- C3W Newsletter - C3W Mailinglists

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 02.09.2019 bis 08.09.2019 Inhalt: - Wissenschaftliche Dienste des deutschen Bundestages halten HackBack für eine schlechte Idee - "Präventivgewahrsam" in Bayern oder "wochenlange Haft ohne Anklage oder Vorwürfe" - CISCO veröffentlicht Forensik-Leitfäden für ihre Geräte - Geheime Terror-Watchlist der US-Dienste ist verfassungswidrig - Klage wegen illegalem Staatstrojaner-Exports gegen FinFisher - Kritische Lücke in Exim erlaubt RCE mit Root Rechten - ÖVP Hack - Schlangenöl-Firma verklagt Black Hat - Drohnenschwärme für die Zukunft der Kriegsführung - TLS1.0 und TLS1.1 werden 2020 deprecated *** Wissenschaftliche Dienste des deutschen Bundestages halten HackBack für eine schlechte Idee *** -------------------------------------------------- Die wissenschaftlichen Dienste des deutschen Bundestages haben ein Gutachten über HackBack geschrieben und kommen zu dem Ergebnis, dass das aus vielen Gründen keine gute Idee ist. Überraschenderweise wurde das Gutachten als "Nur für den Dienstgebrauch" eingestuft -- es kann ja nicht sein, dass sich die wissenschaftlichen Dienste einfach ihrer Vernunft bedienen anstatt den Machtphantasien der Politik zu folgen, sowas darf nicht öffentlich sein. Was ich tatsächlich erfreulich finde: Geschrieben wurde das Papier von einem Oberstleutnant der deutschen Bundeswehr. Schön zu sehen, dass es auch dort kritische Stimmen gibt, die sich gegen die Normalisierung eines ständigen Cyberangriffskriegs stellen. Schade nur, dass das so selten an die Öffentlichkeit dringt. -------------------------------------------------- <https://netzpolitik.org/2019/geheimes-bundestagsgutachten-attackiert-hackba…> *** "Präventivgewahrsam" in Bayern oder "wochenlange Haft ohne Anklage oder Vorwürfe" *** -------------------------------------------------- Das bayerische Polizeigesetz ist 2017 und 2018 dahingehend verändert worden, dass Personen bereits bei geringfügigen Verstößen gegen die Rechtsordnung (z.B. Trunkenheit) unbegrenzt eingesperrt werden können. Ohne Anklage, ohne Rechtsbeistand. Eingesetzt wird das ganze v.a. gegen Personen ohne europäischen Pass -- welch Zufall. Selbst der bayerische Innenminister sieht jetzt ein, dass es eine Obergrenze für die Haft ohne Anklage braucht. Wow, einfach nur wow... -------------------------------------------------- <https://netzpolitik.org/2019/bayerisches-polizeigesetz-19-personen-wochenla…> *** CISCO veröffentlicht Forensik-Leitfäden für ihre Geräte *** -------------------------------------------------- Closed-Source Systeme wie CISCOs IOS (hat nichts mit Apples iOS zu tun ;)) sind für Forensiker*innen oft eine unüberwindbare Hürde: Fehlende Dokumentation und Literatur machen eine forensisch korrekte Untersuchung von Devices extrem schwer bis unmöglich. CISCO hat sich jetzt erbarmt und selbst Leitfäden veröffentlicht, wie eins ihre Geräte richtig auswerten kann. Auch wenn's spät ist, ziemlich cool ist das allemal :) -------------------------------------------------- <https://heise.de/-4512704> *** Geheime Terror-Watchlist der US-Dienste ist verfassungswidrig *** -------------------------------------------------- Nach einem jahrelangen Prozess wurde die Terror-Watchlist der USA für verfassungswidrig erklärt. Auf diese Liste kamen Personen, die von US-Diensten aus welchen Gründen auch immer für terrorverdächtig gehalten wurden. Sie wurde anschließend verwendet, um z.B. die No-Flight Liste zu ergänzen und außerdem an ca. 18000 staatliche/staatsnahe Einrichtungen der USA, 533 private Entitäten sowie an andere Staaten weitergegeben. Stellt sich doch glatt heraus: Personen, die auf dieser Liste stehen, obwohl sie sich nie etwas zu Schulden kommen haben lassen, sind verstärkt Repressionen in allen möglichen Lebensbereichen ausgesetzt. Also damit hätte ja wirklich niemand rechnen können... Hätten sie eine Blockchain eingesetzt, um die Liste zu verwalten, wäre daran wenigstens irgendwas lustig. -------------------------------------------------- <https://theintercept.com/2019/09/06/terrorism-watchlist-lawsuit-ruling/> *** Klage wegen illegalem Staatstrojaner-Exports gegen FinFisher *** -------------------------------------------------- Das deutsche Unternehmen FinFisher wird von einem Zusammenschluss mehrerer NGOs wegen illegalem Exports seiner Staatstrojaner-Software verklagt. Um einen Staatstrojaner zu exportieren, benötigt das Unternehmen eine Erlaubnis nach deutschen und europäischen Gesetzen. Eine solche wurde aber nach Aussage der Bundesregierung bisher noch nie vergeben. Dumm nur, dass FinFishers Software mit sehr hoher Wahrscheinlichkeit von der türkischen Regierung gegen Regimegegner*innen eingesetzt wurde. Es bleibt zu hoffen, dass die Strafe so teuer wird, dass sie die Firma ruiniert, auch wenn das leider wenig wahrscheinlich ist. -------------------------------------------------- <https://netzpolitik.org/2019/wir-stellen-strafanzeige-zollkriminalamt-ermit…> <https://netzpolitik.org/2019/we-filed-a-criminal-complaint-prosecutor-launc…> <https://www.golem.de/news/spionagesoftware-staatsanwaltschaft-ermittelt-nac…> <https://www.reporter-ohne-grenzen.de/pressemitteilungen/meldung/illegaler-v…> *** Kritische Lücke in Exim erlaubt RCE mit Root Rechten *** -------------------------------------------------- Die Mailserver-Software Exim hat eine Schwachstelle, die es ermöglicht RCE (Remote Code Execution) mit Root Rechten auf dem betroffenen Server auszuführen, sofern dieser TLS unterstützt (was er hoffentlich tut). Es gibt einen unveröffentlichen PoC (Proof of Concept) Exploit von der Firma Qualys. Patchen ist stark zu empfehlen. -------------------------------------------------- <https://www.exim.org/static/doc/security/CVE-2019-15846.txt> <https://www.cert.at/warnings/all/20190906.html> *** ÖVP Hack *** -------------------------------------------------- Die ÖVP vermeldet, im großen Stil gehackt worden zu sein. Abseits des üblichen ahnungs- und inhaltslosen Geschwätzes der Politiker*innen zeigt der Vorfall imho vor allem eines wieder ganz deutlich: Wir brauchen dringend mehr digitale Bildung, damit nicht ganz so leicht ganz so viel Schwachsinn behauptet werden kann. Ansonsten gehe ich davon aus, dass SEC Consult und CYBERTRAP wissen was sie tun und die Reste des Vorfalls aufräumen. -------------------------------------------------- <https://orf.at/stories/3136215/> *** Schlangenöl-Firma verklagt Black Hat *** -------------------------------------------------- Eine Firma die für mehr als 100.000$ Sponsoring einen Talk auf der Black Hat halten durfte, der inhaltlich so eine Frechheit war, dass sie ausgebuht wurden, verklagt jetzt die Black Hat, da diese die Störendfriede nicht mithilfe zahlreicher Securitys aus dem Saal beförderte. Wie kann es auch jemand wagen, eine Firma auszubuhen, die nicht eine einzige Person mit cryptographischer Expertise beschäftigt, aber behauptet, den weit verbreiteten und generell als sicher eingestuften RSA-Algorithmus brechen zu können? Nur weil die Firma verweigert, dieses Wunder auch vorzuzeigen? Tz, in was für einer Welt leben wir denn, dass Menschen mit Visionen jetzt auch noch beweisen müssen, dass sie wirklich können, was sie behaupten?! Aber so schlecht zu sein, dass sogar Bruce Schneier eine 10 Jahre alte Kategorie seines Blogs wiederbelebt, ist auch eine Leistung :D -------------------------------------------------- <https://www.schneier.com/blog/archives/2019/09/the_doghouse_cr_1.html> *** Drohnenschwärme für die Zukunft der Kriegsführung *** -------------------------------------------------- Schön, dass die Zukunft schon jetzt ist, oder so ähnlich. Programmierbare Drohnen die Angriffe voll automatisiert ausführen. Da kann ja nix schiefgehen. -------------------------------------------------- <https://netzpolitik.org/2019/rheinmetall-zeigt-drohnenpanzer-mit-kamikazedr…> *** TLS1.0 und TLS1.1 werden 2020 deprecated *** -------------------------------------------------- Eine Person die diesen Newsletter liest, hat mich darauf hingewiesen, dass es doch eine gute Idee wäre, darauf hinzuweisen, dass TLSv1.0 und TLSv1.1 nächstes Jahr deprecated werden. Find' ich tatsächlich einen sehr guten Hinweis. Also: Dreht TLSv1.0 und TLSv1.1 doch einfach schonmal ab, dann ist die Umstellung nächstes Jahr total stressfrei. Eine Anleitung für Chrome, Firefox, OpenSSL und GnuTLS findet ihr in den Links. Und für die Lateinfreund*innen unter euch: Ceterum censeo, TLSv1.0 et TLSv1.1 esse delendos :) -------------------------------------------------- <https://arstechnica.com/gadgets/2018/10/browser-vendors-unite-to-end-suppor…> <https://blog.surgut.co.uk/2019/08/how-to-disable-tls-10-and-tls-11-on.html> LG, dimir

