Netzzugang im Flugzeug: Gefälschte SSL-Zertifikate

Der Provider Gogo (nicht Google) liefert absichtlich gefälschte SSL-Zertifikate aus, wenn Flugpassagiere bei amerikanischen Flügen im Netz surfen. Das hat jetzt die Google-Sicherheitsexpertin Adrienne Porter Felt auf einer Flugreise herausgefunden. Gogo hat dazu eine Stellungnahme herausgegeben:

„Gogo arbeitet daran, mehr Bandbreite in die Flugzeuge zu bringen. Bis wir das erreicht haben, werden wir verschiedene Video-Streaming-Seiten blockieren, und wir nutzen verschiedene Techniken, um Video-Streaming zu begrenzen. Welche Technik wir auch immer nutzen, sie wird sich nicht auf die allgemeine Internet-Sicherheit auswirken.“

Ja, klar! Ein gefälschtes SSL-Zertifikat ist für NSA übliche Man-in-the-Middle-Aktionen immer ein sicheres Zertifikat. Demnach haben die Schnorchelbehörden SSL doch noch nicht so im Griff, wie sie immer behaupten.

Links:

31C3: Mobilfunk-Protokoll SS7 offen wie ein Scheunentor

Das unsichere UMTS-Netz hatten wir hier schon einmal… doch wie nun Tobias Engel in seinem Vortrag “SS7: Locate. Track. Manipulate.” auf dem Congress des Chaos Computer Clubs demonstrierte, ist das Mobilfunk-Protokoll SS7 offen wie ein großes Scheunentor. Den GSM- oder UMTS-Standard kann man komplett vergessen! Und natürlich wussten die Mobilfunkprovider davon! Denn:

Angriffe über SS7 sind jedoch schon seit Jahren bekannt. Die Washington Post publizierte bereits im August einen Artikel über den kommerziellen Missbrauch von SS7. → Heise

Soviel also zum deutschen Datenschutz!

Und wieder sind wir bei den Geheimdiensten, wie NSA & Co, die diese Sicherheitslücken für ihre Datenraubzüge (Überwachung) nutzen (diese Sicherheitslücken werden ja gerade deshalb nicht gestopft), und dadurch Millionen Mobilfunknutzer gefährden und sogar den Verlust von Kontodaten und Identitätsdiebstahl in Kauf nehmen. Super krasse Scheiße, die hier völlig unkontrolliert aus dem Ruder gelaufen ist!!!

Der Spiegel empfiehlt: Mobilfunk-Schwachstellen: Im Zweifel einfach das Telefon wegschmeißen

Ja, super!!! Auf die Idee, mal eine öffentliche Forderung nach mehr Sicherheit und Datenschutz für Mobilfunk- und Internetnutzer zu stellen, wie es zB die New York Times macht, kommt in Deutschland kein einzige Blatt!!! Tolle Leistung!

Um die Unfähigkeit der Politik gegen die unkontrollierte Überwachungspraxis der Geheimdienste auszugleichen und den Mobilfunknutzern etwas mehr Datensicherheit zu geben, hat Karsten Nohl von der Sicherheitsfirma SRLabs seine Android-App SnoopSnitch vorgestellt:

Die Android-App SnoopSnitch nutzt die Debug-Daten eines verbreiteten Qualcomm-Chipsatzes, um Daten aus dem Baseband-Chip zu extrahieren, die dem Anwender sonst verborgen bleiben. So informiert die App ihren Nutzer darüber, wenn eine so genannte „stille SMS“ eintrifft. Die für den Nutzer normalerweise unsichtbaren Nachrichten werden von Ermittlungsbehörden genutzt, um Verdächtige genau überwachen zu können: Das Handy meldet beim Empfang der Nachricht seinen genauen Standort an den Provider, der die Information an die Behörden weitergibt. → Heise

SnoopSnitch erkennt Angriffsversuche über IMSI-Catcher, aber auch erweiterte SS7-Angriffe.

Wer ein Android-Handy nutzt, sollte sich die App unbedingt anschauen.

Links:

NSA veröffentlicht Berichte über ihre kriminelle Überwachungspraxis


(Image via EFF)

Nach einer Klage der American Civil Liberties Union (ACLU), musste die NSA im Rahmen des Freedom of Information Act einen Stapel Akten über ihre kriminelle Überwachungspraxis veröffentlichen. In den zum Teil stark geschwärzten Berichten geht es um so unbedeutende Aktivitäten wie

  • die Überwachung von US-Staatsbürgern,
  • absichtlich missbräuchliche Nutzung der gewonnenen Überwachungsdaten,
  • Fälle von Stalking
  • Speicherung auf nicht autorisierten Servern, damit nicht autorisierte Personen Zugriff haben
  • Daten-Weiterleitung via E-Mail an nicht autorisierte Empfänger
  • Überwachung von Lebenspartnern von NSA-Mitarbeitern
  • Identitäten von überwachten Personen in Chatrooms geschmiert
  • unautorisierte Überwachung einer US-Organisation inkl. Daten aus der Verkehrsdatenbank

usw.

Wenn die NSA-Profis schon so dilettantisch mit den Überwachungsdaten ihrer Staatsbürger umgehen, dann möchte ich gar nicht wissen, was DIE mit unseren Daten so alles anstellen. Wahrscheinlich – nein, ich bin mir sogar sicher, dass die NSA-Vollprofis bei ihren Datenraubzügen Sicherheitslöcher für Scriptkiddies zurück lassen, damit diese Behörde zur gegebenen Zeit eine Daseinsberechtigung vorweisen kann.

