ging damit los, dass
es einfach nur ein Patch für dieses Tool veröffentlicht
wurde, quasi sowas wie ein Pull request, weil es in dem Fall nur
nicht als Pull request, sondern gegenüber so eine E-Mail liste
es gab. Es gab einen User, der ist
hingegangen und hat einfach einen Patch für dieses Tool Exi
Utils erstellt und das Spannende war, dass sich daraufhin dann
aber direkt ein paar Leute bei dem Maintenner gemeldet haben
und gesagt haben, hey. Das brauch ich unbedingt, das
ist ne super sinnvolle Erweiterung oder ne super
sicherheitskritische Erweiterung.
Ich weiß es gar nicht genau, auf jeden Fall direkt so n paar
Leute. Druck ausgeübt haben auf den
einzelnen Maintener in dem Fall Lassie Colin, der dieses
Executive Tool alleine betrieben hat, bis zu dem Zeitpunkt, das
heißt der hat das alleine in seiner Freizeit.
Unentgeltlich hat sich um dieses Tool gekümmert und das ist hier
so n bisschen ausgenutzt worden. Man man, man kennt das ja
wahrscheinlich, ist schon sehr schon recht viel, wär jeder der
mal n open Source Projekt was n bisschen populärer ist betreut
hat der weiß wie. Ja, wie unangenehm das manchmal
auch einfach sein kann, wenn da, weil man da selber das Gefühl
hat, da irgendwie unzureichend zu sein, zu langsam da zu sein,
überfordert damit zu sein, diese von von vielen Policest, von
vielen Issues, die irgendwie reinkommen.
Das heißt, angefangen hat sie mir Anfang 2021, wo eben durch
nen völlig unscheinbaren und das war auch noch auch noch nicht
Teil des Angriffs, aber wo einfach n weiterer Pull request
hinzugekommen ist und dann irgendwelche scheinbaren Fake
User, weiß man jetzt angefangen haben, so n bisschen wie hat den
Mattainer zu bedrängen gesagt haben hey passt mal auf,
könntest du dich da vielleicht ein bisschen beeilen?
Das ist super wichtig für mich. Ja, und wir schauen ja auch
immer, was kann man daraus lernen?
Und ich find, das erste Learning ist halt hier an dieser Stelle
schon mal, dass sich dort gezielt ein Projekt ausgesucht
wurde. Abhängigkeit von fast allen
Linux Distributionen da draußen ist und welches gleichzeitig von
extrem wenig Leuten an der Stelle primär einer Person
maintained wurde und damit gar nicht so viele Kontrollinstanzen
überhaupt bestehen, wenn es darum geht neue Contributions
zuzulassen. Aber es ist letzten Endes ein
essentielles Tool, das bedeutet, wenn ich das übernehme muss ich
am Ende nur an einer Person vorbei und habe dann quasi ein
Tool, welches eben diese ganzen Linux Distributionen
hereinfließt das heißt da hat sich jemand sehr intensiv damit
beschäftigt und es ist ein Tool. Was interessanterweise, auch
wenn der Linux Kernel startet, relativ früh geladen wird.
Das heißt ich habe da auch viele Möglichkeiten schon sehr früh
bestimmte Dinge auszuführen gegenüber halt anderer Software,
die vielleicht erst später während der Server bereits läuft
gestartet werden, nachdem vielleicht viele
Angriffsvektoren gar nicht mehr auszunutzen sind.
Das heißt, der Kollege hat dort ein Pair aufgemacht, ein paar
andere vermeintliche User haben sofort gesagt, Hey, gib mal ein
bisschen Gas merge, das mal in dein Projekt rein und.
Damit wurde dann dieser eine User, der den PR aufgemacht hat,
zu einem Contributor auf diesem Projekt.
Genau das finde ich ganz, ganz spannend.
Also der wurde nicht, also ja, der hat natürlich irgendwie
contributed, aber was interessant war ist, dass es bei
diesem Change, der da vorgeschlagen wurde, das war
völlig nichtiger Code, es ging wirklich nur darum den Mena auf
den Druck auszuüben und den in so eine Situation zu drängen, wo
er sich selber überfordert fühlt von der Verantwortung, denn die
Person, die ursprünglich diesen Pool request aufgestellt hat,
also dieser User heißt Jia Tang, das den Namen wird man
vielleicht noch mal irgendwie öfter hören, auch im
Zusammenhang mit dieser Story. Diesen ganzen, diesen ganzen
Stress, dem original Maintainer angeboten, ihn zu unterstützen
und gesagt hab, hey, sollen wir das Projekt nicht irgendwie
zusammen stemmen, das heißt, dieses ganze Ding, dieser
nichtige Poolrequest, der Druck von diesen Fake Usern, das war
eigentlich reines Social Engineering, um dem Mentator
noch mal klarzumachen, dass das eigentlich viel zu groß ist,
dieses Projekt, in dem Fall ihn alleine.
