Kategorien

Suchen


Aktuelle Artikel

Archiv

Sicherheit

« Vorherige Beiträge Nächste Beiträge »

Sicherheit: BitTorrent greift auf den Speicher anderer Prozesse zu

Sonntag, 04.07.2010

Kaum ein anderes Programm ist derzeit umstrittener als die P2P Software “BitTorrent”. Die Film- und Musikindustrie überschwemmt das Land mit Abmahnungen und Klagen gegen Betreiber und Benutzer (sh. z.Bsp. einen Spiegelbericht) – eine kostengünstige und verbraucherfreundliche Alternative bieten nur sehr wenige Musik- und Filmkonzerne.

Ich habe mir diese Software ein wenig näher ansehen wollen und einen Download auf einer der vielen legalen und offiziellen Downloadserver gefunden:

Der Download umfaßt ca. 2,8 MB und ist nach wenigen Sekunden abgeschlossen. Vorteil beim Download über seriöse, große Plattformen ist, dass diese Downloads meist zuvor durch Virenscanner und Schutzsoftware überprüft wurden. Auch werden diese Downloads zumeist direkt vom Hersteller bzw. Autor der Software “beliefert”, sodaß eine Manipulation der Programme weniger wahrscheinlich ist.

Nach dem Download startete ich das Setup und war reichlich überrascht, als das BitTorrent Setup ohne eine Anzeige, Warnung oder einen Hinweis anfing, auf den Speicher sämtlicher aktiver Programme (Prozesse) meines Computers zugreifen zu wollen.

Nur die Warnmeldungen meiner Firewall (auf dem Testcomputer die Comodo Firewall) warnten mich vor den Zugriffen:

(Sie sehen nur eine kleine Auswahl der Meldungen. Das BitTorrent Setup griff auf jeden laufenden Prozess zu ..)

Für ein installiertes, laufendes Programm können diese Zugriffe sinnvoll und (in seltenen Fällen) auch notwendig sein. Z.Bsp. dann, wenn ein Programm auf das Markieren eines Textbereiches reagieren soll und ggf. feststellt, dass Sie eine Internetadresse (URL) markiert haben. Dann kann die Software diese URL weiter verarbeiten.

Während eines Setups sehe ich absolut keine Notwendigkeit, auf meine Prozesse zuzugreifen. Zumal eine vorherigen Erlaubnis oder Rückfrage bei mir fehlte und nur meine Firewall mich schützte.

Also brach ich das BitTorrent Setup über den TaskManager (Strg+Alt+Entf) ab.

Fazit

Die Technik der P2P Netzwerke ist sicherlich außerordentlich mächtig und sinnvoll – sofern sie für legale Daten genutzt wird. Die Tools (Software, Programme, ..) gibt es in vielerlei Ausführungen. Aber Sie sollten sehr gründlich prüfen, was diese Software auf Ihrem Computer darf.

Das Risiko (ich möchte ausdrücklich der BitTorrent Software hier nichts unterstellen), dass die Zugriffe auf den Speicher anderer Anwendungen für das Ausspähen von Daten, Passwörtern und PINs genutzt wird ist hoch. Hast sich eine Software unbemerkt in den Speicher (sh. Screenshot oben) der Verschlüsselungssoftware “TrueCrypt” eingehakt, können Passworteingaben, Sicherheitseinstellungen, Pfade und Zugriffe unproblematisch analysiert werden. Da Sie solcher Software natürlich auch den Internetzugriff erlaubt haben (ansonsten können Sie auf keinen anderen P2P Computer zugreifen), können diese vertraulichen Daten leicht und unbemerkt verschickt werden.

Nochmal: Ich möchte keiner P2P Software diese Absicht unterstellen. Aber schwarze Schafe und manipulierte Versionen ansonsten ordentlicher Anbieter können unbemerkt und leicht auch bei Ihnen laden.

Praxistest: FritzBox contra HorstBox

Freitag, 02.07.2010

Vor einigen Wochen zwang uns der Aufwall unserer (recht alten Telefonanlage) zu einer Neuanschaffung.

