16. Februar 2008
Hihi, entgegen der eigenen Policy hat Microsoft sich geweigert, den Entdecker der MS08-011 Lücke im Advisory namentlich zu erwähnen.
Zum Hintergrund, für IT-Security-Forscher ist es recht interessant, in solchen Advisories erwähnt zu werden, da dadurch die eigene Bekanntheit und so der Marktwert steigt. Allerdings beschränkt Microsoft die Nennung auf Forscher, die sich dem „Responsible Disclosure“ Programm von Microsoft angeschlossen haben. Daran halten sich jedoch nicht alle Unternehmen, da Microsoft sich dann gerne mal mehrere Monate Zeit lässt, eine kritische Lücke zu schließen.
Jedenfalls hat sich der Entdecker von MS08-011 an alle Prozeduren gehalten und via iDefense die Lücke an Microsoft berichtet (via iDefense weil dann kriegt man noch etwas Geld dafür). Und die Antwort:
„Unfortunately, Microsoft has refused to credit you using the name you requested.“
Tja, wenn man sich auch chujwamwdupe nennt 🙂
Ich sag ja … responsible disclosure lohnt sich nicht. Einfach den Exploit veröffentlichen und gut ist. HD Moore ist so auch bekannt geworden.
15. Februar 2008
Bruce Schneier hat einen sehr lesenswerten Artikel über die wirtschaftliche Bedeutung von Vendor Lock-Ins geschrieben.
„Wenn 100 Leute im Unternehmen Microsoft Office einsetzen, das pro Benutzer 500 USD kostet, dann wird das Unternehmen auf OpenOffice wechseln, wenn der Wechsel günstiger als 50.000 USD ist. Wenn der Wechsel teurer als 50.000 USD ist, kann Microsoft die Preise erhöhen.“
Der komplette Text findet sich im Blog von Bruce und bei Wired.
Sein Fazit ist, dass mehr und mehr Sicherheitsfunktionen nicht mehr zum Schutz von Daten und Systemen sondern zum Schutz der wirtschaftlichen Abhängigkeit eingesetzt werden. Digitales Restriktionsmanagement (DRM) ist nur der Anfang.
Jetzt ist Microsoft von den letzten guten Geistern verlassen worden, wenn die Meldungen auf diversen News-Portalen stimmen:
Forscher bei Microsoft hoffen, mittels „freundlicher“ Würmer Patches und Updates schneller an die Windows-Nutzer zu verteilen.
Die Antwort auf solche Ideen kann nur lauten: Ja spinnt ihr Idioten bei Microsoft denn jetzt komplett? Klar, auf den ersten Blick erscheint die Idee super … die Würmer erkennen automatisch Sicherheitslücken, dringen in den Rechner ein und schließen dann diese Lücke. Der Rechner ist damit sicher und vor weiteren Wurminfektionen geschützt. Auf den zweiten Blick ist das jedoch eine ganz dumme Idee:
- Wie soll der Wurm erkennen, warum der Rechner die Lücke noch enthält? Vielleicht hat der Administrator bewusst darauf verzichtet, ein Update zu installieren, weil sonst wichtige geschäftskritische Software nicht mehr funktioniert. Das kommt bei Microsoft Updates bekanntlich öfter vor.
- Was ist, wenn das Update ein Reboot erfordert. Bei Rechnern die Produktionsanlagen steuern darf man nicht einfach neu starten. Das kann von einfachen Produktionsausfällen zu richtig teuren Schäden führen, wenn die Verfügbarkeit nicht erhalten bleibt.
- Gerade in Produktionsanlagen darf man Updates nicht einfach so installieren. Oft ist eine Freigabe des Herstellers der Produktionsanlagensteuerung notwendig. Ich kenne beispielsweise einen Hersteller, der schriftlich mit drei Unterschriften wichtiger Direktoren bestätigt hat, dass keinerlei ungenehmigte Updates einzuspielen sind, da ansonsten sämtliche Wartungsverträge nichtig wären.
- Wenn ich solche Änderungen nicht möchte, steht dann lapidar in der EULA, dass Microsoft mir das aufspielen darf? Selbst wenn, spätestens wenn irgendwas dann nicht mehr funktioniert ist das rechtlich garantiert ein Verstoß gegen § 303b StGB (Datensabotage) und würde bei meinen wichtigen Rechnern mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Ich würde mich auch sofort einer Sammelklage in den USA anschließen.
- Von Folgeschäden, wenn Hacker den Wurm kapern oder unerwünschtem zusätzlichen Netzwerkverkehr will ich gar nicht reden.
Kurz und gut, die Idee ist so wahnsinnig dumm, idiotisch, blöd und hirnrissig (mir fallen leider keine weiteren Superlative mehr ein), dass der verantwortliche Manager ausgepeitscht, gevierteilt, erhängt und ersäuft gehört.
