Schlagwort-Archive: Security

Pokémon Go: Monsterhype mit kleinen Kollateralschäden

Dass die Leute im richtigen Leben nicht mehr so ernsthaft anwesend, sondern stattdessen im Cyberspace unterwegs sind, das ist ja mittlerweile völlig normal. Also zumindest in dem gewohnten Ausmaß – wenn sie whatsappen, twittern oder navigieren. Aber wenn nun massenhaft an sich harmlos aussehende Zeitgenossen auf Plätzen herumlungern oder komisch hin und her laufen, hinter Bushalte-Wartehäuschen gucken, in trostlose Sackgassen hineinspazieren oder auf Privatgrundstücke vordringen, immer mit starrem Blick auf das Smartphone-Display, und wenn sie dabei ab und zu rasche Wischbewegungen machen – dann ist das keine neue Zombie-Seuche, sondern „nur“ Pokemon Go.

Ein „Augmented Reality Game“, ein Spiel also, in dem die künstliche in die reale Welt eingeblendet wird – und schon ein paar Tage nach dem Launch steht fest: Der Erfolg toppt alles dagewesene, auch den Erfolg des beliebten AR-Vorgängers Ingress. Beim an sich lobenswerten und potentiell gesundheitsfördernden Herumwandern auf der Suche nach virtuellen Monstern und Monsterfang-Bällen (oder nach sonst was…) lauern allerdings überall reale Gefahren: Knochenbrüche, Leichenfunde, Autocrashs, Überfälle und vielleicht sogar schießwütige Hauseigner (oder Rassisten…) – daneben nehmen sich die üblichen Abzocker und Malware-Verbreiter schon wieder harmlos aus. Selbstverständlich 🙂 treibt das Spiel auch Schindluder mit der Gamer-Sicherheit und -Privacy.

Aber all das kann einem richtigen Hype natürlich nichts, aber auch rein gar nichts anhaben. Ob auch IS-Kämpfer schon den possierlichen Tierchen nachjagen, ist bislang nicht bekannt, vor Ort sind die Monster aber schon allemal.

Pokémon Go: Monsterhype um Pikachu und Co · DRadio Wissen

DRadio Wissen – Hielscher oder Haase vom 11.07.2016 (Moderation: Till Haase)

Verschlüsselung bei Android-Geräten mit Qualcomm-Chip lässt sich aushebeln

Schreibe eine Antwort

Wenn ein Unbefugter erst einmal physischen Zugriff auf einen Computer hat, dann steht es schlecht um die heiklen Daten des Eigners – und naturgemäß ist es bei einem Mobilgerät sehr viel wahrscheinlicher als beim PC daheim, dass dieser Fall eintritt; sei es durch einen Diebstahl oder Verlust des Gerätes, sei es bei einer Durchsuchung durch Behörden. Das Mittel der Wahl ist also Verschlüsselung – und aus Nutzersicht wäre es natürlich schön, wenn auf die entsprechenden Features des Betriebssystems dann auch wirklich Verlass wäre. Ganz anders sehen dies wiederum die erwähnten „Autoritäten“ – und fordern wie auch immer geartete Zweitschlüssel, Hinter- oder Vordertüren.

Eine bewusste, eingebaute Schwächung des Sicherheitskonzepts geht letztendlich immer nach hinten los, lautet das Gegenargument von Kryptografieexperten und Firmen wie Apple. Eine hübsche, für Android-Nutzer allerdings unerfreuliche Demonstration dafür liefert der israelische IT-Experte Gal Beniamini – offenbar haben die Programmierer der Full-Disk-Encryption-Umsetzung in Geräten mit Qualcomms Snapdragon-Plattform bewusst darauf verzichtet, beim Verschlüsselungsprozess einen individuellen Hardware-Schlüssel unmittelbar einzubinden. Stattdessen laufen die Schlüsselerzeugung und -management in einem speziellen Bereich, dem „Qualcomm Secure Execution Environment“ (QSEE) ab, was möglicherweise mehr Flexibilität bei der Kommunikation mit Apps und Gerätefunktionen schafft, aber einen gewaltigen Nachteil hat: Das „Allerheiligste“ der Verschlüsselung liegt in Software, nicht in Hardware vor – und lässt sich per Softwarezugriff aus dem Gerät extrahieren.

