Sicherheitsanzeigen mit wichtigen Anweisungen in roter Schrift auf schwarzem Untergrund die dem Mitarbeiter nur wenige Sekunden lassen, die Anweisung zu befolgen. „Welche Anweisungen? Ich warte auf die Anweisungen!“
… offen gelassen
Türen deren Öffnungsmechanismus mit Karte und PIN geöffnet wird, und beide Hände erfordert
… weitergegeben
Im Grunde alle Informationen die vertraulich sind. Egal ob sie an die gutaussehende Dame die persönlich erscheint, den charmanten jungen Mann am Telefon oder den höflichen Finanzmakler aus Nigeria gegeben werden.
Immer wieder interessant, wer sich alles berufen fühlt Sicherheitsanleitungen zur Verfügung zu stellen. Ich fange hier mal eine kurze Zusammenstellung an, vielleicht wächst die im Laufe der Zeit noch etwas. Wäre jedenfalls nicht schlecht. Kommentare sind selbstverständlich erwünscht.
ok, also ich habe eine dynamisch vom Provider vergebene IP-Adresse und möchte prüfen, mit welcher IP-Adresse ich offiziell irgendwo aufschlage. Was tun?
Start with a cage containing five monkeys. Inside the cage, hang a banana on a string and place a set of stairs underneath it. Before long, a monkey will go to the stairs and start to climb towards the banana. As soon as he touches the stairs, spray all of the other monkeys with cold water. After awhile, another monkey makes the attempt with the same result – all the other monkeys are sprayed with cold water. Pretty soon, when another monkey tries to climb the stairs, the other monkeys will prevent it.
Now, put away the cold water. Remove one monkey from the cage and replace that monkey with a new one. The new monkey sees the banana and wants to climb the stairs. To his surprise and horror, all the other monkeys attack him. After another attempt and another attack, he knows that if he tries to climb the stairs, he will be assaulted.
Next, remove another one of the original monkeys and replace it with a new one. The newcomer goes to the stairs and is attacked. the previous newcomer takes part in the punishment with enthusiasm! Likewise, replace a third original monkey with a new one, then a fourth, then the fifth.
Everytime the newest monkey takes to the stairs, he is attacked. Most of the monkeys that are beating him have no idea why they are not permitted to climb the stairs or why or why they are participating in the beating of the newest monkey. After replacing all of the original monkeys, none of the remaining monkeys have ever been sprayed with cold water. Nevertheless, no monkey ever again approaches the stairs to try for the banana.
Why not?
Because as far as they know, that’s the way it’s always been done around here.
Das ganze Verfahren der EC-Karten mit PIN ist heute nicht mehr zeitgemäß und eigentlich komplett unsicher. Anscheinend haben das andere inzwischen auch bemerkt.
N-TV berichtet, dass die Verbraucherzentralen jetzt 74 Musterklagen gegen verschiedene Banken führen:
„Wir haben Fälle, bei denen bestohlene Bankkunden den Brief mit der PIN noch ungeöffnet bei sich zu Hause haben“, zitiert der Sender Verbraucherschützer Hartmut Strube. „Diese Fälle zeigen, dass es eine Möglichkeit geben muss, die PIN von Geldkarten zu ermitteln“
Ob da tatsächlich ein Bankmitarbeiter die PIN weitergegeben hat, die PIN aus der Karte errechnet wurde oder sie schlicht erraten werden konnte ist eigentlich irrelevant. Die Sicherheit des Systems ist ist jedenfalls schon lange nicht mehr gewährleistet und die Banken müssen endlich die Verantwortung dafür übernehmen.
Im Internetbanking sieht es nicht besser aus, wie Heise neulich wieder am Beispiel der SEB zeigen konnte. Nicht nur Heise und die Verbraucherschutzvereine fordern die längst fällige Umkehr der Beweislast. Aber bis das zum BGH durchgedrungen ist, werden vermutlich noch viele Kunden durch die mangelhafte Sicherheit einiger Banken geschädigt.
… wenn man des Nächtens durch plötzliches geschäftiges Treiben der Rechner im Nebenzimmer aufwacht, könnte man denken: „Ach, cronjobs…“ und beruhigt weiterschlafen. Statt dessen schreckt man auf: „ONLINEDURCHSUCHUNG!“
Reducing Shoulder-surfing by Using Gaze-based Password Entry
Authors:
Manu Kumar , Tal Garfinkel, Dan Bohen, Terri Winograd
Abstract:
Shoulder-surfing — using direct observation techniques, such as looking over someone’s shoulder, to get passwords, PINs and other sensitive personal information is a problem that has been difficult to overcome. When a user enters information using a keyboard, mouse, touch screen or any traditional input device, a malicious observer may be able to acquire the user’s password credentials. We present EyePassword, a system that mitigates the issues of shoulder surfing via a novel approach to user input. With EyePassword, a user enters sensitive input (password, PIN, etc.) by selecting from an on-screen keyboard using only the orientation of their pupils (i.e. the position of their gaze on screen), making eavesdropping by a malicious observer largely impractical. We present a number of design choices and discuss their effect on usability and security. We conducted user studies to evaluate the speed, accuracy and user acceptance of our approach. Our results demonstrate that gaze-based password entry requires marginal additional time over using a keyboard, error rates are similar to those of using a keyboard and subjects preferred the gaze-based password entry approach over traditional approaches.
Lustige Idee … wir starren auf den Bildschirm, bis das Passwort gefunden ist. Ich stelle mir gerade passende Brute Force Eye-Password Cracker vor … 🙂 Nur darf man dann nicht mehr koksen sonst wird das nichts mit dem Passwort-Fokus.
Der Springer-Verlag ist schon krass. Während alle seriösen Online-Medien in den letzten Tagen externe Experten (z.B. vom CCC) an Bord geholt haben und die Kritik am Vorgehen Schäubles von allen Seiten mit Ausnahme der CSU zunimmt, kommt kaum ein Wort der Kritik auf die Seiten des Springer-Verlags. Ich wusste ja, dass Springer unbeirrt hinter Schäuble her rollt, aber so extrem habe ich das nicht erwartet. Eigentlich sollte man die gar nicht verlinken.
Na gut, das kommt vor. Eigentlich ist das auch keine Nachricht wert. Ich hab’s zufällig bei The Register gelesen.
Aber es gibt ein Video auf YouTube bzw. hier die hochauflösende Fassung (17,1 MB .mov) von jemandem, der auf die Seite geklickt und die Malware analysiert hat:
