datenritter blog

Laut diesem Blogeintrag lassen sich nahezu alle schnurlosen Tastaturen von Microsoft abhören, weil die Verschlüsselung des proprietären Protokolls geknackt werden kann. Und das ganze mit einem Arduino für 10$.

Und es ist keineswegs sicher, dass das nur die Tastaturen von Microsoft betrifft:

Kamkar said he picked Microsoft’s keyboards after going into Best Buy and seeing which models seemed to be the most prevalent.

Wie lange das schon bekannt ist, habe ich nicht recherchiert. Grundlage des Beitrags ist eine Bastelei des Hackers Samy Kamkar. Der hat einen Keylogger in das Gehäuse eines Steckernetzteils mit USB-Ladebuchse eingebaut. Noch ein Funk-Modul dazu, und die aufgezeichneten Daten können aus der Ferne abgerufen werden.

Aber es kommt noch besser: Dank eines eingebauten Akkus läuft das Gerät weiter, wenn man es aus der Steckdose zieht.

Hier noch Kamkar's Video zum Projekt:

KeySweeper - covert Microsoft wireless keyboard sniffer using Arduino and nRF24L01+

Das ist pfiffig. Und ein absoluter Security-Alptraum.

Es ist wohl eine Besonderheit unserer Zeit, dass man inzwischen erstaunt ist, wenn man mit Support-Anfragen etwas erreicht, anstatt mit ewig gleichen Standardmails abgewimmelt zu werden. Dass letzteres die Regel ist, könnte man zumindest vermuten, wenn man zum Beispiel "Vorsicht Kunde" in der c't liest.

Ein Freund von mir erzählte mir einmal, dass er am Telefon dem Kundenservice eines Unternehmens relativ schnell klarzumachen versucht, dass er vom Fach ist und sein Anliegen ohnehin nicht von demjenigen, der seinen Anruf zuerst entgegennimmt, bearbeitet werden kann. Scherzhaft formulierte er:

Guten Tag, ich möchte gerne gleich mit jemandem sprechen, der sich auskennt.

Wir haben uns köstlich amüsiert, aber mit einer solchen Plattitüde erreicht man natürlich nichts. Die Mitarbeiter im First-Level-Support größerer Unternehmen hören und lesen täglich irgendwelche mehr oder weniger sinnvollen Phrasen — und sicher auch eine Menge Drohungen.

Dennoch habe ich die Erfahrung gemacht, dass ein klar umschriebenes Problem, eventuell sogar mit Diagnosedaten angereichert, den Support spätestens im zweiten Anlauf anscheinend so verwirren kann, dass das Anliegen an einen qualifizierteren Mitarbeiter weitergegeben wird. Oder dass man sich doch einen Moment mehr Zeit nimmt, statt nur Textbausteine zu kombinieren.

In der Vergangenheit ist mir das bei vier Unternehmen gelungen: Home of Hardware, DHL, dem Hermes-Versand und Garmin... ""Vielen Dank für Ihren ... »

Netzpolitik.org berichtet über ein Urteil, dass einem Phishing-Opfer Schadenersatz zuspricht, obwohl dieses auf der Phishing-Seite 100 TANs eingegeben hatte.

Bei dem Fall handelt es sich um sauberes social engineering in Kombination mit einem Trojanerangriff. Daraus kann man was lernen – wenn man sich nicht von der hohen Zahl der preisgegebenen TANs zu falschen Schlüssen verleiten lässt. Die Zahl ist genau der Trick.

Im ersten Moment erscheint es absurd. Liest man jedoch die Urteilsbegründung, stellt man fest, dass in diesem konkreten Fall dem Kläger aus nachvollziehbaren Gründen keine grobe Fahrlässigkeit zur Last gelegt wird. Die Bank hatte in ihrem etwas ungenauen Sicherheitshinweis lediglich davor gewarnt, TANs ohne vorangegangene Aktion, wie "z.B.(!) eine Überweisung", einzugeben. Die Aufforderung zur Eingabe der 100 TANs wurde durch einen Trojaner auf dem Rechner des Opfers erzeugt, und zwar erst nach Anmeldung auf der Banking-Webseite durch Eingabe der PIN. Das ist schon mal eine gute Ausgangsposition. Weitere Glaubwürdigkeit errang der Angreifer dadurch, dass er zur Eingabe sämtlicher TANs eines TAN-Blocks aufforderte, weil dieser wegen einer Sicherheitslücke aus dem Verkehr gezogen werden müsse. Dass ein unbedarfter Anwender dies für plausibel hält (und nicht weiß, dass die Bank die TANs bereits kennt und sowieso blockweise deaktivieren kann), ist durchaus nachvollziehbar.

Das Gericht schreibt hierzu auch:

Umgekehrt wäre es vielmehr als grob fahrlässig zu bewerten, wenn der Kläger beispielsweise 50 oder 60 TAN-Nummern eingegeben und dann mit der Eingabe weiterer Nummern aufgehört hätte, weil ihm die Sache verdächtig erschienen wäre.

Es lohnt sich, das Urteil ganz zu lesen.

Ich bin ja mal gespannt, wann wir von den ersten Fällen hören, in denen eine Bank wegen Angriffen mit gefälschten SSL-Zertifikaten zahlen muss. Schließlich ist es durchaus zuzumuten, den Fingerprint des verwendeten Server-Zertifikats schriftlich zu verbreiten und zur Überprüfung aufzufordern. Das könnte man zum Beispiel zusammen mit der EC-Karten-PIN machen – oder zusammen mit dem ganzen Werbemüll, der einem regelmäßig ins Haus flattert.

Die Erklärung eines ehemaligen australischen Polizisten, dass Undercover-Einsätze durch soziale Netzwerke und Gesichtserkennung unmöglich werden, hat den Sprung in die Medien geschafft:

Facebook has proven to be one of the biggest dangers in keeping undercover police officers safe due to applications such as facial recognition and photo tagging, according to a adjunct professor at ANU and Charles Sturt University.

(...)

All respondents aged 26 years or younger had uploaded photos of themselves onto the internet.

“The thinking we had with this result means that the 16-year-olds of today who might become officers in the future have already been exposed.

"It’s too late [for them to take it down] because once it’s uploaded, it’s there forever.”

Ich glaube, diese Betrachtung greift viel zu kurz. Auch mit und in sozialen Netzwerken mit Gesichtserkennung ist es möglich, eine Legende zu pflegen. Sehr wahrscheinlich wird es sogar deutlich einfacher, wenn die automatische Erkennung hilft, alle Schwachstellen zu finden und so den Agenten und sein Umfeld zu schützen.

Die etwas angestaubte "Weisheit" dass der Versuch, Informationen aus dem Netz zu entfernen, genauso sinnlos sei, wie Pisse aus einem Pool zu fischen, ist nur die halbe Wahrheit. Die andere Hälfte ist, dass man die Pisse eben auch nicht bemerkt, wenn man in den Pool springt. Anders gesagt: Was man nicht findet, ist nicht relevant. Was man findet, kann man entfernen. Das Netz behält nicht alles, es verliert durchaus auch Informationen. (Durch Löschung oder eben Unauffindbarkeit.) Es kommt letztendlich darauf an, wie viele Menschen ein Interesse daran haben, in den Pool zu pinkeln, bzw. eine Information verfügbar zu halten. Erfahrungsgemäß sind die meisten eher an der Haarfarbe von Politikern interessiert als an der Identität von Gangmitgliedern.

Natürlich ist das alles eine Frage des Aufwands. Aber die höhere Wahrscheinlichkeit, etwas zu entdecken, gilt für Angreifer und Verteidiger gleichermaßen. Die Guten[TM] können den Bösen[TM] zuvorkommen, indem sie die gleichen Werkzeuge einsetzen. Nebenbei sollte eine gute Legende ohnehin so konsistent und glaubwürdig sein, dass sie gegenüber widersprüchlichen Informationen überwiegt. Nichts neues.

Der eigentliche Knackpunkt scheint ein anderer zu sein: Macht. Im verlinkten Artikel wird erwähnt, dass Facebook sich oft weigere, Bilder zu entfernen. Während es für amerikanische Behörden ein Klacks sein dürfte, Bilder bei Facebook entfernen oder Informationen abändern zu lassen und Facebook darüber hinaus noch zum Stillschweigen zu verpflichten, haben ausländische Institutionen es sicher nicht so leicht. Die Technologie selbst ist aber wie meistens nicht das Problem.

Nachtrag: Nach einem Hinweis von mir hat Bruce Schneier auch was dazu geschrieben:

There's another side to this issue as well. Social networking sites can help undercover officers with their backstory, by building a fictional history. Some of this might require help from the company that owns the social networking site, but that seems like a reasonable request by the police.

Ein Wort zur Nacht – bzw. zur Sinnhaftigkeit der PKI.

Momentan im Fokus der Medien ist der Wurm "Stuxnet", der Industrieanlagen mit Steuersystemen der Firma Siemens angreift. In der FAZ hat Frank Rieger etwas darüber geschrieben. Und in seinem Blog. Bei heise gab's schon vor ein paar Tagen was dazu. Und wired.com hat ebenfalls einen längeren einen Artikel. Aus diesem möchte ich nur einen Satz zitieren:

The malware is digitally signed with legitimate certificates stolen from two certificate authorities.

Ende der Durchsage.

• Tag "tastatur" in diesem Blog.
• Einhändig bedienbare Tastaturen von Maltron erinnern ein bisschen an Randall Munroes Mirrorboard. Für die, die nur eine Hand haben oder die andere für einen Joystick o.ä. brauchen. Sieht sicher cool aus, wenn man damit umgehen kann. Dieses hier hab ich auch mal in irgendeinem Film gesehen. Durch die Krümmung dürfte es deutlich schwerer sein, dem Benutzer auf die Finger zu schauen.
• Schneier on Security: Sniffing Keyboard Keystrokes with a Laser (Schon mehr als ein Jahr alt, sorry.) – Funktioniert nicht so toll, wie die Messung von Vibrationen an einer Fensterscheibe, aber auch Worte lassen sich erraten. Ein möglicher Schutz: Laptops ohne Tastatur. ;)
• In Kombination mit dem Abhören über die Stromleitung ergab sich das hier: Sniffing keystrokes via laser and keyboard power. (Auch bei hackaday.)
• Im August 2009 schließlich meldete heise: "Apple-Tastaturen können mitlauschen", weil sie einen frei programmierbaren Microcontroller enthalten.

Seit dem ist mir nichts neues zum Thema aufgefallen.

So, nun wird diese ganze SSL-Problematik langsam unheimlich.

Erklärung: http://blog.fefe.de/?ts=b544bbc7.

Konsequenz:



Und unter Debian:



Grmbl.

Gulli berichtet:

Eine neue wissenschaftliche Arbeit kommt zu dem Schluss, dass die US-Regierung mit vielen SSL-Zertifizierungsstellen kooperiert, um das Mitlesen verschlüsselter Verbindungen zu ermöglichen.

Die IT-Sicherheitsforscher Christopher Soghoian und Sid Stamm kommen zu dem Schluss, dass die Regierung vielfach die Schlüssel von SSL-Zertifikaten von den Zertifizierungsstellen (Certificate Authorities - CAs) erhält. So können sie Websites vortäuschen und die Benutzer in Sicherheit wiegen. Mit Hilfe von Forensik-Tools können sogenannte Man-in-the-Middle-Angriffe sogar automatisiert durchgeführt werden. Die Konsequenz: die US-Regierung ist offenbar in der Lage, routinemäßig SSL-Verbindungen mitzulesen, ohne den Schlüssel knacken zu müssen.

Es ist absolut nicht überraschend, dass eine Zertifikatsautorität für "Bedarfsträger" falsche Zertifikate ausstellen kann, das sieht der X.509-Standard so vor.

Stand hier schon 2008.

Und wie schon erwähnt erzählt Dan Kaminsky einiges dazu in seinem Vortrag auf dem 26C3.

Dass eine Regierung von dieser Möglichkeit Gebrauch macht ist eine Selbstverständlichkeit. Wenn eine Vertrauensstelle in einem System vorkommt, sei es eine Bank, ein Offizier, ein Programmierer oder eben eine Zertifikatsauthorität, dann ist diese immer ein möglicher Angriffspunkt, daran lässt sich auch kaum etwas ändern. Aber X.509 setzt darauf, dass wir den Autoritäten vertrauen, denen die Browserlieferanten vertrauen. Allen. Allen gleichzeitig. Selbst schuld.

Ich sag nix mehr zu SSL bzw X.509. Es ist einfach schlimm. Fefe fasst es prima zusammen:

(...) die Israelis (...) bieten einen SSL-Zertifikat-Dienst an, der auch den privaten Schlüssel für dich generiert. How convenient! Und sie haben plausible deniability, weil es auch einen Button zum Hochladen seines eigenen CSR gibt. (...)

Das ist noch besser, als ein schnöder Man-in-the-middle-Angriff, den sowieso jede von den gängigen Browsern anerkannte Zertifikatsautorität spielen kann. So hat man nicht nur gültigen Ersatz, sondern gleich das Original. Ich bin mit den Details des TLS-Verbindungsaufbaus nicht so vertraut, vermute aber mal, dass man damit sogar nachträglich noch den halben aufgezeichneten Datenstrom entschlüsseln kann. Wer das Angebot annimmt, ist selbst schuld.

Wer das technische Verständnis hat, kann sich ja auch die Aufzeichnung von Dan Kaminskys Vortrag auf dem 26C3 ansehen. Er beschäftigt sich mit ein paar Problemchen der X.509-PKI. Und da bleibt kein Stein auf dem anderen.

Ironie: Beim Aufruf von https://events.ccc.de/congress/2009/Fahrplan/events/3658.en.html bekomme ich eine Warnung, weil das Zertifikat des Servers eine MD5-Signatur hat. Arrg!

Ich bin angenehm überrascht. Die pidder-Macher sind auf meine Kritik eingegangen, und das mit geradezu historischer Offenheit und, hey, sogar humorvoll. Zu lesen unter https://www.pidder.com/blog/2010/01/eine-stellungnahme/

Ein paar Zitate und Anmerkungen... "coole Reaktion der pidder-Betreiber" ... »