Archiv der Kategorie: Hackmeck

Hacking

Kunst

So richtig etwas anfangen kann ich damit noch nicht, aber wer’s [mir erklären] mag:

»Hacking the City ist ein experimentelles Ausstellungsprojekt des Museum Folkwang, dessen künstlerische Aktionen und Präsentationen im öffentlichen Raum der Stadt Essen und im Internet stattfinden.«

Als Update noch einmal Kunst:

»Trust is a major factor in all human relations and it is the basis of communication. We trust the validity of rules, codes and conventions, and we have confidence in others. The same goes for media and technical systems as we entrust them with our wishes and longings. One may hold a nagging doubt and suspicion about them, yet we feel an urge to keep faith with the apparatuses and their simulacra when we consign them to tell us a good story, to convey the truth, and to make
our lives better, healthy, and wholesome.

The group exhibition TRUST explores the aesthetics of this confidence by questio
ning its status, attempting to challenge the audience’s convictions and by encouraging a reflected dialogue with machines and media. 
The works in the show point to the desires as well as the ethical and emotional dilemmas that arise from this attitude of trust.«

Unterschätzte Risiken: Hacker

Zu Hause haben wir uns immer sicher gefühlt. Ach was, wir waren sicher. Bis die Hacker kamen. FOXNews klärt uns auf über 10 Bizarre-but-True Ways Your Home Is Susceptible to Hackers und enthüllt Erschreckendes. Unsere Autos können sie googlen, unsere Drucker klauen, ja sogar durch die Vordertür hereinspazieren und unsere Freunde werden, nachdem sie uns den Strom abgestellt haben. Wir haben Angst.

Unterschätzte Risiken: Vorzeichenfehler

Ein Vorzeichenfehler in einem Zigarettenautomaten bei VW zieht weite Kreise:

»Nach Informationen von Betroffenen sollen allein im Original-Teile-Center (OTC) 120 Mitarbeiter zu einem Gespräch vorgeladen worden sein. Ihnen wird vorgeworfen, sich mit ihrem Werksausweis, der auch als Zahlungsmittel verwendet werden kann, an einem Zigarettenautomaten, auf Kosten von VW bereichert zu haben. Durch einen technischen Defekt, so der Vorwurf des Konzerns, sei kein Geld von den Chipkarten abgebucht, sondern gutgeschrieben worden. Diesen Defekt hätten verschiedene Werksanghörige bewusst ausgenutzt, um sich zu bereichern.«

(HNA: VW-Affäre: Die Ersten müssen gehen)

Der Fehler soll bereits seit 2007 bestanden haben und im Artikel ist von einer Person die Rede, die sich seither um 100 Euro bereichert haben soll. Zwölf Mitarbeitern von VW und 37 von Fremdfirmen hat man daraufhin fristlos gekündigt, wogegen sie nun klagen.

Mehr als die Aussagen in den verlinkten Berichten kenne ich auch nicht. Interessant ist aber, dass der Betreiber des Zahlungssystems offenbar seit 2007 nichts bemerkt hat. Von den Benutzern hingegen erwartet man, dass ihnen Fehler im bargeldlosen Bezahlen auffallen, die sich bei 100 Euro am Zigarettenautomaten seit 2007 ungefähr einmal im Monat in einer kleinen, die weitere Benutzung nicht störenden Abweichung des Kartenwertes niederschlagen.

Ob nun eine bewusste Bereicherung vorliegt oder nicht, könnte man vielleicht aus der Benutzerschnittstelle des defekten Automaten und dem Fehlerbild ableiten. Wurde die Aufladung direkt beim Benutzungsvorgang deutlich und vor dem Abschluss der Benutzerinteraktion angezeigt? Handelte es sich um einen systematischen Fehler, den man gezielt ausnutzen konnte, oder um ein nur gelegentlich zufällig auftretendes Phänomen?

Update: Inzwischen kursieren weitere Zahlen:

»Nach Angaben von VW-Justiziar Gerhard Klenner haben insgesamt 239 Mitarbeiter im Kasseler Werk ihre Chipkarten unrechtmäßig aufgeladen. Das Unternehmen habe aber nur jenen Mitarbeitern gekündigt, die mehr als 150 Euro auf ihre Ausweise aufgeladen hätten. Die anderen seien mit einer Tagesgeldbuße oder Versetzungen in andere Abteilungen abgemahnt worden.

Die zwei ehemaligen Mitarbeiter, die am Freitag vor Gericht waren, sollen 1180 Euro beziehungsweise 1178 Euro unrechtmäßig auf ihre Werksausweise geladen haben. Ein Kläger soll gar 1738 Euro auf seine Karte gebucht haben.«

(HNA: VW-Automaten-Affäre – erste Güteverhandlung vor Arbeitsgericht gescheitert)

HR Online hat auch noch ein Update.

Entenalarm

„Ausweischip gehackt“ titelte die taz und brachte damit noch kurz vor Jahresende eine besonders schöne Falschmeldung zum CCC-Kongress  in Umlauf, die Detlev Borchers auf Heise prompt als Ente entlarvte. Auch wenn der Vortrag im Hacking-Track lief handelte es sich vorwiegend um eine Funktionsbeschreibung des neuen Personalausweises, denn in der Tat kann man Daten aus dem Ausweis auslesen – mit Berechtigungszertifikat. Das soll so sein.  Das Beispiel beweist einmal mehr, dass guter Technikjournalismus in Tagesszeitungen schwer zu finden ist. Gut, dass es noch Fachjournalisten wie Christiane Schulzki-Hadouti gibt, die zu ganz anderen Schlüssen kommt und einen Rückzieher beim CCC entdeckt. Übrigens: Die wichtigsten Daten kann man auch jetzt schon aus dem derzeitigen Ausweis auslesen – mit den Augen, die Daten sind nämlich aufgedruckt.

