Schlagwort-Archive: Security

Sicherheit mit Kollateralschäden: “https” macht Probleme in Entwicklungsländern

Klar, https ist eine gute Sache. Das Protokoll fängt jede Menge potentieller Internet-Gefahren ab, vom Surfen im offenen WLAN bis hin zum Mitlauschen von Geheimdiensten (vorausgesetzt, die haben nicht ihr gefälschtes Zertifikat irgendwo in den Vertrauens-Schlüsselbund geschmuggelt – wovon man im Zweifelsfall ausgehen darf 🙂 – für den Anwender ist es ohne jeden Mehraufwand, für den gewerblichen Content-Anbieter eine kleine Fußnote im IT-Gesamtpaket, und für den Blogger eine Frage des inneren Schweinehundes. Tja, ich hab’s ja zugegebenerweise auch immer noch nicht gemacht mit der SSL-Umstellung, obwohl Chrome meine völlig unverdächtigen Seiten seit kurzem als unsicher bemosert.

Embed from Getty Images

Aber keine Frage, es gibt überhaupt nichts einzuwenden gegen https – dachte ich bislang auch. Das ist allerdings eine Mainstream-Sicht aus der Perspektive eines gut ans Netz angebundenen Normal-Surfers oder Protokoll-Entwicklers. Im hintersten Uganda, an einer Schule mit teurem, langsamen und fehlerträchtigen Satelliten-Internetzugang kann das ganz anders aussehen, berichtet Eric Mayer. Da war nämlich bislang ein Proxy bzw. Cache zwischen den “Originalseiten” und den Browsern seiner Schüler das Mittel der Wahl – aber seit der allgemeinen Umstellung auf https mag sich keine Website mehr einfach so zwischenspeichern lassen – technisch gesehen ist der Proxy schließlich ein “böser” “Man-in-the-Middle”.

Die an sich vorgesehene Ausnahme-Lösung funktioniert dummerweise nur auf neuen Rechnern mit aktuellen Browsern. Fazit: Die neugewonnene Sicherheit bringt kleine, oder eben doch recht gravierende Kollateralschäden mit sich – für die Leute “fernab von unseren Datencentern und unseren Gedanken”.

Hypertext Transfer Protocol Secure: “https” ist nicht immer gut · Dlf Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 20.08.2018 (Moderation: Diane Hielscher)

Wieder mal neues vom Bundeshack

Nach dem totalen Informationschaos der letzten Woche, den (offenbar entweder teilweise unzutreffenden oder aber missverstandenen…) Durchsteck-Portiönchen nicht genannter “Sicherheitsexperten” und den eifrigen, aber wenig hilfreichen Einlassungen aus den Reihen der Politik gibt es nun wieder einmal eine neue Version, was sich eigentlich abgespielt haben könnte. Und weil in dieser neuen Version der FAS doch recht viele und auch ziemlich unspektakuläre Details genannt werden, die auch zu vorhergegangenen Statements passen (wie dem von T-Systems, der IVBB sei eigentlich “nicht direkt betroffen” gewesen…), würde ich einmal sagen: das klingt jetzt für mich ziemlich plausibel.

Malware-verseuchte Schulungsunterlagen aus der Bundesakademie für öffentliche Verwaltung, die dann von Behördenmitarbeitern heruntergeladen und auf ihrem Arbeitsplatzrechner geöffnet werden, das wäre ein ganz alltägliches Szenario. Natürlich bleiben noch allerhand Fragen offen. Wenn die Infektion in der Brühler Akademie schon vor zwei jahren passiert sein soll – warum ist das damals oder seit damals nicht aufgefallen? Steckt da Schlampigkeit, Fahrlässigkeit oder – im allerschlimmsten, aber doch sehr unwahrscheinlichen Fall – bewusste Sabotage dahinter? Da ist im Grunde alles denkbar; es wäre z.B. auch nicht das erste Mal, dass Schulungsrechner an einem kritischen Netz hängen, ein Schulungsteilnehmer seinen USB-Stick anschließt und “drin” ist.

Der nach bisherigem Ermittlungsstand ganz gezielte Zugriff auf einige wenige Dokumente lässt die Dimension des Vorfalls zunächst einmal viel weniger dramatisch erscheinen, als zunächst angenommen. Nur wer sagt, dass es nicht weitere, bislang unentdeckt verseuchte Dokumente, Rechner oder Netzwerkkomponenten gibt? Schon letzte Woche hatte man ja gehört, das BSI habe praktisch alle Kräfte im Dauereinsatz (und aus anderen Projekten abgezogen…), um hier etwas Licht ins Dunkel zu bekommen. Angesichts der offenbar knappen personellen Ressourcen ist man da ja schon fast froh, dass nicht alle laufenden Infiltrationsbemühungen der internationalen Cyber-Bösewichter gleichzeitig auffliegen – oder von “Sicherheitsexperten” durchgesteckt werden… 🙂

Deutschlandfunk Nova – Hielscher oder Haase vom 05.03.2018 (Moderation: Diane Hielscher)

Nachklapp 06.03.: Und wieder mal eine neue Version, diesmal wieder von der Süddeutschen (die ja auch schon letzte Woche zu den Erstmeldern gehörte, leider aber mit zum Teil falschen Informationen…). Der Artikel ist allerdings in weiten Passagen fürchterlich verschwurbelt und in den Details nebulös, vielleicht war der tippgebende Experte ja maskiert und hat nur undeutlich in das Whistleblower-Telefon der SZ hineingeflüstert.  🙂 Die Outlook-Geschichte (natürlich würde das auch mit einem anderen Mail-Client gehen…) würde aber immerhin erklären, wie eine Malware in einem ansonsten abgeschotteten Netzwerk mit ihren “Auftraggebern” “kommunizieren” kann. Wobei das eigentlich nur für den Input-Kanal (also Steuerungsbefehle…) richtig plausibel ist, da gab es übrigens auch schon ähnlich kreative Lösungen über Twitter-Messages. Eine rausgehende Mail hingegegen muss ja an jemand gerichtet sein, und da wird die Malware die abgegriffenen Infos eher nicht an turla@kreml.ru 🙂 geschickt haben können. Theoretisch könnten die Angreifer natürlich auch Zugriff auf den Mailaccount oder das System eines aus der Sicht des Behörden-Netzwerkes legitimen Mail-Empfängers haben und sich die Infos dann von dort aus weiterleiten. Ganz schön kompliziert. Wir bitten um weitere Aufklärung!

Hackerangriff auf Regierungsnetz: Super-GAU oder Bärenfalle? (Update)

Als wir heute morgen nach dem zu diesem Zeitpunkt verfügbaren Informationsstand über den Cyberangriff auf das Regierungsnetz “Informationsverbund Berlin-Bonn” (IVBB) berichtet haben, da sah ja alles nach einem recht deftigen erneuten Desaster aus – wieder einmal die russischen Freunde von der Gruppe APT28 alias “Fancy Bear” mitten in einem Top-heiklen Honigtopf deutscher Daten. Am Mittag dann die wundersame Wende – die Attacke liefe sogar noch, hieß es nun; aber deutsche Sicherheitsdienste hätten sie frühzeitig und umfassend erkannt und “den Angreifer” erstmal weiter am Honeypot naschen lassen, um seine Methoden und auch seine Herkunft niet- und nagelfest zu durchleuchten.

Und deswegen habe man auch den zuständigen Parlamentariern nichts sagen können; klar, sonst wär der Bär ja gewarnt worden (von den Linken bestimmt 🙂 …) Das ist eine Geschichte, die man jetzt mal so glauben kann oder auch nicht. Ich glaube zwar gern, dass man die Infektion eines oder einiger weniger Computer mitbekommen kann und diese dann eben auch “kontrolliert” oder “isoliert” weiterbetreibt. Wie die “Sicherheitskreise” aber sicher sein wollen, dass die APT28-Rasselbande nicht doch vielleicht unbemerkt auch noch in anderen Segmenten des Netzwerkes ihr Unwesen treibt, das ist mir einstweilen ein Rätsel.

Embed from Getty Images

Das bleibt auf jeden Fall noch eine spannende Fortsetzungs-Geschichte. Und welche Seite hier einen großartigen Erfolg zu verzeichnen hat, da würde ich mich noch nicht ganz festlegen.

Cyberkriminalität: Hackerangriff auf deutsches Regierungsnetz · Dlf Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 01.03.2018 (Moderation: Till Haase)

P.S. – Jetzt soll plötzlich auch der IVBB gar nicht “direkt” betroffen gewesen sein – das ist ja dann echt eine schöne Ente, die uns Presseheinis und nebenbei auch den deutschen Bundestagsabgeordneten da gebraten worden ist. Zwischenfazit: Wir wissen gerade überhaupt nichts mehr gewisses, alles ist top-secret. Ich biete hier vorsichtshalber schon mal ein paar Alternativen an: Es waren die Chinesen. Die Nordkoreaner. Die Türken. Die Israelis. Eine Hobby-Hackerinnen-Truppe aus Winsen an der Luhe. Es war Anonymous.

P.S.2 – Ach nee, es “soll” Snake, nicht Fancy Bear gewesen sein. Jetzt passen meine schönen Wortspielereien mit der Bärenfalle und dem Honigtopf nicht mehr. Macht irgendwie heute alles keinen Spaß.

P.S.3 – Ich kann mich nicht erinnern, einen solch grausamen Desinformations- und Fake-News-Tag schon mal erlebt zu haben. Jetzt war auch noch ein Geheimnisverrat mit im Spiel (nämlich von dem Informanten, der den Käse der dpa bzw. der Süddeutschen gesteckt hat…). Und ganz offenbar haben halt die ganzen Politiker im Innenministerium bzw. den Kontrollgremien technisch keinen Schimmer und sondern irgendwelche Bullshit-Bruchstücke ab, die zur weiteren Verwirrung beitragen.

Nachklapp 02.03.2018 – Wir haben heute früh noch einmal ein Update gebracht – als kleine Momentaufnahme im andauernden Info-Nebel.

Hackerangriff: Informationschaos rund um den #Bundeshack · Dlf Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 02.03.2018 (Moderation: Till Haase)

P.S.4 – hier kommt mal wieder ein neuer Erkenntnisstand; das hört sich jetzt schon etwas konkreter und plausibler an. Von dem “den Angriff hatten unsere Sicherheitsbehörden die ganze Zeit unter Kontrolle” kann ja wohl absolut nicht die Rede sein. Eine Formulierung wie “die Hacker griffen weltweit an” bei der Darstellung der derzeitigen 🙂 “exklusiven” Informationen von NDR, WDR und Süddeutscher Zeitung “aus Kreisen, die mit den Vorgängen vertraut sind” (die Informationen der dpa und der Süddeutschen am Mittwoch waren ja auch aus solchen “Kreisen”…) ist  (mit Verlaub, liebe Kollegen) auch Bullshit. “Weltweiter Angriff” klingt ja schon wieder nach Cyber-Armageddon. Bei angeblich nur 17 betroffenen Rechnern in Deutschland und einer Handvoll abgegriffener Dokumente würde ich stattdessen einfach (wie schon gestern in der ersten Sendung…) sagen: Da machen einfach ein paar Leute ihren täglichen Routine-Job und versuchen gezielt für sie interessante Informationen abzugreifen. Ganz normales Aufklärungs-Business 🙂 … Ach so; offenbar besteht ja auch noch Begriffs-Verwirrung zwischen dem mutmaßlich verwendeten Angriffs-Tool bzw. Trojaner (Snake/Uroburos/Turla) und der danach benannten Hackergruppe – theoretisch könnten natürlich auch APT28 oder die Hackergirls aus Winsen aus der Luhe oder Anonymous den Trojaner Snake/Uroburos/Turla verwendet haben. Aber das wird ganz bestimmt noch aufgeklärt, da bin ich völlig zuversichtlich.

Gesichtserkennung plus Captcha lösen soll mehr Sicherheit bringen

Einfach das Smartphone mit dem eigenen Gesicht entsperren, das geht nicht nur bei Apples derzeitigem Spitzenmodell, dem iPhone X – wobei ja trotz des technisch aufwendigen Verfahrens mit der projizierten Punktematrix auch hier noch gewisse Zweifel an der Sicherheit bleiben. Deutlich simplere Lösungen gibt es bei vielen Android-Modellen schon seit einigen Jahren. Zu Beginn konnte man die Zugangssperre allerdings oft schon mit einem Foto austricksen. Bessere Systeme überprüfen also, ob sich im Gesicht etwas bewegt – das aber lässt sich wiederum mit einem Video oder einer 3-D-Konstruktion aushebeln. Amerikanische Informatiker haben jetzt eine neue Idee: Sie wollen die Gesichtserkennung mit Captchas kombinieren.

Image shows part of the flow diagram of the Real-Time Captcha system. (Bild: Georgia Tech)

Auch bei diesen kleinen Rätseln oder Aufgaben, die einem Menschen leicht fallen, einer Software oder einem Bot aber schwer, gibt es seit Jahren ein Katz-und-Maus-Spiel – Captchas lösen ist geradezu ein Showcase für die Fortschritte bei maschinellem Lernen und KI. Trotzdem – nimmt man beides zusammen, Bewegt-Gesichtserkennung plus Captchas lösen und setzt für die Antwort ein relativ knappes Zeitfenster, dann taugt das nach Ansicht der Informatiker vom Georgia Institute of Technology noch ein Weilchen als zuverlässige Zugangskontrolle – offenbar selbst für hochkritische Szenarien: Die Forschung wurde vom “Office of Naval Research” (ONR) und der “Defense Advanced Research Projects Agency” (DARPA) gefördert. 🙂

Datenschutz: Mehr Sicherheit durch Captchas · Dlf Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 20.02.2018 (Moderation: Diane Hielscher)

Aufregung um Scriptkiddie-Angriffstool “Autosploit”

In der richtigen, der analogen Welt kann man ja sehr intensiv darüber diskutieren, ob es gut oder schlecht ist, völlig unproblematisch an Waffen heranzukommen – in den USA z.B. flammt der Streit darüber ja nach jedem Amoklauf an einer Schule oder sonst wo neu auf. In der digitalen Welt, im Netz gibt es die Diskussion auch. Sollte man Hackingtools, mit denen sich fremde Computersysteme lahmlegen lassen, verbieten oder den Zugang irgendwie einschränken – oder sind solche Programme nützlich und notwendig, für Sicherheitstests z.B? Im Moment streiten die Experten gerade über “Autosploit”.

Das ist ein ziemlich kurzes Stückchen Code, das ein Unbekannter vor ein paar Tagen auf der Code-Plattform Github bereitgestellt hat. Und wie der Name schon andeutet: Das Tool spürt auf Knopfdruck verwundbare Computersysteme im Netz auf und versucht dann, den oder die Opfer-Rechner zu infiltrieren oder lahmzulegen – im Extremfall, indem es alle überhaupt bekannten Angriffsvektoren durchprobiert. Eine Universal-Hacking-Komfortlösung für jedermann – auch für programmiertechnisch völlig ahnungslose; für Scriptkiddies.

Embed from Getty Images

Und tatsächlich ist Autosploit nicht viel mehr als ein Script, das die Sicherheitslücken-Suchmaschine Shodan und die Penetration-Werkzeugkiste Metasploit kombiniert. Übrigens: Auch ich probiere ja aus technischem (und sonstigem…) Interesse alles mögliche ab und zu mal selbst aus (die Gesichts-Austausch-Fakeapp z.B. 🙂 ) – aber mal eben Autosploit vom heimischen PC (oder noch schlimmer von dem bei der Arbeit…) in Gang zu setzen, ist weder für Nerds noch für Möchtegern-Hacker eine gute Idee. Bei den Spuren, die man dabei hinterlässt, hiilft auch die schönste schwarze Kapuze nichts mehr.

