Eine Diskussion zu Xen und OpenBSD samt der scheu hervorgebrachten Meinung »Virtualization seems to have a lot of security benefits« provozierte einmal mehr einen weiteren Grundsatzerguss Theo de Raadts auf der öffentlichen Mailingliste des selbsternannt proaktiven Betriebssystems - in bekanntem Tonfall:

Diesem Kontext sei “An Empirical Study into the Security Exposure to Hosts on Hostile Virtualized Environments” zum Geleit gegeben. Das wenig überraschende Fazit: Auch virtuelle Maschinen möchten abgesichert und regelmäßig gepflegt sein. Unfehlbar sind sie nicht.

Nicht im Sinne der Auftraggeber, dumm und undifferenziert:

• Seit Januar hängen sie überall in der Schweiz: Plakate, auf denen mit mahnenden Worten auf die Gefahr durch Fälschungen und illegale Kopien hingewiesen wird. In Bern haben nun Unbekannte die Plakate mit eigenen Worten kommentiert. Einer davon merkte zum Slogan »Schon komisch: Du lädst dir via Tauschbörse den Sound deines Lieblingssängers herunter. Und treibst ihn so in den Ruin« trocken an: »Geschätztes Vermögen von Jay-Z: 320 Mio. Dollar«. Bilder und mehr dazu auf 20 Minuten.

Wie ist es möglich, dass ein Polizist E-Mails auf meinem Computer lesen kann?

• Die Zeit erläutert in einfachen Worten, wie ein feindlicher Zugriff auf den eigenen Rechner vonstatten gehen kann. Das mag dann ein böser Hacker sein, oder eben der Wolfgang.

Via Dennis.

Stefan Esser, bekannter Autor unzähliger Security-Advisories (nicht nur) zur Skriptsprache PHP (von denen auch dieses Blog durchaus schon betroffen war) sowie Mitbegründer des Hardened PHP Projektes, zieht sich vom “PHP Security Response Team” zurück:

In Zukunft möchte Esser keine Rücksicht mehr auf die in seinen Augen zu behäbige Reaktionszeit bei gefundenen Sicherheitslücken nehmen und diese unabhängig von der Verfügbarkeit von Patches veröffentlichen. “It will also mean that there will be a lot more advisories about security holes in PHP.”

Update 20061213:

Auch Heise berichtet: Sicherheitsspezialist verlässt resigniert PHP-Security-Team.

Via Kanalmitinsasse und Rubyevangelist Bjoern.

Madwifi nennt sich der Open Source Gerätetreiber für WLAN-Chips der Firma Atheros, wie sie nicht nur in meinem IBM Thinkpad verbaut werden. Heise berichtet nun über eine kritische Schwachstelle, die es Angreifern unter bestimmten Voraussetzungen erlaubt, fremden Code in das System einzuschleusen - und diese Voraussetzungen sind so exotisch nicht:

Eine fehlerbereinigte Interims-Version 0.9.2.1 existiert bereits, mit dem regulären Erscheinen des Nachfolgers 0.9.3 wird Ende nächster Woche gerechnet. Das Originaladvisory kann auf der Madwifi-Mailingliste eingesehen werden. Update!

Die Koffeinjunkies vom StudiVZ möchten nun doch nicht ihr Produktivsystem mit Millionen privater Datensätze hacken lassen und stellen den “lieben Lückensuchern” für’s preisgünstige Auditing ein Testsystem zur Verfügung. Der Aufruf zum kollektiven Abschuß vom 30. November ist damit widerrufen. Vorausgehende Überlegungen mussten einmal mehr extern erbracht werden. “Klingt hart, ist aber so.”

Nein, hier geht es nicht um den gleichnamigen Film von Fatih Akin, der 2004 auf der Berlinale einen goldenen Bären abstauben konnte. Es geht viel mehr darum, “wie Deutschlands heißestes Start-Up vor die Wand fährt”.

