RSS-Logo Die Newsbeiträge können Sie auch als RSS-Feed abonnieren.

Aktuelle Tweets

Currently deactivated

Twitter-Logo @pbrunst auf Twitter

Digitale Strafen

10. Dezember 2011

Dass Handlungen im Cyberspace sehr reale Strafen nach sich ziehen können (z.B. Geld- oder Gefängnisstrafen), dürfte inzwischen auch dem letzten Computerstraftäter klar sein – auch wenn die Täter (zum Teil zu Recht) davon ausgehen, dass die Chancen, entdeckt zu werden, in der Regel recht gering sind. In England wird jetzt über weitere Strafmaßnahmen nachgedacht.

In der UK Cyber Security Strategy wird u.a. ausgeführt, dass Richter in England ermutigt werden sollen, zukünftig bei online begangenen Straftaten (neben den regulären Strafen) verstärkt auch Online-Sanktionen zu verhängen. Hierzu gehören z.B. die Überwachung oder Einschränkung des Internetverkehrs nach der Haftentlassung, etwa um zu verhindern, dass eBay-Betrüger Online-Auktionen nutzen oder dass Cyber-Stalker zum Schutz der Allgemeinheit nur eingeschränkten Internetzugang erhalten. Diese Maßnahmen sind bereits nach geltendem britischen Recht möglich.

Darüber hinaus sollen zukünftig so genannte “cyber-tags” eingeführt werden. Darunter versteht die Regierung offenbar bestimmte Verhaltensweisen einer verurteilten Person im Internet, die Indikator dafür sein sollen, dass diese sich nicht an die gerichtlich vorgegebenen Verhaltensweisen hält (z.B.: ein verurteilter Betrüger stellt erneut Artikel auf eBay ein, obwohl der Richter dies untersagt hat). In diesem Fall soll automatisch die Polizei oder der Bewährungshelfer informiert werden. The Register spekuliert diesbezüglich schon über Twitter- und Facebook-Verbote für einschlägige Täter.

England hatte bereits im Jahr 2010 mit der Three-Strikes-Regelung als eines der ersten Länder Online-Sanktionen eingeführt. Das Three-Strikes-Modell erlaubt es, den Internet-Zugang mehrfach ertappter Urheberrechtsverletzer zu sperren oder die Bandbreite zu drosseln, um auf diese Weise künftige Taten zu unterbinden. Auch in Frankreich gibt es seit 2009 ein derartiges Verfahren. Angeblich droht dort momentan 60 Nutzern die letzte Stufe dieses Verfahrens.

Betrachtet man die Geschwindigkeit, mit der gefordert wurde, die englischen und französischen “Innovationen” (trotz aller Kritik) auch auf Deutschland zu übertragen, so dürfte es nicht lange dauern, bis auch hierzulande die ersten Forderungen nach “Online-Sanktionen” laut werden.

Sinnvoller erscheinen da die Begleitmaßnahmen, die nach der Cyber Security Strategie ebenfalls geplant sind. So sind etwa allgemeine Informationskampagnen vorgesehen, mit der grundlegende Sicherheitsmaßnahmen der breiten Bevölkerung und in der Privatwirtschaft vermittelt werden sollen. Nach Auffassung der britischen Regierung sollen sich so bis zu 80% der gegenwärtig begangenen Online-Taten verhindern lassen:

Because prevention is key, we will work to raise awareness and to educate and empower people and firms to protect themselves online. 80% or more of currently successful attacks exploit weakness that can be avoided by following simple best practice, such as updating anti-malware software regulary.

Hierfür sollen auch soziale Netzwerke eingesetzt werden, um auf diesem Weg schnell große Teile der Bevölkerung über erkannte Gefahren aus dem Internet (z.B. Betrugsmaschen) informieren zu können.

Im Übrigen spricht sich das Vereinigte Königreich an mehreren Stellen seiner (auch sonst durchaus lesenswerten) Cyber Security Strategie dafür aus, aktiv die Cybercrime-Konvention des Europarates zu unterstützen und deren weitere Verbreitung zu fördern. Insbesondere das 24/7-Netzwerk, das eine schnelle transnationale Kontaktaufnahmen bei Cybercrime-Fällen erlauben soll, wird hervorgehoben.

Kein Cyberterrorismus (diesmal)

3. Dezember 2011

Die Meldung klang dramatisch: Hacker hätten Zugriff auf das Kontrollsystem eines örtlichen Wasserwerks erhalten und dort eine Pumpanlage zerstört.

Ob solche Angriffe möglich bzw. ob sie wahrscheinlich sind, mit welcher Intention sie ausgeführt werden und wie häufig dies in der Vergangenheit bereits der Fall gewesen ist, darüber wird sowohl in der akademischen Community als auch in Regierungskreisen weltweit seit vielen Jahren erbittert diskutiert.

