Fragen? Antworten! Siehe auch: Alternativlos
Solche Szenarien sind bereits diskutiert worden, nicht zuletzt weil es solche Vorfälle bereits gab.
Der immer wieder lesenswerte Bert Hubert hat sich dazu mal ein paar Gedanken gemacht. Hier sein Anreißer:
The short version: most consumer and business solar panels are centrally managed by a handful of companies, mostly from countries outside of Europe. In the Netherlands alone, these solar panels generate a power output equivalent to at least 25 medium sized nuclear power plants. There are almost no rules or laws in Europe governing these central administrators. We pretend that these companies only deserve the regulation we’d apply to (say) an online birthday calendar.Es ist ja an sich eine gute Idee, möglichst bürokratiefrei den privaten Ausbau von Solaranlagen zu fördern, aber wenn die Steuerung davon zentralisiert von irgendwelchen Firmen gemacht wird, sollte es für die schon regulatorische Vorschriften und Aufsicht geben, meint ihr nicht?Oder wir könnten einfach mal die Frage stellen, wieso das Management von Solaranlagen nicht direkt per Ethernet oder von mir aus Bluetooth innerhalb des Hauses geht, sondern über eine verfickte Schrott-Cloud von irgendwelchen Billigstanbietern gehen muss, denen es scheißegal ist, ob dein Haus abbrennt.
Das ist generell ein Problem bei IoT.
Update: Immer dran denken: Das S in IoT steht für Security!
Anyone who knows the Bluetooth MAC address (which is somewhat public) can connect to your AirPods and listen to the microphone or play music.
Researchers at Eurecom have developed six new attacks collectively named 'BLUFFS' that can break the secrecy of Bluetooth sessions, allowing for device impersonation and man-in-the-middle (MitM) attacks.Das sind keine Implementationsfehler. Die Spec ist schon Scheiße.New hotness: Malware in der Bluetooth-Firmware überlebt Ausschalten des Iphone.
BleedingTooth is a set of zero-click vulnerabilities in the Linux Bluetooth subsystem that can allow an unauthenticated remote attacker in short distance to execute arbitrary code with kernel privileges on vulnerable devices.Der (für mich) verstörenste Teil daran ist:I discovered the first vulnerability (introduced in Linux kernel 4.19) by manually reviewing the HCI event packet parsers.Erstens: 4.19 ist nicht sooo alt. Da waren die Prozesse, die diese Art von Problem verhindern sollen, eigentlich schon aktiv. Insbesondere sollten die Prozesse "manually reviewing [...] parsers" eigentlich beinhalten.Das ist also offensichtlich noch einiges im Argen bei Linux.
Google will angeblich gerade den Bluetooth-Support in Android neu schreiben, den Userspace-Teil in Rust.
Kurze Frage am Rande: Wer soll dafür bezahlen? Bremen ja wohl eher nicht, so pleite wie die sind. Oh, der Bund? Ja gut, klar, das geht immer!1!!
Auch so ein Fall von kaputter "betrifft mich nicht"-Denke. Der Bund, liebe Leser, das SIND WIR ALLE.
Update: Übrigens, Röwecamp, Röwecamp, ... da war doch was ... oh ja, da war was!
Im August 2004 erlangte er überregionale Bekanntheit, als er zu erwirken versuchte, dass Murat Kurnaz seine unbefristete Aufenthaltsgenehmigung verliere, da er die vom Gesetz vorgeschriebene Fristverlängerung nicht rechtzeitig beantragt habe. Kurnaz war jedoch ab Oktober 2001 in der US-amerikanischen Militärbasis Guantánamo Bay ohne Rechtsgrundlage interniert, bis er am 24. August 2006 nach Deutschland entlassen wurde.
Das so ein menschenverachtender Triebtäter damals nicht aus der CDU geflogen ist, sagt doch echt alles über den Laden.
Später trug Röwekamp die politische Verantwortung für die Vergabe von Brechmitteln an mutmaßliche Drogendealer, die Anfang Januar 2005 ein Todesopfer forderten
Kann mir mal jemand erklären, wieso der noch in die Nähe von Mikrofonen gelassen wird?
Liebe Bremer: Wenn ihr das nächste Mal an der Wahlurne steht, guckt vorher kurz die Kandidaten auf Wikipedia nach.
Dort ist er Vorsitzender der CDU-Fraktion und in der Parlamentarischen Kontrollkommission und im Verfassungs- und Geschäftsordnungsausschuss vertreten. 2007 versuchte er erfolglos eine Grundschullehrerin als früheres Mitglied der Rote Armee Fraktion aus dem Schuldienst entfernen zu lassen.
Wie ich schon sagte. Ein Triebtäter. Und DEN schickt die CDU zur Geheimdienstkontrolle.
