{"id":5738,"date":"2010-06-09T15:32:59","date_gmt":"2010-06-09T13:32:59","guid":{"rendered":"http:\/\/www.burks.de\/burksblog\/?p=5738"},"modified":"2010-06-09T20:28:18","modified_gmt":"2010-06-09T18:28:18","slug":"all-your-data-belong-to-us","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2010\/06\/09\/all-your-data-belong-to-us","title":{"rendered":"All your data belong to us"},"content":{"rendered":"

\"Personalausweis\"<\/a><\/p>\n

Heise<\/a>: „Das Bundesministerium des Innern (BMI) und das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) haben eine Studie<\/a> zum Identit\u00e4tsdiebstahl und -missbrauch im Internet ver\u00f6ffentlicht. Das mehr als 400 Seiten starke Dokument betrachtet Identit\u00e4tsdiebstahl und Identit\u00e4tsmissbrauch aus technischer und rechtlicher Perspektive und leitet daraus Handlungsempfehlungen ab.“<\/p>\n

Ich habe es mir mal angesehen, auch unter dem Aspekt der real gar nicht existierenden „Online-Durchsuchung“.<\/p>\n

„Prinzipiell kann eine Infektion durch jegliche installierte Software auf dem Client-System stattfinden, die beispielsweise veraltet und daher auf irgendeiner Art und Weise verwundbar ist. Bei ihren Untersuchungen fand die Firma Trusteer des Weiteren heraus, dass auf fast 84 Prozent der Rechner eine verwundbare Version des Adobe-Readers installiert war. Durch b\u00f6sartige pdf-Dokumente ist es so m\u00f6glich, auf dem Endsystem des Nutzers Schadcode auszuf\u00fchren. Nat\u00fcrlich. H\u00e4ngt aber vom Betriebssystem und vom Browser ab. Frage: woher bekommt der Angreifer die (jeweils pers\u00f6nliche dynamische!) IP-Adresse des Zielobjekts, das ausgesp\u00e4ht werden soll? „Allerdings sind bisher keine M\u00f6glichkeiten bekannt, Addons automatisiert ohne Mitwissen des Nutzers zu installieren.“ Aha.<\/p>\n

„Zu einer sehr gef\u00e4hrlichen Infektionsmethode geh\u00f6rt der Drive-By-Download<\/a>, die eine Schwachstelle im Browser des Opfers ausnutzt. Aber auch der Versand per E-Mail war vor einiger Zeit sehr popul\u00e4r. Eine weitere Methode ist, an beliebte Software ein Trojanisches Pferd anzuh\u00e4ngen und anschlie\u00dfend auf Webseiten oder \u00fcber P2P-Netzwerke illegal zum Download anzubieten.“ Funktioniert nur, wenn das Zielobjekt selbst aktiv mitspielt und sich wie ein DBU (denkbar bescheuertste User) verh\u00e4lt. Frage: woher bekommt der Angreifer die (jeweils pers\u00f6nliche dynamische!) IP-Adresse des Zielobjekts, das ausgesp\u00e4ht werden soll?<\/p>\n

„Selbst durch die Nutzung erweiterter Mechanismen wie etwa speziellen Browser-Add-Ons (beispielsweise NoScript<\/a>) l\u00e4sst sich kein vollst\u00e4ndiger Schutz realisieren. Stattdessen leidet aber die Benutzerfreundlichkeit unter diesen Mechanismen, teilweise sind moderne [was heisst hier „modern“? Das ist schlicht nicht barrierefrei! BS]<\/i> Webseiten (die zwingend [Schwachfug BS]<\/i>auf Erweiterungen wie Javascript angewiesen sind) gar nicht mehr benutzbar. Zudem liegt das gro\u00dfe Problem aktueller Antivirenprogramme in ihrer Reaktivit\u00e4t, denn sie k\u00f6nnen in den allermeisten F\u00e4llen nur Malware zuverl\u00e4ssig finden, die bereits bekannt ist. Technische Ma\u00dfnahmen l\u00f6sen zudem nicht alle Sicherheitsprobleme, vielmehr ist eine umfassende Aufkl\u00e4rung der Anwender von gro\u00dfer Bedeutung“. Deswegen pl\u00e4diere ich ja schon seit langem vor, die Pr\u00fcgelstrafe f\u00fcr Webdesigner einzuf\u00fchren, die einen zu Javascript<\/a> zwingen wollen. Das eigentliche Problem hat also zwei Ohren und sitzt vor dem Monitor. Ich surfe grunds\u00e4tzlich ohne<\/i> Javascript. Und eine Website, die mich dazu zwingen will, boykottiere ich und stelle den Webdesigner unter den Generalverdacht, eine ignorante d\u00e4mliche Pfeife zu sein.<\/p>\n

„Cross-Site-Scripting (XSS) bezeichnet das Ausnutzen einer Sicherheitsl\u00fccke in Webanwendungen, wobei Informationen aus einem nicht vertrauensw\u00fcrdigen Kontext in einen anderen Kontext eingef\u00fcgt werden, in dem sie als vertrauensw\u00fcrdig gelten. Aus diesem vertrauensw\u00fcrdigen Kontext kann dann ein Angriff gestartet werden. Ziel ist meist, an sensible Daten des Opfers zu gelangen, um beispielsweise Identit\u00e4tsdiebstahl zu betreiben. Eine sehr verbreitete Methode hierf\u00fcr ist, b\u00f6sartiges JavaScript<\/i> als Payload der XSS-Schwachstelle zu \u00fcbergeben. Dieses JavaScript wird dann im vertrauensw\u00fcrdigen Kontext im Browser des Opfers ausgef\u00fchrt.“ Wie oft muss man also auf einen Webdesigner wohin einpr\u00fcgeln, damit er seine Finger von Javascript l\u00e4sst? Javascript an sich kann n\u00fctzlich sein. Wenn man aber Nutzer dazu erzieht, das nicht als Option, sondern per default aktiviert zu lassen, dann handelt man verantwortungslos.<\/p>\n

