Hallo,
Original von KlausSchiefer
@H3PO
Mach dir da mal nicht allzugrosse Illusionen. Jeder gestandene Sicherheitsexperte ist auch ein "Scriptkiddie".
Dies ist einfach unsinn.
Allein die Wörter 'Sicherheitsexperte' und 'Scriptkiddie' schließen sich aus (wäre so, als wenn man sagen würde, jeder Mann ist auch eine Frau).
Scriptkiddies zeichnen sich dadurch aus, Scripts von fremden Personen zu verwenden,
ohne zu verstehen wie diese Scripts funktionieren.
Natürlich verwenden Sicherheitsexperten auf fremde Tools, macht ja auch sinn, allerdings haben sie ein Verständnis wie das Tool funktioniert und warum es funktioniert. Scriptkiddies per Definition nicht, die drücken ein paar Knöpfe und es klappt.
Gut, da gibts dann noch die selbsternannten Sicherheitsexperten, die irgendwelche tollen Artikel in Computer B*ld über Virenscanner schreiben, aber die haben die Bezeichnung nicht verdient.
Wobei du schon recht hast, die meisten haben mal aktivitäten gemacht, die sich in einer Grauzone bewegen, bzw. eindeutig illegal sind.
Es macht ja auch Spaß, wenn man z.B. sein ersten eigenen Exploit schreibt und ausprobiert oder wenn man mal zum ersten mal bei einem schlecht gesicherten Freehoster per Script durch die Verzeichnisse surft.
Ist nur die Frage wo man dort die Grenze zieht. Hat man sich ein paar Verzeichnise beim Freehoster z.B. angeguckt und sich dran erfreut, dass es geklappt hat, dann aber aufhört und dem Hoster es mitteilt, ist die Aktivität in meinen Augen okay. Kopiert man fremde User-Tabelle und stiehlt Passwörter, dann nicht mehr.
fehlt mir allerdings an allen Ecken und Kanten die Zeit.
Kenn ich, lässt sich nicht ändern
Aber besonders dann sollte man sich ausschließlich auf 1 Bereich konzentrieren.
Mir fehlt dann ja nicht nur das know-how zu hacken, sondern auch noch, mich zu tarnen. Und letzten Endes bin ich doch wieder nur der, der dem ansehen der Community schadet, weil ich dann auf Hilfe aus "einschlägigen Sicherheitsseiten und Hackersites" zurückgreife und dumme Scriptkiddie-Fragen stelle.
Irgendwie was übers Internet zu hacken ist und war schon immer eine dumme Idee, nicht erst seit Schäuble da ist.
Was man normalerweise macht, man setzt sich einen zweiten Rechner auf, ggf. baut eine Lücke dort ein, z.B. ein Netzwerkdienst mit einem Stack-Overflow und versucht diesen dann zu hacken. Wie kommt man rein, wie bleibe ich unentdeckt im System?
Dann geht man ne Stufe weiter, installiert evt. ein IDS und versucht den gleichen Angriff nochmal. Wird der entdeckt? Kann ich die Logs interpretieren und nachvollziehen, was da passiert ist? Wie kann ich evt. die IDS austricksen?
Und so steigert man sich immer weiter.
Irgendwelche fremden Rechner anzugreifen ist bescheuert und man sollte es nicht machen. Zwar ist da der Nervenkitzel größer, aber irgendwie auf hohe Geldbußen hat man auch keine Lust, und wenn das System halbwegs gesichert ist, wird man am Anfang sehr sicher entdeckt.
Deswegen bleib immer schön in deinem eigenen Netzwerk und experimentiere da rum. Hört sich zwar langweilig an, ist aber schon ein schönes Gefühl wenn der Exploit für die eigene Netzwerkanwendung funktioniert, man das z.B. Linux System so manipuliert hat, mit eigenen Anwendungen, dass der Login eine Backdoor besitzt, evt. Verzeichnisse nicht mehr angezeigt werden, Tasks versteckt etc.
Aber: Man braucht extrem viel Zeit um sich sowas anzueignen, und ohne die Grundlagen wird das nichts.
Ich frag mich halt, learning by doing... what? Vielleicht bin ich einfach zu unkreativ. Vielleicht gibt es ja Projekte die kleinere Aufgaben auch an Leute wie mich vergeben?
Also hier im Board gibts viele Programmieraufgaben, einfach mal angucken. Sonst musst du mal schauen, was dich so intressiert.
Persönlich find und fand ich Kryptographie immer sehr interessant, dementsprechend habe ich auch verschiedenste Sachen aus dem Bereich implementiert.
