Buch "Ghost in the Wires"

Seinerzeit einer der meistgesuchtesten/bekanntesten Hacker weltweit, Kevin Mitnick, hat in diesem Jahr ein weiteres Buch auf den Markt gebracht. Titel: "Ghost in the Wires - My Adventures as the world's most wanted Hacker". Auf ca. 400 Seiten beschreibt Mitnick darin, was er in den drei Jahren nach seinem ersten Gefängnisaufenthalt so erlebt und angestellt hat. Dazu gehörte auch die andauernde Flucht vor FBI, Secret Service, usw. inkl. der Annahme diverser Identitäten.

Gut raus kommt seine anscheinend immer stärker werdene Paranoia, die ihn allerdings andererseits häufiger vor einer früheren Festnahme bewahrte. Ebenfalls sehr deutlich wird, wie sich bereits vor ihm festgenommene Hacker teilweise darin versuchen, sich selbst zu retten in dem sie andere in Zusammenarbeit mit den Behörden ans Messer liefern bzw. auffliegen lassen. Mitnick selbst war letztendlich davon ebenso auch betroffen wie von der nicht ganz sauberen Arbeit von Polizei und Gerichten. Daraus entstand seinerzeit unter anderem die "Free Kevin"-Bewegung.

Das Buch ist recht gut geschrieben und gibt einen kleinen Einblick in die Hackingzeit vor einiger Zeit Anfang/Mitte der 1990er Jahre. Auch wenn es auf Englisch vorliegt, kann ich es dem/der interessierten eigentlich nur empfehlen. Zumal ich 1.) nicht weiß, ob es eine deutsche Übersetzung geben wird und 2.) wäre eine deutsche Ausgabe wahrscheinlich lange nicht so authentisch. Es ist nicht all zu viel Technik bzw. technisches an sich im Buch vorhanden. Viel mehr beruht ein Großteil der Arbeit und Vorbereitung auf dem sogenannten "Social Engineering", also dem Aushorchen von Personen, Mitarbeitern von Firmen/Behörden, usw. Und wie es Mitnick selbst schreibt: Vieles davon wird wohl auch heute noch ebenso funktionieren wie die Tatsache, dass sich viele Sicherheitslücken durch ein nicht vorhandenes oder verdrängtes Verständnis bei vielen Firmen, den zuständigen Sicherheitsabteilungen sowie dem Personal. Das Vorwort zum Buch selbst kommt übrigens von Steve Wozniak, einem der Mitbegründer von Apple, Inc..

Das Buch:
Ghost in the Wires
My Adventures as the world's most wanted Hacker
Mitnick, Kevin; Simon, William L.
Hachette Book Group, 2011, New York
ISBN 978-0-316-03770-9
Preis 25,99$

Carrier IQ

Vor ein paar Tagen hat der Amerikaner Trevor Eckhart auf Youtube ein gut siebzehnminütiges Video mit dem Titel "Carrier IQ Part #2" hochgeladen. In diesem Video geht es darum, dass das auf Smartphones diverser Hersteller installierte Betriebssystem Android eine Software namens Carrier IQ enthält. Wäre so vielleicht kein Problem, wenn die Besitzer 1.) wüssten, dass diese Software installiert ist und 2.) auch davon wüssten, dass diese Software Daten an die Herstellerfirma überträgt. Dies alles stellt Eckhart in seinem Video vor. Besonders bedenkenswert dabei: Die Datenübertragung an die Server der Herstellerfirma betreffen auch Daten, die eigentlich über eine verschlüsselte wie zum Beispiel HTTPS übertragen werden!

heise Security hat am 2. Dezember einen Artikel unter dem Titel "Carrier IQ: Ein Detector, weitere Dementis und erste Klagen" veröffentlicht, der sich auch mit dieser Problematik beschäftigt. Unter anderem findet man dort auf der Seite auch einen Link auf die Android-Software Voodoo CarrierIQ Detector, die nach der Installation überprüft, ob die Spysoftware auf dem eigenen Smartphone oder Tablet installiert ist. Scheint bei in Deutschland erworbenen HTC Desire Z wie ich auch eines besitze, nicht der Fall zu sein. Aber auch im heise-Forum wird fleissig darüber diskutiert. Fündig wurde heise selbst wohl auf einem Huawei-Smartphone Ideos X3 und einem Samsung Galaxy Tab, Golem bestätigt den Fund auf einem Samsung Galaxy S2. Der Hersteller der Software, die Carrier IQ Inc., weist natürlich jede Schuld von sich (Englisch, PDF, ca 30kB).

Trevor Eckhart selbst hat auch selbst online etwas zum Thema Carrier IQ verfasst. Zu finden ist die (englische) Seite hier. Demnach kann man die Software selbst auch nur mit erweiterten Rechten (also einem gerooteten Telefon) und unter Verletzung der Garantie entfernen ...

Podcasts XI

Nach einiger Zeit mal wieder ein Beitrag zum Thema Podcasts. Die letzte Folge beschäftigte sich mit einem Podcast aus den USA und auf dieser Beitrag beschreibt einen englischsprachigen Podcast, der sich mit sicherheitsrelevanten Themen beschäftigt, aber aus Europa kommt und auch den Hauptblick nach Europa werfen möchte: Der EuroTrash Security Podcast.

Insgesamt sind bisher 15 Episoden erschienen, darunter je ein Microcast und Microtrash. Letztere sind kürzere Episoden, die meist "nur" ein Interview enthalten. In den "normalen" Folgen gibt es zwar häufiger auch Interviews bzw. Gespräche, aber meist wird dazu noch auf aktuelle Sicherheitsthemen oder auch Konferenzen wie der Brucon, DEF CON oder Black Hat eingegangen.

Ein interessantes Projekt, dass ich nach den bisherigen Eindrücken auch erst einmal weiterverfolgen werde.

Podcasts X

Für Podcast Nummer 10 bleiben wir gleich in den USA. Die Firma Tenable Network Security dürfte einigen Lesern vielleicht als Hersteller des Netzwerkscanners Nessus bekannt sein. Das Unternehmen bringt aber auch einen englischsprachigen Podcast namens Tenable Security Podcast heraus. Wobei ich hier durchaus zugeben muss, dass ich mir davon nicht jede Folge anhöre, sondern vorab entscheide, ob die besprochenen Themen für mich interessant sind.

So beschäftigt sich zum Beispiel die Folge 29 mit den Themen “Why I Use Firefox”, “The Most Depressing Post of the Week - WHID", “Scraping Time Servers” und “Certified Pre-Owned”. In Folge 28 gab es unter anderem ein Interview mit Ron Gula (CEO/CTO der Firma), wo es um die Bewertung und Einstufung von Sicherheitslücken auch am Beispiel von Nessus ging.

Buch "Profiling Hackers"

This is our world now...the world of the electron and the switch, the beauty of the baud.
We explore...and you call us criminals.
We seek after knowledge...and you call us criminals.

Raoul Chiesa, Stefania Ducci und Silvio Ciappi wollen mit dem Buch "Profiling Hackers - The Science of Criminal Profiling as Applied to the World of Hacking" und dem Hackers Profiling Project ein bißchen Licht ins Dunkel der Hackerwelt bringen. Obiges Zitat stammt ebenfalls aus diesem Buch, und zwar aus dem Hauptteil, in dem versucht wird zu erklären, wer und/oder was Hacker eigentlich sind.

Alles in allem kam aber zumindest für mich nichts wirklich neues dabei rum. Lohnt sich für den Preis daher aus meiner Sicht auch nicht wirklich.

Das Buch:
Profiling Hackers
The Science of Criminal Profiling as Applied to the World of Hacking
Auerbach Publications, 2009, Boca Raton
ISBN 978-1-4200-8693-5
Preis 49,95$

Paper "Shadows in the Cloud"

Bereits vor einiger Zeit waberte das Thema GhostNet durch die Medien und wurde jetzt Ende März 2010 einmal mehr aktuell. Auf den Internetseiten der Firma F-Secure Inc. gibt es zu dieser Thematik ein aktuelles Paper mit dem Titel "Shadows in the Cloud - Investigating Cyber Espionage 2.0" (PDF, ca. 1 MB). Man hat das GhostNet weiter analysiert und auch jede Menge interessanter Aspekte gefunden. Unter anderem zum Thema Cloud Computing. Das Paper existiert zudem auch als Webversion unter http://shadows-in-the-cloud.net.

Es geht im Allgemeinen um die Problematik des Cloud Computing. Besser gesagt: Um die Möglichkeiten, die Kriminelle unter anderem nutzen können, um abgegriffene Daten zu speichern. Als Beispiel wird hier das 2009 gefundene und als solches benannte GhostNet angeführt. Hier sind von 1.295 Computern aus 103 Ländern Informationen abgeflossen. 30% dieser PCs wurden als hochrangige Ziele eingestuft. Unter anderem das Büro des Dalai Lama oder Computer der indischen Regierung bzw. der UN. Nachdem der erste Bericht veröffentlicht wurde, gingen viele der "Kontrollserver" offline, aber lange nicht alle. Daher konnten zum Beispiel auch viele der Briefe aus dem Büro des Dalai Lama rekonstruiert werden. Vermutungen von vielen Seiten gingen diesbezüglich ja Richtung China, da hier viele dieser "Kontrollserver" beheimatet waren.

Ausgewertet hat man in den weiteren Untersuchungen nun die Punkte

• DNS Sinkholing
• Malware Analysis
• Command and Control Server Topography
• Victim Identification
• Data Recovery
  

In den folgenden Kapiteln des Papers wird beschrieben, wie man genau vorgegangen ist und was man alles berücksichtigt hat. Unter anderem stand einer der Server auch in Deutschland, der Rest allerdings in den USA. Untersucht wird auch der Punkt des "Patriotic Hacking". Alles in allem ein Paper, das sich Interessierte durchaus mal durchlesen sollten. Zumal die Links im Anhang auch recht umfangreich sind. Der Großteil davon frei verfügbar im Netz.

Links zum Thema:

• Ghostnet 2.0: Spionagenetz nutzt Dienste in der Cloud (heise online, 06.04.2010)
• Spionagenetz "GhostNet": Ein "Weckruf für die Politik" (heise online, 31.03.2009)
• Chinesische Spionage-Software infiltriert Rechner tibetischer Exil-Regierung (heise online, 29.03.2009)
• Tracking GhostNet: Investigating a Cyber Espionage Network
  

Artikel "System Security? What about your DATA?"

Einen recht interessanten Artikel mit dem Titel "System Security? What about yout DATA?" gibt es im Blog fewt@blog:~$ _. Darin geht es um die Personen, die Linux als Desktop-System verwenden.

In dem Artikel geht es darum, dass häufig behauptet wird, dass Linux ja sicherer sei als Windows. Dabei geht es nicht nur darum, dass man auch unter Linux eine Firewall konfigurieren sollte. Denn mit etwas Pech bietet der ungeübte Benutzer doch einiges an Diensten an, die er so gar nicht benötigt. Und damit sind potenziellen Angreifern eventuell Tür und Tor geöffnet. Und in diesem Falle sollte man sich dann vielleicht doch einmal Gedanken um seine Daten machen. Dazu gibt es am Ende des Artikels auch ein paar Hinweise, was man beachten bzw. umsetzen sollte.

