- C3W Newsletter - C3W Mailinglists

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 04.11.2019 bis 10.11.2019. Diese Woche hat sich auch mal Spam auf dieser Liste eingefunden. Die entsprechenden Listingsettings wurden angepasst und das sollte nicht mehr passieren können ;) Inhalt: - Biometrie, Bioemetrie überall! - Reichtum durch Daten bei Trend Micro Mitarbeiter - Huawei will Backdoor-Freiheit seiner Produkte vertraglich bestätigen *** Biometrie, Bioemetrie überall! *** -------------------------------------------------- Das US-Militär, die Nato, aber auch die UN: Alle haben oder bauen gerade große Biometriedaten auf. Und noch schöner: Auch die UN bzw. spezifisch die UNHCR, also das Flüchtlingskommissariat sind auch bereit, diese Daten mit Behörden zu teilen Das macht uns auf jeden Fall alle ganz viel sicherer... -------------------------------------------------- <https://netzpolitik.org/2019/nato-errichtet-biometriedatenbank-nach-vorbild…> <https://heise.de/-4583497> *** Reichtum durch Daten bei Trend Micro Mitarbeiter *** -------------------------------------------------- Ein Mitarbeiter der IT-Security Firma Trend Micro hat die Kund*innendaten des englischen Supports geplündert und an Telefon-Scammer*innen verkauft. -------------------------------------------------- <https://heise.de/-4582172> *** Huawei will Backdoor-Freiheit seiner Produkte vertraglich bestätigen *** -------------------------------------------------- Huawei will nun nicht nur den Source-Code seines 5G Equipments open-sourcen, sondern auch noch vertraglich zusichern, dass in seinen Produkten keine Backdoors enthalten sind. Ob das jetzt glaubhaft ist, oder nicht, könnt ihr alle selbst entscheiden, aber das ist imho eine Situation, die ausgenutzt werden sollte, um auch andere Hersteller in diese Richtung zu pushen :) -------------------------------------------------- <https://www.golem.de/news/ren-zhengfei-huawei-chef-bietet-no-backdoor-verei…> LG, dimir

4 years, 5 months

1
0
0 0

Hire On Demand Security Certified Engineers

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Our global service is truly global, making it possible for you to find field engineers located in countries around the globe. So no matter where you’re looking to carry out work, you’ll be able to find a professional who’s up to the job via Field Engineer. Read more @ https://www.fieldengineer.com/c1/hire-on-demand-security-certified-engineers

4 years, 6 months

1
0
0 0

Wöchentlicher C<3W Newsletter #24

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 28.10.2019 bis 03.11.2019. Inhalt: - DSB verhängt 18 Mio. Strafe gegen die Post - Kriminelle verbreiten gefakten Tor Browser - 8chan will wieder ins Internet zurück - QSnatch -- Malware für QNAP NAS Geräte - Verfassungsschutzwatch - 50 Jahre Internet - Julian Assange lt. UN in lebensgefährlichem Zustand - Ehemaliger FBI General Counsel Jim Baker sieht in Backdoors mehr Gefahr als Nutzen *** DSB verhängt 18 Mio. Strafe gegen die Post *** -------------------------------------------------- Die österreichische Datenschutzbehörde hat der Post eine Verwaltungsstrafe von 18 Mio. Euro auferlegt. Es sei zwar klar, dass die Post bestimmte Daten verarbeiten muss, um ihre Arbeit tun zu können, die Berechnung von Wahrscheinlichkeiten, welche Partei eine Person wählt, falle hier aber eindeutig nicht darunter. Könnte die österreichische Datenschutzbehörde ruhig mal öfter machen, so positiv aufzufallen :) Die Post wird dagegen natürlich Rechtmittel einlegen und lässt über ihren Anwalt anmerken "Die Post sieht ihr Kerngeschäft der Direktwerbung gefährdet und wird sich an das Bundesverwaltungsgericht wenden". Böse Zungen würden ja behaupten, dass die Post ein tiefgehenderes Problem hat, wenn ihr Kerngeschäft Direktwerbung ist... -------------------------------------------------- <https://wien.orf.at/stories/3019396/> *** Kriminelle verbreiten gefakten Tor Browser *** -------------------------------------------------- Researcher*innen von ESET haben eine Kampagne entdeckt, bei der *insert-insult-of-your-choice-here* einen gefakten Tor Browser mit einer ebenfalls bösartig veränderten HTTPS Everywhere Extension verbreiten, um damit Bitcoin von Tor Nutzer*innen zu stehlen. Die Aktion dürfte zwar v.a. auf Personen abzielen, die Russisch verstehen, aber die IoCs (Indicators of Compromise) mal durchschauen, schadet sicher nicht. -------------------------------------------------- <https://www.eff.org/deeplinks/2019/10/phony-https-everywhere-extension-used…> <https://www.eset.com/us/about/newsroom/press-releases/eset-discovers-a-camp…> *** 8chan will wieder ins Internet zurück *** -------------------------------------------------- Nachdem das Messageboard 8chan, das hauptsächlich durch seine Hasskultur und als Brutstätte für Attentäter (mir sind jedenfalls keine nicht-männlichen Personen bekannt, die von 8chan kamen und ein Attentat ausführten) bekannt wurde, von cloudflare gekündigt und daraufhin sofort aus dem Internet geDDoSed wurde, gab es bisher anscheinend tatsächlich niemanden, der es als Kunden aufgenommen hat. Wahrscheinlich aus diesem Grund will der Betreiber jetzt auf ein dezentrales Netzwerk umstellen, das unter dem Namen 8kun das "Werk" 8chans weiterführen soll. Das einzig halbwegs erfreuliche an der Geschichte ist imho, dass der ursprüngliche Erschaffer von 8chan mittlerweile alles daran setzt, das Imageboard offline zu halten, weil er sich für das, was dort passiert ist, verantwortlich fühlt. -------------------------------------------------- <https://netzpolitik.org/2019/wie-8chan-unter-neuem-namen-zurueckkehren-soll/> *** QSnatch -- Malware für QNAP NAS Geräte *** -------------------------------------------------- NCSC-FI, das finnische nationale CERT (Computer Emergency Response Team) hat eine Malware entdeckt und analysiert, die Netzwerkspeicher der Firma QNAP befällt. Es gibt zwar ein Firmware-Update, ob das aber bestehende Infektionen entfernt, ist unklar. Jedenfalls helfen soll ein Factory Reset. -------------------------------------------------- <https://heise.de/-4573483> <https://www.kyberturvallisuuskeskus.fi/en/news/qsnatch-malware-designed-qna…> *** Verfassungsschutzwatch *** -------------------------------------------------- Ein Projekt in Deutschland macht alle Berichte des Verfassungsschutzes über deren Aktivitäten durchsuchbar und ermöglicht es dadurch allen Bürger*innen sich selbst ein Bild von der (öffentlich bekannten) Arbeit desselben zu machen. Ziemlich cool. -------------------------------------------------- <https://netzpolitik.org/2019/wo-der-verfassungsschutz-hinschaut/> *** 50 Jahre Internet *** -------------------------------------------------- 50 Jahre ist es jetzt schon alt, dieses Internetz, aber ob es sich durchsetzen wird, steht nach wie vor in den Sternen ;) -------------------------------------------------- <https://heise.de/-4574257> <https://heise.de/-4572166> *** Julian Assange lt. UN in lebensgefährlichem Zustand *** -------------------------------------------------- Der UN Sonderberichterstatter über Folter, Nils Melzer, macht darauf aufmerksam, dass die Haftbedingungen von Julian Assange seinen Gesundheitszustand so weit verschlechtert haben, dass er mittlerweile in Lebensgefahr schwebt. Faktisch haben er und sein Team die britische Regierung bereits im Mai auf diesen Umstand hingewiesen und gefordert, dass eine unabhängige Untersuchung zu dem Fall stattfindet. Überraschenderweise ist das nicht passiert. IMHO ist mit folgendem Zitat von Nils Melzer alles dazu gesagt: "In my view, this case has never been about Mr. Assange’s guilt or innocence, but about making him pay the price for exposing serious governmental misconduct, including alleged war crimes and corruption." -------------------------------------------------- <https://heise.de/-4574053> <https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=25249&Lan…> *** Ehemaliger FBI General Counsel Jim Baker sieht in Backdoors mehr Gefahr als Nutzen *** -------------------------------------------------- Der ehemalige FBI General Counsel Jim Baker, der beispielsweise die Angriffe des FBI gegen Apple im Fall des Attentats von San Bernardino anführte, hat einen Artikel veröffentlicht, in dem er seine bisherigen Ansichten revidiert und zugibt, dass die Gefahren, die Backdoors in Verschlüsselung haben, größer sind, als ihr potentieller Nutzen. Späte Erkenntnis, aber immerhin. Der Artikel ist jedenfalls sehr lesenswert, da er gut zeigt, wie eine Person mit völlig anderem Mindset als die meisten Leser*innen dieses Newsletters trotzdem zu dem Ergebnis kommt, dass Backdoors eine schlechte Idee sind :) -------------------------------------------------- <https://www.schneier.com/blog/archives/2019/10/former_fbi_gene.html> <https://www.lawfareblog.com/rethinking-encryption> LG, dimir

4 years, 6 months

1
0
0 0

Wöchentlicher C<3W Newsletter #23

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 21.10.2019 bis 27.10.2019 :) Da diese Woche PrivacyWeek war, bin ich kaum dazu gekommen, viel zu lesen, aber über ein paar Dinge bin ich dann doch gestolpert :) Inhalt: - Überwachung von Schüler*innen in den USA - Emotet und Ryuk: Ein Malware-Paar aus der Hölle - Gesichtsdatenbank vom G20 Gipfel weiter im Einsatz - Die Probleme mit dem AMS-Algorithmus - Werben wie Donald Trump - Private Schlüssel einiger VPN-Anbieter gestohlen - Ein neuer Cache-Poisoning Angriff \o/ *** Überwachung von Schüler*innen in den USA *** -------------------------------------------------- Wer denkt, nur Staaten wie China überwachen Schüler*innen in einem absurden Ausmaß, irrt gewaltig. Auch in den USA gibt es bereits eine Überwachungsindustrie, die Schulen die Möglichkeit gibt, in Echtzeit Textnachrichten, E-Mails, etc. von Schüler*innen zu kontrollieren und alarmiert, sollte es zu potentiell gefärhlichem Verhalten kommen wie beispielsweise Suizidgedanken oder dem Planen eines School-Shootings. Sowohl die Industrie als auch Schulen, die diese Technologie einsetzen, sprechen davon, dass sie dies nur zum Wohl der Schüler*innen tun. Neben dieser Behauptung stehen aber auch Aussagen wie die folgende: """ Some proponents of school monitoring say the technology is part of educating today’s students in how to be good “digital citizens”, and that monitoring in school helps train students for constant surveillance after they graduate. “Take an adult in the workforce. You can’t type anything you want in your work email: it’s being looked at,” Bill McCullough, a Gaggle spokesperson, said. “We’re preparing kids to become successful adults.” """ Jedenfalls ein Artikel der uns zeigt, was wir hier verhindern müssen. -------------------------------------------------- <https://www.theguardian.com/world/2019/oct/22/school-student-surveillance-b…> *** Emotet und Ryuk: Ein Malware-Paar aus der Hölle *** -------------------------------------------------- Emotet und Ryuk sind zwei der wahrscheinlich umtriebigsten Schadsoftwaren 2019. Auf der VB (VirusBulletin) 2019 gab es zu beiden einen Talk und die dazugehörigen Paper sind mittlerweile veröffentlicht. Ich hab' sie wegen der laufenden PrivacyWeek noch nicht lesen können, aber interessant sind sie sicher ;) -------------------------------------------------- <https://www.virusbulletin.com/virusbulletin/2019/10/vb2019-paper-exploring-…> <https://www.virusbulletin.com/virusbulletin/2019/10/vb2019-paper-shinigamis…> *** Gesichtsdatenbank vom G20 Gipfel weiter im Einsatz *** -------------------------------------------------- Nachdem der Hamburger Datenschutzbeauftragte Johannes Caspar die Hamburger Polizei angewiesen hatte, die Gesichtsdatenbank des G20 Gipfels zu löschen, war ihm vom Senat sein Weisungsrecht gegenüber der Polizei entzogen worden und die Polizei ging darüber vor Gericht. Dieses hat der Polizei nun Recht gegeben, sie dürfe die Datenbank weiter einsetzen. -------------------------------------------------- <https://www.golem.de/news/datenschutz-polizei-darf-gesichtsdatenbank-von-g2…> *** Die Probleme mit dem AMS-Algorithmus *** -------------------------------------------------- Die Menschenrechts NGO epicenter.works hat in einem Überblicksartikel dargestellt, warum der AMS-Algorithmus problematisch ist und was wir darüber eigentlich alles noch nicht wissen und wieso es das für Forscher*innen extrem schwierig macht, die Funktionalität des Algorithmus zu beurteilen. -------------------------------------------------- <https://epicenter.works/content/das-problem-mit-dem-ams-algorithmus> *** Werben wie Donald Trump *** -------------------------------------------------- Trotz wiederholter Zusicherungen Facebooks, dass sie sich der Problematik um Manipulationen (besonders im Kontext von Wahlen) auseinandersetzen und Lösungen dafür haben, ist es ihnen bisher nicht gelungen, zu zeigen, dass diese auch funktionieren. Netzpolitik.org gibt eine Anleitung in vier Schritten, wie eins immer noch nach Lust und Laune manipulieren kann. -------------------------------------------------- <https://netzpolitik.org/2019/werben-wie-donald-trump/> *** Private Schlüssel einiger VPN-Anbieter gestohlen *** -------------------------------------------------- Einige VPN-Anbieter mussten zugeben, dass Kriminelle in einige ihrer Server einbrechen konnten und dort private Schlüssel entwendeten. Mit diesen könnten sie beliebige Seiten als vom jeweiligen Anbieter signiert ausgeben. Die Schlüssel sind mittlerweile nicht mehr gültig. -------------------------------------------------- <https://heise.de/-4563846> <https://www.golem.de/news/vpn-anbieter-server-von-vikingvpn-und-torguard-ge…> *** Ein neuer Cache-Poisoning Angriff mit DoS-Fähigkeiten \o/ *** -------------------------------------------------- Researcher*innen haben eine neue Art von Cache-Poisoning Angriff im Web gefunden, der für eine DoS (Denial of Service) Attacke genutzt werden kann. Prinzipiell ist das erschreckend einfach: Beim Angriff wird ein einfacher HTTP-Request abgesetzt, der einen bösartigen Header enthält. Wichtig ist dabei, dass die Anfrage über einen Cache läuft. Der bösartige Header führt dazu, dass der Opferwebserver statt der gewünschten Seite eine Fehlermeldung zurückliefert. Diese Fehlermeldung wird dann im dazwischenliegenden Cache gespeichert. Da der Cache keine Header-Checks macht, antwortet er bei weiteren Anfragen, die über ihn laufen mit der Fehlermeldung, da er der Ansicht ist, die Seite sei nicht erreichbar. Dadurch können Besucher*innen die betroffene Webseite nicht mehr besuchen. Autsch... -------------------------------------------------- <https://cpdos.org/> LG, dimir

4 years, 6 months

1
0
0 0

Wöchentlicher C<3W Newsletter #22

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 14.10.2019 bis 21.10.2019 -- Naja fast, aber wie letzte Woche schon vorgewarnt, kommt der Newsletter diese Woche ein bisschen früher und ist auch ziemlich schlank vom Umfang her. Ich hoff mal, dass ich viele von euch auf der PrivacyWeek seh! :) Inhalt: - Attribution ist wie ein Indizienprozess - EU-Parlament empfiehlt Jabber statt WhatsApp und prüft Signal - Ein neuer Anschlag, ein neuer Forderungskatalog für mehr Überwachung - Ist Datenwucher okay? *** Attribution ist wie ein Indizienprozess *** -------------------------------------------------- Bevor wir in medias res gehen: Der Titel enthält einen Anglizismus! Laut Duden gibt es im Deutschen das Wort "Attribution" nicht, nein, eins spricht stattdessen selbstverständlich von "Attribuierung". Was für ein Wort xD Ein IMHO sehr gut geschriebener Artikel, wenn eins sich ein bisschen mit der Welt der "Advanced Persistent Threats" (APTs) auseinandersetzen will. Dabei handelt es sich im Normalfall um staatlich finanzierte Gruppen, aber je nach Quelle können darunter auch nicht-staatliche kriminelle Gruppen fallen. Trotz des Hhochtrabenden Namens, macht der Artikel eins klar: Auch staatliche Hacking-Gruppen bestehen aus Personen die Fehler machen und diese Fehler sind es, die manchmal eine Attribuierung möglich machen. Was mir besonders gut gefallen hat: Es wird auch auf eine der ganz wenigen öffentlich bekannten westlichen APTs (die ich sonst noch nirgends als solche bezeichnet gesehen habe, obwohl sie klar darunter fällt) eingegangen; die aus den Snowden Veröffentlichungen bekannte TAO Gruppe der NSA. In den meisten IT-Medien sind APTs nämlich ausschließlich mit China, Russland, Nord Korea, dem Iran und ähnlichen Staaten assoziiert, wir im Westen sind ja "die Guten" und haben deshalb keine solchen bösen Dinge. -------------------------------------------------- <https://www.golem.de/news/cyberangriffe-attribution-ist-wie-ein-indizienpro…> *** EU-Parlament empfiehlt Jabber statt WhatsApp und prüft Signal *** -------------------------------------------------- Amd now for something completely different: Nachdem die IT des EU-Parlaments Abgeordneten untersagt hatte, die Desktop Version von Signal auf ihren Rechnern zu installieren (siehe Newsletter #21), hagelte es Kritik und es wurde zurückgerudert: WhatsApp ist doch auch nicht empfehlenswert, Signal wird jetzt geprüft und stattdessen lautet die Empfehlung nun, Abgeordnete sollen bitte Cisco Jabber verwenden. Gehen Sie weiter, hier gibt es nichts zu se... Wait! What?! Da waren wohl irgendwelche Lobbyist*innen echt sehr schnell am Start ^_^; -------------------------------------------------- <https://heise.de/-4557826> *** Ein neuer Anschlag, ein neuer Forderungskatalog für mehr Überwachung *** -------------------------------------------------- Ein (bitte um Verzeihung für den Ausdruck) dummes, rechtsradikales Arschloch hat versucht, in Halle Juden und Jüdinnen in einer Synagoge zu ermorden. Da er aber die TÜr nicht aufbekam, tötete er stattdessen zwei Personen, die ihm zufällig über den Weg liefen. Das ganze streamte er dann noch live über Twitch. Anstatt nun mehr Geld für die Bekämpfung von Antisemitismus und anderem rechtsradikalen Gedankengut auszugeben, will die deutsche Regierung lieber mehr Überwachung. Total überraschend. Und ganz wichtig: Wir müssen diese Gaming-Szene verstärkt überwachen, das sind ja alles nur vereinsamte, brandgefährliche Personen!!11einself!1 Mehr Bullshit geht nicht. Echt nicht. -------------------------------------------------- <https://netzpolitik.org/2019/mehr-ueberwachung-geknackte-messenger-die-ford…> <https://netzpolitik.org/2019/nach-halle-innenminister-praesentieren-wunschk…> *** Ist Datenwucher okay? *** -------------------------------------------------- Ein Artikel über die DSGVO und ihre Wirksamkeit. Eine Entwicklung, die mir so nicht bekannt war: Facebook regelt Werbung und Datenerhebung nun einfach über den Nutzungsvertrag und umgeht so die Mechanismen der DSGVO. -------------------------------------------------- <https://www.golem.de/news/dsgvo-ist-datenwucher-okay-1910-144471.html> LG, dimir

4 years, 6 months

1
0
0 0

Wöchentlicher C<3W Newsletter #21

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 07.10.2019 bis 13.10.2019 :) Aber zuerst zwei Hinweise in eigener Sache: 1) Nächstes Wochenende beginnt der Aufbau für die PrivacyWeek 2019 und dann läuft die eine Woche lang, also evtl. verspätet sich der nächste Newsletter ein wenig ;) 2) Kommt zur PrivacyWeek!:) 2019-10-21T17:00:00+02:00 gehts los :) Inhalt: - EU-Parlament verwehrt Abgeordneten die Installation des Messengers Signal - USA und UK realisieren Cloud-Act - Chinesische Schüler*innen werden jetzt mit EEGs überwacht - Frankreich rollt ID über Gesichtserkennung aus - Simjacker - Geschwätzige SIM-Karten - Internet- und Telefonanschlüsse in China nur noch gegen Gesichtsscan - FinFisher will Netzpolitik.org wegen kritischer Berichterstattung abmahnen - AMS Algorithmus ist wissenschaftlich fragwürdig *** EU-Parlament verwehrt Abgeordneten die Installation des Messengers Signal *** -------------------------------------------------- Die IT des EU-Parlaments verbietet Abgeordneten die Desktop-App von Signal auf ihren Bürocomputern zu installieren und verweist als Ersatz auf die Web-Version von WhatsApp. Das Kopf-Tisch-Potential ging gerade durch die Decke... -------------------------------------------------- <https://netzpolitik.org/2019/eu-parlament-verwehrt-abgeordneten-die-install…> *** USA und UK realisieren Cloud-Act *** -------------------------------------------------- Während die EU noch mit den USA verhandelt, ob es in Zukunft möglich sein soll, dass Strafverfolgungsbehörden IT-Unternehmen im jeweils anderen Hoheitsgebiet ohne lästige Hürden zwingen können, User*innendaten herauszurücken, haben USA und UK so ein Papier schon unterschrieben. Eine Sorge weniger für die britische Politik, wenn sie sich dann mit den Folgen des Brexit im eigenen Land beschäftigen dürfen. -------------------------------------------------- <https://www.golem.de/news/cloud-act-usa-und-grossbritannien-vereinbaren-aus…> <https://fm4.orf.at/stories/2992634> *** Chinesische Schüler*innen werden jetzt mit EEGs überwacht *** -------------------------------------------------- Weil der Leistungsdruck in China anscheinend noch nicht groß genug ist, hat sich mindestens eine Schule gedacht, dass die Überwachung der Gehirnwellen die faulen Drecksplagen vielleicht endlich zu mehr Leistung animiert. Die Daten werden dann den Lehrkräften und den Eltern zur Verfügung gestellt, damit die auch sehen, wer sich wann nicht genug konzentriert und entsprechend reagieren können. Das ist jetzt der Punkt mit "die satirische Überspitzung der Realität ist nicht mehr möglich", also versuch ich's gar nicht. -------------------------------------------------- <https://www.golem.de/news/datenschutz-chinesische-lehrer-ueberwachen-gehirn…> *** Frankreich rollt ID über Gesichtserkennung aus *** -------------------------------------------------- Frankreich plant eine digitale Identität für Bürger*innen zu entwickeln, die über Gesichtserkennung funktionieren soll. Damit aber nicht genug; die App mit der eins sich eine solche ID zulegen wird können, soll ausschließlich für Android-Geräte zur Verfügung stehen und Gesichtserkennung wird der einzige Weg sein, eine gültige Mobile ID zu bekommen. Was kann da schon schiefgehen? Einziger Kritikpunkt meinerseits am Artikel: Ja, die auf Matrix setzende Messaging-App der französischen Regierung hat(te?) einige Implementierungsprobleme, das Protokoll auf dem sie aufsetzt ist aber für den Zweck tatsächlich so ziemlich das beste, was es aktuell gibt. -------------------------------------------------- <https://nakedsecurity.sophos.com/2019/10/08/nationwide-facial-recognition-p…> *** Simjacker - Geschwätzige SIM-Karten *** -------------------------------------------------- Simjacker ist ein Angriff auf SIM-Karten, d.h. nicht auf die Software am Telefon, sondern auf die der SIM-Karte. Eine Schwachstelle im S@T Browser, der auf einigen SIM-Karten verwendet wird ermöglicht z.B. das Auslesen des Telefonstandorts ohne Nutzer*inneninteraktion. In Europa sind zwar nur SIM-Karten in Italien, Bulgarien und Zypern betroffen, aber die Lücke soll bereits aktiv von staatlich eingesetzter Überwachungssoftware ausgenutzt werden. -------------------------------------------------- <https://www.golem.de/news/simjacker-sim-karten-in-29-laendern-anfaellig-fue…> <https://simjacker.com/downloads/technicalpapers/AdaptiveMobile_Security_Sim…> *** Internet- und Telefonanschlüsse in China nur noch gegen Gesichtsscan *** -------------------------------------------------- Und noch einmal nach China: Diesmal nicht nur für Schüler*innen, sondern gleich für alle: Wer künftig eine Telefonnummer oder einen Internetanschluss will, kan dies ab Dezember nur noch über Identitätsfeststellung via Gesichtsscan erreichen. Und damit das nicht so unfair ist, muss da auch bei bereits bestehenden Verträgen nachgereicht werden -- entpuppen sich die alten Angaben als falsch, wird der Vertrag auch gleich annulliert. -------------------------------------------------- <https://www.golem.de/news/china-internetanschluss-oder-telefonnummer-nur-ge…> *** FinFisher will Netzpolitik.org wegen kritischer Berichterstattung abmahnen *** -------------------------------------------------- Wie im Newsletter #16 berichtet, wurde die Staatstrojanerentwicklungsfirma FinFisher von mehreren NGOs verklagt, da sie möglicherweise gegen Exportbeschränkungen verstoßen hat. Nun hat die Firma Netzpolitik.org eine Abmahnung geschickt und droht mit rechtlichen Schritten, da die Berichterstattung einseitig sei. Netzpolitik.org berichtet seit Jahren kritisch über FinFisher, also ist es wohl kein Zufall, dass sie die einzigen sind, gegen die rechtlich vorgegangen wird. Netzpolitik.org sucht jetzt nach Unterstützung, damit sie sich die rechtliche Auseinandersetzung leisten können -- also gebt ihnen was, wenn ihr könnt. Das wäre einfach nur noch zynisch, wenn diese wichtige Stimme der deutschen Netzpolitik von einer Firma die sich über Schadsoftware finanziert, zum Schweigen gebracht würde. - -------------------------------------------------- <https://netzpolitik.org/2019/ueberwachungsfirma-finfisher-geht-mit-anwaelte…> <https://netzpolitik.org/2019/surveillance-company-finfisher-is-taking-legal…> <https://netzpolitik.org/2019/interview-zur-finfisher-abmahnung-die-communit…> *** AMS Algorithmus ist wissenschaftlich fragwürdig *** -------------------------------------------------- Wenig überraschend weist der Algorithmus des AMS, der ab 2020 Berater*innen bei der Jobvermittlung "unterstützen" soll, wissenschaftlich einige Schwächen auf. Darunter so Kleinigkeiten wie der Umstand, dass die angegebene Fehlerquote des Algorithmus von Außenstehenden nicht überprüfbar ist. Ich sage es noch einmal: Was kann da schon schiefgehen? -------------------------------------------------- <https://futurezone.at/meinung/dem-ams-algorithmus-fehlt-der-beipackzettel/4…> <https://netzpolitik.org/2019/streit-um-den-ams-algorithmus-geht-in-die-naec…> LG, dimir

4 years, 6 months

1
0
0 0

Wöchentlicher C<3W Newsletter #20

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, der Newsletter für die Woche vom 30.09.2019 bis 06.10.2019 :) Inhalt: - Die Social Bots sitzen schon in den Parlamenten – wenn man Botometer glaubt - Sodinokibi Ransomware Builds An All-Star Team of Affiliates - Android-Bug wird von NSO Group angegriffen - Was war. Was wird. Von genauen Bezeichnungen und Tobsuchtsanfällen. - Signal-Sicherheitslücke erlaubt Belauschen von Nutzern - Facebook, Hass im Netz und das Recht - Frankreich: Steam-Games dürfen weiterverkauft werden - EU-Gericht klickt nervige Cookie-Banner weg *** Die Social Bots sitzen schon in den Parlamenten – wenn man Botometer glaubt *** -------------------------------------------------- Botometer, ein Tool der Indiana University Bloomington, das automatisiert Bots erkennen soll, ist offensichtlich Qualitätssoftware. Im Saarländischen Landtag sitzen nach einer Twitteranalyse durch das Tool 40% Bots. Ob das jetzt ein Fehler des Tools ist, oder was über die Politik aussagt, sei dahingestellt ;) -------------------------------------------------- <https://netzpolitik.org/2019/die-social-bots-sitzen-schon-in-den-parlamente…> *** Sodinokibi Ransomware Builds An All-Star Team of Affiliates *** -------------------------------------------------- Vor ein paar Monaten gaben die Kriminellen hinter GandCrab, einer RaaS (Ransomware as a Service) Operation, bekannt, dass sie sich wegen Reichtums aus dem Geschäft zurückziehen. Kurz darauf tauchte ein neues RaaS Angebot namens REvil/Sodinokibi auf, mit dem aktuell Firmen, Regierungen und MSPs (Managed Service Providers) angegriffen werden. Wie GandCrab setzt auch REvil/Sodinokibi auf ein Affiliate-Model, d.h. die Programmierer*innen hinter der Software verkaufen sie an Affiliates, die dann die tatsächlichen Angriffe ausführen und der Gewinn wird geteilt. MacAffee hat einen Bericht veröffentlicht, der zeigt, dass der Code von GandCrab und REvil/Sodinokibi extrem ähnlich ist -- ob es sich aber um dieselben Betreiber*innen handelt, oder die GandCrab-Crew wirklich im Ruhestand ist und nur ihren Code weiterverkauft hat, lässt sich aber nicht festmachen. -------------------------------------------------- <https://www.bleepingcomputer.com/news/security/sodinokibi-ransomware-builds…> <https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/mcafee-atr-anal…> *** Android-Bug wird von NSO Group angegriffen *** -------------------------------------------------- Eine Researcherin von Googles ProjectZero hat eine Schwachstelle in Android veröffentlicht. Der Bug liegt im Linux Kernel und wurde dort schon 2018 behoben, der Fix wurde aber bisher nicht in Android übernommen -- im Oktoberupdate soll es dann soweit sein. Spät, aber jeder Patch, der Leuten wie der NSO Group das Leben schwerer macht, ist eine gute Nachricht :) -------------------------------------------------- <https://www.golem.de/news/linux-kernel-android-bug-wird-von-nso-group-angeg…> <https://bugs.chromium.org/p/project-zero/issues/detail?id=1942> *** Was war. Was wird. Von genauen Bezeichnungen und Tobsuchtsanfällen. *** -------------------------------------------------- Da ich die Woche unterwegs war und nicht sonderlich viel zum Lesen gekommen bin, gibt's hier auch den Wochenrückblick von Hal Faber :) -------------------------------------------------- <https://heise.de/-4546520> *** Signal-Sicherheitslücke erlaubt Belauschen von Nutzern *** -------------------------------------------------- TL;DR: Updated Signal, falls ihr es noch nicht getan habt. In Signal wurde eine Sicherheitslücke gefunden, die Angreifer*innen ermöglicht, bei einem Anruf gleich den Befehl für "Abheben" mitzuschicken und darüber Personen zu belauschen. Fazit: Gar nich mal so geil. -------------------------------------------------- <https://www.golem.de/news/android-messenger-signal-sicherheitsluecke-erlaub…> <https://bugs.chromium.org/p/project-zero/issues/detail?id=1943> *** Facebook, Hass im Netz und das Recht *** -------------------------------------------------- Diese Woche hat der EuGH Facebook verpflichtet, einen hetzerischen Post gegen Eva Glawischnig nicht nur in bestimmten Regionen unzugänglich zu machen, sondern zu löschen. Konkret ging es anscheinend um den Vorwurf, sie sei eine "miese Volksverräterin" nachdem sie zu Novomatic gegangen war. Im Urteil wird auch gesagt, dass "sinngleiche" Äußerungen ebenfalls entfernt werden sollen, es gäbe ja die Möglichkeit auf automatische Methoden zurückzugreifen (ja, der Konjunktiv 2 zeigt hier die Unmöglichkeit des Sachverhalts an). Das tut jedenfalls relativ weh und wirft die üblichen Fragen zur Rechtshoheit von Facebook auf. Im Vergleich zu einem anderen aktuellen Fall zeigt es aber auch wieder die sehr problematische Rechtslage bei dem Thema allgemein auf: Während die Aussagen gegen Glawischnig unter dem Paragraphen gegen Ehrenbeleidigung nun gerichtlich angeordnet zu löschen sind, hat das Berliner Landesgericht entschieden, dass es sich um "zulässige Meinungsäußerungen" handle, wenn Personen die Grünen Politikerin Renate Künast als "Drecks Fotze" und "Stück Scheiße" bezeichnen. Ja, es ging dabei nicht um Löschung, sondern um eine Herausgabe der Daten der Kommentierenden, aber dennoch erscheinen mir die Urteile geradezu konträr. -------------------------------------------------- <https://netzpolitik.org/2019/nach-beschluss-des-berliner-landgerichts-gruen…> <https://netzpolitik.org/2019/eugh-urteil-zu-facebook-der-freien-meinungsaeu…> *** Frankreich: Steam-Games dürfen weiterverkauft werden *** -------------------------------------------------- Dafür noch eine gute Nachricht aus dem Bereich des Rechts: In Paris hat ein Gericht geurteilt, dass Nutzer*innen die Spiele über die Plattform Steam beziehen, diese auch besitzen und daher weiterverkaufen dürfen. Valve hat zwar bereits Berufung eingelegt, aber mit etwas Glück geht das ganze an den EuGH und könnte dort zu einer wegweisenden Entscheidung für alle Gamer*innen führen -- ist jedenfalls zu hoffen :) -------------------------------------------------- <https://netzpolitik.org/2019/frankreich-steam-games-duerfen-weiter-verkauft…> *** EU-Gericht klickt nervige Cookie-Banner weg *** -------------------------------------------------- Und noch was Schönes aus der Welt der Gerichte: Der europäische Gerichtshof hat entschieden, dass vorausgefüllte Zustimmungskästchen nicht rechtens sind \o/ Grund zur Freude, auch wenn ich schon gespannt bin, was sich die Datenkraken als nächstes einfallen lassen. -------------------------------------------------- <https://netzpolitik.org/2019/eu-gericht-klickt-nervige-cookie-banner-weg/> <https://www.golem.de/news/eugh-urteil-jeder-cookie-erfordert-einwilligung-d…> LG, dimir

