- C3W Newsletter - C3W Mailinglists

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 20.01.2020 bis 26.01.2020. Inhalt: - "Hacking-Gesetze" als Waffe gegen kritischen Journalismus - Deutsches Innenministerium rudert bei automatischer Gesichtserkennung zurück - Was betroffene des Buchbinder Datenlecks tun können - Aktuell viele E-Mails mit dem Trojaner Ursnif im Anhang - Studie zur Effektivität von SIM-Swapping Attacken in den USA - Internationaler Datenschutztag am 28.01. - WeLeakInfo.com beschlagnahmt - Apple bietet auf Bitte des FBI kein Ende-zu-Ende verschlüsseltes iCloud-Backup an *** "Hacking-Gesetze" als Waffe gegen kritischen Journalismus *** -------------------------------------------------- Die USA haben es gegen Julian Assange vorgemacht, Brasilien zieht jetzt nach: Glenn Greenwald, der unter anderem mit Edward Snowden zusammengearbeitet hat und dessen Informationen im Guardian veröffentlicht hatte, wurde in Brasilien angeklagt "Cybercrimes" begangen zu haben. Greenwald lebt bereits seit langem mit seinem Partner in Brasilien, ist offen homosexuell und hat in der Vergangenheit die Regierung des rechtsradikalen aktuellen Präsidenten Bolsonaro wiederholt kritisiert. Es zeigt sich also völlig überraschend, dass vage formulierte Hacking-Gesetze zum Missbrauch einladen. Nein! Doch! Ohh... Für den Fall, dass sich jemand mit der Problematik von Formulierungen in solchen Gesetzen näher beschäftigen will, hab' ich noch einen etwas älteren Beitrag der EFF zu dem Thema in Zusammenhang mit IT-Security Researcher*innen und deren Rechts(un)sicherheit in verschiedenen nord- und südamerikanischen Staaten als letzten Link angehängt. -------------------------------------------------- <https://theintercept.com/2020/01/21/glenn-greenwald-brazil-denunciation/> <https://www.eff.org/deeplinks/2020/01/when-computer-crimes-are-used-silence…> <https://netzpolitik.org/2020/brasilianische-regierung-will-glenn-greenwald-…> <https://www.theguardian.com/commentisfree/2020/jan/24/the-guardian-view-on-…> <https://www.eff.org/coders-rights-americas> *** Deutsches Innenministerium rudert bei automatischer Gesichtserkennung zurück *** -------------------------------------------------- Nach massiver Kritik an Innenminister Seehofers Plänen, automatische Gesichtserkennung auf zahlreichen Bahnhöfen und Flughäfen einzusetzen, rudert das deutsche Innenministerium jetzt zurück und will das alles nicht so gemeint haben. Die deutschen Grünen fordern indes ein gesetzliches Verbot "intelligenter Gesichtserkennung", damit diese Entscheidung nicht morgen wieder rückgängig gemacht werden kann, wenn die großen Medien nicht mehr hinschauen. In Kombination mit den Überlegungen der EU, den Einsatz derartiger Software in der gesamten Union für einige Jahre zu verbieten, lässt das ja fast hoffen, dass sich auf diesem Gebiet ein bisschen was zum Guten ändern könnte. -------------------------------------------------- <https://netzpolitik.org/2020/innenministerium-streicht-automatisierte-gesic…> *** Was betroffene des Buchbinder Datenlecks tun können *** -------------------------------------------------- Die Autovermietung Buchbinder hat einen Server mit Kund*innendaten wochenlang offen im Internet gelassen; die Daten sind also jetzt quasi Allgemeingut und können von Kriminellen anderen <insert favorite swearword here> missbraucht werden. Die c't hat einen Artikel verfasst, in dem sie zeigt, was (potentiell) Betroffene tun können und welche Ansprüche sie haben. -------------------------------------------------- <https://heise.de/-4644140> *** Aktuell viele E-Mails mit dem Trojaner Ursnif im Anhang *** -------------------------------------------------- Derzeit gibt es zumindest in Deutschland eine Welle von vorgeblichen Geschäftsmails, die in angehängten, passwortgeschützten ZIP-Archiven den Banking-Trojaner Ursnif verbreiten. Das zugehörige Passwort findet sich in der E-Mail selbst. Der Witz daran ist, dass so verhindert wird, dass Anti-Viren-Programme das ZIP-Archiv untersuchen können, da sie die Mail nicht verstehen -- also derzeit gilt "erst denken, dann klicken" doppelt! :) -------------------------------------------------- <https://heise.de/-4643571> <https://isc.sans.edu/forums/diary/German+language+malspam+pushes+Ursnif/257…> *** Studie zur Effektivität von SIM-Swapping Attacken in den USA *** -------------------------------------------------- SIM-Swapping ist ein Angriff, bei dem Kriminelle gegenüber einem Telekommunikationsanbieter behaupten, Sie seien Person XY, ihre SIM-Karte sei kaputt und sie bitten daher darum, Anrufe/SMS/etc. auf eine neue SIM-Karte umzuleiten. Opfer bekommen davon meistens nur mit, dass ihr Telefon plötzlich nicht mehr zu funktionieren scheint, aber der Grund dafür erschließt sich ihnen selten sofort. Auf diesem Weg können Kriminelle z.B. Einmal-Passwörter, die per SMS geschickt werden, abfangen. Eine Studie der Princeton University hat sich angesehen, wie effektiv die Mechanismen der Telekommunikationsprovider sind, die diese Attacken verhinden sollen. Aus dem Abstract: "We found that all five carriers used insecure authen- tication challenges that could be easily subverted by attackers." Und jetzt tun wir alle mal so, als wären wir überrascht ^_^; Insgesamt zeigt das Paper aber gut, dass es gar nicht so einfach ist, hier gute Kontrollmechanismen zu entwickeln ;) -------------------------------------------------- <https://www.schneier.com/blog/archives/2020/01/sim_hijacking.html> <https://www.issms2fasecure.com/assets/sim_swaps-01-10-2020.pdf> *** Internationaler Datenschutztag am 28.01. *** -------------------------------------------------- Am Di, 28.01. ist internationaler Datenschutztag \o/ Der C3W wird dazu ab 19:00 im Metalab sein und lädt alle Interessierten dazu ein, ihre Fragen rund um Datenschutz und Auskunftsbegehren zu stellen -- Also wenn du schonmal eine Anfrage nach DSGVO machen wolltest, aber nicht wusstest, wie das geht: Komm vorbei! :) -------------------------------------------------- <https://c3w.at/events/> <https://www.openstreetmap.org/way/345700386> *** WeLeakInfo.com beschlagnahmt *** -------------------------------------------------- Das FBI hat in Zusammenarbeit mit der niederländischen und britischen Polizei die Seite WeLeakInfo.com beschlagnahmt, auf der sich jede*r für 2€/Tag Zugang zu über 12 Milliarden illegal erworbenen Zugangsdaten beschaffen konnte. Die Seite bot auch ein "Service" à la HaveIBeenPwned an, d.h. Besucher*innen konnten ihre Zugangsdaten eingeben, um angeblich zu überprüfen, ob diese in öffentlich bekannten Leaks enthalten sind. Während das bei HaveIBeenPwned ein legitimes Angebot ist, wurden die Eingaben auf WeLeakInfo.com allerdings den gestohlenen Zugangsdaten hinzugefügt, d.h. wer hier Daten eingab, fielen Sie direkt in die Hand von Kriminellen. -------------------------------------------------- <https://heise.de/-4641513> *** Apple bietet auf Bitte des FBI kein Ende-zu-Ende verschlüsseltes iCloud-Backup an *** -------------------------------------------------- Apple hatte anscheinend vor ein paar Jahren überlegt, Ende-zu-Ende verschlüsselte Backups in der iCloud zu etablieren, ließ die Pläne dann aber anscheinend wieder fallen, nachdem sich das FBI bei ihnen darüber beschwerte, dass das Ermittlungsarbeiten erschweren würde. -------------------------------------------------- <https://www.reuters.com/article/us-apple-fbi-icloud-exclusive-idUSKBN1ZK1CT> LG, dimir

