LNP173 Rentable Sicherheit

Befreite Daten — Router-Firmware — GCHQ hackt — Ransomware — Apple vs. FBI — Neuer BSI-Chef — Termine

Die Sicherheit steht im Mittelpunkt dieser Woche, sei es die gefühlte Sicherheit von Routern, denen alternative Firmwares untersagt werden oder die Sicherheit von Bürgern und Organisationen denen von Geheimdiensten und kriminellen Banden Malware untergeschoben wird zwecks Ausspähung bzw. Erpressung. Im selben Kontext stellt sich Apple auf die Hinterbeine und verteidigt seinen Widerstand gegen die Lockerung von Sicherheitsmaßnahmen durch die Behörden und das Bundesamt für Sicherheit in der Informationstechnik stellt seinen neuen Präsidenten vor, der mit einer zumindest zweifelhaften Vorgeschichte daherkommt.

Dauer: 1:52:45

On Air
avatar Linus Neumann Paypal Icon Bitcoin Icon Amazon Wishlist Icon
avatar Tim Pritlove Paypal Icon Amazon Wishlist Icon Bitcoin Icon

Erfolg für FragDenBundestag

Offene Router-Firmwares

GCHQ-Hacker werden hacken

Ransomware

Apple vs. FBI

NSA-UA: Erweiterung des Untersuchungsauftrages?

Neuer BSI-Chef

Termine

Epilog


In Zusammenhang mit dieser Ausgabe stehende Folgen

28 Gedanken zu „LNP173 Rentable Sicherheit

  1. Wenn man mehrmals Untersuchungsausschuss sagt/hört, wird man zu Assoziationen inspirier(r)t: Untersuchungsausschuss, Untersuchungsausschluss, Untersuchung aus Stuss.

    Wie hoch ist eigtl. der Ausschuss (i.S. Ergebnis einer Fehlproduktion) bei der Untersuchung?

  2. Zu dem Apple/FBI-Thema und weil sie sich jetzt im Gegensatz zu früher weigern das Telefon zu öffnen: das hat scheinbar formale Gründe für das anstehende Gerichtsverfahren.

    In den früheren Fällen ging das Öffnen ohne Einbau einer Backdoor in iOS und konnte vor Gericht quasi als “Laborservice” behandelt werden, wo der Labormitarbeiter nur bezeugen muß, wie er an die Daten herankam. Im aktuellen Fall scheint das FBI die Dinge aber wohl so drehen zu wollen, dass Apple eine Art “Gerät” zum Öffnen des iPhones zur Verfügung stellen muß (vgl. Messgerät für Atemalkohol). Die Funktionsweise eines solchen Gerätes muss aber umfassend dokumentiert/nachgewiesen werden und allen möglichen Parteien zur Verfügung gestellt werden. D.h. sie müssten eine Backdoor bauen, könnten diese aber nicht geheim halten.

    In länglich erklärt steht das hier in diesem Blog:
    http://www.zdziarski.com/blog/?p=5645

  3. Sehr schönes Applebashing von Linus. Es ist auch schön, Linus über Mobile Security reden zu hören. Man merkt, er kennt sich aus(nahmsweise aus) ;)

  4. Also ich finde es ja ok, wenn Apple bei einem third-party Homebutton kein TouchID mehr benutzen möchte. Das kann man aus Sicherheitserwägungen definitiv rechtfertigen. Aber man könnte diese Honebutton ja auch einfach als Homebutton benutzen. Denn ich wüsste nicht wo die Sicherheit gefährdet ist, wenn der Benutzer mit einem third-party Homebutton zurück auf den Homescreen geht.

  5. Apple verweigert die Reparatur übrigens auch bei nicht sicherheitsrelevanten Dingen wie einem Display. Nur gut wenn der nächste autorisierte Reparateur 80km entfernt sitzt und man am Tag drauf in den Urlaub fährt.

    Mich würde mal interessieren wie es mit dem Sicherheitskonzept bei den Androiden aussieht.

  6. Im Kapitel über die Ransomware, wurde kurz angemerkt, dass die “pullen” eine nützliche Backup-Strategie sein könnte. Was meint ihr damit genau? Systemlaufwerk ausbauen und aus einem anderem System heraus die Dateien (oder das ganze Laufwerk) sichern?

    Wäre “pushen” demnach jedes Backup (Time Machine, Backblaze, Arq, CrashPlan etc.), das aus dem zu schützenden System heraus gestartet wird?

    Ich frage für Verwandte und den Osterbesuch ;-) Vielen Dank für die stets gut verdaulichen Abrissen über die Nachrichtenlage!

    • “Pullen” im Sinne von “Backup-System verbindet sich mit zu sicherndem System und behält die Kontrolle über die Daten”. Funktioniert typischerweise mit einem Agenten auf dem zu sichernden System, und einem zentralen Backup-Server. In diesem Setup ist das nicht besonders “Consumer-freundlich”: Erfordert extra-Hardware und zumindest mittelmäßiges Know-how. Schließlich will man ja nicht alle Welt Backups von seinem System machen lassen. Allerdings kann ein bösartiger Agent auf dem zu sichernden System nicht unbedingt Backupsätze löschen.

      Offline-Backups funktionieren eigentlich auch so, nur dass der Zeitpunkt des Backups vom Client (lokalen Agenten) festgelegt wird. Allerdings ist die Software für Backblaze und CrashPlan wohl in der Lage, remote Datensätze löschen zu lassen. Eine Malware müsste “nur” dieses Interface benutzen (was möglicherweise komplizierter ist).

      TimeMachine dagegen ist ein rein lokales Backup: Die Festplatte (oder das NAS-Share) wird lokal gemounted, der Backup-Prozess hat die volle Kontrolle über alle Backups. Läßt sich einfach mit Bordmitteln zerstören. (Aber Zerstören ist keine Kunst.)

