CCC on Linus Neumann

Der Thüring-Test für Wahlsoftware (38C3)

Sun, 12 Jan 2025 00:00:00 +0000

Auf dem 38C3 haben Thorsten Schröder und ich einen neuen Test vorgestellt: den Thüring-Test für Wahlsoftware. Acht Jahre nach unserem PC-Wahl-Hack wollten wir wissen, ob sich an der Software, mit der Deutschland am Wahlabend seine Ergebnisse erfasst, irgendetwas verbessert hat.

↗ media.ccc.de
↗ YouTube

Zur Erinnerung: 2017 lagen bei der damaligen „PC-Wahl" die FTP-Zugangsdaten im Klartext in der Konfiguration, und die Ergebnisse waren unsigniert.

Das war alles, was man brauchte, um andere Wahlergebnisse auf den Server zu legen. Wir haben das gemeldet, das BSI und das BMI riefen zum Krisentelefonat an, der Hersteller reparierte seine Updates zweimal falsch — und gewählt wurde am Ende mit einer „Notfallhandreichung", die im Kern empfahl, die Ergebnisse zur Sicherheit noch einmal durchzutelefonieren.

Sicherheitslücke gefunden – und nun? (38C3)

Tue, 31 Dec 2024 00:00:00 +0000

Auf dem 38C3 haben kantorkel und ich erzählt, was wir das ganze Jahr über machen: Sicherheitslücken melden – die eigenen und die, bei denen andere uns als CCC bitten, als Mittler aufzutreten.

Wir besprechen, wie man eine Schwachstelle vernünftig meldet, und warum der schwierige Teil selten das Finden ist.

↗ YouTube

Technisch sind die meisten Fälle langweilig: ein offener .git-Ordner, ein Symfony-Profiler im Produktivbetrieb, ein ungeschützter S3-Bucket.

Dahinter liegen dann 160.000 Profile von Arbeitssuchenden, eine Viertelmillion Kundendaten eines Weinshops oder die Zwei-Faktor-SMS für hunderte Web-Portale.

#37C3 Hirne hacken: Hackback Edition

Thu, 04 Jan 2024 00:00:00 +0000

Zusammen mit Kai Biermann habe ich beim 37C3 über Ransomware Gangs, ihre Vorgehensweisen und Hintermänner, sowie die Verhandlung von Lösegeldern vorgetragen.

↗ media.ccc.de
↗ YouTube

Beruflich habe ich regelmäßig die zweifelhafte Ehre, Ransomware-Schäden aufzuräumen und dabei gelegentlich auch mit den Angreifern interagieren und verhandeln zu müssen. Meine Erfahrungen dabei, sowie einige lustige Anekdoten, waren das Lock-Material. Der wirklich wichtige Teil des Vortrags ist natürlich, wie man sich gegen diese Angriffe wirksam schützt, um niemals überhaupt verhandeln oder sogar das Lösegeld bezahlen zu müssen.

rC3 2021

Thu, 06 Jan 2022 00:00:00 +0000

Aus bekannten Gründen hat auch 2021 eine remote chaos experience (rC3) stattgefunden.
Im Vortrag Deine Software, die Sicherheitslücken und ich habe ich zusammen mit Karl und Lilith von zerforschung.org Tips zum Melden von Sicherheitslücken und zum Umgang mit solchen Meldungen gegeben.

↗ media.ccc.de

Für alle, die den Congress vermissen, hat Helena den prototypischen jährlichen Congress-Bericht gebastelt.

↗ media.ccc.de

Doch auch über die rC3 gab es “echte” Medienberichte, zum Beispiel in der Tagesschau und auf Tagesschau24.

Hirne Hacken #36C3

Sun, 12 Jan 2020 00:00:00 +0000

Beim 36C3 habe ich einen Vortrag über menschliche Faktoren der IT-Sicherheit gehalten:

Die überwältigende Mehrheit der erfolgreichen Hacks in freier Wildbahn setzen auf menschliche Faktoren. Wie können wir Systeme und Interfaces gestalten, um diese Schwachstellen zu mindern?

Ob Ransomware oder Phishing, APT-Angriffe oder Stalking: Die am häufigsten ausgenutzte Schwachstelle ist der Mensch.

Ein Problem, das nur wenig Forschung tatsächlich angehen will. Stattdessen begnügen wir uns damit, den Usern Dummheit zu unterstellen und menschliche Faktoren der IT-Sicherheit “out of scope” zu sehen.

Analyse des Staatstrojaners FinSpy #36C3

Tue, 07 Jan 2020 00:00:00 +0000

In den letzten Monaten haben Thorsten Schröder und ich endlich mal wieder ein kleines CCC-Projekt zusammen gemacht, das wir beim Congress endlich der Öffentlichkeit präsentieren konnten: Wir haben den Staatstrojaner Finspy in der Android-Version analysiert.

