Kontrollaufsicht findet schwere Anfälligkeiten im Computernetz der NASA

Schwache Sicherheitsvorkehrungen und kritische Lücken im Netzwerk der US-Weltraumagentur NASA könnten einen Angriff aus dem Internet ermöglichen, der Missionen verhindert oder wichtige Daten stiehlt. Das steht in einem Regierungsbericht mit dem Titel „Inadequate Security Practices Expose Key NASA Network to Cyber Attack“ (PDF).

Die NASA betreibt eine ganze Reihe von Netzen für Projekte wie die International Space Station oder das Teleskop Hubble. Das Office of Inspector General (OIG), das für eine unabhängige Prüfung der NASA zuständig ist, hat auf mehreren ihrer Server schwerwiegende Schwachstellen entdeckt, die sich vom Internet aus missbrauchen lassen. Insbesondere wiesen sechs Server mit kritischem Datenmaterial Lücken auf, über die sie aus der Ferne lahmgelegt oder gar kontrolliert werden können. Diese Server werden unter anderem für die Steuerung von Weltraummissionen verwendet.

Ein Angreifer, der erst einmal einen Weg ins Netz gefunden hätte, könnte anschließend weitere Lücken missbrauchen, die „den laufenden Betrieb bei der NASA schwer schädigen oder zum Erliegen bringen“ könnten, heißt es im OIG-Report. Schlecht konfigurierte Server hätten beispielsweise Schlüssel und verschlüsselte Passwörter freigegeben. Auf einem Server waren wichtige Daten für jeden Anwender im Netz zugänglich. Mit den Informationen wären auch Phishing-Angriffe auf NASA-Mitglieder möglich, etwa um in ihre Systeme einzudringen und dort Malware zu installieren.

Die OIG hatte schon im Mai 2010 empfohlen, dass die NASA eine übergreifende IT-Sicherheitsaufsicht einrichtet. Obwohl die NASA dem zugestimmt habe, sei ein solches Gremium nie eingerichtet worden, heißt es jetzt.

Dass die Probleme nicht nur theoretisch existieren, zeigen Vorfälle in der Vergangenheit: Im Januar 2009 stahlen Angreifer 22 GByte an Geheimdaten zu einem Düsentriebwerk. Im gleichen Jahr wurde ein zu einer Mission gehöriges System infiziert, das in der Folge 3000 nicht autorisierte Verbindungen zu IP-Adressen in China, den Niederlanden, Saudi-Arabien und Estland herstellte, wie das OIG jetzt schreibt. „Das hohe technische Niveau dieser beiden Angriffe aus dem Internet zeigt, dass sie zielgerichtet und langfristig geplant waren.“

Im Jahr 2010 wurden außerdem PCs aus dem Inventar der NASA gebraucht verkauft, auf deren Festplatten sich wichtige Daten zum Space-Shuttle-Programm befanden. Auch diesen Fall deckte das OIG auf. Es bemängelte, dass Teile des NASA-Personals nicht mit den Richtlinien für die Verwertung von IT-Ausrüstung vertraut seien. Einige der Anweisungen fand es ebenfalls unzureichend.