Ich frage mich eigentlich nur, wie kommt ein (hoffentlich) vernünftig denkender Wissenschaftler auf so eine schwachsinnige Idee? Sind die Jungs in der Forschungsabteilung soweit in ihrem Elfenbeinturm vergraben, dass sie nicht mehr mitkriegen, was draußen in der Welt so passiert? Oder ist Microsoft inzwischen so arrogant geworden, dass sie am besten wissen was gut für die Kunden ist und notfalls per Wurm zwangsweise Updates (z.B. den Genuine Advantage Notification Spam) aufs Auge drücken wollen? Oder haben sie den Ärger unerwünschter Änderungen nicht mitbekommen?
Ich sehe schon, der Umstieg auf Linux wird langsam unvermeidbar.
(via hier, hier und hier und die Kritiker formieren sich hier).
Nachtrag:
Sehr lesenswert ist in diesem Zusammenhang der Artikel „Are Good Viruses Still a Bad Idea?“ von Vesselin Bontchev, der alle wichtigen Kritikpunkte anschaulich zusammenfasst.
Manchmal kommen Administratoren auf lustige Ideen. Das fällt oft jahrelang nicht auf aber wenn irgendwann mal jemand mit Ahnung sich die Sache ankuckt, dann kann man gelegentlich nur noch den Kopf schütteln.
In einem Unternehmen kann von jedem Rechner aus ohne Proxy direkt im Internet gesurft werden. Auf der Firewall befindet sich ein Virenscanner der die heruntergeladenen Dateien prüft und Schadprogramme herausfiltert. Ein URL-Blocker oder so wird nicht eingesetzt. So weit so gut. (Nein, ich will jetzt keine Diskussion anzetteln, ob ein URL-Blocker notwendig und zweckführend ist.) Allerdings soll nicht jeder Mitarbeiter Internet-Zugang bekommen. Was tun?
Die Lösung, auf die die Administratoren gekommen sind, ist eigentlich extrem clever. Aber nur eigentlich. Per Windows Gruppenrichtlinie erhalten Benutzer einer speziellen Gruppe einen falschen Proxy in den Internet Explorer eingetragen und die Berechtigung entzogen, den Proxy zu ändern. Bei Versuchen ins Internet zu kommen gibt es dann jedesmal einen Timeout, weil der Proxy nicht existiert und daher auch nicht antworten kann.
Leider funktionierte dieses Sicherheitsmodell nur, bis ich meinen USB-Stick mit Firefox Portable herausholte, in den Rechner steckte und mittels Alternativbrowser gemütlich im Internet surfen konnte. (Alternativ kann man auch den PrivacyDongle von Foebud kaufen).
Jetzt wird über die Anschaffung eines ISA-Servers nachgedacht.
14. Februar 2008
Vorgestern, am 12.02. fand unter der Schirmherrschaft der EU-Kommissarin Viviane Reding der Safer Internet Day statt. Die Ziele lesen sich auch schon ausreichend schwammig um alles oder nichts zu sagen:
- die Sensibilität für das Thema „Sicheres lnternet“ zu fördern und damit die Menschen dazu zu bewegen, der Sicherheit im Internet mehr Aufmerksamkeit zu widmen
In der Praxis handelt es sich beim Safe Internet Day nur noch im eine Rahmenveranstaltung in der sich diverse Lobbygruppen tummeln und unwidersprochen ihre (meist falschen) Ansichten verbreiten dürfen. Zum Thema Urheberrecht hat beispielsweise die GVU einen Flyer beigesteuert, der falsche (und natürlich im Interesse der Content-Industrie liegende) Angaben z.B. zur Privatkopie macht.
Klicksafe gibt sich zwar Mühe und ab und an findet man sogar nicht durch Lobbyarbeit beeinflusste Informationen, z.B. zum Webbrowser. Da kommt der IE sogar schlechter weg als er es verdient hat. Aber letztendlich wird dann doch wieder auf Werbung von Microsoft verlinkt.
Den Vogel abgeschossen hat aber das ZDF, das zum Thema Sicherheit im Internet und Datenschutz ein Interview ausgerechnet mit StudiVZ geführt hat, dem Unternehmen, das für seine hohen Datenschutzstandards bekannt ist. So bastelt das ZDF an der Legende, denn eigentlich hat StudiVZ nichts neues erfunden sondern lediglich zufällig zum richtigen Zeitpunkt Facebook kopiert.
Nachtrag:
Ich hätte dieses Youtube-Video vom ZDF-StudiVZ-Interview ja gerne direkt eingebunden aber vermutlich ist dem ZDF der Beitrag inzwischen so peinlich, dass sie das direkte Einbinden nicht mehr erlauben.
Ich freue mich ja immer, wenn ich unaufgefordert Werbung zu Snake Oil Security Produkten bekomme. Das gibt immer wieder einen schönen Blog-Eintrag.