Jörg-Olaf Schäfers beleuchtet in “Die Sache mit den Schlagzeilen” die Entwicklung der öffentlichen Wahrnehmung zur unendlichen Geschichte StudiVZ. Thema des Monats innerhalb der in ihrem Einfluss überschätzten Blogosphäre zu sein, ist die eine (im vorliegenden Fall unschöne) Sache, auch vereinzelte Artikel zu Datenschutzproblemen und Sicherheitslücken lassen sich verkraften, so sie in eher engmaschig zielgruppenden Publikationen erscheinen. Problematischer hingegen ist es, mit Passagen wie der folgenden im reichweitenstarken Nachrichtenmainstream aufzutauchen:

Schließlich berichtet auch Spiegel Online über Sex-Stalker im Studentennetz sowie umstrittene Geschäftspraktiken, Zweifel am Datenschutz, dubiose Nazi-Witze und unflätige Videos. Die bloggenden Netzbürger stellen sich derweil immer häufiger die Frage, ob das junge Berliner Startup an den immer schneller veröffentlichten Schlagzeilen zerbricht oder der stürmischen See trotzen kann. Zumindest Don Alphonso, Mitautor der Blogbar und Rebell ohne Markt, macht aus seinen Intentionen gewohnt martialisch keinen Hehl: er würde dem aktuellen Objekt seiner Obsession am liebsten selbst die letzte Kugel verabreichen.

Das Unternehmen StudiVZ steht folgerichtig unter einigem Zugzwang und versucht es auf dem firmeneigenen Blog mit der lange vermissten Transparenz - bisher waren hier eher unbeholfene Beschwichtigungen und Ablenkungsmanöver zu finden, Nebelkerzen, die nicht zündeten. Während der wandelnde PR-GAU Ehssan Dariani von der externen Unternehmenskommunikation entbunden scheint, versucht man es in Berlin nun mit einem eigens abgestellten Datenschutzbeauftragen und möchte mit der Community einen gemeinsamen Verhaltenskodex erstellen.

Doch wohin man dieser Tage in Berlin tritt: Fettnäpfchen allerorten. “Meldet uns XSS- und CSRF-Lücken”, bittet man die “lieben Lückensucher” und gibt damit die eigene Produktiv-Plattform mitsamt ihres Bestandes an Millionen von persönlichen Datensätzen offiziell zum Abschuß frei. 256 Euro pro erfolgreichem Penetrationstest sind versprochen, mittlerweile scheint selbst internationale Hilfe für den Ernstfall bereit zu stehen - mancherorts verleibt da nichts als schlichte Fassungslosigkeit.

Ob verlorenes Vertrauen auf diesem Weg zurück gewonnen werden kann, darf bezweifelt werden. Auch wenn in den Hallräumen des Netzes vieles heißer gekocht als gegessen wird und nicht jede neu entdeckte Sicherheitslücke sofort den herbeigesehnten Skandal für’s eigene Blog generiert, so überrascht die massive Unprofessionalität der handelnden Sozialnetzwerker doch immer und immer wieder. Die bisher erworbene Nutzerbasis von rund einer Millionen Mitgliedern ist das Kapital, mit dem das Unternehmen StudiVZ noch wuchern kann - doch eine Abmeldung ist nur einen Mausklick entfernt. Sollte dieses Kapital am Ende wirklich verspielt werden? Ich mag es nicht ganz glauben, die Beteiligten haben den “Point of no Return” schließlich schon längst hinter sich gelassen. Man bleibt zum Erfolg verdammt, ohne Rücksicht auf (persönliche) Verluste. Risikokapitalgeber Holtzbrinck macht hier eine klare Ansage: “Die Probleme stehen im Mittelpunkt, nicht das Personal”.

Chaos TV CTV063: “Breaking secrecy of a ballot with a radio scanner - Tempest attack on voting computers”. Das Video zeigt, wie eine an einem Wahlcomputer niederländischer Bauart abgegebene Stimme über eine Tempest-Attacke bis auf 25m abgehört werden kann - eine geheime Wahl ist damit beim Einsatz von Wahlcomputern nicht mehr gewährleistet.

Die geheime Wahl aber - und damit die Garantie, in einem Wahlbüro ungehindert und unbeobachtet die eigene Stimme abgeben zu können - ist der Garant für die wirkliche Freiheit der politischen Willensäußerung, ohne Angst vor Repressalien und Möglichkeiten der Erpressbarkeit.

