Schlagwort-Archive: Computer

Samsung Galaxy Note 7 sofort ausschalten und umtauschen

Die Sache ist sehr peinlich und sehr teuer für Samsung – das neue Flaggschiff-Modell entpuppt sich als Rohrkrepierer. Statistisch gesehen vielleicht immer noch im Promille-Bereich, aber vom Risiko her nicht mehr akzeptabel. Jetzt hat auch die US-Verbraucheragentur CPSC ein klares Statement abgegeben – das Problem mit den überhitzenden und explodierenden Akkus ist sehr ernst – nicht nur an Bord von Flugzeugen.

Das pseudo-imagebewahrende Herumgesülze auf der Samsung-Seite ist also auch völlig fehl am Platz – wenn „nur“ der Akku ein kleines, seltenes Explosions-Problem hat, dann ist halt die Kacke ausreichend am Dampfen. Und zwar ernsthaft. Insofern ist also der Umtausch die einzige Option – ein vorheriges Backup bzw. Löschen der persönlichen Daten sollte allerdings auch noch drin sein. Eine Löschdecke oder einen schönen Eimer mit Sand kann man ja sicherheitshalber bereithalten 🙂

DRadio Wissen – Hielscher oder Haase vom 16.09.2016 (Moderation: Till Haase)

 

P.S. 21.09.2016 – Während Samsung mit einem Zwangs-Update (das die Ladekapazität des Akkus begrenzt…) einerseits das Risiko senkt und andererseits den Anreiz an die Kunden erhöht, das Gerät umzutauschen, taucht ein neuer kleiner, großer Haken auf: Paketdienste in den USA und jetzt anscheinend auch hierzulande verweigern offenbar den Transport der potentiellen Mini-Bömbchen. Da ergeben sich weitere sehr aparte juristische und finanzielle Konsequenzen, denn letztlich ist klar, dass auch für dieses Problem Samsung einstehen muss.

P.S. 23.09.2016 – Samsung lässt sich etwas einfallen für das Umtausch-Problem. Das wird wie gesagt teuer – aber das ist jetzt mal ein Wort.

DDos-Angriff „as a Service“ – israelische Hacker gefasst

Es ist doch immer toll, wenn sich Teenager schon richtig gut auskennen mit Computern und dem Netz. Wenn sie da ein bisschen programmieren oder herumhacken können und dann auch schon ein bisschen eigenes Geld verdienen damit. Sagen wir mal so 600.000 Dollar innerhalb von 2 Jahren. Nicht schlecht, was? Die beiden jungen Leute, über die wir hier reden, leben in Israel – da gibt es ja eine Menge IT-Startups. Aber leider haben die beiden jetzt nicht etwa das neue Facebook oder Google erfunden. Sondern sie haben weltweit Webseiten angegriffen und lahmgelegt, gegen Geld, als Dienstleistung.

Lukrativ ja, legal oder legitim – nein. Und jetzt haben die beiden ziemlichen Ärger. Praktisch zeitgleich zu einem Bericht des bekannten Sicherheitsexperten Brian Krebs hat das FBI die israelischen Behörden um Amtshilffe gebeten – die mutmaßlichen Betreiber des Services namens vDOS sind aus dem Verkehr gezogen. Die richtig spannende Frage ist nicht einmal, ob die beiden Jungunternehmer in die USA ausgeliefert werden – viel interessanter ist eigentlich die Auswertung der Kunden- und Auftraggeber-Datenbank der Auftrags-Hacker. 🙂

DRadio Wissen – Hielscher oder Haase vom 12.09.2016 (Moderation: Till Haase)

Bilderkennung einmal anders: KI liefert den passenden Sound

Ein Schritt auf einem Dielenboden klingt anders als einer auf Sand; wenn Holz auf Holz trifft, dann hört sich das anders an als bei Metall. US-Forscher haben einem Computerprogramm nun beigebracht,  wie physikalische Aktionen und Geräusche zusammenhängen, es liefert zu einer stummen Filmszene automatisch den passenden Sound.

