Mitternachtshacking

Mich hat folgende Anfrage erreicht:

Ich bin dabei eine Seminararbeit zum Thema Methoden und Konzepte zur Mitarbeitersensibilisierung schreiben. Nun meine Frage: Gibt es hierzu einschlägige und gute Literatur?

Ich tue mir da ein wenig schwer. Viel Material das ich verwende habe ich mir selbst ausgedacht oder ist im Rahmen von Projektarbeiten entstanden. Aktuell arbeite ich gerade wieder für und mit einem Kunden an mehreren Filmen, Fotostories und einer Plakatakation zur Mitarbeitersensibilisierung.

Mir fiel so spontan deshalb gar nicht viel ein (Reihenfolge ohne Wertung):

• Bücher
  • Der Klassiker: Das Buch “Die Kunst der Täuschung” von Kevin Mitnick
• Broschüren und Artikel
  • Die secure-it in NRW Broschüre: Mitarbeitersensibilisierung (PDF)
  • Die LanLine hat ein paar Artikel online
• Webseiten
  • MindfulSecurity.com - The Awareness Resource
  • Microsoft Security TechCenter - Security Awareness
  • Die Security Awareness Toolbox der Information Warfare Site (UK)
  • Das SANS Reading Room Security Awareness
• Öffentliche Dokumente
  • Der Baustein B 1.13 Sensibilisierung und Schulung im BSI Grundschutz
  • Die ENISA-Anleitung “A Users’ Guide: How to raise information security awareness” der EU
  • Der NIST-Standard SP800-50 “Building an Information Technology Security Awareness and Training Program” (PDF)

Das sind im großen und ganzen die Sachen die ich gelesen haben. Über Ergänzung in den Kommentaren würde ich mich freuen.

Voraussetzung zur Aufnahme in diese Liste ist natürlich, daß es sich um öffentliche, frei zugängliche und zitierfähige Dokumente sind. Irgendwelche Pressemitteilungen und Werbeflyer von Firmen helfen nicht weiter. Reine Firmenwerbung ohne Inhalte in den Kommentaren wird von mir deshalb auch nach Gutdünken gelöscht.

Eine schöne Spionagegeschichte mit schlechter Kryptographie:

When Brian Regan was arrested at Dulles Airport, he was carrrying papers containing different types of encrypted messages. To figure out what secrets he was selling and where they were hidden, investigators had to crack three kinds of codes.

Der komplette Text bei Wired. Viel Spaß beim Lesen

Nur ein Link: http://extraexploit.blogspot.com/. Kommt in meine Blogroll.

Die Ausgabe 66 des Phrack Magazin ist veröffentlicht:

• Introduction
• Phrack Prophile on The PaX Team
• Phrack World News
• Abusing the Objective C runtime
• Backdooring Juniper Firewalls
• Exploiting DLmalloc frees in 2009
• Persistent BIOS infection
• Exploiting UMA : FreeBSD kernel heap exploits
• Exploiting TCP Persist Timer
• Malloc Des-Maleficarum
• A Real SMM Rootkit
• Alphanumeric RISC ARM Shellcode
• Power cell buffer overflow
• Binary Mangling with Radare
• Linux Kernel Heap Tampering Detection
• Developing MacOs X Rootkits
• How close are they of hacking your brain

Oder der komplette Download als TGZ. Zu einzelnen Artikeln im Phrack Magazine möchte ich irgendwann noch Einzelartikel schreiben.

Ich persönlich hasse ja Podcasts, Webcasts und sonstige *casts. Einladungen von Herstellern oder Distributoren wandern eigentlich generell in die Ablage P. Aber auch wenn ich mir die Podcasts des CERT vermutlich nie anhören werden, hier trotzdem der Link:

CERT’s Podcast Series: Security for Business Leaders

Unterteilt sind die Podcasts in folgende Kategorien:

• Governing for Enterprise Security
• Measuring Security
• Privacy
• Risk Management and Resilience
• Security Education and Training
• Software Security
• Threat
• Trends and Lessons Learned
• Tips from the Trenches: Areas of Practice

Eventuell ist das ja von allgemeinerem Interesse.

Ich habe mal angefangen, ein paar Dokumente zu sammeln, die sich mit dem § 202c beschäftigen:

• Bitkom: Leitfaden zum Umgang mit Hackertools (PDF, 523 KB)
• EICAR: IT-Sicherheit und § 202c (PDF, 226 KB)
• IT-Sicherheit und der 202c StGB (PDF, 47 KB)
• Die Ãœberkriminalisierung der IT-Sicherheitsbranchen in Deutschland (PDF, 21 KB)

Außerdem gibt es von Dennis Jlussi, der den Eicar-Beitrag geschrieben hat noch ein paar Präsentationen zum Thema. Mehr habe ich bisher nicht gefunden. Kennt noch jemand ein paar Diplomarbeiten von angehenden Rechtsverdrehern oder so, die sich ebenfalls kompetent mit dem Thema beschäftigen?