Buch "Googling Security"

Ein weiteres Buch über Google stand ebenfalls schon etwas länger auf meiner Liste: "Googling Security" von Greg Conti. Und der Untertitel "How Much Does Google Know About You?" verrät dann auch schon ein bißchen, in welche Richtung es einmal mehr gehen soll. Relativ zu Anfang des Buches (Seite 10f.) gibt es dann auch erst einmal eine tabellarische Aufstellung der Dienste mit der Gegenüberstellung, welche Informationen der Suchmaschinengigant daraus ziehen kann, wenn man diese Dienste nutzt und welche Risiken hier für den Benutzer bestehen bzw. bestehen können.

Gelesen habe ich dieses Buch mal wieder im englischen Original. Ging einfach schneller und auch besser, als auf eine deutsche Übersetzung zu warten bzw. diese zu nutzen. Der Autor selbst ist Assistenzprofessor an der US-Militärakademie in West Point und hat unter anderem auch auf einigen Sicherheitskonferenzen gesprochen.

In Kapitel 4 wird beispielsweise auf Suchmaschinen allgemein eingegangen. Weltweit soll es demnach über eine halbe Million solcher Dienste geben! So durchsucht zum Beispiel DogPile viele verschiedene Suchmaschinen zugleich. Zum anderen wird aber auch auf die Probleme eingegangen, was Suchmaschinen an Daten über die Sucheingaben gewinnen. Erklärt wird dies am Beispiel von AOL, die im August 2006 einmal entsprechende Daten veröffentlichte. Hier haben es einige Personen geschafft, die Ergebnisse "zusammenzusetzen" und Personen zuzuordnen.

Insgesamt geht Conti mehr oder weniger alle entsprechenden Dienste, aber auch ihre Pendants zum Beispiel von AOL oder Yahoo!, durch. Schließen tut das Buch mit einer Online-Umfrage des San Francisco Chronicle, bei der die Benutzer der Meinung waren, dass Google in der Zukunft mehr über einen weiß als man selbst. Und der Autor selbst gibt auch seinen Ausblick in die Zukunft.

Das Buch:
Googling Security
How Much Does Google Know About You?
Conti, Greg
Pearson Education, 2009, Boston
ISBN: 978-0-321-51866-8
Preis: 49,99$

Libri-Datenleck(s)

Markus Beckedahl von netzpolitik.org hatte bereits am Donnerstag unter dem Titel "Exklusiv: Die Bücher der Anderen" darüber berichtet: Über ein "kleineres" Datenleck bei Libri.de. netzpolitik.org hatte Zugriff auf rund 500.000 Rechnungen inkl. Anschriften und Mailadressen der Kunden. Libri hatte an jede URL für die online einsehbare Rechnung einfach nur eine hochzählende Zahl gehängt. So hätte jeder Benutzer die Rechnungen anderer Kunden einsehen können.

Schmorl und von Seefeld und auch Decius nutzen das System ebenfalls für die Abwicklung ihrer Onlinebestellungen. Libri.de hat mittlerweile immerhin einen Text online gestellt. Schmorl und von Seefeld hat bisher noch nichts weiter auf die Internetseiten gestellt. Auch per Mail hat bisher noch keine der Firmen mal ihre Kunden angeschrieben und Stellung dazu genommen.

Kurze Zeit später stellte sich erneut via netzpolitik.org heraus, dass es anscheinend noch ein weiteres Problem gab. Diesmal mit den Zugangsdaten zu den Händlershops. Und hier zeigte sich dann auch, dass man bei Libri anscheinend nicht wirklich viel von Datensicherheit versteht oder hält. Beckedahl & Co. hatten es lediglich bei einigen Shops probiert und waren dort überall erfolgreich. Die Antwort von Libri.de in einem Rundbrief an seine Kunden lässt sich hier nachlesen. Dort spielt man es auf "drei Buchhändler" herunter.

Tja, muss ich mir wohl einen anderen Händler suchen bzw. nur noch direkt vor Ort vorhandene Ware einkaufen ...