Wie Beniamini plausibel mutmaßt, könnte es für die konzeptuelle Schwäche einen einfachen Grund geben: Sie eröffnet die Möglichkeit, wenn nicht für Qualcomm selbst, so doch für die OEM-Hersteller, Behörden notfalls bei der Entschlüsselung eines gesperrten Gerätes behilflich zu sein. Eine potentielle Hintertür also, die sich dummerweise aber auch von Hackern aufsperren lässt. Das QSEE ist fehlerhaft implementiert und lässt sich per manipulierter App und Rechte-Ausweitung knacken – damit hat man Zugriff auf den Masterkey und muss diesen lediglich noch per Brute-Force entschlüsseln. Für Behörden eh kein Problem, für Privatleute in Zeiten von Hashcat oder Cloud-Diensten auch nicht mehr.

Auch bei dieser Lücke kommt das leidige Android-Updateproblem verschärfend hinzu – wer Wert auf die Sicherheit seiner Mobilgerätdaten legt, ist wahrscheinlich mit einem Apple-Produkt besser bedient. Wobei ganz klar gesagt werden muss – es ist ja auch für einen Android-Hersteller nicht grundsätzlich unmöglich, die Schotten dicht(er) zu machen. Man muss es aber auch wollen (und dürfen 🙂 )…

Android: Full-Disk-Verschlüsselung lässt sich aushebeln – SPIEGEL ONLINE

Spiegel Online – Netzwelt vom 04.07.2016

Internet der Dinge – Internet der Sicherheitslücken

Schreibe eine Antwort

Der Kotflügel im Hochregal bei VW, der Stromzähler an der Wohnungstür, die Milchtüte im Kühlschrank: Im Internet der Dinge greift alles effizient ineinander – da bestellen sich Artikel automatisch nach, wenn sie zur Neige gehen, Maschinen gehen an, wenn der Strompreis gerade billig ist. Und die Windel meldet sich, wenn das Baby reingemacht hat. Laut übereinstimmender Diagnose aller interessierter Kreise ist Industrie 4.0 (dabei sind die .nuller-Releases doch bekanntlich immer buggy!) und das IoT bzw. IdD absolut unverzichtbar und der absolute Mega-Bringer. (Zumindest für alle interessierten Kreise…)

Wäre nur auch schön, wenn die (ökonomisch…) interessierten Hersteller das gleiche Interesse auch für die banalsten Sicherheitsbelange ihrer Kunden aufbrächten. Die ja gar nicht auf die Idee kommen, dass jetzt plötzlich in jedem Kühlschrank oder Fernseher Gefahren lauern. Von Seiten wiederum interessierter Kreise, die entweder nur ihr Mütchen kühlen, oder aber ganz schmerz- und moralfrei Kohle abzocken wollen. Und schließlich sind auch interessiert die Anbieter von Sicherheitssoftware und -lösungen, die Good Guys, die die Angriffe der bösen Buben abwehren helfen. Eine Win-Win-Win-Situation also.

Nur ob der Zahlmeister, der Endkunde das ganze Zeugs eigentlich wirklich völlig unverzichtbar braucht, das ist noch die Frage. Die stellt sich aber nur für die Ewiggestrigen, versteht sich.

Internet der Dinge – Internet der Sicherheitslücken · DRadio Wissen

DRadio Wissen – Schaum oder Haase vom 27.06.2016 (Moderation: Till Haase)

Teuflisch guter Phishing-Versuch von „bsi@ffpr.de“

Schreibe eine Antwort

Jetzt habt ihr mich doch fast drangekriegt. Mit einer maßgeschneiderten Email. Fehlerfrei formuliert. Persönliche Ansprache. Thematisch passend zu meinem beruflichen Interest-Profil (und auch noch inhaltlich passend zur teuflischen Absicht, wie feinsinnig…). Natürlich mit entsprechenden Links, auf die man nur noch sorglos draufklicken muss. Ich bring die Mail hier mal im Zitat – aber Achtung, bloß nirgendwo draufklicken!!!!

