Datenschutz im eTicketing / Handy als Fahrkarte

Warum wird in unserer elektronischen Welt weniger und weniger Wert auf Datenschutz gelegt?
So wenig Wert, dass die entsprechenden Konzepte – zumindest nach Golem.de unter Mobiltelefon als Bahn- und Busfahrkarte (Update) – bei so zentralen Fragen wie Bewegungsprofilen erst in einem zweiten Schritt erarbeitet werden?
So angenehm die Vorstellung ist, ohne den Kauf einer Fahrkarte, einfach durch ein- und auschecken (warum muss dieser Schritt überhaupt noch manuell initiiert werden ) mit dem Handy reisen zu können, so unangenehm erscheint die Vorstellung, dass es eine individuelle Datenspur über jede einzelne Station meiner Reise, ein persönliches Reiseprotokoll gibt, d.h. im Extremfall sogar mit etwas Fantasie nachvollziehbar ist, mit welchem konkreten Bus bin ich gefahren, welchen Wagon habe ich genutzt, wo habe ich gesessen, habe ich das WC besucht? etc.

Geht man auf das konkret beschriebene Szenario ein, so kann man einwenden, dass die Mobilfunkgesellschaft sowieso anhand meines Handys exakt nachvollziehen kann, wie mein Bewegungsprofil aussieht. Dies ist eine Tatsache, die ich gerne verdränge, derer ich mir aber durchaus bewusst bin – und immerhin lassen sich durch Ausschalten des Handys große Lücken in das Profil reissen
Stellt mein Handy aber die Fahrkarte dar, so ist mir diese triviale Möglichkeit erst einmal genommen…

Wenn wie im beschriebenen Szenario Geld fließen soll und unterschiedliche Betreibergesellschaften und Verkehrsverbünde Zugriff auf die Abrechnungsdaten bekommen müssen, hat meines Erachtens ein umfassendes Datenschutzkonzept eine höhere Priorität als die reine technische Machbarkeit, die ich im übrigen nicht anzweifle, bei der ich aber befürchte, dass die erzielten Kostenersparnisse nur in Form von Preiserhöhungen (gerechtfertigt durch den höheren Kompfort ) an die Reisenden weitergegeben werden.

Naja, erstmal ein bißchen Frust abgelassen Im Rahmen dieser Site möchte ich den Datenschutz an anderer Stelle noch einmal etwas weniger emotional diskutieren und in die IT-Sicherheit im Allgemeinen einordnen – dauert aber wohl noch etwas.

Passend zum vorhergehenden Post …

Bei heise.de wird am konkreten Beispiel über die BKA Forensik in Sachen Computersysteme / Festplatten berichtet: “BKA-Forensiker entlöschen Bombenbaupläne”

Fazit: Dateien von seinem Computer (seiner Festplatte) wirklich zu entfernen ist alles andere als trivial und verlangt nach tiefergreifenden Mitteln als der “Löschen / Formatieren” Funktion von Windows…

Computer-Forensik am konkreten Beispiel

Wie weit geht die Computer-Forensik, d.h. die Analyse der auf einem Computer ehemals bzw. aktuell gespeicherter Daten und gegebenenfalls Nachvollzug von Benutzeraktionen, wenn sich Experten des Problems annehmen?

Im Normallfall ist es schwer, solche Informationen auf verlässliche Art und Weise zu bekommen, da hier oft Spekulationen im Vordergrund stehen. Ein interessanter Fall zu diesem Thema ist gerade aber in der Netzzeitung (”Porno-Nutzer verklagt Microsoft“) dargestellt.
Ein Benutzer hat versucht seinen Rechner durch ein restriktiv konfiguriertes Betriebssystem sowie diverse, im Artikel nicht genannte Programme, zu schützen und damit sicherzustellen, dass von seinem Rechner keine ihn belastende Daten herausgegeben werden. Die Ermittlungsbehörden konnten trotzdem Zugriff auf seine Daten nehmen – die zwar nicht für den konreten Verdachtsfall kritisch waren, aber trotzdem für den Benutzer unangenehm (siehe Titel des Artikels) waren. In der Folge verklagte der Benutzer die Softwarehersteller – außer dem im Titel genannten, sind noch weitere mit “Spezial-Programmen” betroffen, weil diese nicht wie versprochen arbeiteten..

Soviel zum Thema Sicherheit
Wenn man mit kommerzieller Software arbeitet und nicht genau weiss, wie diese funktioniert, wird es sehr schwer, ein System “dicht” zu machen – für Open Source gilt mehr oder weniger das gleiche, wenn man kein Experte ist.

Virenscanner-Vergleichen?

Der Vergleich von Virenscannern ist eine komplexe Geschichte, da hier viele Faktoren zu berücksichtigen sind. Wer an einem ersten Überblick interessiert ist, kann vielleicht einen Blick auf die Website http://www.av-comparatives.org/ werfen. Wen allein die Interpretation der Ergebnisse interessiert, ist vielleicht besser bei der Computerbase bedient.

