Archiv für IT-Sicherheit

Updaten oder nicht

Virus auf PC-Tastatur

Es gab eine Zeit, in der man eine Update-Strategie planen und umsetzen konnte. Da hat man für jeden Server festgelegt, wann man welche Updates einspielte. Damals hat man auch die Pattern-Files des Virenscanners vor dem Installieren mehrere Wochen getestet. Gerade bei Servern, die nicht mit dem Internet verbunden sind, hat man zu Gunsten der Verfügbarkeit auf Updates verzichtet. Aber der Conficker hat eindrucksvoll vorgeführt, dass es keine netzseitig sicheren Inseln gibt. Die Verbreitung über USB-Sticks hat gerade die Hochsicherheitsbiotope schwer getroffen. Deswegen ist heute praktisch die einzig wahre Strategie, so schnell wie möglich zu updaten. Gerade Privatpersonen sind in der Regel nicht in der Lage, abzuschätzen, ob die Updates nötig sind oder ob man sie zum Beispiel durch Firewallregeln ersetzen kann.

Da ist es natürlich verständlich, dass das BSI bei Windows die voll automatischen Updates empfiehlt. Jetzt gibt es eine Gegenmeinung: Privatanwendern wird empfohlen, die Updates zwar automatisch herunter zu laden, aber nicht automatisch zu installieren.

Vorteile BSI:
der Nutzer braucht nichts mehr zu machen.
Bei der Alternative bleiben in der Praxis die Updates uninstalliert liegen. Der Nutzer wird nicht nachdrücklich an das Installieren erinnert, und daher gerät es schnell in Vergessenheit. Aus dem Jahr 2008 gibt es Zahlen zum Patchstand.

Vorteile Alternative:
es kann nicht zu Datenverlust aufgrund des Neustarts kommen.

Persönlich würde ich weiterhin empfehlen, sich an das BSI zu halten. Bei den Standardeinstellungen werden die Updates um 3:00 Uhr nachts installiert. Sollte man den Rechner durchlaufen lassen sind um diese Zeit hoffentlich keine Anwendungen mehr aktiv. Die meisten Nutzer werden den Rechner vor dem Schlafengehen sowieso ausschalten. Wenn die Updates tagsüber installiert werden, frägt Windows nach, ob der Rechner heruntergefahren werden kann.
Bei der Nutzung eines WSUS-Servers wird das Herunterfahren erzwungen, dabei kommt es zu Datenverlusten, wenn man nicht gespeichert hat. Aber welcher Privatanwender sitzt hinter einem WSUS!

Virus auf PC-Tastatur

(c) knipseline / pixelio.de

Dumpster Diving

© Aguaviva - Fotolia.com

Das BSI schreibt, dass ja die einfachen Angriffe manchmal die effektivsten sind:

Guten Tag,
IT-Sicherheit ist eine Kette von Massnahmen, und die ist nur so stark wie ihr schwaechstes Glied. Oft werden vorbildliche Schutzmassnahmen durch ganz banale Alltagsfehler entwertet. Ein Beispiel dafuer ist der Umgang mit ausgedruckten sensiblen Informationen. Da kann es schon einmal vorkommen, dass zuerst auf einem mit bester Sicherheitssoftware ausgestatteten Rechner unter Einhaltung aller Vorsichtsmassnahmen Online-Ueberweisungen gemacht werden. Mit den Ausdrucken der Rechnungen oder Kontoauszuege, auf denen vielleicht auch noch Zusatzinformationen wie Passwoerter notiert wurden, wird dann aber zuweilen nicht so sorgsam umgegangen. Immer wieder ragen etwa aus Altpapier-Containern Zettel mit
vertraulichen Daten heraus – eine verfuehrerische Einladung an Betrueger zum Missbrauch. Gerade rund ums vorweihnachtliche Einkaufen im Internet sollte man Aufrufe zum “Safe Printing”, (“sicheres Drucken”), durchaus ernst nehmen. Ueber zahlreiche andere aktuelle Risiken informieren wir Sie gleich im Anschluss. Spannende Lektuere und sichere Stunden im globalen Netz wuenscht Ihnen
Ihr BUERGER-CERT-Team

(Quelle für diesen – Newsletter: http://www.buerger-cert.de)

Für diesen Angriff gibt es sogar einen eigenen Begriff “Dumpster Diving“, ist nichts wirklich neues. In fast jedem Tätigkeitsbericht unseres Landesdatenschutzbeauftragten ist ein entsprechender Fall verzeichnet (in BaWü hat der Landtagspräsident mal seine alten Terminkalender für die Vereinssammlung von Altpapier auf die Straße gestellt – und damit der Presse die information gegeben, die er ihr auf konventionellem Weg verweitert hat.

