Hacks, Cracks und Sicherheitslücken

Benson schrieb:
Ich glaube nicht, dass FBI/CIA/NSA oder Apple keine Möglichkeit haben, in die Telefone hineinzukommen. Oder bin ich da zu paranoid?
Zum Vergrößern anklicken....
Nein.:zwinker:

IMHO geht es eher um einen Präzedenzfall um offiziell in jedes Gerät einzudringen, wenn jemand KEINEN gebrauch von Cloudservices macht und Daten nur lokal ablegt. Darum mein Gedanke, dass es für PR-Zwecke genutzt wird.
 
NY152 schrieb:
Jep. Da gibt es keine Backdooor.
Zum Vergrößern anklicken....
Das ist (mit an Sicherheit grenzender Wahrscheinlichkeit) richtig. dennoch: Sämtliche Daten werden im online Profil gesynct. man kommt nicht an das gerät aber sehr wohl an den Traffic. ISPs, haben verträge mit den Behörden, und das SSL/TLS nicht der Weißheit letzter Schluss ist, sollte auch klar sein. Die Kommunikationsdaten werden gerade in den Staaten nahezu lückenlos abgehört und archiviert.
 
Dann sind Server in den USA noch gesetzlich zu einer "schlechten" Verschlusselug verpflichtet. Ich glaube es waren nur 256Bit.
 
Interessant ist eigentlich, dass Apple in der Vergangenheit mit den Behörden zusammengearbeitet hat um in iPhones zu kommen, das jetzt aber offensichtlich nicht mehr tun möchte. Trotz des Bekundens des FBI, dass sie keinen generellen Zugriff auf die Backdoor haben möchten.

Konkret scheint es auch um ein iPhone 5C zu gehen, bei dem die auto-erase Funktion noch in iOS implementiert ist und nicht wie bei den Geräten ab Einführung der Touch-ID in der secure enclave, also hardwareseitig.

Wird sicher spannend v.a. wie das vor Gericht ausgehen wird. Das könnte ein Verfahren mit ziemlich weit reichenden Konsequenzen werden.
 
Der Hammer ist ja, dass es die Behörden selbst verbockt haben. Nach der Tat wurde von denen das Icloud Passwort des Täters geändert, wodurch das iPhone kein automatisches Backup mehr gemacht hat. Hätten sie damit noch nen Tag gewartet, hätten sie ein aktuelles Backup auf dem Apple Server, welches Apple bei entsprechendem Gerichtsbeschluss herausgegeben hätte.
 
Verständnisfrage für Dumme: Wenn die ein Passwort ändern, dann haben sie doch logischerweise eben jenes Passwort und somit Zugriff auf die Daten. Wo ist denn da jetzt das Problem ?!
 
Siehe
[article=http://www.spiegel.de/netzwelt/netzpolitik/iphone-verschluesselung-fbi-aenderte-icloud-passwort-des-terroristen-nachtraeglich-a-1078436.html]FBI-Ermittler würden gern wissen, welche Daten auf einem per PIN-Code gesperrten iPhone 5C sind. Zuletzt benutzt hatte es der Terrorist Syed F., der im Dezember gemeinsam mit seiner Frau Tashfeen M. in San Bernardino 14 Menschen tötete. Doch Apple lehnt die geforderte Hilfe beim Hacken des Smartphones ab.

Nun hat der IT-Konzern den Ermittlern vorgeworfen, selbst schuld zu sein am Problem mit dem iPhone. Apple habe Ermittlern vier Wege vorgeschlagen, wie man Zugang zu Informationen im Telefon eines der Attentäter bekommen könnte, auch ohne das Passwort zu knacken, sagten ranghohe Firmenmitarbeiter in einer Telefonkonferenz mit US-Journalisten am späten Freitag.

Dabei sei jedoch entdeckt worden, dass jemand das Passwort der dazugehörigen Apple-ID geändert habe, und zwar, als das iPhone bereits in der Hand der Behörden war. Die Änderung hat demnach ein Mitarbeiter der Gesundheitsbehörde von San Bernardino durchgeführt, der das Gerät gehört. Dies sei auf Drängen des FBI geschehen, sagte ein Sprecher der Behörde der Nachrichtenagentur Reuters.

Apple-ID und das zugehörige Passwort erlauben Zugriff auf die iCloud und damit im Prinzip auch auf Daten des Smartphones, sofern diese dort per Back-up gesichert werden.

Aktuelles Back-up fehlt
Wenn das Passwort der Apple-ID nicht geändert worden wäre, hätten Sicherheitsexperten möglicherweise ein neues Back-up des Geräts, auf das sie mangels PIN-Code nicht zugreifen können, in die iCloud anstoßen können. Das kann beispielsweise gelingen, wenn das Handy sich in ein ihm bekanntes WLAN einloggt und automatisch mit der Sicherung beginnt. Durch das Ändern des Passwortes sei dieser Weg jedoch verbaut worden. Denn das Gerät kann sich beim iCloud-Server nicht anmelden, weil das neue Passwort der Apple-ID darin nicht gespeichert ist.