Hat er sich halt angeboten zu sagen, Hey, ich könnte dir da
helfen und das diese diese Hilfe hat dann der der Arme original
Mentator dankend angenommen und diesen TIA Tang zum im
darauffolgenden Jahr dann auch schon zum offiziellen Co
Maintainer von Ex C gemacht mit erhöhten Rechten die dann auch
dazugehören wenn man eben commentainer ist.
Und so wurde quasi durch so ein ja so eigentlich so ein Social
Engineering angriff sich da eine höhere Rolle in diesem Projekt.
Und wie immer bei Social Engineering fühlt sich das dann
von der Opferseite eigentlich. Völlig normal an jemand
contributed auf meinem Projekt. Andere User finden das gut, ich
nehm die Contribution an dieser Contributer macht weitere
contributions ich baue vertrauen zu dieser Person auf und
irgendwann bietet mir diese Person an mich beim.
Als Mainteater des Projektes zu unterstützen und da ich dann
diese Person vielleicht schon seit mehreren Monaten kenne oder
denke zu kennen, habe ich so viel Vertrauen, dass ich dieser
Person dann entsprechend macht. Übergebe über mein Projekt.
Und so läuft klassischerweise Social Engineering.
Man übernimmt das Vertrauen, man baut das Vertrauen zu einer
Person auf und nutzt dann dieses Vertrauen aus, um sich halt mehr
Informationen oder Rechte zu verschaffen, als man
üblicherweise. Haben sollte an dieser Stelle.
Und 1 dieser dieser Vertrauensausnutzer wurde dann
auch direkt direkt ausgespielt. Und zwar hat dieser neue
Chromantainer Jiatang ist hingegangen und hat die E
Mail-Adresse für die Security Benachrichtigungen auf seine
eigene geändert, also muss es wissen bei bei so großen Linux
Distributionen die wichtigen Tools, die müssen größtenteils
unter bestimmten Policies einfach unterliegen und einen
dieser Policies ist eben, dass man dass man in den Code
Building Prozess einen Security Scanner eben einbaut, der einen
warnt wenn man einen unsicheren Code.
Damit mit Reinfügen will zum Beispiel über einen Pull
request. Das ist völlig normal und ich
gehe mal davon aus, dass das abgesprochen war und unter den
beiden aber dieser Dia tan gesagt ich um diese Warnungen,
man kriegt da wahrscheinlich recht viele E-Mails bei einem
aktiven Projekt, da kann ich mich ja zum Beispiel schon mal
drum kümmern und dann immer überprüfen, ob die
gerechtfertigt sind oder nicht, das heißt, er hat direkt auch
seine E-Mail Adresse, also diese diese Nachrichten auf seinen
E-Mail Adresse geändert und das ist dann auch direkt noch im
selben Jahr. Wir sind gerade im Jahr 2013.
Zum Tragen gekommen da gibt es nämlich einen weiteren User, der
hat dann irgendwann einen Pull request aufgemacht, indem er
vorschlägt, die Logik für die Berechnung von den Prüfsummen
quasi via Plugins zu erweitern und auszutauschen, sodass man
einfach in Zukunft Performance Optimierungen machen kann oder
dass das Betriebssystem vielleicht eine diese Logik
mitbringt und das Klang jetzt erstmal nach einem sinnvollen
Change gab aber natürlich eine Security Benachrichtigung, weil
es ganz theoretisch dann auch möglich ist.
Natürlich im Nachhinein Code nachzuladen und auszuführen.
Aber der dieser Diatang hat sich dann eben gemeldet bei dem
Security Scanner. Das ist aber alles okay und man
hat ihm auch vertraut, weil er war ja offizieller Command
Trainer von diesem Projekt, aber dieser Coach der da gemacht
wurde, der jetzt auch erstmal logisch erscheint ist aber schon
einer der ersten die nachher zu diesem Angriff führen.
Und damit startet dann eigentlich der technische
Angriff. Erst das hat begonnen mit diesem
Social Engineering Angriff um Halt das Ganze vorzubereiten
und. Jetzt, wo man letzten Endes die
Kontrolle über, ich würd mal sagen, das Burgtor hat, wurde
dann angefangen wirklich die schadhafte Komponente
hinzuzufügen zu diesem Projekt, und das wurde auch ganz
geschickt gemacht, weil es ist ja ein Open Source Projekt, wo
jeder reinschauen kann und da wäre früher oder später
wahrscheinlich jemandem aufgefallen, wenn ich dort über
einen Pull request oder über eine Codeänderung, die ich
vielleicht direkt durchführe, irgendwie Schadcode hinzufügen,
was also dieser User gemacht hat ist neue Testdateien
hinzuzufügen, ganz praktisch, es handelt sich ja um ein Tool,
welches Dateien komprimiert und dekomprimiert und dieser User
hat in einem Porequest neue Testdateien hinzugefügt, um
einfach während der automatisierten Testdurchläufe
dann das Ganze besser testen zu können und diese Dateien waren
jedoch als Binaries dort hinterlegt, das heißt ich konnte
während des Pull Request Reviews gar nicht sehen, was befindet
sich eigentlich in diesen Dateien und.
