Tolle Thesen testen

Zu Games und IT. Wer besser denken kann: per Kommentar beweisen! Diskursiver Positivismus! Oy vey!! 
Alles über

Security

 

Haiku-Freitag: Polizei vs. Internet

Viel mehr Cybercops
braucht die deutsche Polizei,
wegen Internet.

Foto: Flickr/Eva Freude; bearbeitet

Denn, meint der Scheff: "Das
Internet ist der grösste
Tatort der Welt", Mann!

Ausserdem: Strassen
sind der gefährlichste Ort
für Autofahrer.

Mit grossem Abstand
der grösste Tatort der Welt
ist nun mal die Welt.

Polizeigewerkschaft: Internet ist der "größte Tatort der Welt" (Heise)

Strassenspruch: Lucius

Abgelegt unter  //   FAIL   Haiku   Recht   Security  

Kommentare [0]

Google Latitude, Datenschutz und die dunklen Geheimreiter der Stalker-Apokalypse

Weil man bei Datenschutz-Themen ja verpflichtet ist, mit der Schlagzeile richtig schön Ängste zu wecken.

Denn mit Google Latitude ist jetzt die erste grosse Umsetzung von "Local Aware Social Networking" verfügbar. Ich habe vor einem halben Jahr bereits über den Trend berichtet. Einige kleine Startups arbeiteten daran, jetzt kommt mit Google ein Grosser ins Spiel.


Latitude funktioniert so: Die Applikation auf einem mobilen Gerät installieren (es gehen jetzt schon Symbian, Blackberry und Windows Mobile, später sollen noch iPhone, Android und Java-fähige Handys dazukommen). Einem Freund erlauben, die eigene Position zu sehen. Der kann das nun per Handy oder per Browser tun. Die Ortung funktioniert über GPS (bei einem GPS-fähigen Gerät), oder über Triangulation, sei es per WLAN-Hotspot oder Handyantenne. Ich sehe, wer von meinen Freunden grade in der Nähe und verfügbar ist, und wir können uns spontan treffen.

Natürlich stellen sich sofort Fragen zum Schutz der Privatsphäre, besonders, wenn Google beteiligt ist. Der Benutzer hat diese Möglichkeiten des Datenschutzes:


Wenn man einen Freund fürs Positions-Sharing akzeptiert, kann man auswählen zwischen: "Accept and share back", "Accept and hide", "Don't accept". Natürlich kann man diese Einstellung später ändern oder den Freund ganz entfernen.

Auf Anfrage sagte Google ausserdem:

  • Die Positionsdaten werden nicht fortlaufend als Geschichte gespeichert, nur die jeweils letzte vom Gerät gemeldete Position. Wenn man Latitude ausschaltet, wird nichts angezeigt (auch nicht die letzte bekannte Position).
  • An Google übermittelt wird die Google Account ID und die Position. Die Google Account ID ist also unter Umständen nicht anonym, weil man z.B. für Gmail seinen richtigen Namen verwendet hat.

Damit ist man eigentlich gegen die allermeisten unangenehmen Szenarien abgesichert. Man hat unter Kontrolle, wann und von wem man geortet werden kann. Ein späteres Nachvollziehen vom Aufenthaltsort ist nicht möglich, weder für Stalker, noch für Unternehmen oder den Staat. Ein nicht autorisierter Fernzugriff auf die Positionsdaten ist nicht möglich (abgesehen von noch nicht entdeckten, aber natürlich nie ganz auszuschliessenden Lücken in den jeweiligen Handy-Betriebssystemen und der Google-Software).

Trotzdem sehen Datenschutz-Sensitive diesen Dienst als den dunklen Reiter der Apokalypse. Der Tagi formuliert die Schlagzeile: "Begräbt Google unsere Privatsphäre?". Auch wenn man im Artikel dann selber zum Schluss kommt, dass man den Dienst ja jederzeit ausschalten kann, wählte man trotzdem den knalligen Endzeit-Titel.

Ein berechtigter Einwand kam von Privacy International:

"Privacy International has identified what appears to be a fundamental design problem [...]. [T]he danger arises when a second party can gain physical access to a user’s phone and enables Latitude without the owner’s knowledge. [...] An employer provides staff with Latitude-enabled phones [...], but does not inform staff of this action or that their movements will be tracked. A parent gifts a mobile phone to a child without disclosing that the phone has been Latitude-enabled."