4 years, 8 months

1
0
0 0

Wöchentlicher C<3W Newsletter #15

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 26.08.2019 bis 01.09.2019 Inhalt: - Hongkong: Low-Tech gegen High-Tech Massenüberwachung - Google schränkt politische Diskussionen am Arbeitsplatz ein - Zollfreiheit digitaler Güter geht zulasten des globalen Südens - Consumer Grade Security ist (immer noch) Schwachsinn - iPhones jahrelang durch Besuch einzelner Webseiten vollständig hackbar - US Grenzüberwachung trifft auch Native Americans - Österreichs Polizei hat 76 Drohnen im Einsatz - Gesichtserkennung statt Klassenbuch in Schweden *** Hongkong: Low-Tech gegen High-Tech Massenüberwachung *** -------------------------------------------------- MIttlerweile dauern die Massenproteste in Hongkong bereits seit drei Monaten an. Auslöser war ein Gesetzesvorschlag, der die Auslieferung mutmaßlich Krimineller an China erleichtern sollte und von Kritiker*innen als Startschuss für ein noch aggressiveres Vorgehen gegen Regimegegner*innen gesehen wurde. Beide Seiten ziehen dabei alle Register: Die Regierung setzt auf Propaganda im In- und Ausland, Heroisierung der Polizei, Diffamierung der Demonstrant*innen als "Terrorist*innen", Drohungen mit einem Einsatz des Militärs, Gummigeschosse, Tränengas, Wasserwerfer und angeblich sogar Unterstützung durch Mafia-Gruppen vom chinesischen Festland. Unterstützt wird all das von einem Überwachungsapparat, der unter dem Schlagwort "Smart City" hochgezogen wurde. Die Protestierenden hingegen setzen auf Low-Tech, organisieren sich über Telegram, Briar, Pokémon Go und sogar Tinder. Nachrichten à la Flugblätter verteilen sie über Dienste wie Apple's AirDrop an belebten Plätzen. Gegen Kameras mit Gesichtserkennung versuchen sie mit Laserpointern, aber auch Demontage vorzugehen. In den Straßenschlachten mit der Polizei (und der Mafia) greifen sie auf Stöcke, Ziegelsteine und Molotov-Cocktails zurück. Nachdem die chinesische Regierung angekündigt hatte, möglicherweise den Ausnahmezustand auszurufen, hatten sich auch die Hongkonger Internet Service Provider (HKISPA) zu Wort gemeldet und gemeint, dass eine Zensur (die mit dem Ausnahmezustand verschärft werden kann) aufgrund der Komplexität der Netzwerke in Hongkong nicht funktionieren wird und die Regierung davor gewarnt, dass dieser Schritt auch zu hohem wirtschaftlichen Schaden führen würde. Insgesamt zeigen die Proteste imho jedenfalls, dass sogar ein abgehärtetes Regime wie Peking gegen eine derart breite Bewegung relativ hilflos ist -- ssolange es davon absieht, mit scharfter Munition und militärischer Gewalt vorzugehen. Hoffen wir, dass Hongkong und der Rest der Welt, nicht herausfinden müssen, wie eine solche Konfrontation endet. -------------------------------------------------- <https://heise.de/-4510701> <https://netzpolitik.org/2019/hongkong-internetprovider-wehren-sich-gegen-ze…> *** Google schränkt politische Diskussionen am Arbeitsplatz ein *** -------------------------------------------------- Eine neue Unternehmenskultur-Richtlinie (wow, was für ein Wort bzw. Konzept O.o) stellt Google klar, dass hitzige Diskussionen politischer Natur am Arbeitsplatz nicht mehr erwünscht sind. Es sei aber natürlich akzeptabel "to raise concerns and respectfully question and debate the company’s activities" -- was immer das auch heißen mag. Jedenfalls eine gute Gelegenheit, Googles Community Guidelines zu lesen -- Umfang ca. 1 A4-Seite ;) -------------------------------------------------- <https://netzpolitik.org/2019/google-schraenkt-politische-diskussionen-am-ar…> <https://about.google/community-guidelines/> *** Zollfreiheit digitaler Güter geht zulasten des globalen Südens *** -------------------------------------------------- Einige Industrienationen bestimmen in geschlossenen Gremien darüber, ob die es weltweit Zoll auf digitale Güter geben soll. Überraschenderweise sind die Länder, die die bisherige Zollfreiheit am meisten kostet, nicht eingeladen. Der Artikel gibt einen interessanten Einblick in die generelle Vorgehensweise einiger weniger Staaten beim Wahren ihrer Wirtschaftsinteressen. -------------------------------------------------- <https://netzpolitik.org/2019/digitaler-handel-indien-fordert-zoelle-im-inte…> *** Consumer Grade Security ist (immer noch) Schwachsinn *** -------------------------------------------------- Bruce Schneier argumentiert wohl wie kaum eine andere Person bereits so lange (halbwegs) medienwirksam gegen die Schnapsidee "Consumer Grade Security". Dabei geht es darum, dass diverse Militärs und Polizeien sich schwächere Kryptographie für Konsument*innen wünschen und stärkere für ihre eigenen Interessen. Dass das mathematisch nicht möglich ist, da eine Verschlüsselung einfach entweder sicher oder eben nicht sein kann und die Mathematik nicht einmal für die moralisch einwandfreien Hero*innen der Exekutive eine Ausnahme macht, interessiert bei den LEAs (Law Enforcement Agencies) und den Militärs schlichtwegs niemanden. Schneier argumentiert in diesem Beitrag daher von einer anderen Seite: WhatsApp, Facebook, Google, Signal, etc. werden millionenfach von "normalen" Personen, Militärs und Exukutive verwendet. Gerade in einer Zeit in der der amtierende US-Präsident darauf besteht, sein privates Telefon zu behalten, sollten diejenigen, die sich eine "Consumer Grade Security" wünschen, ernsthaft froh sein, dass es die nicht gibt, denn eine Trennung in zivil und militärisch ist heute nicht nur technisch, sondern auch nutzungsverhaltungsmäßig nicht machbar. -------------------------------------------------- <https://www.schneier.com/blog/archives/2019/08/the_myth_of_con.html> *** iPhones jahrelang durch Besuch einzelner Webseiten vollständig hackbar *** -------------------------------------------------- Google Project Zero hat eine Serie von Blogposts veröffentlicht, in denen sie eine von ihnen entdeckte, jahrelange Kampagne beschreibt, die mit insgesamt 5 vollständigen Exploit-Chains in der Lage war, diverse Versionen von iOS durch bloßen Besuch einer Webseite komplett zu übernehmen. Kauft Apple-Krams haben sie gesagt, das ist so sicher, haben sie gesagt... Gegen wen sich diese Kampagne richtete, wurde nicht veröffentlicht. Sollte aber von allen gelesen werden, die sich für iOS-Security und iOS-Exploits interessieren :) Btw.: Die beschriebenen Lücken wurden mit Apples Updates im Februar 2019 behoben. -------------------------------------------------- <https://googleprojectzero.blogspot.com/2019/08/a-very-deep-dive-into-ios-ex…> *** US Grenzüberwachung trifft auch Native Americans *** -------------------------------------------------- Die Überwachungsinfrastruktur die die US Border Control derzeit aufbaut trifft nicht nur marginalisierte Gruppen außerhalb der USA. Auch Bewohner*innen von Reservaten in Grenznähe bekommen zu spüren, wie es sich unter vollständiger Überwachung lebt. TL;DR: Gar nicht mal so geil. -------------------------------------------------- <https://theintercept.com/2019/08/25/border-patrol-israel-elbit-surveillance/> *** Österreichs Polizei hat 76 Drohnen im Einsatz *** -------------------------------------------------- Eine Anfrage von epicenter.works über fragdenstaat.at hat ergeben, dass Österreichs Polizei insgesamt 76 Drohnen im Wert von 280.000€ im Einsatz hat. -------------------------------------------------- <https://futurezone.at/netzpolitik/oesterreichs-polizei-hat-mehr-drohen-als-…> <https://fragdenstaat.at/anfrage/drohneneinsatze-durch-die-polizei/#nachrich…> *** Gesichtserkennung statt Klassenbuch in Schweden *** -------------------------------------------------- Eine Schule in Schweden hat eine Strafe von der Datenschutzbehörde kassiert, weil sie die Anwesenheit von Schüler*innen einer Klasse drei Wochen versuchsweise mit Gesichtserkennungssoftware überprüfte. Eins müsste ja darüber lachen, wenn es nicht so traurig wäre. Wirklich schönes Zitat aus dem Artikel: "Die Schule habe sich vor der Maßnahme zwar die Einwilligung der Eltern geholt. Die Behörde ist aber der Ansicht, dass die Einwilligung angesichts des deutlichen Ungleichgewichts zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen keine gültige Rechtsgrundlage sei." Hut ab vor dieser Datenschutzbehörde. -------------------------------------------------- <https://netzpolitik.org/2019/gesichtserkennung-statt-klassenbuch-schule-in-…> LG, dimir