4 years, 3 months

1
0
0 0

Wöchentlicher C<3W Newsletter #34

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 13.01.2020 bis 19.01.2020. Inhalt: - Shitrix -- Spaß für die ganze Citrix-Familie - Windows 7 ist tot (endlich) - Einmal mit Profis: Zertifikatsvalidierung in Micro$loth Windoze - Evtl. Gesichtserkennungsverbot in der EU - BND und Verfassungsgerichtshof - Epicenter veröffentlicht netzpolitische Analyse des Regierungsprogramms *** Shitrix -- Spaß für die ganze Citrix-Familie *** -------------------------------------------------- CVE-2019-19781 -- vor zwei Wochen war das eine unauthentricated RCE (eine Schwachstelle, bei der Angreifer*innen beliebige Befehle über das Netzwerk auf einem Gerät ausführen können, ohne sich davor irgendwie zu authentifizieren) unter vielen. Und eigentlich hatten die Gegenmaßnahmen gar nicht so schlecht angefangen: Am 17. Dezember 2019 veröffentlichte Citrix bereits Workarounds -- keine Updates also, sondern "nur" Konfigurationsänderungen, die aber nichtsdestotrotz das Ausnutzen der Lücke unmöglich machten (zumindest war das damals die Idee). Nun, und wie das mit solchen Sicherheitsmaßnahmen halt so ist (besonders wenn sie kurz vor Feiertagen bestimmter monotheistischer Splittergruppen veröffentlicht werden), wurden sie in vielen Fällen nicht sofort umgesetzt -- was soll bei einem CVSS (Common Vulnerablilty Scoring System) Wert von 9.8 (10 ist das Maximum) auch schiefgehen? Dann kam Freitag, der 10. Jänner und mit ihm die erste Veröffentlichung eines Exploits der Lücke auf GitHub. Die "Komplexität" war as lächerlich as it gets -- de facto 2 (!!) Commando-Zeilen Befehle, das war's. Kurz darauf folgten weitere, "professioneller" geschriebene Exploits, aber komplexer wurde es nicht. (Spätestens) Mitte dieser Woche konnte eins eigentlich sicher sein: Wenn ich ein betroffenes Citrix-Gerät betreibe und die Gegenmaßnahmen noch nicht umgesetzt habe, kann ich davon ausgehen, dass "mein(e)" Citrix(e) bereits übernommen waren und außer einer kompletten Neuinstallation nichts helfen wird. Währenddessen veröffentlichte Citrix am Donnerstag, 16.1., dass noch weitere Geräte betroffen sind und außerdem, dass sie festgestellt haben, dass die veröffentlichten Workarounds bei einigen älteren Releases nicht funktionierten, sondern eins zuerst auf eine neuere Version des Systems updaten musste. Softwareupdates, die die Lücken (hoffentlich) beheben, kommen aber frühestens am 20. Jänner. In Österreich war wohl die auffälligste Auswirkung davon, dass ELAK (der ELektronische AKt) vom Wirtschaftsministerium kurzzeitig vom Netz genommen wurde, um die (längst überfälligen) Workarounds einzuspielen, aber auch deutsche Behörden blieben von dem Spaß nicht verschont. Die Moral von der Geschichte: Updates, Updates, Updates! Und wenn's die nicht gibt: Workarounds, Workarounds, Workarounds! -------------------------------------------------- <https://cert.at/de/blog/2020/1/citrix-cve-2019-19781-aktiv-ausgenutzt> <https://fm4.orf.at/stories/2997185/> <https://www.golem.de/news/shitrix-das-citrix-desaster-2001-146047.html> <https://support.citrix.com/article/CTX267027> <https://github.com/projectzeroindia/CVE-2019-19781> <https://github.com/trustedsec/cve-2019-19781> *** Windows 7 ist tot (endlich) *** -------------------------------------------------- Am Dienstag war der letzte Patch-Tuesday von Microsloth, an dem Windoze 7 noch Updates bekam. Damit ist es jetzt offiziell nicht mehr unterstützt. Solltet ihr noch so was grausliches betreiben: Ihr wisst ja, abschalten ;) -------------------------------------------------- <https://www.bleepingcomputer.com/news/microsoft/windows-7-reaches-end-of-li….> *** Einmal mit Profis: Zertifikatsvalidierung in Micro$loth Windoze *** -------------------------------------------------- Bei all dem Wirbel um Citrix ist glatt untergegangen, dass auch andere Firmen diese Woche mit lustigen Hoppalas punkteten: Micro$loth hat bei an seinem Patch-Tuesday eine Lücke geschlossen, die jede*r beliebigen Person ermöglichte, den Zertifikatsvalidierungsmechanismus von Windoze auszutricksen, indem sie ein ggefälschtes Zertifikat mit bestimmten Eigenschaften erstellt und Windoze' Validierungs-API wird es trotzdem als gültig erkennen. Aber wenn ihr jetzt denkt, dass ihr auch immer schon eure eigenen Windoze-Updates auch anderen zur Verfügung stellen wolltet: Das geht leider nicht, der Update-Mechanismus des Betriebssystems verwendet diese API nicht -- es sind lediglich so unwichtige Sachen wie TLS und signierte Binaries betroffen. Oh, und einen hab ich noch: Im Remote Desktop Gateway gibt's auch eine Remote Code Execution Schwachstelle. Ach was, Details... -------------------------------------------------- <https://www.golem.de/news/patch-tuesday-windows-patzt-bei-zertifikatspruefu…> <https://heise.de/-4639532> *** Evtl. Gesichtserkennungsverbot in der EU *** -------------------------------------------------- Die EU-Kommission arbeitet an einem "Master-Plan" zum Umgang mit AI. Eine Sache, die dabei im Raum steht, ist ein mehrjähriges Verbot für öffentliche und private Akteur*innen, Gesichtserkennung im öffentlichen Raum. Wenn das kommt, wär das ja mehr als geil :):) -------------------------------------------------- <https://netzpolitik.org/2020/eu-erwaegt-verbot-von-gesichtserkennung/> *** BND und Verfassungsgerichtshof *** -------------------------------------------------- Der Bundesnachrichtendienst verhandelt mit dem Bundesverfassungsgericht in Deutschland aktuell über die Frage, ob Ausländer*innen im Ausland quasi Freiwild für den BND sind, oder nicht. Anscheinend tritt er dabei zurückhaltender auf, als noch beim NSA-Untersuchungsausschuss -- offenbar wird wirklich befürchtet, dass das Gericht die Rechte dieses Geheimdienstes beschneiden wird und das ist auf jeden Fall erfreulich. -------------------------------------------------- <https://netzpolitik.org/2020/die-angst-des-geheimdiensts-vor-dem-gericht/> *** Epicenter veröffentlicht netzpolitische Analyse des Regierungsprogramms *** -------------------------------------------------- Mit einwöchiger Verspätung hier der Link auf die bereits am 7. Jänner veröffentlichte Analyse von Epicenter :) -------------------------------------------------- <https://epicenter.works/content/netzpolitische-analyse-des-tuerkis-gruenen-….> LG, dimir