Hey, Fefe, wie kommt das eigentlich, dass die Geheimdienstkontrolle immer so kläglich versagt?
Weiß ich auch nicht. Ist ein Mysterium!1!!
Update: Diverse Leser wiesen mich darauf hin, dass Android nicht betroffen ist (bis auf uralte Versionen).
The National Security Agency issued new guidance on Tuesday for military and intelligence-community personnel, warning about the risks of cellphone location tracking through apps, wireless networks and Bluetooth technology.No shit, Sherlock! Hier ist das PDF mit den konkreten Tipps. (Danke, Marc)
Die TÜVit hat mal geguckt und fand dabei eine Schwachstelle in der TAN-Generierung. Damit hätte man das Backend angreifen und möglicherweise überlasten können. Ist ein valider Fund. Allerdings kein sonderlich beunruhigender. Schlimm wäre gewesen, wenn man über die App das Smartphone kompromittieren könnte, oder wenn man Daten deanonymisieren könnte, oder Benutzerprofile erstellen könnte. Dass die diese Lücke melden und keine der anderen, das ist ein gutes Zeichen für die App.
Die zweite gerade kursierende Meldung über die App in der FAZ, die sich damit ihr Loch noch ein bisschen tiefer gräbt. Überschrift: "Forscher entdecken Sicherheitslücke bei Corona-App". Klingt komisch. "bei" der App. Die meinen bestimmt "in" der App. Nein, meinen sie nicht. Das ist bloß die übliche Schlagzeilen-Irreführung, damit ihr denkt, sie hätten über eine Lücke in der App berichtet, wenn ihr nur Schlagzeile und Anreißer lest. Hier ist der Anreißer:
Durch die Lücke lassen sich sensible persönliche Daten einsehen und verändern.Das wäre ein Totalschaden.
Was steht denn im Fließtext?
Das Problem liege im sogenannten Google-Apple-Protokoll (GAP), einer Schnittstelle zum Betriebssystem.Ja, äh, das ist dann ja wohl keine Sicherheitslücke in der App.
Dazu nutzten die Wissenschaftler einen Code, der jenem, der in den Betriebssystemen von Apple und Google verwendet wird, sehr ähnlich ist.Und sie haben das Problem nicht mal am tatsächlichen Code nachweisen können sondern in einer Simulation eines Nachbaus.
Angreifer könnten die sogenannten Bluetooth-Benutzer-IDs, die von einer Kontaktnachverfolgungs-App erzeugt werden, sammeln und zu Orten umleiten, obwohl sich die Person, die hinter den Daten steckt, dort nie aufgehalten hat.*gähn*
Aber wartet, geht noch weiter!
Außerdem war es ihnen möglich, in einem bestimmten Gebiet die Bewegungen einzelner Personen detailliert zu rekonstruieren. Zwar brauche es dazu technische Hilfsmittel, sagte Freisleben. Aber man müsse auch sagen, dass es Telekommunikationsunternehmen oder anderen Konzernen, die über entsprechende Daten verfügten, jetzt schon möglich sei, Bewegungsprofile zu erstellen.Mit anderen Worten: Sie haben gar nichts.
Halt, halt, noch nicht weggehen, es gibt noch ein Sahnehäubchen:
Die Gefahr, dass die Unternehmen dadurch Zugriff auf medizinische relevante Daten der hiesigen Nutzer erhalten könnten, sei nicht auszuschließen.Bingo! Mehr Bestätigung der Vorwürfe von Rezo geht gar nicht. Irreführendes Verschwörungs-Geraune statt recherchierten Fakten.
Update: Das heißt nicht, dass die App gut ist. Ich habe die nicht angeguckt. Die öffentlich kommunizierten Designziele der App waren gut.
Update: Hier ist die Pressemitteilung der TU Darmstadt zu der FAZ-Meldung, und da steht:
Forschungskonsortium belegt Risiken in Google- und Apple-Spezifikation für Corona-Apps
Eine ganz andere Aussage! Das Paper dazu findet ihr auf arxiv.org.
