31. März 2009
Ui, ich habe für die IT-Security & Troopers 2009 ein Programm geschickt bekommen. Praktisch kann man sich also aussuchen, ob man die IT-Security (Track A: Management und Track B: Business) oder die Troopers (Track C: Troopers) besuchen will, weil leider die Vortragszeiten nicht ganz synchronisiert sind.
In Track A und B überwiegen meiner Ansicht nach die Verkäufer. Da tummeln sich diverse Hersteller, die einen Vortrag zu ihren Produkten halten weil sie halt was verkaufen wollen. Beispielsweise berichtet die Noris Network AG über Managed Services (bieten die zufällig sowas an?), MessageLabs referiert über die Optimierung von E-Mail und Web Security (sowas aber auch!) und Phion schleppt den Kunden Antenne Bayern an. Am interessantesten dürfte noch der Vortrag von Tobias Glemser zu XSS und CSRF sein, auch wenn mir nicht klar ist, wie man das im Track B (Business!) für die Zuhörer verständlich darstellen will.
So richtig enttäuscht bin ich aber von den Troopers-Inhalten. Das hat sich von einer echten Hacking-Konferenz bereits zur Hälfe zu einer Hersteller-Show entwickelt. Dominick Baier (freiberuflich aber sehr Microsoft-nah) zum Thema „.NET Access Control Service“, Rodrigo Branco (Check Point) zum Thema „Advanced Payload Strategies“ und Andrey Belenko (Elcomsoft) über „GPU-Assisted Password Cracking“ sind für mich praktisch Hersteller-Vorträge. Da reißen die anderen Vorträge die 890,- Euro Konferenzgebühr meiner Ansicht nach nicht mehr raus. Schade eigentlich, der ursprüngliche Ansatz der Troopers sah ganz interessant aus, auch wenn ich damals bereits von der Wirtschaftlichkeit nicht überzeugt war.
Die komplette Agenda der Troopers und die Referentenübersicht verlinke ich für Interessenten aber trotzdem gerne.
Nachtrag/Disclaimer:
In gewisser Weise ist der Veranstalter der Troopers 09, die ERNW, ein Mitbewerber meines Arbeitgebers und möglicherweise sehe ich die Veranstaltung daher kritischer als gerechtfertig.
Firefox ist zwar ganz nett, aber ab und an könnten die Standardeinstellungen (about:config) besser sein. Ein paar Änderungen, die ich bei mir grundsätzlich einrichte möchte ich hier dokumentieren, dann vergesse ich sie nämlich nicht gleich wieder:
- browser.identity.ssl_domain_display = 1
(verbesserte Anzeige der SSL-Zertifikatsgültigkeit)
- dom.disable_window_open_feature.menubar = true
(ich mag nicht, wenn mir Webseiten das Menü wegnehmen)
- dom.disable_window_open_feature.personalbar = true
(ich mag generell nicht, wenn mir Webseiten das Aussehen verändern)
- dom.disable_window_open_feature.scrollbars = true
(ich mag nicht, wenn mir Webseiten den Scrollbalken wegnehmen)
- dom.disable_window_open_feature.titlebar = false
(Finger weg, von der Titelleiste)
- dom.disable_window_open_feature.toolbar = false
(Und Finger weg von meiner Toolbar)
- signon.rememberSignons = false
(ich mag nicht, wenn Firefox meine Passwörter kennt)
- network.prefetch-next = false
(mein Browser lädt nur, was ich klicke)
- browser.download.manager.scanWhenDone = false
(danke, ich habe einen Virenscanner auf meinem Rechner der sowieso beim Schreiben scannt)
Bei einigen Parametern bin ich mir nicht ganz sicher, ob ich die will oder nicht:
- browser.safebrowsing.enabled = true|false
(das schaltet den Phishing-Filter, der URLs zur Prüfung an Google schickt. Siehe auch Privacy-Hinweis im Firefox)
- browser.safebrowsing.malware.enabled = false
(ich habe ein Recht auf mein tägliches Malware-Download … ich sammel das Zeug schließlich für meine tägliche Arbeit)
Weitere Informationen zum Lockdown, z.B. im Unternehmenseinsatz findet man bei PPC-Services.
Nachtrag:
Nach Hinweis von Tom aktualisiert.
30. März 2009
Wie Udo Vetter im Blog schreibt können Links auf Wikileaks gefährlich sein, weil das Landgericht Karlsruhe der Meinung ist, mit einem Link auf eine Webseite die einen Link auf eine Webseite die einen Link auf eine Webseite die einen Link auf eine Webseite […] hat, könnte man sich strafbar machen und das rechtfertigt eine Hausdurchsuchung. Gut, dann verlinken wir mal:
Wikileaks: Westliche Internetzensur: Anfang vom Ende oder Ende vom Anfang?
Wenn Peter Gauweiler eine Verfassungsbeschwerde zum EU-Vertrag aus eigener Tasche finanzieren kann, dann kann ich das notfalls für eine Hausdurchsuchung. So viel Kleingeld habe ich gerade noch.
(via Fefe)
Soso, die Briten haben auf die billige chinesische Hardware von Huawei umgestellt und merken jetzt, dass China da Zugriff auf Hardware und Firmware hat und ihnen möglicherweise kritische Infrastruktur abschießen kann. Die USA haben das schon vor einem ganzen Jahr gemerkt. Wir kennen das ja bereits von EC-Kartenterminals die für Tetris missbraucht werden. Es sollen sogar schon Kartenterminals aufgetaucht sein, die von Einbrechern oder direkt vom Hersteller in China modifiziert wurden, um PINs und Kartendaten abzugreifen.
Es gibt also nichts neues zu sehen. Bitte gehen sie weiter.
(via Fefe)
29. März 2009
Der Ziercke mal wieder. Die wandelnde Inkompetenz des BKA. Wenn er eine Frau wäre, würde man sich fragen, wie er sich hochgeschlafen hat. Jetzt hat er der Neuen Osnabrücker Zeitung ein Interview gegeben, dass u.a. die Sueddeutsche Zeitung abgedruckt hat.
Das BKA stellt darin fest, dass es immer mehr Angriffe auf PCs gibt und immer mehr Rechner in Deutschland von Schadprogrammen infiziert sind. Ob es wirklich eine Million Rechner alleine in Deutschland sind, weiß ich nicht. Davon 350.000, die von Kriminellen ferngesteuert werden.
Und? Was nun, Herr Ziercke? Mehr Online-Durchsuchungen? Mehr Hausdurchsuchungen? Mehr Internet-Sperren und mehr Zensur?
Kein Konzept, keine Ideen, keine Ahnung und keine Kompetenz. Aber die Klappe weit aufreißen.
Ich habe aus gegebenem Anlass heute die Übersichtsseite Hackingtools ein wenig erweitert. Zwar steht immer noch lange nicht so viel drin, wie ich gerne hätte aber so ganz langsam dürfte das was werden. Für Tipps, Ideen und Programme bin ich immer aufgeschlossen.
Sehr lustig …
(von hier, danke Valentin)
28. März 2009
Oh mein Gott. Ich sollte im Hotel nicht fernsehen.
Es gibt tatsächlich einen „Wireless PC Lock“. Das Ding besteht aus einem USB-Stick und einem Taster, die schnurlos, also per Funk miteinander kommunizieren. Den USB-Stick muss man einstecken, eine Software installieren und dann kann man per Knopfdruck den PC sperren. Für nur etwa 30 Euro inkl. Versand. Wie dumm ist das denn?
Sehr schön ist auch die Kritik auf Ciao dazu. Ich zitiere mal ein paar Schmankerl:
- „Durch drücken der altbekannten Affengriff-Kombi STRG + ALT + ENTF ist es mit ein bisschen Geduld kein Problem den Taskmanager zu starten und in den Vordergrund zu holen. Darüber lässt sich die gesamte PC Lock Software mit wenigen Mausklicks lahm legen und der Rechner ist ungeschützt.“
- „Immer mehr Grafikkarten unterstützen sog. Dual-Monitor-Systeme, sprich man kann mit einer Grafikkarte mehrere Desktops auf mehreren Bildschirmen ansprechen. Wird nun an so einem System das PC Lock aktiv, wird nur der Hauptbildschirm mit der Maske gesperrt, die anderen sind jedoch uneingeschränkt zugänglich und der Schutz ist gleich Null.“
- „Ich für meinen Teil verzichte gerne wieder auf den Stick und bediene mit der einfachen Windows Funktion Windowstaste + L. Damit wird das System mindestens genau so gut ohne weiteren Schnickschnack gesperrt.“
Argl. Danke für die Kaufwarnung. 😉
27. März 2009
Google Checkout
Ich zitiere mal den entscheidenden Absatz:
- they did not try to contact us to resolve any issue
- there’s no way to find out why they closed our account, due to „security reasons“
- there was no notice (we found out by accident, when we tried to pay for something with Google Checkout)
- they kept over $200 of our money
- there is no appeal
- there is no one we can contact
- we cannot open a new account
- our money is gone, even though people have received their products
Ich kann mir kaum vorstellen, dass das in Deutschland legal ist. Aber ich könnte wetten, Google findet wie Ebay/Paypal den Trick, die Geschäfte von außerhalb der EU durchzuführen.
Mir ist aufgefallen, dass es immer mal wieder Exploits z.B. auf Securityfocus oder Milw0rm gibt, die als Metasploit Modul geschrieben sind. Sowohl alte Perl Module, z.B.
aber auch viele neue in Ruby, z.B.
Nur scheint es weder ein zentrales Repository für die diversen Module zu geben, noch werden sie bei Metasploit aufgeführt. Oder sehe ich das falsch?
Kennt jemand ein Verzeichnis der diversen von dritten erstellen Metasploit Module? Wenn nicht, würde ich eines anlegen und pflegen, wenn mich auch ein paar andere mit Links zu Module versorgen würden.