Auf den Seiten des Deutschen Bundestages steht aktuell eine Petition zur Mitzeichnung, die ein ersatzloses Streichen des §35 Bundeswahlgesetz und damit der Stimmabgabe per Wahlgerät fordert. Im Rahmen eines Modellversuchs wird die öffentliche Petition vom International Teledemocracy Centre an der Napier Universität in Edinburgh zur Verfügung gestellt, was einen etwas unglücklichen - da wenig vertrauenswürdigen - URL zur Folge hat. Hier besteht eindeutig Verbesserungsbedarf. Der Petent selbst begründet sein Anliegen vor allem mit der Intransparenz des maschinellen Verfahrens, welches eine verlässliche Nachvollziehbarkeit des korrekten Ablaufs einer Wahl nicht mehr gestattet.

Nachdem wiederholt schwere Sicherheitsmängel amerikanischer Wahlmaschinen festgestellt wurden (“Erneut Sicherheitsmängel bei Wahlmaschinen nachgewiesen”), sind in den letzten Tagen und Wochen verstärkte Zweifel an der technischen Realisierung aktueller Wahlmaschinen auch in Deutschland aufgekommen, untermauert durch einen erfolgreichen Hack des nahezu baugleichen, niederländischen Modells. Weitere Hintergrundinformationen hierzu finden sich beispielsweise auf den Seiten des Chaos Computer Clubs, des Heise Verlags und bei Spiegel Online:

Niederländische Bürgerinitiative knackt Nedap-Wahlcomputer
PTB will den Wahlcomputer-Hack “aufmerksam und gründlich” studieren
Chaos Computer Club fordert Verbot von Wahlcomputern in Deutschland
HSG Wahlsysteme bestätigt Unzulänglichkeit ihrer Wahlcomputer
CCC fordert Verbot von Wahlcomputern
Behörde hält Manipulationen für möglich

Ein Beitrag des Chaosradios widmet sich ebenfalls dem Thema: Wahlcomputer - Der schleichende Untergang der öffentlichen Kontrolle.

Die englischsprachige Analyse des niederländischen Wahlcomputers findet sich, als PDF, auf den Seiten der Initiative “Wij vertrouwen stemcomputers niet” (“Wir vertrauen Wahlcomputern nicht”): “Nedap/Groenendaal ES3B voting computer - a security analysis” (mehr dazu bei Andreas: “Nedap-Wahlcomputer gehackt”).

Hingewiesen sei in diesem Kontext außerdem auf die äußerst empfehlenswerten Artikel zum Thema E-Voting und Wahlcomputer auf “Freedom to Tinker”, dem Law- und Technologieblog von Edward Felten.

Frohe Lektüre!

Via netzpolitik.org.

Unister, neben studiVZ einer der (weniger) großen Namen im studentischen Sozialnetzwerken, stupst Andreas Dittes etwas vehementer als gewohnt in die Seite. Dieser hatte den Betreiber des Portals auf eine - laut eigener Aussage zufällig gefundene - Sicherheitslücke aufmerksam gemacht, die es ihm ermöglichte, etwa 34.000 Datensätze samt E-Mail-Adressen, Fotos und Namen der zugehörigen Personen zu sichern. Verbunden mit dem kostenfreien Auditing war die Ankündigung, wenige Tage später im eigenen Blog über den Fall berichten zu wollen, “damit man sich bemühen würde, die Lücke schnell zu schließen” - eine in mit IT-Security befassten Kreisen nicht unübliche Vorgehensweise, die ein sofortiges Handeln der Betroffenen sicherstellen und das klassische “unter den Teppich kehren” verhindern soll.

Neben dem durch diese Entdeckung veranlaßten Schließen der erheblichen Sicherheitslücken im System von Unister bestand die erste Reaktion der Seitenbetreiber offenbar in der Androhung erheblicher rechtlicher Konsequenzen, sollte Dittes den Fall einer größeren Öffentlichkeit publik machen.