4 years, 8 months

1
0
0 0

Wöchentlicher C<3W Newsletter #14

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 19.08.2019 bis 25.08.2019 Inhalt: - Überwachung bei "humanitärer" Hilfe - Google verstärkt seine Zusammenarbeit mit dem ägyptischen Regime - The Wired Guide to Cyberwar - Webmin: Wenn sich ein Zero-Day als Backdoor herausstellt - YouTuber*innen und IG-Metall sprechen mit YouTube über mehr Transparenz und Mitsprache *** Überwachung bei "humanitärer" Hilfe *** -------------------------------------------------- Aus Angst davor, dass Unbefugte Zugriff auf humanitäre Hilfe erhalten, erfassen Organisationen wie das UN World Food Program biometrische Daten Betroffener und verweigern z.B. die Essensausgabe an Personen, die der Erfassung nicht zustimmen. Dazu finde ich wirklich keine Worte... FYI: Der NY-Times Artikel will sich in privaten Fenstern nicht lesen lassen, ohne dass eins einen Account anlegt. Zumindest bei mir war das umgehbar, indem ich das Laden der Seite abbreche, wenn der Content schon vorhanden ist, aber das Skript zur Überprüfung, ob das ein privates Fenster ist, noch nicht gelaufen ist ;) -------------------------------------------------- <https://www.nytimes.com/2019/07/11/opinion/data-humanitarian-aid.html> <https://www.schneier.com/blog/archives/2019/08/surveillance_as_2.html> *** Google verstärkt seine Zusammenarbeit mit dem ägyptischen Regime *** -------------------------------------------------- Nachdem Google einige Jahre keine Mitarbeiter*innen in Ägypten beschäftigte und seine Aktivitäten dort von Dubai aus steuerte, will der Konzern wieder einige Vollzeitkräfte im Land anstellen. Das aktuelle Regime in Ägypten unter al-Sisi setzt massiv Anti-Terrorgesetze gegen Journalist*innen, Aktivist*innen und sonstige Kritiker*innen ein, um sie mundtot zu machen. Bisher sind Kanäle wie Google ein wichtiges Instrument, um der Verfolgung zu entgehen; eine Niederlassung im Land wird aber kaum ohne Überwachungszugeständnisse möglich sein. -------------------------------------------------- <https://theintercept.com/2019/08/18/google-egypt-office-sisi/> <https://www.amnesty.org/en/latest/campaigns/2018/09/egypt-freedom-of-expres…> *** The Wired Guide to Cyberwar *** -------------------------------------------------- Andy Greenberg von Wired hat eine kleine Geschichte des Cyberwar veröffentlicht. Ganz interessant zu lesen, wenn auch ein wenig eingefärbt. Jedenfalls merkt eins bei der Lektüre einmal mehr, wie wenig eigentlich über Cyberangriffe aus den USA, der EU, Australien und Neuseeland bekannt ist. -------------------------------------------------- <https://www.wired.com/story/cyberwar-guide/> *** Webmin: Wenn sich ein Zero-Day als Backdoor herausstellt *** -------------------------------------------------- Webmin, eine Software zur Systemkonfiguration, hat gerade eine interessante Geschichte durchgemacht: Auf der DEF CON wurde ein Zero-Day vorgestellt, der nicht authentifizierten Angreifer*innen eine Remote Code Execution (RCE) ermöglichte. Soweit, so unerfreulich. Im weiteren Verlauf stellte sich allerdings heraus, dass Webmins auf GitHub einsehbarer Code für die beschriebe Lücke gar nicht anfällig ist; stattdessen waren nur alle auf sourceforge hochgeladenen Archive des Codes, die häufig zur Installation genutzt werden, explizit gebackdoored. Aua... -------------------------------------------------- <https://www.golem.de/news/remote-code-execution-doppelte-hintertuer-in-webm…> <https://pentest.com.tr/exploits/DEFCON-Webmin-1920-Unauthenticated-Remote-C…> *** YouTuber*innen und IG-Metall sprechen mit YouTube über mehr Transparenz und Mitsprache *** -------------------------------------------------- Personen, die über YouTube Geld verdienen, befinden sich in einer schwierigen Lage: Für YouTube sind sie keine Angestellten, aber gleichzeitig sind sie stark abhängig von (meist unangekündigten) Änderungen an Algorithmen, die z.B. bestimmen wem, warum, wann welches Video vorgeschlagen wird. Die Kampagne FairTube, die von der YouTubers Union und der IG Metall gestaltet wurde, wies auf eben dieses und andere Probleme hin und fordert mehr Transparenz von YouTube sowie ein Mitspracherecht für YouTuber*innen. YouTube hat die beiden Gewerkschaften jetzt zu einem Treffen in seiner Niederlassung in Berlin eingeladen. Dass dabei die Arbeitsbedingungen für YouTuber*innen schlagartig verbessert werden, ist zwar nicht zu erwarten, aber es könnte ein erster Schritt in diese Richtung sein. -------------------------------------------------- <https://netzpolitik.org/2019/fairtube-ultimatum-laeuft-ab-youtube-laedt-gew…> LG, dimir