4 years, 3 months

1
1
0 0

Wöchentlicher C<3W Newsletter #33

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 06.01.2020 bis 12.01.2020. Inhalt: - Firmen fordern starke ePrivacy-Verordnung - Dialekterkennungssoftware ist -- Überraschung! -- broken - Gutes und Schlechtes im Digitalteil des Regierungsprogramms - SHA-mbles: Erste Chose-Prefix Kollision für SHA-1 veröffentlicht - SSH Pentesting Guide - Googles Project Zero ändert seine Disclosure Richtlinien - Produktkatalog einer Überwachungsfirma per Informationsfreiheit - Cable Haunt -- Branded Vulnerabilities jetzt auch für Modems *** Firmen fordern starke ePrivacy-Verordnung *** -------------------------------------------------- Eine Gruppe von Unternehmen hat die EU-Kommission in einem offenen Brief dazu aufgefordert, möglichst schnell eine möglichst starke ePrivacy-Verordnung zu erlassen, um dadurch den europäischen Digitalmarkt zu stärken, Nutzer*innenrechte zu fördern. Das ist doch mal erfreulich :) -------------------------------------------------- <https://netzpolitik.org/2020/digitalunternehmen-fordern-strengere-regulieru…> <https://articl8.com/post/eu-companies-call-on-eu-legislators-to-implement-s…> *** Dialekterkennungssoftware ist -- Überraschung! -- broken *** -------------------------------------------------- Das deutsche Bundesamt für Migration und Flüchtlinge (BAMF) setzt seit mittlerweile über zwei Jahren automatisierte Dialekterkennung bei Asylwerber*innen ein, um festzustellen, ob deren Angaben zu ihrer Herkunft glaubwürdig sind. Abgsehen davon, dass die dieser Maßnahme zugrundeliegende durch afaik keinerlei Fakten gestützte Annahme, Flüchtlinge würden im großen Stil absichtlich falsche Angaben zu ihrer Herkunft machen, an Widerlichkeit kaum zu überbieten ist, ist die Software, die dazu eingesetzt wird total überraschenderweise unglaublich kaputt: In etwa 2/3 der Fälle ist unklar, ob die Ergebnisse der Dialektanalyse die Aussagen der betroffenen Person bestätigen oder nicht. Das schöne an der ganzen Geschichte: Im Regierungsprogramm der neuen Grün-Schwarzen Regierung sind solche Ideen auch im Gespräch (siehe nächsten Eintrag). Gut, dass Politiker*innen ja lernfähig sind, oder, um es mit Hegel zu sagen: "Aus der Geschichte der Völker können wir lernen, dass die Völker nichts aus der Geschichte gelernt haben." Zum Heulen, ernsthaft... -------------------------------------------------- <https://netzpolitik.org/2020/automatisiertes-misstrauen/> *** Gutes und Schlechtes im Digitalteil des Regierungsprogramms *** -------------------------------------------------- Die Futurezone hat eine Liste von drei guten und drei schlechten Dingen aus dem Digitalen im Regierungsprogramm zusammengezimmert, TL;DR: + Verkehrsauskunft Österreich soll als Open Data veröffentlicht werden + Das Amtsgeheimnis soll abgeschafft und ein Informationsfreiheitsgesetz eingeführt werden (wer's glaubt und so ;)) + Es gibt ein eigenes Kapitel zur bewussten Gestaltung von Technologie- und Netzpolitik, in dem z.B. mehr Mittel für die DSB in Aussicht gestellt werden - Bundestrojaner re-zombified -- Da mag der Verfassungsgerichtshof ja meinen, was er will, aber GOING DARK und TERROR und so, die Exekutive braucht sowas!!!!!einself!!11!! Denkt doch irgendwer einmal an die Kinder!!! - Sämtliche in Visumsverfahren erhobenen biometrischen Daten sollen automatisch mit einer Fahndungsdatenbank abgeglichen werden, damit diese pöhsen Ausländer*innen aus dem so pöhsen Ausland im schönen und grundguten Österreich nix Pöhses tun können! - KI (reicht eigentlich schon für negativ xD) soll unter anderem bei der automatisierten Erkennung von Dialekten bei Asylsuchenden eingesetzt werden. Moment mal, da war doch grad was dazu, oder? Wenn jemand von euch Interesse hat, sich mit diesen Dingen mehr zu beschäftigen: Es gibt aktuell eine Arbeitsgruppe im C3W, die eine Stellungnahme zum Regierungsprogramm verfassen will. Das nächste Treffen wird auf https://c3w.at/events/ veröffentlicht, sobald es feststeht bzw. könnt ihr natürlich auch einfach beim nächsten Caffeine am 21.01. anwesend sein und sagen, dass ihr mitmachen wollt :) -------------------------------------------------- <https://futurezone.at/netzpolitik/3-gute-und-schlechte-nachrichten-beim-dig…> *** SHA-mbles: Erste Chosen-Prefix Kollision für SHA-1 veröffentlicht *** -------------------------------------------------- Zwei Researcher aus Frankreich und Singapur haben als Erste eine Chosen-Prefix Kollision für SHA-1 gefunden. Als Beispiel haben sie zwei verschiedenen PGP-Schlüssel mit kollidierenden Zertifikaten erstellt. Es sei aber angemerkt, dass das bei GPG 1.4 funktioniert hat, dessen letztes Update aus 2015 stammt. -------------------------------------------------- <https://sha-mbles.github.io/> <https://eprint.iacr.org/2020/014.pdf> *** SSH Pentesting Guide *** -------------------------------------------------- Ein kleiner Guide, der erklärt, wie eins SSH pentesten kann und auch auf häufige Fehler in der Serverkonfiguration eingeht. -------------------------------------------------- <https://community.turgensec.com/ssh-hacking-guide/> *** Googles Project Zero ändert seine Disclosure Richtlinien *** -------------------------------------------------- Der Hauptpunkt dabei: Sicherheitslücken werden von nun an immer erst 90 Tage nach der Disclosure veröffentlicht und nicht sobald der Patch erschienen ist. Die Hoffnung dabei sind bessere Qualität bei den Patches, da es möglich ist, noch nachzubessern und dass die Patches beim Veröffentlichen der Lücke bereits großflächig eingespielt sind. -------------------------------------------------- <https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-e…> <https://www.golem.de/news/project-zero-googles-bug-jaeger-wollen-weniger-sc…> *** Produktkatalog einer Überwachungsfirma per Informationsfreiheit *** -------------------------------------------------- Die US NGO Open The Government hat bei einer Polizeibehörde den Produktkatalog der Firma "Special Services Group" angefordert, den diese unter Verschluss hält. Wolltet ihr nicht auch immer schon Überwachungskameras in Staubsaugern mit 1TB Festplatten? Witzig zu lesen, for some definition of "witzig". -------------------------------------------------- <https://www.golem.de/news/special-services-group-wenn-die-ueberwachungskame…> <https://www.vice.com/en_us/article/qjdp95/this-secretive-surveillance-compa…> *** Cable Haunt -- Branded Vulnerabilities jetzt auch für Modems *** -------------------------------------------------- Die dänische IT-Security Firma Lyrebirds hat eine Schwachstelle in Kabelmodems gefunden, die möglicherweise relativ weit verbreitet ist. Hatte leider noch keine Zeit, das Paper zu lesen, aber wenn ihr das tut, freu ich mich über Feedback :) Immerhin ist ein Skript dabei, mit dem eins das eigene Modem testen kann; ACHTUNG: Das fragt euch am Ende, ob ihr die Ergebnisse an Lyrebird schicken wollt, also wenn ihr das nicht wollt, löscht den Teil vom Skript vlt einfach raus, bevor ihr es laufen lasst und erspart euch das Ablehnen ;) -------------------------------------------------- <https://cablehaunt.com/> LG, dimir

4 years, 3 months

1
0
0 0

Wöchentlicher C<3W Newsletter #32

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, vorab: Frohes neues Jahr euch allen :) Und: Der Newsletter vom 22.12.2019 bis zum 05.01.2020. Wenig überraschend ist das Hauptthema der 36. Chaos Communication Congress. Allen, die dieses Jahr nicht die Chance hatten, kann ich nur raten: geht zum Congress, er ist sehr gut ;) Für mich war's das erste Mal und jetzt versteh ich die Aussage "Endlich normale Leute" auch endlich :D Inhalt: - Habemus Regierungsprogramm - 36c3 - Amazon droht Klimaaktivist*innen mit Kündigung - Elektronische Beweismittel und Englischkenntnisse von Behörden - Keine zentralisierten sozialen Medien für Behörden in Baden-Württemberg *** Habemus Regierungsprogramm *** -------------------------------------------------- ÖVP und Grüne haben ihr Regierungsprogramm vorgelegt: "Sicherungshaft" für "gefährliche Personen", Cyber Cops im BMI, und "Prüfung der Schaffung einer verfassungskonformen Regelung zur Überwachung unter anderem für verschlüsselte Nachrichten im Internet unter Berücksichtigung des VfGH-Entscheids vom Dezember 2019". Wird vermutlich wieder eine lustige Amtsperiode. Vlt. hat ja jemand Lust, ein Statement des C3W dazu zu schreiben :) -------------------------------------------------- <https://orf.at/stories/3149588/> <https://volksgruppen.orf.at/diversitaet/stories/3028437/> <https://futurezone.at/netzpolitik/ueberwachung-verschluesselter-nachrichten…> *** 36c3 *** -------------------------------------------------- Es war wieder Chaos Communication Congress und er war großartig <3 Das folgende ist nur eine kleine Liste von Talks und Artikeln dazu, es gab noch viel mehr geile Sachen :) Und zur Info: 100% der Talks sind auf Deusch und Englisch verfügbar, egal welche von beiden die Ausgangssprache war und 67% sind zusätzlich noch in einer anderen Sprache verfügbar :) Genießt die Aufnahmen, und nicht vergessen: In 357 Tagen ist wieder Congress \o/ -------------------------------------------------- <https://www.golem.de/specials/36c3/> <https://www.heise.de/thema/36C3#liste> <https://netzpolitik.org/2019/minderheit-im-visier/> <https://netzpolitik.org/2019/technik-politik-und-freundschaft/> <https://media.ccc.de/v/36c3-11008-server_infrastructure_for_global_rebellion> <https://media.ccc.de/v/36c3-11141-geheimdienstliche_massenuberwachung_vs_me…> <https://media.ccc.de/v/36c3-11217-finfisher_verklagen> <https://media.ccc.de/v/36c3-10496-das_mauern_muss_weg> <https://media.ccc.de/v/36c3-10963-der_netzpolitische_jahresruckblick> <https://media.ccc.de/v/36c3-10574-human_rights_at_a_global_crossroads> <https://media.ccc.de/v/36c3-10627-cryptography_demystified> <https://media.ccc.de/v/36c3-10828-polizei-datenbanken_und_minderheiten_staa…> <https://media.ccc.de/v/36c3-11218-weichenstellung> <https://media.ccc.de/v/36c3-10652-bahnmining_-_punktlichkeit_ist_eine_zier> <https://media.ccc.de/v/36c3-10706-boot2root> <https://media.ccc.de/v/36c3-10561-the_eye_on_the_nile> <https://media.ccc.de/v/36c3-10885-unpacking_the_compromises_of_aadhaar_and_…> <https://media.ccc.de/v/36c3-10890-welcome_pattern_-_theorie_und_praxis> *** Amazon droht Klimaaktivist*innen mit Kündigung *** -------------------------------------------------- Amazon hat Mitarbeiter*innen, die die (fehlende) Klimapolitik bzw. die Zusammenarbeit mit der Ölindustrie und Klimawandel-Leugner*innen, kritisieren mit disziplinären Maßnahmen bis hin zur Kündigung gedroht. Wer öffentlich über Amazon sprechen will, muss sich dafür vorab eine Genehmigung abholen. -------------------------------------------------- <https://futurezone.at/digital-life/amazon-droht-klima-aktivisten-zu-kuendig…> *** Elektronische Beweismittel und Englischkenntnisse von Behörden *** -------------------------------------------------- Während die geplante e-Evidenz Verordnung Internetfirmen zu mehr Zusammenarbeit mit Justiz und Polizei zwingen soll, zeigt ein aktuell von Europol veröffentlichter Bericht, dass derartigen Anfragen ohnehin schon in 2/3 der Fällen akzeptiert werden -- Weigerungen zur Herausgabe von Daten liegen meisten an Fehlern in der Anfrage. Interessant ist auch, dass nur einige wenige Staaten Europas (DE, FR, UK, PL, ES, IT) für 90% der Anfragen verantwortlich sind, Deutschland alleine stellt 38.0% davon. -------------------------------------------------- <https://netzpolitik.org/2020/herausgabe-elektronischer-beweismittel-scheite…> *** Keine zentralisierten sozialen Medien für Behörden in Baden-Württemberg *** -------------------------------------------------- Der Datenschutzbeauftragte Baden-Württembergs hat angekündigt, seinen Twitter-Account mit Ende Jänner 2020 zu löschen und die Nutzung durch Behörden generell als nach der DSGVO nicht mehr zulässig erklärt. Eine mögliche Folge dieser Entscheidung könnte sein, "dass [die DSB Baden-Württembergs] möglicherweise von [ihren] Aufsichtsbefugnissen Gebrauch mach[t] und anordne[t], dass zum Beispiel Behörden soziale Medien verlassen." Alternativen zur Kommunikation sollen nicht-gewerbliche, dezentrale Netzwerke wie Mastodon darstellen. Auf jeden Fall spannend, wie sich das weiterentwickelt :) -------------------------------------------------- <https://www.golem.de/news/bye-bye-twitter-und-facebook-social-media-auftrit…> LG, dimir

4 years, 4 months

1
0
0 0

Wöchentlicher C<3W Newsletter #31

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 16.12.2019 bis 21.12.2019 (is ja noch nicht Sonntag ;)). Wie schon im letzten Newsletter angekündigt, wird das wohl der letzte für dieses Jahr, aber immerhin können wir dann frisch mit dem 2^5. Newsletter im neuen Jahr starten :) Dementsprechend wünsch ich euch allen schonmal einen guten Rutsch und bis 2020! :) Bzw. an alle, die zum Congress fahren: Bis nächste Woche! <3 Inhalt: - Amazon, Netflix und Spotify setzen DSGVO ungenügend um - EU-Generalanwalt gibt Schrems in Facebook-Fall Recht - Twitter sperrt kurzzeitig Polizeiaccounts in Nordrhein-Westfalen - Facebook will ein eigenes Betriebssystem - "Ethical AI" powered by Google, Facebook, Microsoft & Co. - Amnesty veröffentliche Bericht über den Einfluss der Überwachungsindustrie auf Menschenrechtsaktivist*innen *** Amazon, Netflix und Spotify setzen DSGVO ungenügend um *** -------------------------------------------------- Überraschung, ich weiß. Aber jetzt gibt's dazu auch eine Studie \o/ -------------------------------------------------- <https://netzpolitik.org/2019/amazon-netflix-und-spotify-fallen-durch/> <http://www.eu.boell.org/en/2019/12/11/privacy-eu-and-us-consumer-experience…> *** EU-Generalanwalt gibt Schrems in Facebook-Fall Recht *** -------------------------------------------------- Die EU-Generalanwaltschaft hat in ihrem Schlussantrag vor dem EuGH Max Schrems und noyb in ihren Bedenken am Datenschutz bei Facebook rechtgegeben. Diese Schlussanträge sind rechtlich nicht bindend, aber haben lt. dem Artikel von netzpolitik.org großen Einfluss auf die Urteile des EuGH. Das ist ja prinzipiell gut, aber wenn's eigentlich v.a. darum geht, dass der EuGH die irische Datenschutzbehörde dazu bringen will, endlich ihre Arbeit zu machen, ist das trotzdem ein bisschen traurig... -------------------------------------------------- <https://netzpolitik.org/2019/eu-generalanwalt-gibt-schrems-in-facebook-fall…> <https://noyb.eu/wp-content/uploads/2019/12/pa_ag_19-12-2019_en.pdf> *** Twitter sperrt kurzzeitig Polizeiaccounts in Nordrhein-Westfalen *** -------------------------------------------------- Dass als Bot geblockt zu werden gar nicht mal so geil ist, durfte jetzt auch die Exekutive live erfahren: Elf Accounts wurden wegen "verdächtiger Aktivitäten" für zwei Tage gesperrt, der genaue Grund ist unklar. -------------------------------------------------- <https://netzpolitik.org/2019/polizisten-koennen-zwei-tage-lang-nicht-twitte…> *** Facebook will ein eigenes Betriebssystem *** -------------------------------------------------- Um sich von den pöhsen, nicht vertrauenswürdigen Konkurrenzfirmen Google und Apple unabhängig zu machen, will Facebook jetzt auch ein eigenes Betriebssystem haben und hat sich dafür einen Menschen eingekauft, der früher bei Microsoft Co-Autor von Windows NT war. Klingt, als müssten wir uns also keine echten Sorgen machen xD Um einen sehr alten Otto-Spruch zu zitieren: Das kann ja eiter werden. -------------------------------------------------- <https://heise.de/-4621663> *** "Ethical AI" powered by Google, Facebook, Microsoft & Co. *** -------------------------------------------------- Ein kleiner Einblick in die Welt der "Ethical AI" bzw. wie dabei wissenschaftliche Institutionen von Konzernen missbraucht werden, um ihre Interessen durchzusetzen und wie sich manche Wissenschaftler*innen das gerne gefallen lassen. -------------------------------------------------- <https://theintercept.com/2019/12/20/mit-ethical-ai-artificial-intelligence/> *** Amnesty veröffentliche Bericht über den Einfluss der Überwachungsindustrie auf Menschenrechtsaktivist*innen *** -------------------------------------------------- Sehr lesenswerte Zusammenfassung der Überwachungsindustrie, wie sie die Arbeit von Menschenrechtsaktivist*innen erschwert/gefährlicher macht und was Staaten, Firmen und Investor*innen dagegen tun können. Gerade falls ihr euch noch nicht näher mit diesen Themen befasst habt, bekommt ihr hier einen guten Überblick inklusive einiger Beispiele und mit zahlreichen Verweisen zu mehr Ressourcen. -------------------------------------------------- <https://www.amnesty.org/en/documents/act30/1385/2019/en/> LG, dimir

