Ja, wo laufen sie denn (meine Daten)?

Ihr habt’s gehört, ihr habt’s gelesen, ihr seid womöglich selbst betroffen: aus Sony’s Playstation Network wurden womöglich Informationen in der potentiellen Größenordnung von 77 Millionen Datensätzen kopiert. Informationen sind rar gesät und diese ganze Räuberpistole ist von ein paar großen Fragezeichen umgeben. Bekannt sei folgendes:

Mitte letzter Woche wurden PSN und Qriocity (ich verwende PSN ab jetzt mal synonym für beide Services) abgeschaltet. Als Begründung wurde eine “external intrusion” angegeben und dass man sich jetzt erstmal um ein paar Untersuchungen (“thorough investigation”) kümmern müsste. Weil ich kein PS3-Besitzer bin, habe ich diese Mitteilung erst jetzt gelesen, aber rückwärts betrachtet war das im Grunde schon ein ziemlich deutliches Warnzeichen.

Dieses “Eindringen” wurde irgendwie bemerkt und daraufhin hat Sony erstmal entschieden, einen ihrer wichtigsten wertschöpfenden Geschäftskanäle abzuschalten, um “thorough investigation” zu starten. Genau, wertschöpfend. Das Ding bringt Umsatz. Bevor ein Unternehmen entscheidet, so etwas freiwillig, ungeplant und für einen unbekannten Zeitraum abzuschalten – und sich effektiv um diesen Umsatz bringt – muss schon einiges passieren. Ein Computernetzwerk für so einen Service wie PSN ist eine ziemlich komplexe Sache, überall sind Bits und Bytes unterwegs, deren Zustände sich im Grunde ständig ändern, die aber irgendwie interpretiert werden müssen, um eine Aussage über Soll, Ist und Historie treffen zu können. Jetzt fängt natürlich meine Spekulation an, aber was meines Erachtens durch dieses Abschalten erzielt werden sollte, war ein “Einfrieren” der Systeme, um forensische – also detaillierte technische – Untersuchungen durchführen zu können. So heisst es dann auch: “in a nutshell, PSN was shut down after the intrusion on April 19th, and the company needed to work with outside experts to “understand the scope of the breach” before posting the full lowdown earlier today”. Da kann man ja nur hoffen, dass es sich bei diesen “outside experts” nicht um die Leute von HBGary handelt…

Wie ist das aber eigentlich, wenn jemand Datensätze klaut? Das ist ja nicht so wie bei einem physikalischen Diebstahl. Wenn ich abends nach Hause komme und jemand hat meinen Fernseher entwendet, dann befindet sich da Luft, wo vorher Elektronik stand. Wenn jemand meine mp3-Dateien stiehlt, dann liegen die weiterhin auf meiner Festplatte, sie wurden nur kopiert. Daher kommen so ungelenkte Formulierungen wie die vom “illegal access” oder “data compromise”. Wie wurde diese Kopie dann überhaupt bemerkt? Irgendwas muss ja die Entscheidung zum Abschalten ihres Netzwerkes ausgelöst haben. Als Unternehmen, welches Kreditkarten-Transaktionen abwickelt, muss sich Sony dem PCI DSS unterwerfen, einem Standardregelwerk, welches die Verlässlichkeit dieser Transaktionen sicherstellen soll. Eine der Anforderungen von PCI ist “Track and monitor all access to network resources and cardholder data”; Kurzform: umfangreiches Logging und die Auswertung dessen. Entweder hat Sony also Protokolle zur Verfügung, deren Analyse auf einen wie auch immer gearteten unregelmässigen Zugriff (im Nachhinein!) aufmerksam gemacht haben. Oder der unbekannte Angreifer hat Sony mit einem authentischen Sample der entwendeten Daten konfrontiert. Das ist der Öffentlichkeit Stand heute eigentlich unbekannt, lässt sich aber vielleicht herleiten.