Deutschlandfunk Nova – Hielscher oder Haase vom 02.02.2018 (Moderation: Till Haase)

Strunzen mit Strava: Fitnesstracker verrät Militärbasen

Ich muss gestehen – anlässlich der letzten anstehenden Verlängerung meines Mobilfunkvertrages habe ich einmal etwas intensiver darüber nachgedacht, ob ich mir vielleicht eine iWatch zulegen soll. Und mich dann erstmal dagegen entschieden (erstens, weil ich gerade etwas Ebbe in der Kasse hatte; zweitens, weil die Eignung der doch recht dicken Uhr als Golf-Gadget am linken Handgelenk noch nicht so ganz erwiesen ist 🙂 …). Aber an sich sind Smartwatches und Fitness-Armbänder ja mittlerweile extrem beliebt: Da kann man halt checken, ob man sein “Bewegungs-Soll” erfüllt hat.

Und herumstrunzen geht auch: Wenn man nämlich die Daten der Gadgets ins Netz hochlädt – und das ist ja praktisch bei allen Apps vorgesehen – dann können alle “Freunde” staunen, wie fit und fleißig man ist. Wenn man allerdings einen etwas heiklen Job hat; Soldat oder Spion oder so – dann ist das mit dem herumstrunzen und Daten hochladen vielleicht doch keine allzu gute Idee. Natürlich – in den Zeiten von Google Earth oder anderen Satellitenkarten-Diensten sind die einstmals “geheimen” Flecken auf der Erde, Militärbasen z.B., nicht mehr wirklich geheim. Wobei Google zumindest bei den Standorten von “Verbündeten” einen “Sichtschutz” drüberblendet, so dass Details wie Straßen, Wege, Landebahnen und Gebäude nicht mehr sichtbar sind.

The movements of soldiers within Bagram air base – the largest US military facility in Afghanistan Bild: Strava/BBC

Auf der “Heatmap” der Fitness-App “Strava” werden nun solche unter Umständen doch recht heiklen Details sehr schön erkennbar – vor allem in Ländern, in denen außer fremdem Militärpersonal sonst praktisch niemand mit einem Fitnessarmband einhertrabt. 🙂 Neben der reinen Jogging-Topologie der Areale lässt sich aus der Heatmap auch noch ablesen, ob denn an einem Standort (Botschaft z.B.) eher “tote Hose” angesagt ist; oder ob da plötzlich viele junge, unternehmungslustige und fitte Männer (oder vielleicht auch Frauen…) für einen bevorstehenden Einsatz mit den Hufen scharren. An so etwas kann eigentlich eine verantwortliche Militär- oder Geheimdienstführung trotz aller moderner Offenheit keine rechte Freude haben.  🙂

Fitnesstracker verrät Militärbasen · Deutschlandfunk Nova

Deutschlandfunk Nova – Hielscher oder Haase vom 29.01.2018 (Moderation: Till Haase)

Nachklapp 30.01.2018: Das Pentagon lässt die Sicherheitsauswirkungen “prüfen”

Nachklapp 06.02.2018: Strava hat auch noch etwas “nachgebessert”…

Cyberwährungsbörse Coincheck gehackt, eine halbe Milliarde Dollar futsch

So richtig gut ist die Stimmung in der Cyberwährungswelt momentan ohnehin nicht, der Kurs des Platzhirschs Bitcoin ist  – zumindest von den Höchstständen im Dezember aus gesehen – gewaltig auf Talfahrt gegangen. In China droht die Stilllegung der Mining-Farmen mit ihrem absurden Stromverbrauch, in Südkorea ist Schluss mit dem schrankenlosen Cyber-Handel, und allerorten platzen Abzock-Modelle, die geldgierigen Ahnungslosen ganz ungerührt die Kohle aus der Tasche ziehen.