Angriffe auf kritische Infrastruktur

Einigkeit dürfte zumindest dahingehend bestehen, dass viele Kontrollsysteme (sog. Supervisory Control and Data Acquisition Systems, kurz SCADA) inzwischen über das Internet angebunden sind. Die Gründe hierfür liegen häufig in finanziellen Einsparungen begründet, die dadurch entstehen sollen, dass die Administration von Industrieanlagen nicht mehr vor Ort, sondern zentral von einer Stelle aus durchgeführt werden kann. In anderen Fällen sitzt zwar Personal vor Ort, gewährt aber Wartungsfirmen einen Online-Zugriff, damit deren Personal nicht aufwändig (und kostenträchtig) anreisen muss, sondern die notwendigen Anpassungen aus der Ferne vornehmen kann. Wenn ein solcher Online-Zugriff grundsätzlich möglich ist, bietet er ein attraktives Ziel für Hacker, die weltweit versuchen können darauf zuzugreifen und dann nicht nur digitale Schäden anrichten, sondern, indem sie auf die Industrieanlage zugreifen können, auch ganz reale Belästigungen oder sogar Schäden anrichten können. Horror-Szenarien, die immer wieder diskutiert werden, sind z.B. der Zugriff auf elektronisch zu öffnende Schleusentore (um so, die dahinterliegenden Gegenden zu überfluten), die Veränderung lebenswichtiger Parameter in Krankenhäusern oder die Herbeiführung ferngesteuerter Unfälle von Flugzeugen, Eisenbahnen oder sogar Satelliten. Angesichts der aufgezeigten Möglichkeiten würden Angriffe auf SCADA-Systeme auch ein spannendes Ziel für (Cyber-)Terroristen abgeben. Ob derartige Angriffe tatsächlich bereits erfolgt sind, darüber kann man trefflich streiten – insbesondere, da die Angreifer in der Regel nicht verraten, warum sie ein bestimmtes Ziel angegriffen haben und welches Fernziel sie damit verfolgen wollten.

Im eingangs erwähnten Fall wurde zunächst bekannt, dass im SCADA-System der Wasserwerke in der Stadt Springfield, Illinois ein Pumpsystem dabei war, sich ständig an- und wieder abzuschalten, worauf dieses System endgültig kaputt ging. Dies klang ganz ähnlich wie der gegen iranische Zentrifugen eingesetzte Stuxnet-Virus, der durch Veränderungen der Umdrehungszahlen dafür gesorgt hatte, dass sich die Lebenserwartung der angeschlossenen Geräte drastisch verringert hatte. Nachdem ein Wasserwerk in Illinois staatliche Aktionen eher nicht provoziert haben dürfte, lagen kriminelle oder sogar terroristische Motive nahe.

Kein Cyberterrorismus…

Eine nähere Untersuchung des SCADA-Systems ergab, dass Online-Zugriffe aus Russland erfolgt waren. Das U.S.-“Statewide Terrorism and Intelligence Center” verfasste anschließend einen “Public Water District Cyber Intrusion” Report, der an die Öffentlichkeit geriet. Danach wurde der Zugriff als Hacking-Angriff gewertet. Die Meldung verbreitete sich wie ein Lauffeuer. In On- und Offlinemedien wurde spekuliert, wer aus welchen Gründen den ersten SCADA-Zwischenfall nach Stuxnet herbeigeführt haben könnte.

Zwischenzeitlich liegt die – eher profane – Auflösung des mysteriösen Zwischenfalls vor: Die Pumpe hat ihren Geist aufgegeben, wie es Pumpen nun einmal von Zeit zu Zeit tun. Ein schlichter mechanisch-elektrischer Fehler war offenbar der Grund. Und auch der Zugriff von der russischen IP-Adresse konnte aufgeklärt werden. Anders als zunächst angenommen, handelte es sich um keinen Hacker, sondern um den verantwortlichen Mitarbeiter der Wartungsfirma, der sich gerade zum Urlaub in Russland aufhielt, als er darüber informiert wurde, dass es im SCADA-System ein Problem gebe. Er wählte sich – legal und durchaus erwünscht – ein und untersuchte den Vorgang (ebenso wie später auch einmal per Mobiltelefon aus Deutschland) aus der Ferne. Da nicht bekannt war, dass er sich zum Zeitpunkt des Anrufs gerade in Russland aufhielt und sich von da aus einwählte, galt diese IP-Adresse als wichtigstes Indiz für die weitere Untersuchung des Falles. Nachdem sie in Verbindung mit dem Username des Mitarbeiters in den Logfiles auftauchte, lag die Vermutung nahe, dass ein Angreifer sich dieser Daten bemächtigt hatte, um von Russland aus auf das SCADA-System zuzugreifen. Interessanterweise kam jedoch niemand auf die Idee, einmal bei dem betreffenden Mitarbeiter nachzufragen, von wo aus er sich eingeloggt hatte oder ob es eine andere plausible Erklärung für den Login-Vorgang gab. Andernfalls hätte sich die gesamte Geschichte innerhalb von fünf Minuten aufklären können, statt diverse Strafverfolgungs- und Anti-Terrorbehörden sowie die Presse zu beschäftigen.

