FAZ.NET schreibt über eingezäunte Wohnsiedlungen in Warschau und zitiert dabei diese nüchterne Analyse:

»Immobilienfachmann Mendel hingegen glaubt, bei Zaun und Kamera handele es sich um klassische Statussymbole: Seht her, ich kann’s mir leisten.«

Das sollten wir mal als DiplomarbeitsthemaBachelor-/Master-Dings ausschreiben: Analyse von Sicherheitsprodukten auf ihre Tauglichkeit als Statussymbol.

security-industrial complex

Wozu schleppe ich eigentlich seit Jahren zwangsweise ein Dreckstool von Virenscanner auf meinem PC mit mir herum, wenn er im − äußerst seltenen − Ernstfall nichts tut? Zugegeben, ich brauche keine Softwareunterstützung, um mich über eine unaufgefordert heruntergeladene PDF-Datei und die Fehlermeldung bei deren Interpretation zu wundern. Nur ist es dann, wenn ich etwas bemerke, für die Abwehr schon zu spät. Falls die PDF-Datei bösartig ist, wird sie nämlich versuchen, Fehler im PDF-Betrachter auszunutzen.

Na ja, immerhin liefert der Vorfall einen Datenpunkt für die empirische Forschung. McAfee hat mir auf diesem Rechner noch nie irgend etwas gemeldet und liegt damit klar im Rückstand.

P.S.: Heise meldet zwei Tage später das hier.

Endlich räumt mal jemand mit den FUD-Geschichten vom googelnden Personalchef auf, der seine Entscheidung anhand längst verjährter Partyfotos aus Studententagen fällt:

»Es ist noch nicht lange her, da wurden Bewerber vor Personalchefs gewarnt, die angeblich nichts Besseres zu tun hatten als von morgens bis abends nach verfänglichen Partyfotos und peinlichem Privatkram im Internet zu stöbern.
(…)
Jetzt zeigt eine Studie, dass der Alarm übertrieben war. Denn bisher interessieren sich die wenigsten Personalexperten für soziale Netzwerke.«

(sueddeutsche.de: Soziale Netzwerke – Der Spion schläft)

Plausibel waren diese Geschichten ohnehin nie. Partyfotos liefern einfach keine relevante Information über einen Bewerber.

Um die aktuelle Kartentauschaktion ins rechte Licht zu rücken: Ungefähr 1000 Dollar – oder hierzulande etwa 1000 Euro, wie auf dem Rheinlandtreffen zu hören war – gibt eine betrügerisch eingesetzte Kreditkarte im Mittel her, bevor sie gesperrt wird.

Samstags beim Shopping. Die überlastete Fachkraft an der Kasse hat eine Diebstahlsicherung übersehen. Als Sie das Geschäft verlassen, geht der Alarm los. Was nun? Sich vor aller Augen dem Türsteher unterwerfen? Das kommt überhaupt nicht in Frage! So werden Sie lästige Kontrolleure los, ohne sich in die Einkaufstüten schauen zu lassen:

1. Fühlen Sie sich zu nichts verpflichtet. Wenn es am Ausgang piept, dann bedeutet das nur eines: dass es am Ausgang piept. Es bedeutet nicht, dass Sie einen Schreck kriegen, stehenbleiben oder Ihre Unschuld beweisen müssen.
2. Seien Sie selbstbewusst. Sie haben gerade ein Geschäft mit dem Ladeninhaber erfolgreich zum Abschluss gebracht, das im beiderseitigen Interesse liegt. So möchten Sie auch behandelt werden, als Geschäftspartner.
3. Kommunizieren Sie. Dem Türsteher bleibt nichts anderes übrig, als Ihnen auf die Straße zu folgen und Sie anzusprechen. Selbstverständlich hören Sie sich erst einmal ruhig an, was der Mann zu sagen hat. Er wird Sie auffordern, mit ihm zurück in den Laden zu gehen, um die Sache dort zu klären. Darauf antworten Sie ebenso ruhig, wie Sie zugehört haben, mit einem einfachen: „Nein.” Dann schauen Sie ihn fragend an.
4. Suchen Sie Blickkontakt. Schauen Sie dem Tütenkontrolleur direkt in die Augen. Schließlich ist Ihr Gewissen rein und Sie sind frohen Mutes.
5. Geizen Sie mit Worten. Sie haben ja nichts getan, aus dem sich herauszulabern Sie nun versuchen müssten. Es ist auch nicht Ihre Aufgabe, das Gespräch zu führen. Jemand will etwas von Ihnen und nicht umgekehrt. Dass Sie die ganze Situation mit Ihrem Verhalten und Nichtverhalten steuern, müssen und sollen Sie vor Ort nicht diskutieren. Sie leihen Ihrem Gegenüber ein Ohr und warten auf vernünftige Vorschläge. Mehr kann man wirklich nicht von Ihnen erwarten.
6. Bleiben Sie höflich. Sie müssen sich einem wildremden Menschen ja nicht gleich mit Namen vorstellen. Verzichten Sie jedoch auf Beschimpfungen, Drohungen, Einschüchterungsversuche und ähnliche Albernheiten. So etwas gehört sich einfach nicht, und sie haben es auch nicht nötig.
7. Nehmen Sie nichts persönlich, und machen Sie Ihrem Gegenüber klar, dass Sie dasselbe von ihm erwarten.
8. Machen Sie Komplimente. Loben Sie zum Beispiel die Aufmerksamkeit des Kontrolleurs. Erinnern Sie ihn gleich darauf jedoch daran, dass er einen unbescholtenen Bürger vor sich hat.
9. Thematisieren Sie frühzeitig die Gewaltfrage. Sobald das Gespräch auf Rechte und Pflichten kommt, erklären Sie Ihrem Gegenüber, dass er Sie auch vermöbeln könne, dass Sie dies jedoch nicht für eine gute Idee hielten und ihm davon abrieten. Sagen Sie das exakt so nüchtern, wie es hier steht.
10. Philosophieren Sie, ohne abzuheben. Versucht der Tütenkontrolleur zum Beispiel, Sie davon zu überzeugen, dass er verpflichtet sei, Alarmen nachzugehen und dass er selber überwacht werde, so werfen Sie die Frage auf, ob man wohl in der Matrix lebe, wenn man sich so von Maschinen herumkommandieren lasse.
11. Kooperieren Sie, wenn Sie Ihre Position dazu nicht aufgeben müssen. Sie wollen sich nicht in Ihre Tüten und Taschen schauen lassen, das ist Ihr Anliegen. Sie zeigen aber selbstverständlich gerne Ihren Kassenzettel über die eben getätigten Einkäufe vor, macht ja keine Umstände.
12. Lassen Sie sich alles ganz genau erklären. Was denn das Problem sei, zum Beispiel, Sie hätten doch eben erfolgreich ein Geschäft abgeschlossen und seien zufrieden. Oder wozu man in ein Geschäft zurückkehren solle, das man soeben verlassen habe. Und was eigentlich so schlimm daran sei, wenn es am Ausgang mal piept.
13. Machen Sie konstruktive Vorschläge. Sie könnten zum Beispiel anbieten, an Ort und Stelle auf den Geschäftsführer zu warten, um mit ihm über einen Preisnachlass als Gegenleistung für Ihre Rückkehr in das Geschäft zu verhandeln. Setzen Sie dafür ein Zeitlimit.
14. Brechen Sie ergebnislose Verhandlungen ab. Wenn Sie nicht verstehen, was man eigentlich von Ihnen will, und Ihr Gegenüber sich nicht von sich aus zurückzieht, verabschieden Sie sich und gehen Sie Ihrer Wege. Sie haben schließlich nicht den ganzen Tag Zeit und noch einiges zu erledigen.
15. Keine Angst vor der Polizei. Sie haben ja nichts ausgefressen. Außerdem ist der Anruf mit dem Händi wahrscheinlich nur ein Bluff. Wenn es ein schlechter Bluff ist, merken Sie das unter anderem an den fehlenden Details, nach denen eine Notrufzentrale unweigerlich gefragt hätte: was denn los sei und wo. (Falls Sie doch was ausgefressen hätten, könnten Sie beim Anrücken der Beamten immer noch flitzen.)
16. Erinnern Sie den Tütenkontrolleur an seine Dienstpflichten. Möglicherweise wird er Sie ein Stück begleiten, während er einen Anruf bei der Polizei simuliert. Fragen Sie ihn , wer denn jetzt den Laden vor Dieben schütze, während er hier unbescholtenen Bürgern nachlaufe.
17. Vergrößern Sie kontinuierlich Ihren Abstand zum Ausgangspunkt des Geschehens. Irgendwann wird sich der Wächter zwischen Ihnen und seiner Arbeit entscheiden müssen. Meiden Sie dabei aber einsame Gassen.
18. Halten Sie sich an die Verkehrsregeln. Bleiben Sie zum Beispiel an roten Ampeln stehen. Sie sind ja nicht auf der Flucht.