Als jemand der sich seit einiger Zeit beruflich mit Bluetooth LE (BTLE) Chipsätzen beschäftigt, möchte ich zu Protokoll geben, dass sich BTLE-Signalstärkemessung bestenfalls dazu eignet Nutzer hinter Stahlbetonwänden voneinander zu trennen. BTLE Signale gehen problemlos durch Gipskarton, umgehen als Reflektion problemlos dickere Wände und pflanzen sich mittels Waveguiding auch gerne mal 50 m weit fort. Dazu kommen andere physikalische Effekte und technische Einschränkungen.Ich halte die Theorie für wahrscheinlicher, dass das bloß Ablenkung ist, um Zeit zu gewinnen, und damit die Bevölkerung nicht merkt, wie unvorbereitet die Politik war und dass wir jetzt auf Sicht fahren.Allein die Antennendirektionalität kann zu extremen Messfehlern bei der Empfangsleistung führen, die sich dann direkt in der Distanzschätzung wiederfinden. Hier mal ein Datenblatt eines Chipsatzes von hoher Qualität mit den relevanten Polardiagrammen ab Seite 16. Zum Beispiel bedeutet die 20 dB Differenz zwischen "oben links" und "unten rechts" in Fig. 7, dass man hier eine hundertfach stärkere oder schwächere Empfangsleistung misst — je nachdem aus welcher Richtung der Beacon kommt und wie das Smartphone gehalten wird. Da BTLE als Einantennensystem spezifiziert ist, lässt sich die Signalrichtung prinzipiell nicht feststellen. Damit lässt sich dieser Effekt weder weg kalibrieren noch im Distanzmodell kompensieren. Antennen mit gleichmäßiger Richtcharakteristik (bestenfalls will man hier ja Kugelstrahler) sind im Formfaktor von Smartphones noch Raketentechnologie und Tracing-Apps müssen ja sowieso die Antennen verwenden, die bereits im Feld sind. Übrigens sind die Haltewinkel der Smartphones bei den “Kalibrierungsmessungen” in Singapur als Faktoren überhaupt nicht kontrolliert worden — wirkt dort alles sehr aufwändig und “technisch”, ist aber aus Radiosicht leider sehr naiv.
Dazu kommen Reflektionen durch Mehrwegeausbreitung, die die Empfangsleistung je nach Position im Raum und Haltewinkel massiv verändern können. Wir haben das mal mit billigen und teuren Smartphones in einer Büroumgebung durchgemessen und Fehlerfaktoren zwischen 4 und 31 festgestellt. Anbei mal 2 Diagramme dazu — sieh Dir einmal an wie sich das ändert, wenn man die Handys 30 cm zur Seite bewegt. Um das auszugleichen, müsste man jede Ausbreitungsumgebung im Land im 12 cm-Raster vermessen (ungefähre Wellenlänge des BTLE-Signals) oder einfach mit Machine Learning draufhauen (nicht ernst gemeint).
Kurz: Schon die technische Ausgangsbasis der meisten Tracing Apps (Distanzmessung über BTLE-Signalstärkemessung) kann nicht funktionieren. Grundlegende physikalische Effekte führen zu Lokalisierungsfehlern deren Größenordnung (!) bereits den Ansatz irrelevant macht. Das ist aber für Leute aus dem Funkbereich alles nichts Neues. Profis lokalisieren deshalb mit Signallaufzeit (z.B. TDOA) anstatt mit Signalstärke. Dafür sind aber die Uhren in Smartphones viel zu ungenau.
Was mich endlich zu meinem eigentlichen Punkt bringt: Warum lanciert man jetzt eine App die schon technisch gar nicht funktionieren kann? Technische Inkompetenz? Na klar! Fraunhoferische Geldgier? Sicherlich aber vielleicht steckt da noch etwas anderes dahinter ;-)
Aus gut unterrichteter Quelle weiß ich, dass man in Südkorea Infektionen anhand von Kreditkartendaten zurück verfolgt. In Deutschland undenkbar… es sei denn, man lanciert eine dysfunktionale Tracing App, handelt einen Hinterzimmer Deal mit VISA & Co. aus und sagt dann, dass die App wirkt. Ginge natürlich auch mit anderen Datenschutzverletzungen (Kameraüberwachung, toll collect, …) und ist für mich derzeit eines der wenigen Szenarien in dem diese App einen Sinn hat.
CVE-2020-0022 an Android 8.0-9.0 Bluetooth Zero-Click RCE – BlueFragRCE = Remote Code Execution. Die Art von Bug, die man nicht haben will.
Ich dachte mir, ich skizziere mal kurz, wie man da rangehen würde, damit ihr versteht, was das Problem ist.
Nehmen wir also mal an, Bluetooth ginge nicht durch Wände und mein Telefon hätte Daten darüber, welche Geräte in den letzten zwei Wochen im Radius von 2m waren.
Aus Datenschutzgründen speichern wir nicht die echte ID des Gerätes, sondern dein Handy generiert für jedes 2m-Radius-Ping ein neues zufälliges Token. Das Token wäre so, dass dein Gerät es wiedererkennen kann, aber sonst niemand es deinem Gerät zuordnen kann. Wenn du jetzt herausfindest, dass du dir Covid eingefangen hast, dann gehst du mit der Liste der Tokens der letzten beiden Wochen zu einem Server und lädst sie dort hoch.
