Sicher "surfen" in LOS

[spellbound hound]

Vor meinem Aufenthalt im März stellte sich mir die Frage:
"Wie möglichst sicher auf die daheimgebliebenen Rechner mittels Fernwartung zugreifen?"
Schließlich kann man schlecht prüfen, ob der Rechner im Internetcafe nicht schon von irgendwelchen Trojanern, Keyloggern oder sonstigem Ungeziefer (von den lokal ansässigen Kakalaken mal abgesehen ) durchseucht ist. Auch die Passwörter für meine "Müllmailaccounts" gebe ich nur ungern preis.

Die Lösung: "Damn Small Linux" auf CD gebrannt und im Internetcafe in LOS einfach dumm gefragt, ob man die eigene Software verwenden dürfe. Konnte man zwar nicht in jedem Cafe machen, aber nach einigen Fragen hatte man ein neues Stammcafe gefunden.

Und heise.de meldet heute, dass die Version 3.0 rausgekommen ist, bei der sich sogar die Änderungen auf einem zusätzlichen Schreibmedium (Diskette, USB-Stick o.ä.) abspeichern lassen.

http://www.heise.de/newsticker/meldung/74474

Bei meinem nächsten Trip werde ich mit Sicherheit wieder die aktuelle Version dabeihaben.

 

[KraphPhom]

Schon erstaunlich was für Probleme der geneigte Urlauber so hat

 

[spellbound hound]

Schon erstaunlich was für Probleme der geneigte Urlauber so hat

Probleme? Die hatte ich nicht. Wenn ich zu diesem Zweck statt eines CD-Rohlings mein Notebook mit ca. 3 kg und Kosten von ca. 800 - 900 Euronen bei Verlust mit mir rumgeschleppt hätte - dann hätte ich Probleme.
Oder wolltest Du nur nochmal drauf hinzuweisen, dass Du als Aussiedler Dich mit solchen Wehwehchen nicht mehr abplagen musst? O.k., dann erblasse ich jetzt pflichtgemäß kurz vor Neid, bevor ich in die Heia gehe.

 

[a_2]

Die Waffe gegen Keylogger und ähnliches Gesochs sind Einmalpasswörter wie z.B. SKEY unter Unix (Nur in Kombination mit SSH2 natürlich), oder unter Windows die RSA Tokens (Sind leider recht teuer).

Wenn die Anmeldung via SmartCard auch am Windows Terminalserver funktioniert, dann nimmt man einen USB Cardreader mit einer Smartcard mit. (Gute Idee, muss ich morgen mal probieren)

Da nicht auf jedem Internet Cafe Rechner der Remote Desktop Client installiert ist, kann man sich irgendwo auf einem zugänglichen Webserver das RemoteDesktop ActiveX ablegen und von dort aus starten.

Einmalpasswörter kann man mit etwas bastelei auch bei VNC verwenden, aber das funktioniert bei mir noch nicht ganz korrekt, da muss ich nochmal basteln.

Was nützt es Dir ein Linux zu booten, wenn im Netz des Internet Cafes irgendwo ein Sniffer läuft, der ggf unverschlüsselte Verbindungen mitschreibt.

Was schon hilft, ist sich einen USB Stick mit einem FireFox mitzunehmen, denn der beste Spion ist das Autovervollständigen des Internetexplorers. Wenn man dann nur einen Webmaildienst verwendet der auf SSL Verschlüsselung setzt und dann vor dem ausloggen noch kurz das Passwort ändert, ist man schon auf der halbwegs sicheren Seite.
Kreditkartendaten sollte man im Internetcafe nicht eingeben, auch bei SSL Verschlüsselung nicht. Das einzige was dort helfen könnte wäre eine vernünftige Bildschirmtastatur für den Firefox die nicht über die Zwischenablage arbeitet und wenn möglich nach jedem klick die Reihenfolge der Tasten ändert.... (Gibts aber glaube ich noch nicht!)

 

[spellbound hound]

Die Waffe gegen Keylogger und ähnliches Gesochs sind Einmalpasswörter wie z.B. SKEY unter Unix (Nur in Kombination mit SSH2 natürlich), oder unter Windows die RSA Tokens (Sind leider recht teuer).

Wenn die Anmeldung via SmartCard auch am Windows Terminalserver funktioniert, dann nimmt man einen USB Cardreader mit einer Smartcard mit. (Gute Idee, muss ich morgen mal probieren)

Da nicht auf jedem Internet Cafe Rechner der Remote Desktop Client installiert ist, kann man sich irgendwo auf einem zugänglichen Webserver das RemoteDesktop ActiveX ablegen und von dort aus starten.

Einmalpasswörter kann man mit etwas bastelei auch bei VNC verwenden, aber das funktioniert bei mir noch nicht ganz korrekt, da muss ich nochmal basteln.

Gut, Einmalpasswörter und Smartcard helfen Dir, Dich eindeutig zu authentifizieren, trotzdem liest der keylogger jeden Deiner Tastendrücke in der aktuellen Session auf dem infizierten System mit.

Was nützt es Dir ein Linux zu booten, wenn im Netz des Internet Cafes irgendwo ein Sniffer läuft, der ggf unverschlüsselte Verbindungen mitschreibt.

Richtig, ssh und Co. sollte man natürlich voraussetzen. Wobei ein Angriff mittels Networksniffing von der Durchführung und Analyse der anfallenden Daten ungleich aufwendiger und daher weniger weit verbreitet sein dürfte, als das Keylogging. Das einzige Szenario, was mir bei einem sauber gebooteten System und ssh noch einfallen würde, wäre ein Man-in-the-middle-attack. Halte ich aber für sehr unwahrscheinlich, da noch aufwendiger als Netzwerk-Sniffing. Und solange die User die Daten bereitwillig per Tastatureingabe oder z.B. Phishing bereitstellen, wird sich daran auch nicht viel ändern.

Was schon hilft, ist sich einen USB Stick mit einem FireFox mitzunehmen, denn der beste Spion ist das Autovervollständigen des Internetexplorers. Wenn man dann nur einen Webmaildienst verwendet der auf SSL Verschlüsselung setzt und dann vor dem ausloggen noch kurz das Passwort ändert, ist man schon auf der halbwegs sicheren Seite.