Interessanterweise scheinen die im “Statewide Terrorism and Intelligence Center” zusammengeschlossenen Behörden ihren Fokus bei der aktuellen Aufklärung des Falles nicht darauf zu legen, warum ein Report ohne Hinweis auf seine Vorläufigkeit der Einschätzung erfolgt ist, oder warum niemand auf die naheliegende Idee gekommen ist, den Betroffenen zu kontaktieren. Auch keine Frage scheint es zu sein, warum überhaupt ein Report zusammengestellt worden ist, nachdem sich herausgestellt hat, dass die Fehlfunktion der Pumpe mit dem SCADA-System überhaupt nichts zu tun hatte, sondern es sich offenbar um eine elektrisch-mechanische Fehlfunktion gehandelt hat. Ziel Nummer eins ist es ganz offiziell stattdessen herauszufinden, wie es sein kann, dass der Report des Centers einem Unbefugten in die Hände gefallen ist. Spätestens seit Wikileaks sollte das eigentlich nichts ganz Ungewöhnliches mehr sein…

… aber auch keine Entwarnung

Ist mit der Auflösung dieses Falles die Gefahr gebannt? Eher nicht. Der ganze Vorfall zeigt, dass auch in sensiblen Bereichen der sog. kritischen Infrastruktur Zugriffe über das Internet möglich sind. Zumindest in einigen Fällen sind SCADA-Systeme nur unzureichend gesichert und verfügen zum Beispiel über festkodierte Passwörter. Angriffe werden damit übermäßig leicht gemacht. Dies versucht offenbar auch der Hacker “Pr0f” zu beweisen, der vier Screenshots von Steuerungsanlagen veröffentlicht hat, um zu zeigen, dass auch andere SCADA-Systeme anfällig für Angriffe sind. Einige Systeme sollen von Passwörtern geschützt sein, die lediglich aus drei Zeichen bestanden, was Angreife übermäßig erleichtern würde.

Derartige Einfallstore belasten nicht nur die Unternehmen selbst oder (bei kritischer Infrastruktur) auch die Kunden bzw. die Bevölkerung, sondern sie sind auch relevant für die Verteidigung eines Staates. Cyber-Komponenten sind bei militärischen Auseinandersetzungen kaum noch wegzudenken und sind daher nicht nur für Hacker oder Terroristen, sondern auch für fremde Staaten ein interessantes Angriffsziel. Die am Donnerstag abgeschlossene deutsche länderübergreifende Krisenmanagement-Übung “LÜKEX” war aus diesem Grund auch darauf ausgerichtet, ein Angriffsszenario auf die IT-Infrastruktur zu simulieren. Wie in Deutschland auf einen derartigen Fall reagiert würde, wird allerdings erst Mitte 2012 feststehen, wenn die Auswertung der LÜKEX 2011 abgeschlossen ist. So lange wird die Auswertung der 18 Monate lang geplanten Aktion dauern.

Berichte über Staatstrojaner = Strafvereitelung?

22. Oktober 2011

Nach einem Bericht der Mitteldeutschen Zeitung soll ein Gutachten des Wissenschaftlichen Dienstes des Bundestages es für “nicht ausgeschlossen” halten, dass die Veröffentlichung des sog. Staatstrojaners durch den CCC als Tathandlung einer Strafvereitelung zu bewerten ist.

Nach § 258 StGB macht sich strafbar, wer absichtlich oder wissentlich ganz oder zum Teil vereitelt, dass ein anderer wegen einer rechtswidrigen Tat bestraft wird. Aufgerufen wird hierfür eine Freiheitsstrafe von bis zu fünf Jahren oder Geldstrafe. Dass die Handlung des CCC jedoch so zu bewerten ist, erscheint mehr als zweifelhaft. Zum einen müsste es der Verein gewusst und gewollt haben, dass ein anderer bestraft wird (sog. Vorsatz), oder dies zumindest billigend in Kauf genommen haben. Angesichts der Tatsache, dass hierfür die Tat zumindest auf einen konkreten Fall zugeschnitten sein müsste, wird sich dieser Nachweis wohl kaum führen lassen.

Zudem wäre die Argumentation recht gewagt, dass das Verhindern einer strafprozessualen Ermittlungsmaßnahme dazu führt, dass ein anderer nicht bestraft werden kann, denn die Quellen-TKÜ wird ja durchgeführt, um überhaupt erst beurteilen zu können, ob sich ein anderer strafbar gemacht hat. Festgestellt wird dies in dem darauf folgenden Strafverfahren – das Gericht kann dies also durchaus anders beurteilen als die Staatsanwaltschaft oder die Polizei. Ob also die vom CCC (möglicherweise) vereitelten laufenden Einsätze des Staatstrojaner gegen Personen eingesetzt wurden, die sich tatsächlich rechtswidrig verhalten haben oder ob möglicherweise nur ein solcher Anschein bestand, der sich aber durch die Maßnahme nicht weiter bestätigt, kann gegenwärtig noch gar nicht abgesehen werden. Zwischen der Aufdeckung des “Staatstrojaners”, den Auswirkungen auf die Ermittlungen und der letztendlichen Strafverfolgung liegen also noch ziemlich große Gräben, die man argumentativ erst einmal in Verbindung bringen müsste (und diese Zusammenhänge müsste zudem vom CCC wie erwähnt auch konkret beabsichtigt oder zumindest billigend in Kauf genommen worden sein).

Die Mitglieder des CCC, die für die Aufdeckung des Staatstrojaners verantwortlich gezeichnet haben, dürften also auch weiterhin gut schlafen können.

Staatstrojaner

10. Oktober 2011

Der Chaos Computer Club (CCC) hat einen “Staatstrojaner” (mit diesem Begriff soll offenbar klargestellt werden, dass es sich nicht (zwingend) um einen “Bundestrojaner” handelt) in die Finger bekommen und ausgiebig analysiert. Das Ergebnis fällt (erwartungsgemäß) katastrophal aus:

Der Einsatz von AES in dem gezeigten katastrophalen Gesamtumfeld – ohne Session-Keys, mit ECB, und nur in eine Richtung – deutet auf Ausschreibungen im öffentlichen Sektor hin, bei denen AES gefordert wurde, aber der Rest nicht spezifiziert war. Mehr als einen Bonuspunkt in der B-Note können wir hier leider nicht vergeben.

Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze keine fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.

Auf der anderen Seite sind wir erschüttert, daß ein solches System bei der Qualitätssicherung auch nur durch das Sekretariat kommen konnte.

Tatsächlich scheint es sich aber gar nicht um eine staatlich programmierte Software zu handeln, sondern um eine Entwicklung der Firma DigiTask, die staatlich lediglich lizenziert (und ggf. modifiziert) worden ist. Wie auch immer dem sei: Die Liste der gegen grundlegende Sicherheitsstandards verstoßenden Eigenschaften der Software ist in der Tat recht beeindruckend:

So ist zwar die Kommunikation des Trojaners verschlüsselt – allerdings nur die ausgehende Richtung (und das zudem offenbar nicht einmal besonders gut). Schlimmer ist allerdings, dass keine Authentifizierung stattfindet, d.h. jeder beliebige Dritte kann

  • den Trojaner übernehmen
  • sich gegenüber dem Command-and-Controlserver als Trojaner ausgeben und dort gefälschte Informationen abgeben (z.B. um einem Dritten zu Beweiszwecken falsche Inhalte unterzuschieben)
  • auf dem Rechner mit Hilfe des Trojaners beliebige Software auszuführen.

Alleine diese Tatsache ist ein gravierender Verstoß gegen § 20k BKAG (bzw. die entsprechenden landesrechtlichen Vorschriften). Danach ist die eingesetzte Software “nach dem Stand der Technik gegen unbefugte Nutzung zu schützen.” Dabei handelt es sich auch nicht nur um eine bloße Ordnungsvorschrift, sondern um die Umsetzung der verfassungsrechtlichen Vorgaben.

Weiterhin werden Daten – wie bei sonstiger Malware (und inbs. bei Botnetzen) üblich – zu einem Command-and-Controlserver ausgeleitet. Dieser steht allerdings in den Vereinigten Staaten. Neben der Frage, vor wem hier etwas verschleiert werden soll (immerhin handelt es sich um eine polizeiliche Überwachungsmaßnahme und nicht um einen transnationalen Spionageangriff), stellen sich datenschutzrechtlich einige Fragen, etwa hinsichtlich der Einhaltung von Art. 25 der Europäischen Datenschutzrichtlinie aufwirft.

Der CCC geht in seiner Analyse davon aus, dass es sich bei der Software um eine solche für eine Quellen-TKÜ handelt. Vor diesem Hintergrund wären die eingebauten Funktionen, wie etwa Screenshot-Funktionalität und ähnliches in der Tat äußerst bedenklich. Woher sich diese Annahme ableitet, wird allerdings nicht ganz klar. Denkbar wäre es evtl. daher auch, dass es sich nicht (nur) um die Software für eine Quellen-TKÜ, sondern um eine für die Online-Durchsuchung handelt. Auch dann erscheint die modulare (und richterlich nicht unbedingt kontrollierte) Erweiterbarkeit des Trojaners jedoch zumindest bedenklich. Die oben angeführten Sicherheitsmängel wären dann zudem umso bedeutender, da nicht “nur” auf die Kommunikation zugegriffen werden kann, sondern auf alle Rechnerinhalte.

Woher die Software stammt, bleibt ebenfalls offen. Es scheint aber, dass dem CCC mehrere Festplatten mit (ggf. nur schlecht gelöschten) Trojanern zur Verfügung gestellt wurden. Es soll sich bei der veröffentlichten Version jedenfalls nicht um die aktuellste Version handeln (woraus geschlossen werden kann, dass dem CCC auch aktuellere Versionen vorliegen). Dass die Software möglicherweise von einem Polizisten (oder einem Mitarbeiter der beauftragten Firma) dem CCC zugespielt wurde, ist aber eine durchaus ebenfalls in Betracht zu ziehende Möglichkeit.

Auch die Frage, welche Behörde den Trojaner eingesetzt hat, ist nicht geklärt. Die Vermutung, dass “0zapftis”, wie einige Routinen bezeichnet sind, in Richtung Süddeutschland deuten, hat sich jedenfalls heute bestätigt. Danach soll es sich um den sog. “Bayerntrojaner” handeln.

Durch die Analyse der Software dürfte der Einsatz in der gegenwärtigen Form nicht mehr möglich sein – unter anderem, da sich der Trojaner mit einer charakteristischen Sequenz meldet und damit für Virenscanner erkennbar ist. Wer daraufhin seinen Rechner besorgt untersucht, dürfte allerdings nicht (mehr) fündig werden: vor der Veröffentlichung hat der CCC das Bundesinnenministerium informiert, um den Abbruch gegenwärtig noch laufender Maßnahmen zu ermöglichen. Zumindest der CCC steht zu seinen Prinzipien und Regularien.

Den Hintern zeigen

26. September 2011

Hide my ass!” nennt sich ein populärer Anbieter scheinbarer Anonymität im Internet. “Free web proxy, surf online anonymously, hide your IP address and protect your privacy” wird vollmundig auf den Webseiten versprochen. Dass die Benutzer bei “Hide my ass” dabei aber – wie bei den meisten anderen Anbietern auch – vor allem auf das Vertrauen in den Anbieter angewiesen sind, wurde heute einmal wieder deutlich.

Drei Usern, die das VPN-Angebot von hidemyass.com genutzt hatten, wurde vom FBI vorgeworfen, an illegalen Aktionen von Anonymous und LulzSec teilgenommen zu haben. Bei einem echten Anonymisierungsdienst würde die Geschichte an dieser Stelle enden, denn weitere Daten zur Identifizierung der User lägen dann nicht vor. Nicht so aber bei hidemyass.com. Dieser Anbieter protokolliert u.a., welcher User sich wann mit welcher IP-Adresse an- und abmeldet. Mit Hilfe dieser Informationen kann dann später genau nachvollzogen werden, welche Nutzer versucht haben, ihre Spuren zu verwischen. Anonymität sieht anders aus.

Immerhin weist der Anbieter in seinen Geschäftsbedingungen darauf hin, dass Username, E-Mail-Adresse, Passwort und IP-Adressen gespeichert werden (letztere zu Zwecken der Spamvermeidung sowie um Betrugs- und andere Missbrauchsfälle aufklären zu können). Weiterhin werden Daten nicht an jedermann herausgegeben – so zumindest der Anbieter – sondern, als britisches Unternehmen, nur nach Vorlage eines dort gültigen Gerichtsbeschlusses. Andernfalls, so hidemyass.com, bestünde die Gefahr, dass man abgeschaltet oder selbst gerichtlich verfolgt würde.

In Deutschland sieht die Situation (zumindest auf dem Papier) anders aus. Besitzt ein Anbieter keine Daten, so muss er auch keine Daten herausgeben. Er kann (zumindest ohne Vorratsdatenspeicherung) auch nicht gezwungen werden, Daten zu erheben, die er nicht benötigt. In einem Bericht auf Spiegel Online wird die für diesen Fall übermittelte Antwort kurz und bündig zitiert: “Leider liegen keine Daten vor.” Eigentlich wäre ein solches Verhalten nicht nur wünschenswert, sondern (wiederum: in Deutschland) sogar verpflichtend, denn § 13 Abs. 6 TMG schreibt vor, dass die “Nutzung von Telemedien und ihre Bezahlung” anonym oder unter Pseudonym zu ermöglichen ist, “soweit dies technisch möglich und zumutbar ist.”

Auch bei deutschen Anbietern stellt sich aber die gleiche Frage, die sich die drei User auch bei hidemyass.com hätten stellen müssen: Ist der Anbieter wirklich vertrauenswürdig? Wer garantiert, dass wirklich keine Daten gespeichert werden? Dies gilt umso mehr, als hidemyass.com kein Einzelfall ist. Bereits im Jahr 2007 kamen Zweifel bei einem anderen Anbieter auf, der angab, dass alle Mails automatisch bei ihm verschlüsselt würden, und so Dritten (und damit auch Strafverfolgungsbehörden) nicht zugänglich wären. Dieser scheinbar große Schutz, der ebenfalls alleine auf dem Vertrauen in den Anbieter basierte, wurde erschüttert, als dieser für ein Gerichtsverfahren den Klartext mehrerer E-Mails seiner User vorlegen konnte. Damit war klar, dass das scheinbar sichere Verschlüsselungsverfahren einen absichtlichen und heimlichen Zugang offen lies.

Um tatsächlich einen hohen Grad an Anonymität gewährleisten zu können, sind daher Angebote, bei denen sich der User auf einen einzelnen Anbieter und dessen Vertrauenswürdigkeit verlassen muss, untauglich. Stattdessen sollten Anonymisierungsnetzwerke genutzt werden, wie z.B. Tor oder Jondonym, die von Beginn an so konzipiert wurden, dass einer oder sogar mehrere Anbieter, die kollusiv zusammenarbeiten, um die Identität des Nutzers aufzudecken, noch keinen Schaden anrichten können. Erst wenn tatsächlich alle Anbieter eines solchen Netzwerks zusammenarbeiten, können Identität von Absender und Empfänger sowie die übermittelten Daten in Einklang gebracht werden. Bei derartigen Diensten stellt sich die Vertrauensfrage dann nur noch in bedeutend geringerem Maße als bei geschäftstüchtigen Einzelanbietern.

Schwache Passwörter

10. September 2011

Für den Fall, dass jemand sein Passwort vergisst, gibt es häufig die Möglichkeit, eine Sicherheitsfrage zu hinterlegen, z.B. nach dem Mädchennamen der Mutter. Während derartige Fragen bei “Otto-Normalverbraucher” für Dritte scheinbar nicht aufklärbar sind und daher eine ausreichende Sicherheit bieten, ist dies nicht der Fall, wenn es um Prominente geht. Schmerzlich musste dies zum Beispiel Sarah Palin feststellen, als ihr Account  im Jahr 2008 gehackt und private Mails und Bilder ins Netzt gestellt wurden. Nach Angaben der Täter hat es weniger als eine Stunde gedauert, die Sicherheitsfragen mit Hilfe von Wikipedia zu beantworten und sich so ein neues Passwort zuschicken zu lassen, mit dem anschließend der Account übernommen werden konnte.

Einen neuen Tiefpunkt bei derartigen Sicherheitsabfragen hat jetzt Bruce Schneier enthüllt:

Was ist ihr bevorzugtes Internet-Passwort?

Nachdem selbst in technik-affinen Kreisen ein Großteil der Nutzer für unterschiedliche Dienste das gleiche Passwort oder zumindest nur wenige unterschiedliche benutzt, erübrigt sich jeder weitere Kommentar.

Cyberterrorismus via Twitter?

10. September 2011

In Mexiko ist ein Mann wegen Terrorismusstraftaten angeklagt worden, weil er Twitter genutzt hat. In seinen Tweets hatte der Mann behauptet, es wäre zu einem Kidnapping-Fall in einer Schule gekommen und mehrere Kinder wären dabei getötet worden. Durch die Staatsanwaltschaft ist dies als terroristische Tat gewertet worden, die darauf angelegt sei Angst und Verunsicherung unter der Bevölkerung zu verbreiten. Es hätte sich unter den Eltern der Schulkinder eine Panik entwickelt und mehrere Autounfälle hätten sich dadurch ereignet bei den Versuchen, möglichst schnell die Schule zu erreichen. Dem Täter drohen nun bis zu 30 Jahre Haft.

Derartige Folgen von einzelnen Tweets sind nicht unbekannt. Gleichwohl kritisieren die Anwälte des Beschuldigten, dass durch die Anklage das Recht auf Meinungsfreiheit gefährdet sei. Die Panik der Eltern sei in erster Linie nicht den Handlungen des Mandanten geschuldet, sondern dem andauernden Krieg gegen Drogengangs. Die Bevölkerung lebe daher ohnehin bereits in einem andauernden Stadium der Unsicherheit. Die eingetretenen Folgen seien vom Mandanten nicht beabsichtigt gewesen:

There was no intent on their part to generate this situation. They simply informed, incorrectly, but they informed.

Die Staatsanwaltschaft zeigt sich hiervon bisher unbeeindruckt und kündigt an, auch gegen andere “Cyberterroristen” zu ermitteln, die bewusst die Öffentlichkeit mis- bzw. desinformieren.

Bleibt noch abzuwarten, wie das Gericht dies einschätzt. In einem anderen Fall, in dem ein Tweet hohe Wellen geschlagen hatte, war der Täter (in England) zunächst zu 1.000 Pfund Geldstrafe verurteilt worden. In der Rechtsmittelinstanz wurde das Urteil bestätigt, wodurch weitere 2.000 Pfund an Kosten entstanden.

Typosquatting

10. September 2011

Wie häufig passiert es, dass man z.B. http://www.gogole.de eintippt, statt http://www.google.de? Derartige “Vertipper” kennt wahrscheinlich jeder. Bislang wurde dies vor allem von Firmen genutzt, die derartige Domains für sich registriert haben, um den darauf fehlgeleiteten Traffic für Werbeanzeigen zu nutzen und darüber Geld zu verdienen. Die Registrierung dieser “Vertipper”-Domains wird als “Typosquatting” bezeichnet.

Zwei Wissenschaftler haben nun derartige Domains für viele der sog. “Fortune 500 Companies”, also weltweit agierende, große Unternehmen registriert. Zweck war es allerdings nicht, Web-Traffic für Werbeanzeigen zu generieren, sondern gezielt fehlgeleitete E-Mails zu erfassen und auszuwerten. Nach sechs Monaten konnten sie knapp 20 Gigabyte Daten analysieren. Wenn man sich vor Augen führt, dass eine E-Mail üblicherweise nur wenige Kilobyte groß ist (ohne Attachments), dann kann man sich ausmalen, wie viel Datenverkehr ausgewertet werden konnte. Unter den – “abgefangen” ist hier wohl das falsche Wort – erhaltenen E-Mails befanden sich solche mit den Usernamen und Passwörtern von Angestellten, Details zur Netzwerkkonfiguration, Rechnungen und ähnliche Dokumente.

Details sind in einem Paper der beiden Wissenschaftler veröffentlicht worden. Danach waren etwa 30% der Fortune 500 Companies grundsätzlich für derartige Angriffe verwundbar. Bei ihren Recherchen fanden die Wissenschaftler zudem heraus, dass bereits einige Typo-Domains für große U.S.-Firmen von China aus registriert worden waren. Es liegt daher nahe anzunehmen, dass derartige Angriffe bereits gefahren werden.

Ein besonderes Risiko liegt hierbei vor allem darin, dass die Angriffe kaum bemerkt werden können, da kein Angriff auf die eigene Infrastruktur stattfindet. Es handelt sich also um rein passive Angriffe. Bei Vertippern in E-Mails wird meist lediglich eine Fehlermeldung empfangen, die kein weiteres Misstrauen hervorruft. Oder das Missgeschick wird aus einem Grund bemerkt kommentarlos durch den Absender korrigiert (indem die Mail an den richtigen Empfänger erneut gesendet wird). Besonders Firmen, die Subdomains nutzen (z.B. se.ibm.com für den schwedischen Teil der Firma IBM) scheinen verwundbar zu sein (etwa beim versehentlichen Weglassen des Punktes bei Registrierung von seibm.com). Von den 30 Domains, die durch die Wissenschaftler registriert wurden, bemerkte lediglich eine einzige Firma die Aktion und drohte mit einer gerichtlichen Verfolgung, falls die Domain nicht wieder freigegeben würde.

Aus Sicht der Wissenschaftler kommen vor allem zwei Möglichkeiten in Betracht, um derartige Angriffe zu verhindern. Zum einen können Firmen versuchen, mögliche Typo-Domains selbst zu registrieren. Dies wäre jedenfalls für die gängigen Vertipper möglich. Zum anderen kann der interne Netzwerkverkehr zu derartigen Domains auf der Ebene des Routers blockiert werden. Damit werden zwar keine externen Mails an die Doppelgänger-Domains blockiert, aber zumindest der interne Datenverkehr kann ausgefiltert werden.

Autos per SMS fernsteuern

8. September 2011

In neueren Autos befinden sich bekanntermaßen immer mehr elektronische Bauteile. Diese Tatsache wird bereits seit geraumer Zeit von kriminellen Tätern genutzt, etwa um den digitalen Tachostand eines Fahrzeugs unbemerkt zu manipulieren. Auf diese Weise kann zum Beispiel für ein älteres Fahrzeug ein höherer Verkaufspreis erzielt werden. Auch sonstige Veränderungen des Fahrzeugs sind grundsätzlich möglich (etwa das Heraufsetzen der vom Hersteller vorgegebenen maximalen Fahrgeschwindigkeit), setzten bisher jedoch meist einen physikalischen Zugriff auf das Auto voraus.

Neuere Fahrzeuge erlauben jedoch zunehmend drahtlose Übertragungswege. Hierfür kommen u.a. standardmäßig Bauteile zum Einsatz, die über Mobilfunkschnittstellen angesprochen werden können. Dies bietet nun ganz neue Angriffsmöglichkeiten.

Auf der letzten Blackhat Konferenz stellten iSEC Partners einen Angriff auf einen Subaru Outback vor, bei dem mittels manipulierter SMS das Alarmsystem des Fahrzeug deaktiviert, die Türen geöffnet und der Motor gestartet werden konnte.

Derartige Angriffe stehen zwar erst am Anfang und sind noch mit einer Reihe von Herausforderungen verbunden (u.a. besteht ein Problem darin, die korrekte Telefonnummer für ein gewünschtes Ziel zu finden), so dass noch nicht mit einem massenhaften Einsatz zu rechnen ist. Erste Lösungsansätze und Tools wurden jedoch offenbar auf der Blackhat bereits präsentiert. Zudem sind derartige SMS-Angriffe nicht auf Autos beschränkt, sondern können auch bei anderen Systemen zur Anwendung kommen, bei denen derartige Bauteile verbaut sind, u.a. Geldautomaten, bestimmte medizinische Geräte oder sogar Verkehrsampeln.

Eine Gegenwehr gegen derartige Angriffe dürfte sich schwierig gestalten, denn die Autobesitzer (bzw. Betreiber der anderen genannten Geräte) werden regelmäßig gar keinen Zugriff auf die Bordelektronik haben. Rufnummernfilter und ähnliche Abwehrmaßnahmen werden sich daher in vielen Fällen nur durch die Provider setzen lassen. Weiterhin setzen erfolgreiche Maßnahmen zunächst voraus, dass Angriffe überhaupt registriert werden. Bereits wegen einer fehlenden Protokollierung könnte dies jedoch schwer werden. Gleichzeitig können sich die Täter (etwa bei der Nutzung von nicht registrierten Prepaid-Telefonen) recht sicher sein, dass Angriffe nicht zu ihnen zurückverfolgt werden können.

Wardriving 2.0

14. August 2011

Wardriving ist ein alter Hut. Bewaffnet mit einem Laptop und einem GPS-Empfänger fährt man im Auto durch die Gegend, um offene (und ggf. auch gesicherte) WLANs zu finden und auf einer Karte zu dokumentieren. Da man in einige Gegenden mit dem Auto entweder gar nicht oder nur sehr auffällig gelangt, kamen schon früh einige Aktivisten auf die Idee, das Auto gegen ein Flugzeug auszutauschen. Warflying nannte sich das dann. Nun gibt es eine weitere Steigerung: zwei Sicherheitsexperten haben Warflying mit einem IMSI-Catcher kombiniert – und das ausschließlich mit kostengünstig und frei erwerbbaren Teilen.

Ein IMSI-Catcher gibt sich gegenüber einem Handy als Basisstation aus, in die sich ein Mobiltelefon einbucht, wenn das Signal ausreichend stark ist. Auf diese Weise kann die International Mobile Subscriber Identity (IMSI) ausgelesen werden, mit der Teilnehmer eindeutig identifiziert werden können (daher der Name IMSI-Catcher) und z.B. der genaue Standort des Geräts ermittelt werden. Letztlich lässt sich auf diesem Weg auch ein Telefonat abhören, was einen IMSI-Catcher sowohl für Strafverfolgungsbehörden als auch grundsätzlich für Kriminelle (z.B. im Bereich der Wirtschaftsspionage) sehr interessant macht. Kommerzielle Geräte waren früher allerdings nur für sechsstellige Eurobeträge und mit besonderer Genehmigung erhältlich, was die Einsatzhäufigkeit drastisch reduziert hat. Inzwischen hat sich das Preisniveau zwar teilweise etwas entspannt, für weite Teile der Bevölkerung bleiben derartige Geräte aber dennoch unerschwinglich (und der Einsatz illegal).

Letztes Jahr sorgte daher ein IMSI-Catcher im Eigenbau für nur 1.500 EUR für großes Aufsehen. Da liegt es nahe, derartige Technik mit geeignetem Fluggerät zu kombinieren. Die Drohne, die Mike Tassey und Richard Perkins nach einem Bericht auf Golem (dort gibt es auch ein Video) nun gebaut haben, kommt mit 6.000 Dollar zwar etwas teurer als der Billig-Catcher alleine, ist dafür aber ausschließlich aus legal erwerbbaren Teilen zusammengebaut und erlaubt den Angriff auf Mobiltelefone aus der Luft. Die WASP (Wireless Aerial Surveillance Platform) getaufte Konstruktion soll sich nach Aussage der Entwickler “auch zum Guten einsetzen” lassen, zum Beispiel, um “das Mobilfunksignal einer vermissten Person aufzuspüren”. Ob dies tatsächlich der bevorzugte Einsatzzweck sein wird, wage ich zu bezweifeln.