Sicherheitsrisiko: E-Zigarette als trojanisches Pferd kann Computervirus einschleusen

Bonn, 30. Mai 2016 – Pünktlich zum Weltnichtrauchertag am 31. Mai weist das Bundesamt für Sicherheit in der Informationstechnik (BSI) darauf hin, dass das Rauchen einer E-Zigarette nicht nur für die Gesundheit, sondern auch für den Computer schädlich sein kann: Werden die E-Zigaretten per USB mit Computern verbunden, können diese zum Einfallstor von Schadprogrammen werden.

Die meisten Computernutzer wissen heute zumindest theoretisch über die größten Gefahrenquellen wie verseuchte E-Mails oder infizierte Websites Bescheid. Cyber-Kriminelle sind jedoch erfindungsreich und können selbst mit einer E-Zigarette einen Schadcode in einen Computer einschleusen. Der Einstiegspunkt ist dabei der USB-Anschluss. Denn eine E-Zigarette muss wie jedes elektrische Gerät von Zeit zu Zeit geladen werden. Dabei bietet sich aus Komfortgründen der USB-Port des Rechners an, da dieser nicht nur Daten übertragen, sondern auch Geräte mit Strom versorgen kann. Wird nun in einem Gerät mit USB-Stecker ein Mikrochip versteckt, der einen schädlichen Code enthält, kann dieser über den USB-Port direkt in den Rechner gelangen, und zwar ohne von einer Firewall aufgehalten zu werden. Dies gelingt vor allem dann, wenn das USB-Gerät vom Computer als Haupteingabegerät wie beispielsweise die Tastatur erkannt wird, da diese oft umfangreiche Zugriffsrechte besitzt.

Um sich vor dieser Angriffsart zu schützen, sollten Nutzer keine USB-Geräte unbekannter oder zweifelhafter Herkunft mit ihrem Computer verbinden. Das gilt für USB-Sticks ebenso wie für beliebte Schreibtisch-Gadgets wie Mini-Ventilatoren im Sommer oder eben die E-Zigarette. Um das Risiko einer Infektion zu vermeiden, empfiehlt es sich, ein USB-Ladegerät anzuschaffen, das einfach klassisch an die Steckdose angeschlossen wird – und den Computer nur mit wirklich vertrauenswürdigen Geräten zu verbinden.

Weitere Informationen zum Thema finden Sie unter:
https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Schadprogramme/Infektionsbeseitigung/infektionsbeseitigung_node.html
Pressekontakt:
Bundesamt für Sicherheit in der Informationstechnik Pressestelle
Tel.: 0228-999582-5777
E-Mail: presse@bsi.bund.de <mailto:presse@bsi.bund.de>
Internet: www.bsi.bund.de <http://www.bsi.bund.de>
Kontakt BSI Themendienst:
Fink & Fuchs Public Relations AG
Berliner Straße 164
65205 Wiesbaden
Tel.: 0611 / 74 131 – 0
E-Mail: bsi@ffpr.de <mailto:bsi@ffpr.de>
Wenn Sie in Zukunft keine E-Mail-Nachrichten des BSI-Themendienstes erhalten möchten, teilen Sie uns das bitte mit, indem Sie hier <mailto:bitdefender@ffpr.de?subject=Abmelden> klicken.

Nicht schlecht, was?? Trojanisches Pferd mit ner E-Zigarette, was? Hehe! Aber nicht mit mir, Brüder! Warum um alles in der Welt sollte das BSI Pressemitteilungen an einen Dienstleister auslagern, warum um alles in der Welt sollte die Mail nicht von presse@bsi.bund.de kommen (vielleicht sogar mit ner digitalen Signatur), sondern von einer obskuren PR-Agentur (mit einer zugegebenermaßen super-gefaketen und passenden Website, auf der die angeblichen Kunden aufgelistet sind…)? Aber die letzte Hürde habt ihr dann doch gerissen, da habt ihr euch dann doch verraten, Brüder! Abmelden vom BSI-Themendienst über die Emailadresse bitdefender@ffpr.de ? Ja klar! War echt ein guter Versuch. Aber nicht mit einem Computer-Vollprofi wie mir!! Outlook hat eure Phishing-Mail eh in den Spam-Ordner reingepackt.

Dringender Rat an Windows-Nutzer: QuickTime deinstallieren!