Letzten Endes stellt sich raus, dass diese Dateien ausführbaren
Code Schadcode enthalten, die letzten Endes dann auf der
Maschine, auf dem das Tool läuft, ausgeführt werden können.
Das heißt der das Binary wird entpackt und dieser Schadcode
wird nachgeladen und ausgeführt und letzten Endes kann das dazu
führen die komplette Software zu kompromittieren, die dann
letzten Endes in die verschiedenen Systeme wandert.
Genau, also super geschickt von außen eigentlich nicht, nicht
sehbar und dieser Change, diese Beine durchs Nachzuladen kam
sogar von diesem Dia Tang, dem jetzt seit 3 Jahren in diesem
Projekt vertraut wurde. Das war jetzt, es ist jetzt 2024
Anfang 2024 passiert und 2021 hat er sich quasi als
Chromantainer angeboten, also 3 Jahre später kam jetzt von ihm
die Contribution, dass man das vielleicht ein bisschen besser
testen kann oder einfach Test ergänzt und wir alle, jeder
developer weiß, dass man freut sich immer, wenn irgendjemand
Test Tests ergänzt. Das ist einfach ne.
Ja ne auch für ne Aufgabe die man nicht gerne macht und wenn
da jemand hinkommt sagt er ich hab hier n paar Test Cases
geschrieben und gerade bei einem Kombinierungstool so 23
Testdateien eine die die die die fehl schlägt beim Komprimieren
einer die erfolgreich ist beim Komprimieren, da freut man sich
drüber. Die war jetzt aber Teil des
Projekts und ist bei jedem Bild sind diese Tests ausgeführt
worden also eigentlich super undurchsichtig aber ist
durchgegangen und es wurde eine neue Version von Excel Utils
veröffentlicht die jetzt kompromittiert war.
Und dann ist im März tatsächlich der.
Countrybuter, der damals diese Prüfsummenänderung vorgenommen
hat, wieder aufgetaucht und hat in der Debian Distribution den
Vorschlag gemacht, doch auf die neueste Version, die verbesserte
Version von Executorals. Upzudaten und ab sofort dann die
neuen Versionen von Debian. Mit dieser aktualisierten,
verbesserten Version zu verteilen, was zumindest in
einer Preview Version bei dem ja passiert ist.
Auch andere Linux Distributionen.
Wie wie Kali Fedora haben das Ganze übernommen.
Interessanterweise, in Ubuntu hat das auch nicht geklappt, da
ist es bisher. Bekommen aber auch einen anderen
Linux Distributionen. Das heißt da hat.
Ist genau das passiert, was dich dieser Angreifer erhofft haben,
dass die ersten Linux Distributionen darauf einsteigen
und wenn es jetzt aus dem Preview in den stabilen Zweig
gewandert wäre, mit dieser Änderung hätte dieser Schadcode
ist letztendlich auf unsere alle Server geschafft, insofern wir
halt diese kompromittierten Linux Betriebssysteme eingesetzt
hatten. Das ist aber nicht passiert,
weil Andreas Freund, der Held dieser Geschichte, n deutscher
Kollege tatsächlich, ich sag Kollege, weil es n Microsoft
Kollege auch tatsächlich ist. Der sitzt aber in in in USA und
arbeitet an Post res QL. Der hat diese neueste Debian
Variante, diese Preview mit der geupdateten Version von Excel
Utils getestet und Postgress, also oder die Tests für
Postgress gegen diese neue Debian Version ausgeführt.
Und dabei sieht man ja eigentlich immer, wie lange die
Tests brauchen. Und dabei ist ihm aufgefallen,
dass der SSH Login eine halbe Sekunde länger gedauert hat als
üblicherweise. Also irgendwie, ich glaub das
ist normalerweise ne Viertelsekunde fertig und jetzt
hat es halt ne dreiviertelsekunde gedauert.
Irgendwie sowas und das hat ihn aber stutzig gemacht, weil ich
würde ja erwarten, dass bei einer neuen Version das entweder
gleich bleibt oder schneller ist und hat daraufhin halt
Nachforschungen angestellt und sich immer tiefer ist immer
tiefer diesen Code eingestiegen bis er den Angriff gefunden hat
bis er gefunden hat. Warum das länger dauert und hat
das dann jetzt ja vor 3 Wochen ungefähr dann reported und
daraufhin das alles aufgedeckt und damit quasi das Internet
gerettet. Die New York Times hat
witzigerweise ganz passend geschrieben, weil weil weil alle
irgendwie so aus dem Mäuschen waren, dass er das an so einer
halben Sekunde Unterschied festgestellt hat, dass da was
nicht stimmen kann, hat die New York Times geschrieben, fand ich
sehr sehr treffend. Andreas Freund ist mit einem
Bäckereiarbeiter. Zu vergleichen der an einem
frisch gebackenen Brot riecht und spürt, dass etwas nicht
stimmt und zu dem Schluss kommt, dass jemand die gesamte
weltweite Hefeversorgung manipuliert hat, das fand ich
einen sehr, sehr treffenden, sehr schönen Vergleich.