Wenn Sony PCI DSS ernst nimmt, dann müssen sie auch die Forderung “Protect stored cardholder data” beachten. Ob es tatsächlich Zugriff auf die Kreditkarteninformationen gab, wissen sie scheinbar selbst nicht so genau. Hier wird das Bild unscharf. Die offizielle Pressemitteilung erwähnt ausschließlich identitätsbezogene Daten, auf die die Angreifer definitiv Zugriff gehabt haben sollen. Ob darunter Kreditkartennummer, Ablaufdatum (aber nicht die dreistellige Sicherheitsnummer) sind, ist Sony selbst nicht bekannt. Vernünftigerweise(!) gehen sie aber vom Schlimmsten aus und geben ihren Kunden die üblichen Empfehlungen für diesen Fall an die Hand: “While there is no evidence at this time that credit card data was taken, we cannot rule out the possibility.” Vernünftig ist dieses Vorgehen, weil das “Geschäftsprinzip” der Angreifer vermutlich darin besteht, gültige geklaute Kreditkarteninformationen weiterzuverkaufen. Die kann man z.B. auch ohne Sicherheitsnummer auf Blankokarten schieben und für Offline-Käufe nutzen. Daher kann die Strategie von Sony nur Offenlegung sein, damit den Angreifern diese Geschäftsgrundlage zumindest verkleinert oder erschwert wird – zumindest, wenn die Kreditkarteninhaber ihre Karte auf eigene Kosten tauschen. Aber warum genau ist Sony diese Situation nicht bekannt? Wenn der Angreifer in meinem “Sample”-Szenario Daten eingeschickt hätte, dann wären mit einiger Sicherheit auch solche mit Kartendetails darunter gewesen; somit wäre die Lage für Sony klar. Da sie es aber nicht ist, muss ich mich mit meiner Spekulation also weiter auf das Logging konzentrieren. Diese Logfiles scheinen aber auch nicht aussagekräftig genug zu sein. “There is no evidence”.

Jetzt wäre es interessant zu wissen, wo die einzelnen Daten lagen und ob und wie sie verschlüsselt waren. In vielen ersten Kommentaren wurde geäussert, dass Passwörter doch bitte nicht im Klartext in Datenbanken gespeichert werden sollen. Aber was ist mit den KK-Informationen? Die sollen doch “protected” sein, also zum Beispiel durch Verschlüsselung. Wenn Sony jetzt keinen Beweis für oder wider einen unregelmässigen Zugriff auf die KK-Daten hat, diese aber geschützt werden müssen… hat Sony diesen Schutz dann nicht (keine Verschlüsselung) und verstößt so gegen PCI DSS? Oder hat Sony diesen Schutz, die Verschlüsselung ist aber schlecht implementiert – z.B. so, dass das komplette kryptografische Material für den Angreifer zugreif- und nutzbar gewesen wäre. Ähnlich, als ob man den Schlüssel zur Haustür unter der Fußmatte ablegt. Oder hatte der Angreifer womöglich ein zum Zugriff auf diese Daten berechtigtes Benutzerkonto unter Kontrolle? So etwas ist zum Beispiel beim RSA Hack vor ein paar Wochen passiert. Vielleicht sind auch gar nicht alle, sondern nur jene Kreditkarten gefährdet, die zur “Laufzeit” des Angriffs zu Transaktionen verwendet und eben zwischengespeichert wurden? Ohnehin hatte ja nur ein Teil der PSN-Mitglieder auch gültige Karteninformationen hinterlegt, dieser Teil des Angriffs betrifft also gar nicht alle 70 Millionen Datensätze. Die Frage nach der Sicherung dieser Daten stellt sich natürlich trotzdem. IT-Systeme sind heute hochkomplex und der Teufel steckt immer im Detail. Man darf gespannt sein, ob im Lauf der Zeit weitere Informationen an die Öffentlichkeit gelangen werden.

Was bedeutet dieser Angriff aber im Endeffekt? Zum Einen hat Sony natürlich einen nur schwer meßbaren Image-Schaden davongetragen. Zum Anderen weist diese Affäre deutlich auf die Risiken von Kredikartentransaktionen vor allem im Internet hin; die Datenschutz/Datensparsamkeitsdebatte ist da nur ein Nebenkriegsschauplatz. Sollte der ganz große Diebstahl eingetreten sein, steht die Kreditkarten- und Bankenindustrie vor dem großen Spaß einer Kundenbasis von zig Millionen Karten, die alle im Verdacht stehen, potentiell kompromitterte Transaktionen auslösen zu können. Von Vertrauen in das Kreditkartensystem kann man da wohl nicht mehr so richtig sprechen. Auch hier steht ein großes Fragezeichen, wie die Reaktion der Industrie aussehen wird. Vermutlich schiebt sie das Risiko auf den Kunden und erträgt stumm, dass viele Karten nach und nach gesperrt werden. So es denn auffällt. Eure Karten quasi prophylaktisch zu sperren, kann Geld kosten. Da seid ihr von der Kulanz eurer Institute abhängig. Womöglich lohnt sich für die private Kosten / Risiko-Abschätzung ein Blick auf die Restlaufzeit eurer Karte.

Was bedeutet das sonst noch für den Kunden, also für euch? Checkt eure Konten und Kreditkartenabrechungen und wechselt die Passwörter für PSN. Vor allem, wenn ihr identische Accounts und PWs für mehrere Internetservices gebraucht (PSN, Steam, Mail, Facebook, etcpp.) Der oben verlinkte Heise-Artikel ist da eine sehr gute Informationsquelle, aber auch Jan von Konsolendealz hat das Thema freundlicherweise schon gut zusammengefasst.