Computerprogramme – Ein Algorithmus für realistische Filmgeräusche

Deutschlandfunk – Forschung aktuell vom 29.08.2016 (Moderation: Lennart Pyritz)

Equation Group-Hack: Neue Hinweise auf zweiten NSA-„Verräter“

Für die NSA ist der „Equation Group“-Hack bzw. -Leak eine ziemlich happige Sache, obwohl die Tragweite der Panne in der allgemeinen öffentlichen Wahrnehmung überhaupt noch nicht so ganz adäquat angekommen ist – möglicherweise ja mit Absicht.

Wenn die Sache eine „Hacker-hacken-Hacker“-Aktion der Russen war, ist das peinlich und demonstriert die generelle Implosionsgefahr von „Cyberwar“-Aktivitäten. Wenn es eine Whistleblower- bzw. Insider-Aktion war, dann würde das die schon lange gehegte These von einer zweiten undichten Stelle neben Edward Snowden  bestätigen. Vor allem aber steht der US-amerikanische Auslandsgeheimdienst wieder mal als Lügner oder Heuchler da: War wohl doch nix mit der gelobten Transparenz und dem Aufdecken von heiklen Sicherheitslücken gegenüber betroffenen US-Firmen oder CERTs.

Cisco und Juniper latschten jahrelang mit heruntergelassener Hose herum, ihre Kunden auch. (Von den übrigen Exploits wollen wir mal nicht reden…) Und die NSA hat das gewusst und beherzt zugelangt. Business as usual halt.

DRadio WIssen – Hielscher oder Haase vom 23.08.2016 (Moderation: Thilo Jahn)

Sicherheitslücke in Linux: Seiten-Attacke kompromittiert TCP-Verbindungen

Kein „Man-in-the-Middle“, sondern eher ein „Man-on-the-Side“-Angriff – das ist das Szenario, das doch nach einem recht ernsthaften Problem aussieht. In einem seit 2012 eingebautem Feature im TCP-Stack von Linux steckt ein Bug: Im Grunde einst als Sicherheits- oder Performance-Verbesserung eingeführt, erweist sich das Limit bei den ACK-Paketen, bei der Beantwortung von Verbindungsanfragen nun als Schwäche. Um sich in eine Verbindung zwischen einem User und einer Website einzuklinken, braucht ein Angreifer nur die IP-Adressen beider Seiten zu kennen und in seiner Netzwerkumgebung „IP-Spoofing“, also das Segeln unter falscher Flagge, einstellen zu können – eine mit regem Interesse aufgenommene Entdeckung von Informatikern der University of California, Riverside – vorgeführt auf der Usenix-Sicherheitskonferenz in Boston.

Und dann kann ein Angreifer dem „Opfer“ Code im Namen des eigentlichen Verbindungsziels unterjubeln. Ohne irgendeine Abwehrchance. Und ohne die bei Man-in-the-Middle-Attacken notwendige „Mithilfe“ entweder des Providers oder des Nutzers. Leider auch bei sensibleren Verbindungen über das Tor-Netzwerk. (Wie immer stellt sich ja die Frage – wie lange wusste irgend jemand von dem Problem bzw. Angriffsvektor?) Linux-Anwender sind tendenziell technikaffin – insofern werden die Updates auf Servern und PCs schnell eingespielt sein. Im Zweifelsfall gibt es auch einen Hotfix, mit dem man sich sofort absichern kann. Bleiben die üblichen Zombie-Kandidaten: Android-Devices. Und die ganzen tollen IoT-Gadgets, die nie aktualisiert werden. Willkommen in der Matrix.

Sicherheitslücke in Linux · DRadio Wissen

DRadio Wissen – Hielscher oder Haase vom 11.08.2016 (Moderation: Till Haase)

Bitcoin-Börse Bitfinex gehackt – 70 Millionen Dollar gestohlen

Der letzte Schlag in die Nieren einer Cyberwährung – das Desaster beim Crowdfunding-Projekt und „Unternehmen aus purem Code“ DAO ist ja noch nicht verdaut, da geht die Branche und Coin-Anhängerschaft wieder einmal in den Shock-and-Awe-Modus über: Bitfinex gehackt, Bitcoins im Wert von rund 70 Millionen Dollar gestohlen (je nach dem, welchen Kurs man ansetzt, den vor dem Beutezug oder den nachher…). Und wieder einmal die Frage – ist das ein Super-GAU, der das grundlegende Konzept betrifft, oder „nur“ das Problem eines einzelnen Betreibers und seiner bedauernswerten Kunden?