2006 hat einer Hersteller von Aktenvernichtern das ganze mal wissenschaftlich untersuchen lassen:

Insgesamt wurden 4311 Namens- und Adressdaten aufgefunden, wobei Privathaushalte mit 37 Prozent, Unternehmen mit 31 Prozent sowie deren Kunden- und Geschäftspartner mit 28 Prozent in ungefähr gleichem Maße betroffen gewesen sein sollen. Die große Zahl an Namens- und Adressdaten sei darauf zurückzuführen, dass in Einzelfällen komplette Listen mit Kundendaten ohne weitere Vorsichtsmaßnahmen im Papiermüll entsorgt wurden. Zudem hätten einzelne Arztpraxen ganze Patientenkarteien weggeworfen. Des Weiteren wurden 897 Unterschriften vorgefunden, die zu über 50 Prozent aus Unternehmen stammten.

Quelle

Schnipsel aus dem Aktenvernichter

© Aguaviva - Fotolia.comSchn

Update: Bericht über einen entsprechenden Fall in England: http://www.ilex-datenschutz.de/kategorie-ii/pressartikel-iv/

Passwörter

Datenklau

Bevor Sie denken, dass jetzt eine “Paßwort-Policy” oder Ähnliches kommt, halten Sie einen Moment inne und überlegen Sie, was man mit Ihrem Passwort alles anstellen kann:

  • Mails in Ihrem Namen verschicken (z.B. Ihrem Chef mal richtig die Meinung geigen und klar machen, dass Sie nur noch auf die Kündigung warten – wie schaffen Sie so etwas wieder aus der Welt?)
  • Banküberweisungen tätigen (gehören Sie zu denjenigen, die praktischerweise die ganze TAN-Liste im Homebankingprogramm eingetippt haben, um sie nicht jedesmal suchen zu müssen? Oder haben Sie Zugriff auf das firmeneigene SAP-System?)
  • Datein löschen (wie lange haben Sie für den Power-Point-Vortrag, oder die Diplomarbeit gebraucht – wie lange dauert es, ihn zu löschen?)
  • Dateien kopieren (ihre Kundenliste taucht dann vielleicht bei Ihrem Mitbewerber auf?)
  • Ihre Internetpräsenz ergänzen (oder riskieren Sie, dass die Polizei vor dem Haus steht, weil ihr Webspace zum Umschlagplatz für Kinderpornographie geworden ist oder auf einmal in Ihrem Weblog volksverhetzende Äußerungen auftauchen?)

Ganz schön heftig? Es gibt viele Tipps und Anleitungen, ich habe eine einfache drei-Schritt-Offerte:

  1. Besorgen Sie sich einen Paßwortmanager (das ist ein kleines – für Private – kostenloses Programm). Der ermöglicht es Ihnen, für jeden Dienst ein anderes Paßwort zu wählen. Durch einen Zufallsgenerator entfällt das Erfinden. Das Paßwort ist lang, komplex und was man sonst noch so alles möchte.
    • Ein kostenloses Programm ist “Password Safe“, entwickelt von einem Verschlüsselungs-Guru.
    • Wer mehr will kann sich z.B. RoboForm (Historie)anschauen. Das Programm erkennt im Internet-Browser welches Paßwort das richtige ist und kann unterschiedliche Identitäten verwalten – kostet aber leider etwas.
  2. Geschützt wird dieser Paßwortmanager durch ein Master-Paßwort. Dabei gilt:
  • Nehmen Sie einen langen Text (mind. 10 Zeichen).
  • Am besten einen, den Sie (und nur Sie) im Notfall auch rekonstruieren können.
  • Im Büro nehmen Sie am besten das Paßwort  für die Windows-Anmeldung (das kann auch ein Administrator sich nicht einfach im Klartext anzeigen lassen).
  • Geben Sie das Masterpaßwort nirgendwo sonst ein (nicht bei anderen Anmeldungen, insbesondere nicht bei irgendwelchen Test-Tools im Internet).
  • Geben Sie es an niemanden weiter, auch nicht an den Vertreter/den Administrator.
  • Schreiben Sie es nicht auf.
  • Das Master-Paßwort wechseln Sie regelmäßig (2-12 mal im Jahr).