Langsam sollte ich mal durchrechnen, ob sich eine kriminelle Karriere nicht doch lohnt. Aber das ist alles so erschreckend einfach, da würden mir wohl die Herausforderungen im Beruf fehlen. Obwohl, da wäre doch eine: Hat  jemand eine Idee, wie man vor solchen Aktionen ein Safeword vereinbaren kann, ohne das Spiel zu verderben?

Disclaimer: Erich sieht übernimmt keine Haftung für Schäden, die durch Nachahmung entstehen. Erich sieht rät vielmehr ausdrücklich von der Nachahmung ab.

Flatrate-Bias

Unter der Überschrift: Die Illusion von Safer-Shopping nimmt Heise gerade das Online-Gütesiegel eines bekannten Anbieters auseinander:

»Nach der Datenpanne im vom TÜV Süd zertifizierten Online-Shop-System von Libri.de fanden sich nun Sicherheitslücken auf weiteren Sites, die das Safer-Shopping-Siegel tragen – und sogar auf dessen eigener Homepage. Neben Safer-Shopping.de waren Audible.de, ReifenDirekt.de und weg.de betroffen.«

Über Zertifizierung, Gütesiegel und den TÜV gab es hier ja schon einiges zu lesen. Als Sekundärliteratur empfehle ich noch: 10 Things Your Auditor Isn’t Telling You.

dass Verified by Visa und MasterCard SecureCode Werbegags ohne sicherheitstechnischen Mehrwert für den Karteninhaber sind, wisst Ihr sicher selbst. Dass es eine Scheißidee ist, die überflüssige Registrierung dafür unter der Adresse https://secure5.arcot.com/ durch eine Organisation abwickeln zu lassen, die Eure Kunden nicht kennen können, muss man Euch aber offensichtlich noch einmal erklären. Ratet mal, was Ihr Euren Kunden damit beibringt.

Oder ist das gar nicht Euer Werk, sondern jemand hat Eure Websites gehackt?

Sie haben .bank wieder ausgegraben, nur heißt es jetzt anders und die Zielgruppe ist neu. Wir erinnern uns: die Idee von .bank bestand im wesentlichen darin, ein Internet-Gütesiegel (Wunsch, Realität) ins DNS zu projizieren und anhand der Top-Level-Domain (TLD) kenntlich zu machen. Das schlägt man nun wieder vor, nur diesmal für die Domain-Registrare selbst. Hochsicherheitsadresszone nennt sich das dann, und einige der Anforderungen sind auch gar nicht dumm. Nur nützt es wenig, diese Anforderungen auf einzelne TLDs und ihre Registrare anzuwenden. Gauner nehmen dann eben eine andere TLD, wo diese Anforderungen nicht gelten. Oder eine Methode, bei der Adressen keine Rolle spielen, zum Beispiel Malware. Oder ein Botnetz, dessen Knoten in einer dieser Hochsicherheitsadresszonen liegen, denn ob das Gegenüber nicht ein Hund ist, weiß man am Ende als Nutzer auch dort nicht; über die Sicherheit der einzelnen Domains oder Hosts macht die Hochsicherheits-TLD nämlich keine Aussage.