4 years, 8 months

1
0
0 0

Wöchentlicher C<3W Newsletter #13

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 12.08.2019 bis 18.08.2019 Inhalt: - Neues vom deutschen Staatstrojaner und dem "Darkweb" - Illegale Auto-Vorratsdatenspeicherung in Brandenburg - Lifttelephone: Die letzte Bastion des Phreaking - Internet Society veröffentlicht Tool zum Monitoring von Internet Routing Security - EFF Whitepaper zu IMSI-Catchern - Überraschung: Cybervoting ist auch in Russland kaputt *** Neues vom deutschen Staatstrojaner und dem "Darkweb" *** -------------------------------------------------- Das deutsche Bundesinnenministerium hat einen neuen Gesetzesentwurf vorgestellt, der es in sich hat. In bezug auf den Staatstrojaner ist darin einerseits vorgesehen, dass auch Medien Ziel einer staatstrojanischen Überwachung sein können und andererseits soll der Verfassungsschutz die Erlaubnis bekommen, Einbrüche zu begehen, um den Staatstrojaner auf Geräten zu installieren. Ein richterlicher Beschluss ist dazu möglicherweise nicht vorgesehen, was nur leider wahrscheinlich grundrechtswidrig ist. Aber solche Lappalien werden sich sicher aus dem Weg räumen lassen... Außerdem wird in dem Entwurf die Kriminalisierung des TOR-Netzwerks weiter vorangetrieben. Natürlich nur, um gegen den pöhsen Drogenhandel dort vorzugehen. Ja ne, is klar... -------------------------------------------------- <https://www.golem.de/news/verfassungsschutz-einbruch-fuer-den-staatstrojane…> <https://netzpolitik.org/2019/tor-netzwerk-und-redaktionsgeheimnis-was-die-b…> *** Illegale Auto-Vorratsdatenspeicherung in Brandenburg *** -------------------------------------------------- Netzpolitik.org hat ein Gutachten des zuständigen Innenministeriums veröffentlicht, das die Auto-Vorratsdatenspeicherung durch die Polizei als illegal einstuft und daraufhin nicht veröffentlicht, sondern solange umgeschrieben wurde, bis es der Polizei in den Kram gepasst hat. Ernsthaft lesenswerter Beitrag, auch wenn mir das Lachen dabei buchstäblich im Hals stecken blieb. -------------------------------------------------- <https://netzpolitik.org/2019/kennzeichen-scanner-wir-veroeffentlichen-das-g…> *** Lifttelephone: Die letzte Bastion des Phreaking *** -------------------------------------------------- Analoges Phreaking ist durch die Digitalisierung der Telefoninfrastruktur heute eher selten. Da ist es doch schön zu wissen, dass die Telefone in Aufzügen immer noch dafür anfällig sind. Meistens ist es nur notwendig, die Nummer des Aufzugs zu kennen und ihn anzurufen, und schon kann eins ein Gespräch mit den Personen darin beginnen. Wer dann noch eine Liste der Standardpasswörter für diese Anlagen kennt, kann sie dann auch gleich umprogrammieren, sodass z.B. ein Druck auf die Notruftaste zu einem Anruf bei der nächstgelegenen Pizzeria führt. Es ist zwar kaum überraschend, dass die Sichterheit dieser Telefone eher unterirdisch ist, aber durchaus angsteinflößend. -------------------------------------------------- <https://www.wired.com/story/elevator-phone-phreaking-defcon/> *** Internet Society veröffentlicht Tool zum Monitoring von Internet Routing Security *** -------------------------------------------------- Die Internet Society hat ein Tool veröffentlicht mit dem es möglich ist, sich die Internet Routing Security weltweit visuell anzeigen zu lassen. Netzwerkbetreiber*innen können auch genaue Informationen zu ihren und anderen Netzwerken erhalten, um Probleme schneller zu finden. Schaut jedenfalls ziemlich cool aus :) -------------------------------------------------- <https://www.internetsociety.org/blog/2019/08/manrs-observatory-monitoring-t…> *** EFF Whitepaper zu IMSI-Catchern *** -------------------------------------------------- Ist zwar mittlerweile schon knapp zwei Monate alt, aber ich bin erst diese Woche darauf gestoßen. Das Paper bietet einen ziemlich guten Überblick, was "Cell Site Simulators" zu denen IMSI-Catcher gehören so können, welche Angriffsszenarien bekannt sind und wie diese funktionieren. Das ganze ist so geschrieben, dass es auch für Personen verständlich ist, die sich bisher nicht mit der Funktion von Telefonie-Netzwerken auseinandergeseetzt haben, verlinkt aber auch eine Reihe an wissenschaftlichen Artikeln für diejenigen, die tiefer in die technische Seite der Materie eintauchen wollen :) Außerdem beschreibt es auch, gegen welche Angriffe sich Normalsterbliche zumindest halbwegs verteidigen kennen und gegen welche bis heute keine (einfachen) Gegenmaßnahmen verfügbar sind. -------------------------------------------------- <https://www.eff.org/wp/gotta-catch-em-all-understanding-how-imsi-catchers-e…> *** Überraschung: Cybervoting ist auch in Russland kaputt *** -------------------------------------------------- Im September dürfen bei der Wahl der Moskauer Duma bis zu eine halbe Million Menschen online wählen. Im Zuge eines öffentlichen Pen-Tests (dessen Existenz jedenfalls *sehr* lobenswert ist) wurden Teile des verwendeten Codes auf Github veröffentlicht und direkt von einem französischen Researcher zerlegt. Die Überraschung darüber, dass Cybervoting auch in Russland nicht funktioniert, hält sich (zumindest bei mir) in sehr engen Grenzen. -------------------------------------------------- <https://arxiv.org/abs/1908.05127> <https://medium.com/@juliakrivonosova/internet-voting-in-russia-how-9382db4d…> <https://github.com/moscow-technologies/blockchain-voting> LG, dimir

4 years, 8 months

1
0
0 0

Wöchentlicher C<3W Newsletter #12

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 05.08. bis 11.08. Inhalt: - Facebook fördert Forschung zum Gedankenlesen - Amazon muss bekanntgeben, wie häufig SSRF in der Amazon Cloud vorkommt - US-Regierung zieht alle Überwachungsregister im Kampf gegen Whistleblowing - Hessens Polizist*innen missbrauchen Zugriff auf personenbezogene Daten massiv - ReCAPTCHAs sind das Böse - Facebook veröffentlicht Teile seiner Uploadfiltertechnik - DDoS mal anders - Adorno und der neue Rechtsradikalimus - CCC hackt Hotel-Schlösser der neuesten Generation - Chaos Communication Camp Vorschau von Netzpolitik.org *** Facebook fördert Forschung zum Gedankenlesen *** -------------------------------------------------- Der Titel sagt eigentlich ohnehin alles. Und von wem würden wir lieber unsere Gedanken lesen lassen, als von einer so vertrauenswürdigen Firma wie Facebook? -------------------------------------------------- <https://heise.de/-4486598> *** Amazon muss bekanntgeben, wie häufig SSRF in der Amazon Cloud vorkommt *** -------------------------------------------------- Die Cloud beinhaltet ja viele Dinge, und Cloud Angestellte sollen zuweilen Zugriffe haben. Der Capital One Hack bewegt daher die Politik. Senator Wyden hat jetzt bei Jeff Bezos angefragt, ob und wie viele und welche Amazon Kund*innen durch server-side request forgery (SSRF) Schwachstellen angegriffen wurden. Jeff hat bis zum 13. August Zeit zu antworten. -------------------------------------------------- <https://www.theregister.co.uk/2019/08/06/wyden_amazon_letter/> *** US-Regierung zieht alle Überwachungsregister im Kampf gegen Whistleblowing *** -------------------------------------------------- Wie schon unter seinem Vorgänger werden Whistleblower*innen von Trumps Regierung gnadenlos gejagt und als "Spion*innen" denunziert. Die Überwachungsmöglichkeiten der Regierung sind fast grenzenlos und kaum jemand, die/der auf einen Missstand hinweisen will, hat das technische Know-How, sich ernsthaft zu verteidigen. Es ist bezeichnend, dass der eine bekannte Whistleblower, der zumindest eine ungefähre Vorstellung hatte, wogegen er sich zu wehren hat, keinen anderen Ausweg sah, als sein Heimatland zu verlassen -- alle technische Expertise konnte Edward Snowden also gerade einmal genug Zeit für eine "erfolgreiche" Flucht verschaffen. Der Artikel listet auf, über welche Indizien einige der bekannteren Whistleblower*innen der jüngeren Vergangenheit aufgeflogen sind und gibt dadurch ganz gute Einblicke in die Daten, die den Behörden zur Verfügung stehen. -------------------------------------------------- <https://theintercept.com/2019/08/04/whistleblowers-surveillance-fbi-trump/> *** Hessens Polizist*innen missbrauchen Zugriff auf personenbezogene Daten massiv *** -------------------------------------------------- Helene Fischers Daten wurden nach einem Konzert in Frankfurt 83 Mal von Polizist*innen abgefragt. Ob sie wohl tatsächlich 83 an diesem einen Abend kontrolliert wurde? Wohl eher nicht, das gibt sogar der hessische Polizeipräsident zu. Dass stichprobenartige Kontrollen, die bei jeder 200. (!) Abfrage einen Grund für eben diese haben wollen, allein seit Februar zu 9.000 Fällen bei der Datenschutzbehörde geführt haben, findet die Polizei aber unbedenklich. Bei 18.000 Beamt*innen sind 9.000 potentielle Datenschutzvergehen in 6 Monaten sicherlich ganz normal. -------------------------------------------------- <https://www.golem.de/news/datenmissbrauch-hessens-polizisten-fragen-nicht-n…> *** ReCAPTCHAs sind das Böse *** -------------------------------------------------- Eim schöner Rant über Google reCAPTCHAs :) -------------------------------------------------- <https://thestoic.me/there-is-no-evil-like-recaptcha> *** Facebook veröffentlicht Teile seiner Uploadfiltertechnik *** -------------------------------------------------- Für alle unter euch, die immer schon wissen wollten, wie die Algorithmen hinter Facebooks Uploadfilter funktionieren: Teile davon sind jetzt offiziell auf Github veröffentlicht. Viel Spaß beim Lesen!:) -------------------------------------------------- <https://netzpolitik.org/2019/facebook-veroeffentlicht-teile-seiner-uploadfi…> <https://github.com/facebook/ThreatExchange/tree/master/hashing/tmk> *** DoS mal anders *** -------------------------------------------------- Dass (D)DoS ein großes Problem in diesem Internet darstellt, ist hinreichend bekannt. Zwei Forscher haben sich mit einer neuen Facette davon beschäftigt: Kann ich mir beim Angriff die Bandbreite sparen und stattdessen einfach die Worst-Case Szenarien diverser Algorithmen ausnutzen? Die "überraschende" Antwort: Ja, klar! Zumindest für PDFs, VNC und Dropbox' Password-Strength-Estimator funktioniert das. -------------------------------------------------- <https://www.wired.com/story/algorithm-dos-attack/> *** Adorno und der neue Rechtsradikalimus *** -------------------------------------------------- Ein Artikel der zeigt, dass die Taktiken der "neuen Rechten" gar nicht so neu sind, sondern schon Ende der 60er ganz gut beschrieben wurden. -------------------------------------------------- <https://heise.de/-4493410> *** CCC hackt Hotel-Schlösser der neuesten Generation *** -------------------------------------------------- Zwei Personen aus dem CCC haben Schwachstellen in Bluetooth-basierten Hotelschlössern gefunden. Da die Schlösser zum Zeitpunkt der Entdeckung noch so neu waren, ist es tatsächlich möglich, dass die Herstellerfirma alle betroffenen Schlösser patchen wird -- das sind doch gut Nachrichten :) -------------------------------------------------- <https://www.ccc.de/de/updates/2019/ble-locks> *** Chaos Communication Camp Vorschau von Netzpolitik.org *** -------------------------------------------------- Netzpolitik.org gibt eine Vorschau auf das Camp aus ihrer Sicht und verlinkt gleich alle Möglichkeiten, wie eins dabei sein kann, wenn's mit dem Ticketkauf nicht geklappt hat. -------------------------------------------------- <https://netzpolitik.org/2019/chaos-communication-camp-programmempfehlungen-…> LG aus Kroatien, dimir