Etwas größere Kreise zieht der Vorfall, weil auch kleinere Börsen bei Bitfinex Guthaben deponiert hatten, und neben den konkret Betroffenen sind natürlich auch alle mit-abgemolken, deren Bitcoins durch den Kursverlust eben mal ganz plötzlich weniger wert sind. Auch diesmal dürfte die Finanzkraft von Bitfinex nicht hinreichend sein, um die Anleger zu entschädigen, ob man die geklauten Bitcoins noch irgendwie zurückholen kann, ist fraglich, offenbar versucht der Hacker gerade, seine Beute zu waschen.

Immer noch wird wild spekuliert, wie der Angriff verlaufen ist – aber es gibt erste plausible Hinweise darauf, dass ein eigentlich als Sicherheitsfeature eingeführtes Konzept bei Bitfinex bzw. BitGo eine Rolle gespielt hat. Die Börse hatte nämlich seit 2015 die Guthaben der Kunden nicht mehr einfach in einen gemeinsamen Blockchain-Topf geworfen (der ja dann von der Integrität des Betreiber-Passworts abhängig ist), sondern die einzelnen Depots mit einem individuellen Schlüssel signiert; für Transaktionen gab es dann aber auch noch digitale „Unterschriften“ des Betreibers und des „Wallet-Providers“ BitGo. Und offenbar wurden deren Signaturen wohl etwas lax erteilt, auch bei einer an sich durch ihre schiere Größe verdächtigen Transaktion wie dem Hack.

Manche Cyberwährungs-Experten machen sogar die Regulierungsbehörde mit verantwortlich, weil diese von Bitfinex ausdrücklich verlangt hatte, Bitcoin-Guthaben von einem „kalten“, dafür aber auch nicht angreifbaren Zustand in einen sichtbaren, handelbaren, „heißen“ Modus zu bringen. Im Sinne einer transparenten Preisbildung nachvollziehbar, hier möglicherweise für die Betroffenen fatal. Fazit – von einem System, das für Laien „einfach funktioniert“, sind Cyberwährungen immer noch weit entfernt. Womit ja nicht gesagt sein soll, dass nicht auch hinter einem (von einem italienischen Notenbank-Präsidenten gesteuerten…)  Euro in Wirklichkeit Abgründe lauern. 🙂

DRadio Wissen – Hielscher oder Haase vom 04.08.2016 (Moderation: Diane Hielscher)

P.S. 08.08.2016 – Die Betreiber haben eine recht originelle Vergesellschaftung des Schadens auf alle Guthabeninhaber – also nicht nur die eigentlichen Opfer des Hacks – vorgenommen. Das stand bestimmt auch so ganz ausdrücklich in der 500. Zeile des Kleingedruckten der Nutzungsbestimmungen von Bitfinex und entspricht ja schließlich auch der „Best-Practise“-Tradition der „richtigen“ Finanzwirtschaft. Warum soll es Cyberwährungs-Zockern besser gehen als stinknormalen Steuerzahlern?

Mit 3D-Modellen zum perfekten Selfie

Es ist schon erstaunlich, was heutzutage alles geht bei der Bearbeitung von Photos oder Filmen. Ein Motor aller technischen Entwicklungen ist natürlich Hollywood – das „Capturing“ von Bewegungen, auch von der Mimik menschlicher Akteure und die anschließende Übertragung auf computergenerierte 3D-Modelle ist das Geheimnis vieler Produktionen. Und das Prinzip funktioniert halt mittlerweile frappierend gut, auch wenn das Ziel der übertragenen Bewegungen kein grünes Riesenmonster, sondern wiederum ein Mensch bzw. ein menschliches Modell ist.

