Im Frühjahr hatten sich US-Präsident Joe Biden und EU-Kommissionspräsidentin Ursula von der Leyen grundsätzlich auf ein neues Datenschutzabkommen geeinigt. Anfang Oktober hat Biden jetzt eine Executive Order unterzeichnet, die die Details enthält. Datenschützer warnen: Das könnte für europäische Standards zu wenig sein.
Max Schrems gibt nicht auf und kämpft unermüdlich weiter für die Privatsphäre. Und ebenso unermüdlich betreibt die „Gegenseite“ eine Verzögerungskampagne und wirft immer neue Nebelkerzen.
Den Geheimdiensten ist all das aber ohnehin egal, die überwachen und tracken sowieso jeden weltweit, wie sie lustig sind. Stempel „Terrorist“ drauf, und dann gelten sowieso keine Gesetze mehr – der „PATRIOT“-Act lässt grüßen. Teppichmesser sind offenbar sehr vielseitig.
While Gregg and his team were investigating, they ran some routine cybersecurity checks to see what services were being used by that Chinese IP address to determine what was behind it. One of these routine “scans” showed a port (27017) on that IP address that is typically used by a database application called “MongoDB” … they next tried a pretty basic thing: they tested to see if they could log into it with the default, “out of the box” username and password … the cyber team found a boneheaded error on the MongoDB installation that only a novice would be expected to make … So Gregg’s team was able to “walk in the front door”, as it were, because there was no lock on the door, and “look around the place” … What they found was shocking: they found data that included personal details of nearly 1.8 million US poll workers. Details like their names, phone numbers, addresses, etc. Even the names of family members …
Man muss sich fragen, wer hinter dem unbestreitbar dementen Opa eigentlich die Fäden zieht. Und vermutlich wäre es für die Antwort dienlich, herauszufinden wie der überhaupt ins weiße Haus gekommen ist – nach einem Wahlkampf, den er fast nur aus seinem Keller geführt hat, mit ein paar lächerlichen Veranstaltungen, bei denen einige Dutzend Leute aufkreuzten. Während sein Konkurrent monatelang und täglich, sogar bis zu dreimal täglich, quer durch das Land mit jeder seiner Veranstaltungen 20, 30 oder auch 50 Tausend Zuhörer anzog. Und nun, dabei ist es schon sehr aufschlussreich, dass Opas umfangreich dokumentierte Geschäftsinteressen in China, und die seines Sohnes, mit chinesischen Zugriffen auf Wahlcomputer und Wahlunterlagen einhergehen.
Aber naja, wer „2000 Mules“ und „[s]election code“ gesehen hat, wundert sich sowieso über gar nichts mehr. Chinesische Spuren zu weit offen stehenden sensiblen Datenbanken sind da nur eine Petitesse, im Vergleich zum Gebirge der weiteren Unzulänglichkeiten der letzten US-amerikanischen Präsidentschaftswahlen.
PS: Um es klarzustellen, Trump gehört m.Mng. bloß zu einer anderen Verbrecherbande. Nicht dass Sie denken, ich wollte hier für den Werbung machen.
When you open any link on the TikTok iOS app, it’s opened inside their in-app browser. While you are interacting with the website, TikTok subscribes to all keyboard inputs (including passwords, credit card information, etc.) and every tap on the screen, like which buttons and links you click.
Sehr lesenswerter Bericht des Sicherheitsexperten Felix Krause. Er hat eine Reihe von Social Media Apps untersucht und seine Erkenntnisse sind erschreckend. Wer solche Apps hat, braucht keine Trojaner mehr.
Wenn ihr schon immer mal wissen wolltet, wie schlimm es bei Twitter intern zugeht, dann habt ihr jetzt eine gute Gelegenheit.
Für Musk ist das natürlich ein gefundenes Fressen, um seinen Ausstieg aus dem Twitter-Kauf wegen zu vieler Fake-Accounts zu beweisen. Er hat Peiter „Mudge“ Zatko bereits vorladen lassen. Zatko sagt aber, das wäre nicht beabsichtigt gewesen, es sei eine „unglückliche Koinzidenz“, dass er gerade jetzt an die Öffentlichkeit geht, während Musk sich mit Twitter um Milliarden Dollar streitet.
