Just Stuff » Security

Mangelnde Überwachung in ICEs

Frank — Sun, 11 Jul 2010 08:57:25 +0000

Das von der Bahn so hoch gelobte Vorzeigesystem ICE fällt wieder mal in den Medien auf. Dieses Mal durch ausgefallene Klimaanlagen, die zu einer Temperatur von über 50°C im inneren gesorgt haben. Laut Westfalen-Blatt hatte sogar eine Frau vergeblich versucht, ein Fenster mit den im Zug befindlichen Nothammern einzuschlagen.
Irgendwie stellt sich mir die Frage, wieso die Temperatur nicht überwacht wird? Bekommt der Zugführer keine Warnung, daß die Temperatur zu hoch ist, oder daß die Klimaanlage ausgefallen ist? Und warum schafft es eine Frau nicht, mit einem Nothammer die Scheibe einzuschlagen? Ein “vermutlich war sie wegen der hohen Temperatur zu schwach” darf dabei nicht gelten – immerhin sind die Nothammer für Notfälle gedacht, und sollten doch auch nach einem Zugunglück von einer verletzten Person nutzbar sein.

Video-Chat: Besser Pidgin/Google als Skype

Frank — Sat, 10 Jul 2010 09:40:05 +0000

Tja, als hätte ich es nicht geahnt. Haben zwei Stunden lang versucht via Skype eine Video-Konferenz zwischen zwei Linux-Systemen aufzubauen. Nach viel gefummel wurde dann das Video von einer Seite übertragen, kein Audio. Zudem wurden abwechselnd beide User nach ein paar Minuten aus dem Skype-Netz rausgeworfen.
Ich hatte dann mal die Schnauze voll und hab mal das Video-Plugin von Pidgin via Google Chat probiert. Plugin aktiviert, Verbindung aufgebaut und … schwupps … Video läuft sauber in beide Richtungen. Keine Probleme.

Zudem hat die Pidgin-Variante den Vorteil des Open-Source. Man liest ja immer wieder was irgendwelche Hacker sonst so bei Skype mit viel debugging finden …

Securitystuff warnt vor Linux-Botnet

Frank — Sun, 21 Feb 2010 08:45:52 +0000

Securitystuff warnt zur Zeit via Twitter unter dem Tag “Linux Worms” vorm Kneber Botnet sowie dem zur Verbreitung verwendetem Zeus-Trojaner. Es wurde bereits mehrfach betont, dass vonn dem Botnet eine massive, globale Bedrohung ausgehe.
Ein einziger Blick in die verlinkten Artikel zeigt allerdings direkt, dass es sich um ein pures Windows-Botnet handelt.

PS3 gehackt … ?

Frank — Sun, 24 Jan 2010 16:25:15 +0000

Ein Hacker mit dem Alias gehohot schrieb gestern via Twitter, “Hello Hypervisor, I’m Geohot“. Der Hacker, der als erstes das IPhone gehackt hatte, schreibt weiter, daß er es nach mehr als einem Jahr endlich geschafft hat, die PS3 komplett zu hacken. Angeblich benötigt man für den hack keinen Modchip (wie z.B. bei der XBox) – allerdings behauptet er aber auch, daß Sony die Lücke mit einem Firmware-Update nicht schliessen könne.

Über weitere Details schweigt er sich zur Zeit noch aus. Wer ist wohl gespannter – Sony oder die PS3-Freaks?

Skype: Ebay verkauft und erster Trojaner

Frank — Tue, 01 Sep 2009 09:54:43 +0000

Zur Zeit tickern von überall Meldungen rein, daß Ebay heute bekannt geben will, Skype an eine Investorengruppe zu verkaufen. Gleichzeitig kam aber auch in einzelnen Medien die Meldung, daß es zu dem vor ein paar Tagen gemeldetem Skype-Spionageprogramms nun den ersten Trojaner gibt. Trojan.PeskySpy wird das Programm bei Symantec genannt, TrendMicro hat ihm den Namen Troj_Spayke.C verpasst.

Beide Unternehmen wollten nicht ausschließen, daß dieser neue Trojaner auf dem veröffentlichten Quellcode basiert.