Was also soll das Ganze bringen? Dem Nutzer sicher nichts. Er kann der Adresse keine verwertbare Zusatzinformation entnehmen, und selbst wenn er es könnte, würde er diese Information in aller Regel ignorieren oder sie würde keine Rolle spielen. Den Registraren damit aber auch nichts, denn niemand hat einen Vorteil davon, seine Domain bei einem teureren, weil „sicheren” Registrar zu kaufen. Im Gegenteil, in einer Hochsicherheitsadresszone muss sich keiner vorsichtshalber die Domains für seine Firmen- und Markennamen sichern, denn der Registrar soll die Berechtigung bei der Domain-Vermietung ordentlich prüfen. Dieser Teil des Geschäfts fällt ersatzlos weg, wenn alle rational handeln. Für wen also gibt es da bitteschön einen Business Case – mal abgesehen von den Auditoren und Beratern, denen sich offensichtliche Gelegenheiten bieten?

Wenigstens sind sie aber ehrlich (Hervorhebung von mir):

»Due to the risks involved measures will be needed to limit liability to ICANN. If established, ensuring public awareness of the limitations of the program in terms of not providing guarantees about the presence of malicious activity within a TLD must also be addressed.«

Skimming in Sachsen: 48 Fälle bis Ende Oktober 2009 (2008: 28, 2005: 5 Fälle), geschätzter Schaden 500.000€.

(video link)

Hundert Dollar lässt sich T-Mobile USA den Datenverlust durch Serverausfall pro Kunde kosten. Scheinbar zumindest, denn statt Bargeld gibt es einen Gutschein, einzulösen bei T-Mobile USA. Weiß jemand, wie man die realen Kosten so einer Gutscheinaktion kalkuliert?

Für 90 Dollar bekommt man 10.000 geklaute E-Mail-Accounts, ein einzelner Account ist also ungefähr einen Cent wert:

»Unterdessen rückt Rik Ferguson von Trend Micro den Vorfall in die richtige Perspektive. 10.000 gestohlene Account-Daten seien nichts Ungewöhnliches. Die würden auf dem freien Markt etwa 90 Dollar kosten – wenn man die üblichen 10 Prozent Rabatt abzieht.«

(heise Security: Test für kompromittierte E-Mail-Accounts)

Weiß jemand, wie hoch im Vergleich dazu der Schaden pro Account ist?

Auf der Website des Veranstalters heißt es, man erhalte eine Aufwandsentschädigung für Fahrtkosten. Was die Frage aufwirft, welche Motivation es für Eltern geben könnte, ihre Wänsdr zur Verfügung zu stellen.

Man in the Middle im Real Life:

»Im Zeitraum von Juli 2008 bis April 2009 hatte er bei der Deutschen Bahn AG Jahresfahrkarten für die 1. Klasse unter fingierten Namen für existierende Großunternehmen im Raum Rüsselsheim bestellt.
(…)
In mühevoller Kleinarbeit konnten die Ermittler feststellen, dass der Einundzwanzigjährige im Auftrag der Post – als Fahrer eines Taxiunternehmens – Postsendungen an Großkunden in Rüsselsheim auslieferte. Den Zugriff auf Postsendungen vor der Auslieferung machte er sich zunutze, indem er die unter fingierten Namen bestellten Fahrscheine abfing. Auch nachfolgende Mahnschreiben der Deutschen Bahn AG fing er auf gleiche Weise ab.«

(Echo Online: Rüsselsheim. Polizei überführt Fahrkartenbetrüger; Pressemeldung der Polizei dazu)

Bevor jetzt aber jemand verschärfte Sicherheitsmaßnahmen gegen dieses offene Scheunentor fordert, der Angriff ist letztendlich gescheitert, denn man hat den Kerl geschnappt. Dem zu entgehen dürfte recht schwer sein, wenn man das krumme Geschäft nachhaltig betreibt. Man muss dazu erstens identifizierbar in der richtigen Position sitzen und zweitens die erschlichenen Fahrkarten zu Geld machen. Solange keiner einen Weg findet, dabei zuverlässig der Verfolgung zu entgehen, ist reaktive Sicherheit in Form der Polizeiarbeit und Strafverfolgung ausreichend.