Schreibe eine Antwort

Dass in Software Fehler drin sein können, ist nichts Neues. Dass bestimmte Fehler, bestimmte Sicherheitslücken dazu führen können, dass man sich beim Surfen im Netz Schadsoftware einfängt oder im schlimmsten Fall der Rechner gehackt wird, ist auch normal und ein Dauerthema. Und deswegen muss man halt möglichst regelmäßig nach Updates Ausschau halten – und die dann auch installieren. Dumm nur, wenn es für eine ziemlich verbreitete Software keine Updates mehr gibt – und gleichzeitig (mindestens…) zwei happige Sicherheitslücken wie ein Scheunentor offenstehen.

Genau das ist der Fall gerade bei QuickTime, dem Multimedia-Codecpaket von Apple. Und deswegen lautet jetzt auf einer Vielzahl von Tech-Webseiten die ganz klare Parole: Windows-Nutzer sollten QuickTime deinstallieren – und zwar sofort. Auch das Department of Homeland Security hat diese Empfehlung gestern verbreitet, nachdem die Sicherheitsfirma Trend Micro in einem Blogartikel auf die Lücken und den fehlenden Support von Apple hingewiesen hatte.

Dass der Konzern sein „Kind“ offenbar auf der Windows-Plattform schon lange nicht mehr liebt und jetzt völlig aufgegeben hat, ist ja eine legitime Entscheidung – nur dann sollte Apple zumindest auch Verantwortung übernehmen und Klartext reden – und die jetzt potentiell gefährliche Waisen-Software nicht mehr kommentarlos auf der Website oder per Apple-Update zum Download anbieten. Von diesem Verbreitungsweg einmal abgesehen – am ehesten werden Anwender QuickTime auf ihren PCs haben, die sich mit Audio- und Videobearbeitung beschäftigen. Und möglicherweise gibt es bei einer Deinstallation Fehlermeldungen, oder manche ältere Programme laufen gar nicht mehr. Das ist dann eine Nutzen-Risiko-Abwägung. Notfalls bzw. sicherheitshalber kann man das alte Zeug ja auch in einer virtuellen Maschine weiterbetreiben…

DRadio Wissen – Schaum oder Haase vom 15.04.2016 (Moderation: Till Haase)

Nachklapp 18.04.2016 – Gerade Multimedia-Programme von Adobe setzten bislang auf QuickTime als Unterbau – das Unternehmen hat nun angekündigt, diese Abhängigkeiten demnächst durch Updates zu beseitigen.

KeRanger: Erste funktionstüchtige Ransomware für Mac OSX

Schreibe eine Antwort

Jetzt geht die Verschlüsseln-und-Erpressen-Masche auch bei den Besitzern von Mac-Rechnern los – logisch eigentlich, denn wer eher zu einem schicken Apple-Modell als zum schnöden PC von der Stange greift, beweist Geschmack und Solvenz. Da wird doch noch ein Bitcoinchen für irgendeinen freundlichen Cyber-Gangster in Russland drin sein, das Leben dort ist schließlich hart und freudlos.

Dass sich die Eigner von Mac OSX-Geräten zurecht etwas weniger Sorgen gemacht haben, heißt nicht, dass sie per se sorgloser sind – auch bei der Infektion eines PCs mit Ransomware ist ja in den allermeisten Fällen etwas „Mithilfe“ des Users nötig. Wenn die Schadsoftware dann auch noch huckepack mit dem Update eines an sich vertrauenswürdigen Programms auf den Rechner kommt, kann man den Opfern eigentlich gar keine Mitschuld mehr vorwerfen. Und so lautet denn die Devise auch hier: das Einzige, was hilft, sind Backups. Möglichst vollständige, möglichst aktuelle.

Besonders gemein: So schöne und bequeme Dinge wie eine Time Machine oder die Hintergrund-Datensicherung in die Cloud machen bei einem Ransomwarebefall die Sache unter Umständen noch schlimmer – die werden nämlich mitverschlüsselt, und beim nächsten Synchronisieren mit einem Zweitgerät ist dort dann auch alles top secret. Die einzige Lösung ist also ein Backupmedium, das nur zum Sichern angestöpselt wird. Ich korrigiere: Mehrere solche Backupmedien natürlich.