Da haben wir das erste größere Privacy-Problem. Der Server sieht deine IP und dass du infiziert bist. Das ist schonmal nicht gut. Aber nehmen wir mal an, das ginge irgendwie, vielleicht über Tor anonymisiert.
Wie teilt denn der Server jetzt den Betroffenen mit, dass sie ein Problem haben? Die Tokens konnte man ja nicht zuordnen! Das war ja absichtlich so designed.
Also müsste man das so machen, dass alle Geräte periodisch auf dem Server die Liste aller Tokens abholen, und dann gucken, ob sie betroffen waren. Das wären sehr schnell sehr große Downloads. Das ist also auch kacke. Man würde also lieber ein System basteln, indem die Tokens zwar nicht direkt zuordnungsfähig sind, aber wo man bei der Abfrage einen Wert hochlädt, anhand dessen dann der Server die Tokens identifizieren kann, die mich betreffen. Diesen Wert könnte man z.B. im Telefon täglich oder stündlich neu vergeben, um die Zuordnung zu erschweren. Aber wenn wir das machen, dann kann der Server sehen, ob ich infiziert bin, weil die Antwort an mich nicht leer ist.
Das ist also auch Mist. Die offensichtliche Lösung wäre, entweder auch über Tor zu gehen (das kann man bandbreitentechnisch mal vergessen, das würde das Tor-Netz vermutlich krass überfordern). Oder man baut in die Daten der Infizierten auch lauter "blinde" Tokens ein, die "nicht infiziert" heißen, aber das kann nur das Endgerät des Betroffenen sehen. Dann müssten aber alle Endgeräte die ganze Zeit immer zwei Tokens hochladen, das Blind-Token und das echte Token, damit der Server nicht sieht, welches welches ist. Das wäre vom Traffic und dem Speicherplatz für die Datenbank her prohibitiv teuer.
Ich sehe da ehrlich gesagt nicht viel Luft für eine datenschutzrechtlich einwandfreie Lösung.
Da muss man schon echt die Augen zukneifen und viel mit den Händen herumwedeln, um sich von der nervigen Realität abzulenken. Da kommen dann so Modelle wie "Ja gut, aber die IP speichern wir ja nicht, das wäre ja böse. Vertrauen Sie uns. Wir sind die Guten." raus. Oder "wir machen das mit Google/Apple/Vodafone/Telekom, die haben eh eure Daten". Ja super.
Bleiben so Modelle wie "wir zwingen einfach die Telcos dazu, diesen Traffic kostenlos zu machen". Oder "Wir teilen das in zwei Teile auf; Google macht den einen, Apple den anderen. Der Kapitalismus schützt uns dann schon davor, dass die Kartellbildung machen." Mag sein, aber der Kapitalismus schützt uns nicht davor, dass Hacker bei beiden einbrechen oder dass der Staat einfach per Durchsuchungsbeschluss bei beiden die Daten rausträgt und verknüpft.
Update: Eine Krypto-Lösung ist einem Kumpel noch eingefallen. Man macht das so, dass man die Tokens mit einem Pseudozufallszahlengenerator generiert. Die funktionieren so, dass man sie mit einem (hoffentlich tatsächlich echt zufälligen) Zufallswert füttert und der Rest der augespuckten Werte sieht zufällig aus und ist auch praktisch nicht vorhersagbar, wenn man nicht den Initialwert kennt. Das könnte man nutzen, indem man im Infektionsfall den Seed veröffentlicht, und die Tokens bleiben auf den Endgeräten. Dann könnte mein Handy vom Server die Liste der Seeds holen und gucken, ob es damit irgendwelche der gespeicherten Tokens generieren kann. Nachteil: Das wäre eine sehr akkuunfreundliche Operation. Und man müsste die Initialwerte einmal pro Woche neu auswürfeln, damit nicht beliebig lange in die Vergangenheit Treffer rausfallen würden.
Update: Man kann da noch Bandbreite optimieren, z.B. mit einem Bloom-Filter. Wenn ihr davon noch nie gehört habt, googelt das mal. Das zum ersten Mal erklärt bekommen löst in manchen Menschen eine religiöse Erfahrung aus :-)
Da der Hebel so hoch ist (jedes Endgerät im Land einmal pro Tag) ist das aber immer noch sehr viel Traffic.
Update: Liebe Leute, der Punkt dieses Beitrags war nicht, eine Lösung zu finden. Der Punkt war, euch ein Gefühl dafür zu geben, was da so ein paar der Dimensionen des Problemraums sind. Mein Eindruck ist, dass im Moment viele Leute so „mein Cousin kann PHP, der hätte da schon längst was gehackt” drauf sind, und gar nicht verstehen, wieso man da überhaupt so lange berät und wieso da nicht einfach kurz jemand was hackt.
Es ging damit los, dass jemand meinte: Hey, wir brauchen eine App.
Da war die Sache eigentlich schon klar.
Ich weiß nicht, wer das war, aber ich vermute einen bekloppten Big-Data-Sprallo, der mal eine Familienpackung KI-in-der-Cloud-Bullshit an den Steuerzahler verkaufen wollte.
Ich hörte das Gerücht, dass es Hans-Christian Boos war. Ich hatte mit dem noch nie was zu tun, insofern kann ich nicht einschätzen, was der kann. Aber seine Selbstdarstellung checkt einmal alle Boxen. Da muss ich echt aktiv meinen Würgreiz unterdrücken, wenn ich das lese. Oh und er ist im Digitalrat der Bundesregierung. Das spräche gegen die Kompetenzvermutung. Aber wer weiß, ich kenn den nicht. Und ich hörte, der sei eigentlich schon eher einer der Guten, nur halt irgendwie komisch sozialisiert mit seinem Big-Data-KI-in-der-Cloud-Scheiß.
Aber gut, ignorieren wir mal, aus welcher Ecke das kommt. Ergibt das denn inhaltlich Sinn, wenn wir die Bewegungsdaten tracken?
Naja. Kommt drauf an. Man könnte sich da Szenarien vorstellen, wo sagen wir mal jemand merkt, dass er infiziert ist, und man dann bei den Handydaten mal guckt, mit wem der so Kontakt hatte in den letzten zwei Wochen. Dafür würde es reichen, wenn dein Handy ein Profil speichert und nach zwei Wochen immer rausaltert. Man will ja in der Situation auch selber Menschen retten, an deren Ansteckung man beteiligt war, insofern würde es reichen, wenn das freiwillig stattfindet und die Daten überhaupt nur entschlüsselt werden, wenn der Eigentümer des Geräts zustimmt.
Aber, wenn ihr mal genau hinguckt: Das ist nicht das Modell, um das es hier geht. Die Debatte geht darum, ob man die Daten zentral (d.h. auf einem Server der EU) speichert oder dezentral (jedes Land hat eigene Server). Kein Mensch redet von einer Variante, wo die Daten auf deinem Handy bleiben.
Also muss ein anderes Szenario gemeint sein. Wenn man da mal ein bisschen guckt, findet man nur so Big-Data-Allgemeinplätze und Forschungsinteresse, die so neutral wie Strömungsmechanik in Gewässern formuliert werden.
Aber nehmen wir mal an, das hätte alles Hand und Fuß.
Grundsätzlich klingt dezentral ja schonmal besser als zentral. Es gab da einen Vorschlag für eine Plattform namens "PEPP-PT" (was für ein bekloppter Name!), wo die Daten landen. Und da gab es einen Untervorschlag namens "DP-3T", der zumindest von den Zieldefinitionen her klang, als wäre da jemand am Datenschutz interessiert. Der verschwand dann plötzlich vor ein paar Tagen von der Webseite von PEPP-PT, und die Leute, die den eingereicht hatten, waren anscheinend genau so überrascht wie die Beobachter von außen. Die sprangen daraufhin von dem Projekt ab, wie auch das Helmholtz-Zentrum. Und jetzt stehen alle vor den Trümmern und keiner will es gewesen sein.
Fakt ist, dass alle Vorschläge für eine App, die Bewegungsdaten sammelt, sehr kritisch gesehen werden müssen, weil das Missbrauchspotential so enorm ist.
Auf der anderen Seite sehe ich aber auch überhaupt keinen Anlass für die Annahme, dass die den Rest hingekriegt hätten. So eine App hätte ja noch andere Parameter. Wie sie sich z.B. auf die Akkulaufzeit auswirkt, wieviel Daten das verschickt, wer für die Übertragung der Daten zahlen soll, wer den Speicher betreibt, etc. Und so eine App wird ja auch gerne mal vom OS gekillt, wenn sie keine interaktive Komponente hat und der Benutzer gerade andere Dinge tun will, oder wenn sie zuviel Strom verbraucht hat.
Kurz gesagt: Hängt euch mal nicht am Datenschutz auf. Da kann man noch viel mehr Dinge verkacken. Und so wie es im Moment aussieht ist das so ein fraktal verkacktes Ding wie BER. Egal wo du konkret hinschaust: alles ist vergiftet.
Was ist denn z.B. wenn jemand an ein paar alten Leuten mit Vorbelastung vorbei geht, die aber kein Handy haben? Oder deren Handy ist aus weil der Akku alle ist? Oder die haben noch ein Uralt-Gerät ohne Apps und Bluetooth?
Ich persönlich halte die ganze Debatte ja für Ablenkung. Damit ihr das Gefühl habt, es geschieht was. Denn wenn ihr nicht das Gefühl habt, dass was passiert, stellt ihr möglicherweise den Rest des Maßnahmenkatalogs in Frage, und das wäre Scheiße für alle. Daher simulieren sie jetzt vor euren Augen ein neues Maut-Debakel.