Er hat nämlich einfach daraufhin die Nachforschung angestellt und
gesehen, Moment mal, warum dauert denn da der der Login
etwas länger? Und ja, Rückzuführen war das auf
die Version von Ex. Also was da passiert.
Warum hat der SSH Login länger gedauert?
Ja, und zwar hatte ich ja vorhin gesagt, dass dieses Executive
innerhalb von Linux geladen wird, um dort zum Einsatz zu
kommen und das relativ früh. Und wenn dieses Tool nun geladen
wurde, haben diese angeblichen Testdateien die Funktionen zum
Authentifizieren von SSH Schlüsseln modifiziert.
Ich hatte ja vorhin erwähnt, üblicherweise meldet man sich,
wenn man Remote Zugriff braucht auf einem Linux System per SSH
an, das heißt ich habe dort einen Schlüssel der mir Zugriff.
Erlaubt und je nachdem welchen Schlüssel ich habe, habe ich
unterschiedliche User und Rechte und diese Funktion wurde so
manipuliert, dass bei einem bestimmten Schlüssel ich auf
dieses System kam, ohne dass mein Schlüssel korrekt validiert
wurde. Das bedeutet, dass für einen
Großteil der User, die auf ihre eigenen Linux Server zugegriffen
haben, das Verhalten völlig normal war, da gab es keine
seltsamen Fehlermeldungen, auch wenn sie entsprechend.
Geschaut haben war da kein falscher SSH Schlüssel
hinterlegt. Das bedeutet das sah von außen
völlig normal aus und auch für die meisten User war das
Verhalten völlig normal. Bis auf diese kleine Latenz, die
anscheinend dort jetzt. Zu der Entdeckung geführt hat.
Das heißt, uns wäre das gar nicht aufgefallen, aber es
hätten letzten Endes diese Angreifer, die über diesen
besonderen Schlüssel verfügen. Hätte es die Möglichkeit
gegeben, für diese Angreifer auf beliebige Systeme, die diese
Verwundbarkeit haben, Remote zuzugreifen, sofern sie denn
erreichbar sind? Über das Internet?
Relativ viele Server sind über das Internet erreichbar, aber es
hätte natürlich auch bedeutet, dass Hacker, die sich vielleicht
bereits im Intranet eines Unternehmens befinden, auf
unternehmensinterne, Kompromittierte Server, auf die
sie eigentlich keine Rechte haben sollen, hätten zugreifen
können, und da reden wir vielleicht gleich noch mal ein
bisschen drüber. Mittlerweile spekuliert wird,
wer dahinter stecken könnte. Da gibt es ja natürlich viel
Recherche und Spekulationen, aber wer so raffiniert vorgeht
und mit so einer langen Ausdauer so n Angriff vorbereitet, ist
vielleicht auch jemand, der bereits Zugriffsrechte auf die
internen Infrastruktur von wichtigen Unternehmen oder
Regierungsorganisationen hat und einfach vielleicht jetzt noch
weitere Rechte verschaffen möchte, um dort auf interne
Systeme zuzugreifen, das heißt, es betrifft nicht nur das
Internet, sondern es betrifft auch das Intranet von.
Privatorganisationen von Regierungsorganisationen, sofern
dort die Leute Zugriff auf diese Server haben.
Das heißt, es wurde extrem viel Aufwand über mehrere Jahre
betrieben, mit Social Engineering, mit wirklich sehr
viel technischen Raffinessen und sehr genauer Planung, um letzten
Endes ein Angriff, der, wenn er denn erfolgreich hätte
ausgeführt werden können, fast unsichtbar gewesen wäre.
Es natürlich, wenn ich dort dann am Ende Zugriff hätte, wäre es
vielleicht in Logs aufgefallen, aber es hätte extrem lange also.
Für it Begriffe lange gedauert, bis letzten Endes wirklich
dieses Problem identifiziert worden wäre.
Ja, also stellt, stellt euch das vereinfacht gesagt vor.
Es gibt ein Benutzername und Passwortfeld und das verhält
sich ganz normal wie immer, nur es gibt ein ganz bestimmtes
Passwort. Was einfach immer durchgelassen
und als richtig erkannt wird. Alle anderen Passwörter, auch
alle anderen falschen Passwörter werden sind weiterhin falsch.
