Schlagwort-Archive: Crypto

USB 3.2 – Ist die Lösung schlimmer als das Problem?

Veröffentlicht am von

Vor knapp zwei Wochen gab es in der c’t (4/2019) einen Artikel zu USB 3.2, das neben der doppelten Geschwindigkeit (20 GBit/s) auch ein älteres Problem des Systems beheben soll: BadUSB. Dabei kann z. B. ein USB-Stick mehr als Massenspeicher. Als beispielsweise Maus- und Tastatur-Simulator kann er Eingaben am Rechner durchführen, als RNDIS kann es ggf. sogar Netzwerkverkehr manipulieren. Hurra!

Mit USB 3.2 soll das alles besser werden. Mit Zerifikaten und Crypto. An der Stelle sei erwähnt, dass Apple mit im Gremium war. Wofür haben die nochmal Crypto in ihren Lightning-Steckern hinzugefügt? Um ihre Produkte sicherer zu machen oder um sich vor günstiger Nachbauware zu schützen? Ein Schelm, ….

So, jetzt stellt sich einer mal das hier vor: Ein USB-Device, sei es eine Maus, eine Tastatur, ein USB-Speicherstick, hat ein gültiges Zertifikat. Soweit, so gut. Was hindert die Maus oder Tastatur nun daran, böswillige Eingaben zu machen, von denen der User nix mitbekommt? Wenn man wollen würde, könnte man sogar hinter dem USB-Controller, also direkt an der Tastaturmatrix etwas böswilliges einbauen. Schützt einen das Zertifikat, das man wahrscheinlich für teuer Geld kaufen muss davor?

Andersrum: Wenn ein legitimer Chip mit diesem Angriffsvektor in einem dadurch illegitimen Produkt verbaut wird und dieses Zertifikat zurückgezogen oder für ungültig erklärt werden muss (wie läuft das überhaupt, muss man nun beim Einstecken eines USB-Geräts online sein?), sitzen dann die Nutzer des legitimen Produkts im Dunkeln? Was hält einen Hersteller davon ab, schlechte Firmware zu schreiben, dass man trotz Zertifikat Schadsoftware injizieren kann?

Oder noch viel einfacher: Wenn ein Angreifer eine Maus und Tastatur in einen USB-Stick (zusätzlich zum Speicher) unterjubeln will, dann kann er doch einfach einen legitimen USB-Hub vor den legitimen USB-Speicher hängen und nebendran noch eine legitime Tastatur anbasteln, die über einen weiteren µC (oder auf andere Wege) illegitime Befehle an den PC weitergibt. Zwar werden dadurch mehrere Geräte erkannt, aber welchen Unterschied macht’s?

Und wie schaut es mit alten USB-Geräten aus? Es ist ja schon ein riesiges Problem, bei USB-Type-C-Buchsen & -Steckern zu sagen, was sie denn überhaupt können. USB 2.0, USB 3.0, USB 3.1, USB 3.2, Tunderbolt, Display Port, Power Delivery mit 5 W, 10 W, 20 W, 100 W, Quelle, Senke oder beides. Kann sie Analog Audio, kann ich daran meinen Mixer anschließen?

Aber ich schweife ab: Wie sieht es mit Legacy-Devices aus? Sie von der Verwendung auszuschließen wäre Irrsinn, also müssen sie weiter funktionieren – und wen hält es ab, einen scheinbar modernen USB-Stick (z. B. mit USB Type C) einfach nur ein USB 2.0-Interface zu implementieren, das dann fleißig böse Dinge tut.

Ich muss zugeben, ich habe die Spec (noch) nicht gelesen, aber die die (ok, nicht exklusive) Apple’sche Zwangsneurose alles verdongeln zu müssen kotzt mich als User, Bastler und Entwickler einfach nur noch an.

Warum löst man das BadUSB-Problem nicht wie früher bei den Personal Firewalls: Ein Gerät meldet sich an, wird enumeriert, darf aber erst einmal nichts machen. Der Benutzer bekommt einen Popup mit dem neu erkannten Gerät (oder Gerätebaum) präsentiert und muss sich entscheiden, ob er die Verwendung zulassen oder verweigern möchte. Noch eine Checkbox dazu, ob man dies vorübergehend oder dauerhaft will und ob dies für alle USB-Buchsen der Fall sein soll und fertig.

Einen halbwegs eindeutigen Fingerabdruck (Vendor- & Product ID, Seriennummer, Descriptors) haben eigentlich alle Geräte und ja ich weiß, es ist nicht perfekt und hindert ein wenig die Usability. Aber es könnte jetzt sofort für alle USB-Generationen implementiert werden. Selbst bei Eingabegeräten (Maus/Tastatur), die man an einen jungfräulichen PC anschließt, dürfte die Kopplung funktionieren, indem man eine angezeigte, zufällige Tastenfolge, eingibt.

Ich befürchte nur, dass das Ganze eher wieder ein Mittel wird, um Firmeninteressen zu verfolgen und die Sicherheit der User nur eine gefühlte bleibt.

Sichere Verbindung

Veröffentlicht am von

Ich hab mir schon länger überlegt, ein Zertifikat zuzulegen. Aber egal ob extern zugekauft oder selbst-signiert, es hätte monatlich auffallend gekostet, u. a. weil mein Hoster eine eigene IP zuweist. Schlussendlich hielt ich es dann doch für weniger notwendig, verschlüsselte Verbindungen anzubieten, da hier – vielleicht etwas naiv gesprochen – eher weniger schützenswerte Informationen gibt.

Nun hat Hetzner eine Partnerschaft mit einem bekannten Antiviren-Software-Hersteller abgeschlossen und bietet zumindest für ein Jahr kostenlose Verschlüsselung für jeden an. Nach der Antwort meiner Rückfrage nach versteckten Kosten habe ich gleich das Zertifikat beantragt. Zwar kam beim ersten Versuch eine Fehlermeldung, aber

Finde ich richtig klasse und hoffe, dass das Angebot in der Form beibehalten wird!

Jetzt müssen nur noch ein paar Links zwischen Blog und Wiki angepasst werden, damit man in der jeweiligen Variante bleibt.

Darf ich mal kurz…

Veröffentlicht am von

…mich hier über die Praktiken mancher Hersteller aufregen?

Nachdem ich demnächst auf einer Hochzeit fotografieren soll, die diesjährige Urlaubsplanung größtenteils steht und ich bei der Musik von CloZee ziemliche Lust bekomme, ein Video zumindest von letzterem zu machen, liebäugel ich mit einer neuen Spiegelreflex.

Für Canon ist zumindest ein gutes Objektiv noch da (allerdings nicht ganz reisetauglich) und die 760D erfüllt, obwohl sie der Billigmöller unter den EOSen ist, meine Erwartungen nahezu komplett. Leider keine 60 fps-Videos und nix über 1080p. Wer schon einmal mit höherer Framerate aufgezeichnet hat, will es nicht mehr missen. Flüssigere Bewegungen sind das eine, der deutlich größere Vorteil ist allerdings, mit der Wiedergabegeschwindigkeit (ohne größere Artefakte) arbeiten zu können.

Auf der Suche nach einem Zweitakku, der mir im Original mit um die 50 Euro zu teuer ist (wenn man weiß, wie billig der Krempel in der Produktion ist, wird einem nachhaltig schlecht), wurde die Suche auf Drittanbieter ausgedehnt. 15 Euro. Teilcodiert? Keine Restlaufanzeige? Fehlermeldung in der Kamera? Lässt sich nicht im Originalladegerät laden?

Die Begeisterungskurve machte einen deutlichen Knick nach unten. Stimmt, das habe bei einem der aktuelleren G-Modelle auch schon gelesen.

„Früher“ gab es halt keine Garantie mehr, wenn ein Fremdakku die Kamera beschädigte.

Heute braucht man wie bei Tintenpatronen Dongel, weil sich die Hersteller mit dem zwangsläufig benötigten Zubehör subventioniert oder einfach nur den Gewinn maximieren will. Es gibt keine technische Gründe, einen Kryptographie-Chip in eine nicht sicherheitsrelevante oder anderweitige kritische Komponente einzusetzen. Zumal der Mist früher oder später eh überwunden wird. Ok, bis dahin hat der Originalhersteller Strecke gemacht, danach ist es nur noch Gängelung.

Der Vergleich hinkt zwar etwas, aber bei DVDs gibt/gab (gab, weil sie langsam aber sicher von der Blu-ray beerdigt wird – die sind in der Beziehung IMO ein bisschen besser) es auch eine für mich völlig unverständliche Gängelung: wie lange dauert es üblicherweise vom Einlegen der Disc bis man den Film starten kann? Zwar nicht so lange wie im Kino, aber bei den meisten läuft erst nichtüberspringbare Werbung. Bei einer Scheibe, die man früher für über 20 Euro gekauft hat. Besorgte man sich den Film auf andere Wege, war man sofort im Menü oder der Film lief direkt los (so die Erzählungen). Der ehrliche Verkäufer ist also der Dumme. Wegen damals noch schwacher Abmahnindustrie hat der Raubkopierer (bis auf dem moralischen Aspekt) doppelt „gewonnen“.

Was hilft bei den Kameraakkus? Boykott? Hateletter? Oder einfach mit dem wegklicken von „Fehler-„Meldungen leben und warten bis entweder die Zubehörindustrie die Crypto geknackt hat oder es einen Hack für die Kamera gibt (in Zeiten von Green Lantern und CHDK nicht unwahrscheinlich)?

Ich weiß noch nicht. Vielleicht bleibe ich beim Urlaub auch einfach bei der Point and Shoot. Die hat zwar ihre Schwächen, kann aber direkt geotaggen (warum das die Nachfolger auch nicht mehr können ist mir ebenfalls ein Rätsel) und hat einen etwas größeren immer-dabei-Faktor.