24. Juni 2007
Die FON-Nutzer beschweren sich über Wireless LAN Probezugänge, die anonym 15 Minuten genutzt werden können. Für die Registrierung ist nicht einmal eine gültige E-Mail Adresse notwendig und die Authentisierung basiert alleine auf der MAC-Adresse.
Ok, den Rechtsverdrehern ist klar, die Risiken eines solchen Konstrukts sind in Deutschland nicht kalkulierbar. Das Abmahnunwesen und die ausufernde Mitstörerhaftung (das es so übrigens in keinem anderen Land der Welt gibt) führen dazu, dass jeder vernünftig denkende Mensch solche Dienste am besten komplett abschaltet.
Und den Hackern ist natürlich klar, die MAC-Adresse aller modernen Netzwerkkarten lässt sich sowohl unter Windows als auch Unix beliebig verändern. So wird aus dem 15 Minuten Zugang schnell ein kostenfreier dauerhafter internationaler WLAN-Zugang. Sehr praktisch eigentlich.
Ich frage mich ja, wie die Haftung von Hotels aussieht, die ihren Kunden einen kostenfreien Wireless LAN Zugang anbieten. Kommentare irgendwer?
Die russische Firma Elcomsoft, bekannt geworden durch diverse Key Recovery Programme und die cleveren Hacks in Adobes eBook hat eine Hintertür in der weit verbreiteten Finanzsoftware Quicken von Intuit gefunden. Laut Mitteilung von Elcomsoft und diversen Berichten (und ich glaube denen, die Leben davon) gibt es die Hintertür seit 2003, als Intuit angefangen hat, Dateien mit starker Verschlüsselung zu sichern um gleichzeitig einen Passwort Recovery Service anzubieten.
Da fallen mir doch gleich mehrere Sachen auf:
1. Sichere Verschlüsselung in Kombination mit Password Recovery Service sollte einen stutzig machen. Entweder die Verschlüsselung ist sicher, dann kann aber keiner mehr herankommen, oder eben nicht. Und nur dann ist Password Recovery Service überhaupt realistisch. Wenn die Verschlüsselung tatsächlich mit einem starken, standardisierten Algorithmus erfolgt, z.B. AES-128, muss eine Hintertür vorhanden sein, anders ist ein Password Recovery innerhalb von 10 Minuten wie von Intuit versprochen gar nicht möglich.
2. Password Recovery wird von Intuit seit 2003 angeboten. Vernünftig denkenden Menschen sollte daher auch seit 2003 klar sein, dass die Quicken Software eine Hintertür haben muss. Aber erst jetzt 2007 kommt Elcomsoft mit der nötigen Software zum Ausnutzen der Hintertür. Entweder haben die Jungs aus Russland so lange gebraucht, um die Hintertür zu finden (was ich nicht glaube) oder auch erst vor ein paar Monaten angefangen zu suchen. Warum hat eigentlich sonst niemand seit 2003 darauf hingewiesen?
3. Die Hintertür ist laut Elcomsoft mit einem 512-Bit RSA Schlüssel geschützt. Also bitte, wer ist den so blöd, 2003 noch einen 512-Bit RSA Schlüssel zu verwenden? 512-Bit RSA Schlüssel wurden schon 1999 erfolgreich faktorisiert (d.h. in ihre Primfaktoren zerlegt, woraus sich dann problemlos der zugehörigen private Schlüssel ermitteln lässt). Das mindeste, was man für eine solche Hintertür hätte erwarten können ist ein sicherer Schutz durch ausreichend lange und starke Schlüssel. 1024 Bit hätte ich noch akzeptiert, lieber aber 2048 Bit.
Ich bin ja mal gespannt, wie Intuit darauf reagiert …
Anmerkung: 2001 wurde Dmitry Sklyarov auf der Def Con Hackerkonferenz nach seinem Vortrag über die Schwächen in Adobes eBook Software verhaftet und mit einer Anklage gegen den DMCA belegt. Sklyarov wurde im Dezember 2001 unter der Voraussetzung wieder freigelassen, gegen seinen Arbeitgeber auszusagen. Im Dezember 2002 wurde Elcomsoft von allen Anklagepunkten freigesprochen.
Aus einem Law Blog Kommentar:
Wenn Sie sich eine Fußstreife der Polizei nähern, sagen Sie einfach mal “Was seid denn Ihr für zwei Schlümpfe”. Dann kriegen Sie so richtig Ärger. Das kostet richtig viel Geld.
Wenn Sie sich aber der gleichen Streife nähern und sagen “Polizisten sind Schlümpfe”, dann kriegen Sie zwar auch Ärger, aber der Staat übernimmt hinterher die Prozesskosten.
Also immer auf die korrekte Verwendung des Plurals achten, dann kann einem gar nichts passieren.
Gut so, das muss ich mir merken.