Heute habe ich Spam eine gaaanz tolle Produktinformation der Firma Supernova Savernova bekommen, die eine gaaanz tolle Gridkarte für gaaanz tolle Passwörter anbieten. Gridkarten sind einfach Papp- oder Plastikkarten die je nach Ausstattung entweder Ziffern (für PINs) oder alphanumerische Zeichen für Passwörter in einer Tabelle anordnen und der Nutzer merkt sich dann entweder den Anfang (G3) und die Lese-Richtung (nach rechts) um sein Passwort wiederzufinden oder er wird nach mehreren Feldern (F5, A2, E4) zur Authentisierung gefragt. Das funktioniert dann wie Schiffe versenken. Im Grunde nix, das man sich nicht mit ein paar Zeilen Perl und/oder einem Radius-Server selbst basteln könnte.
Bei Savernova sieht die kostenfreie Ausdruckkarte (PDF) dann so aus:
Das ist zwar nicht ganz wie „Passwort aufschreiben“ (außer, die 11 Felder rechts sind so gedacht, dass man da die Passwörter notiert) aber schon fast. Wenn jemand die Karte in die Hand bekommt, lassen sich nur endlich viele verschiedene Passwörter daraus erzeugen. Die kann man ruckzuck durchprobieren. Und wenn man die Karte verliert, dann hat man das Passwort leider nicht mehr (oder man hat glücklicherweise das Passwort mittels Textmarker auf der Backupkarte markiert).
Andererseits ist das Marketing nicht blöd. Zum einen klingt der Claim „Savernova – Swiss IT Security“ nach der Qualität eines Schweizer Armeetaschenmessers. Zum anderen die Verlinkung: „Unternehmen können die Webkarten mit eigenem Logo personalisieren und auf ihrer Homepage unlimitiert und kostenfrei zur Verfügung stellen.“ So schafft man sich zumindest Bekanntheit.
Ich habe leider nicht herausgefunden, wie viel Savernova kosten soll. Bei PC-Welt gibt es jedenfalls Codestar für 20 Euro. Da kann man sich auch lustige bunte Passwort-Karten ausdrucken, einen Farbdrucker vorausgesetzt. Ok, da ist die berüchtigte Middleware nicht dabei, mit der sich die Passwortkarten an die Unternehmens-IT anbinden lassen. Aber will das wirklich irgendwer (PDF)?
Naja, für einige Leute mag die Passwortkarte ja ganz praktisch sein und erfreulicherweise wird bei jedem Aufruf eine andere Karte generiert (auch wenn ich nicht weiß, was die ID und der SecureCode darauf bedeuten soll). Allerdings darf man sich den Webserver auch nicht so genau ansehen. Manuell eingegebene URLs mag der nämlich nicht:
Also doch besser mit Perl selbst was gebastelt. Das funktioniert dann auch mit Linux. Oder weiter Schiffe versenken gespielt.
13. Februar 2008
Ich hab’s nicht früher gesehen und eigentlich ist die Antwort von Fyodor auf den 24C3-Vortrag von Fabs schon einen Monat alt, trotzdem muss das noch hier ins Blog rein.
Fyodor beschwert sich (meines Erachtens zurecht) ein wenig über das Nmap-Bashing und kritisiert die Methodik von Fabs. Im Detail hält er Portbunny für zu aggressiv wenn innerhalb von 15 Sekunden ein kompletter Rechner gescannt wird (das sind 4369 SYN-Pakete in einer Sekunde und nach meiner Erfahrung schießt man damit einige Systeme wie z.B. SPS recht schnell aus dem Netz). Außerdem vermisst er wichtige Angaben, z.B. mit welchen Parametern Nmap aufgerufen wurde (ich vermute ja die Standardoptionen) und welche Nmap-Version verwendet wurde (vermutlich die aktuelle). Ein anderes Problem ist die Korrektheit der Scanergebnisse. Nmap verwendet einige Gedanken darauf, möglicherweise verlorene Pakete neu zu senden. Das vermisst Fyodor bei Portbunny.
Was mir am meisten Kopfschmerzen bei einem Scanner wie Portbunny bereitet ist jedoch, den Scanner komplett im Kernel laufen zu lassen. Fyodor spricht von „bloated Kernel“, ich persönlich mache mir mehr sorgen um die Stabilität. Einen Prozess kann ich einfach abschießen, kill -9 und Ruhe ist.
Interessant ist, dass es kaum neutrale Statistiken und Auswertungen zur Qualität von Portscannern gibt. Das einzige, das ich gefunden habe und das auch Fyodor erwähnt ist die Analyse von Computerdefense. Hier werden Nmap, Unicornscan und Portbunny gegenübergestellt und Nmap schneidet in allen Kategorien eigentlich überzeugend gut ab. Seine Zusammenfassung bestätigt die nackten Zahlen.
