Mitternachtshacking

Aus einer Mail an die DailyDave Mailingliste:

binfu (bin foo): The fine art of inadvertantly causing unexpected system downtime, outages, and file deletions. „binfu“ was first used to describe the action of „accidently“ performing an „rm -rf“ on the directory /usr/bin. Once binfu has been exercised, it is best bystanders stand clear, since vulgar language and flying objects often follow the use of binfu. „My your binfu is so excellent.“ – Bamm to Rich (circa 2000)

Aha.

Spiegel.de berichtet, dass die Firma Scansafe ein neues Geschäftsfeld eine neue Filtersoftware entwickelt, die anstößige Inhalte in Blogs wie diesen hier herausfiltert.

„Scansafe durchsucht den Datenverkehr seiner Kunden und sperrt Seiten nach im Voraus definierten Kriterien. Wurde eines davon einmal erfüllt, gilt ein Blog als anstößig.“ (Spiegel.de)

Offensichtlich genügt es also, ein einziges mal „fuck“ oder eines der anderen bösen Wörter zu schreiben und schon wird das Blog komplett gesperrt.

Ups … jetzt können die ganzen amerikanischen Filterjunkies ja gar nicht mehr auf meine Texte zugreifen. So ein Pech aber auch.

Wie versprochen die Präsentation zur Ingram Micro Voice-over-IP Hacking Show (PDF; 3,2 MB). Die Slides geben natürlich nur einen unvollständigen Eindruck wieder, weil die ganzen Angriffe wie Abhören der Sprachkommunikation, Mitsniffen der SIP-Anmeldung etc. live vorgeführt wurden und bei einigen Zuschauern zu erheblichen Aha-Effekten geführt haben.

Interessant war dabei, das Interesse richtete sich weniger auf die Thematik Voice-over-IP, die meisten Teilnehmer haben VLANs bereits implementiert oder irgnorieren das Thema weitgehend sondern die Folgediskussionen drehten sich hauptsächlich um die Problematik von Skype im Unternehmensnetz.

Meine persönliche Meinung ist dazu recht eindeutig: Skype ist im Unternehmen ein klares no-go und das hauptsächlich aus folgenden Gründen:

1. Der Administrator verliert durch die vielen verschiedenen Techniken die Skype verwendet, um Firewalls zu umgehen bzw. zu durchlöchern die Kontrolle, wer welche Art der Kommunikation durchführt.
2. Die Skype-Kommunikation ist proprietär verschlüsselt, der Administrator hat keine Kontrolle, welche Daten rein oder raus gehen, insbesondere da mit Skype auch Programme und andere Dateien übertragen werden können.
3. Die Skype-Kommunikation kann über sogenannte Supernodes laufen, über die der Administrator keine Kontrolle hat. Möglicherweise routet ein Skype-Client seinen Traffic über das VPN von einer Partnerfirma zu einem internen Rechner, der dann die Daten ins Internet weiterleitet. Diese Kommunikationspfade sind kaum beherrschbar und können erheblichen Datenverkehr verursachen.
4. Skype gehört eBay, einem amerikanischen Unternehmen das für seine „benutzerfreundliche“ Datenschutzpolitik bekannt ist. Amerikanischen Behörden bekommen praktisch problemlos Zugriff auf alle Daten. Nicht umsonst sitzt eBay.de in Wirklichkeit in der Schweiz, also außerhalb der Europäischen Union.
5. Die rechtlichen Risiken z.B. was das Eigentum der Skype-ID betrifft oder die geschäftliche Nutzung sind nicht geklärt. Skype kann laut AGB einen Account ohne Angabe von Gründen löschen und die Skype-ID ggf. einem anderen User übertragen. Der kriegt dann für mich bestimmte Anrufe.

Alles Gründe, die für mich keine Rolle spielen, wenn ich privat mit Freunden per Skype telefoniere aber die den Einsatz im Unternehmen klar verbieten. Wer hier „Futter“ für die Geschäftsleitung braucht, darf mir gerne eine Mail schicken.

Ich mag Accor nicht. Die ganze Hotelgruppe. Egal ob Sofitel, Mercure, Dorint/Novotel, Ibis oder was sonst noch dazugehört. Ich habe regelmäßig den Eindruck, da ist man nicht „Gast“ sondern nur „Kunde“ und sollte möglichst die Abläufe nicht stören.