Wenn es in der deutschen Sprache irgendwann ein Synonym für “zahnloser Bettvorleger” gesucht wird, ist “Deutscher Presserat” einer der heißesten Kandidaten. Zumindest die versammelte Springer-Presse (Demagogen! Alle! Zwanziger gegen Zwanziger hier spenden! Ach nee, das war was anderes, wollte ich aber auch bei passender Gelegenheit verlinken) hat die Rügen des Presserates eigentlich schon immer großzügig ignoriert.

Sehr amüsant fand ich daher den Beitrag von Golem. Der Deutsche Presserat hat die Berichterstattung der Computerzeitschrift PC-Welt über die “15 illegalsten Hacker-Tools” gerügt. Der Artikel entspreche nicht den journalistischen Grundsätzen weil das Ansehen der Presse in Gefahr gerate, wenn eine Zeitschrift Gebrauchsanweisungen für verbotene Software gibt. Unglaublich, dieser Quatsch.

PC-Welt … das ist doch die Zeitschrift, die 1998 getitelt hatte: “Streng Geheim! Wie Sie Microsoft austricken & die Grenzen von Windows sprengen” und dafür prompt von Microsoft verklagt wurde. Der damalige Chefredakteur Michael Klein verteidigte den Bericht mit “Wir haben nur Informationen veröffentlicht, die schon einmal woanders standen.” Beispielsweise in Microsoft-Schulungsunterlagen aber auch in speziell von Microsoft eingerichteten Newsgroups.

Von einem PC-Welt Artikel über die 15 illegalsten Hacker-Tools (erscheint die PC-Welt eigentlich auch in Österreich und der Schweiz? Da wären die meisten Tools gar nicht illegal, nur wir hier in Deutschland leiden unter Frau Zypries) erwarte ich mir daher im Grunde sowas wie:

• Absolut Geheim: Nessus hier runterladen!
• Völlig Top Secret: Mit Wireshark Pakete im Netzwerk abhören!
• Nur für Profis: BackTrack von USB starten!
• Noch geheimer als Geheim: Exploits bei Milw0rm.com (besser ohne Link)

Aber jetzt mal im Ernst … wer die PC-Welt wegen ein paar streng geheimen Windows-Tricks verklagt ist genauso wenig ernst zu nehmen wie jemand, der die PC-Welt wegen ein paar Hackertools rügt. Da müsste Heise ja fast täglich eine Rüge bekommen. Nur die Damen und Herren vom Presserat haben noch nicht gemerkt, daß sich praktisch jede Zeitung in Deutschland inzwischen über sie lustig macht.

Ich warte ja darauf, daß die Hampler der Presserat auch Online-Publikationen ins Auge faßt und mir eine Rüge wegen polemischer Kritik am Presserat erteilt

Das UK “Centre for the Protection of National Infrastructure” in Person von Fernando Gont hat ein hervorragendes Dokument über die Schwachstellen in TCP veröffentlicht:

“During the last twenty years, many vulnerabilities have been identified in the TCP/IP stacks of a number of systems. Some of them were based on flaws in some protocol implementations, affecting only a reduced number of systems, while others were based in flaws in the protocols themselves, affecting virtually every existing implementation. Even in the last couple of years, researchers were still working on security problems in the core protocols.

For some reason, much of the effort of the security community on the Internet protocols did not result in official documents (RFCs) being issued by the IETF (Internet Engineering Task Force). This basically led to a situation in which ‘known’ security problems have not always been addressed by all vendors. In addition, in many cases vendors have implemented quick ‘fixes’ to the identified vulnerabilities without a careful analysis of their effectiveness and their impact on interoperability.”

Das sind 130 Seiten, die vom CPNI heruntergeladen werden können. Das ist ein “must read” für alle Penetrationstester, die sich mit Portscans, Denial-of-Service Angriffen, TCP/IP Fingerprinting oder Session Injection Angriffen beschäftigen. Das Dokument enthält Beispiel-Source-Code, Erklärungen und Hintergrundinformationen die ich in dieser Form und Tiefe weder aus dem Stevens noch aus dem Comer kenne. Nehmt euch die Zeit, so zwei bis drei Stunden um das zu lesen und so gut wie möglich zu verstehen. Und wenn ihr weder den Stevens noch den Comer kennt, kauft euch einen von den beiden. Ich persönlich bevorzuge den Stevens aber das ist mehr so eine Geschmacksfrage.

Sowas würde ich gerne mal vom deutschen Bundesamt für Sicherheit in der Informationstechnik sehen und nicht immer nur die alte Leier vom Grundschutz.

Meiner Meinung nach sind Heribert Prantls Kommentare in der Süddeutschen Zeitung mit Abstand das beste, was die politisch aktiven Zeitungen in Deutschland aktuell zu bieten haben. In der Springer Presse (Welt bzw. Welt am Sonntag) findet sich leider seit geraumer Zeit kein einziger ernstzunehmender politischer Kommentator mehr und auch auf der anderen Seite des politischen Spektrums (TAZ, Freitag) ist kaum noch was zu finden. Auf dem Niveau Prantls findet sich meiner Meinung nach höchstens noch Hans Leyendecker, der ebenfalls überwiegend für die Süddeutsche Zeitung tätig ist.

