Wie geht man mit 0-Day Lücken um?

Moderator: Forum Moderatoren

Wie geht man mit 0-Day Lücken um?

Beitragvon cgmhasser » Montag 13. Juli 2015, 14:18

Hallo, mich interessiert folgende Fragestellung.

Im Turbomed spielt zwar Java auch eine Rolle, aber eigentlich nur bei der KV Prüfung. Nur im T2MED ist ja alles Java.
Was ist, wenn so wie heute, Sicherheitsexperten dringend empfehlen, Java zu deaktivieren? Muss ich dann die Praxis schließen? Ich meine jetzt nicht die Lösung "ohne Internet ist alles sicher", was es ja gerade nicht ist. Ganz grundsätzlich, wie wird damit umgegangen? Bin ich ständig am Java installieren oder gibt es eine speziell gehärtete Java VM?
Scheinbar ist Java ja ein ständiges Ärgernis: http://www.heise.de/newsticker/meldung/ ... 48902.html . Wir hatten es da bisher noch ganz gut, obwohl CGM Java auch schon nervte.
cgmhasser
 
Beiträge: 23
Registriert: Dienstag 10. September 2013, 12:01

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Macros » Montag 13. Juli 2015, 14:59

Moin,

keine direkte Antwort, aber vielleicht der Hinweis auf die origniale Quelle
http://blog.trendmicro.com/trendlabs-se ... y-exploit/

und dort geht es um Java im Browser, was man gesondert aktivieren / deaktivieren kann.
Es geht also nicht generell um das JRE.

Gruss
J
Macros
 
Beiträge: 273
Registriert: Mittwoch 22. Oktober 2014, 09:25

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Montag 13. Juli 2015, 17:30

Da ist es in der Tat wichtig, hier Klarheit zu haben!

Dazu muss man das mögliche Angriffsszenario zum Ausnutzen solch einer Lücke in der Java Virtual Machine JVM (analog zu anderen Lücken im Flash-Player, PDF-Betrachter, …) betrachten:

Gefährlich wird es, wenn sogenannter „Schadcode“ zur Ausführung auf dem mit einer Sicherheitslücke behafteten Unterbau (JVM, Flash-Player, …) kommt. Dann kann der Schadcode bösartige Dinge tun (Trojaner installieren, Daten abgreifen, …).
„Schadcode“ muss von einem böswilligen Angreifer ins System einschleust werden. Zum Beispiel geschieht dies über den Weg, „bösen“ Java-Code auf einer Web-Seite zu platzieren. Der Browser startet dann die systemseitig installierte, verwundbare JVM.

Bei einer T2med-Installation verhält es sich aber wie folgt:

Im T2med-Verzeichnis befindet sich eine „private“ JVM, die ausschließlich von T2med verwendet wird und die im Übrigen auch von uns ausgeliefert wird. Da T2med natürlich keinen „Schadcode“ enthält, stellen auch theoretisch vorstellbare vorhandene Sicherheitslücken in dieser JVM keine Gefahr da. Da diese private JVM dem System nicht bekannt ist, kann der Browser sie auch nicht nutzen: das oben geschilderte Angriffsszenario kann nicht zur Anwendung kommen. Ein systemseitiges Deaktivieren oder sogar Deinstallieren von Java stört andersherum auch nicht das T2med-System: Es wird die systemseitige Java-Version deaktiviert/deinstalliert, die private T2med-JVM bleibt für T2med verfügbar.

Um konkret auf die Frage einzugehen: Es bedarf für den Betrieb von T2med weder das ständige Java-Updaten durch den Anwender, noch das Bereitstellen einer „speziell gehärteten“ JVM.
Man kann also auf jedem PC Java ganz und gar abschalten oder gar deinstallieren: T2med funktioniert trotzdem
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon cgmhasser » Dienstag 14. Juli 2015, 07:14

Dank für die prompte Antwort. Scheinbar ist man sich der Gefahr "Java" bewusst und hat Gegenmittel bereit. Solange T2Med nicht selbst zum Trojaner wird, sollte es also kein Problem geben.
cgmhasser
 
Beiträge: 23
Registriert: Dienstag 10. September 2013, 12:01

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon cgmhasser » Freitag 24. Juli 2015, 21:48