4 years, 4 months

1
0
0 0

Wöchentlicher C<3W Newsletter #30

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 09.12.2019 bis 15.12.2019. Diese Woche war leider wieder sehr voll mit Scheißzeug, muss ich gestehen ^_^; Und ich bin jetzt schon seit 2 Wochen eine Korrektur schuldig: In Newsletter #28 schrub ich, dass einige HPE SSDs nach exakt 2^16h den Geist aufgeben -- das war eine 2er-Potenz zu hoch gegriffen, de facto geben sie nach 2^15h den Geist auf. Danke an alle, die mich darauf hingewiesen haben und sorry nochmal für die verspätete Korrektur. Nächste Woche folgt dann wahrscheinlich der letzte Newsletter 2019, denn ich gehe davon aus, dass ich am Congress nicht dazu kommen werde, einen zu schreiben ;) Inhalt: - Verfassungsgerichtshof kippt Überwachungspaket - Twitter will einen offenen Standard für Soziale Medien - Das Urheberrecht soll Kritik am Staat verstummen lassen -- in Deutschland - Plundervolt - Intelhardware hat eine neue Schwachstelle mit eigener Webseite - Predictive Policing ganz ohne KI, menschliche Dummheit reicht - Überwachungsfirmen bauen "unpatchbaren" Jailbreak in ihre Software ein - "Starke" und "schwache" KI im militärischen Kontext - Et tu, brute? Banking-Websites mit veralteten Ciphern für HTTPS *** Verfassungsgerichtshof kippt Überwachungspaket *** -------------------------------------------------- Der Verfassungsgerichtshof hat das Überwachungspaket das unter der FPÖVP-Regierung beschlossen worden war, zu großen Teilen gekippt; Bundestrojaner und KFZ-Überwachung sind auch nach Einschätzung des VfGH verfassungswidrig \o/ -------------------------------------------------- <https://epicenter.works/content/verfassungsgerichtshof-erteilt-dem-ueberwac…> <https://orf.at/stories/3147210/> *** Twitter will einen offenen Standard für Soziale Medien *** -------------------------------------------------- Was der Titel sagt. Es bleibt zu hoffen, dass wir hier nicht einen weiteren Standard bekommen, sondern Twitter einfach Geld und Zeit auf existierende Lösungen wie ActivityPub wirft. -------------------------------------------------- <https://netzpolitik.org/2019/twitter-baut-offenen-standard-fuer-soziale-med…> *** Das Urheberrecht soll Kritik am Staat verstummen lassen -- in Deutschland *** -------------------------------------------------- tl;dr: Staatliche Stellen in Deutschland missbrauchen das Urheberrecht als Instrument, um Bürger*innen Informationen über Gutachten die von ihren Steuergeldern finanziert wurden, vorzuenthalten. Schön, dass das auch in Demokratien möglich ist. Das Leben schreibt die besten Geschichten, oder so ähnlich... -------------------------------------------------- <https://netzpolitik.org/2019/bundesregierung-verklagt-fragdenstaat-mal-wied…> *** Plundervolt - Intelhardware hat eine neue Schwachstelle mit eigener Webseite *** -------------------------------------------------- In Intels SGX wurde eine Schwachstelle gefunden, die es Angreifer*innen mit Root-Rechten remote und lokal ermöglicht, vermeintlich sichere Berechnungen mitzulesen. Und natürlich hat der Angriff standesgemäß eine eigene Webseite... Schauen wir mal, ich tippe mal drauf, dass die real-world Implikationen ungefähr so krass wie bei Spectre/Meltdown sein werden, i.e. viel Geschrei um nix. -------------------------------------------------- <https://plundervolt.com/> <https://heise.de/-4611068> *** Predictive Policing ganz ohne KI, menschliche Dummheit reicht *** -------------------------------------------------- Menschen bis zu sieben Tage einsperren, wenn sie ihren Namen nicht nennen wollen und bis zu einem Monat, wenn sie in den Tagträumen irgendwelcher Beamt*innen unter Umständen, vielleicht ein Verbrechen begehen könnten -- klingt verrückt? Gibt's aber seit einem Jahr in Nordrhein-Westfalen. Aber wir müssen uns ja keine Sorgen machen, in Rechtsstaaten würde die Exekutive solche Gesetze niemals missbrauchen; also genausowenig wie andere Stellen das Urheberrecht missbrauchen würden. -------------------------------------------------- <https://netzpolitik.org/2019/vier-klima-aktivistinnen-praeventiv-eingesperr…> *** Überwachungsfirmen bauen "unpatchbaren" Jailbreak in ihre Software ein *** -------------------------------------------------- Wie in Newsletter #19 berichtet, hat Ende September einen Jailbreak für viele iOS-Geräte gefunden, der nicht gepatched werden kann. Der wird jetzt auch von Überwachungssoftwarefirmen wie Cellebrite in ihren Produkten eingesetzt. -------------------------------------------------- <https://heise.de/-4614440> *** "Starke" und "schwache" KI im militärischen Kontext *** -------------------------------------------------- Sehr interessante Analyse zu den (fehlenden) Überlegungen der deutschen Bundeswehr über "starke" und "schwache" KI, autonome Waffen und "Kollateralschäden". -------------------------------------------------- <https://heise.de/-4615272> *** Et tu, brute? Banking-Websites mit veralteten Ciphern für HTTPS *** -------------------------------------------------- Eine kleine Analyse von Banking-Webseiten und den von ihnen unterstützen SSL/TLS Versionen. Ja, es gibt noch Banken, die SSL einsetzen... Wie schon im Newsletter #16 erwähnt: Falls ihr Server betreibt, dreht einfach alles außer TLS1.2 und TLS1.3 ab, das ist besser für alle Beteiligten :) Und danke an die Person, die mich immer wieder daran erinnert, darauf hinzuweisen :) -------------------------------------------------- <https://isc.sans.edu/diary/rss/25606> LG, dimir

