Archiv der Kategorie: Sicherheit

Keyless, bequem und weg.

Veröffentlicht am von

Vor einer Weile hatte heise den Artikel „Keyless gone“ in der c’t. Neu war mir die Thematik zu dem Zeitpunkt nicht. Leider.

Vor einiger Zeit wurde der SUV unseres Nachbarn heimlich still und leise vom Hof gefahren. Gemerkt wurde es erst, als es zu spät war. Obwohl ich im Schlaf relativ geräuschempfindlich bin (und auch öfter vom Öffnen ihres Tores aufgewacht bin), war in der Nacht nichts. Der Großstadt-Panzer war weg und ward nie mehr gesehen.

Eine Weile später hatte ich leihweise ein nicht ganz schlecht ausgestattetes Fahrzeug übers Wochenende, eben auch mit diesem System. Leider war die Karre zu groß für die Garage, also blieb sie vor dem Haus stehen. Normalerweise ist Abends am Wochenende tote Hose in der Straße, doch genau an dem Abend hielt ein Fahrzeug direkt von unserem Haus, das mir durch Zufall aufgefallen ist. Nachdem es eine Weile dort stand, hab ich einfach mal rausgeschaut. Insassen: 2 Männer mittleren Alters, die abwechselnd und emsig zum Handy griffen. Das Kennzeichen konnte ich bis auf die ersten zwei Zeichen nicht richtig lesen, vom Schriftbild war es kein deutsches. Nachdem das Fahrzeug sehr langsam davon rollte, ging bei mir der Adrenalinpegel nach oben.

Die Polizei konnte aufgrund des fehlenden Tatbestandes (verständlicherweise) nichts machen, hat aber gesagt, dass sie patrouillieren (was sie dankenswerterweise auch gemacht haben) und ich versuchen sollte, es sicher unterzustellen. Wurde auch getan. So richtig wohl war mir trotzdem nicht.

Auch wenn es mich interessiert hätte, ob es einen weiteren Besuch auf Nimmerwiedersehen gegeben hat, war ich aufgrund einer Feier am Tag zuvor zu müde, um mich auf die Lauer zu legen.

Da ich in der Branche unterwegs bin, habe ich in der Arbeit mal gefragt, ob es seitens der Hersteller Interesse darin besteht, Diebe und deren Werkzeuge durch einen Honeypot dingfest zu machen, kam die Antwort: nein, kein Interesse.

Nachdem Mercedes Benz heute die neue E-Klasse vorgestellt hat, und der lokale Händler nur zwei Häuser von meinen Eltern ist, die ich besucht habe, bin ich kurz vorbei. Ohne den Transponder hat in dem Schiff (außer der Anzeige, dass der Schlüssel fehlt) nichts funktioniert – nicht einmal das Radio konnte man einschalten. Nachdem der Händler den Schlüssel brachte, habe ich ihn darauf angesprochen, ob sich bei der Sicherheit schon etwas getan hat. Seine Antwort war sinngemäß, dass er es für nahezu unmöglich hält. Zudem sei es ja illegal und mit großen kriminellen Energien verbunden, so ein System zu umgehen. Aber er sei kein Informatiker [sic] und kann deswegen auch nicht mehr sagen. Der offizielle Sprech ist aber, dass – sofern man beide Schlüssel aber kein Auto mehr hat – der Verlust von der Kasko abgedeckt ist.

Ehrlich gesagt: Unsinn. Alleine durch die Messung der Laufzeit könnte man die wohl am häufigsten angewendete Repeaterattacke (das passende Kuchenblechmafia-Video aus Frontal verlinke ich nicht) mit großer Sicherheit abwehren. Weitere Methoden (aber sicher nicht alle) sind auf Wikipedia zu finden.