Natürlich informierten wir uns über die Nachfolgemodelle unserer alten Telefonanlage (einer Eumex). Die Preise waren jedoch (aus unserer Sicht) für eine reine Telefonanlage mit ca. € 80 bis € 100 viel zu hoch. Wenn wir schon die Technik erneuern, dann sollte das Gerät gerne auch die Router- und Modemfunktionen mit übernehmen können.

Als die beiden einzigen Möglichkeiten fanden wir:

Wir kauften die günstigere “HorstBox” (mehr Informationen auf der Herstellerseite). Das Anschließen und die Inbetriebnahme gestalteten sich schwieriger als beschrieben und angenommen. Nach ca. 1 Std. liefen aber Telefon und Internet gut. Die an der USB angeschlossenen Geräte erkannte die HorstBox nicht, da keine GDI Drucker (“Windowsdrucker”) und mit NTFS formierte Festplatten verarbeitet werden können. Also ein großer Minuspunkt.

Die NTFS Festplatten haben wir aufwändig in das FAT32 Format umgewandelt, da der “kurze Weg” (umcodieren der Partitionen mit Totalausfall und Datenlust) sehr wahrscheinlich ist. Das nächste Problem war der Datendurchsatz auf diese USB Festplatten: Für eine ca. 220 MB große Datei benötigt die HorstBox auch gerne mal zwischen 10 und 20 Minuten, was für den täglichen Einsatz heutzutage vollkommen inakzeptabel ist. Zum Vergleich: Ein normales Video hat eine Größe ab ca. 700 MB.

Nach Auskunft von D-Link (kostenpflichtige Hotline) ist dieses Verhalten ungewöhnlich und so tauschten wir die HorstBox um. Kurz gesagt: Auch die neue Hardware zeigte starke Schwächen mit den USB Geräten.

Ein weiterer, großer Nachteil ist die Rufnummernanzeige (CLIP) auf den angeschlossenen Telefonen. Ist die Telefonnummer des Anrufenden nicht im Telefonbuch der HorstBox erfasst, wird zunächst nur “ANONYMOUS1″ im Telefondisplay angezeigt. Nach wenigen Sekunden wechselt die Anzeige dann auf die Rufnummer des Anrufers. Nach einiger Zeit stellte sich diese Technik als äußerst nervig und störend heraus.

Wir haben die HorstBox aufgrund dieser o.a. Mängel zurückgegeben. Nicht auf Garantie, sondern auf Mängelrüge).

AVM Fritz!Box Fon

Notgedrungen mussten wir die höhere Ausgabe für die FritzBox in Kauf nehmen – jedoch hat sich diese Ausgabe bis heute absolut bezahlt gemacht:

Unser Fazit

Die Fritz!Box ist der HorstBox deutlich überlegen – auch wenn der Recht hohe Preis noch nicht überzeugen kann.

Die Technik in der Fritz!Box ist ausgereift und sehr übersichtlich und gut bedienbar.

Facebook: Neue AGB erlauben Weitergabe der Nutzerdaten an Dritte

Dienstag, 29.06.2010

Das Internetportal “Facebook” (gilt als sog. “soziales” Netzwerk) hat seine AGB geändert.

Facebook erlaubt es jedem Mitglied, kostenlos eine Profilseite anzulegen und darauf aus seinem Leben zu erzählen, Fotos und Videos einstellen. Diese Technik nutzen mittlerweile (Facebook besteht seit sechs Jahren) nach eigenen Angaben ca. 400 Millionen aktive Nutzer weltweit. Dadurch hat das Unternehmen direkten Zugriff auf riesige Datenmengen. Natürlich sind an diesen Daten auch kommerzielle Unternehmen interessiert, denn schließlich sind diese Daten zu beinahe 100% real, stets auf dem aktuellsten Stand und zumeist auch sehr persönlich. Auch deshalb sind die interessierten Unternehmen natürlich bereit, dafür zu bezahlen .. und genau damit verdient Facebook sein Geld.