4 years, 4 months

1
0
0 0

Wöchentlicher C<3W Newsletter #29

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 02.12.2019 bis 08.12.2019. Das Ende des Jahres naht mit Riesenschritten und nicht alle, die sich für Netzpolitik einsetzen, wissen, wie und ob es nächstes Jahr weitergeht. Also: Falls ihr noch etwas Geld übrig habt, unterstützt netzpolitik.org, epicenter.works, NOYB, die EFF und/oder andere Organisationen, die sich für unsere Rechte im digitalen Raum einsetzen, damit wir auch 2020 noch genug Gegenstimmen zu den Marktschreier*innen der Totalüberwachung, Zensur und "Anti-Terror-Kampf" aus Markt und Politik haben! :) Inhalt: - EFF White Paper zu Tracking und wie eins sich dagegen wehrt - Ach mein Login-Screen, dein Login-Screen, das sind doch bürgerliche Kategorien - Gesichtserkennung für Österreichs Polizei doch erst 2020 - Deutsches Bundesverfassungsrecht prüft Befugnisse des BND - Netzpolitik.org Jahresrückblick 2019 *** EFF White Paper zu Tracking und wie eins sich dagegen wehrt *** -------------------------------------------------- Die EFF (Electronic Frontier Foundation) hat ein White Paper zu aktuellen Trackingtechnologien im Web, auf mobilen Geräten und im "real live" veröffentlicht. Extrem guter Überblick aus technischer, wirtschaftlicher und ethischer Betrachtungsweise, inklusive einiger Ideen, wie eins sich dagegen wehren kann. Eigenlich bleibt nur ein Zitat aus dem Paper: "Finally, keep in mind that none of this is your fault. Privacy shouldn’t be a matter of personal responsibility. It’s not your job to obsess over the latest technologies that can secretly monitor you, and you shouldn’t have to read through a quarter million words of privacy-policy legalese to understand how your phone shares data. Privacy should be a right, not a privilege for the well-educated and those flush with spare time. Everyone deserves to live in a world—online and offline—that respects their privacy." -------------------------------------------------- <https://www.eff.org/wp/behind-the-one-way-mirror> <https://heise.de/-4604832> *** Ach mein Login-Screen, dein Login-Screen, das sind doch bürgerliche Kategorien *** -------------------------------------------------- Bösartige Apps können sich auf Android 6-10 als andere Apps ausgeben und z.B. Login-Screens faken. Die Lücke wird aktuell von mindestens 36 Malware-Apps ausgenützt, aber einen Patch gibt es noch nicht. -------------------------------------------------- <https://www.golem.de/news/strandhogg-sicherheitsluecke-in-android-wird-akti…> *** Gesichtserkennung für Österreichs Polizei doch erst 2020 *** -------------------------------------------------- Doch keine Gesichtserkennung ab Dezember für die österreichische Polizei -- stattdessen ist jetzt Ende 2020 geplant. -------------------------------------------------- <https://futurezone.at/netzpolitik/polizei-verschiebt-start-der-gesichtserke…> *** Deutsches Bundesverfassungsrecht prüft Befugnisse des BND *** -------------------------------------------------- Der deutsche Bundesverfassungsgericht prüft aktuell die Befugnisse des BND (Bundesnachrichtendienst), da die Rechtslage eine globale Massenüberwachung legalisiere. Detail am Rande: Die Verfassungsbeschwerde dazu wurde am 19. Dezember *2017* (!) eingereicht. -------------------------------------------------- <https://www.golem.de/news/ueberwachung-bundesverfassungsgericht-verhandelt-…> *** Netzpolitik.org Jahresrückblick 2019 *** -------------------------------------------------- Netzpolitik.org hat einen Jahresrückblick für 2019 veröffentlicht und fasst darin zusammen, was in DE der EU so passiert ist. -------------------------------------------------- <https://netzpolitik.org/2019/das-jahr-in-zahlen-fragen-und-bildern/> LG, dimir

4 years, 4 months

1
0
0 0

Wöchentlicher C<3W Newsletter #28

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 25.11.2019 bis 01.12.2019. Inhalt: - Neighbour-Watch Powered by Amazon - Einige HPE Festplatten sterben nach exakt 2^16h - Deutsche Datenschutzbehörde will mehr Zusammenarbeit mit anderen DSBs - Top 25 Schwachstellen in Software - Google gegen seine Mitarbeiter*innen - Online-Dienste sind großteils nicht DSGVO-konform *** Neighbour-Watch Powered by Amazon *** -------------------------------------------------- Es gibt Artikel, da denk' ich mir wirklich einfach nur WTF? Amazon will mit seinen privaten Überwachungskameras und "AI" automatisch Personen als "verdächtig" markieren und das dann gleich auch allen Nachbar*innen und der Polizei melden, damit die eingreifen können. Und Besitzer*innen von Amazon Ring dürfen auch selbst Leute als suspicious einstufen und das weiterleiten. Kann ja nix schiefgehen dabei :facepalm: -------------------------------------------------- <https://theintercept.com/2019/11/26/amazon-ring-home-security-facial-recogn…> *** Einige HPE Festplatten sterben nach exakt 2^16h *** -------------------------------------------------- Dank eines vermutlichen Buffer-Overflow Errors in einem Timer sterben einige SSDs von HPE (die Enterprise Variante von HP) nach exakt 32768 Betriebsstunden. Sind sie erstmal tot, gibt's keine Möglichkeit mehr, Daten oder Festplatte zu retten, aber immerhin gibt's ein Firmwareupgrade, das eins bei noch lebende Festplatten einspielen kann. Ein ziemlich gutes Beispiel dafür, warum immer Geräte von unterschiedlichen Firmen parallel eingesetzt werden sollten, um Dinge wie "Oh, meine RAID-Platten sind gerade alle gleichzeitig eingegangen" zu vermeiden... -------------------------------------------------- <https://www.golem.de/news/firmware-einige-hpe-ssds-fallen-nach-vier-jahren-…> *** Deutsche Datenschutzbehörde will mehr Zusammenarbeit mit anderen DSBs *** -------------------------------------------------- Die deutsche Datenschutzbehörde will verstärkt mit anderen Datenschutzbehörden, allen voran der konstant überarbeiteten und unterbesetzten irischen, EU-übergreifend zusammenarbeiten, um mehr Datenschutz für alle zu schaffen. Das ist doch mal eine gute Nachricht :) -------------------------------------------------- <https://heise.de/-4597554> *** Top 25 Schwachstellen in Software *** -------------------------------------------------- Was gibt es schöneres als best-of Listen? Nach acht Jahren wurde die Liste der Top 25 gefährlichsten Softwarefehler mal wieder aktualisiert. Enjoy reading ;) -------------------------------------------------- <https://cwe.mitre.org/top25/archive/2019/2019_cwe_top25.html> *** Google gegen seine Mitarbeiter*innen *** -------------------------------------------------- Für Google zu arbeiten ist gar nicht mal so geil -- das sehen anscheinend auch die dort Angestellten in zunehmendem Maße so und stellen fest, dass die Konzernführung anscheinend doch gar nicht so auf Mitspracherecht und Ethik bedacht ist. Ehm, äh, nun, äh, also, "Überraschung"? -------------------------------------------------- <https://heise.de/-4597787> *** Online-Dienste sind großteils nicht DSGVO-konform *** -------------------------------------------------- Das deutsche Justizministerium hat eine Studie in Auftrag gegeben, die die Umsetzung der DSGVO bei Online-Diensten untersucht. Total unerwartetes Ergebnis lt. Justizsekretär Gerd Billen: "Nicht ansatzweise alle Dienste haben die DSGVO umgesetzt, und dies schon gar nicht vollständig" Ich war leider nicht fähig, die Studie selbst zu finden, im Heise-Artikel findet sich nämlich ein Hinweis darauf, dass auch DuckDuckGo nicht DSGVO-konform agiert und das würd' mich genauer interessieren :) -------------------------------------------------- <https://heise.de/-4598540> <https://www.golem.de/news/facebook-google-snapchat-wie-it-konzerne-den-date…> LG, dimir