4 years, 8 months

1
0
0 0

Wöchentlicher C<3W Newsletter #11

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 29.07. bis 04.08. Inhalt: - Why we fight for crypto - Limits bei PIN-losem Bezahlen mit VISA umgehbar - Hack the Hacks not the Hackers - Neue Hacker*innen Stockfotos braucht die Welt! - Die IT-Security, die Wolf schreit - 3/4 aller strafbaren Hasspostings in Deutschland kommen von rechts - Ross Anderson arbeitet an der 3. Auflage von Security Engineering *** Why we fight for crypto *** -------------------------------------------------- Eine schöne Zusammenfassung der Argumente, warum es sich lohnt für sichere Kommunikation für alle zu kämpfen. Inklusive dem Hinweis, dass (zumindest in den USA) die Zahlen nicht für ein massenhaftes "Going Dark" von Kriminellen sprechen. -------------------------------------------------- <https://blog.erratasec.com/2019/07/why-we-fight-for-crypto.html> *** Limits bei PIN-losem Bezahlen mit VISA umgehbar *** -------------------------------------------------- Kontaktloses Zahlen ohne PIN-Eingabe ist praktisch und aufgrund der Limits auch relativ gut gegen Missbrauch geschützt. Zumindest wurde das bisher behauptet. Britische Forscher haben allerdings jetzt bei VISA-Karten nachgewiesen, dass sie mit einem MITM-Angriff die Karte und das Bezahlterminal davon überzeugen konnten, auch höhere Beträge abzubuchen ohne einen PIN zu verlangen. Dagegen tun will VISA allerdings nichts, da der Angriff nicht skalierbar und mit hohem Aufwand für Kriminell verbunden sei. -------------------------------------------------- <https://heise.de/-4484956> *** Hack the Hacks not the Hackers *** -------------------------------------------------- Die amerikanische Firma Trinity will im Kampf gegen pöhse Hacker*innen eine "neue" Strategie einsetzen: Sie will sich zwischen Angegriffene und Angreifende positionieren und den Traffic so manipulieren, dass für Angreifer*innen nicht erkennbar ist, ob sie erfolgreich waren oder nicht. Dieses "Hacking the Hacks" soll für Frustration und Zeitverlust bei den Kriminellen sorgen und gleichzeitig die Probleme von klassischem "Hack Back" umgehen. Klingt nach einer tollen Idee: Firmen können also für einen massiven MITM-Angriff bezahlen, bei dem eine andere Firma ihren gesamten Netzwerkverkehr mitliest und alles, was an aus deren Sicht böse Netzwerke geht, nach Belieben verändern. Es ist ja auch sehr realistisch, dass eine einzelne Firma die exakten Kommunikationsmuster jeder einzelnen Schadsoftware kennt und sinnvoll manipulieren kann. Und was tun, wenn die Bösen bemerken, dass sie hier verarscht werden? Keine Sorge, das kann nicht passieren, denn Trinity wird einfach niemals verraten, wie und was sie genau machen -- Security by Obscurity, eine bombensichere Taktik! Da dementsprechend auch Kund*innen nicht wissen, was eigentlich mit ihrem Netzwerktraffic passiert, könnten böse Zungen glatt behaupten, dass Trinity sie gleich mitverarscht. -------------------------------------------------- <https://www.wired.com/story/tom-bossert-trinity-active-threat-interference/> *** Neue Hacker*innen Stockfotos braucht die Welt! *** -------------------------------------------------- Dieser Ansicht ist zumindest die Firma Openideo. Darum haben sie einen Wettbewerb gestartet, um Hackern und Haecksen ein neues visuelles Image zu verpassen -- weg vom Hoodie-tragenden, männlichen, weißen Kellerkind im grünen Terminalschein. Einreichen ist bis 15. August möglich. -------------------------------------------------- <https://www.golem.de/news/it-security-hoodie-klischeebilder-sollen-durch-we…> *** Die IT-Security, die Wolf schreit *** -------------------------------------------------- Sicherheitslücken sind ein großes Problem. Damit aber auch die selbst gefundene Sicherheitslücke medial die größtmögliche Aufmerksamkeit bekommt, muss einiges beachtet werden: Eigene Website, eigene Graphiken und natürlich ein klingender Name. Dass durch diese Taktiken auch eigentlich irrelevante oder gar inexistente Sicherheitslücken aufgebauscht werden, dürfte kaum jemanden überraschen. Bei all dem Hype ist es oft schwierig festzustellen, welche Lücken wirklich gefährlich sind. Ein lesenswerter Artikel darüber, wie die Journalist*innen bei golem.de mit diesem Problem umgehen. TL;DR: Verifizieren was geht, Unsicherheiten benennen und Fehler eingestehen. -------------------------------------------------- <https://www.golem.de/news/berichterstattung-ueber-sicherheitsluecken-so-sic…> *** 3/4 aller strafbaren Hasspostings in Deutschland kommen von rechts *** -------------------------------------------------- Aus der Antwort der deutschen Bundesregierung auf eine Anfrage der Linkspartei geht hervor, dass ca. drei Viertel aller strafbaren Hasspostings lt. deutschem Bundeskriminalamt politisch motivierter Kriminalität von rechts zugeordnet werden können. Diese Zahlen sind seit Beginn der Erhebung 2017 mit 74.0% (2017) und 76.7% (2018) relativ konstant. Strafbare Hasspostings von links machten 2017 5.4% und 2018 8.6% der Fälle aus. Unglaublich überraschend diese Zahlen... -------------------------------------------------- <https://netzpolitik.org/2019/bundesregierung-drei-viertel-aller-strafbaren-…> *** Ross Anderson arbeitet an der 3. Auflage von Security Engineering *** -------------------------------------------------- Das sind zwar keine News, ist aber vlt. für die eine oder den anderen interessant: Ross Anderson arbeitet aktuell an der 3. Auflage seines Klassikers "Security Engineering" und hat mit dem Verlag ausgehandelt, dass er alle Kapitel für Reviewzwecke bis zur Veröffentlichung des Buches auf seiner Webseite als PDFs zum kostenlosen Download zur Verfügung stellen darf. -------------------------------------------------- <https://www.cl.cam.ac.uk/~rja14/book.html> LG, dimir