Und weil es immer wieder hilfreich ist, im politischen Diskurs aus diesen Kommentaren zu zitieren, möchte ich ein paar für mich wichtige hier verlinken.

Heribert Prantl (alle)

• Diebstahl von Kreditkartendaten - Die Daten und ihr Schutz
  • Unternehmen behandeln die Daten der Bürger, als handele es sich um Altpapier. Die Sensibilität für den Datenschutz ist verlorengegangen. Dabei bietet nur er Sicherheit in der digitalen Welt.
• BKA-Gesetz auf der Kippe - Einen Orden für den Bundesrat
  • Das BKA-Gesetz ist kein Segen. Im Gegenteil. Wer immer das Gesetz zum Scheitern bringt: Er macht sich verdient um den Rechtsstaat.
• Kritik am Bundestrojaner - Wanze eins, Wanze zwei
  • Das Phänomen der Wiedergeburt gibt es auch in der Innenpolitik: Vor 15 Jahren war das, was heute die Online-Durchsuchung ist, der “große Lauschangriff“. Und nach wie vor wird die Innere Sicherheit geschädigt.
• Terrorcamp-Gesetz - Per Mausklick zum Terrorist
  • Das sogenannte Terrorcamp-Gesetz verfolgt angebliche Täter, ohne dass es eine Straftat gibt. Gäbe es den Straftatbestand der Missachtung der Gerichte, dann wäre er mit diesem Gesetz verwirklicht.
• Online-Durchsuchungen - Ein Kampf um Troja
  • Das Bundesverfassungsgericht präsentiert ein neues “Computer-Grundrecht”. Es lässt aber trotzdem Trojaner und Online-Durchsuchungen in Ausnahmefällen zu und stellt genaue Regeln dafür auf. Das Grundsatzurteil ist kein Freibrief, sondern eine Mahnung.
• Schäuble und seine Anti-Terror-Pläne - Der Angstmach-Minister
  • Innenminister Schäuble propagiert den Aufbau eines 007-Staats. Er ist kein bedachter Gegner des Terrors mehr, sondern dessen Getriebener.
• BKA-Gesetz - Auf Biegen und Brechen
  • Der angebliche Kompromiss zum BKA-Gesetz ist kein Kompromiss, sondern ein Witz. Witze sollte man aber nicht machen, wenn es um die Balance von Freiheit und Sicherheit geht.
• Online-Durchsuchung - Die Schranken des Rechtsstaats
  • Die Möglichkeiten der Ermittler in Deutschland sind fast unerschöpflich. Sie reichen aus, um Straftaten jeglicher Art aufzuklären und zu verhindern - auch auf dem Gebiet des Terrorismus. Mit der Online-Durchsuchung würde erneut eine Schranke des Rechtsstaats fallen.
• Online-Durchsuchung - Der große Hacker-Angriff
  • Die Karlsruher Entscheidung gegen die Online-Durchsuchung steht in einer Serie von wichtigen Urteilen, die gegen ein gefährliches Vorurteil ankämpfen: dass man Grundrechte klein machen müsse, um Straftaten wirksam zu bekämpfen.
• Kommentar zur Vorratsdatenspeicherung - Das Pressefreiheits-Kastrationsgesetz
  • Das neue Gesetz zur Ãœberwachung der Telekommunikation beißt ein gewaltiges Loch in den Informantenschutz.
• Online-Durchsuchungsgesetz - Der Staat zieht seine Bürger aus
  • Der Staat möchte elektronische Wanzen in Computern installieren dürfen. Dafür verlangt er von seinen Bürgern einen Vertrauensvorschuss. Warum die Diffamierung der Privatheit durch die Sicherheitsbehörden ein Ende haben muss.

Hans Leyendecker (alle)

• Telekom-Datenskandal - Die Spitzel-Liste
  • War es tatsächlich nur die Suche nach undichten Stellen oder wurden bei der Telekom auch persönliche Rechnungen beglichen? Die Motive im Spitzel-Skandal werden immer rätselhafter.
• Vereitelter Terroranschlag - Die Instrumente sind scharf genug
  • Der Schlag gegen mutmaßliche Terroristen ist der Erfolg ganz normaler, akribischer Polizeiarbeit. Für Hysterie und politischen Alarmismus gibt es also keinen Anlass.

Das traurige ist, daß Politiker nicht lesen können.

“Sie haben nicht das Recht, ein Buch laut vorzulesen”, erklärt der Chef der US-Autorenvereinigung Authors Guild, Paul Aiken, gegenüber dem Wall Street Journal. Dafür ist nach Ansicht der Autoren der Erwerb gesonderter Verwertungsrechte nötig.

(via Heise)