IT - Sicherheit

[deltadagger]

Was genau sind denn NPM-Pakete?

[Bigfish]

NPM ist ein Paketmanager. Also vornehmlich in der Open Source/Linux Welt zu Hause.

Er sorgt von der Idee dafür, das jedes Stück Software oder eben jedes Paket auf einem Rechner welches darüber verwaltet wird stets auf dem letzten aktuellen Stand ist. Bei Windows wäre das Microsoft Update, das alles aktuell hält - aber eben nur bestimmte vordefinierte Microsoft Software und nicht beliebig selbst definierte.

Stellt Euch vor es gelingt jemandem Microsoft Update zu haken - auf dem Weg wären schnell weltweit Millionen von PCs und Servern betroffen, falls nicht noch eine Management-Instanz - wie z.B, WSUS - zwischen geschoben ist.

[Montesquieu]

Was genau sind denn NPM-Pakete?

NPM ist ein Paketmanager für Java und Typescript "Apps". Da gefühlt das halbe Netz und seine Großmutter gerade drüber läuft, auch auf Open-Source-Basis, kann man da sehr gut ansetzen, da die Pakete auch nicht so kuratiert werden, wie bspw. ein Appstore oder ein Paketsystem von Linux-Distributionen.

Wenn dann ein wichtiges Paket infiziert ist, kann es sich praktisch durch sehr viele wichtige andere Pakete und repositories fressen und sich verbreiten.

Da NPM vor allem im "hardcore" IT-Bereich zum Einsatz kommt, kann man so sehr schnell die gesamte Infrastruktur angreifen, die unser Leben so digital macht.

[Arminus]

Node Package Manager. (Bzw. offiziell npm is not an acronym ) Wie Monti schrieb, geht es im Kern um Javascript- und Typescript-Pakete, davon betroffen primär alle modernen Frontends, primär Web, aber nicht ausschließlich, auf dem Desktop beispielsweise auch Electron Apps wie die weit verbreiteten Clients für Teams, Twitch, WhatsApp, Signal, Notion, Discord, Slack, Claude... Dazu auch im Backend-Bereich vertreten, aber lange nicht mit dem Anteil, den es im Frontendbereich hat. Übrigens würde ich das mit dem Opensource einschränken, ohne FOSS wäre npm als Registry zwar ziemlich sinnfrei, aber praktisch wird es von allen genutzt, mit was weiß ich für spezifischen Lizenzen. Moderne Frontends sind eine Katastrophe, was Dependencies angeht, die Anzahl an npm-Paketen, die beim Bauen einer Frontend-Applikation angezogen wird, ist gigantisch, der Dependency-Tree kann sehr tief sein, was auch bedeutet, dass der Impact so eines Supply Chain Angriffs entsprechend weit reichen kann.

[Bigfish]

Hat entfernt auch mit IT-Sicherheit zu tun:


Ganz böse Sache bei Proxmox/Proxmox PBS: https://borncity.com/blog/2026/08/17/sc ... enverlust/

[Bigfish]

https://www.golem.de/news/cyberangriff- ... 13255.html

IMU wurde angegriffen, wenn ich raten müsste: die Russen. Es sind immer die Russen.

[Bigfish]

Du vergisst Nordkorea - man Nordkorea Alter!

[deltadagger]

Überlegung:
Wir als Firma bauen nur noch mit dem Funksystem, hochgradig flexibel
Sparste auch tonnenweise Kabel verlegen.
https://www.eltako.com/de/

[Bigfish]

Überlegung:
Wir als Firma bauen nur noch mit dem Funksystem, hochgradig flexibel
Sparste auch tonnenweise Kabel verlegen.

Erfahrung als alter ITler: Wenn man die Möglichkeit hat etwas mit einem Kabel zu machen, dann macht man das mit einem Kabel!

[deltadagger]

Erfahrung als alter ITler: Wenn man die Möglichkeit hat etwas mit einem Kabel zu machen, dann macht man das mit einem Kabel!

