Author Archives: Linus Neumann
Das Internet und seine Auswirkungen auf die Demokratie
Gestern habe ich bei der Schwarzkopf-Stiftung Junges Europa einen Vortrag über die großartigen Chancen und aktuellen Probleme des Internets für die Demokratie gehalten:
Verheißung oder Bedrohung? Das Internet und seine Auswirkungen auf die Demokratie [YouTube-Link].
Mein persönliches Highlight war die anschließende Diskussion.
Continue reading
Wann, wenn nicht wir* | Sicherheit in selbst-organisierenden Systemen
“Wann, wenn nicht wir*” erscheint am 4. September 2019 im Verlag S. Fischer. Das Buch versammelt Fakten über bereits sichtbare Folgen der Klimakrise und ruft zum Handeln auf. Für alle nachvollziehbar, konkret und undogmatisch erklärt es, wie sich das Rebellieren organisieren lässt: Von der gewaltfreien Kommunikation über das Errichten von Straßenblockaden und die Vorbereitung anderer Protestaktionen bis hin zum Kochrezept für mehrere hundert Menschen.
Das Handbuch von, zu und für Extinction Rebellion ruft zu massenhaftem gewaltfreien zivilen Ungehorsam gegen die Klimakrise und das Massenaussterben auf. Ich habe einen kurzen Beitrag über sichere digitale Vernetzung beigesteuert:
Sicherheit in selbst-organisierenden Systemen
Neben dem Zusammenkommen in den Aktionen im öffentlichen Raum ist die digitale Kommunikation die Grundlage für unsere Vernetzung und Zusammenarbeit. Das Internet ist das perfekte Werkzeug für Überwachung, Kontrolle und Macht – und gleichzeitig das perfekte Werkzeug für ihr Gegenteil: Dezentrale Vernetzung, Befreiung und soziale Veränderung. Es liegt an uns, das befreiende Potenzial der Dezentralität auszuschöpfen, Ihre Schwächen zu kennen, und uns gegen zentralisierte Überwachung zu schützen.
Aus technischer und sozialer Sicht birgt aber auch die Dezentralität einige Risiken – insbesondere im Digitalen: Die größte technische Gefahr besteht in den massenhaften digitalen Spuren, die wir hinterlassen. Das größte soziale Risiko ist die Unterwanderung.
Hack und Back vom BND?
In der vergangenen Woche wurden erstmals die konkreten Pläne der Bundesregierung bekannt, in den Cyber-Krieg zu ziehen. Ich sehe in diesem Vorgehen 3 Kernprobleme:
- Spontanes Hacking auf Befehl geht nicht – ein Hack braucht lange Vorbereitung, im Zweifelsfall muss die Infiltration schon lange erfolgt sein, bevor der Befehl zur Sabotage ausgeführt wird.
- Ein Hack setzt bekannte Schwachstellen voraus – diese müssen geheim gehalten werden und auf allen Systemen ungepatcht sein. So werden wir alle einem Risiko ausgesetzt, auf das Wannacry nur ein Vorgeschmack war.
- Schadenabwehr durch Gegenangriff funktioniert nicht – Es fällt auch der Bundesregierung schwer, einen Fall zu konstruieren, in dem ein Gegenangriff zu signifikanter Schadenminderung oder gar -abwehr beigetragen hat oder hätte.
Von den 3 Problemen möchte die Bundesregierung nur dem ersten begegnen: Weil spontane Hacks nicht funktionieren, sollen die Offensiv-Kapazitäten beim BND angesiedelt werden. Der BND würde damit von der reinen Spionage zur Sabotage übergehen, von der NSA zur CIA werden. Begriffe wie “Hackback”, “Abwehr” oder “Verteidigung” sind dabei nicht zutreffend, weil die Infiltration der Zielsysteme bereits vorher erfolgt. In Logbuch:Netzpolitik Folge 248 haben wir dafür den Begriff “Hack & Back” eingeführt.
Ausführlich haben wir das Thema mit Frank Rieger in “LNP272 Alles zerfragen” behandelt. In der aktuellen Folge von Logbuch:Netzpolitik gehen wir auf die aktuellen Entwicklungen ein. Teile meiner Kritik durfte ich bei Deutschlandfunk Nova und in der Tagesschau vertreten:
Links:
- tagesschau.de: Die Hackback-Pläne der Bundesregierung
- logbuch:netzpolitik: LNP248 Hack & Back
- logbuch:netzpolitik: LNP272 Alles zerfragen
- logbuch:netzpolitik: LNP303 Halt mal meinen Pflaumenschnaps
- BR24: Abwehr von Cyberattacken: Seehofer plant den Gegenangriff
- Deutschlandfunk Nova: Cyberattacke – Seehofer plant den Gegenangriff
Vortrag bei der #rp19 TINCON
Die Berliner Netz-Konferenz re:publica pflegt seit einiger Zeit auch eine erfolgreiche Sub-Konferenz, die sich spezifisch an Jugendliche richtet: die TINCON. Klarer Fall, dass das die coolere – und auch die wichtigere – Konferenz ist.