Skype Trojaner unter der GPL veröffentlicht

Frank — Thu, 27 Aug 2009 07:43:21 +0000

Ein Entwickler, der laut eigener Aussage mehrere Jahre bei der schweizer Firma ERA IT Solutions gearbeitet haben soll, hat den Quelltext eines “Skype-Trojaners” veröffentlicht. Dieses Programm ist in der Lage, verschlüsselte Skype-telefonate abzufangen und als MP3-Datei zu speichern. Wie üblich muß ein trojanisches Pferd auf einem der Clients installiert sein – ein Abhören der Daten via man-in-the-middle ist zumindest mit diesem Tool nicht möglich.
(Artikel auch bei heise.de)

Der Zensur-Prüfer

Frank — Mon, 15 Jun 2009 08:23:13 +0000

Die Uni Berkeley hat ein Internet Analysetool entwickelt, welches unter anderem prüfen kann, ob der eigene Datenstrom von irgendwelchen Behörden zensiert oder für den Anwender unsichtbar verändert wird.
So prüft Netalyzr unter anderem, ob der zugewiesene DNS-Server des Clienten die selben Antworten liefert wie der der Uni Berkeley.

Microsoft installiert Firefox-Erweiterung

Frank — Fri, 29 May 2009 15:30:01 +0000

So mancher mag sich wundern, wieso der Firefox unter Windows plötzlich ein neues (gefährliches?) Plug-In hat, welches sich nicht deinstallieren lässt. Da man es selbst nicht installiert hat, ist ein Unverständnis oder auch Wut gegen Mozilla/Firefox vielleicht verständlich.
Aber nicht Mozilla sondern Microsoft hat dieses Add-on still und heimlich ohne große Hinweise installiert. Ein Service-Pack für das .NET Framework wird installiert, welches es ermöglicht, mit einem Klick .NET Programme zu installieren (gewollt oder ungewollt).

Annoyances.org,
which lists various aspects of Windows that are, well, annoying, says
“this update adds to Firefox one of the most dangerous vulnerabilities
present in all versions of Internet Explorer: the ability for Web sites
to easily and quietly install software on your PC.”

In einem Microsoft-Blog gibts dann aber wieder eine Anleitung zur deinstallation: händische Bearbeitung der Registrier-Datenbank. Für Standard-Benutzer doch recht abschreckend.

Gerichtliche Strafe bei schwachen Kennwörtern

Frank — Wed, 11 Mar 2009 10:52:41 +0000

Ab sofort kann jeder, der ein schwaches Kennwort verwendet (oder ein starkes welches erraten wurde), gerichtlich belangt werden.

Hintergrund: Der BGH hat heute in einem Urheberrechtsfall gegen einen eBay-Anbieter entschieden, dessen Frau ohne sein Wissen Schmuckstücke auf eBay versteigert hat. Da Sie dabei den Namen des Herstellers genannt hatte, hatte dieser den eBay-Anbieter auf Unterlassung verklagt.

Aus der Pressemitteilung des BGH heisst es dazu:

Benutze ein Dritter ein fremdes Mitgliedskonto bei eBay, nachdem er an die Zugangsdaten dieses Mitgliedskonto gelangt sei, weil der Inhaber diese nicht hinreichend vor dem Zugriff Dritter gesichert habe, müsse der Inhaber des Mitgliedskontos sich so behandeln lassen, wie wenn er selbst gehandelt hätte.

Das Urteil ist leider noch nicht online, wenn das dort jedoch genauso dämlich formuliert ist, sollte besser jeder demnächst 3x täglich alle seine Accounts auf Mißbrauch prüfen …

Twittern via SMS ?

Frank — Fri, 06 Mar 2009 16:02:39 +0000

Da ich ja jetzt recht frisch am ‘twittern’ bin (wir berichteten … da, einen Artikel weiter unten), hab ich mal etwas über SMS-to-twitter geforscht. Scheints wohl zur Zeit offiziell nur in den USofA zu geben.

Zwar gibts hier auch ein paar Anbieter, aber gleich ner fremden Firma (die dazu noch nichtmal nen ordentliches Impressum auf der Webseite haben) meine Logindaten zu geben – plus meine Handynummer ! … nene, da verzichte ich lieber drauf.