Da passt natürlich die Nachricht von einem erneuten Cyberbörsen-Superhack (wieder mal in Japan…) mit rekordverdächtiger Schadenssumme wie die Faust aufs Auge; ein deftiger Schlag ins Cyber-Kontor :), wie es ein früherer Kollege immer so schön formuliert hat. Wie der Hack genau abgelaufen ist, darüber werden wie in der nähsten Zeit vielleicht noch näheres erfahren. Aber nahezu sensationell: Die Betreiber von Coincheck stellen eine Entschädigung ihrer Kunden in Aussicht, immerhin 90% der Schadenssumme wollen sie wiedergutmachen – aus “Rücklagen”.

Embed from Getty Images

Donnerwetter – das Cyberbörsen-Betreiben scheint ja noch lukrativer zu sein als das Zocken mit den Währungen selbst.  Ob das Versprechen auch eingehalten wird; da bin ich aber mal sehr gespannt.

Hack auf Cyberwährungsbörse Coincheck: 400 Millionen Euro in Kryptowährung gestohlen

Deutschlandfunk Nova – Hielscher oder Haase vom 29.01.2018 (Moderation: Till Haase)

P.S. Die entwendeten 523 Millionen XEM sind ja natürlich und tröstlicherweise noch irgendwie in der NEM-Blockchain sichtbar – mittlerweile versuchen der oder die Hacker aber wohl, die halbe Milliarde etwas zu stückeln 🙂

P.S. 2 Die japanische Finanzaufsicht hat jetzt auch mal bei Coincheck vorbeigeschaut und einen umfassenden Bericht zu dem Desaster angefordert.

Elektronische Gesundheitskarte: IT-Desaster oder Hängepartie mit glücklichem Ende?

Bekanntlich bekommen wir in Deutschland seit geraumer Zeit nichts mehr auf die Reihe. Jedenfalls kein Großprojekt. Ein paar Beispiele gefällig? Der Flughafen Berlin. Als nächster Kandidat in der Pipeline: Stuttgart 21. Die Hubschrauber und U-Boote bei der Bundeswehr. (Oder eigentlich alles.) Dann die IT-Kracher: Toll Collect. Der Bundestrojaner. DE-Mail. Das gesicherte Anwaltspostfach. Und natürlich; mit schon epischer Anlauf- bzw. Erprobungsphase: Die Elektronische Gesundheitskarte.

Die ist so ein typisches Beispiel für eine geplante Neuerung, von der praktisch alle betroffen sind, bei der viel auf dem Spiel steht, bei der viel schiefgehen kann und bei der man gern möglichst alles richtig machen will. Und bei der es von vornherein jede Menge Leute gibt, denen die ganze Sache sowieso überhaupt nicht in den Kram passt. Bei der Gesundheitskarte sind das u.a. die Ärzte, die in ihren Praxen investieren müssen und sich mit herumzickenden Kartenlese-Terminals und lebensfremden Sicherheitskonzepten (das grenzdemente Mütterlein oder die bildungsferne Patientin aus Anatolien wissen natürlich ihre PIN nicht… Alle anderen: dito 🙂 ) herumschlagen müssen.

Embed from Getty Images

Und von wegen Sicherheit: Natürlich gibt es bei einem Konzept, das die zentrale Speicherung höchst sensibler, für potentielle Angreifer höchst wertvoller Daten vorsieht, Datenschutzbedenken. Nur – dass an sich recht unverdächtige Personen wie der ehemalige Bundesdatenschutzbeauftragte Peter Schaar der Gesundheitskarte an sich ein ganz gutes Zeugnis ausstellt, das deutet doch darauf hin, dass dieses Konzept trotz aller Bedenken vielleicht doch weit besser und sicherer ist, als der Status Quo. Momentan nämlich werden Arztbriefe und heikelste Information völlig ungeschützt und unverschlüsselt in der Gegend herumgeschickt, per ganz normaler Mail. Oder Post.

