Archiv der Kategorie: Sicherheit

Massive WLAN-Sicherheitslücke

Ein Student hat eine Lücke in heute gängigen WLAN-Routern entdeckt und bekannt gemacht. Inzwischen hat das US-Cert in seiner Vulnerability Note VU#723755 die Lücke bestätigt. Stefan Viehböck dokumentiert in seinem Blog detailliert (PDF), was er bei der Analyse des „Wi-Fi Protected Setup“ (WPS) herausgefunden hat.

Das Verfahren dient eigentlich zur vereinfachten sicheren Konfiguration von Funknetzen. Über einen Knopfdruck am Router oder eine vorgegebene PIN lässt sich das als sicher erachtete Verschlüsselungsverfahren WPA/WPA2 einrichten. Das Hantieren mit den Schlüsseln und Detaileinstellungen ist dazu nicht notwendig.

Die einfachste Form der Konfiguration, eine dem Gerät beigefügte (oft aufgeklebte) PIN, die im Client einzugeben ist, lässt sich als Einfallstor nutzen. Aufgrund einer Verfahrensschwäche genügen maximal 11000 Versuche, um eine vorgegebene PIN zu ermitteln.

Mit der PIN findet man dann die WPA-Schlüssel heraus. Laut Entdecker ergreift keines der marktgängigen Geräte Gegenmaßnahmen gegen einen solchen Brute-Force-Angriff. Einige Geräte stürzen indes ab, wenn man sie auf diese Weise malträtiert.

Schützen kann man ein Funknetz vor solchen Angriffen vorerst, indem man in der Konfigurationsoberfläche WPS abschaltet. Bei den meisten Geräten klappt das, aber – so Viehböck – nicht bei allen. Nötig ist das nur, wenn sich WLAN-Clients ausschließlich über die dem WLAN-Router beiliegende PIN einrichten lassen.

Bekannt ist die Schwäche des Verfahrens wohl schon länger: Nachdem Viehböck seine Entdeckung publik gemacht hatte, meldete sich auch die US-Firma Tactical Network Solutions zu Wort. Dort hatte man bereits Software entwickelt und perfektioniert, die binnen zehn Stunden WPA/WPA2-Schlüssel liefert. Eine Version von Reaver ist als Open Source zugänglich.

Den originalen Artikel mit allen Links sowie eine englische Version des Artikels von Peter Siering, findet ihr unter Massive WLAN-Sicherheitslücke von heise.de.

Freundliche Grüße
das OSS-Haus Team

Sie haben null Privatsphäre – finden Sie sich damit ab!

Oder doch nicht? – Die Digitalisierung ändert unser Leben von Grund auf. Gefährlich dabei ist die trügerische „Sicherheit“ schlecht organisierter Informationen. Ist der Schutz der Privatsphäre noch möglich? Experton-Analyst Dr. Hellmuth Broda hat da noch Hoffnung.

„Sie haben null Privatsphäre – finden Sie sich damit ab!“ Dieser berühmt-berüchtigte Satz von Scott McNealy aus dem Jahr 1999 ist unzählige Male zitiert worden. Durch die Digitalisierung ändert sich unser Leben von Grund auf. GPS-Koordinaten anzapfen, Telefonanrufe abhören, Tweets und Mails abfangen, den auf Überwachungskameras gespeicherten Spuren nachgehen – ist das für Behörden und die Mächte der dunklen Seite vielleicht eine gar zu große Verlockung? Steht unser Grundrecht auf Privatsphäre auf dem Spiel? Ist alles erlaubt, was technisch machbar ist? Wo ist die Grenze? Wer kontrolliert die Kontrolleure?

Die trügerische „Sicherheit“ schlecht organisierter Informationen

Warum meinen wir, wir müssten beim Aufbau von Informationssystemen alle Attribute an einem einzigen zentralen Schlüssel festmachen? Im Gesundheitswesen wird genau das jedoch momentan in vielen Ländern geplant. Der etablierte „chauvinistische“ Designansatz für Informationssysteme folgt einer Pyramide: Ein Hauptschlüssel (Key Identifier) oben drauf, und alles andere ist direkt damit verbunden.

Kann man ein solches System überhaupt sicher machen, wenn es erst einmal im Einsatz ist? Können wir es uns leisten, weiterhin einfach ein bisschen „Sicherheits-Zauberpulver“ oder ein anderes Wundermittelchen über das System zu streuen und zu hoffen, dass dadurch alles abgesichert ist?