Augenscheinlich also schon wieder ein klassisches Eigentor von Leuten, die es eigentlich besser hätten wissen müssen. Ein einfaches “Dankeschön, wir sind dran!”, vielleicht sogar verbunden mit einem kleinen Dankeschön (es ist die Geste, die zählt), und Unister wäre es gelungen, aus einer ursprünglich negativen Sache positives Kapital zu schlagen. So aber reiht sich die gezeigte Reaktion in die lange Liste derer ein, die das Medium, in dem sie agieren, kaum verstanden zu haben scheinen, denn Vertrauen oder Sympathien gewinnt man so nicht. Das zeigen schon erste Reaktionen. Weitere sind dem verlinkten Artikel in Dittsches Dittes Blog zu enthehmen.

Update 20061004:

Unister hat eine Gegendarstellung veröffentlicht. Das entsprechende PDF enthält ein “Vollzitat” der E-Mail, die Dittes wegen genannter Sicherheitslücke an Unister geschickt hatte, mithin also eine ungefragte Veröffentlichung privater E-Mail-Korrespondenz. Den Inhalt des mit Dittes geführten Telefonats gibt Unister wenig überraschend etwas anders wieder: Herrn Dittes wäre “ausdrücklich für dessen Hinweis auf die Manipulationsmöglichkeit” gedankt worden, Drohungen hätte es keine gegeben, lediglich den Hinweis auf Einleitung rechtlicher Schritte bei Veröffentlichung der kopierten Nutzerdaten. Desweiteren wurde Herr Dittes im Telefonat über weitere “rechtswidrige Handlungen” aufgeklärt, die Unister bisher nicht beanstandet hat, aber wohl beanstanden könnte.

Zweierlei Eindrücke beschleichen den geneigten Rezipienten: Weder Andreas Dittes noch Unister scheinen im Besitz ausreichend ausgebildeter Kommunikationskompetenz zu sein. Während die Wortwahl von Herrn Dittes in dessen ungefragt veröffentlichten E-Mails für sich spricht, verleiht sich Unister mit eben diesen Veröffentlichungen und den sich anschließenden Vermutungen, die ohne allzuviel Böswilligkeit auch als Unterstellungen interpretiert werden können, einen reichlich unprofessionellen Eindruck. Auch hier sprechen Wortwahl und Formulierungen Bände, wiegen jedoch im Falle einer Unternehmensstellungsnahme schwerer als in den - noch schmeichelhaft ausgedrückt - wenig überlegt wirkenden Äußerungen eines jungen Studenten.

Dittes muss sich nun fragen lassen, ob eine solch aggressive Instrumentalisierung der “Blogosphäre” letzlich nicht eher einen Schuß nach hinten darstellt. Unister hingegen bräuchte dringend einen kompetenten Mitarbeiter in Sachen Öffentlichkeitsarbeit und etwas mehr Hintergrundwissen im Umgang mit dem Netz der Netze und seinen Bürgerinnen und Bürgern. Die Wahrheit liegt offenbar, wie so oft, irgendwo in der Mitte.

Andreas Dittes nimmt in seinem oben verlinkten Blogpost Stellung zu der Reaktion von Unister.

Ungesicherte WLANs funken mittlerweile zu Hauf ihre Daten, für neugierige Mitmenschen leicht einsehbar, durch den Äther. Auch eine eventuell ungewollte Nutzung der eigenen Konnektivität durch Dritte ist so nicht ausgeschlossen, was bei volumen- oder zeitbasierten Zugsangstarifen im Zweifelsfall richtig ins Geld gehen kann - von einem möglichen Missbrauch erspähter Klartextpasswörter ganz zu schweigen. Die schiere Anzahl an schlecht konfigurierten Access Points lässt das Wardriving mittlerweile fast schon überflüssig werden, aus den eigenen vier Wänden muss man sich deswegen immer seltener hinaus begeben, um derlei katastrophaler Setups fündig zu werden.