Die Anregung zu diesem Text kam neben meinem Beruf auch von diesem Blog (via Perun).  Allerdings würde ich ein real genutztes Paßwort keinesfalls in ein unsicheres System eingeben – auch nicht in eines, das mir sagt, wie sicher das Paßwort davor war. Soweit zu meinem kleinen HowTo, gibt es noch Verbesserungsvorschläge/Lücken?

Datenklau

(c) D. Braun / pixelio.de

 

Facebook Like-Buttons für Schleswig-Holstein [Update]

treenabeena - Fotolia.com

In meinem gestrigen Artikel zum Thema “Facebook ./. ULD” habe ich Datenschutz negativ dargestellt, was meiner Meinung nach nicht gut ist. Deswegen hole ich jetzt die positive/konstruktive Sicht nach. Die entscheidende Frage ist, wie kann ich als Websitebetreiber meinen Besuchern die Möglichkeit geben, Facebook zu nutzen ohne die Daten von anderen egal ob sie es wollen oder nicht, einem US Konzern in den Rachen zu werfen?

Eine – wie ich finde – sehr elegante Möglichkeit hat die Anwaltskanzlei Ferner schon im Februar vorgestellt. Der normale Besucher bekommt einen statischen Text und kann mit einem Klick die volle Facebookfunktionalität freischalten. Entweder mit einfachen Java Skript realisiert oder in der Luxusvariante mit einem Cookie, der die Auswahl dauerhaft gespeichert. Hintergrund war die Gefahr von wettbewerbsrechtlichen Abmahnungen.

Es gibt aber auch eine ganz simple Lösung: Es wird einfach ein statischer Link eingebaut. Dieser kann von einer normalen – auf dem eigenen Webserver gehosteten – Grafik ausgehen. So wird der Kontakt zu den Facebook-Servern erst aufgebaut, wenn der Benutzer auf diesen Link klickt. So hat das beispielsweise das ULD gemacht und so funktioniert es auch in diesem Blog.

Das ULD hat mit seinem Arbeitspapier eine umfassende technische und rechtliche Analyse veröffentlicht. Wer es kompakter mag, dem sei Heise empfohlen. Das hätte ich auch dem Bloggerkollegen Laurent Meister nahegelegt. Unter dem Titel Weichert macht den Caspar wird mit Häme an Tilo  Weichert nicht gespart:

Markige Worte die an seinen Kollegen aus Hamburg Caspar erinnern, der hinsichtlich des Einsatzes von Google Analytics ähnliche Schlagzeilen machte. Doch nicht nur in dem Punkt ähneln sich die beiden Datenschutzbeauftragten. Als Teil der Landesverwaltung hat auch der Datenschutzbeauftragte des Landes Schleswig-Holstein eine Seite auf der Landeshomepage “Schleswig-Holstein.de”. Und was findet man dort? Die Facebook Share-Funktion

Die dort als Screenshot(und leider unverlinkt) abgebildete Seite hat unter anderem folgenden Quelltext:

<a onclick="uebergabe_facebook(); return false;" href="http://www.facebook.com/" class="socialicon" title="Von dieser Seite auf Facebook berichten"><img src="/cae/servlet/contentblob/934288/normal/icon_facebook_16.png" alt="Facebook" /></a>

Wenn mich meine bescheidenen HTML-Kenntnisse nicht trügen, ist das genau die richtige Methode: Daten gehen erst an Facebook, wenn ich draufklicke.

