Spieleplattformen als Angriffsvektor
Ich schrieb vor einer Weile was zum Thema Datenschutz und Computerspiele; dass das ein heikles Thema sei, und so fort und so weiter.
Mindestens genauso heikel ist die Tatsache, dass Spiele, insbesondere, wenn sie online stattfinden und über einschlägige Vertriebsplattformen wie Steam bezogen werden, ein Datensicherheitsproblem darstellen.
Beispiele gibt es seit Jahren, aber mit einem so prominenten Fall hat man es nicht oft zu tun: Offensichtlich hat es jemand geschafft, einen Exploit zu entwickeln, der die Einladungsfunktion von Steam nutzt, um administrative Kontrolle von Rechnern zu ergattern, auf denen gerade Counterstrike Global Offensive läuft. Das ist ein beliebtes Online-Spiel, das im letzten Monat immerhin ungefähr 750.000 Menschen im Tagesdurchschnitt gespielt haben.
Über die Codequalität von Spielen und Spieleplattformen haben sich andere Leute ausgelassen (aktuelles Beispiel), das ist nicht meine Expertise. Aber gegenüber Leuten, die am PC gerne Spiele spielen, darf man nicht müde werden zu empfehlen, dass die Instanz des Betriebssystems, auf dem die Spiele laufen, von datenschutzrelevanten Bereichen des Rechners und ggf. des Heimnetzwerks abgeschottet sein muss.
Und ich will euch, sofern ihr mit der Materie nicht vertraut seid, erklären, warum.
Denken wir den Exploit mit Counterstrike weiter: Wenn jemand administrativen Zugriff auf euren Rechner hat, kann er damit machen, was er will. Zum Beispiel eure Festplatte löschen, oder die Pr0n-Sammlung sichten, giftige Emails in eurem Namen verschicken, was man so halt tut mit einem PC. Aktuell beliebte Gemeinheiten sind Krypto-Schadprogramme, die eure Daten verschlüsseln und Lösegeld erpressen.
Sagen wir weiter, ihr habt ein NAS als Datengrab im Keller stehen, auf dem Milliarden Familienfotos, eure Steuererklärungen, Rechnungen, Korrespondenz, Musiksammlungen, DVD-Rips und all der andere Digitalmüll lagert, den man so über die Jahre sammelt.
Unter meinen Kollegen sind die Synology-NAS beliebt, mit zwei Platten im RAID 1-Verbund, d.h. die Festplatten werden sogar gespiegelt, damit der Ausfall eines Datenträgers nicht den vorzeitigen Datentod bedeutet. Sehr löblich. Ich habe mir aus Bastelwut ein eigenes NAS gebaut. Aber die Synology-Dinger sind für Nutzer ohne Bastelwut nicht verkehrt (wenn man nicht den Wahnsinn betreibt, sie offen übers Internet erreichbar zu machen).
Auf dem NAS sind die Daten in Freigaben verfügbar, inklusive Schreibrechten. Ihr wollt ja in der Lage sein, von eurem Computer aus Daten in den Netzwerkspeicher reinzuschaufeln.
Aber wenn nun jemand administrativen Zugriff auf euren Rechner hat, was kann er dann tun? Genau: eure Daten auf dem NAS löschen, verändern, verschlüsseln, runterladen, whatever. Weil: Euer Computer hat ja Schreibrechte. Und ich gehe davon aus, dass die große Mehrzahl der User (mich eingeschlossen) zu faul ist, eventuell gesetzte Passwörter für die Freigaben immer wieder aufs Neue einzugeben. Daher werden die Zugangsdaten gespeichert und automatisch eingegeben, wenn ihr versucht, auf die Freigabe zuzugreifen. Noch angenehmer für Angreifer ist natürlich, wenn eure NAS-Freigaben überhaupt keinen Schutz haben, sondern für alle Nutzer des Netzwerks offen zugänglich und schreibbar sind.
Benutzt ihr Keypass oder andere Passwort-Speicher? Na klar, dann kann der Angreifer auch dieses Zeug ausleiten. Weitere Potenzielle Katastrophen wie das Kaputtmachen anderer Geräte im Heimnetz, auch der Missbrauch eventuell vorhandener Smarthome-Applikationen (Heizungen, Rollläden, Lichter etc.), will ich gar nicht im Detail ausführen, da vertraue ich auf eure Phantasie.