Heute im Dorint/Novotel Kongresshotel in Neuss: Offiziell darf das Zimmer bis 12 Uhr belegt bleiben, ich habe vorher auch extra nochmal an der Rezeption gefragt … kein Problem. Da ich um kurz nach neun meinen Vortrag hatte wollte ich danach in Ruhe so gegen 11 Uhr auschecken. Leider war dieses Zimmer beim Aufräumen schon um 10:30 Uhr dran. Also hat das Zimmermädchen das Bett neu bezogen, alle Handtücher weggeräumt und bei der Gelegenheit meine Sachen die im Zimmer noch rumlagen auf einen Haufen geworfen, weil ihr das wohl im Weg umging. Blöd, wenn ich mich nochmal hätte duschen oder ein paar Minuten hinlegen wollen. Und nach meinem Empfinden unverschämt, was meine Sachen anging.

Sehr gastfreundlich und nicht das erste mal, das mir das in einem Accor-Hotel passiert. Ich vermute ja, die Aussage „bis 12 Uhr“ steht nur deshalb da, weil das alle 4-Sterne Hotels haben. Am liebsten wäre Accor aber, wenn der Gast möglichst um 9 Uhr wieder verschwunden ist. Es nutzt auch gar nichts, sich irgendwo zu beschweren. Die übliche Reaktion der Accor-Mitarbeiter ist gelangweiltes Schulterzucken, auch schon mehrfach erlebt, und damit ist für die die Sache erledigt.

In kleineren Hotels ist mir das interessanterweise noch nie passiert. Darum versuche ich auch wann immer möglich, Hotels der Accor-Gruppe zu vermeiden.

Es gibt aber auch das krasse Gegenteil dazu. Meine aktuelle Hotelempfehlung aus der Gegend um Münster/Westfalen: das Hotel Lindenhof in Emsdetten.

Das von Familie Hankh geführte Hotel gehört zu den Perlen. Wunderschöne, sehr großzügige Zimmer (zumindest im Nichtraucher-Nebengebäude), interessant ausgestattete Zimmer im Hauptgebäude und ein Spitzenrestaurant, von Udo Hankh geführt, das sich nicht verstecken muss. Ebenfalls sehr erfreulich ist die Infrastruktur. Ethernet und Wireless LAN in jedem Zimmer, sehr schneller Internet-Zugang und ohne Aufpreis im Zimmerpreis enthalten. So Kleinigkeiten wie Schirme zum Ausleihen oder ein Wasserspender (natürlich auch alles ohne Aufpreis) runden das Hotel ab. Meiner Meinung nach lohnt es sich für dieses Hotel, die 30 km von Münster nach Emsdetten zu fahren. Oder auch nur zum Abendessen!

Am 24. Januar war ich vom Egemin-Konzern in den Niederlanden zu einem netten Event auf Schloß Loevestein eingeladen. Ich habe dort einen kleinen Vortrag zum Thema Hackerangriffe auf Supply Chains gehalten. Wer erzeugt die Bestellungen in vollautomatischen Systemen und wo können Hacker angreifen. Die Veranstaltung fand im Rittersaal von Schloß Loevestein statt, der Raum war nur durch Kerzen erleuchtet und das Essen dort war hervorragend.

Der Anlaß, das heute zu schreiben? Die niederländische Fachzeitschrift Automatie hat in ihrem Heft Nummer 3 / 2007 einen Artikel zum Egemin-Event (PDF, 280 KB) veröffentlicht und mir freundlicherweise als PDF zur Verfügung gestellt. Ok, ich sehe auf dem Foto nicht sehr vorteilhaft aus aber durch die Kerzen war es im Saal wirklich sehr sehr warm 🙂

Auf The Register: Ein New-Yorker Sicherheitsforscher hat weniger als 12 Stunden gebraucht um eine neue Sicherheitslücke in Apples Safari zu finden und damit einen Preis von 10.000 USD zu gewinnen. Den Preis hat übrigens Tipping Point gesponsort.

Wieso wundert mich das jetzt alles nicht?

Aber werden die Systeme dadurch sicherer?

Dell hört auf die Kunden:

„In den USA hat sich Dell aufgrund von Kundenrückmeldungen entschlossen, ausgewählte Rechner wahlweise wieder mit Windows XP auszuliefern. (Link zu Golem)“

Aber nur bis Ende Januar 2008. Spätestens dann stellt Microsoft die Auslieferung von Windows XP an OEM-Partner ein. Wer dann einen neuen Computer mit Microsoft Betriebssystem will, muss auf Vista umsteigen. Gibt es eigentlich eine Aussage, wie lange Windows XP noch reaktiviert werden kann, z.B. nach einer Hardware-Änderung?

IT-Systeme in der Produktion haben häufig eine Lebensdauer von mindestens 10-15, manchmal sogar 25 Jahren. Kann garantiert werden, dass eine Aktivierung von Windows Vista bzw. einer Volume License mit Aktivierungsserver noch im Jahr 2030 möglich ist.