Ich hab das Ding nur so umprogrammiert, dass es ein
bestimmtes Passwort ist und ich find man kann das so in so ne
Analogie, die mir gerade eingefallen ist.
Ist wie als hätt ich irgendwie den Hersteller von von
Türschlössern über Jahre hinweg hätte mich da eingeschleust wer
da wer da Mitarbeiter geworden hätte denen Hilfe, Angebot und
so weiter und sofort nur indem nur um in dem einen kleinen
Moment wenn die Tür in den Rahmen eingesetzt wird einen
kleinen Schalter umzusetzen. Der mir erlaubt, dass ein
einziger Schlüssel, den nur ich besitze, in dieses Schloss passt
und die Tür dann immer aufgeht. Und das macht diesen Angriff
halt auch so gefährlich und so wahnsinnig schwer zu finden,
weil es eben nur auffällt, wenn jemand diesen Schlüssel hat, den
er niemand hat außer mir. Das heißt, du kannst auch gar
nicht dagegen testen und all deine Testpasswörter und die
ganzen Testschlüssel, die du reinsteckst, die werden auch
immer als falsch erkannt und das nennt das ist ein, man nennt das
einen Nobody but US angriff, das heißt es ist extrem schwer zu
finden, weil du ja nur der Angriff nur siehst, wenn ich an
die Tür gehe. Und wie malte gerade sagt,
wahrscheinlich erst dann auffällt, wenn ich irgendwie n
Lock habe, wo irgendjemand wirklich reinguckt Moment mal,
die Tür hätte gar nicht aufgehen dürfen, aber dann bin ich ja
schon drin. Also das wird ja immer erst dann
verzögert herausgefunden und es wurde also über sehr viele
Stufen versucht ssh anzugreifen und wir hatten sehr sehr, sehr
großes Glück, dass das noch in dieser Preview Version von
Debian und auch den anderen so Carly Arc und Fedora Linux
aufgefallen ist. Sonst wäre das sehr
wahrscheinlich ausgerollt worden auf alle Systeme.
Und jetzt fragen sich natürlich viele.
Wer steckt dahinter? Und einfach, weil es so ein
Angriff ist, der so Miliziös vorbereitet wurde und über so
lange Zeit durchgeführt wurde, drängte sich beinahe auf, dass
dort irgendwelche staatlichen Akteure dahinter stecken und da
wird jetzt natürlich viel recherchiert, es wird geschaut,
woher kommen die Zugriffe, es gibt ja diese User, die die
Contributions gemacht haben, es gibt diese Fake Accounts, die
den Druck ausgeübt haben und diese haben natürlich alle.
Irgendwo in Open Source interagiert, in issues
geschrieben, in Pool request geschrieben.
Sie haben pur request geöffnet, Sie haben Reviews gegeben.
Wie gesagt, einige dieser User wurden ja zu Contributern und
Maintenern dieses Projektes und da haben natürlich jetzt
mittlerweile viele Leute viel Zeit darauf investiert zu sagen,
okay, wo könnten diese Leute herkommen und das finde ich ganz
spannend wieder so ein bisschen versucht wird das ganze ja so zu
Reverse Engineeren, das heißt man schaut zu welchen Uhrzeiten
finden üblicherweise contributions statt, zu welchen
Uhrzeiten und Tagen, finden keine Contributions oder
Kommentare statt und dann wird natürlich versucht das so ein
bisschen einzugrenzen, aus welchem Land könnte diese Person
potenziell kommen? Beweise und natürlich, wenn eine
Regierungsorganisation dahintersteckt, sind die
natürlich auch. Fähig oder so Smart, solche
Dinge auch vielleicht zu verschleiern und falsche Fährten
auszulegen, weil natürlich will eine Regierungsorganisation, ein
Geheimdienst, nicht, dass man sofort dahinter kommt, weil
zufälligerweise zu bestimmten Uhrzeiten Kommentare gemacht
werden oder an bestimmten gesetzlichen Feiertagen dieses
Landes keine Contribution stattfinden, das heißt, man wird
es wahrscheinlich nie herausfinden.
Aber ich glaube, gerade in der aktuellen geopolitischen Lage
gibt es so viele Spannungen, dass man sich sehr gut
vorstellen kann, dass da natürlich staatliche Akteure
sehr großes Interesse daran haben, gerade weil Geheimdienst
sehr häufig so vorgehen, dass sie solche Vundriabilities sehr
lange auch vielleicht einfach. In der Hinterhand haben und gar
nicht ausnutzen, das hört man ja ganz oft so bei solchen Zero
Days, dass gerade auch Geheimdienste sehr viel Research
Security Research betreiben und diese dann häufig auch ihre
Findings gar nicht an die Community oder an die Hersteller
der Software Systeme melden, sondern das dann als Backdoor
irgendwo im Köcher ihrer verfügbaren Angriffsmethoden
haben. Und da haben natürlich extrem
viele ein Interesse daran. Auf Linux System Remote Zugriff
zu erlangen um halt natürlich Angriffe durchzuführen, auf
Regierungsorganisationen, auf private Unternehmen und je
nachdem wen man da jetzt verdächtigt, kann man sich
natürlich die katastrophalen Auswirkungen vorstellen, zu
denen es hätte kommen können, wenn es einen groß angelegten
Angriff gegeben hätte. Allein wenn man schon sieht,
welche Auswirkungen das schon hat bei einfachen Ransomware
Attacken auf einzelne Unternehmen oder Organisationen,
wie wir sie in den letzten Jahren immer häufiger sehen.