Ein solches Modell zu erstellen, das ist kein ganz großes Kunststück, wenn man einen 3D-Scanner zur Verfügung hat, der Körper oder Gesicht unter idealen Bedingungen abtastet – gute Beleuchtung, die Haare streng nach hinten gesteckt, neutraler Gesichtsausdruck, neutraler Hintergrund. Aber aus einem einfachen Single-Shot-Foto mehr als die 2D-Informationen herauszuholen, das ist nach wie vor eine Gratwanderung. Die Idee ist relativ klar – man braucht nicht unbedingt die 3D- oder Tiefeninformationen für die konkret abgebildete Person, auch ein 3D-Modell eines „idealen“ oder interpolierten Gesichts hilft weiter, um die Bildinformation aufzupeppen.

Und dann ist die Frage, was man eigentlich will, erläutert Ohad Fried von der Princeton-Universität – wenn es um die Übertragung von Mimik geht, reicht es, sich auf die inneren Strukturen eines Gesichtes zu beschränken, auf die Veränderung von Mund, Augen, Augenbrauen. Wenn man – wie in der aktuellen Studie der Forscher beschrieben – Verzerrungen in Portraitfotos korrigieren oder im Gegenteil simulieren will und die subtilen, aber sehr charakteristischen Veränderungen der Gesichtsgeometrie, dann braucht man auch die Außenbegrenzungen des Kopfes wie Ohren und Schädelspitze. Der Algorithmus der Computergrafik-Spezialisten baut auf Vorgängerarbeiten auf, bringt aber zum ersten Mal auch die (tatsächliche bzw. fiktive…) Kameraposition mit in das zugrundeliegende 3D-Modell.

Im Moment arbeitet das Team gerade an der Umsetzung des Programms in eine App-Version – die notwendige Rechenkraft könnten auch Smartphone-Prozessoren liefern. Und auch für viele Erweiterungen und Verbesserungen wäre noch Luft. Trotzdem, so sieht das auch Fried: Zwischen einem Demo-Programm einer Uni-Forschergruppe und einer Anwender-Software liegen noch Welten:

Wenn unser Programm etwa in 90% der Fälle gut funktioniert, ist das ein toller Erfolg. Wenn ein kommerzielles Software-Produkt in 10% der Fälle Probleme macht – das geht nicht…

Eine 3D-Darstellung, die auch hohen Ansprüchen wie im Spielfilm gerecht wird, die wird es in absehbarer Zeit auch nur mit 3D-Scans als Quelle geben, sagt Ohad Fried. Aber wenn ein bisschen Interpolation und ein paar Abstriche in den Details tolerierbar sind, dann haben die Computergrafik-Experten bald etwas sehr brauchbares anzubieten, um aus Fotos plötzlich eine Dimension mehr herauszukitzeln. Einen Markt gibt es dafür definitiv – wie man nämlich einen naturgetreuen 3D-Avatar von einem selbst oder vom Lieblings-Star produzieren könnte, (ohne als Top-Experte einen Monat lang in Programmen wie ZBrush herumzudoktern…), das ist seit Jahren die Frage Nummer eins in den entsprechenden Online-Foren.

Das wir dann irgendwann überhaupt keinem Bild mehr trauen können, ist noch mal eine ganz andere Sache.

Bildbearbeitung: Mit 3D-Modellen zum perfekten Selfie – SPIEGEL ONLINE

Pokémon-Go-Alternativen: Das sind weitere Augmented-Reality-Apps

Ständig stößt man derzeit auf Bilder von Pokémon in der echten Welt – der Augmented-Reality-Funktion von „Pokémon Go“ sei dank. Doch das Spiel ist nicht das erste, das die Realität mit Virtuellem erweitert.

Pokémon-Go-Alternativen: Das sind weitere Augmented-Reality-Apps – SPIEGEL ONLINE

Spiegel Online – Netzwelt vom 26.07.2016

Pokemon-Go-App komplett entschlüsselt

Genau eine Woche ist es her, da haben wir in „Hielscher oder Haase“ den größten Hype ausgelöst, der jemals das deutsche Netz durchfegt hat. Pokemon Go. Keine Ahnung, warum die Kollegen und Kolleginnen in allen anderen Redaktionen so enthusiastisch darauf eingestiegen sind. Ist ja auch egal – Hauptsache, wir haben unsere Provision bekommen; das war diesmal wirklich ein guter Deal. Und eigentlich war ja letzte Woche auch schon alles gesagt. Wir bringen trotzdem nochmal ein Update. Ein Hype ist eben ein Hype.

