{"id":199119,"date":"2017-12-30T20:55:22","date_gmt":"2017-12-30T19:55:22","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=199119"},"modified":"2023-05-15T17:13:23","modified_gmt":"2023-05-15T15:13:23","slug":"bea-debakel-fhrt-zu-mglichem-trojaner-befall","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/12\/30\/bea-debakel-fhrt-zu-mglichem-trojaner-befall\/","title":{"rendered":"beA-Debakel f&uuml;hrt zu m&ouml;glichem Trojaner-Befall"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" title=\"Sicherheit\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" border=\"0\" alt=\"Sicherheit\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"42\" align=\"left\" height=\"51\"\/>Noch eine kurze Info zum besonderen elektronischen Anwaltspostfach (beA), welches sich zum Desaster entwickelt. Jetzt kommt die Nachricht, dass alle Anw\u00e4lte, die beA verwenden und das letzte Zertifikat vom 22. Dezember 2017 installierten, dringend einen Virenscan durchf\u00fchren m\u00fcssen. Beim Grund rollen sich die Fu\u00dfn\u00e4gel hoch. Zudem wird bekannt, wie dilettantisch das Ganze aufgesetzt wurde.<\/p>\n<p><!--more--><\/p>\n<h2>Worum geht es beim beA-Fall?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/e436c904324d4cd0a83937def324f9d6\" width=\"1\" height=\"1\"\/>Das K\u00fcrzel beA steht f\u00fcr das <a href=\"https:\/\/web.archive.org\/web\/20190712084436\/https:\/\/www.brak.de\/fuer-anwaelte\/bea-das-besondere-elektronische-anwaltspostfach\/\">besondere elektronische Anwaltspostfach<\/a> (beA). Dieses sollte zum 1. Januar 2018 \"passiv nutzungspflichtig\" werden, d.h. jeder Rechtsanwalt muss kontrollieren, ob ihm dort Schriftst\u00fccke zugeschickt wurden. So weit die Theorie.<\/p>\n<p>Im Artikel <a href=\"https:\/\/borncity.com\/blog\/2017\/12\/23\/bea-verteilt-zertifikat-mit-privatem-key-beim-besonderen-elektronischen-anwaltspostfach\/\">beA verteilt Zertifikat mit privatem Key beim besonderen elektronischen Anwaltspostfach<\/a> hatte ich berichtet, dass die Bundesrechtsanwaltskammer das Zertifikat f\u00fcr den Mailversand zum 22. Dezember 2017 erneuern musste. Alle Anw\u00e4lte erhielten die Aufforderung, das neue Zertifikat zu installieren. Das ging aber noch mehr in die Hose, so dass beA schlie\u00dflich offline genommen werden musste (siehe mein Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2017\/12\/28\/offline-bea-bleibt-nach-sicherheitspanne-vorerst-offline\/\">Offline: BeA bleibt nach Sicherheitspanne vorerst offline<\/a>). Die weitere Zukunft von beA ist ungewiss. H\u00e4tte es sein k\u00f6nnen, aber das Ganze geht noch weiter, nachdem die Details und die Folgen bekannt werden.<\/p>\n<h2>Scheitern mit Ansage: Dilettantismus pur<\/h2>\n<p>Auf dem 34C4-Hackerkongress in Leipzig haben Markus Drenger und Felix Rohrbach vom Chaos Computer Club Darmstadt, denen das urspr\u00fcngliche Zertifikatsproblem auffiel, Details genannt. Die Kollegen von heise.de haben die Details im Artikel <a href=\"https:\/\/www.heise.de\/newsticker\/meldung\/34C3-Das-besondere-Anwaltspostfach-beA-als-besondere-Stuemperei-3928474.html\" target=\"_blank\" rel=\"noopener noreferrer\">34C3: Das besondere Anwaltspostfach beA als besondere St\u00fcmperei<\/a> aufbereitet. Heise schreibt, dass die beiden Hacker, entgegen der <a href=\"https:\/\/web.archive.org\/web\/20210416065525\/https:\/\/www.brak.de\/fuer-journalisten\/pressemitteilungen-archiv\/2017\/presseerklaerung-15-2017\/\" target=\"_blank\" rel=\"noopener noreferrer\">Darstellung der Bundesrechtsanwaltskammer<\/a> (BRAK), keinen Angriff auf die Software unternommen. Der Versuch, nach dem Informationsfreiheitsgesetz von der BRAK, dem Dienstleister Atos als beA-Lieferant und dem Zertifizierer der Software Ausk\u00fcnfte zu erhalten, wurde unter Berufung auf \"Gesch\u00e4ftsgeheimnisse\" abgelehnt. Also analysierten die beiden \u00f6ffentlich zug\u00e4ngliche Dokumente. Diese Analyse der f\u00fcr 38 Millionen Euro von Atos ab 2014 entwickelten Software offenbarte zahlreiche M\u00e4ngel.