  7. Ich bin technisch absoluter Laie und höre gerade deswegen seit nunmehr ein paar Jahren (da war LNP noch in seinen 30ern) eurern Podcast. Ich würde trotzdem behaupten, dass ich im Vergleich zu meinem Umfeld ein vertieftes Verständnis (dank euch, dem CCC, fefe) von Problemen der Netzpolitik und betreffender Technik habe, aber bei dem Teil über Apple und das FBI rauchte mir echt der Kopf bzw. es blieben am Ende Fragezeichen zurück. Das Ganze in einem Absatz:
    “Herzlich Glückwunsch, du hast nun ein paperweight […] man hat den Leuten quasi remote diese Telefone gebrickt, gab n riesigen Aufstand und wie gesagt, ich finde eigentlich so ne hardware integraty protection keine unkluge Maßnahme…”
    Vorher gings um (Signing) Keys (wofür genau?), custom software/firmware, devices, Bruteforce-Attacken, delays, rate limit, auto erase (wurde erklärt), danach noch um Third-Party-Reparaturen. Jetzt habe ich Glück, dass mir englisch nicht fremd ist, aber es war – gelinde gesagt – schwer zu folgen, was auch an der Geschwindigkeit lag. Mehr deutsch hätte der Materie gut getan. Und vielleicht eine kleine Einweisung ins iPhone, denn ich kenne ungelogen niemanden, der so ein Gerät besitzt und habe mich auch nie dafür interessiert, was das Gerät jetzt für Tasten hat und welche Funktionen die haben. Homebutton?! Such a thing exists?! Ich habe Samstag auf Party 10 Leute kennen gelernt und alle packten – inkl mir – ihre Feature Phones aus, alle Mitte/Ende 20, deutsche Großstadt.
    Ich glaube, wir mit unseren Altgeräten sind eure Zielgruppe und an der hat Linus nicht inhaltlich sondern wortwörtlich vorbei geredet. Denn irgendwann sind unsere Bosch-, Siemens- und Nokia-Devices vollends bricks und dann wäre es nicht schlecht zu wissen, ob das FBI jetzt backdoors hat oder Apple “nur” remote-Zugriff und welches Ausmaß an Unsicherheit für den customer sich hinter den tollen englischen Wörtern verbirgt.

    In diesem Sinne, auf ein Neues : )

  8. Wäre der Linux Mint Hack eine Nachricht bei euch wert?

    Viele Linuxer tun ja immer so als beträfe sie das Thema Sicherheit kaum.

    Und wer sich jetzt am Samstag das Linux Mint Image heruntergeladen hat und damit ein System aufsetzt, wird teil eines Botnetzes.

  9. Ransomware ist schmutzigster Schmutz. Kein Aspekt dieser amoralischen Unternehmung verdient irgendeine Art von Anerkennung, teils weil alles, was technisch interessant ist, die Arbeit anderer Leute ist, teil weil es moralisch kompromittiert ist. Ein Support-Forum für Kryptotrojaner-Opfer ist “adding insult to injury”.

    Leider wird die Situation nicht besser, weil man sich immer weniger effektiv gegen Malware schützen kann. Und durch das erstmal einfach funktionierende Malware-“Geschäftsmodell” wird Ransomware zudem der “superbug” der Malware.

    Schlechte Zeiten voraus.

  10. vielleicht müssen Firmen etc. die sich ransomware einfangen das einfach als ziemlich günstigen Pentest betrachten, für Privatpersonen natürlich ein relativ teurer Pentest, aber auch noch im Rahmen wenn man was daraus lernt.

    • Die wr-841 wirst du auch noch gebraucht günstig bekommen. Alternativ geht auch ein Raspberry mit etwas weniger Datendurchsatz. ist aber auch bisl kompakter und muß nicht seine Firmware gegen Manipulation schützen ;-)

  11. Beim Thema Ransomware, oder generell Malware über Mail habe ich mich gefragt, ob es nicht möglich wäre, die E-Mail Clients generell zu Sandboxen zu machen und es damit deutlich zu erschweren, dass Anhänge überhaupt auf das “wirkliche” System zugreifen können.
    Ist das Quatsch, oder muss ich jetzt Programmieren lernen?

    • Den Anhang öffnest du in den meisten Fällen nicht mit dem E-Mail-Client, sondern mit Word, Acrobat, Firefox oder sonstigen.

      Dein Ansatz zu Ende gedacht findet sich zum Beispiel bei QubesOS (und sehr ähnlich bei Subgraph OS) wo versucht wird, alle Applikationen oder gefährlichen Aktionen in separierten Wegwerf-VMs auszuführen.

  12. Nochmal an Linus eine technische Nachfrage:

    Kann Apple auch bei den aktuellen Telefonen noch irgendwie das Device aufmachen? Anscheinend kann Apple ja die Enclave auch bei den neuen Devices Updaten. Klingt für mich als Laien dann so als könnten sie Grundsätzlich jedes Device aufschließen. Die älteren einfach durch abschalten des AutoErase, die neuen dann einfach Enclave “patchen”.

    Vielen Dank

  13. Ich glaube, dass ihr falsch liegt, was diese iPhone-Sache angeht. Wir sollten hoffen, dass Apple gezwungen wird, das iPhone aufzumachen und dass sie darauf reagieren, indem in neuen iPhones Firmware-Updates der secure enclave unmöglich sein werden (per Fuse-Bit oder so). Das wäre nämlich ein echter Sicherheitsgewinn.
    Wenn es jetzt einer schafft an den Signierschlüssel für die Updates zu kommen, kann er beliebig iPhone aufmachen.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.