The Evil Jan Attack

[See only posts in English]

Microsoft’s BitLocker is, for all we know, a proper disk encryption software. It encrypts data at rest against attacks originating outside the running system. If you use BitLocker and your computer is stolen while turned off, there is essentially no way of reading data from the disk without having the proper key(s)—your BitLocker PIN, a key file on a USB stick, or both. If an attacker gets access to the machine while it is running, there may be ways of compromising it through Windows or in other ways, but such attacks are clearly outside the scope of disk encryption.

We know, however, another class of attacks against disk encryption: evil maid attacks. This term describes a general strategy rather than a particular implementation. If you leave your computer unattended, let’s say in a hotel room, an attacker, let’s say an evil maid, might manipulate it such that your data will be compromised as soon as you return and provide it with your encryption keys. There are various ways of doing so, for instance installing a hardware keylogger if your keys are based on passwords, or altering the unencrypted boot code to install a Trojan horse that will leak your keys later. The Evil Jan Attack weiterlesen

Unterschätzte Risiken: Hackerwettbewerbe

Lehrreiches Scheitern:

»A Webmail service that touts itself as hack-proof and offered $10,000 to anyone who could break into the CEO’s e-mail has lost the challenge.
(…)
The hacking team of Aviv Raff, Lance James and Mike Bailey set up the attack by sending an e-mail to the company’s CEO Darren Berkovitz. When he opened the e-mail, the team exploited an XSS flaw to take control of the account.«

(Zero Day: StrongWebmail CEO’s mail account hacked via XSS)

Die 10.000 Dollar hätten sie auch gleich bei einem fähigen Security-Tester anlegen können, dann hätten sie für dasselbe Geld wahrscheinlich mehr über ihre Irrtümer gelernt. Allzu weit kommt man mit diesem Betrag zwar nicht, aber die Tester arbeiten wenigstens bis zum Ende des Geldes weiter, statt mit dem ersten gefundenen Problem den Preis abzuräumen. Damit sinkt auf lange Sicht der Preis pro gefunder Verwundbarkeit, während er bei einer Folge von Hackerwettbewerben vielleicht sogar steigen würde.

Digitalräuberpistole

Erinnert sich noch jemand an die Story von vor sechs Wochen, derzufolge es mit einem manipulierten Nokia 1100 möglich sei, Kurznachrichten an GSM-Teilnehmer abzufangen? Kriminelle würden bis zu 25.000 Euro für ein solches Gerät bieten, weil auf diese Weise mTAN-Sendungen abzufangen seien. Glauben wollte das keiner so recht.

Inzwischen macht die Meldung die Runde, der Firma UltraScan – die das Thema damals in die Nachrichten brachte – sei es gelungen, die Sache (ein einzges Mal) nachzuvollziehen. Von löschbarem ROM in einigen Modellen der Serie aus dem Bochumer Nokia-Werk ist die Rede und von Schlüsseln für eine verschlüsselte Firmware, die in falsche Hände geraten seien. Dann wird es wirr: man könne durch Firmware-Hacking neben der IMEI, die das Gerät identifiziert, auch die IMSI, die Identität der SIM-Karte, manipulieren – wozu man allerdings eine SIM-Karte klonen müsse, was aber trivial sei.

Alles verstanden? Ich auch nicht. Und die Websites von Ultrascan erwecken nicht gerade den Eindruck hoher Kompetenz und Seriosität.

Von Spammern lernen: der Google-Redirect

  1. Suchanfrage bauen, die die Zielseite als ersten Treffer liefert. Das kann man interaktiv probieren, bis es klappt.
    Beispiel: inurl:sventuerpe.com
  2. Geeigneten Proxy oder Sniffer starten, zum Beispiel WebScarab.
  3. Suchanfrage eingeben und „I’m feeling lucky“ klicken
  4. URL kopieren: http://www.google.com:80/search?hl=en&q=inurl%3Asventuerpe.com&btnI=I%27m+Feeling+Lucky&aq=f&oq=, und ggf. mit den Parametern und ihrer Kodierung spielen
  5. URL benutzen, Vertrauen missbrauchen.

(Nach einer Idee von J. Random Spammer.)

Es gibt noch einige andere Funktionen, die sich ähnlich verwenden lassen. Klicks auf einzelne Treffer im Suchergebnis gehen auch über einen Google-Redirect, von dem man normalerweise nichts merkt.

PS: Funktioniert heute so nicht mehr.

Sachdienlicher Hinweis

Das schrieb man in den 80ern:

»Die Ermittlungen der französischen Behörden führten in die Schweiz zum Genfer Kernforschungszentrum CERN. Dieses beklagt schon seit 1984 ständig Einbrüche durch Hacker. Unter den Hackern selbst gilt CERN als die „Europäische Hackerfahrschule“, in der sich die Hacker „die Klinke in die Hand geben“.«

([Chaos CD][HaBi 2]- BKA unter Fahndungsdruck)

Anscheinend hat sich nichts geändert am CERN. Womit ich übrigens überhaupt kein Problem habe. Irgendwo muss man das Hacken ja üben.

An das Bundeszentralamt für Steuern

Jetzt tun wir mal etwas völlig Beklopptes, denn damit rechnen sie nicht. Musterklagen sind für Weicheier und bloggende Anwälte. Ich bin weder das eine noch das andere, dafür aber gelernter DDR-Bürger. Was uns, respektive dem Bundeszentralamt für Steuern, das nachfolgende Schreiben beschert:

An das Bundeszentralamt für Steuern weiterlesen