Komplett entschlüsselt · DRadio Wissen

DRadio Wissen – Hielscher oder Haase vom 18.07.2016 (Moderation: Diane Hielscher)

P.S. @Onliner: Wie erwähnt hat der Pokemon-Hasser in Texas nicht nur gedroht, er wolle Pokemon-Sammler „zusammenschlagen“, sondern eliminieren, ausradieren, wegsäubern. („purge“) – hab ich selbst falsch gesagt in der Live-Sendung 🙂

Verschlüsselung bei Android-Geräten mit Qualcomm-Chip lässt sich aushebeln

Wenn ein Unbefugter erst einmal physischen Zugriff auf einen Computer hat, dann steht es schlecht um die heiklen Daten des Eigners – und naturgemäß ist es bei einem Mobilgerät sehr viel wahrscheinlicher als beim PC daheim, dass dieser Fall eintritt; sei es durch einen Diebstahl oder Verlust des Gerätes, sei es bei einer Durchsuchung durch Behörden. Das Mittel der Wahl ist also Verschlüsselung – und aus Nutzersicht wäre es natürlich schön, wenn auf die entsprechenden Features des Betriebssystems dann auch wirklich Verlass wäre. Ganz anders sehen dies wiederum die erwähnten „Autoritäten“ – und fordern wie auch immer geartete Zweitschlüssel, Hinter- oder Vordertüren.

Eine bewusste, eingebaute Schwächung des Sicherheitskonzepts geht letztendlich immer nach hinten los, lautet das Gegenargument von Kryptografieexperten und Firmen wie Apple. Eine hübsche, für Android-Nutzer allerdings unerfreuliche Demonstration dafür liefert der israelische IT-Experte Gal Beniamini – offenbar haben die Programmierer der Full-Disk-Encryption-Umsetzung in Geräten mit Qualcomms Snapdragon-Plattform bewusst darauf verzichtet, beim Verschlüsselungsprozess einen individuellen Hardware-Schlüssel unmittelbar einzubinden. Stattdessen laufen die Schlüsselerzeugung und -management in einem speziellen Bereich, dem „Qualcomm Secure Execution Environment“ (QSEE) ab, was möglicherweise mehr Flexibilität bei der Kommunikation mit Apps und Gerätefunktionen schafft, aber einen gewaltigen Nachteil hat: Das „Allerheiligste“ der Verschlüsselung liegt in Software, nicht in Hardware vor – und lässt sich per Softwarezugriff aus dem Gerät extrahieren.

Wie Beniamini plausibel mutmaßt, könnte es für die konzeptuelle Schwäche einen einfachen Grund geben: Sie eröffnet die Möglichkeit, wenn nicht für Qualcomm selbst, so doch für die OEM-Hersteller, Behörden notfalls bei der Entschlüsselung eines gesperrten Gerätes behilflich zu sein. Eine potentielle Hintertür also, die sich dummerweise aber auch von Hackern aufsperren lässt. Das QSEE ist fehlerhaft implementiert und lässt sich per manipulierter App und Rechte-Ausweitung knacken – damit hat man Zugriff auf den Masterkey und muss diesen lediglich noch per Brute-Force entschlüsseln. Für Behörden eh kein Problem, für Privatleute in Zeiten von Hashcat oder Cloud-Diensten auch nicht mehr.

Auch bei dieser Lücke kommt das leidige Android-Updateproblem verschärfend hinzu – wer Wert auf die Sicherheit seiner Mobilgerätdaten legt, ist wahrscheinlich mit einem Apple-Produkt besser bedient. Wobei ganz klar gesagt werden muss – es ist ja auch für einen Android-Hersteller nicht grundsätzlich unmöglich, die Schotten dicht(er) zu machen. Man muss es aber auch wollen (und dürfen 🙂 )…

Android: Full-Disk-Verschlüsselung lässt sich aushebeln – SPIEGEL ONLINE

Spiegel Online – Netzwelt vom 04.07.2016