Die Verlockung eines zentralen Schlüssels (Global Identifier – GID)

Warum meinen wir, wir müssten alles an einem einzigen Schlüssel festmachen? Im wirklichen Leben tun wir dies ja auch nicht. Mein Pass und meine Krankenversicherung haben unterschiedliche Nummern, die wiederum nicht dieselben sind wie die Nummer von der Rentenanstalt, welche von der Führerscheinnummer abweicht, welche anders lautet als meine Telefonnummer etc.

Elektronische Identitäten

Doch inzwischen geht es um elektronische Identitäten, und da bekommen die IT-Entwickler glasige Augen vor lauter Freude, denn das bietet die phantastische Möglichkeit, alles unter einen Hut zu bringen und miteinander zu vernetzen.

Schluss mit individuellen Identifikatoren oder Schlüsseln – endlich kann man alles ordentlich zusammenbringen. Auch ohne einen Twitter- oder Facebook-Account werden wir dadurch völlig transparent.

Wenn wir das zulassen, ist es um die Privatsphäre ein für alle Mal geschehen. Eben diese Informationssystem-Architekten vergessen nämlich leider, dass es nun einmal Attribute gibt, die privat bleiben müssen. Man denke nur an die DNS-Sequenz, anhand derer Versicherungsgesellschaften bestimmen könnten, wie hoch die Wahrscheinlichkeit einer bestimmten Person ist, in einem bestimmten Alter an einer bestimmten Erbkrankheit zu erkranken – um dieser Person dann die Versicherungsleistungen zu verweigern oder den Vertrag zu kündigen.
Genau aus diesem Grund laufen in manchen Ländern die Bürger Sturm gegen elektronische Patientenunterlagen. Aber gibt es wirklich so todsichere Systeme, dass man absolut sicher sein kann, dass sie nicht geknackt werden können? Oder steht hier eher ein Umdenken an?

„Schon wieder: US-Patientendaten in großem Umfang geknackt: 4,9 Millionen Patienten betroffen – IEEE Spectrum.“ Dieser kürzlich veröffentlichte Artikel spricht für sich.

Können wir überhaupt etwas tun?

……

Den kompletten Artikel von Dr. Hellmuth Broda, findet ihr unter Sie haben null Privatsphäre – finden Sie sich damit ab! von silicon.de.

Dr. Hellmuth Broda ist als Executive Advisor bei der Experton Group tätig.

Freundliche Grüße
das OSS-Haus Team

Convergence – endlich ein Fix für SSL?

Millionen von Internet-Transaktionen täglich werden von Secure Socket Layer (SSL)-Technologie geschützt. Doch Sicherheitsprobleme tauchen immer wieder auf. Hier könnte ein ganz neues Verfahren eine Lösung bieten.

Vor wenigen Wochen wurde die Open-Source-Webseite von MySQL von Hackern mit JavaScript-Code injiziert und damit der Traffic auf die Malware-Seite BlackHole umgeleitet. Zum Glück dauerte die Weiterleitung nur wenigen Stunden, da verschiedene Sicherheits-Firmen sofort den Betreiber der Seite, Oracle, informierten und das Loch schnell gestopft war. Nun sind derartige Injektionen an sich nichts ungewöhnliches, was diesen Fall so besonders interessant gemacht hat, war die Tatsache, dass dieser Angriff nur möglich war, weil die Hacker Root-Access-Rechte hatten.

Laut den Security-Experten von Trend Micro haben sich die Hacker die Zugänge für die MySQL-Cluster-Server für rund 3000 Dollar auf dem Schwarzmarkt beschafft. Möglich wurde das durch die Attacken auf die SSL-Zertifikatsanbieter DigiNotar, Comodo und Global Sign, die dazu geführt haben, dass sich Hacker immer häufiger Root-Access verschaffen können.

Schon seit 2004 weiß man um die Probleme von SSL/TLS. „Es ist schon lange bekannt, dass es eine Schwäche in diesem Protokoll gibt, und dass wir schon längst einen Update hätten vornehmen müssen“, bestätigt der SSL-Vater Taher Elgamal. Doch seiner Ansicht nach ist es nicht nur das Protokoll, sondern das gesamte Eco-System heutiger Websicherheit. „Wenn ich die Chance hätte, würde ich bessere Browser machen“, sagte Elgamal jüngst in einem Gespräch mit silicon.de und schob damit den Schwarzen Peter an die Browser-Hersteller.

