Sicherheitsmaßnahmen-Absurdistan bei 1blu

Unter der Überschrift »1blu vermutet Diebstahl von Kunden-Root-Passwörtern« meldet heise, dass sich beim Berliner Webhoster »1blu« möglicherweise Unbefugte möglicherweise Kundenkennwörter verschafft haben. Die ergriffenen Maßnahmen muten allerdings reichlich sonderbar an:

So sperrte das Unternehmen die Root-Passwörter aller Kunden, die noch immer mit den bei der Bestellung vergebenen Standardpasswörtern arbeiteten, ohne diese geändert zu haben. Die betroffenen Kunden sollen per Post neue Root-Passwörter zugeschickt bekommen.

Was ist vorgefallen, so dass nur die ursprünglich vergebenen Kennwörter betroffen sind? Die Klartext­version des Kennworts ist einmalig für das Einrichten des Zugangs und das Drucken der Kunden­benachrichtigung notwendig, danach benötigt der Provider nur noch eine irreversibel verschlüsselte Fassung für die Überprüfung der Kundeneingabe wieder. Mir fallen nur drei mögliche Varianten ein, was vorgefallen sein könnte:

1. Es hat sich jemand Zugang zu den Benachrichtigungen verschafft (ein Druckserver ist nicht unbedingt gut abgesichert – oder wurde das Drucken oder kuvertieren gar an einen Dienst­leister ausgelagert?).
2. die Kennwörter wurden beim Einrichten abgegriffen (dies ist eher unwahrscheinlich, bei Systemen die hierfür verwendet werden, ist die Sicherheitsrelevanz allzu offenkundig).
3. 1blu speichert unnötig Kennwörter.

Entweder, es hat jemand Kennwörter bei der Eingabe abgefangen oder eines der drei obigen Szenarios trifft tatsächlich zu. Im ersten Fall ist das Verhalten des Providers absurd, weil es keinen Unterschied macht, ob das Kennwort geändert wurde oder nicht. Im zweiten Fall ist es absurd, den Kunden den tatsächlichen Grund für das Problem zu verschweigen. Natürlich kann es in diesen Fällen Kunden verprellen, ihnen die Wahrheit mitzuteilen. Doch gemeinhin ist der Schaden größer, wennn sie derartige Ursachen von Dritten erfahren.

Schweizer Geldautomaten fallen am 5. November aus

Unter der Überschrift »Geldautomaten geben den Geist auf« berichtet »20 Minuten online«:

Leser-Reporter aus der ganzen Schweiz melden: «Bei uns funktionieren die Bankautomaten nicht mehr». Die Ursache der mysteriösen Arbeitsverweigerung ist bisher unklar… Weiter

Die naheliegende Frage lautet, ob es reiner Zufall ist, dass dies ausgerechnet am 5. November passiert, dem Tag an dem in der so genannten Guy Fawkes Night (auch Bonfire Night oder Fireworks Night genannt) an den so genannten Gunpowder Plot erinnert wird. Wikipedia schreibt hierzu:

Der Gunpowder Plot (… seinerzeit als powder treason … bekannt) war ein Versuch von britischen Katholiken, am 5. November 1605 den protestantischen König von England, Jakob I., seine Familie, die Regierung und alle Parlamentarier zu töten. Weiter

Ob das wohl ein Hack war?

Datenschutz beim CCC

Die Datenschutzerklärung zum »28C3 Presale« des CCCs zeigt wieder einmal die Kreativität des Club bei der Suche nach neuen Datenreiserouten.

Datenschützerklärung

Wir sammeln einmal alles. Wirklich jedes Fitzelchen, das Ihr Eurem Browser nicht zu Senden abgewöhnt, speichern wir in unsere Datenbank, korrelieren die Daten mit allen frei verfügbaren und von Detekteien zugekauften Faktoiden und speichern sie in einer elf Jahre alten ungepatchten Adabas-Datenbank.

