Ich möchte Euch diesen großartigen Vortrag von Joanna Rutkowska sehr ans Herz legen. Diese Aufnahme des Linux-Magazin stammt aus dem letztjährigen DFN-Workshop „Sicherheit in vernetzten Systemen“. .

In Ihrem Vortag hält Rutkowska ein sehr überzeugendes Plädoyer für die Bedeutung des Aspektes der Erkennung von kompromittierten Systemen. Sie kritisiert die einseitige Fokussierung auf den Aspekt der Prävention und trifft damit bei mir voll ins Schwarze, da auch in meinem Bewußtsein die Prävention stehts die größte Bedeutung besaß und Erkennung zwar nicht unbedeutend, aber doch nachrangig war. Denn: wer ein integeres System will, der muß den Einbruch verhindern. Erkennung greift erst im Schadensfall.

Genau hier hakt Rutkowska jedoch sehr überzeugend ein. Weiterlesen

Mich nervt schon seit längerem der missionarische Eifer den manche meiner Bekannten packt seit sie einen Mac besitzen. Um das mal deutlich zu sagen: ich habe keine Lust mehr auf dummes Drohnengeblubber. Zugestanden sei: Eure Geräte haben die schönste Optik. Die verbreitete Vorstellung aber, im Besitz des besten aller Systeme zu sein, die kann man nur als naiv und dumm bezeichnen. Das manches, was zu solchen Bewertungen verführen mag, reine Geschmacksfragen sind, lasse ich in meiner Kritik mal außen vor. Tatsache ist: Mac OS X hat, wie jede verbreitete Betriebssystem, Vorzügen, aber auch Schwächen. Die ach so gepriesene Usability etwa erweist sich als Chimäre: wer gerne und viel mit der Tastatur arbeitet wird die OS X-GUI wenig mögen. Richtig ärgerlich aber sind schon seit langem die Schwächen in Punkto Sicherheitsfragen. Weiterlesen

Das Domain Name System ist für eine Reihe interessanter Anwendungszwecke zu gebrauchen. Eine Möglichkeit ist etwa das Abfragen öffentlicher Schlüssel und ihrer Fingerprints. Das in RFC 4398 standardisierte DNS-CERT ist vergleichsweise komplex und erfreut sich bislang keiner großen Verbreitung. Das von Werner Koch vorgeschlagene Verfahren namens „Public Key Association“ (PKA) erfreut sich ebenfalls keiner weiten Verbreitung, ist aber sehr einfach zu realisieren, sofern man Zugriff auf die relevanten Zonefiles hat. Weiterlesen

… scheint in Punkto Sicherheit ein wirklich miserables System zu sein. Das hört man immer wieder. Via Köhntopp und Fefe fand ich folgenden sehr aufschlußreichen Bericht:

But, my dear mac friend, you may say, ‚oh but the firewall!‘, and as previously pointed out by Jay Bealle, the firewall is useless as implemented. To bypass the TCP filter, you just need to fragment your packets because it will accept any fragment, to bypass the UDP filter you just need a source port of 53 or 67, because it allows anything with these source ports through.

Und dies ist nur das offenkundigste Beispiel für die Schwächen des Systems. Der Autor kommt zu dem Schluß…

So we have a faulty firewall, a soft platform, ignorant users and developers that don’t truly understand what they’re doing and extreme monoculutre; what we really have is a recipe for disaster.

… und bewarb sich daraufhin bei Apple auf die Stelle eines Sicherheitsspezialisten. Was dann folgt ist durchaus unterhaltsam und lesenswert.

Nils machte mich dankenswerterweise darauf aufmerksam: „Skype liest BIOS-Daten aus„, berichtet der Heise-Newsticker.

Es ist mir schon lange ein Rätsel, wie so viele Menschen dem Produkt von Leuten, die mit einem anderen Produkt Spyware unter die Leute brachten, vertrauen können. Abgesehen davon allerdings gibt es, wie ich im letzten Jahr mehrfach berichtete, auch gute technische Gründe gegen Skype. Angefangen bei bewußt verursachten Interoperatibilitätsproblem durch Verwendung eines proprietären Protokolles bei gleichzeitiger Nichtimplentierung von verbreitetenden Standards bis hin zu mangelnder technischer Vertrauenswürdigkeit. Dass das Protokoll gebrochen wurde und Skype theoretisch fernsteuerbar ist hat leider auch kaum einen Anwender interessiert – in meinem Bekanntenkreis leider selbst solche mit technischen Background nicht.

Dabei kann man sich behelfen. Ich werde im Laufe dieses Jahres Lösungen vorstellen, die gute Alternativen bieten.

Es es ist wenig erstaunlich, welchen kleinen Wirbel der kurzfristige google.de Domain-Verlust mit sich brachte. Es erstaunt mich auch wenig, dass ein wenig zarte Kritik an Googles Umgang mit dem KK geäußert wurde. Allerdings hätte ich mir von den Mainstream-Medien andere Schwerpunkte gewünscht. Der große Riese wird mir insgesamt immer noch zu neutral dargestellt. Und wenn Kritik geäußert wird, dann ist diese zwar zutreffend aber doch zu einseitig meistens nur auf den Aspekt „Wer bestimmt was wir finden?“ zugeschnitten. Denn: Googles zunehmende Marktmacht ist nicht nur im wirtschaftlichen oder informatorischem Sinne ein Problem, sondern auch wenn es um Fragen der Sicherheit oder der informationellen Selbstbestimmung geht. Weiterlesen