IT-Sicherheit: Auch Macs sind bedroht · DRadio Wissen

DRadio Wissen – Schaum oder Haase vom 07.03.2016 (Moderation: Till Haase)

Führerschein und Registrierungspflicht für Drohnen-Piloten

Schreibe eine Antwort

Für die einen sind sie ein nerdiges Spielzeug, für die anderen eine preiswerte Alternative zum Helikopter-Einsatz. Aber ganz klar – die ferngesteuerten unbemannten Flugobjekte bergen auch einiges Gefahrenpotential in sich. Im einfachsten Fall stürzen sie unbeabsichtigt auf Personen ab – mit u.U. fatalen Folgen. Oder sie verletzen die Privatsphäre anderer Mitmenschen; und nicht jeder Betroffene hat eine Schrotflinte griffbereit. Sehr angesagt ist offenbar derzeit der Drohnenflug über Gefängnismauern hinweg, um Insassen mit Mobiltelefonen, Drogen oder Waffen zu versorgen. Und letztlich kann eine Drohne natürlich auch eine Bombe als „Nutzlast“ ans Ziel tragen.

https://youtu.be/dQOScWiIQ60?t=113

Ob die Personenschützer von Bundeskanzlerin Angela Merkel seit dem „Angriff“ durch die Piratenpartei im Jahr 2013 mittlerweile ein wirksames Abwehrmittel im Arsenal haben, das bleibt Geheimsache.

Nicht mehr geheim, sondern in Prinzip auch nachvollziehbar sind dagegen die Pläne des Verkehrsministeriums zur Regulierung der Drohnen-Fliegerei – auch wenn angesichts der Registrierungspflicht noch Fragen offen bleiben.

DRadio Wissen: Kommt der Drohnenführerschein?

DRadio Wissen – Schaum oder Haase vom 9.11.2015 (Moderation: Marlis Schaum)

Wie verwundbar ist das Internet?

Schreibe eine Antwort

Nicht allzu sehr, sondern im Gegenteil ziemlich unkaputtbar – so würde eigentlich die spontane Antwort lauten. Denn genauso ist das Netz ja ursprünglich konzipiert worden, als militärisches Kommunikations-Projekt: Die Informationen laufen nicht als Punkt-zu-Punkt-Verbindung, sondern suchen sich im Zweifelsfall ihren Weg selbst; wenn eine Route gekappt wird, dann wird auf eine Alternativstrecke umgeroutet. So weit, so (theoretisch…) gut.

Praktisch gesehen gibt es zum einen höchst neuralgische Strecken – die interkontinentalen Unterseekabel z.B., die ja denn auch im besonderen Fokus von staatlichen Akteuren stehen. Aber auch mit der Redundanz der Landverbindungen ist es u.U. gar nicht so weit her – im ungünstigsten Fall liegen die Kabel unterschiedlicher Provider im gleichen Schacht.

Um das Risikopotential abschätzen zu können, bräuchte man zu allererst eine verlässliche und umfassende Karte der Internet-Verbindungsstrecken – die gab es bislang selbst im Mutterland des Netzes nicht. Paul Barford, Professor an der Universität Wisconsin hat die Topologie jetzt in vierjähriger Arbeit zusammengetragen – mit finanzieller Unterstützung des Department of Homeland Security (DHS). Und aus naheliegenden Gründen kann die Karte auch nur mit DHS-Segen eingesehen werden: Für potentielle Angreifer wäre sie ein gefundenes Fressen; natürlich soll sie aber im Gegenteil dazu dienen, besonders gefährdete Strecken besser abzusichern.

Dafür plaudern bei der NYT andere Experten aus dem Nähkästchen: Die Knotenpunkte, die „Internet exchange points“ (IXPs), an denen nationale und internationale Netz-Verbindungen zusammenlaufen, sind teilweise in völlig ungesicherten, antiken Gebäuden untergebracht – in alten Telegrafenstationen zum Beispiel. Auch wenn Tarnung durch Unscheinbarkeit ja auch irgendwie eine Idee ist – richtig vertrauenserweckend ist das nicht, dass es für IXPs im Gegensatz zu Cloud-Datencentern praktisch keine Sicherheits-Vorschriften gibt.