Das letzte Back-up des Telefons in die iCloud soll den Informationen zufolge sechs Wochen vor dem Terroranschlag erfolgt sein. Man wisse nicht, ob Syed F. die Datensicherung bewusst ausgeschaltet habe oder ob womöglich der Speicherplatz aufgebraucht war, hieß es.

PIN erraten kaum möglich
Seit Monaten versuchen Experten des FBI erfolglos, an die Daten heranzukommen. Ihr Problem ist die automatische Verschlüsselung des Handyspeichers, die Apple und Google 2014, als Reaktion auf die Snowden-Enthüllungen, eingeführt haben.

Eben diese Verschlüsselung ist für die Ermittler ein offenbar unlösbares Problem. Nur mit der korrekten PIN lässt sich das fragliche iPhone entsperren und der Speicher entschlüsseln. Früher ließen sich solche Sperren durch sogenannte Brute-Force-Angriffe überwinden: Man probierte einfach alle nur denkbaren Zahlenkombinationen durch, bis man die richtige fand.

Mit aktuellen iPhones funktioniert diese Technik nicht mehr. Zum einen blockiert eine Sperrfunktion das schnelle Ausprobieren von Zahlenkombinationen. Nach mehreren Fehlversuchen baut das System immer längere Pausen ein, sodass man schließlich mehrere Stunden warten muss, um den nächsten Code zu versuchen.

Apple will keine Hintertür entwickeln
Vor allem aber gibt es in iOS die Option, den Speicher nach zehn Fehlversuchen automatisch löschen zu lassen. Diese Option könnte beim Handy des Attentäters aktiviert worden sein. Die FBI-Experten haben ihre Versuche, die PIN zu erraten, offenbar eingestellt, um nicht Gefahr zu laufen, dass eben das passiert und möglicherweise nützliche Daten des Täters verloren gehe[/article]
 
Frage an die IT Experten: Was ist von "Locky" zu halten? Das Ding scheint ja ziemlich "unschön" zu sein!

Welche Möglichkeiten gibts aktuell für einen Schutz bzw. Vorsorgemaßnahmen?
 
Aktuell werden auch Seiten präpariert, wo über JSkript zb der Schadcode geladen wird. Bewusst surfen. am besten mit Firefox + NoScript, wo alle unbekannte Skripte deaktiviert bleiben.
 
Mysterikum schrieb:
Bei der Verschlüsselung hilft wohl nur ein präventives Backup (Sollte natürlich immer regelmäßig gemacht werden). Der Algorithmus kann bestimmt nicht geknackt werden, viel zu hohe Bit-Verschlüsselung.

https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2016/Krypto-Trojaner_22022016.html
Zum Vergrößern anklicken....
Meh... Backupsollte klar sein. aber um die Daten zu entschlüsseln muss man nicht die verschlüsselung cracken. Da ein Schlüssel gegen bezahlung angeboten wird, ist das die beste methode anzusetzen. denn es ist kein master key. jedes system hat einen anderen schlüssel, und das führt zu zwei möglichkeiten:
1. Zufallsgenerator.
software generiert ein schlüssel mit dem Verschlüsselt wird und schickt diesen an den C&C Server. dieser legt den schlüssel zusammen mit der zugehörigen rechnerid in die eigene DB ab.
==> Traffic überwachen, Testsystem bewusst infizieren lassen und traffic beobachten. schlüssel aus dem Traffic extrahieren.
==> Findige Leute würden den C&C Server Cracken und die DB Dumpen ;). Da locky aber nicht gerade von diletanten geschrieben wurde, würde hir dann ebenfalls besonderer augenmerk auf Sicherheit gelegt. Potentielle angriffspunkte sind eher in den Schwachstellen des Übertragungsprotokolls zu finden. zb ungepatchte SSL oder glibC pakete ;)
2. Anhand des Systems generierter schlüssel.
Lizenzen werden meist so generiert. So werden zb. Firmwareversionen, verbaute Hardware, OS, MAC-Adresse etc als parameter hinzugezogen und jedes system bekommt einen unikaten Schlüssel. Vorteil: Man braucht keine Datenbank. das Tool/Schadprogramm. sendet nur die relevanten parameter und ein Tool auf dem server errechnet den key. Oder ALLES läuft lokal ab. der server senden dem Tool nur den Befehl "Berechne Schlüssel!" und das Tool errechnet es selbständig lokal. Betreiber der Schadsoftware, benötigt nun keine Rechenleistung, keine DB, alles ist ausgelagert, alles geht zu lasten des Infizierten.
==> Befehlskette des Tools analysieren und die erforderlichen Parameter herausfinden. dann kann man nen eigenen KeyGen nachbauen. Das ist übrigens das typische KeyGen-Prinzip bei Spielen mit Lizenznummer ;)