Doch die Browser sind nur eine weitere Schwachstelle der gesamten Infrastruktur-Schwäche. Laut Moxie Marlinspike vom Security-Anbieter Qualys gibt es inzwischen über 650 Organisationen, die wie Comodo oder Global Sign, berechtigt sind, Zertifikate abzuzeichnen. „Bei so vielen digitalen Stempeln wird das ursprüngliche Prinzip eines ‚Single Point of Trust‘ ad absurdum geführt“, sagte Marlinspike jüngst auf einer Sicherheits-Konferenz in San Francisco.

Sein Unternehmen hat sich deshalb eine Lösung einfallen lassen, die von immer mehr Sicherheitsexperten anerkannt wird. „Convergence“ nennt Marlinspike das Verfahren, das nicht auf der Public-Key-Infrastructure aufsetzt, sondern aus einem konföderierten Netz an Notar-Servern besteht, die unabhängig für ein Zertifikat bürgen. Seit April denken Marlinspike und andere Security-Experten bereits über die Implementierung dieser Idee nach. Eines der großen Probleme ist der Traffic der schnell und sicher bewältigt werden muss. Doch inzwischen gibt eine Lösung, die man sich als eine Art Peer-to-Peer-Infrastruktur von unabhängigen Notaren vorstellen kann.

Den kompletten Artikel mit Links von Harald Weiss, findet ihr unter Convergence – endlich ein Fix für SSL? von silicon.de.

Freundliche Grüße
das OSS-Haus Team

CCC: „Rechtsbruch durch Bundestrojaner“

Der Chaos Computer Club (CCC) hat nach eigenen Angaben Festplatten mit „staatlicher Spionagesoftware“ zugespielt bekommen und die Software analysiert. Stimmt die Analyse und haben Behörden damit gearbeitet, dürften sie Grundrechte missachtet haben. silicon.de zeigt die technische Perspektive und die verfassungsrechtliche Perspektive des Falls.

Wie der Trojaner funktioniert

Wie CCC-Sprecher Frank Rieger in der FAZ vom 9. Oktober berichtet, erhielt der CCC mehrere Festplatten in brauen Umschlägen ohne Absender, vermutlich von „Betroffenen“. Der CCC habe auf allen Festplatten eine Trojaner-Software entdeckt, deren Varianten sehr ähnlich gewesen seien. Die Trojaner-Dateien seien nur „amateurhaft gelöscht“ gewesen.

Die Analyse habe ergeben, dass sich die Software nach dem Start des Computers in alle laufenden Anwendungen einblende. Sie sende Signale an einen fest konfigurierten Server in den USA, um ihre Dienstbereitschaft zu signalisieren. Dieser Datenaustausch werde mit AES verschlüsselt – die Verschlüsselung sei jedoch falsch implementiert gewesen. Auch nehme die Software Befehle des Servers ohne jegliche Authentifizierung entgegen. Einzige Bedingung für die Akzeptanz eines Befehls sei es, dass er von der IP-Adresse des US-Servers zu kommen scheine.

Laut CCC verfügt die Software über vorkonfigurierte Funktionen:

  • Abhören von Skype-Telefonaten
  • Anfertigen von Bildschirmfotos in schneller Folge sowie
  • Nachladen eines beliebigen Programmes aus dem Netz

Die letzte Funktion könne genutzt werden, um mögliche Features zu installieren:

  • Raumüberwachung mit Mikrofon und Kamera des Computers
  • Durchsuchen der Festplatte sowie
  • Herunterladen von Dateien auf die Festplatte

Die letztgenannte Funktion – das Herunterladen von Dateien auf die Festplatte – sei die einzige Funktion der Software gewesen, die gegen eine spätere Analyse getarnt worden sei, so Rieger. Im Code habe sich kein Hinweis auf den Urheber der Software gefunden. Im Jahr 2008 sei jedoch ein interner Schriftverkehr einer Justizbehörde bekannt geworden. Daraus sei hervorgegangen, dass ein deutsches Unternehmen einen Trojaner zum Abhören von Skype angeboten habe, dessen Funktionsumfang sich mit dem jetzt vom CCC analysierten Trojaner decke. Rieger: „Sogar die Anmietung des Weiterleitungsservers im Ausland, um die IP-Adresse der Trojaner-Kontrollstation zu verschleiern, war im Angebot erwähnt.“ Nach Angaben der Frankfurter Rundschau handelt es sich beim besagten Unternehmen um die Firma DigiTask aus dem hessischen Haiger.

Der CCC hat den Quellcode der Trojaner-Software ins Netz gestellt. Der Code ist zudem in der FAZ vom 9. Oktober nachzulesen (Seiten 43 bis 47). Die Behörden wurden zuvor in Kenntnis gesetzt. „Gemäß unserer Hackerethik und um eine Enttarnung von laufenden Ermittlungsmaßnahmen auszuschließen, wurde das Bundesinnenministerium rechtzeitig vor dieser Veröffentlichung informiert. So blieb genügend Zeit, um die Selbstzerstörungsfunktion des Schnüffel-Trojaners zu aktivieren.“

Was das Verfassungsgericht sagt

Das Thema „Bundestrojaner“ ist nicht neu. Im Februar 2008 entschied das Karlsruher Bundesverfassungsgericht, dass Online-Durchsuchungen zulässig, jedoch an strenge Auflagen gebunden sind. Die Richter führten in diesem Zusammenhang ein neues Grundrecht ein: das Grundrecht auf die Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.

Nach diesem Urteil muss die Online-Durchsuchung durch einen Richter angeordnet werden. Sie ist nur zulässig, wenn Gefahr für Leib, Leben oder Freiheit einer Person besteht. Die Intim- und Privatsphäre („Kernbereich privater Lebensgestaltung“) darf überhaupt nicht angetastet werden – so lange nicht der begründete Verdacht besteht, dass der Verdächtige diesen Schutz ausnutzt. Falls Daten aus dem Intimbereich zufällig erhoben werden, müssen sie sofort gelöscht werden.

Erlaubt ist demnach – nach richterlicher Anordnung – auch die sogenannte Quellen-Telekommunikationsüberwachung. Diese erlaubt den Behörden, Daten auf dem Rechner mitzuschneiden, bevor sie verschlüsselt werden – jedoch nicht dauerhaft, sondern nur für einen bestimmten Telekommunikationsvorgang.

Was der CCC fordert

Laut CCC zeigt die vorliegende Trojaner-Software, dass der Gesetzgeber nachbessern muss. Schon die vorkonfigurierten Funktionen des Trojaners – ohne nachgeladene Programme – seien besorgniserregend. Die von „den Behörden suggerierte strikte Trennung von genehmigt abhörbarer Telekommunikation und der zu schützenden digitalen Intimsphäre“ existiere in der Praxis nicht. Der Richtervorbehalt könne nicht vor einem Eingriff in den privaten Kernbereich schützen.

„Unsere Untersuchung offenbart wieder einmal, dass die Ermittlungsbehörden nicht vor einer eklatanten Überschreitung des rechtlichen Rahmens zurückschrecken, wenn ihnen niemand auf die Finger schaut“, sagte ein CCC-Sprecher. „Hier wurden heimlich Funktionen eingebaut, die einen klaren Rechtsbruch bedeuten: das Nachladen von beliebigem Programmcode durch den Trojaner.“

Der Trojaner könne auf Kommando – unkontrolliert durch den Ermittlungsrichter – Funktionserweiterungen laden, um die Schadsoftware für weitere Aufgaben beim Ausforschen des Systems zu benutzen. Dieser Vollzugriff auf den Rechner, auch durch unautorisierte Dritte, könne etwa zum Hinterlegen gefälschten belastenden Materials benutzt werden und stelle damit den Sinn dieser Überwachungsmethode grundsätzlich in Frage.

Der Gesetzgeber sei gefordert, dem „ausufernden Computerschnüffeln“ ein Ende zu setzen und „endlich unmissverständlich“ zu formulieren, wie die digitale Intimsphäre juristisch zu definieren und wirksam zu bewahren sei. „Leider orientiert sich der Gesetzgeber schon zu lange nicht mehr an den Freiheitswerten und der Frage, wie sie unter digitalen Bedingungen zu schützen sind, sondern lässt sich auf immer neue Forderungen nach technischer Überwachung ein.“ Dass der Gesetzgeber die Technik nicht überblicken, geschweige denn kontrollieren könne, zeige die vorliegende Analyse der Funktionen der Schadsoftware.

Im Streit um das staatliche Infiltrieren von Computern hätten der Ex-Bundesinnenminister Wolfgang Schäuble (CDU) und BKA-Chef Jörg Ziercke stets betont, die Bürger müssten sich auf höchstens „eine Handvoll Einsätze von Staatstrojanern“ einstellen. Entweder sei nun fast das ganze Set an staatlichen Computerwanzen beim CCC eingegangen oder das Versprechen sei schneller als erwartet von der Überwachungswirklichkeit überholt worden.