Das ist ja alles HAARsträubend grausam gemein und niederträchtig, immer will man meine Daten klauen, zerstören, mein Leben ruinieren! Was huhn? Gack, gack!
Zuerstmal sollte man sich einen Überblick verschaffen, was sich da im Heimnetz für Geräte tummeln und welches Risiko besteht, dass die Böses einschleppen.
Ein durchschnittliches Setup dürfte heutzutage folgendermaßen aussehen:
- Ein Router, der am DSL oder Kabelnetz hängt.
- Mehrere PCs/Laptops, die per WLAN/LAN am Router hängen.
- Mehrere Smartphones oder Tablets, die sich auch mit dem Router verbinden.
- Ein NAS, das am Router hängt.
Was kann man nun tun, um wenigstens ein Minimum an Sicherheit zu gewährleisten, damit einem im Falle eines kompromittierten Geräts nicht gleich alles um die Ohren fliegt?
Ich wills nicht übermäßig kompliziert machen, weil sonst alle weniger versierten Nutzer aussteigen.
- Euer Router hat sehr wahrscheinlich eine Funktion für Gast-(W)LAN. Der Vorteil eines solchen Gast-(W)LANs ist, dass es zwar den Zugriff aufs Internet gestattet, aber keinen Zugriff auf das interne Netzwerk. Will heißen: Wenn ihr euch auf einem Smartphone was Böses einfangt und damit im Gast-Netz rumsurft, sind die Daten auf dem NAS normalerweise nicht gefährdet. Gilt natürlich auch für kompromittierte Laptops, PCs, iPads & Co.
Hat aber auch den Nachteil, dass ihr auf Videos, Fotos oder solches Zeug, das auf dem NAS liegt, nicht mit den Geräten im Gast-WLAN zugreifen könnt. - Einen vertrauenswürdigen Rechner bestimmen, der als Einziger Schreibzugriff aufs NAS hat und somit die Verwaltung der Daten übernimmt. Alle anderen Geräten, die unbedingt Dinge vom NAS anschauen müssen, werden dann zwar ins interne Netz gelassen, erhalten aber nur lesenden Zugriff.
Das lässt sich normalerweise durch verschiedene Freigabe-Accounts auf dem NAS erreichen - ein Account mit Schreibrechten für den vertrauenswürdigen Computer, ein Account mit Leserechten für alle anderen Geräte. - Spiele-PCs, Konsolen etc., die wild im Internet auf Online-Plattformen wie Steam, PSN oder Nintendo marodieren, ist grundsätzlich nur Gastzugang zum Netz zu gewähren. Die haben nix im internen Netz verloren, siehe den eingangs beschriebenen Counterstrike-Fall. Keine Ausnahme, keine Kompromisse, was Gaming-Geräte angeht.
Es gibt jetzt bestimmt Leser, die noch andere, viel komplexere Vorschläge hätten, mit Router-Kaskaden, zwischengeschalteter Firewall, DMZs, etcpp.
Ist aber - so gut diese Lösungen auch sein mögen - an der Realität der großen Masse an Nutzern vorbeigedacht. Ich bin eher dafür, den Menschen ein Whitelisting-Bewusstsein einzuimpfen, als sie mit komplizierten Setups zu überfordern. Denn ein halbwegs vernünftiges Setup kriegt man auch mit einfachen Mitteln hin. Es geht hier nicht um Technik, sondern um Methodik.
Der Grundgedanke muss lauten: Geräten immer nur Zugriff auf das gewähren, was sie unbedingt benötigen. Und schützenswerte Daten so gut es geht schützen.
Euer NAS etwa ist die Schatztruhe, die solltet ihr bestmöglich vergraben (in ein internes Netz), und den Schlüssel (Passwort) sehr gut bewachen.
Andere Geräte sind grundsätzlich erst mal abzuschotten - keine Freigaben, wenns nicht unbedingt sein muss. Und wenn, dann nur durch Passwortschutz.
So leid's mir tut - euer Heimnetzwerk ist kein sicheres Netzwerk.