Da muss man sich natürlich fragen, das haben wir jetzt
mitbekommen, wieviel bekommen wir denn gar nicht erst mit?
Also ne, wie du gerade sagst, das ist ja eigentlich generell
sehr, sehr, sehr, sehr spannend oder ein sehr, sehr wertvolles,
gut theoretisch mal in der Hinterhand zu haben, dass ich
mich auf 90% der Server weltweit einloggen könnte, wenn es darauf
ankäme. Diesen Angriff haben wir jetzt
zum Glück ja wirklich. Das ist ja wirklich nur im
Schrecken davon gekommen. Gemerkt, aber solche Angriffe
passieren natürlich ständig, oder der Versuch passiert
natürlich ständig und da müssen wir uns natürlich fragen, wie
wir, also wieviel kriegen wir gar nicht mit und wie können wir
sowas denn überhaupt in Zukunft verhindern.
Weil also jetzt ganz ehrlich jetzt da irgendwie in einem
einzelnen Mantrainer, der das alles irgendwie in seiner
Freizeit macht und damit einen Cent zu verdienen, dem kann man
ja jetzt gleich die Schuld in die Schuhe schieben, dass er da
irgendwie sich über 3 Jahre hinweg Vertrauensgeber aufgebaut
hat, eben da geholfen und unter die Arme gegriffen hat, das ist
jetzt ja, also das kann ja nicht der richtige Ansatz sein.
Aber wie? Wie bekommt wir das denn hin?
Also das weiß gar nicht, ob die Frage jetzt hier heute
beantworten können, aber ich finde es ein sehr spannendes
Gedankenspiel, wie bekommen wir das denn hin, dass.
In Zukunft zu verhindern und es nicht eigentlich Open Source,
total kaputt und müssen wir nicht eigentlich schauen, dass
wir irgendwie, also das erinnert mich an dieses Meme, wo diese,
wo dieses riesige Schloss auf diesem auf einem so einem ganz
wackligen Baustein unten steht, und das ist, also ob das jetzt
richtig ist, das in einem einzelnen Mantrainer unbezahlt
vor allem noch irgendwie dazuzumuten, das ist natürlich
auch eine ganz andere Frage, und da basiert ja dann irgendwie das
halbe Internet drauf, es gibt ja noch ganz viel mehr solcher
Tools, die irgendwie so ein bisschen, fast schon zufällig.
Populär geworden sind und wo ja das halbe Internet drauf
passiert. Ja, ich glaube, es ist extrem
wichtig, dass man sich damit beschäftigt.
Was sind wirklich diese? Ja, systemkritischen
Komponenten, die mittlerweile die Basis von ganz vielen
Softwareprodukten und natürlich des gesamten Internets
darstellen. Und wie kann man dafür sorgen,
dass diese auf stabilen beiden stehen und da kann es natürlich
nicht sein, dass einzelne Personen, sei es eine Person
oder seien es 2 Personen, in ihrer Freizeit kritische
Komponenten für die gesamte IT Infrastruktur dieses Planetens
bereitstellen, das heißt, man muss diese Leute zumindest
befähigen genug. Und Energie in dieses Projekt
investieren zu können, sofern sie denn wollen.
Oder man muss halt sichergehen, oder wir müssen als Community
sichergehen, dass diese Leute die entsprechende Unterstützung
bekommen, ihre Aufgabe und Passion entsprechend mit der
nötigen Aufmerksamkeit. Wahrzunehmen, und da gibt es ja
verschiedene Ansätze, wie zum Beispiel Open Source Funds, wo
letzten Endes Open Source Projekte durch die öffentliche
Hand kofinanziert werden. Es gibt Möglichkeiten, an Open
Source Projekte auch zu. Wenden, das heißt dort auch die
Maintenner bei ihrem Lebensunterhalt zu unterstützen,
damit sie mehr Zeit haben, sich um diese Projekte zu kümmern.