Die Autovervollständigung des IE sehe ich eher als "Lucky-Shot-Hacking". Setzt voraus, dass sich ein neugieriger Mensch nach Dir an den Rechner setzt. Wie gesagt: gegen Keylogging helfen weder Firefox noch SSL. Und im Gegensatz zum Sniffen und Autovervollständigen muss der Angreifer keinen physischen Zugriff auf den Rechner haben, sondern kann irgendwo in Russland oder China sitzen.

Kreditkartendaten sollte man im Internetcafe nicht eingeben, auch bei SSL Verschlüsselung nicht. Das einzige was dort helfen könnte wäre eine vernünftige Bildschirmtastatur für den Firefox die nicht über die Zwischenablage arbeitet und wenn möglich nach jedem klick die Reihenfolge der Tasten ändert.... (Gibts aber glaube ich noch nicht!)

Wird´s wohl auch nie geben, weil es gegen moderne keylogger ziemlich nutzlos sein dürfte. Der keylogger klinkt sich nicht in irgendwelche Hardware-Abfrageroutinen ein, sondern in ??? ...taadaaa ... die Windows Message Queue (AKA die beliebteste Achillesferse von Windows). Und auf welchem Wege wird eine Bildschirmtastatur ihre "keystrokes" wohl an die Anwendung senden?

 

[a_2]

Einmal Passwörter: Was nützen die Keylogger Files, wenn man mit den Daten nichts anfangen kann, weil man sich an der Anwendung nicht authentifizieren kann?
Wenn das ganze schon an der Authentifizierung scheitert, sind auch weitere geloggte Daten weitgehend sinnlos, Kreditkartennummern und Kontoinformationen mal ausgenommen.

 

[a_2]

Das Autovervollständigen hat schon oftmals interessante Einblicke in z.B. den MSN Messenger und Skype gewährt. Ist mir schon ein paar Mal im Internet Cafe passiert das ich Seiten aufgerufen habe und plötzlich als jemand anders eingeloggt war.

 

[a_2]

Keylogger: Die Totale Sicherheit hat man auch auf dem eigenen Windows PC nicht. Dennoch auch wenn sich ein Keylogger in den WMQ einklinkt, nützt es ihm wenig, das er mitprotokolliert hat das der User an der Koordinate 189,136 geklickt hat. Die Auswertung der Koordinaten könnte z.B. durch ein JavaApplet erledigt werden.
Eine Bildschirmtastatur ist zu anfällig, da gebe ich Dir Recht.
Allerdings denke ich das nahezu alle mitprotokollierten Daten sinnlos sind, wenn man schon an der Authentifizierung scheitert.

 

[spellbound hound]

Keylogger: Die Totale Sicherheit hat man auch auf dem eigenen Windows PC nicht. Dennoch auch wenn sich ein Keylogger in den WMQ einklinkt, nützt es ihm wenig, das er mitprotokolliert hat das der User an der Koordinate 189,136 geklickt hat. Die Auswertung der Koordinaten könnte z.B. durch ein JavaApplet erledigt werden.

Frage: Wie soll die "Tastatureingabe" denn von dem JavaApplet in das gewünschte Control (z.B.: Passworteingabefeld) wandern? Auch Mausklicks werden meines Wissens nach nicht als Koordinaten durch die Messagequeue gereicht, sondern als sogenannte Events: Sprich "Linke Maustaste auf Schaltfläche XY losgelassen" etc. pp.

Aber eigentlich geht´s nur darum, Standardanwendungen einigermaßen sicher zu handeln und jetzt nicht irgendwelche (nicht verfügbare?) Applets aus dem Hut zu zaubern.

Allerdings denke ich das nahezu alle mitprotokollierten Daten sinnlos sind, wenn man schon an der Authentifizierung scheitert.

Kommt auf den Einzelfall an. Dass ich ein dickes Schloss an der Haustüre habe, heißt noch lange nicht, dass ich jedem die Zahlenkombination von meinem Panzerschrank (wie gut, dass ich gar keinen habe :-) ) auf die Nase binde oder mir durchs Fenster von Passanten die Zahlen von den Fingern ablesen lasse.

 

[a_2]

Ok, ich erkläre mal kurz wie das bei uns geht:

1) Ich melde mich an der Firewall an, das geht via Einmalpasswort. Die Firewall fragt mich nach ID#27 und ich gebe die 4x4 stellige ID ein. Damit ist meine IP für den Zugriff aufs System freigeschaltet.
1a) Ich könnte mich jetzt über Eingabe meiner Benutzernamens oder eines 2. Einmalpasswortes am Intranetportal anmelden. (Verbindung ist SSL Verschlüsselt und läuft über einen Reverseproxy um direkten Kontakt der Intranetserver mit dem Internet zu vermeiden).

ODER

2a) Ich könnte mich jetzt via TSR (Windows Terminal Server) auf dem Terminalserver anmelden. Dazu benötige ich einen gültigen Code vom RSA Token.) {es ginge natürlich auch eine Smartcard)
Für die TSR Verbindung ist die starke Verschlüsselung aktiviert, das reicht im Regelfall aus.

2c) Ich könnte eine PPTP Verbindung zum Netzwerk aufbauen, um mich so mit den in der DMZ (Demilitarisierten Zone) erreichbaren Rechnern zu verbinden. Authentifizierung geht hier aber leider (derzeit) nur mit einer normalen Username/Passwort Kombination.

Wenn ich mich nicht an der Firewall anmelde werden Verbindungen jegleicher Art automatisch geblockt. Nach der erfolgreichen Anmeldung wird die IP freigeschaltet.

Das Java Applet von dem ich sprach kann zur Eingabe von Passwörtern in Webanwendungen verwendet werden, sofern es keine Einmalpasswörter sind. Da nach jedem Anklicken eines Zeichens die Bildschirmtastatur des Java Applets zufällig neu sortiert wird, kann man auch mit den mitprotokollierten Koordinaten nix anfangen. Das Java Applet übermittelt das eingegebene Passwort and den Authentifizierungsmechanismus der unterliegenden Anwendung.

Zum lesen und schreiben von Email habe ich ja meinen Blackberry, da brauche ich nicht ins Internetcafe und notfalls gehts auch mal 3 Wochen ohne.
Der Blackberry hat zudem auch Zugriff aufs Intranet. Die Kommunikation zwischen Blackberry und dem Blackberry Enterprise Server in der Firma ist ja zudem 3DES verschlüsselt.