Für diejenigen, die mit dem Verweis auf Caspar nichts anfangen können: Herr Caspar hat unter dem Namen Google Analytics eine Technik verdammt, die unter dem Namen IVW-Zählpixel auf seiner Seite eingesetzt wurde (der Originaltext, der die damalige Affäre auslöste).

Update:

Die Möglichkeit mit dem zweistufigen Facebook Button wurde inzwischen zum Beispiel von Heise.de übernommen. Die Resonanz ist wohl sehr gut, weil viele andere Webseitenbetreiber gerne diese Lösung übernehmen möchten. Aber auch Facebook wurde auf diese Lösung aufmerksam, und hat gleich mal mit einem aussperren gedroht. Inzwischen gibt es aber auch ein zurückrudern, indem lediglich gesagt wird das die grafische Umsetzung zu nah am Original sei. Und Facebook möchte nicht dass jemand anderes Netzwerkfunktionen imitiert.

 

 

 

 

Kopierschutz für Photos

Es kam eine Anforderung, bestimmte (veröffentlichte) Bilder doch gefälligst gegen Kopieren zu schützen. Es sei erschreckend, wie  einfach die zu Kopieren sind und man Mißbrauch damit treiben kann.

So weit so schön. Nur dass der Betreffende damit eines der wesentlichen Probleme des Internets (Stichwort: digitaler Radiergummi) anspricht war ihm wohl gar nicht bewusst. Dann wurde auf andere Seiten hingewiesen, die wenigstens die rechte Maustaste sperren um “es schwerer zu machen”. Ich habe mir erlaubt, dann die Umgehungslösung für jedweden Schutz auf der Internetseite zu beschreiben:

  1. Bild anzeigen
  2. Druck Taste betätigen
  3. in Bearbeitungsprogramm des Vertrauens einfügen

kurz zu erläutern. Dann gab es ein Einsehen, das das Erschweren wohl doch nicht soviel bringt…

starke Paßwörter ./. Benutzersperre

Aussageverweigerung / Zensur
Aussageverweigerung / Zensur

© Stefan Redel - Fotolia.com

Die c’t hat in einer ihrer letzten Ausgaben die Möglichkeiten von brute-force Angriffen auf Paßwörter verschiedener Stärke dargestellt. Ein Leserbrief fordert, statt den Nutzer mit Paßwortanforderungen zu quälen, doch nach einer bestimmten Zahl von Fehlversuchen das Nutzerkonto zu sperren.

 

Der Vorschlag ist sicher im Unternehmensumfeld gut, in den meisten Fällen bringt er jedoch wenig:

  • Häufig braucht der Hacker nicht ein bestimmtes Konto. Für den Spamversand reicht es aus, ein beliebiges Konto zu kapern. D.h. man probiert nicht verschiedene Paßwörter für ein Konto aus (was die Sperre auslöst), sondern für ein populäres Paßwort (z.B. Passwort, geheim, sex) verschiedene UserID’s. Damit bleibt man bei den meisten Systemen unter dem Radar der Sperre.
  • Wer kann die Sperre zurücksetzen? Eine Zeitsperre (“bitte warten Sie 5 Minuten”) verlängert zwar die Zeit, verhindert den Angriff aber nicht. Zumal man es ja bei verschiedenen Konten parallel probieren kann.
    Eine “harte” Sperre, die nur vom Administrator zurückzusetzen ist, ist äußerst kundenunfreundlich. Ein mir bekannter Mailanbieter verlangt nach einer Vielzahl von Fehlversuchen einen Anruf beim Kundenservice, unter einer 0900-Nummer. Wenn ich jeden Morgen eine solche Nummer anrufen muss, nur weil in der Nacht ein Hacker etwas rumgespielt hat, bleibe ich nicht lange Kunde.
  • Und zu guter Letzt die normalen Passwort-Recovery-Probleme. Wie will ein Internet-Anbieter, der häufig nicht mehr von mir in der Hand hat als eine Mailadresse und einen Namen mich sicher identifizieren?

Als Beleg, dass schwache Paßwörter und schnelles Sperren funktioniert werden die Bank-PIN’s angeführt. Dort seien keine Mißbrauchsfälle bekannt. Der Vergleich hinkt aber: Beim Online-Banking entsteht der Schaden erst mit der TAN, und wenn ich die rausbekomme, besorge ich die PIN einfach auf gleichem Weg. Und wer bekommt es mit, dass jemand sein Konto anschaut – aber keine Überweisung tätigt.