Gehen Sie weiter. Hier gibt es nichts zu sehen.
Nee, warte, gehen Sie nicht weiter! Bleiben Sie drinnen!
Update: Ihr wisst, dass ich Recht habe, wenn sie das jetzt nach Strich und Faden verkacken, und dann sagen, die Datenschutzanforderungen seien Schuld gewesen. Dann wisst ihr, dass sie euch dreist ins Gesicht lügen.
Update: Das ist auch eine gute Gelegenheit, nochmal die CCC-Prüfsteine für solche Apps zu verlinken.
Update: Für die Nicht-Techniker unter euch: Habt ihr schonmal Bluetooth-Discovery in eurer Wohnung gemacht und Drucker oder Fernseher des Nachbarn gesehen? Das Problem wird auch diese App haben. Das sorgt dann für eine Tonne False Positives in der Datenbank und könnte dem ganzen Projekt das Genick brechen.
Update: Ein Leser hat mich noch auf diesen offenen Brief hingewiesen, den einmal alle Forscher mit Rang und Namen in dem Bereich unterschrieben haben. Inhalt:
Thus, solutions which allow reconstructing invasive information about the population should be rejected without further discussion.
Update: Es gibt da noch ein paar Gerüchte gerade. Eines ist, dass die Bundesregierung erkannt hat, dass das nur mit einem Vertrauen-Sie-Uns-Siegel der Datenschützer von der Bevölkerung angenommen wird, und haben daher angesagt, dass das von Datenschützern auditiert werden muss. Die Datenschützer haben daraufhin gesagt, dass sie nur Lösungen auf Compliance auditieren können, wo die Daten zentral (oder von mir aus auf mehrere Locations verteilt aber jedenfalls nicht P2P!) lagern. Und damit fielen dann die P2P-Ansätze direkt raus. Im Übrigen ist auch völlig unklar, was eigentlich "dezentral" bedeutet. Jedes Land macht was eigenes? Verschiedene Organisationen haben eigene Server? Ganz eigene Software vielleicht? Nichts genaues weiß man nicht!
Ich bin mir ja sicher, dass das überhaupt nur mit Blockchain lösbar ist. Was das für Forschungsmittel freimachen würde!!1! *sabber*
Update: Das PEPP-PT-Konzept findet ihr hier, falls ihr mal nach den besonders schlimmen Stellen suchen wollt. PEPP-PT selbst ist anscheinend ein Fraunhofer-Forschungsmittel-Acquise-Projekt. Die haben erstmal alle Institute mit reingeholt, die nicht bei drei auf den Bäumen waren. Ich weiß ja nicht, wie es euch geht, aber bei Fraunhofer werde ich hellhörig. Besonders bei einem Projekt, wo es um meine Privatsphäre geht. Und wenn ich dann "vertrauen Sie uns" höre. Nein, Fraunhofer. Tue ich nicht.
Ich fand ja Bluetooth immer sympathisch, weil es nicht routing-fähig ist. Es gibt ein natürliches Limit auf die Entfernung, aus der man angegriffen werden kann. Das ist schonmal deutlich besser als, sagen wir, IP über WLAN.
Allerdings kann ein Angreifer den Schlüsselaustausch auf 1 Byte Entropie heruntermanipulieren. Damit ist Bluetooth-Sicherheit kaputt. Das ist auch kein "wir implementieren nur die halbe Spec, um Geld zu sparen"-Ding. Die Spec ist schon kaputt.
Zu viele Gäste im Zürcher Hallenstadion hatten nämlich das Bluetooth ihrer Handys eingeschaltet. Das störte die Steuerung. «Wir haben beim Einlass der Gäste einen Verlust der Kommunikationsverbindung zu unserem Kontrollsystem bemerkt», sagt der Technische Leiter André Strebel.M( (Danke, Martin)
Money Quote:
The attack does not require the targeted device to be paired to the attacker’s device, or even to be set on discoverable mode.Wir reden hier von Remote Code Execution.
Korean startup Monit’s new Bluetooth sensor wants to make sniff tests a thing of the past by alerting parents as soon as their baby’s diaper is soiled. Later on, the sensor can be turned into a portable air quality and temperature monitor, extending its usefulness.Mir gehen die Witze aus, sorry.
Im Review Prozess fand Apple Anstoß an den Folgenden Inhalten:Hardware attacks: hacking chips on the (very) cheap
Bluetooth Hacking – The State of The Art
Hacking Medical Devices
Gamehacking & Reverse Engineering
Crypto-Hacking Export restrictions
Jailbreak: eine Einführung
Social Engineering und Industriespionage
$kernel->infect(): Creating a cryptovirus for Symfony2 apps
Ich hoffe mal, die Verlage haben in der Zwischenzeit mal den Kopf aus ihrem Arsch gezogen und merken, dass proprietäre Plattformen mit Walled Garden keine akzeptable oder gar unterstützenswerte Distributionswege sind. Was kommt als nächstes, Apple killt die Tagesschau-App, weil die Tagesschau mal einen negativen Halbsatz über Apple fallen gelassen hat?
Mein Kumpel Erdgeist hat dazu mal ein paar Gedanken aufgeschrieben.
HOW TO TRACK DETAINEES: "I've just thought of something," the King added, and proposed implanting detainees with an electronic chip containing information about them and allowing their movements to be tracked with Bluetooth. This was done with horses and falcons, the King said.Was tut man als Diplomat, wenn einem so ein menschenverachtender Vorschlag gemacht wird? Auslachen? Aufstehen und gehen? Nein, man sagt die Wahrheit:Brennan replied, "horses don't have good lawyers," and that such a proposal would face legal hurdles in the U.S., but agreed that keeping track of detainees was an extremely important issue that he would review with appropriate officials when he returned to the United States.Mit anderen Worten: klar würden wir denen RFID-Tracker implantieren, wenn nicht immer diese nervigen Anwälte im Wege stünden!1!! (via)
By appearances, the act of holding the phone impares signal strength. I'm not so bothered because I typically use a Bluetooth headset rather than hold a phone.Genau. Wenn euch das betrifft, dann seid ihr selber Schuld. Keinesfalls hat Apple einen Fehler gemacht, hört ihr?Update: If I hold the phone out from my palm, but sill firmly gripped, the number of bars diminishes only slightly.[…]
Otherwise, my initial reaction to iPhone 4 is favorable.
Update: Apples Werbung zeigt hilfreicherweise, wie man das falsch hält.
Dann brauchten wir ein devfs. Da hießen dann plötzlich alle Devices anders. Klar, liegt ja auch nahe. Also haben wir alle Software anfassen müssen, die mit Devices operiert.
Dann reichte das plötzlich nicht mehr, und wir brauchten udev. Da hießen dann plötzlich wieder alle Devices anders. Klar, liegt ja auch nahe. Also haben wir wieder alle Software anfassen müssen, die mit Devices operiert.
Das reichte dann plötzlich auch nicht mehr. Wir brauchten ein Layer darüber, "hald", von den Freedesktop-Spacken. Das habe ich noch nie irgendwo funktionieren sehen, es ist die Krätze auf Erden, ein unfassbarer Haufen Scheiße, das geht gar nicht. Der Antichrist persönlich würde sich in Grausen abwenden, wenn es ihn gäbe. Es ist so furchtbar, dass selbst seine Erfinder sich jetzt davon abwenden. Das neue X 1.8 zieht jetzt seine Device-Informationen nicht mehr aus hald, sondern aus udev. Das führt bei mir dazu, dass er weder Maus noch Keyboard findet. Warum auch. Braucht man ja auch nicht. Natürlich beendet sich X nicht, wenn er keine Devices findet, sondern er bleibt hängen, so dass man die Kiste resetten muss, um es wieder zu beenden. TOLLES ENGINEERING, ihr Spacken!
Nach nur wenigen Stunden meiner Lebenszeit, die ich in diesen undebugbaren Haufen Mist stecken mußte, habe ich folgende Lösung gefunden:
Section "ServerFlags"Ich neige ja an sich nicht zu Gewaltphantasien, aber diese Leute haben Ferien in Abu Ghraib verdient.
Option "AutoAddDevice" "false"
Option "AllowEmptyInput" "false"
EndSection
Oh und von dbus fange ich gar nicht an, das setzt dem nochmal eine Krone auf. Wieso erfinden die Leute alle Automatismen, die dann nicht automatisch funktionieren, sondern umfängliche Konfigurationsarbeiten benötigen?! Ich erinnere mich mit Grausen daran, diese furchtbare Bluetooth-Grütze debuggen zu müssen, die plötzlich dbus wollte. KOTZ!
Ich will an der Stelle mal einen Freund zitieren:
die freedesktop-leute spenden ja sonst ihre gesamte zeit damit, linux und x11 zu einem single-user-system zu machen. jetzt sind sie wohl noch einen schritt weiter beim zero-user-system
Das hat mich über die Jahre so viel Zeit gekostet und soviel Ärger gemacht, dass es auf dem besten Weg ist, den Ärger aufzuwiegen, den ich in der Zeit mit bei Windows bleiben gehabt hätte. Es ist eine Schande, dass wir es so weit kommen lassen. Ich bin ja fast gewillt, das langsam als Zersetzungsstrategie aufzufassen, zumal da ja auch die ganzen Distro-Versager mitpfuschen, die offensichtlich alle das Geheimwissen als Firmengeheimnis behalten wollen, das man braucht, um ihren Automatismus-Müll zum Funktionieren zu bewegen.
