Hacking on Linus Neumann

Sicherheitslücke gefunden – und nun? (38C3)

Tue, 31 Dec 2024 00:00:00 +0000

Auf dem 38C3 haben kantorkel und ich erzählt, was wir das ganze Jahr über machen: Sicherheitslücken melden – die eigenen und die, bei denen andere uns als CCC bitten, als Mittler aufzutreten.

Wir besprechen, wie man eine Schwachstelle vernünftig meldet, und warum der schwierige Teil selten das Finden ist.

↗ YouTube

Technisch sind die meisten Fälle langweilig: ein offener .git-Ordner, ein Symfony-Profiler im Produktivbetrieb, ein ungeschützter S3-Bucket.

Dahinter liegen dann 160.000 Profile von Arbeitssuchenden, eine Viertelmillion Kundendaten eines Weinshops oder die Zwei-Faktor-SMS für hunderte Web-Portale.

#37C3 Hirne hacken: Hackback Edition

Thu, 04 Jan 2024 00:00:00 +0000

Zusammen mit Kai Biermann habe ich beim 37C3 über Ransomware Gangs, ihre Vorgehensweisen und Hintermänner, sowie die Verhandlung von Lösegeldern vorgetragen.

↗ media.ccc.de
↗ YouTube

Beruflich habe ich regelmäßig die zweifelhafte Ehre, Ransomware-Schäden aufzuräumen und dabei gelegentlich auch mit den Angreifern interagieren und verhandeln zu müssen. Meine Erfahrungen dabei, sowie einige lustige Anekdoten, waren das Lock-Material. Der wirklich wichtige Teil des Vortrags ist natürlich, wie man sich gegen diese Angriffe wirksam schützt, um niemals überhaupt verhandeln oder sogar das Lösegeld bezahlen zu müssen.

Neumanns Blogs sind ein Tanz auf dem Vulkan.

Wed, 01 Mar 2023 00:00:00 +0000

Vor 4 Jahren haben THS und ich einen Vortrag beim Chaos Communication Congress gehalten. Offenbar hat ihn nun ein Krone-Journalist bei YouTube gefunden.

Hirne Hacken #36C3

Sun, 12 Jan 2020 00:00:00 +0000

Beim 36C3 habe ich einen Vortrag über menschliche Faktoren der IT-Sicherheit gehalten:

Die überwältigende Mehrheit der erfolgreichen Hacks in freier Wildbahn setzen auf menschliche Faktoren. Wie können wir Systeme und Interfaces gestalten, um diese Schwachstellen zu mindern?

Ob Ransomware oder Phishing, APT-Angriffe oder Stalking: Die am häufigsten ausgenutzte Schwachstelle ist der Mensch.

Ein Problem, das nur wenig Forschung tatsächlich angehen will. Stattdessen begnügen wir uns damit, den Usern Dummheit zu unterstellen und menschliche Faktoren der IT-Sicherheit “out of scope” zu sehen.

Vortrag bei der #rp19 TINCON

Thu, 09 May 2019 00:00:00 +0000

Die Berliner Netz-Konferenz re:publica pflegt seit einiger Zeit auch eine erfolgreiche Sub-Konferenz, die sich spezifisch an Jugendliche richtet: die TINCON. Klarer Fall, dass das die coolere – und auch die wichtigere – Konferenz ist.

Ich durfte mit dem Vortrag “Wie Hacker hacken (und möglichst nicht mich)” einen Beitrag zum Programm leisten:

↗ YouTube

Menschliche Faktoren der IT-Sicherheit

Fri, 16 Nov 2018 00:00:00 +0000

Für die Ausgabe 11/12.2018 von Report Psychologie habe ich einen Beitrag über die menschlichen Faktoren beim Hacking beigesteuert:

Wenn Hacker Menschen hacken

»Unser System ist unhackbar«, hören wir diverse Hersteller von Software oder Hardware immer wieder betonen. Und immer und immer wieder werden sie eines Besseren belehrt, sobald Fachkundige mit gutartiger oder bösartiger Motivation diese Aussage auf die Probe stellen.
Wie aber funktioniert eigentlich dieses Hacken? In der Breite der Gesellschaft herrscht über diese Frage eine ausgeprägte Unkenntnis, in deren Schatten sich allerlei mythische Theorien breitmachen…

Der PC-Wahl-Hack (34C3)

Wed, 03 Jan 2018 00:00:00 +0000

Auf dem 34C3 haben Thorsten Schröder, Martin Tschirsich und ich unsere Analyse der Wahlsoftware PC-Wahl vorgestellt. Das ist der ausführliche Vortrag zu dem, was wir im September 2017 öffentlich gemacht hatten – mit allen Angriffswegen, dem Hersteller-Trauerspiel und einem Abschlussfeuerwerk.

↗ media.ccc.de
↗ YouTube

Kurz zur Einordnung: Gewählt wird auf Papier, aber die Schnellmeldungen am Wahlabend – das vorläufige Ergebnis – laufen durch Software. PC-Wahl kommt laut Hersteller in allen Flächenländern zum Einsatz und ist für bis zu 33 Millionen Stimmen zuständig. Das amtliche Endergebnis wird ohnehin von Hand ausgezählt und kommt erst gut zwei Wochen später.

Ransomware 'Locky' bei Arte Xenius

Tue, 03 Jan 2017 00:00:00 +0000

Für die Arte-Wissenssendung Xenius („Krieg der Computer") haben Thorsten Schröder und ich im Labor vorgeführt, wie ein Erpressungstrojaner tatsächlich arbeitet.

↗ YouTube

Der Ablauf ist unspektakulär und genau deshalb so wirksam: eine E-Mail mit einer angeblichen Rechnung, ein Word-Dokument, ein Klick auf „Inhalt aktivieren". Dann lädt das Dokument Locky nach, der Trojaner meldet sein neues Opfer beim Command-and-Control-Server, bekommt einen Schlüssel und verschlüsselt in Sekunden eine Datei nach der anderen. Danach folgt das Erpresserschreiben: ein halbes Bitcoin, damals rund 200 Euro, für die Entschlüsselung.

Chaosradio 217: "Professional Hackers"

Fri, 30 Oct 2015 00:00:00 +0000

Gestern Abend haben wir uns im Chaosradio über Hacken als Beruf unterhalten. Die Audio-Aufzeichnung gibt es hier zum Download.

Keynote bei den Datenspuren 2015

Mon, 26 Oct 2015 00:00:00 +0000

Am Wochenende fanden in Dresden die Datenspuren 2015 statt.