4 years, 9 months

1
0
0 0

Wöchentlicher C<3W Newsletter #10

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 22.07. bis 28.07. Inhalt: - Netzpolitik.org bekämpft das Sommerloch mit AI (oder so ;)) - Das No More Ransom! Projekt wird 3 Jahre alt - Britische Polizei verfolgt Anzeigen wegen sexuellen Übergriffen nur mit Vollzugriff auf Endgeräte der Opfer - Firefox, Chrome und Android entziehen TLS-Zertifikation von DarkMatter das Vertrauen - Der *long* Tail of Malware: 15 Jahre MyDoom - "Silent Talker": AI-powered Lügendetektor zum Schutz von Europas Außengrenzen - AI-Race zwischen den USA und China: Zügelloses Bullshitbingo auf ernst - Plaintext E-Mails für alle *** Netzpolitik.org bekämpft das Sommerloch mit AI (oder so ;)) *** -------------------------------------------------- Ohne Worte, viel Spaß beim Lesen :) -------------------------------------------------- <https://netzpolitik.org/2019/die-grosse-mehrheit-der-streamer-schaut-regelm…> *** Das "No More Ransom" Projekt wird 3 Jahre alt *** -------------------------------------------------- Vor drei Jahren haben diverse Gruppen aus der Akademia, der Research-Community, der Privatwirtschaft und dem staatlichen Umfeld begonnen, sich zusammenzuschließen um Opfern von Ransomware kostenlos und an einem Ort alle bekannten Decrypter zur Verfügung zu stellen. Wieviel Geld das den Betroffenen gespart hat, ist zwar unklar, aber faktisch auch egal -- wichtig ist eigentlich nur, dass durch dieses Projekt zahlreiche Betroffene ihre Daten wiederbekommen haben. Also: Happy Birthday! -------------------------------------------------- <https://www.bleepingcomputer.com/news/security/no-more-ransom-success-story…> *** Britische Polizei verfolgt Anzeigen wegen sexuellen Übergriffen nur mit Vollzugriff auf Endgeräte der Opfer *** -------------------------------------------------- Was wie ein *richtig* schlechter Witz klingt, ist nach einem Bericht der NGO Big Brother Watch Realität. Wer einen sexuellen Übergriff anzeigt, muss ein Formular ausfüllen und darin der Polizei einen Freibrief zum ungefilterten Auslesen jeglicher Devices geben. Wer das nicht tut, erhöht die Wahrscheinlichkeit, dass der Fall nicht weiterverfolgt wird. Die Begründung, warum alle und nicht nur relevante Daten ausgelesen werden ist auch absolut nachvollziehbar: Nicht alle der eingesetzten Softwarelösungen sind dazu in der Lage nur Teile der Daten auslesen. An dieser Stelle sich bitte einen langen und lauten Schrei vorstellen. Das Schmankerl, dass die von ihnen eingesetzte Software sogar aktiv damit wirbt, nur "relevante" Daten auslesen zu können, ist dann echt nur noch die Krönung dieser Farce... -------------------------------------------------- <https://netzpolitik.org/2019/handyauslesung-britische-polizei-behandelt-opf…> *** Firefox, Chrome und Android entziehen TLS-Zertifikation von DarkMatter das Vertrauen *** -------------------------------------------------- Die Überschrift sagt eh schon alles. DarkMatter ist eine Security-Bude, die hauptsächlich dadurch aufgefallen ist, dass sie Menschenrechtsaktivist*innen und Journalist*innen im Auftrag so sympathischer Staaten wie den den VAE (mit Unterstützung westlicher Geheimdienste) ausspioniert. -------------------------------------------------- <https://heise.de/-4467565> <https://www.reuters.com/investigates/special-report/usa-spying-raven/> *** Der *long* Tail of Malware: 15 Jahre MyDoom *** -------------------------------------------------- Dass Malware oft lange lebt, ist mittlerweile hinreichend gut bekannt. Aber dass eine 15 Jahre alte Schadsoftware in der ersten Hälfte 2019 zwar nur für 1.1% der bösartigen E-Mails, aber für 30% der einzigartigen Malware-Samples verantwortlich ist, hat mich dann doch überrascht. Die Zahlen sind natürlich mit Vorsicht zu genießen, da sie sich nur aus den Daten der Kund*innen von Palo Alto Networks speisen. -------------------------------------------------- <https://unit42.paloaltonetworks.com/about-unit-42/> *** "Silent Talker": AI-powered Lügendetektor zum Schutz von Europas Außengrenzen *** -------------------------------------------------- Schonwieder diese scheiß Amis mit ihrem Überwachungswahn, das kann ja alles nicht... Wait, what? Das ist Europa? Und die EU? *hust*, gehen Sie weiter, hier gibt es nichts zu sehen... Die EU hat unter dem Projektnamen "iBorderCtrl" (ich will weinen) eine KI entwickeln lassen, die aufgrund von "micro gestures", also Gesichtsausdrücken, Körperhaltung und Blick feststellen will, ob jemand lügt. Buzzword-Software die auf Pseudowissenschaft basiert -- Was kann da schon schiefgehen?!?! (hier gerne wieder mental einen Schrei einfügen) Eigentlich reicht folgendes Zitat aus dem Artikel zur hinreichenden Qualitätskontrolle: "A study produced by the researchers in Manchester tested iBorderCtrl on 32 people and said that their results showed the system had 75 percent accuracy." Ein bekannter Logbuch Netzpolitik Sprecher sagte einst in anderem Zusammenhang: "Das hat hohes Kopf-Tisch-Potential". Dem ist nichts hinzuzufügen. P.S.: Nach dem Screenshot im Artikel zu urteilen: Hätten die sich bei den 4.5 Millionen Euro die in diesen Schwachfoo gepumpt wurden nicht wenigstens gute Grafikdesigner*innen holen können??? -------------------------------------------------- <https://theintercept.com/2019/07/26/europe-border-control-ai-lie-detector/> *** AI-Race zwischen den USA und China: Zügelloses Bullshitbingo auf ernst *** -------------------------------------------------- Ein wunderschöner Artikel darüber, wie das Buzzword "AI" ohne jedes Verständnis und ohne jedes Nachdenken missbraucht wird, um einen völlig sinnbefreiten Wettlauf voranzutreiben und sich auch noch auf die militärischen Einsatzmöglichkeiten von "AI" zu fokusieren, anstatt zu versuchen, das Leben auf der Erde für alle besser zu machen. Jedenfalls ganz dringende Leseempfehlung :) -------------------------------------------------- <https://theintercept.com/2019/07/21/ai-race-china-artificial-intelligence/> *** Plaintext E-Mails für alle *** -------------------------------------------------- Zwar keine News, aber wer eine Quelle sucht, die erklärt, warum HTML in E-Mails keine gute Idee ist und wie gängige Mail-Clients auf Plaintext-only umgestellt werden können, wird hier fündig. -------------------------------------------------- <https://useplaintext.email/> LG, dimir

4 years, 9 months

1
0
0 0

Wöchentlicher C<3W Newsletter #9

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 15.07.2019 bis 21.07.2019. Inhalt: - Citizenlab untersucht Zensur in Echtzeit in WeChat - Warum PGP keine gute Verschlüsselungslösung ist - M$ Office 365 nicht für den Einsatz an Schulen zulässig - Stream-On Dienst der deutschen Telekom (ziemlich) endgültig für rechtswidrig erklärt - Echtzeit Gesichtserkennung der London Metropolitan Police wahrscheinlich menschenrechtswidrig - Handbuch zur Überwachungssoftware von Palantir geleaked - Alan Turing kommt auf den 50-Pfund-Schein - Kasachstan überwacht sämtlichen TLS-Verkehr - Endlich auch Malware für den Linux Desktop - Großes Datenleck beim russischen Geheimdienst FSB *** Citizenlab untersucht Zensur in Echtzeit in WeChat *** -------------------------------------------------- Das kanadische Citizenlab hat sich angesehen, wie Zensieren in Echtzeit bei den Produkten von Tencent, allen voran WeChat funktioniert. Wie meinte noch ein österreichischer Politiker? "Sie werden sich noch wundern, was alles möglich ist." Die Zensurmaschinerie von morgen schon heute. TL;DR: Zensieren in Echtzeit geht über MD5 Vergleich, aber jedes Bild wird dann noch mit OCR und einem visuellen Fingerprint mit einer Blacklist verglichen. False Positives inklusive. -------------------------------------------------- <https://citizenlab.ca/2019/07/cant-picture-this-2-an-analysis-of-wechats-re…> *** Warum PGP keine gute Verschlüsselungslösung ist *** -------------------------------------------------- Kurzfassung: Niemand, die halbwegs professionell Kryptographie betreibt, würde heute ein System wie PGP erschaffen. Und um aus dem Text zu zitieren: "You can have backwards compatibility with the 1990s or you can have sound cryptography; you can’t have both." RIP PGP. Schön wär's. Aber solange E-Mail noch zur Abwicklung von Geschäften verwendet wird, solange wird uns auch PGP nicht verlassen. Auch wenn Messenger mittlerweile wesentlich bessere Crypto haben, erscheint der Umstieg ganzer Vereine/Unternehmen/etc. in absehbarer Zeit ziemlich unwahrscheinlich. Ticketsystemintegration ohne E-Mail? glhf... -------------------------------------------------- <https://latacora.micro.blog/2019/07/16/the-pgp-problem.html> *** M$ Office 365 nicht für den Einsatz an Schulen zulässig *** -------------------------------------------------- Der Datenschutzbeauftragte von Hessen hat den Einsatz der Office-Suite des Ablegers der Sirius Cybernetics Corporation auf der Erde für nicht zulässig erklärt, da selbst wenn die Server zur Datenspeicherung in Europa stünden, Zugriff von amerikanischen Behörden nicht ausgeschlossen werden kann. -------------------------------------------------- <https://heise.de/-4466156> <https://en.wikipedia.org/wiki/Technology_in_The_Hitchhiker%27s_Guide_to_the…> *** Stream-On Dienst der deutschen Telekom (ziemlich) endgültig für rechtswidrig erklärt *** -------------------------------------------------- Nachdem die Bundesnetzagentur bereits 2017 den Stream-On Dienst für teilweise illegal erklärt hat, hat nun das zweite Gericht bestätigt, dass die deutsche Telekom ihren Tarif an das Gesetz anzupassen hat. Und 200 000€ Strafe muss die Telekom wahrscheinlich zahlen. Huiuiui, das wird ihnen aber richtig weh tun; bei 75.7 Mrd. Umsatz im Jahr 2018, macht das ja ganze 0.00026% davon! Wahrscheinlich sind mittlerweile die Verfahrenskosten schon höher als das... -------------------------------------------------- <https://netzpolitik.org/2019/telekom-unterliegt-erneut-streamon-tarife-duer…> *** Echtzeit Gesichtserkennung der London Metropolitan Police wahrscheinlich menschenrechtswidrig *** -------------------------------------------------- Wissenschaftler*innen der Universität Essex haben sich mit der Rechtskonformität der Überwachungsmaschinerie der Lonton Metropolitan Police beschäftigt. Sie kommen unter anderem zu dem Schluss, dass die Polizei gesellschaftliche Aspekte zu wenig beleuchtet hat, sondern sich nur auf technische Ziele konzentriert hat. Ein Zitat: "The Metropolitan Police did not appear to engage effectively with the ‘necessary in a democratic society’ test established by human rights law." Jedenfalls erfreulich, dass sowas mal aus menschenrechtlicher Perspektive in einem wissenschaftlichen Rahmen zerlegt wird. -------------------------------------------------- <https://www.essex.ac.uk/news/2019/07/03/met-police-live-facial-recognition-…> *** Handbuch zur Überwachungssoftware von Palantir geleaked *** -------------------------------------------------- Palantir ist wahrscheinlich eine der wichtigsten Firmen, wenn es darum geht, Exekutiven überall auf der Welt mit völlig wahnwitzigen Überwachungskapazitäten auszustatten. Vices Motherboard hat jetzt über einen public records request das der Öffentlichkeit bisher unbekannte Nutzer*innenhandbuch des Produkts "Gotham" in die Finger bekommen und gibt Einblicke in dessen Funktionsweise. -------------------------------------------------- <https://www.vice.com/en_us/article/9kx4z8/revealed-this-is-palantirs-top-se…> *** Alan Turing kommt auf den 50-Pfund-Schein *** -------------------------------------------------- Nachdem Britannien 59 Jahre gebraucht hat, um Turing nach seinem Tod vom Verbrechen der Homosexualität zu begnadigen (nein, das ist kein Scherz und nein, der Satz wird auch bei wiederholtem Lesen nicht weniger unpackbar), hat die Bank of England jetzt bekanntgegeben, dass sein Portrait auf den neuen 50 Pfund Scheinen zu sehen sein wird. -------------------------------------------------- <https://heise.de/-4471518> *** Kasachstan überwacht sämtlichen TLS-Verkehr *** -------------------------------------------------- Die Regierung in Kasachstan hat ISPs gezwungen, Ihre Nutzer*innen dazu zu zwingen ein TLS root-Zertifikat zu installieren mit dessen Hilfe die Regierung sämtliche HTTPS Verbindungen entschlüsseln und überwachen kann. -------------------------------------------------- <https://www.golem.de/news/tls-zertifikat-gesamter-internetverkehr-in-kasach…> *** Endlich auch Malware für den Linux Desktop *** -------------------------------------------------- Linux Desktopnutzer*innen leben ja manchmal in der Illusion, dass es für ihre Plattform keine Schadsoftware gäbe -- Linux is ja so sicher und außerdem verwenden dass so wenige Personen, dass sich der Entwicklungsaufwand gar nicht lohnt. Aber damit ist (spätestens) jetzt Schluss, Malware ist schließlich für alle da: Die IT-Security Firma Intezer hat einen Trojaner für Linux Destops gefunden und ihn "EvilGnome" genannt, da sich die Malware als Gnome-Erweiterung tarnt. -------------------------------------------------- <https://www.intezer.com/blog-evilgnome-rare-malware-spying-on-linux-desktop…> *** Großes Datenleck beim russischen Geheimdienst FSB *** -------------------------------------------------- Hacktivist*innen der Gruppe 0v1ru$ sind bei einem Dienstleister des FSB eingebrochen und konnten 7.5 TB an Daten erbeuten. Die darin bisher bekanntgewordenen Aktivitäten des FSB sind wenig überaschend; Firmen bestehlen, Daten von sozialen Netzwerken sammeln, TOR-User*innen deanonymisieren wollen,... Was ein moderner Geheimdienst von Welt heutzutage eben so tut. -------------------------------------------------- <https://heise.de/-4476027> LG, dimir