4 years, 7 months

1
0
0 0

Wöchentlicher C<3W Newsletter #19

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 23.09.2019 bis 29.09.2019. Inhalt: - Das EU-Copyright-Karussell setzt sich wieder in Bewegung - Looking back at the Snowden revelations - Intergovernmental Panel on Climate Change veröffentlicht Special Report on the Ocean and Cryosphere in a Changing Climate - Österreich ruft den Klimanotstand aus - Centralised DoH is bad for privacy, in 2019 and beyond - Neuer opensource Jailbreak für iOS erschienen - Missing Link: Klimawandel? – Technologie wird uns auch diesmal nicht retten - Warum der derzeitige Einsatz von V-Personen durch die deutsche Polizei illegal ist *** Das EU-Copyright-Karussell setzt sich wieder in Bewegung *** -------------------------------------------------- Nachdem dieses Jahr die Copyright-Richtlinie verabschiedet wurde, gibt es zur Umsetzung jetzt "Stakeholder-Dialoge". Abzusehen ist, dass die Gesetzlage je nach Staat so unterschiedlich ist, dass nicht überall die wirklichen Urheber*innen von der Richtlinie profitieren werden. Hätte uns das doch bloß vorher jemand sagen können, dass das passieren wird!!1einself! -------------------------------------------------- <https://fm4.orf.at/stories/2991724/> *** Looking back at the Snowden revelations *** -------------------------------------------------- Ein cryptographischer Rückblick auf die Enthüllungen von Edward Snowden mit den Kernfragen "What did the Snowden leaks tell us about modern surveillance capabilities?" und "[W]hat did we learn about our ability to defend against them?". -------------------------------------------------- <https://blog.cryptographyengineering.com/2019/09/24/looking-back-at-the-sno…> *** Intergovernmental Panel on Climate Change veröffentlicht Special Report on the Ocean and Cryosphere in a Changing Climate *** -------------------------------------------------- Wer sich wirklich für die Klimaerwärmung und ihre Auswirkungen interessiert, sollte diesen Report wohl lesen, schlanke 1170 Seiten PDF. Für alle anderen tut's wohl auch die Summary for Policymakers, ein 45-seiten PDF ;) -------------------------------------------------- <https://www.ipcc.ch/srocc/home/> *** Österreich ruft den Klimanotstand aus *** -------------------------------------------------- Der Nationalrat hat am 25.09. den Klimanotstand ausgerufen. Einzige Partei, die nicht dafür gestimmt hat war -- Überraschung -- die FPÖ. Schauen wir mal, was dann wirklich gemacht wird. -------------------------------------------------- <https://fridaysforfuture.at/climateemergency> *** Centralised DoH is bad for privacy, in 2019 and beyond *** -------------------------------------------------- Ein Blog-Beitrag von PowerDNS zu DoH und dem Argument, dass wir damit mehr Privatsphäre gewinnen würden. Conclusio: "Centralised DoH is currently a privacy net negative since anyone that could see your metadata can still see your metadata when DNS is moved to a third party. Additionally, that third party then gets a complete log per device of all DNS queries, in a way that can even be tracked across IP addresses." -------------------------------------------------- <https://blog.powerdns.com/2019/09/25/centralised-doh-is-bad-for-privacy-in-…> *** Neuer opensource Jailbreak für iOS erschienen *** -------------------------------------------------- Es wurde ein neuer "unfixbarer" Jailbreak für iPhones veröffentlicht, der angeblich nicht durch ein Update unbrauchbar gemacht werden kann. Grund dafür: Das Problem liegt im Boot-ROM und dieses kann nur gelesen, nicht aber beschrieben werden. Aua... -------------------------------------------------- <https://www.golem.de/news/checkm8-ein-unfixbarer-jailbreak-fuer-iphones-190…> <https://github.com/axi0mX/ipwndfu> *** Missing Link: Klimawandel? – Technologie wird uns auch diesmal nicht retten *** -------------------------------------------------- Eine äußerst lesenswerte Abhandlung darüber, dass der Klimawandel nicht durch mehr und neue Technologien aufzuhalten sein wird. Überrascht hier wohlniemensch, aber gut zur Hand zu haben, wenn mal wieder irgendeine Person über die Rettung durch Technik fabuliert. -------------------------------------------------- <https://heise.de/-4540224> *** Warum der derzeitige Einsatz von V-Personen durch die deutsche Polizei illegal ist *** -------------------------------------------------- Eine V-Person in Deutschland ist eine Person, die dem Staat Informationen über das Milieu in dem sie sich bewegt, liefert und dafür Geld bekommt. Ihr Einsatz ist gesetzlich völlig ungeregelt und erfolgt mehr oder weniger willkürlich nach dem Gutdünken der Polizei. Da der Anreiz, Informationen zu liefern hoch sein muss, ist die Bezahlung gut, eine Kontrolle der Informationen aber in vielen Fällen nicht möglich. Falls jemand weiß, wie das in Österreich funktioniert, freue ich mich über Zusendungen -- würde mich zwar wundern, wenn das in AT klarer definiert ist, aber mehr Wissen über die Praxis hierzulande zu haben, kann nie schaden :) -------------------------------------------------- <https://netzpolitik.org/2019/warum-der-derzeitige-einsatz-von-v-personen-du…> LG, dimir