Ein Systemhersteller der Kunden zwingen will, eine stabil funktionierende Produktionsanlage auf ein neues System zu aktualisieren, ist nicht akzeptabel. Wenn das alte System nicht mehr unterstützt wird, um lediglich die Kunden zum Umstieg auf das neue System zu bringen ist das noch weniger akzeptabel. Und wenn das dadurch passiert, dass eine legal erworbene Lizenz einfach deaktiviert bzw. nicht mehr reaktiviert werden kann, dann wird es Zeit über den Anbieter nachzudenken.

Microsoft Vista braucht ja angeblich Internet-Zugang (Recommended System Requirement), da sich sonst keine Aktivierung eines Einzelsystems durchführen lässt. Natürlich gibt es auch eine telefonische Aktivierung wie bei Windows XP, allerdings scheint sich Microsoft alle Mühe zu geben, dies dem Nutzer so umständlich wie möglich zu machen. Aber man kennt das ja von XP.

Viel schlimmer ist es jedoch mit den Volume Lizenzen geworden. Diese sind nicht etwa wie bei Windows XP aktivierungsfrei sondern benötigen einen Aktivierungsserver im Netzwerk. Microsoft bezeichnet das als Activation 2.0. Der Aktivierungsserver muss mindestens alle 180 Tage erreicht werden, andernfalls fällt das System in eine 30-Tage Grace Period und wird dann unbenutzbar.

Welche „lustigen“ Folgen das haben kann, haben wir bereits Anfang Oktober mit der Windows XP WGA-Prüfung erfahren:

„Wer mit einer Volumenlizenz am 2. oder 3. Oktober versuchte, unter Windows XP Patches oder Updates von Microsoft zu erhalten, scheiterte möglicherweise an der dann fälligen WGA-Prüfung. Anschließend behauptete XP fälschlicherweise, dass es illegal installiert wurde. (Link zu Heise.de)“

Sehr spannend, wenn der Aktivierungsserver einen Fehler haben solle („Ein Fehler? In Windows? Unmöglich!“) und aus unerklärlichen Gründen die Re-Aktivierung verweigert. Trotz der 30-Tage Frist möchte ich dann nicht Leiter der Produktion oder verantwortlicher Administrator sein. Dann lieber ein sicheres, aktivierungsfreies Linux.

Peter Gutmann, Neuseeländischer Sicherheitsexperte und vor allem bekannt durch seine Forschungsarbeit zur sicheren Löschung von Festplatten und Disketten (ja, die ganzen Löschprogramme mit mehrfachem überschreiben basieren auf seiner Arbeit) hat eine Kostenanalyse von Microsoft Vista aus Sicherheitssicht durchgeführt. Ein sehr interessanter Artikel.

Die in Vista eingebauten DRM-Funktionen haben potentiell die Möglichkeit, weitgehende Funktionen des Systems lahmzulegen, wenn Treiber oder Core-Funktionen des Systems der Meinung sind, hochauflösende digitale Inhalte müssen geschützt werden.

Die Auswirkungen auf die Anwender können massiv sein. So können beispielsweise die digitalen Signaturen von Treibern für Hardware von Microsoft zurückgezogen werden, wenn ein Treiber eine Lücke enthält mit der sich z.B. Videodaten abgreifen lassen. Das ist für den Anwender sehr erfreulich, wenn es sich um drei oder vier Jahre alte Hardware handelt, für die der Hersteller keine neuen Treiber mehr entwickelt (weil neue Hardware mehr Profit bringt).

Nebenbei benötigten die DRM-Funktionen erstaunlich viel CPU-Ressourcen, u.a. weil sämtliche Treiber und Geräte regelmäßig einen Integritätscheck (Hardware Functionality Scan,kurz HFS) durchführen müssen um sicherzustellen, dass sie nicht kompromittiert wurden. Die Gefahr dabei u.a., bei Schwankungen der Temperatur oder Luftfeuchtigkeit könnte das zu einem Systemneustart führen, weil ein paranoider Treiber Alarm schlägt.

Für normale IT-Systeme mag das vielleicht noch vertretbar sein. Für Produktionsanlagen, bei denen schnell mal Schwankungen der Umgebung auftreten ist so etwas tödlich. Für Steuerungssysteme von Produktionsanlagen werde ich in Zukunft lieber ein kontrollierbar stabiles Linux empfehlen.

Ich bin schwer beeindruckt: Eine einfache Rechtschreibkorrektursoftware mit ca. 70% korrekten Korrekturvorschlägen in 21 Zeilen Python Code.

Kein Wunder, dass Peter Norvig zurecht Director of Research bei Google ist.