Technisch weniger bewanderte, aber sich der Problematik prinzipiell bewußte Nutzer versuchen immer wieder, ihre Netze mit untauglichen Mitteln sicherer zu machen, doch das Gegenteil von gut ist bekanntlich gut gemeint. Wie sinnlos Maßnahmen wie MAC Filterung, SSID Cloaking, LEAP Authentifizierung oder Deaktivierung des eigenen DHCP Servers für sich genommen sind, verdeutlicht George Ou in seinem Artikel The six dumbest ways to secure a wireless LAN auf ZDNet ausführlich und leicht verständlich.

Vielen gilt daher die Verschlüsselung des eigenen Drahtlosnetzwerkes per WEP als gangbare Möglichkeit, sich unerwünschte Gäste virtuell vom Leibe zu halten. Was einst noch als hinreichend sicher galt, wird seit längerer Zeit als praktisch gebrochen angesehen. Dennoch spielte die erforderliche Menge an Datenpaketen, die für einen erfolgreichen Angriff auf den genutzten WEP Schlüssel notwendig ist, bisher eine gewisse Rolle. Sprach man Anfangs von hunderten an Megabytes bis hin zu einigen Gigabytes an Netzwerkverkehr, den es zu belauschen galt, pendelte sich dieser Wert durch die Überlegungen von Fluhrer, Mantin und Shamir schnell bei 5 bis 10 Millionen Datenpaketen ein. Unter Verwendung statistischer Kryptoanalyse lässt sich jedes Datenpaket mit eindeutigem Initialisierungsvektor zum Brechen des verwendeten WEP Schlüssels nutzen, die Anzahl dazu notwendiger Datenpakete sinkt rapide ab. Erste Implementierungen veröffentlichte ein findiger Hacker namens “Korek” im Netstumbler-Forum, darauf basierende Tools erreichen laut eines Artikels des Computermagazins c’t bereits bei 500.000 aufgefangenen Datenpaketen eine Erfolgswahrscheinlichkeit von über 80% - bei einer Rechenzeit von 5 bis 25 Sekunden auf einem mit 1.6 GHz getakteten Pentium-Rechner. Ab fünf Millionen Paketen nähere sich die Erfolgswahrscheinlichkeit eines solchen Angriffs bereits den 100% an. Zum Auffangen der benötigten Menge an Daten braucht ein Angreifer laut den Ausführungen der c’t in einem “halbwegs” ausgelasteten 11-MBit-WLAN etwa zwei Stunden. Damit fällt auch die letzte praktische Hürde zum Knacken eines per WEP gesicherten Netzwerks: Zwei Wochen geduldiges Ausharren sind dazu in keinem Fall mehr nötig.

Neuere Attacken gehen noch weiter und wenden verschiedene Mechanismen an, um auch in weniger aktiven Funknetzwerken für den notwendigen Datenverkehr zu einem erfolgreichen Angriff zu sorgen - sie erzeugen diesen schlicht selbst, schnell und ohne jede Kenntnis des eingesetzten WEP-Keys.

Zusammenfassend: WEP ist gebrochen und bietet weder eine theoretische noch eine praktische Sicherheit. Was einst für “Heimnetzwerke” sicher genug war, bietet selbst hier keinen ausreichenden Schutz mehr. Die Wahl sollte also auf WPA oder WPA2 fallen - wer dennoch nur WEP einsetzen kann, sollte sich die Verwendung eines VPNs dringendst überlegen oder auf andere Verschlüsselungsmechanismen setzen. Achtung: Die Sicherheit eines WPA Netzwerkes mit Pre-Shared Key Verfahren (PSK), wie es bei den meisten privaten Setups verwendet werden dürfte, steht und fällt mit der Komplexität des gewählten Passwortes. Bei einer zu schwachen Phrase kann dieses durch eine simple Wörterbuch- oder Bruteforce-Attacke erraten werden.

Wie man’s besser macht, zeigt dieser Artikel von George Ou, auf den mich Kris in seinem Blog aufmerksam machte. Mein noch junges Drahtlosnetzwerk ist glücklicherweise seit etwa zwei Wochen umgestellt.

Relevante Links:

Hack most wireless LANs in minutes!
WEP: Dead Again, Part 1
WEP: Dead Again, Part 2
Using the Fluhrer, Mantin, and Shamir Attack to Break WEP (PDF)