4 years, 5 months

1
0
0 0

Wöchentlicher C<3W Newsletter #27

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 18.11.2019 bis 24.11.2019. Inhalt: - Uploadfilter in der EU: Print und Musik vs. Film - TikTok, die Uhr schlägt Zensur - Tag der offenen Ports bei Arztpraxis powered by Deutsche Telekom - Amnesty veröffentlicht Report über die Surveillance-Giants Google, Facebook und Co. - The Iran Cables: 700-Seiten Leak Iranischer Geheimdienste *** Uploadfilter in der EU: Print und Musik vs. Film *** -------------------------------------------------- Bei den Stakeholder-Gesprächen zur Copyright-Richtlinie der EU, stellt sich doch glatt heraus, dass nicht alle Industrien dasselbe wollen: Während Verlage und Musikindustrie anscheinend eher darauf bedacht sind, die Möglichkeit der Uploadfilter als Druckmittel gegen Plattformen einzusetzen, damit diese ihnen eine möglichst hohe Vergütung für die Lizensierung bezahlen müssen, will die Filmindustrie ein Filternet wie es im Buche steht -- da gibt's nämlich überhaupt kein Interesse an einer breiten Lizensierung. Spannende Einblicke :) -------------------------------------------------- <https://fm4.orf.at/stories/2994444> *** TikTok, die Uhr schlägt Zensur *** -------------------------------------------------- Das soziale Netzwerk TikTok ist in letzter Zeit schneller gewachsen als alle anderen; die dazugehörige App wurde im letzten Jahr häufiger installiert als alle anderen (wie vorinstallierte Apps da behandelt werden, weiß ich nicht ;)). Es hat auch am schnellsten die 1-Milliarde-Nutzer*innengrenze gesprengt. Wie alle anderen großen Plattformen, gibt es auch nie TikTok Moderation, aber anders als die bisherigen Firmen, sitzt TikTok nicht in den USA, sondern in China, was die Rahmenbedingungen doch erheblich verändert. Netzpolitik.org hat sich angesehen, wie die Moderationsregeln von TikTok aussehen und wie das Unternehmen mit Themen wie Tibet, dem Tiananmen oder den aktuellen Protesten in Hongkong umgeht. Geholfen hat ihnen dabei eine Quelle von TikTok selbst. -------------------------------------------------- <https://netzpolitik.org/2019/gute-laune-und-zensur/> *** Tag der offenen Ports bei Arztpraxis powered by Deutsche Telekom *** -------------------------------------------------- Ein Bug in Routern, die die Deutsche Telekom bei Kund*innen einsetzt, hat dazu geführt, dass wenn eins HTTPS-Traffic freischalten will, nicht nur Port 443, sondern gleich Ports 440-449 geöffnet werden. Nachdem auf Port 445 SMB läuft, kann da ja nix schiefgehen -- sofern der öffentliche Zugang zu sämtlichen Daten die im internen Netzwerk über SMB geteilt werden nix ist. Genau das ist in (mindestens) einer Gemeinschaftspraxis in DE passiert und betraf Daten von etwa 30 000 Patient*innen. Richtig, *richtig* böses Aua... Immerhin war die Lücke bei der Telekom erst seit Mai 2019 bekannt und der Patch dazu kam anscheinend immerhin schon im November 2019 raus -- der Kommentar des Sprechers der Telekom dazu: "Wenn Sie mich fragen, warum es von Mai bis heute gedauert hat, einen solchen Patch anzubieten, so kann ich Ihnen darauf keine Antwort geben. Das ist eindeutig ein Fehler von uns, hier hätten wir schneller gemeinsam mit dem Hersteller Bintec Elmeg agieren müssen." Joa, Selbsterkenntnis ist der erste Weg zur Besserung oder so ^_^; -------------------------------------------------- <https://heise.de/-4590103> *** Amnesty veröffentlicht Report über die Surveillance-Giants Google und Facebook *** -------------------------------------------------- Amnesty hat sich das Business-Modell und die Geschäftspraktiken von Google und Facebook angeschaut und kommt dabei zu dem Ergebnis, dass diese Menschenrechte bedrohen. Nun, nichts neues, ich hab den Report (noch) nicht gelesen, aber schön, wenn auch Amnesty dazu was sagt :) Und allen, die sich mit dem Thema intensiver und nicht nur in Bezug auf Google und Facebook beschäftigen wollen, denen sei Shoshana Zuboffs "The Age of Surveillance Capitalism: The Fight for a Human Future at the New Frontier of Power" wärmstens empfohlen -- hab's gerade gelesen und bin von der Gesamtanalyse sehr beeindruckt. -------------------------------------------------- <https://www.amnesty.org/en/documents/pol30/1404/2019/en/> *** The Iran Cables: 700-Seiten Leak Iranischer Geheimdienste *** -------------------------------------------------- Ist zwar nicht von dieser Woche und nicht Netzpolitik/Tech-Krams, aber sicher für die einen oder den anderen interessant: Der Intercept hat Dokumente im Ausmaß von ~700 Seiten aus dem Fundus der iranischen Geheimdienste bekommen. Über den Inhalt kann ich nichts sagen, da ich absolut kein Experte auf dem Gebiet bin, aber mehr Transparenz bei Geheimdiensten ist immer gut ;) -------------------------------------------------- <https://theintercept.com/series/iran-cables/> LG, dimir