Die Verbraucherschutzministerin Ilse Aigner schrieb bereits im April 2010 einen offenen Brief an Mark Zuckerberg (Facebook-Chef). Grund waren die Änderungen der allgemeinen Geschäftsbedingungen von Facebook. Durch diese Änderungen wird Facebook erlaubt, Nutzerdaten automatisiert an Dritte weiterzugeben.

Den tieferen Sinn dieser AGB Anpassung (Änderung) möchten wir Ihnen kurz deutlicher machen:

Die von Facebook geförderten Buttons “Gefällt mir” und “Teilen” können von jedem Benutzer aktiviert werden und dadurch kann jeder Nutzer zu anderen Inhalten auf Facebook Stellung beziehen. Zusätzlich bietet Facebook seit einiger Zeit den “Gefällt mir” Button für Portalfremde Seiten an (d.h., dieser Button kann auch auf anderen Webseiten angeboten werden). Dadurch haben dann auch die Besucher anderer Portale (Blogs, Webseiten) die Möglichkeit einen bestimmten Artikel direkt bei Facebook zu empfehlen. Natürlich bleiben diese Äußerungen nicht unbemerkt und bei jedem Klick wird bei Facebook mehr und mehr der Benutzer transparent – seine Vorlieben und ggf. Abneigungen werden in Echtzeit erfasst. Und ebenso natürlich können aufgrund dieser gespeicherten Daten (sehr) umfassende Persönlichkeitsprofile erstellt werden, ohne dass der Benutzer davon Kenntnis hat oder es bemerken kann.

Facebookbenutzer können anderen Facebooknutzern aus ihrer Sicht interessante Links, Artikel und Seiten mitteilen. Dadurch sind dann nicht nur die Beziehungen der Facebooknutzer untereinander sondern auch Rückschlüsse auf die Vorlieben der jeweiligen Adressaten möglich.

Es ist sehr zweifelhaft, ob diese Datensammlung und -weitergabe mit dem deutschen Datenschutzrecht übereinstimmt.

Nach aktuell gültigem deutschen Recht muss jeder Nutzer der Weitergabe seiner Daten aktiv zustimmen, wenn die Weitergabe an Dritte nicht der unmittelbaren Vertragserfüllung dient. Die per AGB indirekt erteilte (und wohl zumeist unbemerkte) Einwilligung reicht laut einiger Rechtsexperten nicht aus. Ob sich Facebook als weltweit operierendes Unternehmen aber vom zum Teil sehr restriktiven deutschen Datenschutzrecht beeindrucken lässt, darf bezweifelt werden.

Von daher müssen wir Ihnen raten, vor der Nutzung der Facebook Dienste Ihre Interessen zu überdenken.

Linux: root Passwort vergessen (zurücksetzen / Reset)

Montag, 28.06.2010

Wenn Sie Ihr Administrator-Passwort (Benutzer “root”) vergessen haben, gibt es eine Möglichkeit dieses neu zu setzen:

  1. Starten Sie den Computer neu
  2. Beim Bootmenü (GRUB) wählen Sie “single user mode”
  3. Drücken Sie “e” (= Editieren)
  4. Gehen Sie in die Zeile mit dem Anfang “kernel=”
  5. Drücken Sie wieder “e” (= Editieren)
  6. Schreiben Sie “init=/bin/sh” an das Ende der Zeile.
    Dabei sind durch die englische Tastenbelegung folgende Zeichen wie folgt belegt:

    • Das “=” liegt auf der Taste “´” (rechts neben “ß”)
    • Das “/” liegt auf der Taste “-” (rechts neben “.”)
  7. Drücken Sie “Enter”
  8. Drücken Sie “b” (= Boot)
  9. Geben Sie das root-Dateisystem zum Beschreiben frei:
    mount -o remount, rw /dev/sda2
    Evtl. müssen Sie “/dev/sda2″ durch das System auf Ihrem Computer
  10. Ändern Sie das root-Passwort:
    • Geben Sie den Befehl “passwd” ein
    • Geben Sie Ihr neues root Passwort ein.
      Achten Sie dabei auf die evtl. englische Tastenbelegung
    • Wiederholen Sie Ihr neues root Passwort
  11. Schützen Sie das root-Dateisystem wieder:
    sync && mount -o remount, ro /dev/sda2
    Evtl. müssen Sie “/dev/sda2″ durch das System auf Ihrem Computer (sh. Punkt 9)
  12. Rebooten Sie Ihren Computer.
    Ihr neues Passwort ist ab jetzt gültig.