Die NSA, das dürft ihr nicht vergessen, hat weder eine gesetzliche noch ein richterliche Aufsicht und ist keiner Behörde verpflichtet.

Links:

Überraschung: Es gibt tatsächlich einen Bericht im deutschsprachigen Raum

Trojaner Turla gibts jetzt auch für Linux

Der fortschrittliche Trojaner Turla, der – wie könnte es anders sein – von Regierungsbehörden entwickelt worden sein soll und bisher nur in der Windowswelt anzutreffen war, spioniert nun auch unter Linux:

Die jetzt entdeckten Varianten, die auf Linux abzielen, liefen laut Symantec vermutlich bereits seit Jahren auf den infizierten Rechnern, bevor sie nun entdeckt wurden. Turla besitzt exzellente Tarnmechanismen, die eine lange Verweildauer vor einer Entdeckung ermöglichen. Die Linux-Variante von Turla ist ein ausführbares Programm in C/C++, das unter anderem gegen die Bibliotheken glibc 2.3.2, openssl 0.9.6 und libpcap statisch gelinkt ist. Um die Analyse zu erschweren, sind sämtliche Symbol-Informationen entfernt worden. Das veranlasste Kurt Baumgartner von Kaspersky Labs zu der Aussage, in der Linux-Variante könnten durchaus noch unentdeckte Mechanismen stecken. Das zweite in freier Wildbahn entdeckte Exemplar entstammt einer neueren Generation der Malware, so die Forscher. Diese stellen sich nun die Frage, wie viele weitere unentdeckte Varianten auf bereits infizierten Rechnern weltweit schlummern.

Ich finde es echt super, dass unsere vorbildlichen Geheimdienste den Bösewichten die Entwicklungsarbeit für hoch effiziente Schnüffelsoftware abnehmen. Denn Hacker entdecken solche Tarnkappentrojaner doch recht schnell und können sie dann für ihre Zwecke nutzen. Letztlich werden wir den großen Datengau den Geheimdiensten zu verdanken haben. Nur weiter so!

BND wusste seit 2005 von US-Spähangriffen

Ich hatte hier ja schon öfter erwähnt, dass der BND von den US-Spähangriffen gewusst haben muss, denn ohne deren Unterstützung wäre NSA-Überwachungsequipment nicht in Ministerien verbaut worden. Das, was jetzt so über den NSA-Ausschuss verteilt wird, ist meiner Meinung nach nur die halbe Wahrheit:

Dem als „geheim“ eingestuften Papier zufolge bot ein US-Unternehmen in Deutschland Hightech-Überwachungsanlagen an, die Audio- und Videoaufzeichnungen offenbar an US-Geheimdienste weiterleiteten. Der Hersteller versuchte demnach „zielgerichtet“ seine Produkte in sicherheitsempfindlichen Bereichen zu platzieren. Als Beispiele nennt der BND „Rüstungsunternehmen und Hightech-Unternehmen in Konkurrenzposition zu US-Unternehmen, Ministerien, Sicherheitsbehörden“. In einem Labortest eines Mustergeräts stellten BND-Spezialisten fest, dass die Technik über das Internet ferngesteuert werden konnte.

Lt. dem Bericht wurde das Bundeskanzleramt am 8. Februar 2005 über die US-Spähangriffe informiert. Und was machen unsere Knalltüten? NICHTS! Selbst nach den Enthüllungen des Whistleblowers Edward Snowden 2013, kriegen sie nicht mehr als Lügen zustande!!!

Sie hätten immerhin jetzt die Möglichkeit ergreifen können, sich beim Deutschen Volk für ihr Vergehen zu entschuldigen, doch sie zogen es vor, sich wie Kriminelle zu verhalten und drohen jedem mit Strafverfolgung, wenn noch etwas über ihren Verrat an die Öffentlichkeit kommt. Doch dafür ist es ohnehin zu spät! Jeder, der ein bisschen mitdenken kann, weiß, dass unsere Geheimdienste und die halbe Regierung für US-Behörden arbeiten. Wie sonst wohl war es dem NSA-Dienstleister CSC möglich, gegen Steuergelder Spähhardware und –Software zu installieren, wenn nicht Verfassungsschutz und BND zugestimmt, bzw. ihre Unbedenklichkeit gegenüber dieser Firma bestätig hätten?

Das wirklich verblüffende daran ist noch, dass unsere Sicherheitsbehörden Merkels Handy für “sicher” hielten, obwohl sie es besser wussten!!!

Springer-Verlag: BND-Spitzel in der Chefetage

Beim Axel Springer Verlag hatte sich ein BND-Spitzel in der Chefetage eingenistet (“Bild”-Link):

Der Spitzel saß im 12. Stock des Axel Springer Verlags in Hamburg – der Chefetage von Verleger Axel Springer. Dort ist der BND-Mann in den 60er Jahren in leitender Position für Springer tätig. Sein Name: Dr. Horst Mahnke († 82). Er war eine von insgesamt sieben Quellen des BND im Springer-Verlag.

Unser Auslandsgeheimdienst BND überwacht ja nach eigenen Angaben bloß ausländische Aktivitäten, soviel zur Glaubwürdigkeit des Dienstes. Ich vermute mal, dass es bei anderen Verlagen auch nicht viel besser aussieht, bloß hat man die Spitzel dort noch nicht entdeckt.