Links zum Thema:
Frankfurter Allgemeine Zeitung: Interview mit "netzpolitik.org" - Alle Zahlungen könnten über unser Konto laufen
Rheinische Post: Sicherheitslücke bei Libri größer als angenommen
heise Security News: Datenleck bei Libri zieht weitere Kreise
Stern Online: Libri.de-Datenleck schlimmer als vermutet
Focus Online: Neues Datenleck bei Libri.de
Golem: Unsichere Passwörter bei Libri.de
Focus Online: Sicherheitslücke bei Libri.de
Stern Online: Datenpanne bei Libri.de
heise Security News: Libri lässt Kundenrechnungen offen im Netz liegen

Nachtrag: Auch die Buchhandlung Leuenhagen und Paris hier in Hannover nutzt das System.

Role-based access control

Ebenfalls wurde im Rahmen der Veranstaltung "Solaris - Secure by Design" von Jörg Möllenkamp (Principal Field Technologist, Sun Microsystems) über das sogenannte Role-based access control gesprochen.

Jeder, der mit Linux- oder Unix-Systemen zu tun hat, dürfte der Administratoraccount root etwas sagen. Mit diesem Account ist man Superuser und hat eigentlich Zugriff auf alles im System. Nun gibt es aber auch Fälle, wo man überlegt, ob man einem Kollegen oder sogar einer studentischen Hilfskraft bspw. an einer Universität den Vollzugriff auf das System gibt, nur damit zum Beispiel eine einzelne Aktion durchgeführt werden kann.

Hoer kommt auf einem Solaris-System dann das Role-based access control (RBAC) ins Spiel. Hiermit ist nämlich möglich einem Benutzer bzw. einem Account nur ganz bestimmte Rechte zuzuweisen, die beispielsweise notwendig sind, um einen Webserver zu starten. Zusätzliche, nicht benötigte "normale" Benutzerrechte können zeitgleich entzogen werden.

Ein gutes um umfassendes Whitepaper dazu gibt es unter dem Titel "RBAC in the Solaris Operatin Environment" (PDF) direkt bei Sun. Aber auch Jörg Möllenkamp hat auf seinem Blog unter dem Titel "Less known Solaris features: RBAC and Privileges" eine dreiteilige An- bzw. Einleitung mit Beispielen veröffentlicht.

OpenVAS vs. Nessus

Jeder, der sich ein bißchen mit der Sicherheit der Netzwerke in seinem Verantwortungsbereich beschäftigt, wird sicherlich auf das Tool Nessus gestoßen sein und dieses dafür auch einsetzen.

Am 5. Oktober 2005 hat die Firma Tenable Network Security, die Nessus entwickelt, allerdings die Lizenz für das Tool geändert. Seit diesem Tag wird es unter einer propritären Lizenz vertrieben.

Diesen Umstand nahmen einige Softwareentwickler zum Anlass, basierend auf der letzten freien Version ein eigenes System zu entwickeln: Open Vulnerability Assessment System (OpenVAS). Nachdem auch dieses Tool nun bereits einige Jahre alt ist, kann es sich durchaus sehen lassen.

Aus diesem Grund hat das Laboratory for Systems and Signals der Universität Zagreb einen Vergleich der beiden Tools gemacht. Dieser ist unter dem Titel "Nessus/OpenVAS Comparison Test" auch auf Englisch im Netz veröffentlicht (PDF) worden. Dieser Test zeigt zwar, dass Nessus insgesamt durchaus noch besser ist, also in der Erkennung besser arbeitet, aber: OpenVAS muss sich im Bereich der aktuellen Sicherheitslücken, etc. nicht mehr wirklich verstecken. Daher gehört dieses Tool durchaus auch in den Werkzeugkasten des Administrators. Zumal es durchaus auch Schwachstellen gibt (bzw. zum Zeitpunkt des Tests im März 2009 gab?), die OpenVAS im Gegensatz zu Nessus erkannte.

Ein paar mehr Informationen zu beiden Tools gibt es auch in den beiden betreffenden Wikipedia-Artikel: Nessus, OpenVAS