Achtung:

Haben Sie Ihren grub-bootloader gegen unbefugtes Verändern gesichert, kann diese Methode nicht funktionieren.

Recht: Privates WLAN sichern ist Pflicht

Dienstag, 22.06.2010

Wenn Sie im Urlaub sind und über Ihren ungesicherten WLAN Anschluss z.Bsp. Musik heruntergeladen wird, tragen Sie eine Teilschuld.

Die Titel einer Plattenfirma wurden von einem Internetanschluss eines Mannes, der zur fraglichen Zeit im Urlaub war, aus dem Internet heruntergeladen. Die Plattenfirma verklagte nun den Anschlussinhaber auf Unterlassung, Schadensersatz und Erstattung der Abmahnkosten – und bekam teilweise Recht.

Nach der Auffassung der zuständigen Richter kommt eine Haftung des Beklagten als Täter oder Teilnehmer einer Urheberrechtsverletzung nicht in Betracht. Aber auch private Anschlussinhaber haben die Pflicht zu prüfen, ob ihr WLAN-Router und das WLAN-Netzwerk durch angemessene Sicherungsmaßnahmen davor geschützt sind, von unberechtigten Dritten zur Begehung von Urheberrechtsverletzungen genutzt zu werden. (BGH, Az.: I ZR 121/08)

Diese Pflicht der Prüfung umfasst sich laut Rechtsexperten jedoch nur auf die Einhaltung der für den privaten Gebrauch marktüblichen Sicherungen zum Zeitpunkt der Installation des WLAN-Netzes. Diese Pflicht wurde im o.a. Fall verletzt und daher hatte der Mann für Unterlassung und die Erstattung der Abmahnkosten zu haften.

Linux: Automatisch über Speicherplatzauslastungen von Ordnern informiert werden (Cronjob)

Montag, 10.05.2010

Wenn Sie z.Bsp. auf Ihrem Server für diverse Benutzer Speicherplatz bereit stellen, dann ist es häufig sehr interessant, wieviel dieses Speichern von wem belegt ist.

Solange Sie dabei keine hohen Ansprüche an perfekte Diagramme und ausgefeilte Texte legen, sondern mit knappen und übersichtlichen Zahlen klar kommen hilft Ihnen folgender Trick:

Die Übersicht über die Speicherplatzbelegung diverser Unterordner erhalten Sie unter Linux mit:

du -h /home --max-depth=1

Ergebnis (Beispiel):

32M     /home/max
207M    /home/hans
261M    /home/gitte
192M    /home/lotte
8.0K    /home/bert
8.5G    /home/admin
83M     /home/web
9.2G    /home

Mit dem Parameter “–max-depth=1″ legen Sie fest, dass nur die ersten Unterordner Ihres Verzeichnisses (= nur eine Ebene tief) angezeigt werden. Wenn Sie hier eine “2″ eintragen, dann erhalten Sie ebenfalls die nächsten Unterordner unterhalb der jetzt angezeigten.

In der letzten Zeile erhalten Sie den “Gesamtverbrauch” aller angezeigten Ordner.
Um sich einen allgemeinen Überblick über den Speicherplatz zu verschaffen, nutzen Sie den “df” Befehl:

df -h

Der “-h” Parameter steht für “human readable” (für Menschen lesbar) und wandelt die Größenangaben in sinnvolle Einheiten um.