Fazit: das Netz ist vielleicht gar nicht so unkaputtbar wie theoretisch gedacht und gemeinhin postuliert. Welche Folgen ein durchschlagender Angriff auf die Internet-Infrastruktur hätte, das kann man aufgrund realer Mini-Pannen nur recht ansatzweise erahnen – tatsächlich würde im schlimmsten Fall ein weitgehender Total-Aufall jeglicher Kommunikation, Organisation und Information drohen, dazu ein Ausfall von Geräten vom Smartphone bis zum Kraftwerk.

Zum Glück hinken reale Terroristen bislang den Film-Bösewichten an Effizienz und Know-How noch weit hinterher. Aber das muss ja nicht zwangsläufig immer so bleiben.

DRadio Wissen – Schaum oder Haase vom 9.11.2015 (Moderation: Marlis Schaum)

Image-Kratzer bei Apple: Verseuchte Software im offiziellen App-Store

Schreibe eine Antwort

Sündenfall oder die erwartbare Landung auf dem Boden der Tatsachen? Zum ersten Mal hat es den offiziellen „App Store“ von Apple so richtig erwischt: Dutzende, vielleicht sogar hunderte Progrämmchen dort sind mit Schadsoftware verseucht – obwohl das Unternehmen doch jede App und jedes Update prüft und dann erst freigibt.

Das ist diesmal wohl schiefgegangen – und ausgerechnet in Apps, die extrem populär sind, steckt Malware – wie etwa in der chinesischen WhatsApp-Alternative WeChat. Das Stichwort „China“ liefert aber auch schon die Erklärung: Offenbar haben eine ganze Reihe von chinesischen Herstellern bzw. Programmierern ihre Apps nicht mit der offiziellen dafür vorgesehenen Software Xcode von Apple erstellt – sondern mit einer Xcode-Version von einem obskuren chinesischen Server – die „leider“ mit der Schadsoftware XcodeGhost verseucht war.

Angesichts der Tatsache, dass das Original-Apple-Xcode für Entwickler gratis ist, klingt das absurd – aber es gibt eine plausible Erklärung: Die „Great Firewall“, die die chinesischen Zensoren um das Land gezogen haben, macht Netzverbindungen ins Ausland extrem langsam – da greift man halt gern auf schnellere Inlands-Quellen zurück. Keine gute Idee.

Apple hat das Problem inzwischen eingestanden und – jedenfalls „nach bestem Wissen und Gewissen“ alle verseuchten Apps aus dem Store geschmissen. Anwender sollten die betroffenen Applikationen ebenfalls löschen bzw. die „sauberen“ Updates einspielen – und „eigentlich“ sollte man auch sicherheitshalber alle eventuell abgegriffenen Passwörter (iCloud? iTunes?) ändern, obwohl ja inzwischen der angebliche XcodeGhost-Programmierer die ganze Sache als Experiment bezeichnet hat und die erbeuteten Daten gelöscht haben will.

Auf jeden Fall ist das „Experiment“ gründlich „geglückt“: Apples Nimbus ist lädiert und XcodeGhost liefert möglicherweise die Blaupause für kommende Angriffe auf iOS-Apps. Auch wenn Android mit seinen noch weniger kontrollierten Download-Quellen nach wie vor noch unsicherer ist 🙂 …

DRadio Wissen · Apple: Verseuchte Apps im offiziellen App-Store

DRadio Wissen – Schaum oder Haase vom 21.9.2015 (Moderation: Till Haase)

Deutschlandfunk: Apple – Verseuchte Software gelangt in den App Store

Deutschlandfunk – Forschung aktuell vom 21.9.2015 (Moderation: Monika Seynsche)

Das Bundestagsnetz ist wieder online – und soll jetzt sicherer werden

Schreibe eine Antwort

Es ist zwar ein bisschen abgedroschen – das Bild vom GAU, vom „größten anzunehmenden Unfall“- aber wenn fremde Mächte jeden Buchstaben und jedes Komma, jedes Bit und Byte des obersten deutschen Volkssouveräns, der deutsche Bundestagsabgeordneten mitlesen oder mithören können, dann kann man schon sagen: „schlimmer geht’s nimmer“.

Aber jetzt soll alles besser werden – vorausgesetzt die Abgeordneten stimmen den Vorschlägen von T-Systems zu. Und lassen ihre FSB-verseuchten USB-Sticks zuhause 🙂 …

DRadio Wissen – Schaum oder Haase vom 11.9.2015 (Moderation: Till Haase)