4 years, 7 months

1
0
0 0

Wöchentlicher C<3W Newsletter #18

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 16.09.2019 bis 22.09.2019. Diese Woche sind einige Artikel zur Klimakrise dabei, die zwar nicht zwangsläufig etwas mit Technik zu tun haben, aber uns alle betreffen. Am Freitag war internationaler Aktionstag gegen die Klimakrise und in Deutschland sind 1.4 Millionen Menschen auf die Straße gegangen. In Österreich waren die Demos (zumindestens in Wien) ernsthaft beschämend klein. Am 25. September stimmt der Nationalrat über die Ausrufung des nationalen Klimanotstands ab und das wird nur durchgehen, wenn es öffentlich Druck gibt -- also beteiligt euch an der Week for Future, die gerade läuft - https://www.fridaysforfuture.at/events/2019-09-20-week-for-future - :) Außerdem: Die PrivacyWeek 2019 braucht noch einiges an Hilfe -- falls ihr Interesse habt, mitzumachen, meldet euch bei office(a)privacyweek.at ;) Inhalt: - Der Beitrag von Armeen zum Klimawandel - Essens Polizei darf keine Demofotos veröffentlichen - Hamburgs Polizei ignoriert Weisung des Datenschutzbeauftragten - Klimaproteste: Warum ziviler Ungehorsam gut für die Demokratie ist - Rohdaten statt Propaganda - NPP 185 zu Indien: Biometrie, Datenschutz und Internet-Shutdowns - Unmengen medizinischer Daten auf unabgesicherten Serven frei zugänglich - Wie sicher sind Österreichs Parteien? - Digital Certificates - Models for Trust and Targets for Misuse - BGP Optimisers seem a good idea until they bring down the internet - SOHOpelessly Broken 2.0 *** Der Beitrag von Armeen zum Klimawandel *** -------------------------------------------------- Wäre das amerikanische Department of Defense ein eigener Staat, würde es Platz 55 der weltweit größten Kohlendioxidemittenten residieren. Wenig überraschend zerstört Krieg nicht nur Menschenleben, sondern auch den Planeten. Und natürlich werden die richtigen Lehren daraus gezogen: Als einziges Ministerium in den USA, leugnet das DoD nie den Klimawandel -- stattdessen bereitet es sich auf eine Zukunft vor, in der klimatisch verursachte Katastrophen zu Essensknappheit, politischer Instabilität, massiven Fluchbewegungen und Ressourcenkriegen führen werden. Immerhin wurden im Zuge dieser Überlegungen die eigenen Energiequellen um Dinge die nicht Erdöl sind, erweitert. Toll. -------------------------------------------------- <https://theintercept.com/2019/09/15/climate-change-us-military-war/> *** Essens Polizei darf keine Demofotos veröffentlichen *** -------------------------------------------------- Die Polizei in Essen hat Fotos von Demonstrationen, auf denen Teilnehmer*innen zu erkennen waren auf Twiiter und Facebook veröffentlicht. Dagegen klagten einige der Betroffenen und haben nun vom Oberverwaltungsgericht Münster Recht bekommen. Grund: Solche Aufnahmen können einschüchternd oder abschreckend wirken und sind daher ein Eingriff in das Versammlungsrecht. Dem ist wohl nichts hinzuzufügen :) -------------------------------------------------- <https://www.golem.de/news/gerichtsurteil-polizei-darf-keine-fotos-von-demos…> *** Hamburgs Polizei ignoriert Weisung des Datenschutzbeauftragten *** -------------------------------------------------- Hamburgs Datenschutzbeauftragter hat eine Löschungsanordnung einer im Zuge des G20-Gipfels erstellten Gesichtserkennungsdatenbank ausgesprochen. Ergebnis: Nicht nur, dass die Polizei die Weisung ignoriert und die Innenbehörde Hamburgs dagegen klagt, nein, der Senat hat auch gleich einen neuen Gesetzesentwurf vorgelegt, in dem der/die Datenschutzbeauftragte die Kompetenz zur Weisung verliert. Fun Fact: Das war die erste Weisung, die der hamburgische Datenschutzbeauftragte Johannes Caspar ausgesprochen hat. Er ist seit *2009* im Amt. Klarer Fall von Amtsmissbrauch also. Disclaimer: Ich weiß nicht, ob er das Weisungsrecht seit Amtsantritt hatte. -------------------------------------------------- <https://netzpolitik.org/2019/gesichtserkennung-hamburger-innenbehoerde-pfei…> *** Klimaproteste: Warum ziviler Ungehorsam gut für die Demokratie ist *** -------------------------------------------------- Sehr lesenswerter Artikel über zivilen Ungehorsam und warum wir diese gewaltfreie Form der Gesetzesverletzung gerade jetzt für den Klimaschutz unbedingt brauchen. -------------------------------------------------- <https://netzpolitik.org/2019/klimaproteste-warum-ziviler-ungehorsam-gut-fue…> *** Rohdaten statt Propaganda *** -------------------------------------------------- Unmengen von Rohdaten sind in Aktenschränken und PDFs versperrt, auf die die Öffentlichkeit keinen oder kaum Zugriff hat, obwohl genau diese Daten informierte Entscheidungen in vielen Belangen des Lebens erst ermöglichen. Einerseits sind es Anbieter wie Elsevier, die Wissenschaftler*innen Geld zahlen lassen, damit deren Arbeit veröffentlicht wird, anstatt diese für ihre Arbeit zu bezahlen und dann oftmals horrende Summen für Artikel verlangen. Andererseits haben auch Staaten Unmengen von Rohdaten, aber trotz Informationsfreiheitsgesetze mancherorts (nicht in AT, keine Sorge, wir haben das Amtsgeheimnis) ist es oft nicht leicht, an diese zu kommen. Ein Beispiel: Das IFG in Deutschland legt nicht fest, in welcher Form die Daten zur Verfügung gestellt werden müssen. Dadurch sind einige Behörden dazu übergegangen, Daten in Exel-Dokumente zu schreiben, diese auszudrucken, die Ausdrucke wieder einzuscannen und diese Scans dann in ausgedruckter Form an die Anfragensteller*innen zu schicken. Nutzbarkeit dieser Daten natürlich gleich Null. Dementsprechend sollte jede*r von uns sich dafür einsetzen, dass Daten die der Staat erhebt auch öffentlich zugänglich und nutzbar sind -- ohne sie wird es zunehmend schwieriger politischer Propaganda entgegenzutreten. -------------------------------------------------- <https://netzpolitik.org/2019/extinction-rebellion-rohdaten-statt-propaganda/> *** NPP 185 zu Indien: Biometrie, Datenschutz und Internet-Shutdowns *** -------------------------------------------------- Indien, ein Land mit über einer Milliarde Einwohner*innen ist bei uns selten im Fokus der Medien, auch der netzpolitischen. Aber dort hat z.B. WhatsApp die meisten Nutzer*innen weltweit. Dort ist oft der erste Kontakt mit dem Internet über Smartphones. Dort hat die Regierung seit 2009 ein riesiges biometrisches Programm namens Aadhaar (आधार) aufgezogen, bei dem jeder Person eine Karte mit zwölfstellige Nummer zugewiesen wird, die mit biometrischen Daten (Fingerabdruck, Iris) verknüpft die Identität der jeweiligen Person feststellen können soll. Diese Karte wird z.B. bei der Steuererklärung gebraucht. Eine solche Masse an biometrischen Daten ist aber natürlich nicht ungefährlich. Maximilian Henning von Netzpolitik.org spricht mit Kim Arora, einer indischen Journalistin über Aadhaar und andere netzpolitische Themen in Indien. Sehr gut investierte etwa 30min für alle, die sich ein wenig über Netzpolitik in Indien informieren wollen :) -------------------------------------------------- <https://netzpolitik.org/2019/npp-185-zu-indien-biometrie-datenschutz-und-in…> *** Unmengen medizinischer Daten auf unabgesicherten Serven frei zugänglich *** -------------------------------------------------- Der Bayerische Rundfunk und ProPublica haben in einer gemeinsamen Recherche herausgefunden, dass weltweit hunderte Server, die medizinische Daten wie Röntgenbilder speichern, jeder beliebigen Person aus dem Internet Zugriff darauf geben/gaben. Es handelt sich dabei 60 Mio. Datensätze zu Patient*innen aus 50 Ländern. Richtig pöhses aua... -------------------------------------------------- <https://p53lf57qovyuvwsc6xnrppyply3vtqm7l6pcobkmyqsiofyeznfu5uqd.onion/arti…> <https://www.propublica.org/article/millions-of-americans-medical-images-and…> <https://heise.de/-4531255> *** Wie sicher sind Österreichs Parteien? *** -------------------------------------------------- Der ÖVP-Hack hat ja die letzten Wochen hohe Wellen geschlagen. Jetzt hat sich eine IT-Security Firma angeschaut, wie die Sicherheit aller Parteien von außen betrachtet aussieht. Dabei haben sie natürlich nur öffentliche Quellen und nicht-invasive Taktiken eingesetzt. Unglaublich unerwartetes Ergebnis: Die IT-Security aller Parteien ist gar nicht mal so geil. -------------------------------------------------- <https://www.sec-research.com/1568802751-wie-sicher-sind-oesterreichs-partei…> *** Digital Certificates - Models for Trust and Targets for Misuse *** -------------------------------------------------- IMHO ziemlich guter und spannender Einblick in die Welt des Zertifikatsdiebstahls und Missbrauchs. Anhand eines Beispiels wird gezeigt, wie Kriminelle zuerst Informationen über ein Unternehmen sammeln, dann eine Webseite unter anderer TLD (.co.uk statt .com) anlegen und die Certificate Authority dazu bringen, diese neue Seite als legitim anzuerkennen. Danach können Seite und Zertifikat an andere weiterverkauft werden, die dann z.B. Phishing-Seiten aufziehen können. -------------------------------------------------- <https://blog.reversinglabs.com/blog/digital-certificates-impersonated-execu…> *** BGP Optimisers seem a good idea until they bring down the internet *** -------------------------------------------------- Der Titel sagt eigentlich alles ;) Viele Firmen setzen mittlerweile auf BGP Optimiser, d.h. Software, die sich automagisch darum kümmert, die BGP Konfiguration zu "optimieren". Damit können dann auch echte Netzwerktechniker*innen eingespart werden. Dummerweise hat die Software Bugs - Nein! Doch! Oh... - und kann dann mal dazu führen, dass Traffic der für Cloudflare bestimmt ist, durch das Netzwerk irgendeiner Mini-Bude geroutet wird, die natürlich unter dem Load eingeht und damit Cloudflare unerreichbar macht, hinter dem ja doch so ein bis zwei Firmen hängen. Money-Quote im Artikel: "I strongly recommend to turn off those BGP optimisers, glue the ports shut, burn the hardware, and salt the grounds on which the BGP optimiser sales people walked" -------------------------------------------------- <https://www.itnews.com.au/news/bgp-optimisers-seem-a-good-idea-until-they-b…> *** SOHOpelessly Broken 2.0 *** -------------------------------------------------- 2013 veröffentlichten die Independent Security Evaluators (ISE) ein Whitepaper zum Stand der IT-Security von IoT-Geräten. Damals fanden sie 53 CVEs in 13 small office/home office (SOHO) Routern und Wireless-Access-Points. Und weil Dinge immer besser werden, haben sie sich jetzt wieder 13 SOHO Router und NAS-Geräte angesehen. Diesmal fanden sie 125 CVEs. Ich hab noch nicht das ganze Whitepaper gelesen, aber dem Teil, den ich gelesen hab', geb' ich ganz klar das Prädikat "Witzig!". Also zumindest, solang eins das nicht ernst nimmt ;) -------------------------------------------------- <https://www.securityevaluators.com/whitepaper/sohopelessly-broken-2/> LG, dimir