Wobei das wichtigste ist ja das ich mich im Urlaub erhole und nicht an den Maschinen in der Firma rumkonfiguriere. Bisher war es "toi toi toi" noch nie wirklich notwendig aus dem Urlaub einzugreifen. Ich habe das nur einmal als Test gemacht und es hat geklappt. Unsere Aussendienstler machen das allerdings nahezu täglich, aber seit dem wir Blackberry's einsetzen wird's deutlich weniger.

 

[a_2]

Frage: Wie soll die "Tastatureingabe" denn von dem JavaApplet in das gewünschte Control (z.B.: Passworteingabefeld) wandern? Auch Mausklicks werden meines Wissens nach nicht als Koordinaten durch die Messagequeue gereicht, sondern als sogenannte Events: Sprich "Linke Maustaste auf Schaltfläche XY losgelassen" etc. pp.

Aber eigentlich geht´s nur darum, Standardanwendungen einigermaßen sicher zu handeln und jetzt nicht irgendwelche (nicht verfügbare?) Applets aus dem Hut zu zaubern.

Das Appet muss man schon selbst schreiben, aber das ist ja kein grosses Problem. Das angeklickte Passwort in ein Control zu kopieren ist zwar möglich, aber kontraproduktiv. Das Java Applet muss schon direkt mit der Anwendung kommunizieren.

 

[spellbound hound]

Ok, ich erkläre mal kurz wie das bei uns geht:

[...]

2c) Ich könnte eine PPTP Verbindung zum Netzwerk aufbauen, um mich so mit den in der DMZ (Demilitarisierten Zone) erreichbaren Rechnern zu verbinden. Authentifizierung geht hier aber leider (derzeit) nur mit einer normalen Username/Passwort Kombination.

Das ist alles schön und gut, nur

a) Was hat das Ganze mit der von mir aufgeworfenen Fragestellung zu tun? (Wir erinnern uns? Es geht nur darum in einem Inet-Cafe in LOS mit möglichst einfachen Mitteln selbst mit einer potentiellen Virenschleuder einigermassen sicher auf Standardanwendungen zuzugreifen.)

b) Die Daten unter 2c) würden einen Hacker schon hellhörig werden lassen.

Und aus rein rhetorischen Gründen:

c) Da es Dir egal ist, ob Deine "Frontends" mit Keyloggern durchseucht sind, bitte ich Dich, auf sämtlichen Deiner Rechner Keylogger zu installieren. Die Tastatureingaben Eurer Aussendienstler verscheuere ich dann meistbietend an Euren ärgsten Konkurrenten.

d) Wieso verwendet Ihr verschlüsselte Verbindungen, wenn Euch Keylogging nicht interessiert? - Ganz schön feige... :P

[...]Das Java Applet übermittelt das eingegebene Passwort and den Authentifizierungsmechanismus der unterliegenden Anwendung.

Da das Applet direkt mit der Anwendung kommuniziert, ist es zur Bedienung von Standardanwendungen schlichtweg nicht geeignet, hat also nichts mit ursprünglichen Fragestellung zu tun.

Zum lesen und schreiben von Email habe ich ja meinen Blackberry, da brauche ich nicht ins Internetcafe und notfalls gehts auch mal 3 Wochen ohne.[...]

Schön und gut, aber irrelevant, da wiederum keinerlei Zusammenhang mit dem eigentlichen Thema.

 

[a_2]

Die Aussendienstler habe allesamt Laptops, warum sollte ich da einen Keylogger installieren wollen, selbst könnten sie das eh nur im seltensten Fall tun, da keine Administratorenrechte, etc.. Das kennst Du ja bestimmt alles... Aber Du hast Recht, das führt zu weit hier, wir sind ja im Urlaub und nicht bei der Arbeit.

Beim surfen, egal wo in der Welt kann mir jeder zuschauen, da sind mir Keylogger, etc egal, da ich im Internetcafe keine Kreditkartendaten auf Webseiten eingebe. (Erwähnte ich ja schon) Wenn man nach jedem Webmail Login das Passwort ändert und nicht immer am gleichen Rechner sitzt sollte das i.d.R. ausreichen um den eigenen Hotmail Account zu schützen.

Zudem habe ich noch kein Inet Cafe gefunden, wo ich mein eigenes Betriebsystem booten könnte. Einige verwenden ein auf dem Client installiertes Abrechungsystem, da geht das eh nicht, einige haben Wireless Lan, da wirst Du oft Treiberprobleme bei Linux bekommen. Zudem müsste der Rechner auch ein booten von USB zulassen.

-Warum Linux und nicht Windows PE (BartPE) von CD/USB Stick/Imagetank booten? (Da hat man ggf noch die Chance einenpassenden Treiber zu finden)

-Warum Damn Small Linux und nicht Knoppix oder FreeSBIE, Frenzy. (Knoppix hat den Vorteil das es oftmals bei Zeitschriften beiliegt, auf diese Art kann es jeder einfach ohne Vorarbeit verwenden)

Bringen wir den Thread mal zurück zum Thema, Welche Standartanwendungen meinst Du? Webmail? Beispiele!

Woher weisst Du das Dein Recher daheim oder der im Büro keinen Keylogger installiert hat.

Noch eine These von mir, die Keylogger im InternetCafe suchen meist gezielt nach Kreditkartendaten und Webmail Passwörtern von bekannten Webmailern. Denn diese Daten kann man automatisiert extrahieren und gewinnbringend weiterverwenden. Wobei die Webmail Zugangsdaten immer mehr an Wert verlieren.
Alles andere ist meist weit weniger interessant für die sogenannten "Hacker".

Was hätten sie für einen Nutzen davon?

 

[spellbound hound]

Die Aussendienstler habe allesamt Laptops, warum sollte ich da einen Keylogger installieren wollen, selbst könnten sie das eh nur im seltensten Fall tun, da keine Administratorenrechte, etc..

Mich deucht, Du hast meinen Post nicht richtig gelesen oder zumindestens den "Gag" nicht verstanden. (siehe dazu auch unten)

Beim surfen, egal wo in der Welt kann mir jeder zuschauen, da sind mir Keylogger, etc egal, da ich im Internetcafe keine Kreditkartendaten auf Webseiten eingebe.[...]

Für jemandem, dem´s eigentlich egal sein kann, legst Du Dich hier aber ganz schön ins Zeug mit Deinen vielen "Abers" und "Geht nicht, weil".... Ich bin auch nicht darauf erpicht meine Bankgeschäfte im Inetcafe in LOS abzuwickeln. Jedoch hätte ich keinerlei Bedenken, dies mit einem DSL-gebooteten Rechner zu tun.

Zudem habe ich noch kein Inet Cafe gefunden, wo ich mein eigenes Betriebsystem booten könnte. Einige verwenden ein auf dem Client installiertes Abrechungsystem, da geht das eh nicht, einige haben Wireless Lan, da wirst Du oft Treiberprobleme bei Linux bekommen. Zudem müsste der Rechner auch ein booten von USB zulassen.

Es geht nicht in allen Inet-Cafes, klar, bei denen, wo Du neben dem Bildschirm die 10-Baht-Stücke einwerfen musst schon mal gar nicht. Ich musste mich zwar in ein zwei Läden durchfragen, habe aber dann ohne Probleme welche gefunden.
Die "normalen" Rechner sind wohl seltenst per Wireless vernetzt, wäre auch vollkommen unnütz und teuer. Das habe ich auch nirgends gesehen.
Booten von USB: Wieso dieses? Wir sprechen von CDs, richtig?

-Warum Linux und nicht Windows PE (BartPE) von CD/USB Stick/Imagetank booten? (Da hat man ggf noch die Chance einenpassenden Treiber zu finden)

-Warum Damn Small Linux und nicht Knoppix oder FreeSBIE, Frenzy. (Knoppix hat den Vorteil das es oftmals bei Zeitschriften beiliegt, auf diese Art kann es jeder einfach ohne Vorarbeit verwenden)

Hoppla, da wirfst Du die Dinge aber ein wenig durcheinander (absichtlich?) und merkst anscheinend nicht, dass die von Dir vorgeschlagenen Alternativen teilweise erst recht Deinen Ansprüchen widersprechen. Netter Versuch....
Aber schön der Reihe nach:
- Damn Small Linux ist klein und schnell, läuft selbst auf eimen 486er mit 16 MB flüssig. Da ich eher weniger die allerneueste Hardware erwartete, genau richtig. Das älteste, was ich in LOS im Inetcafe unter die Finger bekam, war übrigens ein PIII mit 256 MB auf dem ursprünglich Win98SE lief. Auch wurde ich von der Hardwareerkennung bisher nie enttäuscht. Nach ca. 3-5 Minuten Bootvorgang hatte ich ein sauberes System vor mir.
- Knoppix ist mir zu "bloated", wäre aber auch eine nette Alternative, da ebenfalls gute Hardwareerkennung.
- FreeSBIE oder Frenzy. Hmmm, weiter oben von Treiberproblemen sprechen und dann BSD-Klone vorschlagen? Passt irgendwie nicht ganz.
- WindowsPE? Why not, von CD sicherlich ne Alternative, nur mir persönlich wieder zu "bloated" und hat schon mal zwei, drei wichtige Standardwerkzeuge (ssh, Putty, vnc z.B.) nicht mit an Bord. Auch hätte ich Bedenken, dass ein PE-gebootetes System im gleichen Netz mit ein paar XP-Virenschleudern nicht sehr lange sauber bleibt. Des weiteren muss man sich die BartPE erst selbst zusammenbasteln, soweit ich weiß. (O.k., ganz "Schlaue" ziehen sich die aus dem Netz.) Und Vorarbeiten wolltest Du doch selbst vermeiden.
- Booten via USB? Wieso soll ich mir selber ein Bein stellen? Zum einen müsste das Medium über einen Hardwareschreibschutz verfügen, sonst ist es beim ersten, versehentlichen Booten von Platte genauso verseucht oder besser gesagt "vertrauenswürdig" wie der "Wirtsrechner". Zum zweiten sind USB-bootfähige Rechner ja noch seltener zu finden.

Bringen wir den Thread mal zurück zum Thema, Welche Standartanwendungen meinst Du? Webmail? Beispiele!

Ja, z.B. Webmail. Wobei ich die Post meiner Trashaccounts nicht per Webinterface auslese, sondern per POP auf den heimischen Rechner hole. VNC-Verbindung nach Hause über SSH auf den heimischen Rechner getunnelt, schon "saß" ich daheim am eigenen Desktop, hatte Zugriff auf alle Dateien etc.
Und da die IT-Abteilung in unserer Firma aus genau einem Mann - nämlich meiner einer - besteht, konnte ich auch ruhigen Gewissens mal in die Logfiles schauen, was ich auf der Arbeit aus Routine fast täglich mache, im Urlaub natürlich etwas seltener.

Das Geilste was ich in LOS im Inet-Cafe erlebt hatte, war ein Thaimann, der fast ausflippte, weil sein Rechner einen kurzzeitigen Spannungsverlust erlitt, während er kurz vor Vollendung eines laaaangen, laaaangen Briefes stand. Anscheinend hatte er sich auch nicht die Mühe gemacht, das Teil mal zwischendurch abzuspeichern. In dem Fall hätte ich mir nur einen gegrinst, gedacht "mai bpen rai" und nach dem Neustart den heimischen Desktop wieder so vorgefunden, wie er vor dem Stromausfall war.

Woher weisst Du das Dein Recher daheim oder der im Büro keinen Keylogger installiert hat.

Gegenfrage: Woher weißt Du es? Antwort: Mit absoluter Sicherheit schon mal gar nicht. Aber Du und ich werden schon alles Mögliche getan haben um diesen Fall möglichst auszuschließen.

Noch eine These von mir, die Keylogger im InternetCafe suchen meist gezielt nach Kreditkartendaten und Webmail Passwörtern von bekannten Webmailern. Denn diese Daten kann man automatisiert extrahieren und gewinnbringend weiterverwenden. Wobei die Webmail Zugangsdaten immer mehr an Wert verlieren.

Richtig, dem kann ich nix hinzufügen.

Alles andere ist meist weit weniger interessant für die sogenannten "Hacker".

Was hätten sie für einen Nutzen davon?

Jetzt komme ich nochmal auf die Notebooks Eurer Aussendienstler zurück, hier verlassen wir nämlich das Gebiet des Phishing und "Massenhackings" und kommen zu einem anderen Zweig, nämlich der Industriespionage. Es wird mit Sicherheit den ein oder anderen Konkurrenten von Euch geben, dem die Informationen Eurer Außendienstler (Kontaktdaten, Angebote, Preise etc.) bares Geld wert sein dürften. Und mit Sicherheit wirst Du einen Vorgesetzten haben, der Dir die Hölle heißmacht, sollte sich rausstellen, dass sich auf den Rechnern Keylogger befinden und Du ihm lässig sagst: "Na und? Sind doch alles unwichtige Daten. Unsere Firewall ist doch dicht wie nix."

 

[a_2]

Nadenn, ich glaube ich sollte noch ein paar weitere VHS EDV Kurse belegen, dann werd ich irgendwann mal so schlau wie Du.

Und zum Thema Industriespionage sag ich mal besser nix, da hast Du sicherlich auch viel mehr Ahnung als ich!

Ich schwenke mal die "Weisse Fahne". Zufrieden jetzt?

 

[spellbound hound]

Nadenn, ich glaube ich sollte noch ein paar weitere VHS EDV Kurse belegen, dann werd ich irgendwann mal so schlau wie Du.

Und zum Thema Industriespionage sag ich mal besser nix, da hast Du sicherlich auch viel mehr Ahnung als ich!

Ich schwenke mal die "Weisse Fahne". Zufrieden jetzt?

Wink mit dem Zaunpfahl ist angekommen.

Nur um Missverständnissen vorzubeugen: verstehe ich Dich recht, dass Dir die Argumente und der Humor ausgehen und Du jetzt versuchst persönlich zu werden? - Schade.

 

[a_2]

Falsch verstanden! Meinen wink mit dem Zaunpfahl hast Du nicht verstanden, aber ist schon ok. Ist nix persönliches.

Stellen wir uns mal die Frage, welcher der Member hier im Forum jetzt mit einer LiveCD von einem Betriebsystem freier Wahl ins Internetcafe rennt um dann völlig gesichert die Emails seines Hotmailaccounts zu lesen? Wohl recht wenige, vor allem da das wohl nur in wenigen Internetcafes funktioniert, bzw. geduldet wird.
Wenn Du im INET Cafe einen Rechner von einer eigenen CD bootest, dann wird wohl ruck zuck der Inhaber hinter Dir stehen und Du darfst dann erklären was Du da treibst, wenn er Dich nicht vorher schon auf die Strasse setzt.
Von daher ist die Lösung in meinen Augen für 99% der Forenmitglieder unpraktikabel, weil nur auf Dich zugeschnitten.
Wer lässt schon im Urlaub den Rechner daheim laufen und unnötig Strom verbrauchen, wenn er nicht daheim ist? Um dann im Internet Cafe Linux zu booten, sich umständlich mit dem Rechner daheim zu verbinden und dann auf dem heimischen Desktop Emails zu lesen?
Was machst Du wenn Du mal eine Email ausdrucken willst, oder ein paar Bilder an die daheimgebliebenen Freunde schicken willst? Ok, via SFTP oder SCP auf den eigenen Rechner kopieren und dann dort an die Mail anhängen und verschicken. Das ist natürlich der direkte Weg.
Was machst Du wenn Du mal nicht in der Nähe Deines Stamm Internet Cafes bist und Emails lesen musst?

Wobei es Kollege K_P ja schon mit seiner Aussage: "Was für Probleme der Urlauber so hat!" korrekt auf den Punkt gebracht hat.

Wenn Du gerne Logfiles liest, dann lass sie Dir doch täglich auf irgendeinen Webmailaccount schicken, oder ist der Inhalt der Logfiles geheim?

Thema Betriebssystem, ich hatte Dich gefragt warum grade DamnSmallLinux und nicht was anderes, dann hatte ich Alternativen aufgezählt. Wobei Knoppix den Vorteil hat das man einfach eine HeftCD verwenden kann.
Den Vorteil von DSL hattest Du ja dann beantwortet.

INETCAFE's mit WLAN sind mir besonders auf Flughäfen öfters untergekommen.

(Kleine Anmerkung: SSH und PUTTY, Putty ist ein SSH Client für Windows. VNC, am besten TightVNC und Putty brauchst Du nicht installieren, sofern ist es leicht den Bordmitteln hinzuzufügen.)

Thema Industriespionage, das wäre ein Keylogger kein gutes Mittel, da man nie sicher sein kann das er nicht entdeckt wird, oder das er wirklich erfolgreich installiert werden kann. Zudem muss ein Keylogger ja auch kommunizieren können, was ggf. zurückverfolgt werden kann (Auffällige Netzwerkkommunikation, die u.a. vom IDS oder der Firewall aufgefangen wird). Ein Keylogger ist vom Einsatz her zu unsicher.
Wesentlich häufiger kommt Social Engineering vor, das heisst das abgreifen von Informationen, z.B. von unzufriedenen und von Kündigung bedrohten Angestellten. Mülltonnen durchsuchen ist auch recht ergiebig, da liegen oftmals Memos und vor allem Datenträger drin.
Des weiteren kann die elektromagnetische Strahlung von Tastaturen und Bildschirmen über einige Entfernung hinweg wieder in auswertbare Daten zurückverwandelt werden. Alles das erfordert keine Kompromittierung irgendwelcher Hardware/Software und verringert somit das Entdeckungsrisiko (Social Engineering mal ausgenommen) relativ gering.

Des weiteren sind WLANS eine gute Möglichkeit Daten auszuspähen. Warst Du z.B. mal mit einem WLAN Sniffer auf einer Messe?
Bei Industriespionage gehts grade darum gezielt Informationen abzugreifen und nicht mal rumzufischen ob's was brauchbares gibt.
Soviel mal dazu...

 

[spellbound hound]

Falsch verstanden! Meinen wink mit dem Zaunpfahl hast Du nicht verstanden, aber ist schon ok. Ist nix persönliches.

Nun, dann weiß ich nicht, was des nette Satz mit den VHS-Kursen für einen Sinn gehabt haben soll, aber egal - ich muss ja nicht alles verstehen. Also Schwamm drüber.

[...]Wenn Du im INET Cafe einen Rechner von einer eigenen CD bootest, dann wird wohl ruck zuck der Inhaber hinter Dir stehen und Du darfst dann erklären was Du da treibst, wenn er Dich nicht vorher schon auf die Strasse setzt.

Hmmm, hatte ich eigentlich schon erwähnt, dass man vorher fragen sollte? Ich glaube schon - sogar mehrfach.

Von daher ist die Lösung in meinen Augen für 99% der Forenmitglieder unpraktikabel, weil nur auf Dich zugeschnitten. Wer lässt schon im Urlaub den Rechner daheim laufen und unnötig Strom verbrauchen, wenn er nicht daheim ist? Um dann im Internet Cafe Linux zu booten, sich umständlich mit dem Rechner daheim zu verbinden und dann auf dem heimischen Desktop Emails zu lesen?

Womit - nebenbei bemerkt - fast alle der von Dir vorgeschlagenen Alternativen ebenfalls vollkommen obsolet wären, so what?

Der "Umstand" zahlte sich insofern für mich aus, da ich mich nicht durch 5 Mailaccounts per Web-Interface klicken musste, was besonders viel Spass macht, wenn man die Werbetafeln z.B. von gmx.de nach LOS downloaden muss.

Was den Stromverbrauch anbelangt: Es gibt Wake-on-Lan oder meinetwegen auch Zeitschaltuhren.

Der von mir beschriebene Fall ist natürlich auf mich zugeschnitten, notfalls hätte ich mich auch halbwegs sicher mit unserem Firmennetzwerk verbinden wollen, ebenfalls für 99% der User hier wahrscheinlich nicht relevant.

Trotzdem denke ich, dass die 99% der Leser hier erwachsen genug sind, um selbst über den Umgang mit Ihren eigenen Daten zu entscheiden. Wer nur Tante Erna ne E-Mail schreiben will, der setzt sich auch an einen XP-Rechner von zweifelhafter Vertrauenswürdigkeit. Wer etwas mehr Sicherheit - aus welchem Grunde auch immer - braucht, für den wäre die von mir aufgezeigte Lösung ein gangbarer Weg. Wer stattdessen lieber seinen Laptop mitnimmt oder direkt nach LOS zieht und sich dort ne Wohnung mit ADSL-Anschluß mietet - bitteschön - habe ich nix dagegen. Aber dass es hinhaut, weiß ich und ich schlage vor, wir überlassen es den Leuten selbst, dies zu tun oder zu lassen. Von daher werde ich jetzt hier kein Herzblut reinlegen, irgendwelche Leute zur Datensicherheit zu "erziehen". Wer´s machen will, bitteschön, ich hab die Möglichkeit hier aufgezeigt. Wem´s egal ist, ob seine Daten mitgelesen werden oder diese als "uninteressant" erachtet - auch gut.

Apropos ADSL-Anschluß: Auch bei vermeintlich sichereren Rechnern (z.B. bei der Freundin / Frau in LOS) würde ich unter bestimmten Umständen das Neubooten mit DSL durchführen. Preisfrage: Wer kann sich denken, wann und warum?

Die Tatsache, daß Du und Krab Phom derartige "Wehwehchen" nicht haben (mehr sagte das Posting von KP IMHO auch nicht aus), freut mich für Euch. Nur die Aussage, von Dir und KP auf 99% der User hier zu schließen, halte ich für recht verwegen. Aber vielleicht repräsentiert Ihr hier ja auch die restlichen 99%?

Was machst Du wenn Du mal eine Email ausdrucken willst,[...]

Ich denk, Du bist dort auf Urlaub und dann E-Mails ausdrucken? Tsk, tsk, tsk.... aber Spass beiseite: Drucken ist unter Linux nicht unmöglich, im Betrieb mache ich dies auch tagtäglich. Oder spielst Du darauf an, dass der Drucker im Inet-Cafe nicht am eigentlichen Rechner angeschlossen ist? Nun, es gibt pipes.

[...]Was machst Du wenn Du mal nicht in der Nähe Deines Stamm Internet Cafes bist und Emails lesen musst?

Pech gehabt, neues suchen, es sein lassen oder abwarten. Überlasse ich Dir, ich wüsste mir irgendwie zu helfen.

Wenn Du gerne Logfiles liest, dann lass sie Dir doch täglich auf irgendeinen Webmailaccount schicken, oder ist der Inhalt der Logfiles geheim?

Zusammenfassungen erhalte ich per E-Mail, top-geheim sind diese nicht. Nur bei "Verdachtsmomenten" lese oder besser gesagt "grep"pe ich mich durch die Logs.

[...]INETCAFE´s mit WLAN sind mir besonders auf Flughäfen öfters untergekommen.

Wobei "mit WLAN" wohl bedeuten soll, dass diese Cafes dem gestressten Durchreisenden einen Hotspot anbieten. Die Vernetzung der stationären Rechner im Cafe mittels WLAN wäre absolut überflüssig, sowohl wirtschaftlich als auch (sicherheits-)technisch. Obwohl ich in noch keinem INETCAFE im Flughafen war, würde mich alles andere doch sehr verwundern.

[...]Thema Industriespionage, das wäre ein Keylogger kein gutes Mittel, da man nie sicher sein kann das er nicht entdeckt wird, oder das er wirklich erfolgreich installiert werden kann. Zudem muss ein Keylogger ja auch kommunizieren können, was ggf. zurückverfolgt werden kann (Auffällige Netzwerkkommunikation, die u.a. vom IDS oder der Firewall aufgefangen wird). Ein Keylogger ist vom Einsatz her zu unsicher.

Nun, ich würde keylogger bei der Industriespionage durchaus als effektives Mittel einschätzen. Im Gegensatz zum Massenhacking oder Phishing ist der Anteil der verwertbaren Informationen sehr viel höher anzusetzten, schon allein dadurch, dass das Opfer sehr viel gezielter ausgesucht wird. Somit ist Deine These bezüglich der Belanglosigkeit solcher Daten endgültig widerlegt, zumal Du weiter unten einige Spionagewege aufzeigst, die auch mit einem nicht geringen Aufwand verbunden sind. Was die Rückverfolgung anbelangt, so wird diese - soweit der Spion seine Hausaufgaben gemacht hat - nicht so leicht sein. Unter falschem Namen im Ausland angemietete Server oder Bot-Netze wären nur zwei Möglichkeiten, die mir auf Anhieb einfallen.

Die IDS und die Firewall betreffen nur den Datenstrom der direkt aus dem Unternehmensnetzwerk heraus-/hereingehen soll. Wird der verseuchte Laptop des Aussendienstlers direkt mit dem Internet verbunden (z.B. Anbindung ans Firmennetz per VLAN über einen ISP) so wird der Traffic des Keyloggers weder die firmeneigene Firewall passieren, noch vom IDS gesehen, da er nur über die NIC des Laptops über den ISP zum Hacker läuft. Man stelle sich vor, auf dem Laptop werden noch ein paar Shares aus dem VLAN eingebunden und der Trojaner ist nicht nur ein keylogger sondern vom Kaliber einer wwwsh, schon hat der Hacker Zugriff auf alle Daten, die auch für den Aussendienstler freigegeben sind. Für die firewall und das IDS sieht alles so aus, als wenn der korrekt authorisierte Aussendienstler auf die Daten zugreift, in Wirklichkeit relayed sich ein Hacker über den Laptop des Aussendienstlers ins Firmennetz. In dem Moment sind Einmalpasswörter, Cryptocard etc. keinen Pfifferling mehr wert.

Ein seltenes und unwahrscheinliches Szenario? Mag sein, auch bei meinem momentanen Brötchengeber halte ich dies für eher unwahrscheinlich, da zu uninteressant. Aber technisch ist dies durchaus machbar. Und den Trojaner bekommt man schon irgendwie auf den Laptop des Aussendienstlers.

Ich denke auch, dass Keylogger in Zukunft auch beim Massenhack eine größere Rolle spielen werden. Hier noch ein paar Links von heise.de dazu:

Heise Suche nach "keylogger"

Ganz besonders interessant diese hier:

# Report: Jedes fünfte Unternehmen mit Keyloggern infiziert
Bedrohung durch Keylogger unterschätzt

Was das erfolgreiche Installieren von Trojanern und Tarnen des Traffics angeht, gibt´s vom ccc Ulm ein nettes Video von einem Vortrag, ca. 150 MB groß. Die Vortragsweise ist herzerfrischend unprofessionell und erinnert an Zehntklässlerniveau (also noch unterhalb der VHS anzusiedeln ;-D). Auch ist das erste Drittel relativ uninteressant, da dort nur eine oberflächliche Einführung in TCP/IP gegeben wird. Das eigentliche Thema behandelt dann aber Personal Firewalls, ist hochspannend und zeugt von profundem, technischen Wissen. Kann ich nur empfehlen. Link kommt per PN bei Interesse.

[...]
Des weiteren kann die elektromagnetische Strahlung von Tastaturen und Bildschirmen über einige Entfernung hinweg wieder in auswertbare Daten zurückverwandelt werden. [...]

AFAIK dürfte mit dem Zurückgehen der Kathodenstrahlschleudern sich zumindest das Thema "Kompromittierung durch Monitorstörstrahlen" sehr relativiert haben.

Des weiteren sind WLANS eine gute Möglichkeit Daten auszuspähen. Warst Du z.B. mal mit einem WLAN Sniffer auf einer Messe?

Nein, aber ein mir flüchtig bekannter Angehöriger eines Computerclubs beschäftigt sich hobbymäßig mit "wardriving", der Mensch ist jedoch kein Industriespion, sondern eher ein "whitehat". Ich durfte mal einen Blick auf die von ihm kartografierten Access-Points werfen. Unter den offenen APs fanden sich auch größere Firmen in der näheren Umgebung. Wenn ich also in die Industriespionage einsteigen wollte, hätte ich es nicht weit zur "Arbeit". :-)

 

[a_2]

Mal ein paar kurze Antworten....

(...)
Womit - nebenbei bemerkt - fast alle der von Dir vorgeschlagenen Alternativen ebenfalls vollkommen obsolet wären, so what?
(...)

Ich treibe den Aufwand ja auch nicht, da ich a) Im Urlaub bin und b) in der Firma noch andere Leute habe die mit Computern recht gut umgehen können. Notfalls wird halt kurz telefoniert oder gemailt (wir erinnern uns, Emails kommen auf meinem Blackberry an Link: Discover Blackberry, ansonsten habe ich Urlaub. Mein Chef würde mich steinigen wenn er mich im Urlaub beim arbeiten erwischt.

(...)
Der "Umstand" zahlte sich insofern für mich aus, da ich mich nicht durch 5 Mailaccounts per Web-Interface klicken musste, was besonders viel Spass macht, wenn man die Werbetafeln z.B. von gmx.de nach LOS downloaden muss.
(...)

Wofür gibts Weiterleitungsregeln? 5 Accounts wären mir selbst bei der täglichen Arbeit zu viel um sie alle abzuklappern.

(...)
Der von mir beschriebene Fall ist natürlich auf mich zugeschnitten, notfalls hätte ich mich auch halbwegs sicher mit unserem Firmennetzwerk verbinden wollen, ebenfalls für 99% der User hier wahrscheinlich nicht relevant.
(...)

Erfasst! :bravo:

(...)
Apropos ADSL-Anschluß: Auch bei vermeintlich sichereren Rechnern (z.B. bei der Freundin / Frau in LOS) würde ich unter bestimmten Umständen das Neubooten mit DSL durchführen. Preisfrage: Wer kann sich denken, wann und warum?
(...)

Ich freue mich in LOS auf den iMAC meiner Freundin, denn boote ich nur beim einschalten, das reicht eigentlich vollkommen. Notfalls gibts noch die Rechner in der Firma in der sie arbeitet. Die sollten schon ziemlich sicher sein.

(...)
Wobei "mit WLAN" wohl bedeuten soll, dass diese Cafes dem gestressten Durchreisenden einen Hotspot anbieten. Die Vernetzung der stationären Rechner im Cafe(...)

Ich rede nicht von Hotspots, sondern von Inet Cafes deren Rechner mit WLAN vernetzt sind. ( Zu finden, z.B. Seoul Int'l Airport; Dubai Int'l Airport; Hong Kong Int'l Airport - jeweils im Transit Bereich findest Du XP Rechner die im Kioskmode laufen und deren Hardware wegeschlossen ist. Im Systry findet sich eine WLAN Feldstärkenanzeige) WLAN Hardware kostet heute nicht mehr die Welt - geh mal im Mediamarkt schaun - und wer schaut schon im InternetCafe auf Sicherheit (Ist ja auch Deine These)?

(...)
der Traffic des Keyloggers weder die firmeneigene Firewall passieren, noch vom IDS gesehen, da er nur über die NIC des Laptops über den ISP zum Hacker läuft
(...)

Kommt auf den VPN Client an, meist ist bei korrekt eingerichteter VPN Verbindung ist i.d.R. kein Bypass möglich, aller Traffic läuft über das Firmennetz. Ok, kann umgangen werden, erfordert aber Wissen über den eingsetzten VPN Client.
Eine 100% Sicherheit wird es nicht geben, da ja der Benutzer immernoch auf seine Daten zugreifen können muss. Aussendienstler mit ner Linux BootCD zum Kunden zu schicken kommt garnicht gut an.

(...)
in seltenes und unwahrscheinliches Szenario? Mag sein, auch bei meinem momentanen Brötchengeber halte ich dies für eher unwahrscheinlich, da zu uninteressant.
(...)

Zustimmung, alles ist machbar. Nur ob es sich lohnt? Mein Arbeitgeber ist nicht einer der Geheimdienste, da wäre unsere Konkurrenz mit Reverse Engineering besser bedient.

(...)
Was das erfolgreiche Installieren von Trojanern und Tarnen des Traffics angeht, gibt´s vom ccc Ulm ein nettes Video von einem Vortrag
(...)

Kenne ich, sehr nett, typisch CCC halt.

(...)
das Thema "Kompromittierung durch Monitorstörstrahlen" sehr relativiert haben. (...)

Solange nicht via DVI angeschlossen gilt das auch für TFT's. Funkmäuse und Funktastaturen machen das ganze schon fast unsportlich.

(...)
beschäftigt sich hobbymäßig mit "wardriving"
(...)

Nettes Hobby, eigenlich könnte ich auch mein DSL abmelden, es gibt hier auch genügend offene WLAN's, meines ist das einzige verschlüsselte.
Die WLAN's bei mir in der Firma sind auch unveschlüsselt, da die Clients via IPSEC über eine Firewall mit dem Rest des Netzes als auch dem Internet kommunizieren. Wofür nochmal verschlüsseln?

 

[spellbound hound]

Wofür gibts Weiterleitungsregeln? 5 Accounts wären mir selbst bei der täglichen Arbeit zu viel um sie alle abzuklappern.

Die Existenz von Weiterleitungsregeln ist mir bekannt, auch deren Anwendung. Und "Abklappern" lasse ich durch meinen Mailclient. Warum ich es so mache, kann ich besser beurteilen als Du.

(...)
Der von mir beschriebene Fall ist natürlich auf mich zugeschnitten, notfalls hätte ich mich auch halbwegs sicher mit unserem Firmennetzwerk verbinden wollen, ebenfalls für 99% der User hier wahrscheinlich nicht relevant.
(...)

Erfasst! :bravo:

Kein Grund, voreilig in die Hände zu klatschen. Solltest Dich davon freimachen, jedes Werkzeug nur im Zusammenhang mit einer speziellen Aufgabe zu sehen.
Dass ich ein Werkzeug hervorragend für eine spezielle Aufgabe einsetzten konnte, macht dieses nicht für andere Zwecke unbrauchbar. So einfach ist´s, wenn Du das nicht kapieren oder weiter dagegen reden willst, bitte, ab hier jedoch ohne mich, da in der Sache eigentlich nichts wirklich Neues mehr kommt.

Ich freue mich in LOS auf den iMAC meiner Freundin, denn boote ich nur beim einschalten, das reicht eigentlich vollkommen. Notfalls gibts noch die Rechner in der Firma in der sie arbeitet. Die sollten schon ziemlich sicher sein.

Spitze! DAS ist es!

Das hat mich jetzt überzeugt, endlich schlägst Du, nach all dem "unausgegorenen Firlefanz" wie Firewall, Einmalpasswörter, Cryptocard mal eine echt praktikable Lösung vor, die die restlichen 99% der User sofort und ohne Vorarbeiten in die Tat umsetzen können.
Und so werde ich es beim nächsten Urlaub auch einfach machen, statt irgendwelche Rechner in Inet-Cafes zu booten, schau ich einfach bei Deiner Freundin vorbei und surfe auf Ihrem schicken iMAC.
Wird zwar ein enges Gedrängel geben mit den anderen 99% der User hier, aber immerhin: Wird der iMAC von einem Kometen getroffen oder wir wollen mal ne E-Mail farbig ausdrucken, wissen wir auch schon, was wir machen. Wir gehen einfach in die Firma Deiner Freundin.
Wie waren Privat- und Büroadresse Deiner Freundin noch mal gleich?
Und - ähm - beim Logfile-Lesen trinke ich am liebsten diesen leckeren, japanischen grünen Tee mit Kiwi-Geschmack. Macht Deiner Freundin doch sicher nichts aus, mir ein, zwei Fläschchen davon kaltzustellen, oder?

P.S.: Kraph Phom darf doch sicher auch mal vorbeischauen, gelle?

Ich rede nicht von Hotspots, sondern von Inet Cafes deren Rechner mit WLAN vernetzt sind. ( Zu finden, z.B. Seoul Int´l Airport; Dubai Int´l Airport; Hong Kong Int´l Airport

Aaah, ja! Liegen alle mitten in Thailand, habe ich dann wohl übersehen ... sorry - mein Fehler.

jeweils im Transit Bereich findest Du XP Rechner die im Kioskmode laufen und deren Hardware wegeschlossen ist. Im Systry findet sich eine WLAN Feldstärkenanzeige) WLAN

Nur um das für mich nochmal auf die Reihe zu kriegen: die Hardware war für Dich nicht einsehbar, d.h. Du konntest noch nicht einmal erkennen, ob in den Rechnern ein LAN-Kabel steckte. Und dass in der Systray ein Symbol blinkt, bedeutet für Dich, Vernetzung per WLAN. Meinetwegen. Macht vielleicht Sinn wo vereinzelte "Surfstationen" in der Gegend rumstehen und ein LAN-Kabel nur schwer zu verlegen wäre. Für mich steht jedenfalls fest, dass jemand, der ohne triftigen Grund in einem "typsichen" Inet-Cafe 10 PCs per WLAN anbindet, nicht mehr alle Latten am Zaun haben kann. Aber solche Leute mag es ja geben.

Hardware kostet heute nicht mehr die Welt - geh mal im Mediamarkt schaun - und wer schaut schon im InternetCafe auf Sicherheit (Ist ja auch Deine These)?

Mediamarkt ... Oh yeah, jetzt begreife ich ... einiges ...

Aussendienstler mit ner Linux BootCD zum Kunden zu schicken kommt garnicht gut an.

Das hat keiner auch nur andeutungsweise gefordert. Die Aussendienstler kamen nur aufs Trapez, um die potentielle Gefährdung durch Keylogger und die Wichtigkeit der Daten neben den Passwörtern zu verdeutlichen.