(videolink, Misha Glenny, books)

(video link, via 1 Raindrop)

»Ein Botnetz, das zwischen 5000 und 10.000 Bots kontrolliert, kann laut Wüest für 10 US-Dollar pro Woche gemietet werden.«

(Heise online: Spam-Bots werten soziale Netze aus)

Kein technischer Fortschritt ist je aus einer Anwendungsvision hervorgegangen. Stets waren es Bastler und Tüftler, die ein Stück Technik um seiner selbst willen schufen und optimierten, die universelle Technologien entwickelten und der Menschheit zum Fortschritt verhalfen. Die Dampfmaschien war Auslöser der Industrialisierung, aber sie entstand nicht mit der Industrialisierung als Ziel; der Verbrennungsmotor ermöglichte Autos, Panzer und Flugzeuge, wurde aber nicht für Autos, Panzer und Flugzeuge geschaffen; der Weg zum Internet führte über die Entwicklung der Glühbirne und des Telegraphen, ohne dass dabei jemand an ein Internet gedacht hätte.

Genau umgekehrt stellt man sich die Sache vor, wo man versucht, den Fortschritt zu bürokratisieren. Wer schon einmal Fördergelder für die Forschung beantragt hat, der kennt dieses Spiel. Da kommt erst die Vision und dann die Technik. Das Ergebnis ist oft ziemlicher Käse, der schlichteren Naturen – Anforderungsanalyse ist anspruchsvoll – gleichwohl plausibel erscheint.

Ein aktuelles Beispiel ist der elektronische Personalausweis. Die damit verbundenen Visionen hat Telepolis aus einem Buch ausgegraben. Zur Universalkarte für alle Lebenslagen soll der neue Chip den Ausweis machen, und das auch noch mit mehr Sicherheit. Nun ist gegen einen Chip auf dem Ausweis erst einmal nichts einzuwenden, sofern man Ausweise nicht generell ablehnt. Fragwürdig ist jedoch der Versuch, die aufgemotzte Identitätskarte zu etwas anderem zu machen als eben einem Ausweis. Von einem Multifunktionsgegenstand ist im Artikel die Rede sowie von interessanten Anwendungsmöglichkeiten für Unternehmen und Behörden. Passwörter und TAN-Listen soll der Ausweis zum Beispiel ersetzen und das Bezahlen im Internet ermöglichen.

Das aber ist ein grandioser Blödsinn, denn wir reden hier über sehr verschiedene Anwendungen mit unterschiedlichen Funktions- und Sicherheitsanforderungen. Wer diese Anforderungen wirklich alle erfüllen wollte, der müsste etwas ganz anderes schaffen als eine Identitätskarte, nämlich eine universelle Anwendungsplattform. Was müsste so eine Plattform leisten? Schauen wir uns einige Beispiele an, um einen Eindruck zu gewinnen.

Beispiel Verlust: Laien diskutieren, konfrontiert man sie mit der Universalkartenvision, unweigerlich das Problem des Sperrens bei Verlust, und das erscheint ihnen mit Universalkarte einfacher. Das tatsächliche Problem ist aber nicht das Sperren, sondern der Verlust. Auf ihn muss man je nach Anwendung unterschiedlich reagieren. Manchmal genügt die bloße Neuausstellung, etwa bei einer Mitgliedskarte eines Vereins. Manchmal ist eine schnelle Sperre erforderlich, zum Beispiel bei Bankkarten. Vielleicht benötigt man aber auch schnellen Ersatz binnen einer zugesicherten Zeitspanne, wie ihn einige Kreditkartenfirmen versprechen. Dass Vater Staat diese Dienstgüte bietet, glaube ich erst, wenn ich es sehe.

