datenritter blog

Ich bin angenehm überrascht. Die pidder-Macher sind auf meine Kritik eingegangen, und das mit geradezu historischer Offenheit und, hey, sogar humorvoll. Zu lesen unter https://www.pidder.com/blog/2010/01/eine-stellungnahme/

Ein paar Zitate und Anmerkungen... "coole Reaktion der pidder-Betreiber" ... »

pidder ist ein neuer Datenaustausch- und Single-Sign-On-Service, der sich als Gewinn für die Sicherheit anpreist. Es kommt sicher nicht überraschend, dass ich das etwas anders sehe... "Zweifel an pidder" vollständig lesen »

Laut einem Artikel in der Technology Review 05.2009 gießt der Automobilzulieferer Rehau RFID-Tags in seine Plastikstoßstangen ein. Die Chips sollen während der gesamten Lebensdauer des Bauteils aktiv bleiben.

Angesichts der vergleichsweise geringen Kosten für RFID-Lesegeräte und der möglichen unsichtbaren Installation derselben könnte das zu einem echten Datenschutzproblem werden. RFID funkt(ioniert) auch bei schlechten Lichtverhältnissen aus jedem beliebigen Winkel und möglicherweise über größere Distanzen als erwartet.

Im selben Heft ist ein Artikel über die Firma Sense Networks, die in Städten flächendeckend Mobiltelefone, Bluetooth-Geräte und sonstiges funkendes Gerät erfasst, um damit Bewegungsmuster zu erstellen. So kann sie zum Beispiel ermitteln, wo die Bewohner einer bestimmten Gegend häufig einkaufen.

Auf den zu befürchtenden "Daten-GAU" geht die TR im Zusammenhang mit Sense erfreulicherweise ein. Seit dem Wechsel des Chefredakteurs scheinen Innovationslobhudelei und Patentverliebtheit der Vergangenheit anzugehören, man ist nun ausgewogener und die Qualität der Artikel allgemein höher.

Ein sonniger, ruhiger Nachmittag. Es klingelt an der Tür. Eine Dame, deutlich über fünfzig, die Kleidung trifft die Mode der üblichen Versandhauskataloge. "Guten Tag, es ist der Eismann", sagt sie. So sieht sie aber nicht aus, denke ich mir. Wenigstens ist es nicht die GEZ und auch keine sonstigen religiösen Fanatiker.

Der "Eismann" sei ein neuer Katalog, es gäbe ja auch Bofrost und — eine andere Marke, die ich mir nicht gemerkt habe. Interessiert mich eigentlich auch nicht, sie hat jedenfalls kein Eis.

Der "Eismann" wäre jetzt neu und man sei an meiner Meinung interessiert und so. Aha. Meinungen hab ich, nicht zu knapp. Sie drückt mir ein Heftchen mit großen Bildern von Stieleis, Tiefkühltorten und sonstigen Kreationen in die Hand. Als ich es durchblättere setzt sie Zettel und Stift an die Türzarge und fragt fordert: "Geben se mal ihre Telefonnummer!".

"Meine Telefonnummer? Nee, die kriegen sie nicht."

Na gut, dann nimmt sie den Katalog wieder mit.

Alles klar.

Sherri von philosecurity wirft einen scharfen Blick auf einen besonderen Kalmar, den Web-Cache (bzw. Proxy-Server) Squid.

Die Logfiles, die Squid anlegt, sind natürlich der Schrecken jedes Datenschützers, für forensische Zwecke hingegen interessant. Der Nutzen wird allerdings begrenzt vom Haltbarkeitsdatum der aufgerufenen Seiten: Sie könnten längst verändert worden sein oder dynamisch generiert werden. Oder sie sind nur mit Passwort zugänglich.

Daher kann man sich den Offline-Modus von Squid zu nutze machen. Er aktualisiert Seiten im Cache nicht, sondern liefert die alte Version. Noch besser ist es aber, die zwischengespeicherten Inhalte direkt aus dem Cache zu rekonstruieren. Wie zu erwarten, ist die recht einfach. Sherri schreibt:

Finally, each of those eight-character files contains- yes! - the pages actually cached by Squid. (...) When you surf to a web page, Squid will add some metadata to the top, which includes the full URI and its MD5sum. Squid then stores this, along with the full HTTP reply (headers and body) as a file in one of these subdirectories. If the page is requested later, it can look it up in swap.state and fetch it.

Und extrahiert dann als Beispiel ein "verdächtiges" Bild: edited.jpg.


Übrigens: Sicherheitsexperte Bruce Schneier schreibt Freitags immer etwas mehr oder weniger spannendes über zehnarmige Tintenfische (engl. Squids). Zuletzt habe ich dort gelernt, dass man Tentakeln nicht einfach füllen darf, da sie sich beim Braten zusammenziehen und die Füllung im Raum verspritzen.

Update 2009-04-25: Ich hatte Mr. Schneier gemailt, er hat den Artikel im Friday Squid Blogging erwähnt. Das dürfte für ordentlich Aufmerksamkeit sorgen.

Bruce Schneier berichtet über einen Gesetzentwurf der Republikaner, der angeblich vorsieht, dass alle Digitalkameras in den USA bei Aufnahme ein "Klick"-Geräusch machen müssen. Tatsächlich bezieht sich der Entwurf nur auf Kameras in Mobiltelefonen, was die Idee aber nicht besser macht.

Begründet wird er damit, dass Menschen sonst heimlich Fotos von anderen machen könnten. Welch eine Überraschung! Doch damit nicht genug, der Entwurf kommt wie so oft unter dem Deckmäntelchen des Kinderschutzes, ein emotionalisierendes Scheinargument, auf das leider immer noch Menschen hereinfallen.

Bruce meint dazu nur:

This is so silly it defies comment.

Das sehen seine Leser allerdings anders und diskutieren:
• wie nervig die Geräuschkulisse auf den Straßen wäre
• wie es unmöglich wird, Sprecher auf Konferenzen abzulichten ohne dumm aufzufallen, und
• welchen Nutzen heimliches Fotografieren beispielsweise bei der Verbrechensbekämpfung hat.

In dem Irrglauben, es gehe um alle Digitalkameras überschlagen sich die Kommentare:

• Freilich hätten "Kriminelle oder Politiker" gerne so eine akustische Warnung, meint einer.
• Problematisch sei, dass Polizeigewalt zum Beispiel auf Demonstrationen nun nicht mehr unbemerkt und sicher dokumentiert werden könne, ein anderer. In der Tat bekommt das Gesetz hierdurch einen gewissen Beigeschmack.
• Die Frage, ob Kameras mit Teleobjektiv lauter klicken sollten, steht im Raum.
• Einer meint gar sarkastisch, dass taube Mitmenschen benachteiligt würden, wenn man Kameras nicht auch zum Blitzen zwingt.

In Italien und Japan gibt es angeblich schon entsprechende Regelungen, was zeigt, dass man vor den Dummen nirgends sicher ist. Natürlich kann man das Geräusch immer irgendwie abschalten, notfalls setzt man einen einfachen Schalter in das Lautsprecherkabel.

Die Idee, das ganze gleich noch auf Camcorder auszudehnen, die das Surrgeräusch einer Super-8-Kamera machen sollten, wurde auch schon genannt.

Ich frage mich ja: Was ist eigentlich aus der roten Signallampe geworden? Insbesondere Überwachungskameras zeigen den nicht mehr, werden gar in Zügen und Geldautomaten hinter dunklen Plexiglasscheiben angebracht. Was mir daher noch fehlt: Ein Gesetz, dass Überwachungskameras zu dem aus Film und Fernsehen bekannten dezenten "Piep Piep Piep" und bei Bewegung zu einem eutlichen "Frrrrrr" zwingt!

Die Preisgabe der IP-Adressen des Bundesnachrichtendienstes (siehe [1], [2], [3]) könnte für dessen Mitarbeiter ein paar Konsequenzen haben, die ich bisher noch gar nicht bedacht hatte. Kommentare in Bruce Schneiers Weblog brachten mich darauf.

Nehmen wir an, jemand beim BND hätte den Fehler gemacht "von der Arbeit aus" irgendetwas (eine DVD, ein Buch...) im Internet zu bestellen. Oder ein Auto zu mieten. (Oder Begleitung bei einem Escort-Service, laut Wikileaks gibt es da ja Zugriffe. ) Oder einen Flug zu buchen, oder eine Bahnfahrt, oder auch nur einen Routenplaner zu benutzen. Oder gar private Mails über einen Webmailer zu lesen. Oder bei eBay zu bieten.

Klingt dumm? Menschen tun dumme Dinge.

Beim Durchsuchen der eigenen Logfiles könnte der ein oder andere dann Identitäten und Privatadressen oder andere sensible Informationen von BND-Mitarbeitern aufdecken. Unschön. Allein die Information, dass eine bestimmte Kreditkarte vom BND genutzt wird, ist sicher ein paar Euro Wert. Was also sollte einen gelangweilten Admin davon abhalten entsprechende Recherchen anzustellen?

Wie ich schon festgestellt hatte, sind zwar nur wenige Spuren im Web zu finden. So gab es z.B. wenige Änderungen in der Wikipedia. Die "verdächtigen" Edits der Adressbereiche 195.243.248.224-231 und 62.156.187.232-239 kann man sich übrigens mittels des Wikiscanners angucken. Doch selbst wenn bei der geheimsten aller deutschen Behörden darauf geachtet wurde, dass niemand die dienstlichen Anschlüsse für Privates oder ohne Anonymisierung verwendet: Ein einziger Fehler kann genügen, um jemanden in ernsthafte Schwierigkeiten zu bringen oder die nachrichtendienstliche Arbeit empfindlich zu stören.

Und dass solche Fehler zuverlässig verhindert wurden, kann man nach bisherigem Kenntnisstand bezweifeln.

Das Blog Royal Pingdom berichtet über ein abgefahrenes Rechenzentrum, welches in einem ehemaligen Atombunker namens "Pionen White Mountains" irgendwo unter Stockholm eingerichtet wurde. Die Internet-Anbindung ist mehrfach redundant, und zwei deutsche U-Boot-Motoren dienen als Notstromversorgung:

[J]ust for fun the people at Pionen have also installed the warning system (sound horns) from the original German submarine.

Es gibt außerdem Zimmerpflanzen, Nebel, Wasserfälle und Tageslichtsimulation, um den 15 Mitarbeitern den Aufenthalt so angenehm wie möglich zu gestalten.

Hoffentlich haben die Betreiber auch bedacht, dass auch eine atombombenfeste Tür keine Trojaner abhält.

Hier hat jemand eine .htaccess-Datei vorbereitet, mit der man die Adressen, die vielleicht dem Bundesnachrichtendienst gehören, aussperren kann.

Das ist zwar eine eher schlechte Idee, da es leicht zu umgehen ist und dem dem Charakter des Netzes zuwiderläuft.

Aber es ist zumindest lehrreich zu sehen, wie so eine "Ausladung" aussehen könnte. Besucher mit bestimmten Adressen oder Domains werden auf eine zweifelhafte Google-Suche umgeleitet oder mit einer "Forbidden"-Antwort ganz ausgesperrt:

RewriteEngine on
RewriteCond %{HTTP_REFERER} bvoe [NC,OR]
RewriteCond %{HTTP_USER_AGENT} bvoe [NC,OR]
RewriteCond %{REMOTE_HOST} bvoe [NC,OR]
RewriteCond %{HTTP_REFERER} lvp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lvp [NC,OR]
RewriteCond %{REMOTE_HOST} lvp [NC]
RewriteRule ^.*$ http://www.google.de/search?hl=de&q=fema+death+camps+bush+nazi+fascist [R=301,L]

Order Allow,Deny
Deny from 195.243.248.226/32
Deny from 195.243.248.228/32
Deny from 62.156.187.234/32
Deny from 62.156.187.236/32
(...)
Allow from all

Im gleichen Blog findet man auch Rewrite-Regeln zum Aussperren von Spambots und E-Mail-Harvestern nach dem selben Verfahren:

# Block E-Mail Harvester
RewriteEngine on
ReWriteCond %{HTTP_USER_AGENT} Alexibot [OR]
ReWriteCond %{HTTP_USER_AGENT} asterias [OR]
ReWriteCond %{HTTP_USER_AGENT} BackDoorBot [OR]
ReWriteCond %{HTTP_USER_AGENT} Black.Hole [OR]
(...)
ReWriteCond %{HTTP_USER_AGENT} Mozilla/2 [OR]
ReWriteCond %{HTTP_USER_AGENT} Mozilla/3.Mozilla/2.01 [OR]
ReWriteCond %{HTTP_USER_AGENT} Mozilla.*NEWT [OR]
(...)
ReWriteCond %{HTTP_USER_AGENT} Zeus
RewriteRule ^.*$ http://www.google.de/search?hl=de&q=spam[L]

Die alten Browser-Kennungen mit auszusperren, ist sicher kein Fehler. Allerdings muss auch hier gesagt werden, dass Filter umgangen werden können, dieser hier sogar auf triviale Art. Gegen Spam und E-Mail-Harvester gibt es bessere Maßnahmen, z.B. kann man Regel wie die oben gezeigten automatisiert erstellen und zeitlich begrenzt anwenden.

Dass man mittels eines Seifenabdruckes Schlüssel nachmachen kann, ist aus gewissen Filmen hinlänglich bekannt. Logisch eigentlich, dass das auch mit einem Foto geht — und für einige auch nichts neues.

Forscher der UC San Diego Jacobs School of Engineering haben das ganze jetzt in ein automatisiertes Verfahren gegossen. Ein Digitalfoto, gerne auch klammheimlich mit dem Teleobjektiv gemacht, wird vom Computer per Bilderkennung in die Vorlage für einen Nachschlüssel umgewandelt.

Die Studie zeigt einmal mehr, dass Schlüssel — auch die zu sogenannten Sicherhetsschlössern — keineswegs besonders sicher sind. Allerdings waren sie das auch vorher schon nicht.

Die Hersteller gehen dort, wo Stromversorgung und Batteriepuffer zur Verfügung stehen, mittlerweile dazu über, die Schlüssel magnetisch zu kodieren oder gar RFID-Chips einzubauen. Doch dürfte das noch für lange Zeit nur bei Autos üblich sein.

Für den Ottonormal-Netzbürger zeigt dieses Beispiel einmal mehr, wie vorsichtig man mit der Preisgabe von Informationen sein muss:

“If you go onto a photo-sharing site such as Flickr, you will find many photos of people’s keys that can be used to easily make duplicates. While people generally blur out the numbers on their credit cards and driver's licenses before putting those photos on-line, they don’t realize that they should take the same precautions with their keys,” said Savage.

Es würde mich interessieren, was Versicherungen dazu sagen, dass Menschen Fotos von ihren Auto- oder Haustürschlüsseln in frei zugängliche Fotoalben im Netz einstellen.