|
Aktuelles (IT-Blog von Thomas Murr)
Gästebuch-PHP-Script in Version 1.8. veröffentlicht (14.01.2012)
Das Bewertungs- und Gästebuch-PHP-Script “Gästebuch-KOMPLETT” wurde aktualisiert und liegt nun in Version 1.8 vor, siehe Beschreibung der Features. Bisherige Lizenznehmer können sich über die Update-Check-Funktion im Backend eine Datenbank-Aktualisierungs-Script herunterladen, um eine bestehende Gästebuch-Installation, ohne den Verlust von Einträgen oder Einstellungen, einfach und schnell auf den neuesten Stand zu bringen.
Microsoft-Patchday: 7 wichtige Updates (11.01.2012)
Acht Sicherheitslücken werden durch die sieben Windows-Patches geschlossen (siehe Microsoft Security Bulletin Summary für Januar 2012) . U.a. wurde endlich die Schwachstelle im Protokoll SSL3.0 bzw. TLS1.0 des Internet Explorer beseitigt, die es ermöglichte, verschlüsselte Cookies zu stehlen und zu entschlüsseln, um diese für Logins auf Webportalen zu missbrauchen (die Angriffsmethode ist bekannt unter dem Namen BEAST = Browser Exploit Against SSL/TLS). Ferner wurden weitere kritische Lücken (zu Windows Media, dem Windows Packager und Windows Object Manager) geschlossen, die sich dazu eignen, Schadcode über manipulierte Dateien in ein System einzuschleusen und auszuführen!
Die von Microsoft zur Verfügung gestellten Updates sollten deshalb zeitnah installiert werden.
WPS bei wireless Routern/AccessPoints sicherheitsanfällig (03.01.2012)
Mit WPS (WiFi Protected Setup) ist es möglich, ein WLAN-Gerät einfach in ein verschlüsseltes, kabelloses Netzwerk einzubinden. Dazu wird i.d.R. über ein Knopfdruck am Router bzw. Accesspoint eine PIN generiert (oder schlimmer: eine statisch vorgegebene PIN), dessen Eingabe am einzubindenden Gerät dann den eigentlich sicheren PSK (Pre Shared Key) des Verschlüsselungsverfahrens (z.B. WPA2 über AES oder WPA mit TKIP) und die SSID (Shared System ID) übermittelt/einrichtet.
Und genau hier liegt das Problem: Während ein PSK (WPA-Passwort) bis zu 63 Stellen lang sein kann und sollte, besteht die WPS-PIN meist nur aus 4-8 Stellen, wobei die letzte Stelle auch noch eine Prüfsumme aus den vorgehenden ist. D.h. ein Brute-Force-Angriff von aussen ist vielversprechend, da ansonsten keine Authentifizierung erforderlich ist.
Fazit: WPS sollte auf Routern, die dieses Setup-Verfahren unterstützen, unbedingt deaktiviert werden (denn sonst ist das eigentlich sichere Verschlüsselungsverfahren umgehbar und somit sinnlos)! Die Aufnahme eines neuen kabellosen Teilnehmers hat auf die herkömmliche Art und Weise zu erfolgen, nämlich ausschliesslich durch die Eingabe des (hoffentlich 63 stelligen) WPA(2)-Kennworts (PSK).
Sehen Sie hier Tipps zur Absicherung eines WLAN-Netzwerks.
Lauschige Weihnachten und ein virenfreies Jahr 2012 (23.12.2011)
440.783 stille SMS durch Behörden in 2010 versandt (14.12.2011)
“Stille SM[S]” (Silent Messages oder auch Stealth Short Messages) werden weder über das Display des empfangenden Geräts (Handy, Smartphone u.s.w.) angezeigt noch ertönt ein akustisches Signal beim Eingang. Dennoch erzwingt sie Verbindungsdaten beim Mobilfunkanbieter (z.B. Nutzeridentifikation sowie Verbindung zur nächstgelegenen Funkzelle), die dann zur Erstellung eines Bewegungsprofils verwendet werden können.
So wurden im Jahre 2010 vom Bundesamt für Verfassungsschutz, Zollkriminalamt sowie Bundeskriminalamt 440.783 solcher versteckten Kurzmitteilungen an “Verdächtige” geschickt. Im ersten Halbjahr 2011 wurden alleine 227.587 solcher Ortungswanzen von Fahndungsbehörden des Zoll versendet (dies entspricht der Gesamtanzahl des Vorjahres). Seit 2006 sind das 1,7 Millionen Ortungsabfragen. Und dies sind nur die öffentlichen Zahlen, siehe Quelle: Antwort des Bundesinnenministeriums an den Bundestagsabgeordneten Andrej Hunko als PDF-Datei.
Nähere Infos zum technischen und rechtlichen Hintergrund finden Sie im Artikel von Matthias Monroy.
Microsoft-Weihnachts-Patchday: 13 wichtige Updates (14.12.2011)
Der Patch, der lange auf sich warten lies, ist nun da: die Beseitigung des Windows-Kernel-Fehlers bzgl. der Behandlung von True-Type-Schriftarten, welcher bereits u.a. durch den Duqu-Wurm ausgenutzt wurde (siehe MS11-087).
Auch wurde das kritische Leck in der Speicherverwaltung des Media-Player gestopft (siehe MS11-092).
Insgesamt handelt es sich um 13 Patches, welche von Windows-Anwendern zügig installiert werden sollten.
Formular-Generator (PHP) in Version 1.7.1 veröffentlicht (01.11.2011 | 20:16 Uhr)
 Der Formular-Generator ist ab heute in Version 1.7.1 verfügbar. Es wurden gegenüber Version 1.7 folgende Änderungen vorgenommen:
- bei der automatischen Installation der Demo-Version wird ein weiteres Beispielformular installiert (insgesamt zwei unterschiedliche Formulare), um die Möglichkeiten besser zu veranschaulichen
- Bug beseitigt (betrifft nur V1.7): beim letzten Update hatte sich aufgrund prozedualer Veränderungen gegenüber V. 1.6.x der Fehler eingeschlichen, dass die Captcha-Bildfarben nicht für ein weiteres (neues Formular) korrekt übernommen wurden
- verbesserte Funktionalitäten im Backend zur noch schnelleren Bedienung
- neuer Feldtyp “Hinweis” kann eingefügt werden, um beispielsweise einen erklärenden Text zu einer Eingabe hinzuzufügen, siehe Screenshot Beispielformular (dort Hinweistext bei Abfrage “Interessiert an:”)
Aus dem Script-Backend kann die Updatefunktion zum Download der - für Lizenznehmer - kostenlosen Upgrade- Edition genutzt werden. Die Upgrade-Edition aktualisiert eine bestehende Installation, ohne den Verlust bisheriger Einstellungen. Lizenznehmer werden per Newsletter (sofern bei Bestellung aktiviert) automatisch über das Vorliegen der neuen Version benachrichtigt.
Angriffe AUS der Cloud (25.10.2011 | 11:05 Uhr)
Nutzer cloudbasierter Dienste setzen sich unkalkulierbaren Risiken aus, das ist nichts neues. Neu ist vielmehr, dass auch Angreifer immer öfter auf das Cloud-Computing zurückgreifen - anstatt wie bisher über Botnetze zu agieren.
Es geht dabei nicht nur darum Daten zu stehlen, die in der Cloud gespeichert sind, sondern es wird die - kurzfristig gemietete - gebündelte Rechenleistung z.B. für ein Angriff auf ein verschlüsseltes WLAN-Netzwerk verwendet. Die Zeit für das Knacken eines Passworts verkürzt sich dadurch immens (was früher Jahre gedauert hat, ist so in ein paar Tagen oder gar Stunden erledigt). Es sind Millionen von Abfragen in der Sekunde möglich.
Die Angreifer auf Sonys Playstation-Netzwerk im Jahre 2010 nutzten den Clouddienst “EC2” von Amazon. Dieser eignet sich im besonderen für Passwort-Angriffe, weil von Amazon schnelle Grafikarten-Prozessoren eingesetzt werden. Die Bündelung von 100 oder mehr solcher Prozessoren verhalf den Crackern zu zügigem Erfolg.
Die Verschleierung der Identität des Angreifers wird in der Cloud leicht gemacht, z.B. über die Anmeldung per gestohlener Kreditkarte. Ferner wird der Speicheranteil auf dem physischen Server einer meist virtuellen Maschine (für die Steuerung des Dienstes) schnell von einem folgenden “Cloud-Mieter” überschrieben. Der Kriminelle hat sich dann sozusagen in der Wolke in Luft aufgelöst...
Der Angreifer sitzt beispielsweise in Deutschland und greift ein Ziel wiederum in Deutschland über einen Cloud-Dienst an, der im Ausland (z.B. USA) ansässig ist. Um als Opfer dagegen juristisch vorzugehen, bedeutet viele rechtliche Hürden zu überwinden, denn erst einmal gilt ausländisches Recht. Kommt es überhaupt zu einer Herausgabe von Daten, wird davon nichts mehr übrig sein...
Ein paar Zitate zum Staatstrojaner (23.10.2011 | 14:20 Uhr)
Bayerns Innenminister Joachim Herrmann (CSU) zur CCC-Veröffentlichung des Staatstrojaners: “Die Fachleute vom Landeskriminalamt sagen, die von ihnen eingesetzte Software konnte genau nur das, was der Richter angeordnet hat” An Herrn Herrmann: Entweder es handelt sich um “Fachleute” mit rudimentären Kenntnissen oder Sie lügen. Gerne verlinke ich hier noch einmal die [PDF]-Analyse vom CCC (übrigens Fachleute!).
Bundesinnenminister Friedrich (CSU): “Wir brauchen diese Nachladefunktion, um uns den normalen Updates auf dem Zielcomputeranpassen zu können... ...die Landesbehörden haben völlig zurecht darauf hingewiesen, dass sie die Grenzen dessen, was rechtlich zulässig ist, nicht überschritten haben” An Herrn Friedrich: Das Bundesverfassungsgericht untersagte den Einsatz einer Nachladefunktion, schon wieder vergessen?
Hans-Peter Uhl (innenpolitischer Sprecher der CDU/CSU): “Wir haben die Ministerin immer wieder darauf hingewiesen, dass die Ermittler beim Einsatz von Spionagesoftware in Strafverfahren in einer gesetzlichen Grauzone arbeiten” An Herrn Uhl: Dies kann keine Rechtfertigung illegaler Einsätze mit illegaler Software sein, wohl eher ein Eingeständnis!
Weitere Politikerzitate (gesammelt seit 2008), die das Fachwissen unserer Regierenden zum Ausdruck bringt, finden Sie auf DIESER Seite.
Die Jagd ist eröffnet: Kaspersky meldet “neuen” 64-bit-Staatstrojaner (19.10.2011 | 09:20 Uhr)
Die Virenspezialisten bei Kaspersky veröffentlichten gestern den Fund des grösseren 64-bit-Bruders des vom CCC entdeckten Staatstrojaners, der deutlich mehr Applikationen belauschen kann und zudem ein gefälschtes Zertifikat mitbringt, um den Staats-Wanzen-Treiber auch auf einem Windows-7 installiert zu bekommen. Dazu müsste allerdings auch der Zertifikatsspeicher von Win-7 ausgehebelt werden, ob und wie das geschieht ist noch unklar.
Die Firma DigiTask hat bei der Programmierung gängige Rootkits und eigene Technik zum Einsatz gebracht. Die Trojanerbibliotheken werden dabei in die zu überwachenden Zielprozesse implentiert (z.B. in firefox.exe oder icqlite.exe), d.h. tauchen so nicht als eigene Prozesse auf (z.B. im Task-Manager).
Die Trojan-Dropper-Variante ist offensichtlich zum einen für die Drive-By-Download-Infektion vorgesehen, d.h. das Einfangen erfolgt über den Besuch von manipulierten Webseiten, und zum anderen für die klassische Troja-Variante, hier erfolgt die Installation durch den Anwender selbst, indem die Wanze in scheinbar vertrauenswürdigen Programmen enthalten ist. Im aktuellen Fall wurde der Trojaner in einer Installationsdatei namens scuinst.exe gefunden, die wiederum in ein anderes Installationsprogramm implementiert sein kann.
Aber natürlich ist auch eine manuelle Installation durch “Dritte” möglich (wie der bekannte Fall der Installation auf einem Notebook durch einen Zollbeamten bei einer “normalen” Kontrolle am Münchner Flughafen).
Wie kann man sich schützen? Siehe Angriffszenarien und Schutzmassnahmen.
Der Chaos Computer Club hatte bereits Kenntnis von dieser Variante der staatlichen Schnüffelsoftware, hatte sich aber mit einer Veröffentlichung bisher zurückgehalten, da es keine konkreten Anhaltspunkte gibt, wo dieser Trojaner eingesetzt wurde. Sicherheitsexperten ist die 64-bit-Version seit Dezember 2010 bekannt, weil die Schadsoftware seit diesem Zeitpunkt mehrfach von Unbekannten auf virustotal.com (eine Art Meldezentrale für Malware) hochgeladen wurde. Es stellt sich nun die Frage, wer Zugang zum aufgebohrten 64-bit-Äquivalent des nachweislich bereits eingesetzten 32-bit-Staatstrojaners hatte, entweder der Zuspieler aus dem Beauftrager- oder Hersteller-Lager oder ein oder mehrere Opfer (dann hätten wir einen erneuten, vorsätzlichen Verfassungsbruch), ...warten wir´s ab.
Möglicherweise handelt es sich bei der “neuen” Wanzenversion um die “BKA-Edition” des eingesetzten Trojaners. Jedenfalls kommt jetzt “so langsam” einiges zusammen...
Die Jagd ist eröffnet!
<update 26.10.2011> siehe Artikel “Chaos Computerclub analysiert aktuelle Version des Staatstrojaners” siehe ausführliche technische Analyse OZAPFTIS - Teil2 (PDF-Datei) </update>
INDECT - Der Orwellsche europäische Plan einer Menschen-Suchmaschine (14.10.2011 | 18:15 Uhr)
INDECT (Intelligent information system supporting observation, searching and detection for security of citizens in urban environment) ist ein EU-Projekt, welches bekannte Überwachungstechnik in EINEM Überwachungsinstrument vereinen soll, d.h.:
- Komplett-Überwachung des Internets: Erkennen von “abnormalem” Verhalten und Verknüpfung von Beziehungen zwischen Personen in Online-Foren, Chats, sozialen Netzwerken u.s.w. mittels automatischer Suchroutinen und Gesichtserkennung von Personen (z.B. über Abgleich mit dem Personalausweis-Foto) und Ortung (CBIR = Content Based Image Retrival) in Bildern. Kurz: Wer ist wer, wer mit wem, wo und warum...
Moderne Computerlinguistik sorgt dafür, dass der Kontext der Internet-Unterhaltungen und -Blogs sprachübergreifend einer Person zugeordnet werden kann, d.h. anhand von Formulierungsmustern ist eine Personenidentifizierung möglich (ähnlich der eigenen Handschrift). Mit solchen Techniken wird beispielsweise ein Forummitglied mit Nickname “XYZ” als die gleiche Person mit ganz anderem Nickname wie z.B. “ABC” in einem sozialen Netzwerk wie z.B. Facebook erkannt. Auch kann mit moderner Programmierung auf Webseiten bereits der Tastaturanschlag in Echtzeit ausgelesen werden (ohne, dass etwas “abgesendet” werden muss), d.h. anhand gewisser sich wiederholender individueller Tippeigenarten entlarvt sich der Anwender.
- Beobachtung von “verdächtigen” beweglichen “Objekten” und “Subjekten” (der Mensch) in Städten
und Gemeinden über Kameras und Überwachungsdrohnen (sog. unbemannte fliegende Fahrzeuge) wie etwa Quadrocopter, die digital und autonom vernetzt sind. Ebenso kommt auch hier die Gesichtserkennung zum Einsatz. ”Abnormales” bzw. “verdächtiges” Verhalten wird u.a. wie folgt definiert und führt quasi zur automatisierten Beobachtung jedermanns:
- auf der Strasse rennen oder zu schnell fahren
- im öffentlichen Nahverkehr auf dem Fussboden zu sitzen, zu lange (Zeitraum X) zu sitzen oder das Gepäck zu vergessen
- im öffentlichen Raum das Treffen mehrerer (x) Personen oder das Sitzen über einen Zeitraum X sowie das Schreien
- Bewegung in eine “falsche” Richtung (UNERWARTETES VERHALTEN), was auch immer damit gemeint ist
- ...
- Handy-/Smartphone-Ortung über GPS oder GSM - eine der leichtesten Übungen
- Telekommunikationsüberwachung mittels Trojanern und Vorratsdatenspeicherung wie bereits im Einsatz
Die Unschuldsvermutung oder die Erfordernis einer richterlichen Verfügung werden somit aufgegeben, man will offensichtlich vor dem Täter am Tatort sein - es wäre der vollendete Polizeistaat mit Vollüberwachung des gläsernen Bürger! Sozusagen eine MENSCHEN-SUCH- und Überwachungs-MASCHINE. INDECT wird über uns wissen, wo wir uns gerade aufhalten, warum wir dort sind und was der nächster Schritt sein wird. Das System wird unser soziales Umfeld (Freunde, Bekannte, Geschäftskollegen...) kennen, wissen wo wir arbeiten, was unsere Hobbys, Vorlieben und Abneigungen sind...
Wie kann es sein, dass der deutsche Staat ein solches Projekt mit Steuergeldern mitfinanziert, obwohl dieses klar mit deutschem Datenschutz- und Verfassungsrecht in Konflikt steht? Wie kann es vor diesem Hintergrund sein, dass das Bundeskriminalamt (BKA) in dieses Projekt involviert ist?
Bereits im kommenden Jahr (2012) soll INDECT im Rahmen eines Feldversuchs getestet werden (u.a. bei der Fussball-EM sowie bei den Olympischen Spielen) und im Jahr 2013 zum realen Einsatz bereit sein. Keine Science Fiction, sondern sehr beängstigende Realität!
Dennis Ritchie ist tot (13.10.2011 | 18:36 Uhr)
Er war einer der grössten! Wie erst heute bekannt wurde, ist Dennis Mac Alistair Ritchie am vergangenen Wochenende (08.10.2011) im Alter von 70 Jahren nach längerer Krankheit gestorben. Er schrieb und portierte zusammen mit Ken Thompson die erste Version von UNIX und konzipierte mit ihm und Brian W. Kernighan für UNIX die Programmiersprache C.
Ohne ihn gäbe es die Informationstechnologie, wie wir sie heute kennen NICHT, sprich er war über 40 Jahre am Stück einer der massgeblichen Wegbereiter für so ziemlich alles, was heute auf Computern läuft. Das freie Betriebssystem Linux aber auch Mac OS X basieren auf UNIX und wären ohne ihn nicht präsent. Kein MP3- Player, kein Handy oder Smartphone und nicht einmal eine moderne Wasch- maschine oder Kühlschrank kommen ohne die Programmiersprache C und dessen Nachfolger C++ aus. Die meisten Webserver im Internet basieren auf der Grundlage des Geschaffenen von Dennis Ritchie. Das ist der Grund, warum das obige Bild schon seit sehr vielen Jahren aus grossem Respekt und Verehrung in meinem Büro hängt...