Privacy international identifies major security flaw in Google’s global phone tracking system

Ja, ein heimliches Einschalten von Latitude ist ein reales Szenario, an dem Arbeitgeber, Eltern oder eifersüchtige Partner ein Interesse haben können. Google hat auf die Kritik auch bereits reagiert und will eine Funktion nachliefern, die per Pop-Up-Meldung am Gerät die Handybenutzer regelmässig daran erinnert, dass Latitude eingeschaltet ist (die Funktion ist jetzt schon aktiv auf Blackberrys, nicht aber auf den anderen Systemen). Damit würde auch diese Lücke geschlossen.

Getreu der alten Journalisten-Regel, dass sich schlechte Nachrichten besser verkaufen als gute, lässt der Tagi aber nicht locker. Unter der Schlagzeile "Sicherheitsleck: Google-Dienst zeigt Hackern, wo man gerade ist" wird weiter der Stalker an die Wand gemalt. Inhaltlich nicht wirklich falsch, aber ziemlich unverständlich wird das Problem beschrieben:

"Der neue Google-Service sei eigentlich dazu da, sich die aktuelle Position von befreundeten Handy-Nutzern in «Maps» anzeigen zu lassen. Laut den Datenschützern können diese aber ohne deren Wissen verfolgt werden. Schuld seien Funktionen, die eigentlich die Sicherheit gewährleisten sollten, schreibt das Online-Portal Futurezone.orf.at. Konkret: Wenn Google Latitude auf einem Handy aktiv ist, sendet Google in regelmässigem Abstand Nachrichten an den Handybesitzer, damit dieser weiss, dass er «sichtbar» ist. Dieser Dienst funktioniert aber offenbar nur bei Blackberrys. Stalker bräuchten nun nur noch ein solches Handy verschenken, auf dem zuvor der Ortungsdienst aktiviert wurde."

Dieser Abschnitt zeigt das Hauptproblem der Berichterstattung zum Thema Datenschutz sehr schön auf. Datenschutz-Probleme sind technisch komplex und bei jedem Produkt anders. Es ist in der Regel schwierig, an zuverlässige und unabhängige Informationen zu kommen. Diese Unklarheit wird kombiniert mit einer grundsätzlichen Abwehrhaltung. Alles, was in die heilige Sphäre des Privaten eindringt, wird misstrauisch bis feindselig beäugt (jedenfalls in Europa).

Diese Haltung war vor zehn Jahren noch vertretbar. Damals waren Datenschutzfragen in der Öffentlichkeit kein Thema, das Hauptziel jeder Wortmeldung musste deshalb Aufmerksamkeit sein. Die erhält man am ehesten, wenn man den Leuten Angst macht.

Das hat hervorragend geklappt. Ich will Datenschutz-Probleme nicht kleinreden, aber eine diffuse "Das Facebook und das Google schnüffeln mir nach, das macht mir Sorgen"-Haltung hilft nicht. Datenschutz ist ein Deal. Ich gebe gewisse Daten von mir preis und erhalte dafür etwas (andere Daten, Funktionalität). Um auf einen solchen Deal eingehen zu können, muss ich über das System Bescheid wissen, und für mich persönlich entscheiden, ob der Deal aufgeht.

Unbestritten ist bei einem solchen Handel immer Vertrauen im Spiel. Wer will, dass ihm Daten anvertraut werden, hat kein Interesse, dieses Vertrauen zu missbrauchen. Das gilt für Unternehmen gleichermassen wie für staatliche Institutionen. Es ist deshalb legitim, mit Nachdruck präzise und ausführliche Information und Transparenz zu fordern. Diffuse Angst ist aber nie ein guter Ratgeber.


Mich würde eure allgemeine Haltung zur Privatsphäre interessieren. Verteufelt ihr Google und die Cumulus-Card und Facebook?
Oder ist eure Haltung so salopp wie diese Wortmeldung im DRS1-Doppelpunkt zum Thema Soziale Netzwerke: "Datenschutz ist etwas für Leute, die sonst keine Probleme haben, [... ] die neurotisch sind und glauben, irgendjemand würde mit dem Wissen über sie irgendetwas anstellen; die sich zu wichtig finden."?

Abgelegt unter  //   Privatsphäre   Security  

Kommentare [2]

Wie kann Obama seinen Blackberry behalten?

Obama liebt seinen Blackberry und er darf ihn nicht behalten, hat man in letzter Zeit des öfteren gehört.
Obama Digs In for His BlackBerry (New York Times)

Charles Dharapak/Associated Press/New York Times

Weil ich als Gadget-Liebhaber mitfühlen kann, frage ich mich, was denn passieren muss, dass Obama den Blackberry nicht hergeben muss. Wenn einer die Ressourcen hat, das möglich zu machen, dann ja wohl er.