Auch andere Zusagen hätten in der Realität keine Entsprechung gefunden. So habe es 2008 geheißen, alle Versionen der „Quellen-TKÜ-Software“ würden individuell angefertigt. Der CCC habe nun mehrere verschiedene Versionen des Trojaners vorliegen, die alle denselben hartkodierten kryptographischen Schlüssel benutzen und nicht individualisiert seien. „Der CCC hofft inständig, dass dieser Fall nicht repräsentativ für die besonders intensive Qualitätssicherung bei Bundesbehörden ist.“

Wie es weiter geht

Das Bundesinnenministerium hat den Einsatz von Spionagesoftware durch das Bundeskriminalamt (BKA) mittlerweile dementiert. „Was auch immer der CCC untersucht hat oder zugespielt bekommen haben mag, es handelt sich dabei nicht um einen sogenannten Bundestrojaner“, zitierte das Magazin Focus aus einer Mitteilung des Ministeriums.

Den kompletten Artikel mit allen Links von Lutz Poessneck, findet ihr unter CCC: „Rechtsbruch durch Bundestrojaner“ von silicon.de.

Freundliche Grüße
das OSS-Haus Team

Verbraucherzentrale fordert ‚Privacy-by-Default‘

Voreinstellungen bei technischen Geräten und Diensten sollten maximalen Datenschutz gewährleisten – der Verbraucherzentrale Bundesverband (vzbv) hat den Bundestag aufgefordert, dieses Prinzip gesetzlich zu verankern. Der vzbv hat dafür eine Online-Petition ins Netz gestellt. Dem Bitkom gehen die Forderungen zu weit.

Verbraucher müssten sich nicht schon vor der ersten Nutzung informieren, was ein Gerät über sie Preis gibt und wo man die Einstellungen ändern könne, hieß es vom vzbv. Denn dazu fehle vielen die Zeit oder Erfahrung. „Die Kontrolle über persönliche Daten darf kein Expertenprivileg sein“, sagte vzbv-Vorstand Gerd Billen.

Nach diesen Angaben bietet die aktuell anstehende Novelle des Telemediengesetzes Gelegenheit, datenschützende Voreinstellungen gesetzlich zu verankern, wenn auch nur für Internetdienste. Auf Initiative Hessens habe der Bundesrat am 17. Juni einen entsprechenden Vorschlag auf den Weg gebracht. Dieser sehe neben der Pflicht zu maximalen Datenschutzeinstellungen auch die automatische Löschung inaktiver Accounts in Sozialen Netzwerken vor. Der vzbv unterstütze diese Forderungen. Die Bundesregierung habe dagegen am 4. August erklärt, zunächst eine Lösung auf europäischer Ebene anzustreben. „Man kann das eine tun, ohne das andere zu lassen“, so Billen. „Eine EU-Regelung würde mindestens noch drei Jahre auf sich warten lassen.“

Dem vzbv geht es nicht nur um Facebook oder Google. Datenschützende Voreinstellungen seien auch bei technischen Geräten, Software, Gewinnspielen oder im Versandhandel wichtig. Daher halte der vzbv mittelfristig eine Verankerung im Bundesdatenschutzgesetz für erforderlich. Eine Novellierung des Datenschutzrechts stehe im Zusammenhang mit dem vom Bundesinnenministerium seit längerem angekündigten Schutz der Verbraucher vor ungewünschter Profilbildung im Internet („Rote-Linien-Gesetz“) ohnehin an.

Das angestrebte Prinzip lautet ‚Privacy-by-Default‘. Standardmäßig dürften damit nur so viele Daten erfasst, verarbeitet und weiter gegeben werden, wie es für die Nutzung unbedingt erforderlich ist. Erst dies schafft echte Wahlfreiheit, die die Nutzer in die Lage versetzt, sich bewusst für oder gegen eine Einstellung zu entscheiden. Auch unerfahrene Verbraucher könnten neue Produkte und Dienste dann ohne die Sorge nutzen, dass plötzlich Daten gegen ihren Willen verwendet und verbreitet werden, weil sie eine Entwicklung oder ein neues Feature verpasst haben.

Dem Branchenverband Bitkom geht der Vorstoß des vzbv zu weit. „Meist braucht es einen Mindestumfang von Angaben, damit ein Online-Service überhaupt funktioniert und nutzerfreundlich zu handhaben ist“, sagte Bitkom-Präsident Prof. Dieter Kempf. „Das ist von Plattform zu Plattform verschieden. Die Verbraucherzentralen wählen mit ihrer Kampagne einen radikalen Ansatz und verzichten auf die notwendige Differenzierung.“

Den kompletten Artikel mit allen Links von Lutz Poessneck, findet ihr unter Verbraucherzentrale fordert ‚Privacy-by-Default‘ von silicon.de.

Freundliche Grüße
das OSS-Haus Team