Tens of thousands of Britons are being covertly tracked without their consent in a technology experiment which has installed scanners at secret locations in offices, campuses, streets and pubs to pinpoint people's whereabouts.The scanners, the first 10 of which were installed in Bath three years ago, are capturing Bluetooth radio signals transmitted from devices such as mobile phones, laptops and digital cameras, and using the data to follow unwitting targets without their permission.
The data is being used in a project called Cityware to study how people move around cities. But pedestrians are not being told that the devices they carry around in their pockets and handbags could be providing a permanent record of their journeys, which is then stored on a central database.
Seht ihr, ist ganz harmlos. Geht nur um das Studium von Bewegungsmustern. Dass das in einer Datenbank landet, das ist bloss, äh, das machen wir als Durchsatz-Benchmark für die Datenbank, da müsst ihr euch nichts bei denken!1!! (Danke, Timo)
Bluehat bestand aus 5 Vorträgen in einem Saal, und dann einem Haufen Lightning Talks. Die Vorträge haben mich jetzt nicht so vom Hocker gehauen, bis auf den über Hardware-Hacken von Bunnie und Felix Domke. Ich geh mal der Reihe nach durch.
"Your Underground Vulnerability Economy" war von einem hyperaktiven Typ, der da irgendwelche IRC-Kanäle zitiert hat, und da Preise genannt hat, was man angeblich wo kaufen kann, und daß die Leute da mit Datensätzen handeln. Na was für ein Schocker. Von der Seriosität kam der Typ mir ein bißchen wie eine Kreuzung aus Gebrauchtwagenverkäufer und Megachurch-Pfarrer vor.
"Breaking Into Microsoft Security Tools" war ziemlich lahm (und inzwischen habe ich noch ein paar Leute herzhaft über die Vortragenden herziehen hören, was das Bild vervollkommnete). Als Inhalt hatten sie da Windows Defender (Microsofts Antimalware-Produkt), und sie haben da als großen Hack gezeigt, daß man dem ein Signatur-Update geben kann, und der dann seine eigene Engine löscht. Also bei dem Titel hatte ich mindestens Code Execution erwartet.
Der Windows Mobile Vortrag stellte sich als Bluetooth-Vortrag heraus. Die beiden Vortragenden wirkten ein bißchen wie Zeugen Jehovas, mit Dauergrinsen im Konfirmationsanzug. Also nicht unsympathisch, aber irgendwie auch nur bedingt überzeugend. In dem Vortrag hatten sie dann eine Man-in-the-Middle Angriff auf Bluetooth. Ansonsten platzierten sie da die Botschaft, daß sie schon total voll lange mit ihrer Firma am Start sind, also mindestens anderthalb Jahre, und wie toll sie mit den ganzen Vendors zusammenarbeiten würden.
"Death by 1000 Cuts" hab ich erst für einen Scherz gehalten. Es ging da wohl um Browser-Angriffe, aber der Vortrag bestand im wesentlichen aus "künstlerischen" Videoclips, wo irgendwelche Buzzword-Scheiße über den Bildschirm rotierte, so wie man sich einen Flash-Screensaver vorstellen würde, während eine Frauenstimme zusammenhanglos Dinge wie "HTML", "Tags", "Web 2.0" und "AJAX" murmelte, und er erzählte da eine Geschichte, wie jemandem seine Daten geklaut wurden. Ich glaube, dieser Typ hat sich in der Veranstaltung geirrt. Das war eher peinlich.
Bei den Lightning Talks hat das Office Security Team (u.a. David LeBlanc, den man ja von seinen Büchern kennt) ihre Sandbox vorgestellt, mit der sie ihren Code zum Importieren von alten Office-Dokumenten absichern wollen, indem sie ihn mit Dingen wie einem restricted Token und einem separaten Desktop in einem separaten Binary starten. In der Praxis hilft das alles natürlich gar nichts, aber immerhin raucht dann nur der Import-Prozeß ab, nicht das ganze Office. Ein Angreifer kriegt immer noch Code Execution, kann Netzwerk-Kram machen (auch zu localhost) und Kernel-Bugs ausnutzen. Highlight war eine Demo, wo sie nach einigen kaputten Dokumenten auch mal ein Powerpoint-File geöffnet haben, das nicht korrupt war, um zu zeigen, daß das auch geht, und die bestand im Wesentlichen aus diesem großartigen Bild hier. Soll noch mal jemand sagen, Microsoft habe keinen Humor! :-)