Die Polizei schützt den Bürger, aber wer schützt die Polizei ?

Fahrzeuge der Bundespolizei


Wo ist es sicherer als direkt  neben einem Polizeirevier? Die Polizei symbolisiert Schutz und Sicherheit. So dachte ich früher auch.
Habe dann aber gelernt, das die Polizei auch geschützt werden muss. Auch eine Polizeidienststelle ist nicht dauernd besetzt / hat ständig die Zeit, alles im Auge zu behalten. Zum Schutz reicht recht häufig so etwas Banales wie ein Hoftor oder eine Garage. Mich würde ja interessieren, welche Hindernisse die “Autonomen SpaziergängerInnen” in Freiburg überwinden mussten bevor sie ein  Autole anzünden konnten?:

Fahrzeuge der Bundespolizei

© Tim Caspary / pixelio.de

Unbekannte haben am Sonntagmorgen gegen 2:20 Uhr einen Streifenwagen auf einem Parkplatz beim Polizeirevier Freiburg-Nord angezündet. Auf linksunten.indymedia.org bekannten sich kurz darauf ‘Autonome SpaziergängerInnen’ zu der Tat, bei der ein Sachschaden von mehreren tausend Euro entstand.

Quelle: fudder

Qualifizierte Signatur: Lösung des Henne-Ei-Problems

Die qualifizierte digitale Signatur hat ein klassisches Henne-Ei-Problem. Als Absender muss ich laufend viel Geld ausgeben, um sie nutzen zu können. Und habe kaum Anbieter, bei denen ich damit etwas anfangen kann.

Als Anbieter brauche ich zwar nicht laufend TrustCenter-Gebühren zu bezahlen. Dafür muss ich meine Systeme entsprechend anpassen. Das kostet mich einmalig ziemlich viel Geld – und wer gibt das schon aus wenn es kaum (potentielle) Nutzer gibt. Zumal der Return-On-Investment erst kommt wenn genügend Nutzer damit arbeiten – und damit Kosten z.B. der manuellen Erfassung gespart werden.

Da ist die AdHoc Signatur vermutlich gleich im doppelten Sinn eine Lösung. Das auf Nutzerseite benötigte: den neuen Personalausweis und einen Komfortleser werden viele haben/sich auch für einen seltenen Fall beschaffen. (Dumm nur, dass man massenhaft den dafür untauglichen Basis-Leser gefördert hat). Und nebenbei werden die Kosten auch internalisiert – bei dem Empfänger, der die Ersparnis in den Prozesskosten hat.

Gewaltenteilung in der IT-Sicherheit

rostiger Schlüsselbund

Heute mal ein Beispiel, wie man IT-Sicherheit nicht planen sollte:

“Hoher Schutzbedarf” bezüglich Vertraulichkeit ist bei Daten eigener Mitarbeiter fast immer gegeben. Die Daten von Kollegen/Chefs sind meistens  interessanter als die von Lieschen Müller aus Hintertupfingen. Im konkreten Fall sollte der Zugriff auf diese speziellen Daten zudem auf absolute Ausnahmefälle begrenzt werden. Deswegen wurde für diese kritischen Daten ein Regelungvorschlag erarbeitet und mit großem Brimbamborium vorgestellt:

  1. Die Daten werden ausschließlich auf einem zentralen System gespeichert
  2. Der Zugang wird durch eine achtstellige Zahl gesichert, davon werden je vier Ziffern bei Organisationseinheit A und B hinterlegt.

Der Grundgedanke, ein Vier-Augen-Prinzip auch technisch abzusichern ist ja ganz löblich. Aber die Speicherung auf dem Zentralen Server sorgt für zusätzliche Risiken (Kumulationeffekt). Wurde ja bei ELENA und Vorratsdatenspeicherung reichlich öffentlich diskutiert.

rostiger SchlüsselbundDie vier Ziffern je Organisationseinheit als Zugriffsschutz haben bei mir nur ein müdes Lächeln hervorgerufen. Angenommen, ich kenne eine Hälfte, dann bleiben für die andere – durch die Beschränkung auf Ziffern -  noch 4 hoch 10 = 10.000 Möglichkeiten. Wenn ich das maschinell durchprobieren kann, habe ich in weniger als einer Sekunde alle Möglichkeiten durch.