Absolut notwendig wäre wohl folgendes:

  • Der gesamte Mail-Verkehr muss klassifiziert werden (Top Secret, Confidential etc.) und entsprechend archiviert werden. Dies darf nicht auf Servern von RIM passieren - hier muss das White House eigene Infrastruktur aufbauen. Die Speicherung/Aufbewahrung muss sich an gesetzliche Vorschriften halten, ebenso bezüglich Einsicht von allfälligen Untersuchungsausschüssen des Kongresses.
  • Jedes Mail muss hart verschlüsselt sein.
  • Auf Obamas Blackberry kann nicht einfach so Software installiert werden - dazu wird das Einverständnis und die persönliche Anwesenheit von mindestens zwei Generälen benötigt.
  • RIM muss den kompletten Source Code der NSA aushändigen, die sie gründlich auf Sicherheitslecks und Hintertüren analysiert.
  • Das Gerät wird mit biometrischen Zugriffskontrollen ausgerüstet. Nur die warmen Finger von Obama können das Gerät ein-/ausschalten und bedienen.
  • Entfernt sich das Gerät zu weit von Obama, löscht es sich automatisch selbst.
  • Die Kommunikation läuft nicht über das öffentliche Netz, sondern über ein getrenntes, verschlüsseltes. OG statt 3G.

Reicht das? Habt ihr noch weitere Vorschläge?

Abgelegt unter  //   Gadgets   Politik   Security  

Kommentare [1]

Betrüger-Psychologie

Ein Short Con ist ein Betrug, bei dem es nur um wenig Geld geht (im Gegensatz zum Long Con, ein Betrug von hohen Summen evtl. über längere Zeit), und bei dem das Opfer ohne Gewaltanwendung dazu verführt wird, sein Geld freiwillig herzugeben. Beispiel:

Der Conman klingelt beim Opfer zu Hause und bietet an, sämtliche Glühbirnen auszuwechseln, für 5.-, also einem Bruchteil der echten Kosten. Er schraubt gleich sofort die Glühbirnen heraus und neue hinein, das Opfer kann ihn dabei beobachten und kontrollieren, ob jede neue Glühbirne funktioniert.
Mit den herausgeschraubten Glühbirnen geht der Conman zur nächsten Wohnung und macht dort dasselbe gleich noch einmal. Wiederholen.
Es werden also keinen neuen Birnen verkauft, sondern lediglich gebrauchte von einem Haus in das nächste verschoben. Und für diese "Dienstleistung" Geld kassiert.


Das ist ein "Short Con" aus einem Gespräch mit dem Magier Nicholas Johnson über "Conmen", auf dem australischen Radiosenders ABC National Radio.

Hören kann man das hier: Mitschnitt
Und ein Transkript gibt es auch: The psychology of conmen

Johnson bietet einige spannende Einsichten in die Psychologie von Conmen und ihren Opfern:

  • Ein Con nutzt immer elementare Bedürfnisse des Opfers: Gier, Lust, oder das Gefühl, etwas Gutes zu tun.
  • Der Conman gibt dem Opfer das Gefühl, die Ereignisse unter Kontrolle zu haben.

Conmen legen sich laut Johnson ausserdem vor allem bei Short Cons eine ganze Reihe Rechtfertigungen bereit, die ihre Tat verharmlosen:

  • Es gehe ja nur um wenig Geld und das Opfer "erhält" dafür eine gute Geschichte zum Weitererzählen. Man verkaufe einen Traum!
  • "You can't con an honest man". Das Opfer sei gleich schuldig wie der Täter, habe es verdient, z.B. weil eben die Gier angestachelt wird.

Nachhören, auch schon wegen der australischen Aussprache von "ABC"!

Abgelegt unter  //   Security  

Kommentare [2]

Palin-Palim-Palum: Das war gar kein Hack

Gestern wurde bekannt, dass Sarah Palins Yahoo-Webmail gehackt worden ist. Jetzt gibt es Anzeichen, dass man eigentlich gar nicht von einem Hack reden kann. Offenbar wurde nämlich einfach das Passwort von Palins Mail zurückgesetzt. Oh ja. Und zwar über die "Passwort-vergessen"-Funktion!

Da geht also einer einfach frech hin, und sagt, er habe das Passwort für Frau Palins Email vergessen. Das Yahoo-System fragt ihn nach ihrem Geburtstag und danach, wo sie ihren Ehemann kennengelernt habe. Bei Zivilisten ist diese Information normalerweise unbekannt - nicht so bei der Prominenten Palin, da ist das nur eine Google-Suche weit weg.


Damit steht die Aktion in einem viel amateurhafteren Licht da als noch gestern. Es ist auch jemand aufgetaucht ("rubico", in den Foren der legendären /b/), der sich zur Tat bekennt und die Geschichte aus seiner Sicht erzählt. 

  • Offenbar hat "rubico" nur einen einzigen Proxyserver für seinen Zugriff verwendet. Und war leider so dämlich, dessen URL in den publizierten Screenshots drinzulassen. Es war Ctunnel.com. Damit weiss das FBI nun sehr genau, wen sie um Logfiles bitten müssen. Der Betreiber von Ctunnel hat bestätigt, dass die Feds sich bereits bei ihm gemeldet haben (um zu verhindern, dass die Logfiles automatisch geflusht werden). Es könnte also sehr schnell gehen, bis jemand verhaftet wird.

  • "Rubico" sagt, er habe die Mails durchgesehen in der Hoffnung, etwas Belastendes zu finden, und sei auf nichts gestossen. Ich bezweifle, dass er in der Lage ist, das korrekt einzuschätzen. Er habe deswegen (und weil es ihm zu mühsam war) keine komplette Kopie der Mails gemacht. Stattdessen hat er das Passwort auf /b/ veröffentlicht. Dort hat dann jemanden anders das Gewissen gepackt; der hat das Passwort erneut geändert und einer Mitarbeiterin von Palin einen Hinweis geschickt. Auch der war kein Profi: er postet nämlich einen Screenshot der Warn-Email auf /b/, mit dem neuen Passwort drin. In der Folge bricht die grosse Passwort-Ändern-Orgie aus, bis der Account von Yahoo automatisch gesperrt wird. Evtl. sogar gelöscht (das ist unklar, ob überhaupt, und wenn ja, von wem). Wenn also etwas Belastendes da war: jetzt ist es möglicherweise weg.

  • In der kurzen Zeit zwischen dem ersten Passwort-Post und der Account-Sperrung hatten viele /b/-Leser auf die Mails Zugriff. Es ist wohl nur noch schwer nachvollziehbar, wer das war, und ob die Kopien gezogen haben. Das bedeutet, dass auch nach einer Verhaftung von "rubico" noch Emails in den Umlauf gelangen können. Andererseits wird es schwieriger sein, ihre Authentizität zu belegen, vor Gericht wären solche Hinweise wohl nicht viel wert. Um ein anständiges Skandälchen ins Rollen zu bringen, könnte es dennoch reichen. Beten, Sarah, beten.


Zu 4chan und den /b/-Trollen lege ich euch ausserdem diesen faszinierenden Artikel ans Herz:
The Trolls Among Us (New York Times)

Abgelegt unter  //   Politik   Security  

Kommentare [0]

Sarah Palins Email gehackt

Der Yahoo-Mail-Account von Sarah Palin wurde gehackt, offenbar von Leuten aus dem Anonymous-Umfeld. Die Hacker hatten kompletten Zugriff auf diesen privaten Mail-Account der Vizepräsident-Kandidatin, inklusive Kontaktliste und Passwortänderung. Mittlerweile scheint der Account deaktiviert zu sein (Mails bouncen). Wikileaks hat einige Screenshots und private Fotos veröffentlicht; die Hacker sind aber wahrscheinlich im Besitz der Mails im Volltext.


Mindestens eine Absenderin hat die Authentizität eines Mails gegenüber Wired bestätigt. Ein Sprecher aus dem Wahlkampfteam von Palin hat die Aktion aussertdem verurteilt. Damit kann man wohl davon ausgehen, dass es sich nicht um eine Ente handelt.

Sarah Palin Yahoo account 2008 (Wikileaks)
Group Posts E-Mail Hacked From Palin Account (Wired Threat Level)
Hack of Palin e-mail makes case for sticking with .gov account (Ars Technica)
Republicans fight to block inquiry into Palin's 'Troopergate' affair (Guardian)

Wenn das auf den ersten Blick wie eine Vandalenaktion aussieht: ist es nicht. Aus diesen Gründen:

  • Governor Palin wurde kritisiert dafür, dass sie private Email-Accounts benutzt, um Regierungsangelegenheiten zu behandeln. Das könnte illegal sein (weil für Regierungs-Email-Accounts z.B. gewisse Aufbewahrungs- und Deklassifizierungsregeln gelten, die per Yahoo-Mail natürlich umgangen werden). Die Hacker sind nun möglicherweise im Besitz von Beweismaterial, das Palin solches Fehlverhalten nachweisen könnte.
  • Palin wäre nicht die einzige Republikanerin, die gerne Emailregeln umgeht. Auch Mitarbeitern des Weissen Hauses wurde das gleiche Verhalten vorgeworfen; entsprechende Anhörungen verliefen im Sand, weil Accounts/Emails gelöscht wurden.
  • Auch Fahrlässigkeit kann man Palin vorwerfen: Yahoo-Mail wird sicher nicht so geschützt, wie die Emails eines potentiellen Vizepräsidenten geschützt werden sollten (nationale Sicherheit und so). Palin kann von ihrem Haus aus Russland sehen und findet nichts dabei, Politik und Babyfotos zu mischen - hallo?!?
  • In einigen der Mails geht es auch um das DPS (Department for Public Safety, Alaska), das den State Troopers vorsteht. Auch darin stecken evtl. Beweise zu einem potentiellen Skandal. Palin soll einen ehemaligen Schwager aus den State Troopers rausgemobt haben.

Damit ist klar: der Angriff war politisch motiviert. Und wir werden ab jetzt wohl häppchenweise mit Auszügen dieser Emails versorgt werden.

(Abgesehen von Politik sei noch bemerkt: das Vertrauen in Yahoo-Webmail wird durch diesen Angriff natürlich auch nicht gerade gestärkt. Wenn Palins Email hack-bar ist, dann sind es andere auch.)

Abgelegt unter  //   Politik   Security  

Kommentare [0]

Der Krieg in Georgien findet auch im Internet statt

Der Krieg in Georgien findet auch im Internet statt. Verschiedene georgische Seiten sind nicht erreichbar oder wurden von Angreifern übernommen, melden georgische Quellen. Umgekehrt seien laut einer russischen Nachrichtenagentur auch süd-ossetische Websites Angriffen ausgesetzt (und die vermeldende Agentur selber). Seiten mit .ru-Endung seinen in Georgien nicht mehr verfügbar.

Laut einem Blog, das sich mit dem sagenumwobenen "Russian Business Network" (RBN) befasst (angeblich ein russischer Zusammenschluss von Spammern, Phishern und anderen Cyberkriminellen), sollen auch Router übernommen worden sein, die Internetverkehr nach Georgien leiten.

Georgische Internetanbieter weichen zum Teil auf Blogs aus (z.B. das Aussenministerium, das ein Blog auf Blogspot betreibt) - weil diese Blog-Dienste auf internationaler Infrastruktur laufen und deshalb schwieriger anzugreifen sind.


Wie schon im Fall Estland ist nicht klar, inwiefern diese Angriffe gezielt und mit Regierungsunterstützung erfolgen, oder ob sich nationalistische Kreise in Selbstjustiz üben (in Estland konnte eine Beteiligung der russischen Regierung nie nahgewiesen werden).
Das Gerücht, dass das RNB unter der Kontrolle der russischen Regierung stehe, scheint mir unrealistisch. Einerseits haben russische Geheimdienste sicherlich selber die Möglichkeiten, Denial-of-Service-Angriffe zu fahren, und brauchen nicht die Hilfe einer Organisation von Cyberkriminellen. Und andererseits handeln diese möglicherweise eh auf eigene Faust; den offiziellen Befehl "Greift georgische Netzwerkinfrastruktur an!" braucht es gar nicht.

Es geht dabei um die Kontrolle der Information: der Gegner soll keine Möglichkeit haben, seine Sicht der Dinge mitzuteilen. Also eine alte militärische Zielsetzung, die sich in ein neues Medium verlagert. Gleichzeitig zeigen aber gerade z.B. Blogs auf internationaler Infrastruktur, dass diese Zielsetzung viel schwieriger zu erreichen ist. Man kann nicht mehr einfach den staatlichen Rundfunksender besetzen. Umgekehrt ist es entsprechend schwierig, die Glaubwürdigkeit einer Quelle einzuschätzen. Ist z.B. das Blog des georgischen Aussenministeriums wirklich eine offizielle Quelle oder nicht?

Russian Business Network Georgia CyberWarfare
Cyber Attacks Disable Georgian Websites (Ministry of Foreign Affairs of Georgia Blog)
Hacker-Attacken auf südossetische Webseiten (RIA Novosti)
RIA Novosti erlebt harten Hacker-Angriff (RIA Novosti)
DDOS-Attacken im Krieg zwischen Georgien und Russland (Georgien Nachrichten)
Civil Georgia News Service

Abgelegt unter  //   Cyberwar   Security  

Kommentare [0]