Warum wurde das bis jetzt noch nicht gemacht? Ich denke: es funktioniert ja und eine Neu- bzw. Weiterentwicklung kostet Zeit und Geld. Ein gestohlenes Auto kostet dem Hersteller erst einmal nichts, sondern bringt eher Umsätze ein. Dazu kommt, dass momentan wohl noch kein Hersteller etwas sichereres hat. Folglich: kein Handlungsbedarf, solange es von keiner Stelle was auf den Deckel (siehe „Dieselgate“) gibt. Auch wenn aktuell schon an einem Nachfolgesystem gearbeitet wird, Automotive-Entwicklungen dauern. Vor allem das Überprüfen auf Tauglichkeit in der rauen Umgebung ist nicht zu unterschätzen.

Obwohl es sehr bequem wäre, habe ich mich bei meinem neuen Auto bewusst gegen diese Komfortfunktion entschieden. Wobei mein Fahrzeug für Diebe sowieso uninteressant wäre 😉

Das volle Spektrum der Überwachung

Veröffentlicht am von

Puh, da ist etwas los in den USA. Vor einigen Wochen hat ein Ex-Geheimdienstler mehrfach getönt, dass keinerlei Informationsaustausch z. B. per Telefon oder Skype sicher sei (nachzulesen bei fefe), und letzte Woche platzte mit dem Bekanntwerden von PRISM eine Bombe, deren Druckwelle um die ganze Erde reicht.

Google, Facebook, Yahoo, Dropbox und Co. de- bzw zementieren zwar noch fleißig, aber es ist meiner Meinung nur eine Frage der Zeit, bis da die ersten Leichen im Keller gefunden werden.

Mittlerweile beschäftigt sich zwar das britische Parlament mit der Angelegenheit, ob da in Deutschland sinnvolle Diskussionen stattfinden werden, wage ich zu bezweifeln – im Zweifelsfall biegt ein Politiker um die Ecke und sagt „die Amerikaner haben sowas schon lange, wir brauchen das auch – wegen Terrorgefahr“ undso, wissenschon. Das war ja auch der „offizielle“ Hintergrund für das amerikanische Überwachungssystem. Konkrete Erfolge konnten auf jeden Fall nicht genannt werden, auf der anderen Seite könnte man Fälle nennen, die nicht verhindert wurden. Die Schnellkochtopfbomber in Boston zum Beispiel.

Der Witz ist meiner Meinung ja auch, dass jemand, der etwas bewusst etwas verbergen will, das auch schafft. Ganz ehrlich, welcher Superschurke (der auch nur halbwegs bei Verstand ist) plant die Weltherrschaft in Google Docs und auf Facebook?

Solche Menschen agieren anders, die arbeiten unter der Rauschgrenze. Das kann man glaube ich ganz gut mit GPS vergleichen. Wer weiß, wie es ungefähr funktioniert versteht, was ich meine: Die eigentlich übermittelte Information ist so schwach und unscheinbar, dass jeder, der nicht weiß, dass da etwas ist es schlichtweg nicht sieht. Ein anderer, der den „Gold Code“ kennt, kommt sofort und ohne Probleme an die Infos.

Was sollen dann solche Systeme? Zum einen geht es da sicherlich um das Haben, um Macht zu zeigen (was beim darüber Schweigen und Dementieren natürlich kaum Sinn macht). Das andere ist wohl die Hoffnung, dass auch der ausgefuchseste Bösewicht mal einen Fehler macht. In einem solchen Fall *kann* das helfen, muss aber noch lange nicht.

Die andere Seite der Medaille ist natürlich die hingenommene bzw. (der ein oder andere wird sicher sagen) durchaus gewünschte totalitäre Überwachung unbescholtener Bürger. Zum Glück haben hierzulande viele etwas gegen solche „Präventivmaßnahmen“, wohl auch, weil es soetwas in der ehemaligen DDR schon gab. In anderen Ländern ist das anders – in China kümmert sich der Staat um alle, in England sind die Überwachungskameras so bekannt wie die Queen und in den USA könnte es der Patriotismus sein, der so manches Gehirn etwas aufgeweicht hat (nichts gegen den Patriotismus ansich, aber man muss nicht auf alles stolz sein).

Um noch ein wenig mehr abzuweichen – da wäre noch die Einstellung „sollen die das doch machen, ich hab eh nichts zu verbergen“. Wie ich diesen Satz verabwcheue! Wenn man solche Leute dann fragt, ob man kurz deren Mails anschauen oder durch die SMS blättern darf, wird es recht schnell ungemütlich. „Das ist ja auch was völlig anderes“. Mhm. Es ist etwas völlig anderes, dass der Staat (oder eine beliebig andere Stelle) völlig durch sich selbst legitimiert zur tiefsten Privatsphäre jedes einzelnen vordringt und es im Zweifel gegen diese Person oder deren Umfeld verwenden kann. Ja, das ist wirklich etwas völlig anderes.

Das ist auch genau der Grund, warum ich nicht bei Facebook bin und auch Firmen wie Google nur so wenig Daten wir möglich über mich zu geben versuche. Klar habe ich auch ein Android-Handy, das ich ständig mit mir herumtrage und selbstverständlich benutze ich täglich die Google-Suche. Man kommt nicht daran vorbei. Trotzdem versuche ich, nicht zu viele Infos rauszublasen, z. B. bekommen die meisten Anbieter von mir keinen Speicher für Cookies, keine Referer und bei Anmeldungen nur die nötigsten Infos. Dropbox kommt zwar zum Einsatz, aber wirklich nur für Daten, die man öffentlich ohne Probleme verteilen kann. Eben nichts zu verbergen 😉

Dennoch ist man zumindest im Internet durchweg verfolgbar. Spätestens durch den ISP oder durch den eigenen Rechner mit „Zusatzprogrammen“…

Abschließend kann ich nur noch Steve Wozniak (Woz) zitieren: „Traue nur einem Computer, den du auch aus dem Fenster werfen kannst.“

Tarnkappen-Links enttarnen

Veröffentlicht am von

Heise hat „Breaking News“ parat: über Javascript-Events kann man Hyperlinks andere Adressen unterschieben. Das ist nicht neu, macht Google schon seit Jahren.

Dabei wird über das onclick- oder onmousedown-Event einfach das href-Attribut des a-Elements verändert. So ziemlich alle Browser führen den Eventhandler vor dem Öffnen des Links aus. So weit, so schlecht.

Nun kann man entweder Javascript deaktivieren (und viele Seiten kaputt machen) oder einen „faulen“ Trick anwenden, der zumindest bei onmousedown funktioniert:

Mit der rechten Maustaste darauf fahren und in die Statusleiste gucken, dann die rechte Maustaste drücken, das Menü schließen, wieder auf den Link fahren und gucken, ob sich der Text in der Statuszeile verändert hat. Funktioniert genauso, wenn man den Link per Drag & Drop anfängt zu ziehen, dies aber abbricht.

Wäre da noch das onclick-Event. Das kann man als Benutzer so einfach nicht ermitteln. Auch die Durchsicht des Quelltextes hilft nicht, da das Attribut samt Miniscript nicht direkt im Element stehen muss (siehe das Beispiel auf heise.de).

Da muss man Feuer mit Feuer bekämpfen. Ich habe dazu ein kleines Bookmarklet geschrieben, das alle Links im Dokument auf onclick- und onmousedown-Events durchsucht und im Falle dessen hinter dem Linktext ein kleines Ausrufezeichen einblendet.

Nach dem „Installieren“ kann es sogleich getestet werden, da meine Bookmarklet-Seite das Onclick-Event verwendet.

tarnkappen-links

So schaut’s aus

Allerdings sei dazu gesagt, dass Hyperlinks mit hinterlegten Events nicht per se nicht „böse“ sind, sondern auf manchen Seiten (wie hier im Wiki bei den Miniaturansichten von Bildern) eine Zusatzfunktion anbieten.

Happy Clicking!

Liebe Hetzner AG…

Veröffentlicht am von

…da ist wohl etwas deutlich schief gegangen.

Zumindest habe ich – bis jetzt – 30 Passwörter bei euch geändert, nachdem irgendwelche Idioten in euer System eingebrochen sind.

Ihr habt zwar schnell und (wahrscheinlich) richtig reagiert, allerdings ist es schon etwas peinlich, dass…

Am gestrigen Mittwoch wurden wir auf einen missbräuchlichen Zugriff in unser internes System aufmerksam gemacht. Soweit wir es derzeit rekonstruieren können, war es dem Angreifer möglich, auf interne Kundendaten der Hetzner Online Administrationssysteme zuzugreifen.

…ihr den Einbruch nicht selber erkannt haben und die Passwörter der Kunden scheinbar offensichtlich unverschlüsselt abspeichert.

Zumindest wird das Passwort im Webmailer beim Klick auf „MailAdmin“ im Klartext (ok, SSL ist noch „dazwischen“, aber auch durchdringbar) übertragen:

 

Nachdem ihr jetzt ja einen kleinen Schlag ins Gesicht bekommen habt – wie wäre es denn, wenn ihr ein kleines Zeichen in Richtung Sicherheit setzt und (neben dem Schließen der Lücke sowie dem Abstellen des Klartext-Passwort-Gedöns natürlich) allen Hosting-Kunden ein SSL-Zertifikat schenkt?

Zensursula von der Laien

Veröffentlicht am von

Was haben wir denn da für naiv-dumme Menschen in der Regierung?

Dass Kinderpornographie ein wirkliches Problem ist, steht außer Frage – aber warum wird das Thema mit so einer großen Naivität und Starrsinnigkeit angegangen?
Die meisten Politiker kennen sich nur wenig oder gar nicht mit dem Internet auskennen, ist mittlerweile bekannt. Dass sie sich aber mit ihren Vorstellungen und ohne wirklichen Expertenrat durchsetzen wollen, ist meiner Meinung wesentlich schlimmer.

Heute wurde der Regierungsentwurf für die Internetsperren beschlossen. Entgegen dem Versprechen/Versprecher von der „Familienministerin“ sollen jetzt auch die IPs der Besucher der Sperrseite protokolliert werden dürfen. Nur welcher Pädophiler wird sich darum scheren? Jemand, der weiß, dass er ins offene Messer laufen könnte, wird es tunlichst vermeiden, solche Seiten ohne entsprechende Mittel zu besuchen.

Cleverer wäre es gewesen, wenn die Seiten bis zu einem bestimmten Punkt angezeigt werden würden und im Hintergrund schon eine Protokollierung läuft. Das wäre zwar noch illegaler, dafür nicht ganz so offensichtlich, wie ein Bildschirmfüllendes Stopp-Schild. Zudem hätte man richtiges Beweismaterial, dass der verdächtige wirklich auf der Suche nach illegalem Material war und nicht durch einen falschen Klick den Ermittlern in die Hände gefallen ist.

Zudem sind die Sperren wirklich mit wenigen Mausklicks zu umgehen. Wem hilft’s? NIEMANDEM. Weder den Missbrauchsopfern noch den Ermittlern noch irgendwelchen Politikern, die den Erfolg auf ihre Fahnen schreiben wollen.

Was auf jeden Fall bleibt sind die Täter und die haben andere Mittel und Wege, ihre „Ware“ auszutauschen. Sei es über Peer-2-Peer-Netzwerke, Usenet oder per direktem Kontakt, das Internet dürfte im Gegensatz zu den anderen Verbreitungswegen nur ein Bruchteil sein. Was mehr Sinn machen würde, wäre eine bessere internationale Zusammenarbeit bzw. Druck auf und durch die EU sowie Menschenrechtsorganisationen.

Pädophile werden es aufgrund der Internetzensur nicht weniger, viel wichtiger ist es, offensiver bei den Verbreche(rn) zu handeln, ein Gegenbeispiel konnte man gestern auf Spiegel Online lesen. Da wurde dem Pfarrer, der sich selbst für unschuldig hält, immer wieder der Rücken freigehalten – sowohl von der Kirche als auch von Gläubigen.

Wie es weiter geht möchte ich eigentlich gar nicht wissen. Heute Kinderpornos, morgen kritische Internetseiten und übermorgen „the great Firewall of China Germany“. Den ersten Stein haben wir die ja schon gesetzt und die Republikfeinde können dank VDS gleich ermittelt und eingebuchtet werden.