4 years, 9 months

1
0
0 0

[c3w-Intern] Wöchentlicher C<3W Newsletter #8

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 08.07.2019 bis 14.07.2019. Inhalt: - Eine Schwachstelle in der Videokonferenzsoftware ZOOM und ihre Beseitigung - Google Home hört mit und läute hören es sich an! (Wär hätte das gedacht!) - Ein Artikel über Online Identifikation [EN] - DSGVO Nr. 1 Mariotte Hotelkette soll 110 Millionen Euro Bußgeld zahlen - DSGVO Nr. 2 British Airways soll mehr als 200 Millionen Euro Bußgeld zahlen - Laut Gerüchten soll Facebook 5 Milliarden USD Strafe zahlen, weil Datenschutz, aber nicht DSGVO - Instagram führ Mobbing-Filter ein - Onlinehändler müssen, entsprechend des 21. Jahrhundert, nicht über Telefon und Fax erreichbar sein sondern nur greifbar - Ein Blick in die Schweiz über das Scheitern dort E-Voting einzuführen *** Apple entfernt lautlos die Webserver-Software von Zoom von Macs *** -------------------------------------------------- Im Laufe der Woche wurde aufgedeckt das sich in der Konferenz-Software Zoom eine Schwachstelle versteckt welche es erlaubte Mac User zu zwingen einer Videokonferenz beizutreten. Grund für diese Schwachstelle ist ein Web-Server welchen die App installiert und welcher auch am System verbleibt wenn man die App deinstalliert. Der Softwarehersteller von Zoom hat sehr zögerlich reagiert und auch nur teilweise gepacht als Apple lautlos Zoom auf allen Apple Geräten lautlos deinstallierte. Auf der einen Seite ist es sehr lobenswert das eine solche Schwachstelle repariert wird, auf der anderen Seite stimmt es sehr nachdenklich über die Möglichkeiten von Betriebssystemherstellern und wirft Fragen auf wann diese ihre Möglichkeiten sonst noch benutzen würden. -------------------------------------------------- https://www.twittersmash.com/technic/apple-entfernt-lautlos-die-webserver-so ftware-von-zoom-von-macs/ https://www.theverge.com/2019/7/8/20687014/zoom-security-flaw-video-conferen ce-websites-hijack-mac-cameras [EN] https://www.theverge.com/2019/7/10/20689644/apple-zoom-web-server-automatic- removal-silent-update-webcam-vulnerability [EN] https://9to5mac.com/2019/07/09/zoom-vulnerability-mac/ [EN] *** Sprachassistent: Auch bei Google lauschen Mitarbeiter mit *** -------------------------------------------------- Nach Amazon sorgt nun auch Google mit seinem Sprachassistenten für Aufsehen: Der Konzern lässt Mitarbeiter mithören. (Wär hätte es gedacht!) -------------------------------------------------- https://futurezone.at/digital-life/sprachassistent-auch-bei-google-lauschen- mitarbeiter-mit/400549181 *** Online identification is getting more and more intrusive *** -------------------------------------------------- Ein extrem guter Artikel über die Schritte welche Werbe Betreiber und andere nehmen um Personen über ihre Geräte zu identifizieren! Achtung Paywall, lässt sich leicht mit einem privaten Fenster umgehen. -------------------------------------------------- https://www.economist.com/science-and-technology/2019/05/23/online-identific ation-is-getting-more-and-more-intrusive?frsc=dg%7Ce [EN] *** Hotelkette Marriott drohen mehr als 100 Millionen Euro Bußgeld *** -------------------------------------------------- Ein Datenleck von Marriott betraf 383 Millionen Hotelgäste. Der Vorfall ist nicht nur für Kunden ärgerlich, sondern auch ein Verstoß gegen die Datenschutz-Grundverordnung, sagen britische Datenschützer. -------------------------------------------------- https://www.spiegel.de/netzwelt/netzpolitik/dsgvo-hotelkette-marriott-drohen -110-millionen-euro-bussgeld-a-1276615.html *** DSGVO: British Airways soll Rekordstrafe wegen Sicherheitsmängeln zahlen *** -------------------------------------------------- Die Datenschutzgrundverordnung zeigt Zähne: Die Fluglinie British Airways soll ein Bußgeld in Höhe von mehr als 200 Millionen Euro zahlen ausgerechnet wegen Problemen bei der IT-Sicherheit. Die britische Datenschutzbehörde kündigte unterdessen bereits die nächste Millionenstrafe an. -------------------------------------------------- https://netzpolitik.org/2019/dsgvo-british-airways-soll-rekordstrafe-wegen-s icherheitsmaengeln-zahlen/ *** 5 Milliarden US-Dollar Strafe für Facebook *** -------------------------------------------------- Nach unbestätigten Informationen wird Facebook in den USA 5 Milliarden Dollar Strafe zahlen, weil es Datenschutz-Verpflichtungen nicht ernst genommen hat. -------------------------------------------------- https://www.heise.de/newsticker/meldung/5-Milliarden-US-Dollar-Strafe-fuer-F acebook-4469491.html *** Denk nochmal nach! Instagram führt Mobbing-Filter ein *** -------------------------------------------------- Instagram will in Zukunft Beleidigungen in Kommentaren erkennen, bevor sie gepostet werden und die Verfasser zu freundlicheren Worten auffordern. Auch sollen Betroffene besser Mobber unsichtbar machen können. Die Plattform kämpft damit um ihr Image als Wohlfühloase im Netz. -------------------------------------------------- https://netzpolitik.org/2019/denk-nochmal-nach-instagram-fuehrt-mobbing-filt er-ein/ *** Onlinehändler müssen nicht zwingend per Telefon erreichbar sein *** -------------------------------------------------- Der Europäische Gerichtshof (EuGH) hat entschieden, dass es keine Pflicht für Onlinehändler gibt, telefonisch erreichbar zu sein. Ein Freibrief, Kundenkontakten auszuweichen, ist das Urteil aber nicht. -------------------------------------------------- https://www.spiegel.de/netzwelt/netzpolitik/eugh-urteil-zu-amazon-online-hae ndler-muessen-nicht-per-telefon-erreichbar-sein-a-1276633.html *** Ein Drama in drei Akten Eine tragisch komische Chronik über die (fehlgeschlagenen) Versuche E-Voting in der Schweiz einzuführen. *** -------------------------------------------------- Die Sicherheitsskandale ums elektronische Abstimmen ließen sich nicht mehr übertünchen. Nun legt der Bundesrat E-Voting vorerst auf Eis. Chronologie eines zwanzigjährigen Irrlaufs. - Am 27. Juni ließ der Bundesrat die Bombe platzen. Die Einführung von E-Voting als drittem offiziellem Stimmkanal wird bis auf Weiteres verschoben. Damit droht dem ambitionierten Digitalisierungsprojekt «Vote électronique» nach fast zwanzig Jahren das Aus. Ein Blick zurück zeigt, dass E-Voting trotz innerer und äußerer Widerstände und Probleme stoisch vorangetrieben wurde. -------------------------------------------------- https://www.woz.ch/1928/e-voting/ein-drama-in-drei-akten LG, SaltySolomon