Wir werden versuchen, Kopulationsgraphen und Kompromatensammlungen zusammenzustellen und nehmen uns heraus, die peinlichsten Fakten auf dem Congress während der Eröffnungsrede vorzutragen und werden dazu die Daten mit unserer experimentellen Überwachungskamera-Gesichtserkennung zusammenführen.

Wir werden trotzdem versuchen, die gewonnenen Informationen an niemanden rauszurücken, der nicht dafür bezahlt. Mit dem dadurch verdienten Geld bezahlen wir wissenschaftliche Genmanipulationsforschung an kleinen Kindern.

Ein GEMA-Lied

Das Stuttgarter Komiker-Trio »Eure Mütter« hat zur GEMA ein Lied mit dem einprägsamen Titel »Der Typ, der bei der GEMA die Titel eintippt ist ein ganz blöder Penner« komponiert.

Am besten gefällt mir dieser Teil:

… bei der Länge gibts noch eine kleine Besonderheit: Wenn ein Lied länger als 4 Minuten ist, dann gilt es als so genanntes Langstück. Und so ein Langstück, dass muss unser Freund bei der GEMA dann in seiner Datenbank fett markiern. Und damit wir diese magische 4-Minuten-Grenze auch erreichen, legen wir jetzt, wie man Fachjargon sagt, eine Generalpause ein.

[15 Sekunden Pause]

Das gehört alles noch zum Lied- ist klar ne?

[10 Sekunden später]

Das war die Generalpause, wir haben unser Ziel erreicht.

Was mir an diesem Lied gefällt ist nicht so sehr, dass es sich über die GEMA lustig macht, sondern vor allem, dass es das System auf ziemlich geniale Art und Weise austrickst.

Fiktive Objekte in echten Fotos

Es wird eine Methode vorgeschlagen, um synthetische Objekte realistisch in vorhandene Fotos einzufügen ohne Zugang zur Szene oder irgendein zusätzliches Vermessen der Szene zu verlangen. Mit einem einzigen Bild und einer kleinen Anzahl an Erläuterungen erzeugt die Methode ein physikalisches Modell der Szene, das für realistisches Rendern von Objekten mit diffusen, spiegelnden und sogar leuchtenden Oberflächen geeignet ist und dabei die Beleuchtungs-Wechselwirkung zwischen den Objekten und der Szene berücksichtigt. Es wird in einer Nutzerstudie gezeigt, dass mit der Methode erzeugte synthetische Bilder mit realen Szenen verwechselt werden können – und dies auch von Menschen, die glauben, den Unterschied besonders gut erkennen zu können. Weiterhin zeigt die Studie, dass die Methode mit anderen Methoden des Einfügens konkurrieren kann, dabei aber weniger Informationen über die Szene benötigt. (Aus der Zusammenfassung )


»Rendering Synthetic Objects into Legacy Photographs« von »Kevin Karsch« auf »Vimeo«.

Datenspuren 2011 – Vortrag über den Bundestrojaner

Constanze Kurz und Frank Rieger vom CCC erklären technische Details zum Staatstrojaner »0zapftis« und üben heftige Kritik an den Reaktionen der Politik.

Video: Datenspuren 2011 - Vortrag über den Bundestrojaner (57:13)

Quelle: Golem

Siehe auch: Multifunktionale Rohlinge – Staatstrojaner des BND mit noch mehr illegalen Features (ebenfalls Golem)

Anonymous-Aktion gegen Website von Hans-Peter Uhl

Johnny Haeusler schreibt auf Google+:

Anonymous hat die Site von Hans-Peter Uhl gehackt/defaced und ich frage mich, ob ich das positiv unter zivilem Ungehorsam verbuchen soll oder ob es nicht doch an Bürgerwehr-Mentalität grenzt.

Eine lustige Folge (Uhl distanziert sich von der CSU) der Aktion ist hier dokumentiert: Die Fehlschläge des Herrn Uhl. Heute: “Distanzierung”