Regel #1: If it's digital, it's crackable.
 
silverSl!DE schrieb:
Meh... Backupsollte klar sein. aber um die Daten zu entschlüsseln muss man nicht die verschlüsselung cracken. Da ein Schlüssel gegen bezahlung angeboten wird, ist das die beste methode anzusetzen. denn es ist kein master key. jedes system hat einen anderen schlüssel, und das führt zu zwei möglichkeiten:
1. Zufallsgenerator.
software generiert ein schlüssel mit dem Verschlüsselt wird und schickt diesen an den C&C Server. dieser legt den schlüssel zusammen mit der zugehörigen rechnerid in die eigene DB ab.
==> Traffic überwachen, Testsystem bewusst infizieren lassen und traffic beobachten. schlüssel aus dem Traffic extrahieren.
==> Findige Leute würden den C&C Server Cracken und die DB Dumpen ;). Da locky aber nicht gerade von diletanten geschrieben wurde, würde hir dann ebenfalls besonderer augenmerk auf Sicherheit gelegt. Potentielle angriffspunkte sind eher in den Schwachstellen des Übertragungsprotokolls zu finden. zb ungepatchte SSL oder glibC pakete ;)
2. Anhand des Systems generierter schlüssel.
Lizenzen werden meist so generiert. So werden zb. Firmwareversionen, verbaute Hardware, OS, MAC-Adresse etc als parameter hinzugezogen und jedes system bekommt einen unikaten Schlüssel. Vorteil: Man braucht keine Datenbank. das Tool/Schadprogramm. sendet nur die relevanten parameter und ein Tool auf dem server errechnet den key. Oder ALLES läuft lokal ab. der server senden dem Tool nur den Befehl "Berechne Schlüssel!" und das Tool errechnet es selbständig lokal. Betreiber der Schadsoftware, benötigt nun keine Rechenleistung, keine DB, alles ist ausgelagert, alles geht zu lasten des Infizierten.
==> Befehlskette des Tools analysieren und die erforderlichen Parameter herausfinden. dann kann man nen eigenen KeyGen nachbauen. Das ist übrigens das typische KeyGen-Prinzip bei Spielen mit Lizenznummer ;)

Regel #1: If it's digital, it's crackable.
Zum Vergrößern anklicken....
Backup selbst musste ich schon oft diskutieren, fängt ja schon an das viele ein NAS als Backup ansehen.

1.) Stimme dir zu, für den privatmann in seiner misslichen Lage aber schlecht ausführbar. Geld würde ich jetzt nur sehr ungern zahlen. Aber ja - Das OSI-Modell lässt ja noch einiges an Angriffspotential zu ;).
2.) Der Schlüssel ist die Schwachstelle, das stimmt. Der Algorithmus ist bestimmt aber bestimmt nicht gerade einfach zu berechnen.
Vermute fast das noch Daten ausgetauscht werden zu Servern, hier müsste man mal die Pakete kontrollieren nach einer Infektion.

So der Crack bin ich aber jetzt auch nicht, das übersteigt dann doch meine Basiskenntnisse in IT-Sicherheit.

P.S. Besser RSA als eine One-Time-Pad Verschlüsselung:D.
 
Gibt es eigentlich schon Fälle bei denen jemand bezahlt und wirklich einen Key bekommen hat? da bin ich mir nicht mal so sicher dass es nach der bezahlung entschlüsselt wird.
Momentan sind meines Wissens schon über 50 Krankenhäuser betroffen, da kann es mittlerweile schon an Menschenleben gehen wenn alles nur noch digital ist. Medikation usw. das ist schon derb.
 
Ja, es ist ein Key übergeben worden.allerdings gab es auch fälle, wo der Key nicht funktioniert hat. Würde man keine Keys aushändigen, würde es sich rumsprechen und keiner würde zahlen ;)

Das würde ich als politiker fordern:
- Abschaffung von Verschlüsselung für Privatpersonen (wer verschlüsselt, macht sich strafbar)
- Generalüberwachung von allem und jedem
- Für Behörden nur Verschlüsselungen mit Masterkey
- Genaue Befolgung George Orwells User manual "1984"
 
silverSl!DE schrieb:
Aktuell werden auch Seiten präpariert, wo über JSkript zb der Schadcode geladen wird. Bewusst surfen. am besten mit Firefox + NoScript, wo alle unbekannte Skripte deaktiviert bleiben.
Zum Vergrößern anklicken....

Mach ich mittlerweile so, surfe nur noch mit Ghostery + NoScript und zwar ohne Ausnahmen, selbst (oder gerade?) bei bekannteren Seiten. Gab ja schon genug Fälle bei denen man sich mit Pech eine Drive-by-Infektion durch verseuchte Flashwerbung beispielsweise auf PCGames.de einfangen konnte, wenn man denn Flash überhaupt noch installiert hatte :biggrin:

Mfg
Quicksilver
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten