62 Antworten in diesem Thema

[simifilm]

SF-Toni schrieb am 20 Okt 2013 - 12:48:

Ich gebs auf :-D

Also kein Beleg für die Behauptung. Danke. Mehr wollte ich nicht wissen.

EDIT: Wie's der Zufall will, hat Ars Technica dieses Wochenende einen Artikel veröffentlicht, in dem die zentralen Erkenntnisse der Snowden-Affäre zusammengefasst werden. Da ist viel vom "Abhören" von Datenströmen und Zugriff auf Daten von Internet-Firmen die Rede, aber rein gar nichts vom Eindringen in beliebige Computer …

Bearbeitet von simifilm, 20 Oktober 2013 - 14:32.

[SF-Toni]

Ich wollte nur auf ein wichtiges Thema aufmerksam machen. Die Freiheit, für die Millionen gestorben sind. Halten wir sie hoch!

Ich wünsche Euch frohe Weihnacht und ein gutes neues Jahr! Vielleicht nächstes Jahr wieder ein Posting

Was würden die Dinos dazu sagen?

[Ming der Grausame]

simifilm schrieb am 20 Okt 2013 - 12:40:

Gib mir halbwegs konkrete Hinweise darauf, dass es in den gängigen Betriebssystemen Backdoors gibt, die ohne weitere Manipulation und lediglich durch Kenntnis der IP-Adresse Zugriff auf einen Computer ermöglichen.

Kann er nicht, weil es sie so nicht gibt. Die Welt ist nämlich doch eine Kleinlichkeit komplexer, als so manch ein Übersimplifizierer bereit ist anzuerkennen. Und würde SF-Toni diesen und diesen Thread verfolgen und verstehen, dann wüsste er es.

[yiyippeeyippeeyay]

Aus dem 1. von Ming zitierten Thread, einem Ming-Link dort in den letzten 10 Beiträgen folgend, bin ich nach weiterem Geklicke auf einen ca. 6 Wochen alten Bruce-Schneier-Artikel bei Heise.de gestoßen, der die Quelle sein könnte für Tonis "Fakt"-Absatz-Aussage aus Post #12 hier im Thread (sorry, Toni, die von dir angegebenen Quellen waren entweder einfache Behauptungen oder befassten sich mit anderen Themen - z.B. Zugang der Geheimdienste zu großunternehmerischen Datenbanken). Aber auch der Heise-Artikel berichtet nur Schneiers Aussagen, ohne konkrete Details welche Hintertüren wo drin sind. Schneiers Empfehlungen bezüglich lieber Linux als MacOS/Windows, und TrueCrypt, bin ich persönlich gerade eh dabei umzusetzen...

@Ming: Ich halte SF-Toni nicht für einen Übersimplifizierer, was du leider andeutest. Bei den Berichten über diesen Überwachungsskandal, ausgelöst von Snowdens mutigem Schritt, werden wieder viele Ängste geschürt; seit mindestens 7 Jahren ist das m.E. die Masche mit der insbes. Print-Medien gnadenlos ihre sinkende Auflage verbessern wollen. Hollywood bedankt sich ja auch inzwischen mit vielen wunderbar fast-dokumentarischen Filmen übers Ende der Welt...

P.S. @simifilm: Danke für den AT-Artikel - lesenswerte Zusammenfassung!

[Ming der Grausame]

yiyippeeyippeeyay schrieb am 21 Okt 2013 - 07:41:

Schneiers Empfehlungen bezüglich lieber Linux als MacOS/Windows, und TrueCrypt, bin ich persönlich gerade eh dabei umzusetzen...

Weder Linux, noch sonst ein Betriebssystem, schützt dich davor, dass die Backbones direkt abgegriffen werden, wodurch alle Verbindungs- bzw. Verkehrsdaten (verniedlichend: Meta-Daten) den Geheimdiensten und damit dem Staat unmittelbar zugänglich werden. Auch schützt dich ein Linux-Desktopsystem nicht davor, dass deine Online-Dienste, die übrigens überwiegend auf Linux- oder BSD-Systeme basieren, infiltriert und damit kompromittiert werden. Ebenso wenig schützt dich Linux davor, dass grundlegende Standards so manipuliert werden, dass sie angreifbar werden. Und Linux schützt dich erst recht nicht, dass Geheimdienste umfassend deine soziale Beziehungen analysieren, um dich aus ihrer Sicht erschöpfend zu charakterisieren und einzuordnen.

Und nein, einfache oder gar grundsätzliche Lösungen für obige Probleme existieren nicht. Von daher lag SF-Toni schlicht prinzipiell falsch.

//Edit: Da fehlte ein und.

Bearbeitet von Ming der Grausame, 21 Oktober 2013 - 10:24.

[yiyippeeyippeeyay]

Falsch liegen ist OK; geschieht gerüchteweise ja auch gelegentlich dir. Ich habe die Linux-Wahl nur deswegen thematisiert, weil es in meinen letzten Posts vor allem um die Hintertüren-Geschichte ging, weil Toni ja meinte, das sei "Fakt". (Übersehen?) Welche Wege man im WWW nimmt, und wie verschlüsselt, ist jedem natürlich selber überlassen, und sicherlich keine Frage des Betriebssystems oder der verschlüsselten Festplattenablage, d'accord.

[Ming der Grausame]

Alleine der Linux-Kernel hat über 15 Millionen Code-Zeilen, dort eine Hintertür zu verstecken ist kein Hexenwerk – im Zweifelsfall, indem man, mit ein paar zusammengesuchten Codefragmenten aus Standardbibliotheken, es sich on-the-fly zusammenstückelt. Oder hast du die 15 Millionen Code-Zeilen selbst überprüft und selbst kompiliert? Falls nein: Dann ist dein System ebenso vermeintlich sicher, wie ein kommerzieller. Wer sagt dir, dass die Distribution nicht kompromittiert wurde?

Bearbeitet von Ming der Grausame, 21 Oktober 2013 - 09:54.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 08:49:

Alleine der Linux-Kernel hat über 15 Millionen Code-Zeilen, dort eine Hintertür zu verstecken ist kein Hexenwerk – im Zweifelsfall, indem man, mit ein paar zusammengesuchten Codefragmenten aus Standardbibliotheken, es sich on-the-fly zusammenstückelt.

Gerade jene Stellen, an denen eine Hintertür tatsächlich was anrichten kann, dürften aber die von der Community am genauesten unter die Lupe genommen werden.

[Ming der Grausame]

Möglich, aber sicher kann man sich deswegen trotzdem nicht sein. Erst kürzlich wurde z.B. ein Bug gefixt, der 20 Jahre unerkannt vor sich hinlümmelte. Und X11 ist immer noch ein Schlüsselsystem auf alle Unixoiden! Wer sagt dir, dass nicht Legionen solcher Bugs irgendwo lauern? Und wer sagt dir, dass sie nicht bereits ausgenutzt werden? Inzwischen existiert nämlich eine ausgewachsene Industrie, die mit solchen Zero-Day-Exploits handelt. Und weder die Finder noch die Käufer haben ein Interesse daran, dass diese Bugs bekanntwerden.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 09:06:

Möglich, aber sicher kann man sich deswegen trotzdem nicht sein.

Sicher kann man nie sein. Aber es gibt Wahrscheinlichkeiten; und für diese macht es einen Unterschied, ob man von konkreten Hinweisen oder reinen Mutmassungen ausgeht.

EDIT: Ein Bug und ein Backdoor sind natürlich überhaupt nicht das Gleiche. Der Endeffekt mag identisch sein, aber die Behauptung "In Betriebssystem xy wurden gezielt Hintertüren eingebaut" ist was ganz anderes als "In Betriebssystem xy gibt es Bugs, die ein Hacker ausnutzen kann".

Bearbeitet von simifilm, 21 Oktober 2013 - 10:13.

[Ming der Grausame]

Gegen die Code-Chunk-Borrow-Exploitation nützt, wie bereits geschrieben, keine noch so ausgefeilte Code-Reviews. Da greift man schlicht auf bereits bestehende Codefragmente zurück. Und die Wahrscheinlichkeit sich gegen solche Exploits zu wehren bzw. sie überhaupt erkennen zu können ist bis dato immer noch exakt null.

Bearbeitet von Ming der Grausame, 21 Oktober 2013 - 10:21.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 09:19:

Gegen die Code-Chunk-Borrow-Exploitation nützt, wie bereits geschrieben, keine noch so ausgefeilte Code-Reviews.

Wieso nicht?

[Ming der Grausame]

Weil man da nichts Neues hinzufügt. Stell dir vor, du hast ein ziemlich umfangreicher Text vor und jemand kreiert einen neuen Text, indem er direkt deinen Text dazu verwendet, indem er auf die jeweils nötigen Textbestandteile springt. Vergleichbar ist die Code-Chunk-Borrow-Technique. Die Grundroutine, um eine Code-Chunk-Borrow-Exploitation zu implementieren, ist vergleichsweise trivial und kann selbst on-the-fly zusammenstückelt werden. Und der Quell-Code ist ja bekannt, also sind auch alle vorhandenen Codefragmente bekannt.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 09:37:

Weil man da nichts Neues hinzufügt. Stell dir vor, du hast ein ziemlich umfangreicher Text vor und jemand kreiert einen neuen Text, indem er direkt deinen Text dazu verwendet, indem er auf die jeweils nötigen Textbestandteile springt. Vergleichbar ist die Code-Chunk-Borrow-Technique. Die Grundroutine, um eine Code-Chunk-Borrow-Exploitation zu implementieren, ist vergleichsweise trivial und kann selbst on-the-fly zusammenstückelt werden.

Und der Quell-Code ist ja bekannt, also sind auch alle vorhandenen Codefragmente bekannt.

Und warum soll dieser Code gegen ein Audit immun sein?

[64Seiten]

Wenn ich dann mal so paranoid bin, nehme ich mir ein Zelt und zieh in den Wald. Für Privatpersonen sind solche Dinge eh relativ irrelevant. Anders sieht es da bei Unternehmen aus. Die müssen sich schon etwas überlegen, was Datensicherheit angeht.

[Ming der Grausame]

simifilm schrieb am 21 Okt 2013 - 09:45:

Ming der Grausame schrieb am 21 Okt 2013 - 09:37:

Weil man da nichts Neues hinzufügt. Stell dir vor, du hast ein ziemlich umfangreicher Text vor und jemand kreiert einen neuen Text, indem er direkt deinen Text dazu verwendet, indem er auf die jeweils nötigen Textbestandteile springt. Vergleichbar ist die Code-Chunk-Borrow-Technique. Die Grundroutine, um eine Code-Chunk-Borrow-Exploitation zu implementieren, ist vergleichsweise trivial und kann selbst on-the-fly zusammenstückelt werden.

Und der Quell-Code ist ja bekannt, also sind auch alle vorhandenen Codefragmente bekannt.

Und warum soll dieser Code gegen ein Audit immun sein?

Weil die benutzten Ursprungscodefragmente aus gutem Grund da sind? Die missbrauchten kurzen Codesequenzen müssen ja nicht einmal als konkrete Befehlsfolge im Ursprungscode selbst auftreten, sondern können selbst aus Bestandteilen generiert werden. Ist wie ein Erpresserbrief aus Wörtern oder Einzelbuchstaben einer Zeitschrift. Da kann die Zeitschrift ja auch nichts dafür.

64Seiten schrieb am 21 Okt 2013 - 09:47:

Anders sieht es da bei Unternehmen aus. Die müssen sich schon etwas überlegen, was Datensicherheit angeht.

Seit Edward Snowden die NSA-Affäre losgetreten hat, sind zumindest sowohl unsere Kellerkinder als auch die firmeninternen Security-Experten nur noch am Kotzen...

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 10:04:

Weil die benutzten Ursprungscodefragmente aus gutem Grund da sind? Die missbrauchten kurzen Codesequenzen müssen ja nicht einmal als konkrete Befehlsfolge im Ursprungscode selbst auftreten, sondern können selbst aus Bestandteilen generiert werden. Ist wie ein Erpresserbrief aus Wörtern oder Einzelbuchstaben einer Zeitschrift. Da kann die Zeitschrift ja auch nichts dafür.

Die Logik dieser Argumentation — und erst recht der Erpresserbrief-Analogie — entzieht sich mir leider.

[Ming der Grausame]

Frage: Wie sollte ein Qualitätsmanagement bei einer Zeitschrift dagegen schützen, dass einzelne Wörter für einen Erpresserbrief verwendet werden? Antwort: gar nicht. Frage: Wie sollte ein Qualitätsmanagement beim Linux-Code dagegen schützen, dass einzelne Codefragmente für eine Code-Chunk-Borrow-Exploitation verwendet werden? Antwort: gar nicht. Ist dir die zugrundeliegende Analogie jetzt klar?

Bearbeitet von Ming der Grausame, 21 Oktober 2013 - 11:13.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 10:12:

Frage: Wie sollte ein Qualitätsmanagement bei einer Zeitschrift dagegen schützen, dass einzelne Wörter für einen Erpresserbrief verwendet werden?

Antwort: gar nicht.

Frage: Wie sollte ein Qualitätsmanagement beim Linux-Code dagegen schützen, dass einzelne Codefragmente für eine Code-Chunk-Borrow-Exploitation verwendet werden?

Antwort: gar nicht.

Ist dir die zugrundeliegende Analogie jetzt klar?

Nein.

[yiyippeeyippeeyay]

Ming der Grausame schrieb am 21 Okt 2013 - 10:12:

Code-Chunk-Borrow-Exploitation

Bin kein Hacker, habe aber einen Kollegen gefragt, der sich SEHR gut mit Linux auskennt (eigene Linux-Distro vor Jahren herausgebracht mit wenigen Anderen), und der meinte dafür sei voraussetzend mit hoher Wahrscheinlichkeit ein erfolgreiches Login auf dem Zielsystem notwendig. Also muss man als Admin dieses Systems etwas viel Plumperes falsch machen, damit der Exploit in Frage kommt. Ergo: Passwörter niemandem Anderen verraten & presto! :-)

[simifilm]

yiyippeeyippeeyay schrieb am 21 Okt 2013 - 13:35:

Bin kein Hacker, habe aber einen Kollegen gefragt, der sich SEHR gut mit Linux auskennt (eigene Linux-Distro vor Jahren herausgebracht mit wenigen Anderen), und der meinte dafür sei voraussetzend mit hoher Wahrscheinlichkeit ein erfolgreiches Login auf dem Zielsystem notwendig. Also muss man etwas viel Plumperes falsch machen damit der Exploit klappt. Ergo: Passwörter niemandem Anderen verraten & presto! :-)

Oder anders gesagt: Die weiter oben beschriebene Schraubenschlüssel-Methode ist letztlich in vielen Fällen sehr viel einfacher.

[Valerie J. Long]

Wenn man wirklich auf Nummer Sicher gehen will, muss man zum Surfen einen separaten PC benutzen, bevorzugt mit Booten von DVD-ROM und ohne Festplatte...

[Ming der Grausame]

yiyippeeyippeeyay schrieb am 21 Okt 2013 - 13:35:

Bin kein Hacker, habe aber einen Kollegen gefragt, der sich SEHR gut mit Linux auskennt (eigene Linux-Distro vor Jahren herausgebracht mit wenigen Anderen), und der meinte dafür sei voraussetzend mit hoher Wahrscheinlichkeit ein erfolgreiches Login auf dem Zielsystem notwendig.

Nein, eine einfache Injection genügt dafür bereits völlig, also nichts weiter als Cross-Site-Scripting in irgendeine Webanwendung – am naheliegendsten ist zurzeit z.B. ein Java-Exploit, denn davon gibt es wirklich mehr als genug in freier Wildbahn...

simifilm schrieb am 21 Okt 2013 - 13:38:

Oder anders gesagt: Die weiter oben beschriebene Schraubenschlüssel-Methode ist letztlich in vielen Fällen sehr viel einfacher.

Nein, denn eine einfache Injection kann sogar als schnöder Drive-by-Exploit gespaltet werden und entsprechende Exploit-Kits gibt es da draußen auch zur Genüge. Die Infizierung gelingt also bereits durch den bloßen Besuch einer verseuchten Webseite und durch Social Engineering kann man dafür sorgen, dass man besagte Webseite auch wirklich besucht.

Bearbeitet von Ming der Grausame, 21 Oktober 2013 - 17:56.

[simifilm]

Ming der Grausame schrieb am 21 Okt 2013 - 16:40:

Nein, eine einfache Injection genügt dafür bereits völlig, also nichts weiter als Cross-Site-Scripting in irgendeine Webanwendung – am naheliegendsten ist zurzeit z.B. ein Java-Exploit, denn davon gibt es wirklich mehr als genug in freier Wildbahn...


Nein, denn eine einfache Injection kann sogar als schnöder Drive-by-Exploit gespaltet werden

Eine Injection kann gespaltet werden? Achte bei Deinen Copy-Pastereien doch bitte darauf, dass das Ergebnis zumindest sprachlich halbwegs kohärent ist.

[Ming der Grausame]

Na gut, ich kaufe ein T und gebe für ein P...

[yiyippeeyippeeyay]

Noch eine verbale Rückmeldung meines Kollegen zu dem CCB-Exploit: Da dieser Exploit ziemlich schwer hin zu bekommen ist, und genau zur Version/Konfiguration des Zielsystems passen muss, hält er es für unwahrscheinlich, dass dieser zum Zuge kommt. Er weist insbes. auf den Unterschied zwischen Client- & Server-Funktionalität hin, was Java & Co. angeht - der Browser läuft immer auf dem "web client".

(Und damit hat er gebeten, sich - um die 3. Ecke - auszuklinken. Ich habe davon wie gesagt wenig Ahnung, habe aber den Eindruck, dass bei Linux der Einbruchsaufwand hoch genug sein muss, dass ich damit leben könnte. Ich ziehe also wohl demnächst um - adé, MacOS... )

[Ming der Grausame]

Zweifellos gibt es einfacherere Wege ein System zu infiltrieren, aber ich habe nicht umsonst im Zweifelsfall dazugeschrieben.

[yiyippeeyippeeyay]

Der Aufwand, den die einbrechende Seite aufbringt, im Vergleich zu dem Aufwand, den die schützende Seite dagegen stellt, ist bei IT-Sicherheit eine ganz wesentliche Komponente. Denn: Möglich ist fast alles; wahrscheinlich oft aber sehr viel weniger. Und das ist evtl. das Problem dieses Threads: Das Mögliche mit dem Wahrscheinlichen zu locker zu vermischen. Darüber muss man dann aber nicht endlos diskutieren. Ich klinke mich also erstmal auch aus.

[Ming der Grausame]

yiyippeeyippeeyay schrieb am 22 Okt 2013 - 15:36:

Der Aufwand, den die einbrechende Seite aufbringt, im Vergleich zu dem Aufwand, den die schützende Seite dagegen stellt, ist bei IT-Sicherheit eine ganz wesentliche Komponente. Denn: Möglich ist fast alles

Korrekt. Niemand bezweifelt, dass keiner von uns einen gezielten Ausspähangriff wirklich widerstehen könnte. Seit Edward Snowden die NSA-Affäre losgetreten hat, sollte ein jeder sich darüber im Klaren sein, dass er gegen professionelle Angreifer einfach keine Chance hat. Man kann es einen potentiellen Angreifer nur etwas schwerer machen, aber ausgespäht wird man trotzdem – gleichgültig welches Betriebssystem man verwendet. Man kann lediglich dafür sorgen, dass sie so schnell nichts damit anfangen können.

[yiyippeeyippeeyay]

Ming der Grausame schrieb am 22 Okt 2013 - 16:38:

ausgespäht wird man trotzdem

Dein Fazit, nicht meins.