Die Welt hat leider einen der genialsten Menschen verloren! Dennis Ritchie, ich danke Dir von Herzen!
Leichtes Spiel für Angreifer und Ermittler in der Cloud (12.10.2011 | 16:40 Uhr)
There is no place like localhost, was so viel heisst, nirgendwo sind sensible Daten besser aufgehoben als auf dem heimischen, lokalen Rechner! Denn hier kann man wenigstens etwas gegen Ausspähung und Datenklau tun (siehe Angriffszenarien und Schutzmassnahmen zum Bundestrojaner und anderweitig “Interessierte”).
Der aktuelle Trend geht jedoch zur Cloud, d.h. Daten werden auf Servern von Drittanbietern gespeichert, sei es auf sog. Onlinespeichern oder sozialen Netzwerken aber selbst eine Office-Software oder ganze Betriebssysteme können in cloud-basierten Diensten laufen (z.B. Google Chrome OS oder iCloud) und das fern und undurchsichtig, eben in der Computer-Wolke.
Der Anwender ist somit abhängig von der Sicherheitsstruktur des Online-Anbieters und diese lässt in den meisten Fällen sehr zu wünschen übrig (es geht ja nicht um die Daten des Anbieters, sondern “nur” um die des Kunden oder registrierten Benutzers. Vor allem - aber nicht nur - Gratisangebote sind diesbzgl. mit grosser Vorsicht zu “geniessen”). Wer letztendlich auf die dortigen Daten zugreift, kann vom Anwender selbst nicht überwacht werden. Ein wahres Paradies für den Anbieter selbst, Kriminelle, Geheimdienste und Ermittler. Letztere bräuchten nicht einmal einen Durchsuchungsbeschluss für den Delinquenten, sondern lediglich für den Online-Dienst, wenn dieser nicht sogar für eine Zusammenarbeit von sich aus bereit ist. Ausländische Anbieter unterliegen dabei keinen deutschen Gesetzen.
Deshalb halte ich die Cloud - man könnte diese auch mit “Careless Computing” (Leichtsinn im Umgang mit Daten) übersetzen - für eine sehr risikoreiche Angelegenheit und rate dringend davon ab!
Wie immer gilt: Besser Hirn 2.0 anstatt Web 2.0!
DigiTask und die Geschäfte mit dem Staat (11.10.2011 | 17:45 Uhr)
Die Firma “DigiTask GmbH-Gesellschaft für BESONDERE Telekommunikationssysteme” aus Hessen - das sind die Dilettanten (Zitat aus der CCC-Analyse: “Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze kein fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.”) des jetzt aufgedeckten Staatstrojaners - hat Millionen mit öffentlichen Aufträgen verdient:
- das Landeskriminalamt Baden-Württemberg beauftragte DigiTask im Dezember 2007, eine Software zur Telekommunikationsüberwachung zu liefern. Auftragsvolumen 1.200.000 Euro
- das Bayerische Landeskriminalamt beauftragte DigiTask im November 2008 mit der Erweiterung des Telekommunikationsüberwachungssoftware um ein Archivsystem in Höhe von 247.773 Euro
- die Bundesnetzagentur beauftragte DigiTask im Januar 2009 mit einem Funk- und Fernsprechüberwachungssystem in Höhe von rd. 660.000 Euro
- das Zollkriminalamt - wohl der treueste staatliche Kunde - vergab folgende, öffentlich bekannte Aufträge an DigiTask:
- in den Jahren 1994-1999 wurden für verschiedene Aufträge rd. 22.000.000 DM ausgegeben
- Erstellung einer Auswertungssoftware für TK-Überwachung über 551.112 Euro im März 2008
- TKÜ-Auswertungssoftware in Höhe von 208.750 Euro auch im Jahre 2008
- im Januar 2009 weitere TK-Überwachungssoftware über rd. 2.000.000 Euro
- auch 2009 Hardware- und Softwarepflege an stationären TK-Überwachungsanlagen über 693.672 Euro
- das BUNDESKRIMINALAMT bezahlte DigiTask 15.000 Euro für einen Schnüffeleinsatz über 3 Monate. Hier ist noch nicht klar, ob dies im Jahre 2008 war
In Summe macht das rd. 16.811.114 Euro, die der Steuerzahler für eine mögliche Überwachung seiner selbst berappen musste. Damit aber nicht genug: DigiTask scheint keine weisse Weste zu haben, denn im Jahre 2002 wurde der damalige Geschäftsführer und Firmeninhaber Hans Hermann Reuter vom Landgericht Köln zu 21 Monaten Bewährungsstrafe und einer Geldbusse in Höhe von 1,5 Millionen Euro verurteilt (das Unternehmen firmierte damals unter dem Namen “Reuter Leiterplatten GmbH” und benannte sich danach in “DigiTask GmbH - Gesellschaft für besondere Telekommunikationssysteme” um). Der Grund waren ausgerechnet jahrelange Bestechungen von Beamten im ZOLLKRIMINALAMT, um an die lukrativen Aufträge zu kommen (zum genannten Auftrags-Volumen über rd. 22 Mio DM zwischen 1994 und 1999). Und das Zollkriminalamt blieb in den darauffolgenden Jahren trotzdem Kunde - bravo, das stärkt das Vertrauen in staatliche Institutionen ungemein! Vielleicht wäre es mal an der Zeit, dem Zollkriminalamt einen Bundestrojaner unterzuschieben...
Vor dem Hintergrund einer qualitativ mehr als schlecht erbrachten Leistung seitens der DigiTask GmbH, der Verfassungswidrigkeit der, vom Staat in Auftrag gegebenen und erworbenen, Software (zumindest in Teilen) sowie der obskuren Vergangenheit des Unternehmens scheinen die Vorgänge - über die aktuellen Fragen zur Illegalität und moralischen Fragwürdigkeit der Wanzensoftware hinaus - auch ein Fall für den Bundesfinanzhof werden zu müssen! Einfach unglaublich, was in unserer (Bananen-)Republik so alles läuft!
Anmerkung: Nach Paragraph 202c StGB ist die Vorbereitung des Ausspähens und Abfangens von Daten sowie die Herstellung und der Gebrauch von Werkzeugen, die diesem Zweck dienlich sind, als Vorbereitung einer Straftat anzusehen und strafbar!
Zur Bundestrojaner-Artikelübersicht
Behörden-Trojaner: Die Staatsmacht darf nicht unterschätzt werden (11.10.2011 | 01:45 Uhr)
Wenngleich sichergestellt ist, dass der aktuell entdeckte staatliche Trojaner (er kam von der Fa. DigiTask aus Hessen) ein stümperhaftes Stück Programmierarbeit darstellt, stelle ich anheim, dass dies nur die Spitze vom Eisberg sein kann.
Die grossen Antiviren-Software-Hersteller wie Avira, Sophos und GData brüsten sich nun, den sog. Staatstrojaner zu erkennen und entfernen zu können. Das können Sie JETZT bei DIESEM Trojaner, nach Offenlegung des mittlerweile in die Jahre gekommenen Codes (der Trojaner ist immerhin seit 3 Jahren auf dem “Markt”!). Vor dem letzten Samstag (08.10.2011 19:00 Uhr --> Veröffentlichung seitens des CCC) war noch nicht die Rede davon...und in den letzten Jahren wurden ganz bestimmt weitere individuelle, massangefertigte Angriffsprogramme (in Form von illegalen Trojanern) vom Staat - sei es vom BKA oder von polizeilichen Landesbehörden (letztendlich ist das doch egal) - auf den Weg gebracht. Wir Bürger und die “Antivirenscanner” wissen nur nichts davon, denn es wird dem Chaos Computer Club (und da bin ich Mitglied) nicht täglich ein solches Fressen auf dem Silbertablett geliefert!
<Update 12.10.2011>Meine eigenen Tests ergaben, dass die kleinste Modifikation (ohne die Funktionen an sich zu beeinträchtigen) des aktuell vorliegenden Staatstrojaners ausreichte, um von keinem gängigen Virenscanner entdeckt zu werden (auch nicht im heuristischen Verhalten)! Lediglich in der Installationsroutine würden diese jetzt wohl angeschlagen (kann man im nachhinein leider nicht sinnvoll testen), was aber bei einer manuellen Installation, wie im vorliegenden Fall durch den Zoll, leicht umgangen werden könnte, indem der “Installateur” die Softwarewanze in die Ausnahmeliste der Antivirensoftware einträgt.</update>
Ich bin absolut davon überzeugt, dass staatliche Ermittler - auch wenn Sie nicht selbst das Zeug dazu haben (auch darüber bin ich mir ziemlich sicher :-) - auf ausgefeiltere Technik zurückgreifen können, indem Softwarefirmen (neben den DigiTask-Anfängern) beauftragt wurden und werden, entsprechende “Soft”Ware herzustellen oder gar (Zero-Day-)Exploits mit Steuergeldern auf dem illegalen Malware-Markt erworben und finanziert werden. Das Vertrauen kann den Ermittlungsbehörden nicht mehr zu- bzw. ausgesprochen werden, wenn diese sich nicht anders verhalten als “gewöhnliche” Kriminelle!
Die Dementi seitens des Innenministeriums, das BKA hätte mit den aktuellen verfassungswidrigen Vorgängen nichts zu tun, beruhigen mich da keineswegs - ganz im Gegenteil kamen diese viel zu schnell, d.h. es kann keine gründliche Untersuchung vorausgegangen sein (zumal mind. ein Staatstrojaner vom Zoll installiert wurde [sicherlich kommt da noch mehr heraus]). Auch mindert die Tatsache, dass (Stand heute) verschiedene Sicherheitsbehörden der Länder (wie Bayern) das Debakel zu verantworten haben, die Tragweite des Geschehens nicht im geringsten.
Als Computer-Forensiker (das ist Teil meiner täglichen Arbeit) sehe ich, was an wirklich perfekter Malware auf dem “Markt” ist und das ist sehr beängstigend (siehe Beispiel einer Infizierung). Deshalb möchte ich darauf hinweisen, dass der Computersicherheit höchste Bedeutung zukommen muss und Firmen wie Vereine sowie private Anwender nicht zu bequem sein dürfen, sich zuverlässig zu schützen. Sehen Sie dazu die möglichen Bundestrojaner- Angriffszenarien und Schutzmassnahmen! Im Auto schnallen sich die meisten an, die Haustüren werden abgeschlossen, die Rolläden nachts heruntergelassen, also warum nicht auch den Rechner sicher machen? Zumindest tun das gaaanz bestimmt die einschlägigen Kriminellen, weshalb nur der arglose - dann gläserne Bürger - für eine staatliche oder anderweitige erfolgreiche Spionageaktion in Frage kommt.
Staatstrojaner wurde vom Chaos Computer Club analysiert: Entsetzen macht sich breit (08.10.2011 | 19:45 Uhr)
Zitat des heute (08.10.2011 | 19:00 Uhr MESZ) veröffentlichten Artikels beim Chaos Computer Club zur eingehenden Analyse staatlicher Spionage-Software: "...Wir waren überrascht und vor allem entsetzt, daß diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt. Es ist für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen. Das Sicherheitsniveau dieses Trojaners ist nicht besser, als würde er auf allen infizierten Rechnern die Paßwörter auf '1234' setzen.....Unsere Untersuchung offenbart wieder einmal, dass die Ermittlungsbehörden nicht vor einer eklatanten Überschreitung des rechtlichen Rahmens zurückschrecken, wenn ihnen niemand auf die Finger schaut. Hier wurden heimlich Funktionen eingebaut, die einen klaren Rechtsbruch bedeuten...” Lesen Sie HIER den ganzen Artikel und HIER den ausführlichen Bericht zur Analyse (PDF-Datei). Das Bundesinnenministerium wurde rechtzeitig vom CCC vor dieser Veröffentlichung informiert, um von der Selbstzerstörungsfunktion des Schnüffeltrojaners Gebrauch zu machen zu können :-|
<Update 09.10.2011 | 11:45 Uhr> Der analysierte Code wurde u.a. auf Festplatten von Landesermittlungsbehörden sowie auf einem Notebook eines Betroffenen (installiert von Zollbehörden bei einer “normalen” Kontrolle auf dem Münchner Flughafen) gefunden und dem CCC zugespielt. </update>
<Update Nr. 2 vom 09.10.2011 | 14:10 Uhr> Das Bundesinnenministerium bestreitet die BKA-Urheberschaft des vom CCC analysierten “Bundestrojaners” mit dem Hinweis, die zuständigen Justiz- und Sicherheitsbehörden des Bundes und der Länder seien jeweils eigenständig für die Einhaltung technischer und rechtlicher Vorgaben verantwortlich. Was für ein GROSSER Unterschied... Zum Wahrheitsgehalt der Behauptung: Ich erinnere mich an die Aussage unseres damaligen Innenministers “Schäuble”, er hätte keine 100.000 DM von Herrn Schreiber erhalten, was sich letztendlich als Lüge herausstellte.......warten wir´s ab! BKA-Chef Ziercke sitzt - neben anderen - aktuell auf einem heissen Stuhl. Die Sache wird in jedem Fall aufgeklärt werden müssen. Und wer den verfassungswidrigen “Bundestrojaner” letztendlich zu verantworten hat, ändert nichts an der Tatsache, dass er da ist (Tendenz zur Bananenrepublik sind vorhanden). </update>
<Update Nr. 3 vom 12.10.2011 | 19:30 Uhr> Zitat Joachim Hermann (CDU, Bayerns Innenminister) zur aktuellen Lage der Aufdeckung: “Verstöße kann ich keine erkennen.” Mein Kommentar: Ein Blinder wird immer glaubhaft versichern können, nichts gesehen zu haben. </update>
Weitere Beiträge auf unserer Seite zum Thema O’zapft is!:
Umzug zu anderem Webhoster steht an - “1und1” ist für uns nicht mehr tragbar (29.09.2011)
Aufgrund vieler technischer Schwierigkeiten, hundsmiserablem Support und nicht vorhandener Informationspolitik bei der Firma “1und1” (oder besser “1minus1”) haben wir uns entschlossen, unseren Server zu einem anderen Webhoster umzuziehen und aus diesen Gründen die Kündigung in die Wege geleitet. In der nächsten Zeit kann es deshalb zu Einschränkungen im Betrieb unserer Domains kommen. Genaue Termine werden wir noch bekanntgeben.
<UPDATE 04.10.2011>Der Umzug findet in der KW 40/41 statt.</update> <UPDATE 12.10.2011>Der Umzug wurde durchgezogen, d.h. 1und1 ist Geschichte.</update>
Auch werden wir unseren Kunden, welche Ihre Domains durch Bauser-Enterprises IT bei 1und1 pflegen lassen, nahelegen, es uns nachzumachen und die Konsequenzen zu ziehen.
Obwohl der Wechsel sehr, sehr viel Arbeit mit sich bringen wird, halten wir diesen Schritt für notwendig, um die gewohnte Qualität halten zu können!
@Marcell D’Avis (aktueller Leiter der Kundenunzufriedenheit bei 1und1): Ihr vollmundiger Spruch “Nur wenn SIE ZUFRIEDEN sind, sind wir es auch” scheint nicht mehr zu sein als Hohn und Spott...deshalb bye bye...
Formular-Generator in Version 1.7 veröffentlicht (28.09.2011)
Das PHP-Programm bietet in der neuen Version die Übernahme von Empfängern sowie Felder-Einstellungen von einem bestehenden Formular für ein neues Formular (wie bisher auch für die sonstigen Einstellungen). So kann man sich beispielsweise eine Vorlage erstellen, aus der dann ein neues Formular generiert wird und muss nur noch wenige Anpassungen tätigen. Somit ist man noch schneller am Ziel.
Ferner können alle generierten Formulare bequem über die Menüleiste im Backend aufgerufen werden, um sofort das Resultat bei einer Änderung begutachten zu können.
Siehe Beschreibung, Screenshots und Download Demoversion.
Erhebliche Ausfälle beim Webhoster “1und1” (27.09.2011)
Gestern [26.09.2011] kam es zu immensen Problemen beim Webhoster 1und1, von denen auch unser Server über mehrere Stunden betroffen war, d.h. unser Scriptshop funktionierte u.a. teilweise gar nicht oder nur mit sehr langen Wartezeiten. Wenngleich wir das Problem nicht zu verantworten haben, bitten wir dies zu entschuldigen.
Formular-Generator-PHP-Script fertiggestellt (18.09.2011)
 Aus der Weiterentwicklung des Kontaktformulars (siehe Beitrag vom 29.08.2011) wurde ein Formular-Generator, der heute veröffentlicht wurde.
D.h. das Script ist nicht beschränkt auf ein Kontaktformular, sondern es können beliebig viele, individuelle Website-Formulare - unter Berücksichtigung aller Sicherheitsaspekte - erstellt werden.
Siehe Beschreibung, Screenshots und Download Demoversion.
Formmailer-Script wird weiterentwickelt (29.08.2011)
Das beliebte Formailer-Script (Kontaktformular) wird auf MySQL-Basis als dynamischer Formular-Generator weiter- bzw. neu entwickelt (die alte textbasierende Version bleibt erhalten!).
Es werden in der neuen Version beliebig viele individuelle Formulare mit beliebig vielen Feldern (Checkbox, Radiobuttons, Selectfelder, Text und Textareafelder u.s.w.) erstellt werden können. Der Versand wird an beliebig viele Empfänger (für jedes Formular getrennt) möglich sein.
Das Backend wird darüber hinaus eine Historie der erhaltenen Mitteilungen enthalten. Auch können die Feldbezeichnungen direkt bearbeitet werden (und nicht wie bisher über das Editieren einer Sprachdatei) sowie die Felder-Positionen nachträglich geändert werden; die Kalenderfunktion für Termine kann mehrfach verwendet werden (z.B. für die Abfrage einer Anreise/Abreise) u.v.m..
Mit der Veröffentlichung ist Ende September 2011 zu rechnen. Screenshots und weitere Details folgen...
ToDo&Report-Script eingestampft (29.08.2011)
Das Groupware-Programm “ToDo&Report” wird nicht mehr weiterentwickelt und wurde deshalb aus unserem Shop-Portfolio genommen, d.h. der Vetrieb dazu eingestellt. Der Supportaufwand in Verständnisfragen - zur nicht gerade trivialen Thematik des Scripts - war leider zu hoch. Schade.
Neues Glossar-Wörterbuch-PHP-Script veröffentlicht (08.05.2011)
 Das Glossar-Wörterbuch-System ist ein PHP-Script, welches es ermöglicht, ein Glossar und/oder Wörterbuch (oder Listen aller Art mit bis zu 4 Spalten) auf einer Website zu veröffentlichen. Wer möchte, kann seine Besucher auch daran teilhaben lassen, indem er diesen eine Eintragmöglichkeit bietet, um die Sammlung zu erweitern. Dabei entscheidet der Admin, ob Neueinträge von aussen seiner Freigabe bedürfen oder sofort erscheinen sollen. Aus einem Backend können bis zu ZEHN verschiedene Konfigurationen veröffentlicht und in einem Frontend (mit Auswahlmöglichkeit der Tabellen) angezeigt oder jede Tabelle für sich publiziert werden.
zum Archiv27 (21.04.2010-30.03.2011)
|