„Die Infektion eines Clients vollzieht sich dabei in mehreren Schritten: Zun\u00e4chst muss der Client bzw. dessen Anwender auf eine Website gelockt werden, auf der der entsprechende Schadcode vorhanden ist. Gerne werden dazu Websites verwendet, denen der Benutzer ein gewisses Grundvertrauen entgegenbringt.“ Frage: woher bekommt der Angreifer die (jeweils pers\u00f6nliche dynamische!) IP-Adresse des Zielobjekts, das ausgesp\u00e4ht werden soll? „Surft ein Nutzer nun auf eine solche pr\u00e4parierte Webseite und ist sein Browser anf\u00e4llig f\u00fcr den dort abgelegten Exploit, so erfolgt die \u00dcbernahme des PCs.“ Vermutlich hat so man Ziercke<\/a> so instruiert, und das hat das nat\u00fcrlich nicht verstanden und machte dann daraus: „Sie k\u00f6nnen sich die abstrakten M\u00f6glichkeiten vorstellen, mit dem man \u00fcber einen Trojaner, \u00fcber eine Mail oder \u00fcber eine Internetseite jemanden aufsucht.“ – „Initialer Schritt ist, dass der Client auf die manipulierte Website herein f\u00e4llt.“ Nein, nicht der Client, sondern der Homo sapiens, der ihn benutzt, den der Angreifer als Homo sapiens aber gar nicht erkennen kann, sondern nur dessen IP-Adresse.<\/p>\n

Eine h\u00fcbsche Anmerkung der Studie zum normalen Sicherheitsstandard: „Somit kann fast jedes Telefonat heute durch einen Angriff auf das Internet mitgeh\u00f6rt werden, und Notrufnummern k\u00f6nnen durch Intenet-basierte Denial-of-Service-Angriffe lahmgelegt werden.(…) Durch das Auftreten eines neuen, besonders aggressiven Internet-Wurms (Conficker<\/a> [gilt wieder nur f\u00fcr Windows!]<\/i>) wurden ganze Truppenteile der Bundeswehr und der franz\u00f6sischen Luftwaffe lahmgelegt.“<\/p>\n

Auch sch\u00f6n: „Die Suche nach Passw\u00f6rtern unter Google l\u00e4sst sich bspw. mit dem Suchstring intext:“password|pass|passwd“ (ext:sql | ext:dump | ext:dmp) intext:values<\/a><\/i> realisieren.“ Bruhahaha.<\/p>\n

„Zielgerichtete Angriffe auf Linux-Client-Systeme sind nach wie vor kaum zu verzeichnen. (…) Beispielsweise sind Drive-By Angriffe auf Browser unter Linux bisher nicht bekannt.“ Nur gut, dass „Gef\u00e4hrder“ und andere B\u00f6sewichter so gut wie nie Linux benutzen, Herr Chef des Bundeskriminalamtes – so hat man Sie und Frau Ramelsberger<\/a> doch sicher gebrieft?<\/p>\n

Der wichtigste Satz der Studie: „Grunds\u00e4tzlich kann Social Engineering als das Erlangen vertraulicher Informationen durch Ann\u00e4herung an Geheimnistr\u00e4ger mittels gesellschaftlicher oder gespielter Kontakte definiert werden. Das grundlegende Problem beim Social Engineering ist die Tatsache, dass Menschen manipulierbar und generell das schw\u00e4chste Glied in einer Kette sind“.<\/p>\n

Die Studie besch\u00e4ftigt sich auch mit dem neuen Personalausweis: „Der fl\u00e4chendeckende Einsatz des neuen Personalausweises allein wird Identit\u00e4tsmissbrauch nicht verhindern k\u00f6nnen: Die von kriminellen Hackern eingesetzten Tools (die \u00fcberwiegend auf Malware basieren, die im PC des Opfers ausgef\u00fchrt wird) lassen sich sehr einfach an die bislang spezifizierten Sicherheitsmechanismen anpassen. (…) Es fehlt schlichtweg ein sicherer Betriebsmodus, in dem der Browser und der B\u00fcrgerclient ausgef\u00fchrt werden k\u00f6nnen“. Das wird nat\u00fcrlich unsere Junta nicht daran hindern, den doch einzuf\u00fchren.<\/p>\n

„Es besteht offensichtlich ein erheblicher Bedarf an Information und Aufkl\u00e4rung. Es ist davon auszugehen, dass Nutzer oft \u00fcber nur sehr geringes Wissen in Bezug auf die Gefahren des Internet und die M\u00f6glichkeiten zur Abwehr von Sch\u00e4den verf\u00fcgen.“ Ja, quod erat demonstrandum. Es ist auch davon auszugehen, dass die Nutzer nicht wissen, dass sie gar nichts wissen. Das war auch schon immer so. <\/p>\n

Lesebefehl!<\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>