<\/p>\n<ul>\n<li>Der Linux-Client arbeitet mit Java-Libraries, die im August 2015 ihr \"End of Life\" erreichten.  <\/li>\n<li>Ein Daemon \u00fcberwacht Port 9998, ob der Browser die Webseite <em>bea-brak.de<\/em> \u00f6ffnet. Dann wird eine Verbindung per Websocket zwischen Client und Server aufgebaut und ein Anmeldefenster zum Aushandeln einer Session-ID \u00f6ffnet sich.  <\/li>\n<li>Diese Verbindung verwendete TLS 1.2, wobei der Server laut den Qualys SSL Labs auch zum 30.12.2017 gegen die aktuelle ROBOT-Attacke anf\u00e4llig ist.  <\/li>\n<li>F\u00fcr die TLS-Verbindung braucht der Client ein, von einem lokal laufenden Webserver unter dem Namen <em>bealocalhost.de<\/em> bereitgestelltes, Zertifikat.  <\/li>\n<li>Der private Schl\u00fcssel des bei T-Systems\/Telesec eingekauften Zertifikats wurde bisher im Keystore des Clients gespeichert und mit einem voreingestellten Passwort beim Aufbau der TLS-Verbindung aufgerufen.<\/li>\n<\/ul>\n<p>Dieser Ansatz f\u00fchrte zu dem oben erw\u00e4hnten Zertifikatsdesaster. Auch sonst scheint das System etwas antiquiert. Anw\u00e4lte k\u00f6nnen ihre Mail nur an ein Gericht oder einen Anwalt schicken, m\u00fcssen, wegen des eingebauten Spamschutzes, nach jeder Mail 15 Minuten bis zum Versand der n\u00e4chsten Mail warten. Mails d\u00fcrfen nicht gr\u00f6\u00dfer als 30 MByte sein. <\/p>\n<p>Eine Mail wird beim Versand vom Client des Anwalt verschl\u00fcsselt und zum beA-Verteiler geschickt. Dort wird sie von einem besonderen Hardware-Sicherheits-Modul (HSM) entschl\u00fcsselt und f\u00fcr den Zielempf\u00e4nger neu verschl\u00fcsselt. Das HSM hat (so die Analyse der Darmst\u00e4dter Hacker) die privaten Schl\u00fcssel aller Anw\u00e4lte gespeichert. Dies erm\u00f6glicht es, eine Mail zu anderen Anw\u00e4lten umzuleiten (weil der urspr\u00fcngliche Empf\u00e4nger verhindert ist). Wird der beA-Verteiler gehackt, lassen sich alle Mails mit den Zertifikaten entschl\u00fcsseln und mitlesen. Eine sichere \"Ende-zu-Ende-Kommunikation mit Verschl\u00fcsselung\" ist das eher nicht. Weitere Details zu diesem Aspekt lassen sich bei <a href=\"https:\/\/www.heise.de\/newsticker\/meldung\/34C3-Das-besondere-Anwaltspostfach-beA-als-besondere-Stuemperei-3928474.html\" target=\"_blank\" rel=\"noopener noreferrer\">heise.de<\/a> nachlesen. Ich w\u00fcrde sagen, dass die Entwickler hoffnungslos \u00fcberfordert waren. <\/p>\n<h2>Trojanerbefall festgestellt<\/h2>\n<p>Aber die Geschichte geht noch weiter. Es scheint wohl einen Fall zu geben, wo ein System durch das Zertifikat mit einem Trojaner infiziert wurde. Auf dem Twitter-Kanal von openJur e.V. findet sich <a href=\"https:\/\/twitter.com\/openjur\/status\/947071543116533760\" target=\"_blank\" rel=\"noopener noreferrer\">dieser Tweet<\/a> (Info von <a href=\"https:\/\/plus.google.com\/+KristianK%C3%B6hntopp\/posts\/13BNjsxs9nu\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>).<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"und\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/popcorn?src=hash&amp;ref_src=twsrc%5Etfw\">#popcorn<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/beAGate?src=hash&amp;ref_src=twsrc%5Etfw\">#beAGate<\/a> <a href=\"https:\/\/t.co\/O9vYkW64Pt\">pic.twitter.com\/O9vYkW64Pt<\/a><\/p>\n<p>\u2014 openJur e.V. (@openjur) <a href=\"https:\/\/twitter.com\/openjur\/status\/947071543116533760?ref_src=twsrc%5Etfw\">30. Dezember 2017<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Von der Brak hat openJur e.V. die Information erhalten, dass ein Client am 22. Dezember 2017, nach Installation des neuen Zertifkats gehackt und ein Trojaner installiert wurde. Erst hielt ich den Tweet f\u00fcr eine Fake-News. Aber wir haben nicht den 1. April 2018, und die Meldung l\u00e4sst sich bei der