Weil am Ende wurde an dieser Stelle ausgenutzt, dass dort
eine einzelne Person mit überschaubarem Zeitkontingent
nicht die Möglichkeit hatte, dieses Projekt komplett alleine
zu mentieren das heißt, diese Person war am Ende dankbar, dass
sie Unterstützung bekommen hat und das wurde an dieser Stelle
gnadenlos ausgenutzt, wenn es an dieser Stelle vielleicht noch 23
andere Maintenner gegeben hätte, die wirklich auch noch
draufschauen und. Da auch noch einen Sense Check
machen und auch sich die Pre request anschauen, wäre es nie
möglich gewesen dort diesen Schadcode auch nur einzuführen,
weil wahrscheinlich der erste Schritt die Social Engineering
Attacke schon nicht funktioniert hätte.
Aber auch die weiteren Schritte nicht funktioniert hätten.
Und wir haben ja in der Vergangenheit ja auch über
andere Supply Chain Attacken gesprochen, wir haben.
Open Source Maintener gesprochen, die selber ihre
eigene Library kompromittieren, um auch einfach mal n Statement
zu machen und zu sagen, Hey ich bin hier alleine und ihr nutzt
alle diese Software die ich in meiner Freizeit montaine.
Das heißt halt dort ist halt n extrem großer Druck da und ich
glaub wir alle die Unternehmen die die Software einsetzen, die
staatlichen Organisationen, die die einsetzen, die einzeln
developer können ihren Beitrag dazu leisten, das auf stabilere
Füße zu stellen. Ja, es war dieser Fall.
Color JS und Faker JS ne wo auch dieser.
Mir reicht es also irgendwie die halbe Welt nutzt meine Software
und meine Tools und ich verdien da irgendwie keinen Cent damit
und alle erwarten aber, dass ich 24 7 erreichbar bin und
contributions mache oder annehme oder oder Review.
Da gab es jetzt nicht, nicht zuletzt auch auch den Fall mit
Lockford Jay oder Lord Lock for Shell, wo ja auch ne sehr
populäre Library angegriffen wurde.
Zu beiden Themen haben wir auch ne Podcast Folge gemacht, findet
ihr quasi auch ne lange Liste unserer Folgen?
Es wäre ja eigentlich sehr wünschenswert, wenn das jetzt
mal, wenn das jetzt nicht schon wieder irgendwie ab 11, sondern
abebbt, diese Aufmerksamkeit, sondern dass, dass wir uns
vielleicht mal wirklich, wie du gerade sagst, diesem
Grundproblem widmen, weil ich möchte weder solche wichtigen
Tools in der Hand, eine Einzelperson, aber auch nicht
eine einzelnen Organisation oder Firma sehen, sondern eigentlich
war der Grundgedanke von Open Source ja mal, dass man das
wirklich, dass man gemeinsame Verantwortlichkeiten hat und
trägt und auch gemeinsam pflegt oder wirklich dediziert Personal
für abstellt, von allen, die davon irgendwie profitieren und.
Einverstanden heute nicht. Nicht der Fall 99%, der der
Personen, die sich unserer Software bedienen haben, geben
nie etwas zurück, das muss ja nicht immer contributions sein,
aber das kann ja auch, wie du gerade gesagt hast, monetär
sein. Und ja, wir werden da jetzt
heute keine Lösung für haben, aber ich finde, das ist sehr
wichtig, Aufmerksamkeit auf das Thema zu lenken und mit der
Community gemeinsam zu diskutieren.
Ja, wie wir solche Fälle in Zukunft vermeiden können.
Wenn ihr Ideen habt, wie auch wir als individuelle Personen
dort helfen können, das Ganze stabiler aufzustellen, jenseits
einer möglichen Contribution, das heißt, was können wir
jenseits der Tatsache, dass wir vielleicht Open Source maintener
werden können oder könnten, was können wir da auch noch tun,
letzten Endes das ganze System stabiler wird?
Lasst es uns gerne wissen, kommentiert gerne auf Spotify,
schreibt uns eine E-Mail, wenn ihr Ideen habt, das würden wir
auch gerne dann nochmal am Anfang der nächsten Folge
zusammenfassen. Weil ich glaube, unser Horizont
ist spannend, aber der Input aus der Community ist natürlich für
andere auch noch mal eine ganz neue.
Neue Einblick oder Inspiration? Ja, total.
Also wenn ihr Ideen habt, super. Gerne fände ich auch cool, wenn
du wie du, wie du gerade gesagt hast, wie das nächste Folge dann
noch mal irgendwie auch aufgreifen können.
Ein allerletzter Punkt zu dieser Geschichte ist noch, dass wir
wahrscheinlich sehr, sehr großes Glück haben, weil ich glaube,
wir dürfen jetzt nicht davon ausgehen, dass man sagt, Ah OK,
man findet also in diesen Preview Versionen dann meistens
diese kompromittierten Code. Und zwar kam vor wenigen Wochen.
Der Vorschlag auf bei System D, das ist der Prozess, der beim
Starten von den meisten Linux Betriebssystemen dann eben diese
ganzen Tools, die unter anderem Exi Utils Nachlädt um ssh zu
laden, wobei dann dieser Schadcode ausgeführt wurde.