4 years, 7 months

1
0
0 0

Wöchentlicher C<3W Newsletter #17

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 09.09.2019 bis 15.09.2019 Inhalt: - Browser rollen DNS over HTTPS (DoH) aus - Die meisten Cookie-Banner sind nicht DSGVO-konform - Medien-Piraterie geht weltweit stark zurück - Schulen sind der größte Absatzmarkt für Videoüberwachungssysteme in den USA - Verhaltensbasierte Erkennung von Verbrechen - 20 Jahre Urban Dictionary: Vom Korrektiv zum Trollspielplatz - Dezentrale Plattformen und ihre Probleme am Beispiel Mastodon - EFF veröffentlicht Report zu Überwachung an der Südwest-Grenze der USA - When Biology Becomes Software *** Browser rollen DNS over HTTPS (DoH) aus *** -------------------------------------------------- Bereits vor einiger Zeit hatten Google und Mozilla angekündigt, in ihren jeweiligen Browsern auf DNS over HTTPS (DoH) umzusteigen. Dabei handelt es sich um eine Technologie, bei der der Browser DNS-Abfragen nicht mehr über die Bordmittel des Betriebssystems stellt, sondern sie selbst erledigt. Möglich wird das, indem er einen fixen DoH-Resolver verwendet -- dessen IP Adresse muss einmal per "normalem" DNS abgefragt werden, alle späteren Anfragen schickt der Browser verschlüsselt über HTTPS an diesen Resolver. Grundsätzlich ist eine Verschlüsselung von DNS-Anfragen sehr begrüßenswert, da diese bisher so gut wie immer im Plaintext gestellt wurden, d.h. jede Maschine über die die Anfrage gerouted wurde, konnte sehen, welche IP Adresse nach welcher Domain gefragt hat -- ein völlig unnötiges Informationsleck. Allerdings regte sich relativ schnell Widerstand gegen DoH von sehr unterschiedlichen Seiten: - Viele Firmen überwachen ihren Netzwerkverkehr und nutzen DNS-Monitoring um Schadsoftware auf Clients zu erkennen oder auch um das Ansurfen gewisser Seiten während der Arbeit zu unterbinden. Mit DoH wird das wesentlich schwieriger, auch wenn die aktuell angekündigten Umsetzungen relativ leicht dazu gebracht werden können, DoH zu deaktivieren und auf plain DNS zurückzusteigen. - Während mit DoH nicht mehr jeder Server am Weg den Inhalt einer DNS Anfrage sehen kann, sieht der DoH-Resolver alles. Das ist insbesondere bei Mozillas Firefox problematisch, da dessen DoH-Resolver Cloudflare sein wird. Im Klartext bedeutet das, dass Cloudflare ab dann *alle* DNS-Anfragen sämtlicher Firefox-Nutzer*innen sehen wird. Google hat angekündigt, dass Chrome einfach testen wird, ob der eingestellte DNS-Resolver des/der Nutzer*in DoH unterstützt und wenn ja diese Funktion verwendet. - Mit DNS over TLS (DoT) steht eine konkurrierende Technologie zur Verwendung von verschlüsselten DNS-Anfragen zur Verfügung, die vom Betriebssystem eingesetzt werden kann und nicht über den Browser läuft. Damit sind dann auch DNS-Anfragen, die nicht über den Browser gestellt werden (z.B. Mail-Clients, SSH, etc.) verschlüsselt. Der Vorstoß der beiden größten Browser, DoH nach und nach auszurollen, wird uns wohl alle treffen und dementsprechend macht es durchaus Sinn, sich jetzt mit dem Thema auseinanderzusetzen. Wer DoT oder DoH ausprobieren möchte, kann das z.B. auch mit den Servern der Foundation for Applied Privacy tun, einem österreichischen Verein, der außerdem die meisten TOR-Nodes in Österreich betreibt. Die Foundation wird auch bei der PrivacyWeek 2019 (21.10.-27.10.) einen Talk über DoT und DoH geben; der genaue Termin steht noch nicht fest. -------------------------------------------------- <https://heise.de/-4516719> <https://heise.de/-4520039> <https://appliedprivacy.net/services/dns/> <https://www.eff.org/deeplinks/2019/09/encrypted-dns-could-help-close-bigges…> *** Die meisten Cookie-Banner sind nicht DSGVO-konform *** -------------------------------------------------- Dazu kann ich eigentlich nur sagen: Nein! Doch! Ohh.. -------------------------------------------------- <https://www.golem.de/news/manipulierte-zustimmung-die-meisten-cookie-banner…> *** Medien-Piraterie geht weltweit stark zurück *** -------------------------------------------------- Wissenschaftler*innen der Universität Amsterdam haben sich mit Online-Piraterie auseinandergesetzt und festgestellt, dass diese stark rückläufig ist. Hauptgrund dafür ist aber nicht das Einführen strenger Gesetze, sondern das Anbieten von leistbaren Streaming-Diensten. Wie jetzt, die meisten Leute in diesem Internet erwerben Waren lieber legal, wenn sie die Möglichkeit haben und sind nicht einfach nur gesetzlose Kriminelle aus Überzeugung?! Damit hätte nun wirklich niemand rechnen können... -------------------------------------------------- <https://fm4.orf.at/stories/2991074> *** Schulen sind der größte Absatzmarkt für Videoüberwachungssysteme in den USA *** -------------------------------------------------- "AI-powered cameras" und ähnliches Schlangenöl werden massenweise von US-Schulen gekauft, um Amokläufe zu verhindern -- eines der Money-Quotes aus dem Artikel: "Both ZeroEyes and Athena Security in Austin, Texas, say their systems can detect weapons with more than 90% accuracy, but acknowledge their products haven’t been tested in a real-life scenario." Keine weiteren Fragen Euer Ehren. -------------------------------------------------- <https://www.latimes.com/business/story/2019-09-04/ai-powered-cameras-become…> *** Verhaltensbasierte Erkennung von Verbrechen *** -------------------------------------------------- Und wenn wir schon bei Schlangenöl sind: In Mannheim setzt die Polizei Überwachungskameras ein, die Aufgrund des Verhaltens von Personen erkennen sollen, wenn ein Verbrechen begangen wird und automatisch die Behörden alarmieren. Was kann da schon schiefgehen? -------------------------------------------------- <https://heise.de/-4522625> *** 20 Jahre Urban Dictionary: Vom Korrektiv zum Trollspielplatz *** -------------------------------------------------- Die Idee hinter Urban Dictionary ist eigentlich einfach: Die Realität widerzuspiegeln, dass Sprache nichts ist, was elitäre Zirkel im Duden (oder ähnlichen Werken) festlegen, sondern etwas organisches, das sich ständig verändert und weiterentwickelt. Um das zu Erreichen, sollte es auf der Plattform möglich sein, Dialektbegriffe oder Redewendungen zu verewigen und deren Bedeutung zu erläutern. Ein bisschen also wie Wikipedia für englische Umgangssprache. Aber die völlige Offenheit gepaart mit der Möglichkeit, Begriffsdefinitionen durch Votes wichtiger erscheinen zu lassen, zog mit der Zeit immer mehr Trolle an, die sich hauptsächlich darin ergingen, diverseste Schimpfwörter und Beleidigungen hochzuladen und zu definieren. Das ist nicht nur generell schade für das Projekt, sondern IMHO besonders traurig weil es erst wieder den Eindruck vermittelt, Umgangssprache, Dialekte und Sland bestünden primär aus sprachlichem Unrat. Ich nehm' das auch direkt zum Anlass um einen wissenschaftlichen Artikel aus dem Jahr 1999 auf wienerisch zu verlinken, um so einem Schwachsinn entgegenzuwirken ;) -------------------------------------------------- <https://www.wired.com/story/urban-dictionary-20-years/> <https://www.univie.ac.at/keltologie/birkkelten.html> *** Dezentrale Plattformen und ihre Probleme am Beispiel Mastodon *** -------------------------------------------------- Einige Wissenschaftler [sic] aus UK haben sich angeschaut, mit welchen Problemen dezentrale Plattformen generell zu kämpfen haben und das am Beispiel Mastodon illustriert. Da ist jetzt nichts unglaublich aufregend neues dabei, aber es zeigt doch sehr anschaulich, wie schwer es ist, eine Plattform möglichst ohne Zentralisierung zu schaffen und v.a. beizubehalten. -------------------------------------------------- <https://arxiv.org/abs/1909.05801> *** EFF veröffentlicht Report zu Überwachung an der Südwest-Grenze der USA *** -------------------------------------------------- Gemeinsam mit der Reynolds School of Journalism der University of Nevada, Reno hat die EFF einen Report über die Überwachungssituation in den südwestlichen Grenzgebieten der USA herausgegeben. Ich hatte noch keine Zeit, mir das alles genau anzuschauen, aber die Menge an Daten, die hier zur Verfügung gestellt wird, ist beachtlich und das Arsenal auf das die Behörden zurückgreifen trotz aller Bekanntheit angsteinflößend groß. -------------------------------------------------- <https://www.eff.org/press/releases/new-report-finds-border-communities-inun…> <https://www.eff.org/pages/atlas-surveillance-us-mexico-border-communities> *** When Biology Becomes Software *** -------------------------------------------------- Bruce Schneier beschreibt in dem Artikel kurz, was für Gefahren auftreten können, wenn aktuelle Praktiken der Software-Entwicklung (Stichwort "Trial and Error") in die "Programmierung" von DNA und Gen-Manipulation übernommen wird. TL;DR: Könnte beliebig unangenehme Folgen haben, weil Patchen bei biologischen Lebensformen eher so mittel funktioniert. -------------------------------------------------- <https://www.schneier.com/blog/archives/2019/09/when_biology_be.html> LG, dimir

4 years, 7 months

1
0
0 0

2024

2023

2022

2021

2020

2019

C3W Newsletter