Auch Experten wie Matteo Cagnazzo vom Institut für Internet-Sicherheit sehen bei der Gesundheitskarte keine konkrete oder konzeptionelle Schwachstelle – aber natürlich: Die Technologie, möglicherweise auch die Kryptografie auf dem Karten-Chip ist durch die jahrelange Verzögerung nicht mehr unbedingt Stand der Technik. Ob die Konnektor-Boxen z.B. gegen die neu bekannt gewordenen IT-Super-GAU-Szenarien Meltdown und Spectre anfällig sind, ist bislang völlig offen. Und “Security by Obscurity” (also die Weigerung der Betreibergesellschaft Gematik, die verwendeten Komponenten zu dokumentieren bzw. unabhängigen Fachleuten für Sicherheitsaudits zur Verfügung zu stellen…) war noch nie eine gute Idee.

Aber dennoch: Es kann eigentlich nicht sein, dass wir in Deutschland, Stand 2018, nicht allmählich einen zu vertretenden Übergang von einer analogen bzw. Wildwuchs-digitalen Patientendatenverwaltung zu einem zeitgemäßen System hinbekommen. Von daher bin ich in diesem Fall mal ausnahmsweise optimistisch. Und ausnahmsweise nicht im Lager der Bedenkenträger.

Elektronische Gesundheitskarte – Potenzial nicht ausgeschöpft · Deutschlandfunk Nova

DLF Nova – Grünstreifen vom 24.01.2018 (Moderation: Sebastian Sonntag)

Sicherheitslücke bei Amazon Key: Der Paketbote kann doch unbemerkt in die Wohnung

Amazon Key ist an sich eine nette Idee, aber doch insgesamt eher etwas für Leute mit großem Vertrauen in Technik und Mitmenschen – so ungefähr hatte ich das “der Paketbote macht sich die Wohnungstür selbst auf und wird dabei sicherheitshalber gefilmt”-Konzept ja bei der Vorstellung eingeordnet. Und nun, drei Wochen später haben IT-Experten einen sehr simplen Weg gefunden, wie sich das Ganze aushebeln lässt. Die Schwachstelle ist die Webcam, die als Dreh- und Angelpunkt von Amazon Key nämlich auch die Schließkommandos an das “smarte” Türschloss sendet.

Dummerweise lässt sich die “Cloud Cam” per simpler WLAN-Paketüberflutung in ein zeitweiliges Standbild-Koma versetzen, und noch dümmererweise bekommt sie bzw. der Amazon Key-Nutzer den Blackout gar nicht mit. Der Hotfix von Amazon – nun schlägt das System Alarm, wenn die Kamera die Netzverbindung verliert – dürfte die Anwender auch nicht so richtig glücklich machen.  “Möglicherweise wird gerade deine Bude ausgeräumt. Vielleicht muss sich aber auch nur deine DSL-Verbindung kurz neu synchronisieren.”  🙂

Deutschlandfunk Nova – Hielscher oder Haase vom 17.11.2017 (Moderation: Diane Hielscher)

Rescam: KI-Bot verwickelt Scam-Betrüger in Email-Konversation

So richtig neu ist die Idee natürlich nicht, aber immer noch gut: Scamming, das Email-Verschicken mit irgendwelchen Fantasie-Stories über sagenhafte Vermächtnisse, Bankschließfächer oder Beziehungs-Avancen – das funktioniert immer noch mit viel Manpower und Handarbeit. Zuerst braucht man natürlich einen Idioten oder eine Idiotin, die auf den Scheiß reinfallen – aber danach müssen ja ehrliche Hand-Arbeiter in Nigeria oder Moldawien die Kommunikation fortführen, die ja letztlich in eines münden soll: In einen Geldtransfer des Idioten zum Scammer.

Der Ki-Bot “Rescam” von der neuseeländischen NGO-Netzsicherheits-Agentur zielt schlicht auf diesen menschlichen Faktor – wenn die Scam-Arschlöcher mit der Beantwortung der Bot-Fragen, Anekdoten und schlechten Witzen beschäftigt sind, dann können sie in der Zeit keine neuen Idioten Opfer abzocken. Ich habe so etwas ja mal per Hand gemacht. (Fortsetzung in den Folgeposts…) – das ist einigermaßen lustig. Har, Har.

Deutschlandfunk Nova – Hielscher oder Haase vom 13.11.2017 (Moderation: Diane Hielscher)