4 years, 5 months

1
0
0 0

Wöchentlicher C<3W Newsletter #26

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 11.11.2019 bis 17.11.2019. Inhalt: - Gesichtserkennung wird in AT bald Beweismethode - Ausweitung des Staatstrojanereinsatzes in DE - (Vorerst) keine Ende zu Ende Verschlüsselung für das Anwaltspostfach in DE - Deutsches Justizministerium will erweiterte DNA Analysen - Rootkits and Other Backdoors - Browser Fingerprinting: A survey - Was UDP kann, kann TCP schon lange: (D)DoS mittels TCP Amplification Attacks - Die italienische 5 Sterne Bewegung und dieses Internet *** Gesichtserkennung wird in AT bald Beweismethode *** -------------------------------------------------- Seit April 2019 steht fest, dass die Poizei in AT vorhat, Gesichtserkennung als Beweismethode bei Straftaten einzusetzen. Der Plan: Werden Kriminelle bei einer Straftat gefilmt, werden aus den Aufnahmen der Kamera(s) Bilder der Gesichter extrahiert und diese mit jenen einer Datenbank verglichen, in der Bilder von erkennungsdienstlich erfassten Personen gespeichert sind. Bei den Kameras muss es sich nicht um Überwachungskameras handeln, Daten von Smartphones oder anderen Geräten sind ebenso möglich. Die Schwere der Straftat ist beim Einsatz dieser Technik übrigens völlig egal, es muss aber eine "gerichtlich strafare, vorsätzliche Straftat" sein -- ob sich das bei beliebigen Aufnahmen zweifelsfrei feststellen lässt, sei mal dahingestellt. Gerade zu einer Zeit, in der "Deep Fakes" immer problemloser hergestellt werden können, muss bei der Akzeptanz von Aufnahmen von Smartphones oder ähnlich vertrauenswürdigen (IoT-)Geräten von Anfang an geklärt werden, wie die Behörden sicher gehen können, dass es sich nicht um eine Fälschung handelt bzw. zumindest klar geregelt sein, welche Schritte unternommen werden, um die Echtheit zu überprüfen. Im Artikel wird das allerdings gar nicht thematisiert. Grundsätzlich ist dieser Einsatz von Gesichtserkennung imho nicht die dümmste Idee aus diesem Gebiet, die ich in den letzten Jahren gelesen hab', aber wirklich durchdacht erscheint sie auch nicht und die Aussage, dass das ja nur ein "Ermittlungsansatz" sei, halte ich für schwer fragwürdig. Das mag zwar theoretisch nett klingen, de facto ist aber wie z.B. beim AMS-Algorithmus zu vermuten, dass Beamt*innen, die der Empfehlung der Software nicht nachgehen wollen, dies auführlich begründen werden müssen, während einfaches Befolgen der Computerempfehlung keine Mehrarbeit bedeuten wird. Auch der Umstand, dass eine Echtzeit-Überwachung mit der aktuellen Software und Gesetzeslage nicht machbar wäre, sagt wenig aus; dazu bleibt nur das Zitat von Epicenter.works in dem Artikel zu zitieren: "[A]us der Vergangenheit wissen wir, dass solche Eingriffe bzw. Befugnisse meist nach und nach ausgeweitet werden." -------------------------------------------------- <https://orf.at/stories/3143858> *** Ausweitung des Staatstrojanereinsatzes in DE *** -------------------------------------------------- Wenn wir schon beim Befugnisse ausdehen sind: Die große Koalition in Deutschland hat jetzt beschlossen, dass der Staatstrojaner nicht nur im Falle von Verdacht auf Bandendiebstahl eingesetzt werden darf, sondern sich künftig auch gegen als Einzeltäter*innen verdächtigte Personen richtet. Grund: Bei wiederholten Einbrüchen müssen ja die Waren auch wiederholt angeboten und verkauft werden und dabei "steht zu erwarten", dass das über Telekommunikationskanäle stattfindet, was deren Überwachung rechtfertigt. Ist auch sicher ganz klar die einzige Möglichkeit, Einbrecher*innen dingfest zu machen, andere Wege stehen der Exekutive zu wenige offen und Kriminelle haben ja sicher immer super OpSec, drum ist eine solche Maßnahme wahrscheinlich sogar *alternativlos*. -------------------------------------------------- <https://www.golem.de/news/wohnungseinbrueche-koalition-findet-neue-begruend…> *** (Vorerst) keine Ende zu Ende Verschlüsselung für das Anwaltspostfach in DE *** -------------------------------------------------- Das "besondere elektronische Anwaltspostfach" ist der Idee nach eine schöne Sache: Anwält*innen in Deutschland sollen mit dieser speziellen E-Mail-Plattform "sicher" mit Justiz, Behörden und untereinander kommunizieren können und müssen das seit 2018-01-01 auch, zumindest "passiv". Mit Ruhm hat sich Umsetzung aber bisher nicht bekleckert; so kam z.B. im August 2019 heraus, dass die Software leider nicht mit Umlauten umgehen kann (hätte ja auch im Deutschen niemand mit Umlauten rechnen können!!11einself) und dabei so dämlich failed, dass die/der Sender*in eine Bestätigung der Zustellung erhält, während auf der Empfangsseite nie etwas ankommt -- hat aber nur ein paar Gerichtsverfahren um teilweise Monate verzögert, also kein Problem. Die Lösung des ganzen war übrigens nicht, die Software anzupassen -- wo kämen wir denn da hin -- sondern Nutzer*innen verstärkt darauf hinzuweisen, dass die Verwendung von Umlauten pöhse ist. Wer genug Hinweise erhalten hat und trotzdem Umlaute verwendet, ist dann für die eventuellen Folgen auch haftbar -- klares :thumbsup: für diese Professionalität. Nun haben einige Rechtsanwält*innen per Klage gefordert, dass das Ding zumindest Ende zu Ende Verschlüsselung kann, weil die Spezifikation das ihrer Ansicht nach so vorschreibt. Der Amtsgerichtshof Berlin hat diese Klage jetzt aber abgewiesen, allerdings ist eine Revision vor dem deutschen Bundesgerichtshof zu erwarten -- es bleibt also spannend mit diesem Stück Qualitätssoftware. -------------------------------------------------- <https://www.golem.de/news/bea-besonderes-elektronisches-anwaltspostfach-kan…> <https://www.golem.de/news/anwaltsgerichtshof-keine-ende-zu-ende-verschluess…> *** Deutsches Justizministerium will erweiterte DNA Analysen *** -------------------------------------------------- Eine erweiterte DNA Analyse ist eine, bei der aus der DNA mithilfe statistischer Methoden auch Rückschlüsse auf Merkmale wie Augen-, Haar- und Hautfarbe gezogen werden können. Theoretisch zumindest. Faktisch ist die Technik noch eher in den Kinderschuhen; die Wissenschaftlerin Prof. Dr. Veronika Lipphardt sagt im Interview mit Netzpolitik.org "DNA ist ein hochkomplexes Gebilde und WissenschaftlerInnen müssen ungeheuer vielseitige Fähigkeiten haben, um diese Informationen interpretieren zu können." Na dann kann ja nix mehr schiefgehen, wenn das in Zukunft sämtliche Polizist*innen machen dürfen... -------------------------------------------------- <https://netzpolitik.org/2019/dna-ist-kein-augenzeuge-der-eine-aussage-mache…> *** Rootkits and Other Backdoors *** -------------------------------------------------- Guter Überblicksartikel zu den verschiedenen Arten von Rootkits und Backdoors auf Linux/UNIX Systemen:) -------------------------------------------------- <https://capsule8.com/blog/dont-get-kicked-out-a-tale-of-rootkits-and-other-…> *** Browser Fingerprinting: A survey *** -------------------------------------------------- Eine überarbeitete Version von einem bereits im Mai 2019 erstmals veröffentlichtem Paper, das sich damit auseinandersetzt, was unter dem Schlagwort "Browser Fingerprinting" eigentlich zu verstehen ist, welche Techniken dabei zum Einsatz kommen und mit welcher Genauigkeit welche Aussagen damit gemacht werden können. Ich bin noch nicht ganz durch, ist aber auf jeden Fall ein lesenswerter Startpunkt, wenn ihr euch mit dem Thema genauer auseinandersetzen möchtet, v.a. auch deshalb, weil die bisherige Literatur dazu ausgiebig besprochen wird. -------------------------------------------------- <https://arxiv.org/abs/1905.01051> *** Was UDP kann, kann TCP schon lange: (D)DoS mittels TCP Amplification Attacks *** -------------------------------------------------- Ok, auch TCP kann für Amplification Attacks genutzt werden -- war mir neu, aber ist recht einfach nachvollziehbar. Die viel spannendere Sache ist aber die menschliche Komponente daran: Die Netzwerke, die als Reflektoren missbraucht wurden, wunderten sich, warum sie plötzlich größere Mengen von Traffic der Opfer-Netzwerke bekamen und reagierten mit einer relativ simplen Lösung: Blacklisting. Das führte dann wiederum zu einem umso effizienteren (D)DoS-Angriff gegen die Opfer, die plötzlich auf zahlreichen Blacklists standen, ohne das zu wissen bzw. den Grund dafür zu kennen. Ob das von den Angreifer*innen genauso geplant war oder nicht, es ist jedenfalls (traurigerweise) ziemlich gewieft. -------------------------------------------------- <https://blog.radware.com/security/2019/11/threat-alert-tcp-reflection-attac…> *** Die italienische 5 Sterne Bewegung und dieses Internet *** -------------------------------------------------- (Fast) ohne Worte; lest den Artikel, wenn ihr was zum Lachen (oder Weinen) haben wollt: Von uralt CMS bis zur Sicherheit durch Blockchain ist alles dabei xD -------------------------------------------------- <https://heise.de/-4586430> LG, dimir

4 years, 5 months

1
0
0 0

2024

2023

2022

2021

2020

2019

C3W Newsletter