Zur Not könnte ich die auch von Hand durchprobieren. Selbst bei einem System, das mich nach einer bestimmten Zahl von Fehlversuchen aussperrt kann ich typischerweise alle 10 Minuten einen Versuch machen. Wenn mir niemand durch eine Logfileauswertung auf die Schliche kommt, könnte ich das in rund einem halben Jahr durchprobieren (Basis 9 Stunden je Arbeitstag gibt maximal 185 Arbeitstage, im Schnitt errät man das Passwort nach der Hälfte der Versuche). Und das in dieser Zeit das Passwort geändert wird, halte ich für eher unwahrscheinlich – dafür bräuchte man gleichzeitig die Vertreter beider Organisationseinheiten ;)

Datenschutz als Buzzword – Über Radiergummis und Sand im Getriebe


Der digitale Radiergummi sollte Datenschutz zum Produkt “Made in Germany” machen. Passend zum politischen Begleitfeuerwerk gibt es ein Produkt unter dem vielsagenden Namen “X-Pire”. An Kritik wurde bereits bei der Vorankündigung nicht gespart. Statt der deutschen Wertarbeit gab es Schlangenöl zu einem ordentlichen Preis.

Soviel zur Funktionsweise:

Weil man nicht kontrollieren kann/will, wo das Bild rumgereicht wird, hält man nicht das Bild unter Verschluss, sondern einen kryptographischen Schlüssel. Wenn man alle Kopien des Bildes wieder einsammeln will, reicht es, den Schlüssel einzukassieren und alle sehen nur noch Schrott.

Soweit die schöne Theorie. In der Praxis funktioniert das natürlich nicht, weil PC’s offene System sind. Ich kann also einfach eine Kopie des Bildes in entschlüsselter Form machen, oder einen Screenshot oder mit der Digitalkamera den Bildschirm fotografieren… Auf der sicheren Seite – bei einem nicht-kooperativen Nutzer – wäre man nur mit einem bereits in der Hardware abgesicherten DRM und einem PC in einer abgeschotteten Umgebung – nur wer will das schon???

Die konkrete Implementierung ist ausserdem handwerklich suboptimal. Die Sicherheit von X-pire basiert darauf, dass der Schlüssel in der Hand des Servers bleibt – damit dieser den wieder einkassieren kann. Dazu wird mittels eines CAPTCHAs getestet, ob der Schlüssel von einem Menschen oder einer Maschine abgerufen wird. Eine durchaus lästige Funktion. Was es bräuchte wäre eine vom Betriebssystem geschützte Funktion, die mit dem Server verschlüsselt kommuniziert.

Also hat ein findiger IT-Professor in nur ~8 Stunden eine Umgehungslösung entwickelt/entwickeln lassen: Man richtet einen Schlüssel-Cache ein. Das hat für den Nutzer den Vorteil, dass er, wenn der Schlüssel schon im Cache ist, kein CAPTCHA lösen muss. Der CACHE-Betreiber lässt bei einem unbekannten Bild den Nutzer das CAPTCHA lösen und kann alle Bilder dauerhaft entschlüsseln – und bekommt die Info,welche Bilder vielleicht “heiß” sein können auf dem Silbertablett serviert.

(k)eine Downloadmöglichkeit von “Steusand”

(Dank Prof. Federrath habe ich z.B. schon über die Untiefen des Patentrechts bei Abhörtechnik amüsiert)

 

Nachtrag: Die Bewertung von X-Pire bei heise “bitte vergessen“:

Zurück bleiben: Ein durchsichtiger Versuch eines Professors, mit der Verunsicherung der Internet-Nutzer Geld zu verdienen, ein durchsichtiger Versuch einer offensichtlich überforderten Ministerin, mal wieder positive Schlagzeilen zu produzieren – und ein Problem, das es verdient hätte, ernsthaft diskutiert zu werden.