Die Tech ist keine Raketentechnik und basiert auf nahzu zerstörungfreie Mechaniken.
Ist ne 50 Jahre alte Erfindung von Siemens, die sich als selbständiges Unternehmen irgendwann ausgegliedert haben.
Produktion zu 90% in der EU, nix China.
In DE nahezu unbekannt.
DEIN Lichtschalter hat keine Garantie auf 500.000 Schaltungen, die schon.
Hauptabnehmer sind die Israelis und dort auch die Armee (militärische Zulassungen für NATO und andere Staaten), die wissen vermutlich recht gut, was gut ist und was nicht.
Du schaltest nur damit, Strom muss natürlich noch an die Verbraucher, Wlan-Strom gibts es noch nicht.
Sparst aber gut 50% der Kabel in Form von Schaltungskabel und hast ein völlig wartungsfreies System und ist modular jederzeit aufrüst- und nachrüstbar.
Will man aus einer Lampe mit einem Schalter eine Wechselschaltung bauen, einfach zweiten Schalter Kaufen, mittels Schraubenzieher die Frequenz einstellen (wahlweise auch über Bluetooth) , Schalter dorthin pappen, wo man es will, fertig.

Wir verbauen da schon seit > 10 Jahren, hauptsächlich in Umbau, Aufstockungs- und Sanierungsszenarien aber seit gut 5 Jahren auch im Neubau.
Kurzum, wir und unsere kommunalen Kunden sind begeistert.

Wir haben nach 10 Jahren Anwendung in ungefähr 8.000 Wohnungen genau gar keine Mängelmeldung diesbezüglich bekommen.
Wollen es aber auch niemanden aufschwatzen, war als gutgemeinter Tipp gedacht.

[Bigfish]

Alls was Funk ist hat grundsätzlich alle Probleme die es bei Funk geben kann, weil diese eben Technologie Immanent sind. Wir reden hier nicht gegen bestimmte Produkte, sondern über die Technologie Funk als solche. Dabei werden einfach so viele Ebenen zusätzlich zu einem Kabel einbezogen das sich die möglichen Fehlerursachen deutlich steigern. Gemäß dem Prinzip "KISS" vermeidet man zusätzliche Ebenen wo es nur geht. Daher: Wo immer man etwas (im Netzwerk) mit einem Kabel machen kann, macht man das mit einem Kabel.



-----



Um die Qualität der hier genannten Produkte zu beurteilen:

• wie häufig gibt es Updates?
• wie lange gibt es Updates?
• erhalten Endkunden diese Updates (mit/ohne Registrierung)?
• wie lang wird es Unterstützung für die benutzten Funk-Technologien geben?
• gibt es vom Hersteller proaktive Security Warnungen (auch an Endkunden)

Bei Bluetooth z.B. tauchen immer mal wieder grundlegende Designschwächen auf. Wie werden die bei solchen Embedded Systemen behoben, deren Lebensdauer meist deutlich länger ist, als bei trivial Systemen wie einem WLAN-Router? Die Frage lautet also nicht, ob der Lichtschalter 500.000 Schaltungen überlebt, sondern ob er sich in 20 Jahren noch mit WIFI 14 verbinden lässt und nicht etwa auf WIFI 2 festhängt, was dann jedes Kind von der Straße aus beim vorbeigehen mit seinem KI Implantat in drei Millisekunden hakt.

Wenn Wir nach eltako und CVSS suchen finden Wir nichts - entweder haben die den Stein der Weißen gefunden, oder aber eine eher schlechte IT-Security Kultur - Funk-Produkte/Netzwerkprodukte die nicht in den letzten Jahren von irgendeiner Sicherheitslücke betroffen gewesen sind - das Wir glauben Wir nicht - auch deshalb nicht weil ein guter Hersteller dann auch melden würde das sein Produkt xyz gerade nicht betroffen ist.


Aber wir sind dann doch gehörig OT mittlerweile.

[deltadagger]

Ich habe nicht umsonst die Homepage verlinkt.
Da kann man theoretisch alles nachlesen.

Vielleicht hilft auch der Hinweis, dass das System auf den EnOcean-Funkstandard aufgebaut ist.
https://www.enocean.com/de/technologie/funktechnologie/

[Bigfish]

Auf der Webseite haben Wir Uns längst umgesehen. Dort findet man nicht das, was man im Bereich der IT-Security finden will.

Und ja die 868 MHz Frequenz hat so ihre Eigenheiten, das besagt also nicht viel. Es spielt auch keine Rolle, die Geräte sind auch mit WIFI und BT gelistet. ist das per Default ausgeschaltet? Mit physischem Schalter? Wie gesagt keinerlei positiv oder negativ Meldungen im CVSS System - klingt wie typische IoT Geheimniskrämerei. Also nichts was im positiven Sinne heraussticht sondern nur übliches IoT Branchen Verhalten.

[deltadagger]

Ich bin mir jetzt nicht ganz sicher, was das Ganze mit IT-Security zu tun haben soll.Die Basis-Einheiten liegen ganz normal am Stromnetz, der Funkimpuls sagt lediglich an/aus, da wird keine einzige Info darüber hinaus transportiert.Es hat rein gar nix mit irgendeiner Datenübertagung zu tun.Mir ist völlig schleierhaft, wie hierdurch irgendein IT Problem sein könnte.Die Programmierung kann, muss nicht über Bluetooth erfolgen.Das ist ja der Gag bei dem Ding, kein Bussystem, harte Programmierung, kein SoftwarethemaDu braucht für die nächsten 100 Jahre keinen IT-Experten in deinem Haus, das ist der eigentliche Knaller.Das Teil ist total analog mit einem Schraubenzieher einstellbar.

Aber tatsächlich genug OT.Wir sparen einfach nur sehr viel Geld gegenüber High-End-Systemen und können trotzdem das allseits beliebte Smarthome Thema dem Kunden anbieten.

[Bigfish]

Die Basis-Einheiten liegen ganz normal am Stromnetz, der Funkimpuls sagt lediglich an/aus, da wird keine einzige Info darüber hinaus transportiert.

Der Funkimpuls als solches ist bereits die Information


Damit dieser Funktioniert muss der gesamte (oder ein wesentlicher Teil) des zur Technologie gehörenden Stacks verwendet werden. Wenn dieser Stack eine Designschwäche aufweist ist das Produkt angreifbar. Ein ungeplantes Ein-/Ausschalten kann schon reichen um Probleme zu haben. Der Schalter selbst mag darüber hinaus ziemlich "dumm" sein. Die zugehörige Steuereinheit ist es ganz sicher nicht und diese MUSS zwangsweise die selben - angreifbaren - Technologien unterstützen und veraltet damit im Zweifel entsprechend.


Das Thema Sicherheit von IoT Geräten ist eines der übelsten Sicherheitsthemen der ganzen IT Branche:



https://borncity.com/blog/2024/12/14/ba ... -geraeten/

https://borncity.com/blog/2025/11/11/wa ... n-sollten/

https://borncity.com/blog/2023/04/23/kn ... usnutzbar/

https://borncity.com/blog/2023/02/23/mi ... chstellen/

https://borncity.com/blog/2022/09/02/ra ... orderlich/


Und wenn die Schalter wirklich so "dumm" sind wie Ihr es grade geschrieben habt, ist das schon der Beweis für das Problem. Eine Funk-Technologie in der heutigen Zeit erfordert zwingend einen harten Authentisierungs-Mechanismus, den es gemäß Euren Worten nicht gibt. Also kann jeder der die Frequenz und im Zweifel eine erforderliche ID (die häufig nur Einstellig ist) kennt per Brute Force diese Dinger "haken".

Es ist auch nicht die Frage ob BT aktiv zum Programmieren verwendet wird oder nicht, sondern ob die BT Schnittstelle dauerhaft aktiv ist? Falls ja ist sie angreifbar einfach weil sie da ist.

Hier mal eine kürzliche Meldung wo ein Botnetz mit 2 Mio Geräten "abgeschaltet" worden ist: https://borncity.com/blog/2026/07/04/fb ... astruktur/

Diese 2 Mio Geräte sind im Zweifel nicht Euer PC oder Smartphone, sondern Euer Router, SmartTV, DoorCam, Drucker, Rasenmäher, Hundefutter-Automat oder eben die Steuereinheit Eurer Lichtschalter und Ihr selbst werdet das niemals merken, weil Ihr als Anwender nicht mal einen Zugang dazu erhaltet den es erfordert um es merken/prüfen zu können.


@Mods - ggf. bitte in der Bereich IT-Sicherheit verschieben?

[Bigfish]

Scheinbar können außer Israelis die Bomben in Pager einbauen auch andere "Gesellen" Hardware in großem Stil manipulieren:


https://www.heise.de/news/Verwanzte-Kry ... 88785.html


Es wurde ja auch gerne mal spekuliert das sich auf Mainboards Bauteile finden die dort nicht hingehören. Aber bei dem ganzen Thema eSIM - die Dinger müssen sich doch trotzdem in an einer Funkzelle registrieren - das sollte auch nicht einfach so möglich sein. Wenn natürlich die Funkzellen auch...


Schöne neue Spionage Welt. Damit dürfte wohl kein einziges Stück Hardware mehr als sicher gelten!