Um sich die o.a. Auflistung der Ordner nun automatisch per E-Mail zuschicken zu lassen, nutzen Sie einfach einen Cronjob:

crontab -e

Tragen Sie nun folgende Zeile (nur eine Zeile) in die Datei ein:

@daily du -h /home/ --max-depth=1 | mail -s "Betreff" info@xyz.com

Ab jetzt erhalten Sie (zumeist um Mitternacht) eine E-Mail an die o.a. Adresse (hier: “info@xyz.com”) mit der o.a. Übersicht. Natürlich können Sie auch andere Ordner wählen und sich so einfach und schnell einen aktuellen Überblick verschaffen.

Selbstverständlich gibt es viele weitere Lösungen. Diese reichen von einfachen Perl-Scripten bis zu komplexen Softwarelösungen. Manchmal reicht ja aber auch diese spartanische Version.

Avira: Die Installation des Microsoft Runtime Redistributable Kit ist fehlgeschlagen

Samstag, 01.05.2010

Wenn Sie bei der Installation des kostenlosen Avira Virenscanners die folgende Fehlermeldung erhalten, hilft Ihnen dieser Artikel:

Die Installation des Microsoft Runtime Redistributable Kit ist fehlgeschlagen

Grund ist, dass die automatische Entpackung und Installation des “MS Runtime Redistributable Kit” teilweise nicht fehlerfrei läuft. Häufig wird Ihnen als Ursache ein parallel ausgeführtes Windows Update angegeben. Diese Information ist falsch.

Wir nutzem im Beispiel die kostenlose Software “WinZip”. Teilweise können auch andere ZIP Archiv Entpacker Ihnen weiterhelfen. Ansonsten finden Sie “WinZip” auf dieser Webseite zum Download:
http://www.winzip.de/

Das einfache Umbenennen der Datei in ein ZIP Archiv funktioniert nicht !
Hingegen das Umbenennen in ein TAR Archiv und Öffnen per WinRAR geht.

Lösung

Im Arbeitsplatz (Explorer) klicken Sie mit der rechten Maustaste auf die Installationsdatei “setup.exe”. Im dann angezeigten Menü wählen Sie “Hier entpacken”.

Nun wird die “setup.exe” entpackt und der Inhalt in einem neuen Ordner abgelegt. Wenn der Vorgang beendet ist, öffnen Sie den neuen Ordner.

Nun gibt es zwei Möglichkeiten:

(1) Sie versuchen erneut eine Installation, indem Sie das Programm “setup.exe” im neuen Ordner starten. Manchmal kann die Installation nun erfolgreich durchlaufen. Sollte Sie wieder scheitern, nutzen Sie die nächste Möglichkeit:

(2) Im neuen Ordner finden Sie die Datei “vcredist_x86.exe”. Starten Sie diese zuerst und lassen Sie die Installation komplett durchlaufen. Anschließend starten Sie wieder das “normale” Avira Setup (“setup.exe”). Nun wird auch diese Installation erfolgreich durchlaufen.

Datenschutz: Suchmaschine ohne Datenspeicherung

Freitag, 09.04.2010

Es ist seit langem bekannt – und wird trotzdem nicht von allen erkannt:

Fast alle Suchmaschinen (vor allem “Google”) speichern die Suchanfragen. Damit nicht genug. Natürlich wird auch Ihre aktuelle IP Adresse (bei Ihnen gerade die “38.107.191.86″) gespeichert und mit Ihrer Suchanfrage verknüpft. Bei einer einzigen Suchanfrage mag das nicht schlimm sein – Ihre IP verrät Sie ja nicht sofort und an jeden. Nur mit richterlichem Beschluss sollte (!) man Zugang zu Ihren persönlichen Daten erhalten.

Was ist aber, wenn Sie alle Suchanfragen über lange Zeit stellen und möglichst auchnoch Ihr E-Mailkonto bei Google haben ? Richtig: Dann ensteht aus diesen scheinbar harmlosen Einzel-Informationen eine Struktur – nämlich Ihre. Abfragen, Gewohnheiten, Interessen und Ihre elektronische Post sind lesbar und auswertbar. Prost!