Also es kam vor wenigen Wochen erst dieser Vorschlag auf, dass
das Laden von Executive und auch von vielen anderen Tools noch
etwas zu verzögern um auch den Boot Prozess zu optimieren und
das hätte natürlich diesen gesamten Angriff kaputt gemacht
und deswegen mussten sich die Angreifer wahrscheinlich sehr
beeilen, jetzt in die aktuellen Debian Distribution Exotiles
Reinzukriegen, zumindest diese geupletete kompromittierte
Version. Denn man muss sich ja natürlich
fragen, warum jemand, der über 3 Jahre hinweg diesen Angriff über
so viele Ebenen, über soziale Ebenen, aber auch über
Codingebenen macht, den so gut versteckt, warum so jemand nicht
in der Lage ist, diese Verzögerung von einer halben
Sekunde nicht auch noch weg zu optimieren, weil das ist ja
eigentlich nur eine Überprüfung, ob es ein ganz bestimmter
Schlüssel ist. Und dann wurde auch noch ein
bisschen was ausgeführt, das war diese Verzögerung gemacht, aber
das hätte man ja auch noch wegoptimiert bekommen.
Und dann hätt dann dann und dann wäre es Andreas Freund nicht
aufgefallen und dann wär die Kartoffel, die Katastrophe,
ihren Lauf genommen. Also können wir hier von ganz
großem Glück reden, dass da die Angreifer scheinbar unter Druck
gesetzt wurden, unter einen zeitlichen Druck gesetzt wurden
und das jetzt so n bisschen auf den letzten Metern durchrushen
mussten, sonst wäre das wahrscheinlich niemals
aufgefallen und dann hätte es sein können, dass malte und ich
diese Folge heute nicht übers Internet auf hätten aufnehmen
können oder über das Internet an euch verteilen können, weil dann
vielleicht die Spotify Server und hier Riverside das Tool
worüber wir unseren Pocket aufnehmen vielleicht.
Mehr online gewesen werden, also Schwein gehabt und aber auch
einen ganz, ganz großen. Fetten Dank an Andreas Freund,
ich hoffe der kriegt da zumindest irgendwie nen Internet
orden für oder irgendwie keine Ahnung nen goldenen Reddit batch
oder irgendwas würde mich sehr freuen wenn das die Anerkennung
bekommt weil sie sowieso gerade die Bild-Zeitung hatte wie
darüber berichtet und ist schon irgendwo ein ein internetheld
ich möchte das so sagen. Absolut.
Und ich glaube, wir haben jetzt viel über das Internet
gesprochen, aber ich glaube, warum halt auch die.
Klassische Presse das Thema aufgreift und auch breiter
streut, ist das ja letzten Endes.
Internet heißt jetzt in dem Fall nicht nur, dass plötzlich tik
tok und unser Youtube nicht mehr verfügbar sind, das bedeutet am
Ende, dass im wahrsten Sinne des Wortes das Licht ausgehen kann
und weil natürlich auch kritische Infrastruktur
betroffen ist. Und von daher hätte das ganze
extrem massive Auswirkungen haben können und von daher
gebührt dort. Dem Erfinder extrem viel Dank.
Wir haben extrem viel Glück gehabt und ich glaub wir können
einfach schauen was läuft da falsch, was können wir dort
besser machen, damit halt solche Angriffe nicht erst am Ende
gefunden werden, sondern frühzeitig.
Unterbunden werden können in dem Prozess, wie man in der Open
Source Community zusammenarbeitet.
Boah, ein richtiger Internet techner Krimi also, was da
abgelaufen ist, hätte also auch so in Darknet Diaries gepasst.
Liebe Grüße an der Stelle auch sehr empfehlenswerter Podcast,
wenn euch die Folge gefallen hat, dann lasst uns gerne ne
gute Bewertung da oder auch Kommentare.
Wir freuen uns immer sehr, wenn ihr uns zum Beispiel auch
irgendwie einen Kaffee ausgebt oder wenn ihr zu eurem eigenen
Kaffee die passende to do Podcast Nerd Tasse in unserem
Shop kauft. Links dazu findet ihr in der in
der Beschreibung von der Folge und wie wir es ja auch schon ein
paar Mal gesagt haben, lasst uns auch super gerne eure Meinung
und eure Kommentare da. Über einen Kommentar, den man
bei Youtube oder bei Spotify hinterlassen kann.
Oder schreibt uns doch gerne einfach privat ne E-Mail, freuen
wir uns immer sehr drüber. Und von daher bleibt mir nur
noch, euch ne gute Zeit zu wünschen.
Wir hören uns hoffentlich in 2 Wochen wieder der To do
Developer Podcast erscheint alle 2 Wochen und von daher alles
gute und schreibt viel guten Open Source Code.
Kein Schadco. Macht's gut.
Ciao. Ciao.
Was?