Ich durfte mit dem Vortrag “Wie Hacker hacken (und möglichst nicht mich)” einen Beitrag zum Programm leisten:
Zu Gast beim Kinderkanal
In der vergangenen Woche war ich zu Gast bei Timster, einer Wissenssendung auf dem Kinderkanal. Ich war sehr positiv beeindruckt, wie viel Mühe, Vorbereitung, Nachdenken und Aufwand in die Produktion dieser Kindersendung geht. Das Team hat großen Wert darauf gelegt, die Dinge korrekt und kindergerecht zu erklären – gar keine einfache Aufgabe!
Continue readingLehren aus den Doxing-Angriffen
Nach dem öffentlichen Bekanntwerden konnten Täter und Mittäter hinter den ausführlichen Datenveröffentlichungen im “Doxing-Adventskalender” sehr zügig dingfest gemacht werden. Nun ist es Zeit, daraus die richtigen Lehren zu ziehen.
War das ein Superhack?
Nein. Es ist auch nichts, worauf man stolz sein könnte.
- “Nur” 50 der 1.000 betroffenen Personen wurde wirklich gehackt – der Rest der Daten stammte aus diesen illegalen Zugriffen und vermutlich aus weiteren Recherchen.
- Das Vorgehen war simpel, hatte keine besondere technische Komponente und
- der Täter verstand es nicht, seine Spuren zu verwischen um sich nicht erwischen zu lassen.
Das bedeutet aber auch:
Continue readingMenschliche Faktoren der IT-Sicherheit
Für die Ausgabe 11/12.2018 von Report Psychologie habe ich einen Beitrag über die menschlichen Faktoren beim Hacking beigesteuert:
Wenn Hacker Menschen hacken
»Unser System ist unhackbar«, hören wir diverse Hersteller von Software oder Hardware immer wieder betonen. Und immer und immer wieder werden sie eines Besseren belehrt, sobald Fachkundige mit gutartiger oder bösartiger Motivation diese Aussage auf die Probe stellen.
Wie aber funktioniert eigentlich dieses Hacken? In der Breite der Gesellschaft herrscht über diese Frage eine ausgeprägte Unkenntnis, in deren Schatten sich allerlei mythische Theorien breitmachen…
Have you been wp-gdpr-compliance’d?
An ugly vulnerabilty in the wordpress plugin wp-gdpr-compliance was recently discovered and reported by Mikey Veenstra of wordfence. Please read his very comprehensive write-up of the vulnerability and its IOC right after updating to the latest version to be safe.
Since I was also using the plugin, this vulnerability was giving me a headache today. Based on wordfences report, I wrote a quick and dirty shellscript to search for indicators of compromise on the various wordpress hosts I am sadly administrating. As usual, please do not run the script without thouroughly checking und understanding what it does. You will likely need to modify constants and paths.
Also, please make sure you stay up to date and on top of things while other researchers discover more indicators of compromise and develop better detection techniques. Continue reading
Damit es der Russe(TM) nicht macht: CCC hackt die Bundestagswahl
Zusammen mit Thorsten Schröder und Martin Tschirsich habe ich mir in den letzten Wochen die zur Organisation, Erfassung, Berechnung, grafischen Präsentation, Meldung und statistische Nachbereitung von Wahlen verwendete Software PC-Wahl angeschaut.
Dabei ist uns einer Reihe an Sicherheitslücken aufgefallen, die sich zu drei unterschiedlichen praktikablen Angriffszenarien auf die Bundestagswahl kombinieren lassen. Die Ergebnisse haben wir in einem 23-seitigen Bericht zusammengefasst und die im Rahmen der Analyse entwickelten Angriffe auf github veröffentlicht.
Darüber berichtet die ZEIT auf Papier und online darüber, ebenso wie Spiegel Online und netzpolitik.org. In Logbuch:Netzpolitik 228 berichten wir darüber hinaus ausführlich und in lockerer Atmosphäre von der Analyse.
„Es ist einfach nicht das richtige Bundestagswahljahrtausend, um in Fragen der IT-Sicherheit bei Wahlen ein Auge zuzudrücken“, sagte Linus Neumann. „Wirksame technische Schutzmaßnahmen sind teilweise seit Jahrzehnten verfügbar. Es ist nicht nachvollziehbar, warum diese keine Anwendung finden.“
- Bericht: Analyse einer Wahlsoftware
- Repository: Walruss PC-Wahl 10 Hacking Tools
- Podcast: Logbuch:Netzpolitik 228 Interessierte Bürger
- Pressemitteilung CCC: Software zur Auswertung der Bundestagswahl unsicher und angreifbar