4 years, 9 months

1
0
0 0

Wöchentlicher C<3W Newsletter #7

by Der C3W Newsletter für IT Zeug, Datenschutz und Privatsphäre

Liebe Freund*innen und Angehörige des Wiener Chaos, Der Newsletter für die Woche vom 24.06.2019 bis 30.06.2019. Inhalt: - Rückruf von Insulinpumpen mit Schwachstellen [EN] - Neuartiger Ansatz: Phishing-Mails mit QR-Code - Angriff auf PGP Keyserver, wieso PGP hoffnungslos Kaputt ist - Digitalsteuer kommt mit anonymisierter IP-Speicherpflicht 2020 - Risiken für Privatsphäre durch Captive Portals im öffentlichen WLAN [EN] - Wie das Fusion-Festival gezeigt hat, dass Freiheitsrechte verteidigt werden können - Exploit veröffentlicht: iMessage-Nachricht kann iPhones lahmlegen - How to speak Silicon Valley: 53 essential tech-bro terms explained - Ein Lexicon mit Augenzwinkern über das Internet aus Sicht des Silicon Valley *** Rückruf von Insulinpumpen mit Schwachstellen*** -------------------------------------------------- Medtronic, der weltgrößte Hersteller von medizinischen Geräten, hat einen Rückruf für eine Gruppe seiner Insulinpumpen zurückgerufen da es unpatchbare Schwachstellen in ihnen gefunden wurden. https://www.helpnetsecurity.com/2019/06/28/hackable-medtronic-insulin-pumps- recall/ [EN] *** Neuartiger Ansatz: Phishing-Mails mit QR-Code *** Sicherheitsforscher sind auf eine neue Methode gestoßen, mit der Betrüger erfolgreich Spam-Filter austricksen. Derzeit sollen im Finanzbereich Phishing-Mails unterwegs sein, die erfolgreich durch Spam-Filter schlüpfen. Die Betrüger sind auf der Jagd nach Log-in-Daten von beispielsweise AOL und Microsoft. Um Sicherheitslösungen, die Mails auf Anhänge und URLs scannen, zu umgehen, betten die Betrüger QR-Codes in die Mails ein. Davon bekommen Mail-Scanner offensichtlich nichts mit und derartige Nachrichten landen direkt im Postfach von Opfern, erläutern Sicherheitsforscher von Cofense in einem Beitrag. https://www.heise.de/newsticker/meldung/Neuartiger-Ansatz-Phishing-Mails-mit -QR-Code-4457948.html *** Verschlüsselte Kommunikation: Angriff auf PGP-Keyserver demonstriert hoffnungslose Situation *** -------------------------------------------------- Mit einem gezielten Angriff auf zwei PGP-Schlüssel demonstrieren Unbekannte, dass ein zentraler Teil der PGP-Infrastruktur wahrscheinlich unrettbar kaputt ist. - Keyserver sind das Fundament der PGP-Infrastruktur. Über sie bekommt man die notwendigen Schlüssel, um mit Dritten verschlüsselt zu kommunizieren oder deren digitale Unterschriften zu prüfen, wenn man keinen direkten Draht zum Schlüsselbesitzer hat. Doch das von PGP-Enthusiasten betriebene SKS-Keyserver-Netz erlebt derzeit einen Angriff, der seinen weiteren Betrieb sehr grundsätzlich in Frage stellt. -------------------------------------------------- https://www.heise.de/newsticker/meldung/Neuartiger-Ansatz-Phishing-Mails-mit -QR-Code-4457948.html *** Risiken für Privatsphäre durch Captive Portals im öffentlichen WLAN [EN]*** Open access WiFi hotspots are widely deployed in many public places, including restaurants, parks, coffee shops, shopping malls, trains, airports, hotels, and libraries. While these hotspots provide an attractive option to stay connected, they may also track user activities and share user/device information with third-parties, through the use of trackers in their captive portal and landing websites. In this paper, we present a comprehensive privacy analysis of 67 unique public WiFi hotspots located in Montreal, Canada, and shed some light on the web tracking and data collection behaviors of these hotspots. Our study reveals the collection of a significant amount of privacy-sensitive personal data through the use of social login (e.g., Facebook and Google) and registration forms, and many instances of tracking activities, sometimes even before the user accepts the hotspot's privacy and terms of service policies. Most hotspots use persistent third-party tracking cookies within their captive portal site; these cookies can be used to follow the user's browsing behavior long after the user leaves the hotspots, e.g., up to 20 years. Additionally, several hotspots explicitly share (sometimes via HTTP) the collected personal and unique device information with many third-party tracking domains. https://arxiv.org/abs/1907.02142 *** Das Fusion-Festival hat gezeigt, dass Freiheitsrechte verteidigt werden können*** -------------------------------------------------- Ausgerechnet einem Kulturfestival in Mecklenburg-Vorpommern gelingt es, die bislang größte Schlacht des Jahres gegen Überwachung zu gewinnen. Wie konnte das passieren und was können wir daraus lernen? Ein Kommentar auf Netzpolitik.org -------------------------------------------------- https://netzpolitik.org/2019/das-fusion-festival-hat-gezeigt-dass-freiheitsr echte-verteidigt-werden-koennen *** Exploit veröffentlicht: iMessage-Nachricht kann iPhones lahmlegen *** -------------------------------------------------- Per Textnachricht lassen sich iPhones und iPads so außer Gefecht setzen, dass nur eine Wiederherstellung hilft. In iOS 12.3 ist der Bug gefixt. - Der Empfang einer manipulierten iMessage kann iPhones und iPads vorübergehend unbrauchbar machen, wenn auf diesen noch nicht iOS 12.3 installiert ist: Ein Fehler in Apples Nachrichten-App führt dazu, dass der unter anderem für den Homescreen verantwortliche iOS-Prozess Springboard in eine Absturzschleife gerät, wie die für Googles Project Zero tätige Sicherheitsforscherin Natalie Silvanovich erklärt. -------------------------------------------------- https://www.heise.de/mac-and-i/meldung/Exploit-veroeffentlicht-iMessage-Nach richt-kann-iPhones-lahmlegen-4463481.html *** How to speak Silicon Valley: 53 essential tech-bro terms explained - Ein Lexicon mit Augenzwinkern über das Internet aus Sicht des Silicon Valley *** -------------------------------------------------- Großartiges Lexicon mit schmankerl wie "cloud, the (n) Servers. A way to keep more of your data off your computer and in the hands of big tech, where it can be monetized in ways you dont understand but may have agreed to when you clicked on the Terms of Service. Usually located in a city or town whose elected officials exchanged tens of millions of dollars in tax breaks for seven full-time security guard jobs." <3 guardian -------------------------------------------------- https://www.theguardian.com/us-news/2019/jun/26/how-to-speak-silicon-valley- decoding-tech-bros-from-microdosing-to-privacy LG, SaltySolomon

4 years, 10 months

1
0
0 0

2024

2023

2022

2021

2020

2019

C3W Newsletter