Hanseatische Rechtsanwaltskammer Hamburg <a href=\"http:\/\/www.rak-hamburg.de\/mitglieder\/mitgliederservice\/meldungen\/id\/23\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> nachlesen (die Quelle halte ich f\u00fcr seri\u00f6s genug):<\/p>\n<blockquote>\n<p>Wir haben von der BRAK auf unsere Nachfrage eine wichtige Information erhalten, die wir Ihnen gerne sofort weitergeben wollen:<\/p>\n<p>Danach sollte Ihr Kanzlei-Computer vollst\u00e4ndig mit einer <strong>Virensoftware<\/strong> gescannt werden, wenn Sie das Zertifikat vom 22. Dezember installiert haben sollten. Das soll auch dann gelten, wenn das Zertifikat zwischenzeitlich deinstalliert wurde.<\/p>\n<p>Hintergrund sei folgender: Es lasse sich der Fall konstruieren, dass ein Hacker am Nachmittag des 22. Dezember einen PC mit aktuellem Zertifikat gehackt und der Nutzer des PCs eine durch den Hacker bereitgestellte Internetseite (z.B. einen Online-Shop, den der Nutzer f\u00e4lschlicherweise f\u00fcr sicher hielt) aufgerufen hat, wodurch der PC des Nutzers mit einem Trojaner infiziert worden sein k\u00f6nnte. Sofern ein g\u00e4ngiges Antivirenprogramm den Trojaner nicht entdeckt h\u00e4tte, k\u00f6nnte dieser Trojaner dazu programmiert worden sein, die \u00fcber den Webbrowser get\u00e4tigte E-Mail-Korrespondenz mitzulesen.<\/p>\n<\/blockquote>\n<p>Noch ein paar Anmerkungen: Die Systeme sollten nach Deinstallation des Zertifikats mit einer <strong>Antivirus-Software<\/strong> \u00fcberpr\u00fcft werden. Dass eine Anwaltskammer schon mal Virensoftware mit Antivirensoftware verwechselt, ist verzeihlich \u2013 was ein Gl\u00fcck, dass die Betroffenen nur schwerlich an eine Virensoftware zum Scannen des PC herankommen.<\/p>\n<p>Den Leuten bei der Anwaltskammer d\u00e4mmert aber das Dilemma: Falls die Trojaner von einer \"g\u00e4ngigen\" Antivirus-Software nicht erkannt wird, k\u00f6nnte die Korrespondenz und mehr mitgelesen werden. Wird eine Infektion festgestellt, bleibt in meinen Augen nur noch das komplette Neuaufsetzen des Systems. Falls keine Infektion festgestellt wird, steht der Betreffende vor einem Dilemma: Ist das System nicht infiziert, oder erkennt die Anti-Virus-Software die Infektion nicht? Eigentlich m\u00fcsste jedes System, welches die beA-Zertifikate installierte hatte, neu aufgesetzt werden, um auf der sicheren Seiten zu sein. <\/p>\n<p><strong>\u00c4hnliche Artikel:<br \/><\/strong><a href=\"https:\/\/borncity.com\/blog\/2017\/12\/28\/offline-bea-bleibt-nach-sicherheitspanne-vorerst-offline\/\">Offline: BeA bleibt nach Sicherheitspanne vorerst offline<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/12\/23\/bea-verteilt-zertifikat-mit-privatem-key-beim-besonderen-elektronischen-anwaltspostfach\/\">beA verteilt Zertifikat mit privatem Key beim besonderen elektronischen Anwaltspostfach<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Noch eine kurze Info zum besonderen elektronischen Anwaltspostfach (beA), welches sich zum Desaster entwickelt. Jetzt kommt die Nachricht, dass alle Anw\u00e4lte, die beA verwenden und das letzte Zertifikat vom 22. Dezember 2017 installierten, dringend einen Virenscan durchf\u00fchren m\u00fcssen. Beim Grund &hellip; <a href=\"https:\/\/borncity.com\/blog\/2017\/12\/30\/bea-debakel-fhrt-zu-mglichem-trojaner-befall\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[6732,4328,1107],"class_list":["post-199119","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-bea","tag-sicherheit","tag-trojaner"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199119","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=199119"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199119\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=199119"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=199119"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=199119"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}