Abhilfe kann z.Bsp. eine Suchmaschine schaffen, die Ihre IP nicht speichert. Damit ist Ihre Abfrage nicht Ihnen zuzuordnen. Zusätzlich erfolgt die Datenübertragung über eine geschützte Verbindung: Das HTTPS Protokoll. Am Ende dieses Artikels finden Sie eine kurze Installationsanleitung für Ihren Firefox Browser.

Der Name dieser Suchmaschine:

https://www.ixquick.com

Mehr zum Schutz Ihrer Privatsphäre bei der Suchmaschine:

https://eu2.ixquick.com/deu/protect-privacy.html

Sie möchten ein abschreckendes Beispiel für die Transparenz Ihrer Suche (in diesem Beispiel “AOL”) für andere Benutzer haben ? Bitte:

http://www.aolstalker.com

Wenn Sie mit dem Mozilla Firefox Browser surfen (was wir Ihnen ausdrücklich empfehlen), dann installieren Sie sich das IXquick Plugin. Es kann (und soll) die Suche für das Suchfeld oben rechts im Browser ersetzen:

  1. Öffnen Sie die folgende Webseite:
    https://addons.mozilla.org/de/firefox/addon/59187
  2. Klicken Sie auf “Zu Firefox hinzufügen”
  3. Folgen Sie den Anweisungen und lassen Sie IXquick Ihre aktuelle Suche ab sofort ersetzen
  4. Nach der Installation finden Sie am Anfang des Suchfeldes einen blauen Stern

PHP: Zufallszeichenkette erzeugen (random string)

Montag, 08.03.2010

Um eine Zeichenkette (string) mit zufälligen Zeichen zu erzeugen, können Sie folgende PHP Funktion nutzen:

1
2
3
4
5
6
7
8
9
10

// Zufallsgenerator schütteln
mt_srand((double) microtime() * 1000000); 
 
// Basiszeichenpool
$set = "ABCDEFGHIKLMNPQRSTUVWXYZ123456789";
$pin = "";
 
// 10 stelligen PIN aus den o.a. Zeichen erzeugen
for ($n=1;$n<=10;$n++)
	$pin .= $set[mt_rand(0,(strlen($set)-1))];

Natürlich geht das o.a. PHP Script auch für längere Zeichenketten. Ersetzen Sie einfach die “10″ (Zeile 9) durch die gewünschte Anzahl an Zeichen.

In der Variablen “set” (Zeile 5) können Sie die Zeichen festlegen, aus denen der Zufallsgenerator Ihre Zeichenkette erstellen soll.

.htaccess: Zugriff auf ein Unterverzeichnis erlauben

Sonntag, 07.03.2010

Es gibt Fälle, da möchte man ein Verzeichnis per .htaccess schützen – trotzdem aber den Zugriff auf ein Unterverzeichnis des geschützten Verzeichnisses wieder erlauben.

Praxis-Beispiel:

Um Ihre WordPress Installation zusätzlich zu sichern, sperren Sie das /wp-admin Verzeichnis durch eine .htaccess / .htpasswd Kombination. Dadurch werden aber andere Logins (z.Bsp. von normalen Benutzern auf der Webseite) auch blockiert, da bei die Loginmaske Dateien aus dem /wp-admin/css und /wp-admin/images Verzeichnis abruft.

Lösung:

Erstellen (der belassen) Sie den Schutz wie in unserem Artikel “WordPress: Schutz des Administrationsbereiches (wp-admin)/” beschrieben für den /wp-admin/ Ordner.

Erstellen Sie zusätzlich in den beiden Unterordnern “css” und “images” eine weitere .htaccess Datei mit diesem Inhalt:

Order Deny,Allow
Allow from all
Satisfy any

Nun werden Sie beim Zugriff auf “www.domain.de/wp-admin” nach Ihren Zugangsdaten gefragt. Möchte sich ein Benutzer jedoch normal über die Loginmaske anmelden, sieht es das bekannte Formular und wird nicht eingeschränkt.

« Vorheriger Beitrag Nächster Beitrag »