Anlass ist die Strafanzeige der Gesellschaft für Freiheitsrechte. Wie immer ist das Ganze ein bisschen eskaliert und am Ende haben wir nicht einen, sondern 28 Versionen des Staatstrojaners analysiert und die Samples natürlich auf Github veröffentlicht, um der Community weitere Analysen zu ermöglichen.

Der PC-Wahl-Hack (34C3)

Wed, 03 Jan 2018 00:00:00 +0000

Auf dem 34C3 haben Thorsten Schröder, Martin Tschirsich und ich unsere Analyse der Wahlsoftware PC-Wahl vorgestellt. Das ist der ausführliche Vortrag zu dem, was wir im September 2017 öffentlich gemacht hatten – mit allen Angriffswegen, dem Hersteller-Trauerspiel und einem Abschlussfeuerwerk.

↗ media.ccc.de
↗ YouTube

Kurz zur Einordnung: Gewählt wird auf Papier, aber die Schnellmeldungen am Wahlabend – das vorläufige Ergebnis – laufen durch Software. PC-Wahl kommt laut Hersteller in allen Flächenländern zum Einsatz und ist für bis zu 33 Millionen Stimmen zuständig. Das amtliche Endergebnis wird ohnehin von Hand ausgezählt und kommt erst gut zwei Wochen später.

Damit es der Russe(TM) nicht macht: CCC hackt die Bundestagswahl

Thu, 07 Sep 2017 00:00:00 +0000

Zusammen mit Thorsten Schröder und Martin Tschirsich habe ich mir in den letzten Wochen die zur Organisation, Erfassung, Berechnung, grafischen Präsentation, Meldung und statistische Nachbereitung von Wahlen verwendete Software PC-Wahl angeschaut.

Dabei ist uns einer Reihe an Sicherheitslücken aufgefallen, die sich zu drei unterschiedlichen praktikablen Angriffszenarien auf die Bundestagswahl kombinieren lassen. Die Ergebnisse haben wir in einem 23-seitigen Bericht zusammengefasst und die im Rahmen der Analyse entwickelten Angriffe auf github veröffentlicht.

Darüber berichtet die ZEIT auf Papier und online darüber, ebenso wie Spiegel Online und netzpolitik.org. In Logbuch:Netzpolitik 228 berichten wir darüber hinaus ausführlich und in lockerer Atmosphäre von der Analyse.

„Es ist einfach nicht das richtige Bundestagswahljahrtausend, um in Fragen der IT-Sicherheit bei Wahlen ein Auge zuzudrücken“, sagte Linus Neumann. „Wirksame technische Schutzmaßnahmen sind teilweise seit Jahrzehnten verfügbar. Es ist nicht nachvollziehbar, warum diese keine Anwendung finden.“

Bericht: Analyse einer Wahlsoftware
Repository: Walruss PC-Wahl 10 Hacking Tools
Podcast: Logbuch:Netzpolitik 228 Interessierte Bürger
Pressemitteilung CCC: Software zur Auswertung der Bundestagswahl unsicher und angreifbar

32C3

Wed, 10 Feb 2016 00:00:00 +0000

Großes Lampenfieber hatte ich vor der Eröffnung, die Carina Haupt zusammen mit mir bestritten hat:

↗ media.ccc.de

Das großartige Eröffnungsvideo stammte übrigens von Frederic Brückner, mit Sound von Erich Lesowsky.
Das Design-Gesamtkonzept stammte von Roland Brückner.

Keynote bei den Datenspuren 2015

Mon, 26 Oct 2015 00:00:00 +0000

Am Wochenende fanden in Dresden die Datenspuren 2015 statt.

Vortrag: "Politische Lösungen für technische Probleme" (Chaos Communication Camp 2015)

Thu, 20 Aug 2015 00:00:00 +0000

Beim CCCamp 2015 habe ich einen kleinen Vortrag zum IT-Sicherheitsgesetz gehalten. Die Aufzeichnung ist wie gewohnt bei media.ccc.de erhältlich.

↗ media.ccc.de

30C3: Bullshit made in Germany

Mon, 06 Jan 2014 00:00:00 +0000

Beim 30. Kongress des Chaos Computer Clubs habe ich einen Vortrag über (bundes)deutsche IT-Sicherheitsbestrebungen gehalten.

↗ media.ccc.de
↗ YouTube

Beim Jahresrückblick des CCC habe ich auch mitgewirkt, war aber ziemlich K.O. und nervös auf der Riesenbühne mit über 3.000 Zuschauern. Hier gibt es ein Bild des Saals aus Sicht der Bühne.