Seit einer Entscheidung des Landgerichts München werden vermehrt Abmahnungen an Webseitenbetreiber verschickt, die Schriftarten von Google-Servern einbinden. Denn das Einbinden von dynamischen Webinhalten wie Google Fonts von US-Webdiensten ist ohne Einwilligung der Besucher rechtswidrig. Webseitenbetreiber können auf Unterlassung und Schadensersatz verklagt werden.
Wir hatten hier im Blog zu diesem Urteil des Landgerichts München bereits berichtet. Und wie es zu erwarten war, gehen auf leistungslose Abzockerei spezialisierte Gestalten nun auf Webseitenbetreiber direkt los, anstatt sich an die Datenschutzbehörden zu wenden und zunächst dort um Abhilfe zu bitten. Klar, denen ist es an sich völlig egal, was mit ihrer IP geschieht, die wollen nur Kohle. Man kennt das alles ja schon seit den Kindertagen des Internets bis zum Erbrechen (Gravenreuth und andere), ich finde es empörend, dass das Landgericht München solcherart „Geschäftsgebaren“ auch noch fördert. Beschwerde an die Datenschutzbehörde, und wenn dann nicht Abhilfe geschaffen wird, Abmahnung, das wäre ja akzeptabel m.E. – aber so, wie es jetzt ist, ist es nur eine Einladung für die übliche zwielichtige Szene.
Deshalb noch einmal der Hinweis auf das Plugin OMGF von Daan van den Bergh für WordPress-Sites. Funktioniert perfekt, und für die meisten Anwendungsfälle reicht die kostenlose Version. Falls es mit der nicht klappt, oder Sie Support benötigen, können Sie eine Lizenz erwerben, erhältlich ab 19€ / Jahr. Daan ist übrigens sehr freundlich und hilfsbereit, wenn man für komplexere Anwendungsfälle mit den vielfältigen Einstellungen des Plugins Probleme hat.
(Falls Sie kein WordPress nutzen, nochmals der Hinweis auf unseren ersten Artikel zur Problematik, dort sind auch Lösungsansätze für andere Szenarien beschrieben.)
Der traditionelle Nine-To-Five-Arbeitstag im Büro hat sich in eine hybride Arbeitswelt verwandelt, in der man immer und überall arbeitet. Mit der Zunahme der Arbeitszeiten, -orte und -geräte steigt auch die Anfälligkeit der Unternehmen, sich vor Cyberangriffen zu schützen.
Ich kann mich noch an Zeiten und Kunden erinnern, da musste man am Eingang an einem strengen Pförtner vorbei und noch nicht mal einen USB-Stick durfte man mit hinein nehmen. Jetzt aber soll es eine „hybride Arbeitswelt“ werden, doch wie soll das mit der Sicherheit funktionieren? Man kann schließlich nicht jeden Mitarbeiter zum hochqualifizierten Sicherheitsexperten ausbilden.
Im Idealfall sollten alle Geräte die IPv6-Privacy-Extensions unterstützen und aktiviert haben, damit der Datenschutz gewahrt bleibt. Vom Max-Planck-Institut für Informatik haben einige Forscher anhand einer passiven Analyse eines großen Internet-Service-Providers herausgefunden, dass die IPv6-Privatsphäre bei 19 % der Endanwender dennoch in Gefahr ist. Hierbei reicht bereits ein Gerät aus, das sich nicht an die Privacy-Extensions-Richtlinien hält und stattdessen das reine SLAAC-Verfahren (Stateless Address Autoconfiguration) verwendet und den Network-Identifier-Anteil aus der physischen Netzwerkadresse (MAC) erstellt. Hierdurch könnten Dritte die Interneterkennung dauerhaft und gleichzeitig langfristig verfolgen. Des Weiteren hat dies zur Folge, dass diese IPv6-Adresse ohne Privacy-Extensions das gesamte Endbenutzer-Präfix als Tracking-Identificator verrät, wodurch die Geräte in Gefahr sein können, die eine IPv6-Adresse inklusive Privacy-Extensions hinterlegt (bekommen) haben.
Es betrifft hauptsächlich IoT-Devices, sagen die Forscher des Max-Planck-Instituts. Ob man da dann etwas konfigurieren kann, wenn bei der Herstellung geschlampt wurde? Aber mindestens wäre es ein Produktmangel, der zur Rückgabe berechtigt.
Das Problem mit der Telemetrie ist letztlich, dass das Übertragen von Daten – einschließlich Nutzerdaten – eine Verletzung des Schutzziels Vertraulichkeit darstellt. Das muss natürlich immer derjenige, der das Betriebssystem einsetzt, selbst bewerten. Für uns in der Bundesverwaltung ist klar: Das darf nicht stattfinden. Das gilt nicht nur für Microsoft, sondern das wollen wir generell nicht. Deshalb müssen wir die Übertragung von Telemetriedaten unterbinden. Für Firmen oder Privatnutzer bleibt die Kernfrage: Vertraue ich Microsoft oder einem anderen Hersteller und deren implementierter Telemetrie? Wenn ich das mit Ja beantworten kann, ist alles soweit okay, wenn nicht, muss ich aktiv werden. Neben der Vertraulichkeit geht es dabei aber natürlich auch um den Datenschutz.
Sehr interessantes Interview des Golem mit dem Leiter des Sisyphus-Projektes beim Bundesamt für Sicherheit in der Informationstechnik (BSI), Maximilian Winkler. Er sagt, um die Datenübermittlung von Telemetrie-Daten an Microsoft vollständig zu unterbinden, müsse man nur den Dienst „DiagTrack“ bzw. deutsch „Benutzererfahrungen und Telemetrie im verbundenen Modus“ abschalten (in services.msc den Dienst auf Starttyp = Deaktiviert setzen), dann würde Windows 10 nicht mehr „nach Hause telefonieren“.
Wer noch umfassenderen Schutz möchte, für den gibt es außerdem das Tool „O&O Shutup 10“. Damit kann man sehr fein einstellen, was das Betriebssystem, aber auch einzelne Anwendungen, dürfen. Für den Beginn empfiehlt sich die Einstellung „Nur empfohlene Aktionen anwenden“ im Menüpunkt „Aktionen“, damit nicht Sachen kaputtgehen, die man vielleicht doch braucht.
The Linux kernel has long honored the “nordrand” kernel parameter to disable kernel use of the Intel RDRAND and RDSEED instructions if not trusting them — either out of security concerns that they could be compromised by the vendor or running into hardware/firmware issues around RdRand usage. But the Linux kernel is preparing to drop that kernel parameter with users encouraged to use the more generic “random.trust_cpu” parameter.
Vielleicht gehören Sie zu denen, die Schwarzen Boxen kein Vertrauen entgegenbringen und haben deshalb Ihrem Linux-Kernel verboten, den Zufallszahlen der CPU zu vertrauen. Nur die Hersteller wissen schließlich, wie sie zustandekommen, und vorhersehbare Zufallszahlen waren ja schon sehr oft das Mittel, einen Verschlüsselungsalgorithmus brechen zu können. Und dafür gibt es seit 2018 den Kernel-Parameter „nordrand“, denn die Zufallszahlenerzeugung des Kernels ist immerhin Open Source, man hat also zumindest eine Chance, sie zu prüfen.
Voraussichtlich ab Kernel 5.20 wird die Option „nordrand“ jedoch nicht mehr zulässig sein, man muss stattdessen „random.trust_cpu=0“ angeben. Diese Option wird übrigens schon seit Einführung dieser Kernel-Fähigkeit erkannt, falls Sie also noch „nordrand“ verwenden, können Sie bereits jetzt umstellen.
Ob der Parameter aber noch viel bringt, sei dahingestellt. Linux hat längst auf das Problem reagiert, indem nämlich schon seit geraumer Zeit alle Zufallszahlen des Prozessors nicht mehr direkt genutzt werden, sondern erst durch die RNG Hash Funktion von Linux gehen müssen – womit es für den Prozessor kaum noch möglich sein sollte, brauchbar gezinkte Zufallszahlen durchzubekommen.
Ein neuer Report des Cyber-Threat-Intelligence-Anbieters Digital Shadows legt das Ausmaß von weltweit geleakten Logindaten im Zusammenhang mit Kontoübernahmen (Account Take Over, kurz: ATO) offen. So sind im Darknet mehr als 24 Milliarden Benutzer-Passwort-Kombinationen im Umlauf. Bezogen auf die Weltbevölkerung entspricht das vier exponierten Accounts pro Internet-User. Die Zahl der gestohlenen und offengelegten Zugangsdaten ist damit seit 2020 um rund 65% gestiegen.
Zieht man diejenigen Menschen ab, die keinen Zugang zum Internet haben, sind das sogar noch mehr exponierte Accounts pro User. Sind das eigentlich für einen User mehrere Accounts mit jeweils dem gleichen Passwort? Das ist ja ein beliebter Fehler, wird dann ein Account gehackt, sind gleich alle platt.
Intel and researchers from UT Austin, UIUC, and UW published papers today outlining the ‚Hertzbleed‘ chip vulnerability that allows side-channel attacks that can steal secret AES cryptographic keys by observing the CPU’s boost frequency/power mechanisms. According to external researchers, both Intel and AMD CPUs are impacted, but AMD hasn’t issued an advisory yet.
Via der Auswertung der Boost Clock Frequency ist es möglich, kryptographische Schlüssel zu stehlen. Es handelt sich um einen Seitenkanalangriff ähnlich den Spectre-Verwundbarkeiten, aber er ist auch aus der Ferne ausnutzbar, weil durch geeignete Rechenaufgaben Rückschlüsse auf die verwendete Prozessorfrequenz gezogen werden können. Intel hält den Angriff jedoch für wenig praktikabel, da es Tage dauern würde, die notwendigen Daten zusammenzubekommen, und wer wird schon im Browser ein und dieselbe Seite so lange offen und herumrechnen lassen. Aber wer weiß, vielleicht findet sich noch eine Abkürzung … der Angriff geht gegen AES, wenn das fällt, dann wars das mit dem Onlinebanking …
Mit wenigen Klicks das Internet sicher und privat nutzen, vor Hackern geschützt und anonym, das versprechen etliche VPN-Anbieter auf ihren Webseiten. Denn alle Daten würden durch eine moderne Verschlüsselung geschützt, wirbt etwa der Anbieter NordVPN. Dabei sind die Versprechen aber meist die Pixel nicht wert, mit denen sie auf unseren Bildschirmen ausgegeben werden.
Golem.de mit einer sehr interessante Übersicht für die VPN-Technologie und deren Anbieter. Als Fazit wird gesagt, zum Schutz der Privatsphäre eignen sich VPNs kaum bis gar nicht, zum Umgehen von Zensur oder Geo-Blocking aber sehr wohl.
Die Empfehlungen der Golem-Reaktion sind ansonsten insofern überraschend, als die „Platzhirsche“ sämtlich durchfallen, eher unbekannte Alternativen aber den strengen Kriterien der Redaktion genügen. Die Aussage jedoch, dass Tor die beste Alternative wäre, mag aus datenschutztechnischer Sicht richtig sein, nur ist die Performance von Tor so mau, dass es für die meisten modernen Anwendungen sowie Videos trotzdem ausscheidet.
Beim Stichwort datengetriebene Geschäftsmodelle denken viele Menschen in Deutschland zuerst an die vielfach umstrittenen Datensammlungen der großen Internetkonzerne Google und Facebook im Netz. Diese kritische Grundstimmung in Politik und Gesellschaft hält offenbar auch zwei von drei Unternehmen ab, sich an der Datenökonomie (Data-Sharing-Economy) zu beteiligen, fand der IT-Branchenverband Bitkom in einer Umfrage heraus.
Ob in der Produktion, in der Finanzplanung oder in der Verwaltung, sinnvolle Erfassung und Auswertung der anfallenden Daten kann enorme Produktivitätsfortschritte ermöglichen und das Leben der Menschen verbessern. Schade, dass durch die invasiven und rücksichtslosen Geschäftspraktiken der Werbeindustrie eine großartige Möglichkeit, IT zum Wohl der Menschen anzuwenden, in Verruf geraten ist.
Standardmäßig verbindet sich Virtual Machine Manager (VMM) über die URI qemu:///system mit dem lokalen libvirt-Dienst, der wiederum zur Kommunikation mit QEMU/ KVM dient. Der libvirt-Dienst wird bereits beim Systemstart gestartet und läuft mit Root-Rechten. Alle virtuellen Maschinen (VMs) die unter dieser VMM-Verbindung ausgeführt werden, laufen somit mit Root-Rechten. Aus Sicherheitsgründen ist es empfehlenswert, VMs bevorzugt ohne Root-Rechte und nur mit Benutzerechten auszuführen.
Sehr detaillierte Erläuterung, wie und mit welchen Einschränkungen sich der libvirt-Dienst im Benutzer-Kontext verwenden lässt. Häufig dient eine VM ja zur Abschottung des Host-Systems von potenziell gefährlichen oder sensiblen Daten, es kann also geboten sein, einen etwaigen Ausbruch aus einer solchen VM zu erschweren.
(Das Beitragsbild zeigt ein Emu – falls Sie sich wundern, was es hier zu suchen hat :))
Vor über 30 Jahren, mein Unternehmen war noch sehr klein, nur eine Ein-Mann-GbR, und es hieß noch gar nicht Cephei, arbeitete ich dies und das. Fahrschulsoftware, Datenbank-Auswertungen, Telefonanlagen programmieren und dergleichen. Mir ging es ganz ordentlich damit, aber natürlich hätte es besser sein können.
Dann erhielt ich eine Anfrage. Die ersten Jagdflieger mit Joystick-Steuerung wurden gebaut, und man suchte Auftragnehmer für die Kodierung der nachträglichen Auswertung der beim Flug anfallenden Steuerungsdaten. Mir wurde ein, für meine damaligen Verhältnisse, geradezu märchenhafter Verdienst angeboten.
Ich habe mich schwer getan. Das schien ein Sprungbrett in eine großartige Zukunft zu sein. Und, wenn ich ablehnen würde, würde vielleicht mein gerade erst gegründetes Unternehmen gleich wieder versterben? So nach dem Motto, den braucht man gar nicht erst zu fragen, der ist so eingebildet und meint, er kann es sich aussuchen, für wen er arbeitet.
Ich lehnte ab. Ich dachte mir, wenn nur ein Kind an einer Bombe stirbt, die ein Flieger mit einer von mir mitentwickelten Steuerung abgeworfen hat, dann könnte ich mir das niemals mehr verzeihen.
Und heute also ist wieder Krieg in Europa, Russland hat die Ukraine überfallen, und keiner kann sagen, wohin das gehen wird. Ich aber habe zumindest mit den Waffen dafür nichts zu tun. Und ich weiß, meine Entscheidung von damals war richtig, und ist es immer noch.
Bei den vielen großartigen technischen Fortschritten ist unweigerlich alles in immer größerem Ausmaß von Software abhängig geworden. Ich denke, wir Programmierer sollten uns immer fragen, ob wir noch ruhig schlafen können, wenn dieses oder jenes Projekt mit unserer Denkleistung verwirklicht und auf die Menschen losgelassen wird. Ob es Waffen sind, Überwachung oder auch Big Data. All diese Dinge kommen – noch – nirgends hin ohne Programmierer, die die Software dafür schreiben.
Es läuft alles auf die eine Frage hinaus: Haben wir unseren Beruf ergriffen, um die Welt ein kleines bisschen besser zu machen? Oder interessiert uns nur der eigene Vorteil, und alle anderen sind uns egal?
„Was nützt es die ganze Welt zu gewinnen und dabei seine Seele zu verlieren?“ Matthäus 16,26