Beispiel Risikomanagement: Die Kartenpest nervt zwar manchmal, aber sie ermöglicht den Nutzern auch, ihr Risiko selbst zu steuern. So kann im Urlaub eine Karte im Hotelsafe bleiben, damit man nach einem Verlust wenigstens nicht ganz ohne Geld dasteht, oder man führt umgekehrt nur das Nötige mit, wo das Verlustrisiko hoch erscheint. Mit der Universalkarte geht das nicht mehr. Wer irgendeine ihrer Anwendungen benötigt, muss immer alle dabeihaben.

Beispiel Sicherheitsfeatures: Dass Online-Banking und Online-Einkauf nicht in einen Topf gehören, wissen wir spätestens seit Giropay und Sofortüberweisung. Eines freilich haben sie gemeinsam. Mit Identifizierung und Athentisierung von Personen, der Grundfunktion eines Ausweises, haben beide nur am Rande zu tun. Im Online-Banking braucht man in erster Linie eine sichere Autorisierung von Transaktionen über einen unsicheren Kanal. An der Authentisierung des Benutzers noch zu drehen, lohnt sich angesichts aktueller Angriffsszenarien nicht. Im Online-Handel genügt dem Händler in der Regel ein Zahlungsversprechen mit kalkulierbarer und akzeptabler Ausfallwahrscheinlichkeit. Mit wem er es zu tun hat, kann ihm gleichgültig sein, solange die Kasse stimmt. Sein Gegenüber, der Käufer, benötigt Abstreitbarkeit als Feature, insbesondere dann, wenn es beispielsweise ein betrügerischer Abofallenbetreiber darauf anlegt, sein Tun wie ein Geschäft aussehen zu lassen. Letztlich ist auch das ein Autorisierungsproblem, aber in einer vielleicht viel kurzfristigeren Geschäftsbeziehung als zwischen Bank und Kontoinhaber. Der formalisierte Identitätsnachweis mit einem elektronischen Personalausweis trägt wenig zur Lösung bei.

Beispiel Prozessgestaltung: Mit Plastikkarten kann man ganz unterschiedliche Dinge tun. Ein Benutzerausweis für eine Bibliothek zum Beispiel enthält oft einen Barcode mit der Benutzernummer, denn so ein Barcode ist schnell zu lesen und darauf kommt es an der Bücherausgabe an. Um statt dessen eine visonierte Universalkarte einzusetzen, müsste man den Prozess abändern und damit weniger effizient machen. Und das soll Fortschritt sein? Ebenfalls kaum sinnvoll zu ändern ist die allgegenwärtige Registrierungsphase für neue Nutzer. Der Anbieter will weiter seinen Kundendatensatz anlegen, denn den braucht er, und er muss den Neukunden durch ein paar formelle Willensbekundungen und Präferenzabfragen schleusen. Das wird mit eAusweis nicht anders sein.

Die Welt ist zu vielfältig, als das man alles mit einer Karte abhandeln könnte. Wir werden einen Personalausweis mit Chip bekommen, aber dieser Ausweis wird auch in Zukunft nichts anderes sein als ein Ausweis.

[Kann mir übrigens jemand erklären,wieso es überhaupt so viele Menschen mit Personalausweis gibt? Mit Führerschein und Reisepass ist man doch für alle praktischen Belange bestens versorgt.]

KPMG – eCrime Report 2009 (March)

Kein Scherz, sondern Werbung auf Spiegel Online:

»ROLAND bietet Führungskräften eine wichtige Ergänzung zum Universal-Straf-Rechtsschutz: das ROLAND U-Haft-Package.«

»The survey of 800 people in the U.S. and Canada found that one out of six said they have responded to a message they suspected was spam.«

(WSJ Digits: One Out of Six Responded to Spam, via)