Ganz so harmlos, scheint es doch nicht zu sein, hat mir jetzt ein Sicherheitsberater (große Firma) verraten. Mal abgesehen davon, das Java ständig das halbe System ausbremst, sind viele der Meinung, dass es potentiell immer unsicher ist: https://www.basicthinking.de/blog/2013/ ... d-tschuss/ oder https://hoax-info.tubit.tu-berlin.de/so ... atch.shtml oder http://www.computerwoche.de/a/warum-jav ... lt,2538751 oder http://www.elektronikpraxis.vogel.de/so ... es/391445/ oder http://www.t-online.de/computer/sicherh ... tware.html oder http://blog.botfrei.de/2013/03/ein-leben-ohne-java/ ...
Jedenfalls habe ich von keiner Umgebung bisher gehört, die als so unsicher gilt. Selbst .NET schneidet wesentlich besser ab. Mir scheint das Argument nicht stichhaltig zu sein, das T2MED sein "sicheres" Java mitbringt. Woher soll es kommen? Über eine Browseranwendung (und das soll T2MED ja sein) könnte man quasi beliebigen Code über das darunterliegende unsichere, alte und private Java einschleusen, wenn genau das Java verwendet wird, wie es alle nutzen, nur eben explizit in einer alten Version "mitgebracht". Warum sollte das sicherer sein, als der aktuellste Patch von Oracle? Bleibt also quasi wöchentliches Update....ob das nun besser ist... :shock:
cgmhasser
 
Beiträge: 23
Registriert: Dienstag 10. September 2013, 12:01

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Macros » Samstag 25. Juli 2015, 10:12

cgmhasser hat geschrieben:Jedenfalls habe ich von keiner Umgebung bisher gehört, die als so unsicher gilt. Selbst .NET schneidet wesentlich besser ab. Mir scheint das Argument nicht stichhaltig zu sein, das T2MED sein "sicheres" Java mitbringt. Woher soll es kommen? Über eine Browseranwendung (und das soll T2MED ja sein) könnte man quasi beliebigen Code über das darunterliegende unsichere, alte und private Java einschleusen, wenn genau das Java verwendet wird, wie es alle nutzen, nur eben explizit in einer alten Version "mitgebracht". Warum sollte das sicherer sein, als der aktuellste Patch von Oracle? Bleibt also quasi wöchentliches Update....ob das nun besser ist... :shock:

Moin,

T2Med ist keine Browseranwendung, sondern ein echtes Java Programm, und dieses nutzt seine private JRE...
Der Browser kann also gar nicht auf die JRE zugreifen, die T2Med nutzt.

Der Angriffsvektor ist also nicht gegeben, sondern es muss erst der Rechner übernommen werden, um dann evtl. ein T2Med anzugreifen... Aber wenn mir der Rechner schon "gehört", dann muss ich T2Med nicht mehr angreifen...

Und wenn sie sich mal anschauen, wo überall Java zum Einsatz kommt, dann glauben sie vielleicht auch nicht mehr alles, was irgendwo steht, und ja, Java ist langsamer als andere Sprachen, aber dafür funktioniert sie ja auch auf verschiedenen Betriebsystemen, weil sie es on the Fly kompilieren / anpassen ...
Und bei heutigen Rechnern, ist es eigentlich auch nicht mehr merkbar.

Gruss
J
Macros
 
Beiträge: 273
Registriert: Mittwoch 22. Oktober 2014, 09:25

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Samstag 25. Juli 2015, 14:37

Nun ist es ja mal wieder Zeit, ein paar Dinge zurecht zu rücken :-)

@ewerker: zunächst Dank und Kompliment für Ihre gute Forumsarbeit! Schön, dass es weiterhin ein echtes und freies Forum für Ärzte bleibt!!! Es sieht wirklich so aus, dass Sie ein 'würdiger Nachfolger' von Dr. Geigenberger sind.

Zum Inhalt:
Nein, T2med ist keine Browser-Anwendung. Wir benutzen nichts dergleichen, ganz und gar nicht. Überhaupt nicht. Dementsprechend benutzen wir auch kein klassisches Internetprotokoll zur Kommunikation Client-Server etc. Wir haben einen eigenen Client geschrieben, der auf allen Plattformen (Windows, Linux, Mac) funktioniert und hochverschlüsselt auf den T2med-Server (der auf Windows, Linux oder Mac liegen kann) zugreift. Und das in einer bemerkenswerten Blitzgeschwindigkeit. Das geht dermaßen schnell, dass man über eine 'langsame' DSL-3000-Verbindung (also z.B. zwei entfernte Standorten) absolut flüssig arbeiten kann: ein Traum!! Oder -wie früher berichtet- dass man aus dem Urlaub im Ausland selbst mit schnarchlangsamen DSL 100 (einhundert!!) sofort und absolut zügig auf alle Patienten zugreifen kann. Egal ob mit Laptop, iPad oder iPhone.

Aber nun zum Inhalt:
Java sei langsam...ups. Wir haben da ganz andere Erfahrungen mit T2med. Mal paar Beispiele:

Suchbeispiele in meiner Praxis, ca. 10.000 Patienten, Daten gehen zurück bis 1990, teilweise ewig lange Karteikarten von älteren Patienten.

Ich suche in der gesamten Karteikarte aller Patienten ab 1990 die Wortfolge 'aus dem Bett', weil ich mal wissen will, welche meiner Patienten seit 1990 aus dem Bett gefallen sind.
Ergebnis: 229 Patientenkarteizeilen werden bei T2med ausgeworfen nach 5.42 Sekunden (ein anderes Programm benötigt hierfür 8 Minuten, zuvor noch die Warnung: Achtung, sehr intensiv, Arbeitsgeschwindigkeit kann sinken, lieber nach der Sprechstunde machen oder so ähnlich)

Suchbeispiel Hypertonie:
Ich möchte wissen, bei wievielen Patienten seit 1990 das Wort Hypertonie vorkommt:
Ergebnis: 569 Patienten in 5.8 sek (Anderes Programm braucht 265 sek, gleiche Warnung zuvor)

Oder KV-Abrechnung: bislang nur ca 4x so schnell im Vergleich zu einem anderen Programm. Da sind wir aber noch am Arbeiten, ich hatte das schon mal früher hier angekündigt. Unser Ziel: KV-Abrechnung in ca. 1 Sekunde
Das ist keine Phantasterei, sondern für uns ein echtes, erreichbares Ziel. Ich werde das veröffentlichen, wenn wir das fertig programmiert haben.

Oder z.B. Zugriff auf die Diagnosen des Patienten: bei T2med zack zack, bei anderen Programmen viel viel Klage - wie hier im Forum bekannt.

#Ewerker: da kann man wirklich nicht sagen, dass Java langsam ist - oder?

Beste Grüße aus Kiel
vdb

P.S. Info für Dr.D., der hier wohl interessiert mit liest: alle Zeiten sind gerichtsfest und können jederzeit nachvollzogen werden.
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Samstag 25. Juli 2015, 18:17

#ewerker
Ups...wo ist auf einmal Ihr Beitrag, auf welchen ich geantwortet, geblieben???
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Geigenberger » Sonntag 26. Juli 2015, 05:01

Hallo,

kleine Anmerkung eines EDV-Laien:

@ Dr. von der Burchard: Sind die genannten und beeindruckenden Zahlen über die Geschwindigkeit von T2Med nicht eher das Verdienst der verwendeten Datenbank "PostgreSQL"? Das "Java-Programm" gibt die von der Datenbank "gelieferten" Informationen ja nur weiter. Dabei schnell zu sein ist keine Kunst.

Auch die Schnelligkeit der Bildschirmdarstellung bei den Clients (auch nach Rhodos) beruht ja doch wohl eher darauf, dass nur (relativ wenige) Bildschirminformationen weiter gegeben werden müssen.

Also: Alles keine Verdienste, die man "Java" zuschreiben darf,

meint
A. Geigenberger,
der schon soo viele Probleme mit Java in der Vergangenheit hatte. :evil:

@ ewerker: Verschwinden wirklich immer noch Beiträge?
Sapias, vina liques et spatio brevi spem longam reseces... carpe diem, quam minimum credula postero [Horaz]
"Sei klug, gönn dir noch ein Glas Wein ein und hoffe auf nichts weiter. ... Genieße den Tag, und vertraue möglichst wenig auf den folgenden!"
Benutzeravatar
Geigenberger
PowerUser
 
Beiträge: 1621
Registriert: Dienstag 9. Dezember 2003, 22:26

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Geigenberger » Sonntag 26. Juli 2015, 05:21

... ach ja, noch eine kleine Anmerkung:

DrHJvdB hat geschrieben:@ewerker: zunächst Dank und Kompliment für Ihre gute Forumsarbeit! Schön, dass es weiterhin ein echtes und freies Forum für Ärzte bleibt!!! Es sieht wirklich so aus, dass Sie ein 'würdiger Nachfolger' von Dr. Geigenberger sind.

Dieser Meinung schließe ich mich gerne an. Es schadet sicherlich nicht, wenn das Forum hinsichtlich der EDV-Kenntnisse in "kompetenteren" Händen liegt.

A. Geigenberger
Sapias, vina liques et spatio brevi spem longam reseces... carpe diem, quam minimum credula postero [Horaz]
"Sei klug, gönn dir noch ein Glas Wein ein und hoffe auf nichts weiter. ... Genieße den Tag, und vertraue möglichst wenig auf den folgenden!"
Benutzeravatar
Geigenberger
PowerUser
 
Beiträge: 1621
Registriert: Dienstag 9. Dezember 2003, 22:26

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Sonntag 26. Juli 2015, 10:49

#Geigenberger

Nun ja, das ist ja eben die Kunst, die richtigen Mittel und Wege einzusetzen, damit es so schnell ist. Es ist halt die Kombi: eine sauschnelle Datenbank, eine elegante Clientprogrammierung in Java, effektives Senden und Empfangen der Daten vom Server zum Client mit einem schlauen Protokoll, welches nur wenig Traffic macht (deshalb gehts ja auch so schnell aus dem Ausland oder bei einem zweiten Standort).

Solche Vorteile hat man nur, wenn man komplett neu anfängt, sehr viel Grips investiert und ein komplett neues und sorgfältiges Programm-Design konzipiert. Und das ist ja eben die Schwierigkeit von so vielen Altprogrammen: die sind grundlegend anders konzipiert. Ging ja im letzten Jahrtausend auch nicht anders. In den Neunzigern gab's solche rasanten Techniken eben noch nicht. Und aus den alten Strukturen herauszukommen, geht m.E. nicht, indem man solche Programme nur 'erweitert'. Da steckt man einfach fest. Wie Schäuble sagt: Isch over...

Ich empfinde es als einen spannenden sportlichen Wettbewerb. Bin gespannt, wann andere Hersteller auch grundlegend neu entwickeln, habe hingegen noch nichts Wirkliches von neuen Programmentwicklungen größerer Hersteller gehört. Aber irgendwann müssten die eigentlich auf auf den Trichter kommen. Nur sie werden genau so lange brauchen wie wir. So was zu bauen, dauert halt 3 Jahre und mehr...
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Geigenberger » Sonntag 26. Juli 2015, 13:17

... na ja ... es ist schon im Wesentlichen die Datenbank selbst, die die Geschwindigkeit vorgibt.

Um bei Ihren Beispielen zu bleiben: Das Arztprogramm gibt bei der Datenbank in Form eines SQL-Statements die Anfrage ab: Gib mir alle Datensätze, die die Zeichenfolge 'aus dem Bett' oder 'Hypertonie' enthält:
'SELECT * FROM tText WHERE suchtext LIKE 'aus dem Bett' ' oder
'SELECT * FROM tText WHERE suchtext LIKE 'Hypertonie' '

.... und dann heißt es für das Arztprogramm erstmal WARTEN auf die Antwort der Datenbank. Die gefundenen Datensätze dann nur anzeigen kann auch ein extrem langsames Programm innerhalb von wenigen Millisekunden.

Und hier ist das von Ihnen als Datenbank gewählte "PostgreSQL" wahrscheinlich besonders gut. Soweit ich das in der MySQL-Datenbank dieses Forums gesehen haben spielt die Indexierung aller vorkommenden Begriffe eine besondere Rolle. Bei Betrachtung dieser "VonDoczuDoc" Datenbank (MySQL) fällt mir auf, dass Indexdateien den größten Raum einnehmen. Offenbar wird für jedes vorkommende Wort die Stelle gleich mit abgespeichert, wo dieses Wort vorkommt!! Wenn also dann in der Suchfunktion ein oder mehrere Worte gesucht werden, dann "sucht das Programm nicht die gesamte Datenbank-Datei der Festplatte durch" sondern "sieht lediglich nach", WO die gesuchten Wörter sich befinden, was wesentlich schneller geht. Aber all dies macht nicht die Forum-Software, sondern die angesprochene Datenbank: Bei "VonDoczuDoc" "MySQL" und bei "T2Med" "PostgreSQL"

Die Ausgabe der gefundenen Datensätze ist dann - wie schon gesagt - absolut kein zeitlimitierender Faktor mehr.

Soweit meine laienhafte und bisweilen deshalb auch bildreichen Vorstellungen.
Damit möchte ich aber natürlich nicht die Qualität des Datenbank-Handlings von T2Med in Frage stellen:
Dazu ein weiteres Politiker-Zitat: Entscheidend ist, was hinten rauskommt...

Viele Grüße aus dem wolkenlosen bayerischen Himmel
A. Geigenberger
Sapias, vina liques et spatio brevi spem longam reseces... carpe diem, quam minimum credula postero [Horaz]
"Sei klug, gönn dir noch ein Glas Wein ein und hoffe auf nichts weiter. ... Genieße den Tag, und vertraue möglichst wenig auf den folgenden!"
Benutzeravatar
Geigenberger
PowerUser
 
Beiträge: 1621
Registriert: Dienstag 9. Dezember 2003, 22:26

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon Stefan » Sonntag 26. Juli 2015, 15:18

DrHJvdB hat geschrieben:Dementsprechend benutzen wir auch kein klassisches Internetprotokoll zur Kommunikation Client-Server etc.


Diese Aussage kann, meiner Meinung nach, nicht stimmen.
Jegliche Datenübertragung im Internet muss auch zwangsläufig dessen Protokollen nutzen.
Natürlich können sie in den oberen Übertragungsschichten ihr eigenes Protokoll kreieren aber
in den unteren Schichten landen sie stets bei den klassischen Internetprotokollen.
Gruß
Stefan
Stefan
 
Beiträge: 550
Registriert: Dienstag 15. August 2006, 22:46
Wohnort: Land Brandenburg

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Sonntag 26. Juli 2015, 18:05

#Geigenberger

Sie schriebn:

Die gefundenen Datensätze dann nur anzeigen kann auch ein extrem langsames Programm innerhalb von wenigen Millisekunden.

Na ja, aber genau das ist ja wohl der Unterschied. Wieso benötigen andere Programme 8 Minuten und T2med nur 5 sek? Das klingt ja fast so, als ob Sie andere Datenbanken 'schlecht machen' würden...
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Re: Wie geht man mit 0-Day Lücken um?

Beitragvon DrHJvdB » Sonntag 26. Juli 2015, 18:10

Ach so,

die Indizierung....also wir indizieren die Karteieinträge noch nicht einmal und dennoch ist es so schnell. Ich versuche einmal heraus zu finden, welchen Effekt eine Indizierung hätte und ob das bei uns Sinn machen würde. Ich muss ja zugeben, dass ich ein Geschwindigkeitsfanatiker bin...ich will immer alles und zwar sofort auf dem Bildschirm sehen...

Auch beste Grüße aus einem sonnigen Kiel mit anfangs 7 Beaufort, weißer Brandung und hellgrün-blauem Ostseewasser
vdb
Benutzeravatar
DrHJvdB
 
Beiträge: 1053
Registriert: Mittwoch 4. Januar 2012, 11:34
Wohnort: 24114 Kiel

Nächste

Zurück zu T2Med - Datensicherheit

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 1 Gast

    rechtliche Hinweise - Disclaimer

    Impressum:

    EWERK Medical Care GmbH
    Postadresse: Markt 16, 04109 Leipzig

    Telefon: 0341 4264977
    Fax: 0341 4264978
    Web: www.ewerk.com
    E-Mail: forum@med-support.de

    Geschäftsführer: Frank Richter, Ingo Günther
    Amtsgericht Leipzig HRB 20896