Kannst anfangen ein paar bekannte Block-Chiffren in PHP zu implementieren, dann kann man übergehen und in C/C++/C#/Java mal versuchen evt. ein verschlüsselten Networkstream zu schreiben, den man leicht in die Applikation einbinden kann. Evt. schreibt man auch einen Angriffsscript gegen irgendeine Chiffre (ist schon sehr cool wenn dieser absolut wirren Code von einem scheinbar sicheren Algorithmus innerhalb ner Minute knackt).
Möglichkeiten gibts da eigentlich unbegrenzt viele, man muss nur wissen was einem Spaß macht.
Ansonsten nehm/nahm ich mir, wenn ich ne neue Sprache lernen möchte, immer irgendein größeres Projekt vor. Du kannst z.B. versuchen eine 4-Gewinnt mit KI zu schreiben (in Java/C/C#).
Da kann man Anfangen mit ner kleinen Konsolen ausgabe des Feldes, wo man Steine setzen kann und der Computer dann zufällig einen Stein setzt.
Danach verbessert man die KI, dass der Computer z.B. erkennt, dass wenn er in Spalte 3 einen Stein setzt, er gewinnt, oder er in Spalte 4 einen setzen muss, um nicht zu verlieren.
Wenn man das hat, kann man die Konsolen-Ausgabe gegen eine grafische Ausgabe tauschen.
Dann kann man sich wieder der KI widmen, und versuchen, dieser eine Taktik einzuhauchen. Da liest man dann einiges über den Minimax-Algorithmus und versucht den zu implementieren und wird erfreut feststellen, dass man kaum noch ne Chance gegen den Computer hat.
Die Richtung spricht mich bis jetzt am meisten an, da dort alle meine Interessen (Elektrotechnik, Informatik und als Begleiterscheinung auch Mathe und Physik)
Naja in einem Informatik-Studium ist der Anteil an Elektrotechnik und Mathematik doch recht beschränkt, und Physik kommt so gut wie gar nicht vor.
Natürlich kann man als Nebenfach Elektrotechnik nehmen, oder als Schwerpunkt Eingebettete Systeme, aber ein Studium über das alles gibt es nicht.
Was auch gut ist, da jedes dieser einzelnen Gebiete so extrem umfangreich ist, dass wenn man alles gleichmäßig hätte, eigentlich nichts richtig lernen würde.
Wenn man deswegen Informatik studiert, lernt man in Elektrotechnik und Mathematik eigentlich primär nur das was man wirklich braucht.
Wenn man nicht den Schwerpunkt eingebettete Systeme nimmt, wird auf E-Technik evt. nur in 1 oder 2 Vorlesungen eingegangen (je nachdem was du noch unter E-Technik verstehst). Klar, man hört normalerweise technische Informatik, wo wirklich detailiert die einzelnen Elemente deiner CPU erklärt werden (wie wird technisch die Addition von Zahlen realisiert, wie realisiert die CPU den Ablauf eines Programmes), so richtige E-Technik wie es die E-Techniker machen hat man nicht (es sein denn, Schwerpunkt .... oder Nebenfach E-Technik).
Und der Mathe-Anteil ist auch so umwerfend, bei uns sind es im normalen Bachelor-Studiengang Informatik 24 KP-30KP, von 180 KP insgesamt, also nicht zu vergleichen mit einem Mathestudium. Allerdings sind die meisten recht froh darüber
Aber hinderlich ist das eigentlich, in der Informatik gibt es soviel zu lernen und es gibt soviele intressante Module, die man leider nicht alle hören kann.
Und eins im voraus, im Informatik-Studium macht man nicht, was man so als Schüler noch denkt. Man wird sehr viele Themen behandeln, von denen man noch nie was gehört hat.
Und sich versprechen danach irgendwie Experte bzgl. IT-Security zu sein kann man auch nicht. Im Studium lernst du wirklich die wichtigen Grundlagen, es kann z.B. sein, dass du deinen eigenes Rechenwerk entwirfst, und mit diesem Basis-Wissen ist es natürlich viel leichter, sich in Bereich IT-Security weiterzubilden.
Aber wie man Exploits schreibt oder ausnutz, sagt einem eigentlich keiner, hat man aber evt. sein eigenes Betriebssystem geschrieben, ist es viel leichter die Funktionsweise von solchen komischen Programmcodes zu verstehen.
Man muss immer schauen, welche Module man im Studium hört. Module die nah an die Hardware bzw. ans Betriebssystem gehen sind natürlich von Vorteil, oft gibts auch Module wie 'Sicherheit von Informationssystem' oder 'Sicherheit in Rechnernetze', diese machen einen aber noch nicht zum Experten.
![[HaBo]](/styles/default/logoklein.png)