Ach ja, etwas das Portbunny besser macht als Nmap hat Fyodor dann doch noch gefunden: für Portbunny kann man bereits T-Shirts kaufen.
Nachtrag:
Hier ist noch ein Test, da hat Nmap auch mal verloren.
12. Februar 2008
dann lohnt sich der Spam nicht.
Eigentlich interessant. Ich krieg vielleicht im Monat eine Spam-SMS auf mein Handy und gelegentlich faxe ich die dann auch an die Bundesnetzagentur. Mehr SMS-Spam scheint sich nicht zu lohnen, eine SMS kostet Geld und die Antwortquote ist garantiert bescheiden.
Hier steht, in China kriegt der durchschnittliche Nutzer 10 Spam-SMS pro Tag. Ich glaube, ich würde den Telefonanbieter verklagen. Vielleicht ist die Idee, ein paar Cent pro Mail zu bezahlen gar nicht so blöd. Oder man lässt sich für das Spam-lesen bezahlen.
11. Februar 2008
Falls ihr hier zufällig The Register lest, dann kennt ihr den Artikel über die Laptop-Auktion schon. Falls nicht, hier der Text:
„DIFFERENT WAYS YOU CAN STEAL THIS LAPTOP OFF ME:
PAYPAL: Paypal is currently ebays preferred method of stealing high value electrical items off sellers. There are a number of various ways you can use to steal this laptop using paypal.
1: A Fake “Item Not Received” (I.N.R) Claim – All you simply have to do here is purchase my item using an unverified paypal account. Then when you receive the laptop, simply claim that you didn’t receive it at your registered (credit card) and paypal will give you all your money back !
2: A Fake “Item Significantly Not As Described” (S.N.A.D) This is a great way to steal items off sellers. Simply start a dispute after you get the laptop making up some lie about the item being damaged etc – You could use Photoshop to make up fake pictures of damage. Paypal will ask you to send the item back to me, but don’t bother – they never enforce that on buyers and after a short wait you will get all your money back and you will still have the laptop.
3: A fake “Unauthorised Use” Claim – This is a super way of stealing items on ebay and is widely used. Simply claim that someone hijacked your account (paypal & ebay) and that you didn’t order the laptop. Then in conjunction with a fake I.N.R claim you can simply steal the laptop and of course, get your money back.
4: A Stolen Credit card – Of course, ebay make no real attempt to vet any of its buyers, so hey, just register a new ebay account using fake ID information and link it to a paypal account set up with a stolen credit card – and hey presto – A free laptop.
Although officially banned on ebay, fake western union payments are the preferred way for Nigerian Scammers to steal high value electrical items. Simply email me (using pigeon English) telling me that you would like to buy this item using Western Union – Tell me that you would be happy to pay over the odds for the laptop and that it is a present for your mother in law. Then send me a fake western union payment notification and I send you the laptop – Perfect. This method of stealing items off sellers is very widely used on ebay and of course, as ebay do not properly verify buyers its easy to do. Make sure you use Pigeon English as I am really really stupid and it’s bound to fool me.
If you are a traditionalist like me you may prefer a good old mugging. Simply offer to meet me on some dodgy housing estate somewhere and have a load of you mates hiding behind a hedge with a few iron bars. Again, offer to pay me over the odds as there is nothing better than using a sellers greed to bait them into a scam. I would be grateful if you could avoid killing me as this will cause bad publicity for ebay which would be terrible.
In the unlikely event that you are actually a genuine buyer then you really should be shopping in a real shop and not this scammers paradise. However this laptop does really exist and is really for sale. You can email me or skype me with suggestions on how we may actually transact this item to both our satisfaction – with both our safety in mind. Don’t even think of buying it using paypal. I’ve only listed it as accepted because ebay run a protection racket that means I have to accept it. If you do pay by paypal I will simply refund your payment and give you a nice new shiny NEG.
Of course you will no doubt be aware that from May onwards you will be able to blackmail sellers into giving you free P&P / discounts etc. You will be able to give them neg feedback and they will not be able to give you any.. I regret to advise you that because this rule does not come in until May this option of scamming me is not open to you yet.
I would grateful if some sad failed traffic warden could report this auction for two reasons
1: Ebay will see this listing and will hopefully close my account, saving me a 180 days wait to do it myself.
2: You will save me listing fees, making this a free advert.
Dem ist meines Erachtens nichts mehr hinzuzufügen.
10. Februar 2008
Die Webseite des indischen SmartCOP Antiviren-Herstellers AVsoft Technologies wurde kompromittiert um Schadprogramme zu verteilen. Sehr schön. Ich warte ja immer noch auf kompromittierte Microsoft-Updates.
(via The Register und Full-Disclosure)