Letzten Endes muss man aber seine eigenen Erfahrungen sammeln – der Vergleich der unterschiedlichen Programme hinsichtlich der Performance und des “Nerv-Faktors” ist wichtig. Anhand der Trial-Versionen auch kein Problem

Verschlüsselte Kommunikation

In der Rubrik Datenverschlüsselung gibts unter der Ãœberschrift “Hör mal, wer da sendet” einen kurzen Artikel zur Notwendigkeit der Datenverschlüsselung in der Internetkommunikation und beim “Telefonieren”. Dem Artikel fehlen zwar wirkliche Inhalte – er wirkt auf mich an der einen oder anderen Stelle etwas reißerisch (Werbung??) – aber die grundsätzliche Botschaft erscheint mir unterstützenswert: Die Privatsphäre ist sowohl im Privatleben als auch im geschäftlichen Umfeld eine wertvolle Sache. Ihr Schutz durch die Verschlüsselung von sämtlicher? Kommunikation (Email, Online-Banking, Verabredungen etc.) ist in Anbetracht der Mittel, die zum “Abhören” von Kommunikation über das Internet bereitstehen überlegenswert.

Insbesondere da die notwendigen Mittel für sichere Kommunikation, dazu gehört nicht nur die Verschlüsselung, sondern auch die Möglichkeit Sender und Empfänger eindeutig zu identifizieren, frei verfügbar sind, sind Gedanken in diese Richtung alles andere als realitätsfremd – meine Kommunikation läuft schon zu einem deutlichen Teil verschlüsselt.

Allerdings sei an dieser Stelle ausdrücklich darauf hingewiesen, dass das Verschlüsseln von Kommunikation einen nicht unerheblichen Aufwand schaffen kann. Mit dieser Aussage ziele ich weniger auf die im Artikel erwähnten “Verschlüsselungstelefone” ab, als viel mehr auf einen speziellen organisatorischen Belang beim Verschlüsseln: Ich muss sehr sehr sicher stellen, dass sich verschlüsselte Nachrichten von mir auch zu einem späteren Zeitpunkt noch öffnen lassen… Nichts ist ärgerlicher, als sich selbst auszusperren.

Bei Gelegenheit werde ich mich dem Aspekt der sicheren Kommunikation über das Internet auf dieser Site noch ausführlicher widmen und die zugehörigen Konzepte erläutern.

Wie IT-(Un-)Sicherheit funktioniert …

ist sehr schön an dem Newsartikel “Angreifer können Liste besuchter Webseiten auslesen” nachzuvollziehen.

Vorab ein wenig Hintergrundwissen:
Jeder Web-Browser kennt für die in Web-Seiten enthaltenen Links verschiedene Darstellungszustände. So läßt sich beispielsweise die Farbe des Linktextes ändern oder eine Grafik austauschen, wenn der Mauszeiger darüber positioniert wird. Insbesondere werden im Normalfall für den Benutzer bereits besuchte Hyperlinks farblich anders dargestellt, als noch nicht besuchte. Der Benutzer erkennt so einfacher, wo er schon gewesen ist, und was noch neu ist.

Genau diese Funktion (eigentlich eine Verbesserung des Benutzerkompforts) lässt sich jedoch auch mit geeigneten Mitteln von Dritten missbrauchen: Die Formatierung aller Hyperlinks kann über spezielle Formatbeschreibungsdateien (Stylesheets / CSS) konfiguriert werden; unter anderem auch so, dass eine “spezielle” Grafik angezeigt wird, wenn ein bestimmter Hyperlink schon von dem Benutzer besucht worden war…

Wenn ich also wissen möchte, ob ein Benutzer schon auf einer bestimmten Seite gewesen ist, baue ich einfach einen Link auf diese Website in mein Dokument ein und konfiguriere die Darstellung dieses Links so, dass dieser durch eine Grafik “verziert” wird, wenn der Benutzer sie schon einmal aufgerufen hat. Öffnet ein Benutzer meine Website mit dem Hyperlink, von dem ich wissen möchte, ob der Besucher diesen schon einmal aufgerufen hat, so kann ich anhand des Ladens oder Nicht-Ladens der zugehörigen Grafik feststellen, wie dieser Link beim Besucher dargestellt wird: Als “Besucht” oder “Noch Jungfräulich”

Eingesetzt werden könnte ein solcher Angriff auf die Privatsphäre unter anderem um unter den Besucher Kunden einer bestimmten Online-Bank zu identifizieren, für die es gerade eine Möglichkeit gibt durch geeignete Manipulationen Kundenkonten zu “übernehmen” (Stichworte Phishing / Cross Site Scripting etc.). Wenn ich weiss, dass der Benutzer diese Online-Banking Seite aufgesucht hat, ist die Wahrscheinlichkeit groß, dass er dort Kunde ist. Es lohnt sich also diesen Besucher als Opfer für einen Angriff auszuwählen

Natürlich kann ich als normaler Websitebetreiber so auch einfach herausfinden, ob mein Besucher zuvor “der Konkurrenz” einen Besuch abgestattet hat – usw.

Was zeigt nun dieses Beispiel aus dem realen IT-Sicherheitsleben??

Ohne Paranoidität ist IT-Sicherheit kaum umzusetzen
Im hier diskutierten Beispiel würde es beispielsweise helfen, die “Browser-History” nach jeder Benutzung des Web-Browsers – am Besten sogar direkt nach dem Aufruf einer Website, vor dem Aufruf einer neuen Website, zu löschen. Die Nachteile liegen auf der Hand: ich muss meinen Arbeitskompfort (die Anzeige was ich schon angesehen habe und was noch nicht) aufgeben, um meine Sicherheit geringfügig?? zu erhöhen. Und das Ganze bei einem real betrachtet doch vermutlich sehr kleinem Verlust an Privatsphäre – aber wie immer gilt: Wenn ich betroffen bin (irgendwer müssen ja die 1-2?? Prozent der Benutzer sein, die geschädigt werden) sieht die Sache anders aus…

Genereller betrachtet muss ich als Benutzer immer Kosten und Nutzen gegenüberstellen und dann für mich selbst bewerten, wie das Kosten-Nutzen-Verhältnis aussieht. Wichtig ist aber – und das ist nach wie vor das Ziel dieser Website – ein Bewußtsein für die existierenden Sicherheitsrisiken zu entwickeln. Sich klar zu machen, dass potentiell alles – auch wenn es auf den ersten Blick mehr als exotisch wirkt – auf die eine oder andere Art gegen einen verwendet werden kann. Insbesondere, wenn man sich vor Augen führt, dass das WWW und die entsprechenden Web-Browser schon seit diversen Jahren existieren und erst jetzt über dieses “Sicherheitsleck” berichtet wird, sollte einem klar werden, dass es sich hier nicht um einen Einzelfall handelt, sondern noch eine Vielzahl ähnlich gelagerter Probleme bestehen.

Eine ähnliche Problematik hinsichtlich der von mir besuchten Seiten, die sich m.E. viel dramatischer auf meine Privatsphäre auswirkt, stellen die beispielsweise von Google verwalteten Anzeigen dar, die auf allen Websites eingeblendet werden …

Warum? ->Selbst ist der Mensch Mehr zu dieser Problematik ein anderes Mal.

MS Office 2007 Publisher Sicherheitslücke

Es ist wieder soweit, es wurde eine zweite?? “Sicherheitslücke in Office 2007 gefunden“. Was bedeutet das für den Anwender?

1. Die Lücke besteht in einem (Teil-)Programm des Office-Paketes, dem Publisher, einem Programm, mit dem Publikationen “gelayouted” werden (Poster, Plakate, Postkarten, Geburtstagsgrüße etc.
2. Auch wenn die genauen Informationen über die Sicherheitslücke zur Sicherheit der Anwender zurückgehalten werden, liest sich die Meldung so, als ob der Anwender eine präparierte Publisher-Datei öffnen muss, damit der Schadcode bei ihm ausgeführt werden kann.
3. Da die heutige Software hochkomplex ist, wird es wohl auf absehbare Zeit keine völlig sichere Software (was genau ist eigentlich sichere Software?) geben.
4. Folglich gilt wie bei allen elektronischen Dokumenten, die man auf dem lokalen Arbeitsplatz öffnet die Frage: Aus welcher Quelle kommt die Datei, die ich gerade öffne??? Wie vertrauenswürdig ist sie? Benötige ich dieses Dokument wirklich oder bin ich einfach nur neugierig

Unabhängig von dem benutzten Programm oder Betriebssystem gilt die Marschroute :
Wer sich des Risikos bewußt ist, verzichtet vielleicht besser auf das Öffnen der einen oder anderen, aus dem Internet geladenen Datei – sei es, dass diese per E-Mail-Attachment von einem “Unbekannten” verschickt wurde oder von einer hübsch bunten Website stammt…

Manchmal ist das garnicht so schwer, wie es scheint

Windows Sicherheit (XP) – Artikel aus der CT

Ein Artikel(Windows, aber sicher, CT) mit den “üblichen” Hinweisen zum Absichern des Arbeitsplatzes mit Windows XP und ein kurzer Vergleich mit dem Sicherheitssystem von Windows Vista. Lesen kann nicht schaden
Read more »

Sicherheitssoftware – offen wie ein Scheunentor?

Ein schönes Beispiel, wie der Kompfort die Sicherheit konterkariert:
“Symantecs Controls für Online-Support waren Einfallstor für Angreifer”

Ein Sicherheitstool wie eine Firewall mit einer Online Schnittstelle zur Fernwartung auszustatten, mag zwar die letzte Hilfe für den einen oder anderen überforderten Nutzer sein, eine sichere Lösung ist es aber ganz sicher nicht. Wenn zu dem noch die vom Sicherheitssoftwarehersteller produzierte Software geringsten Sicherheitsanforderungen (Stichwort Bufferoverflow) nicht gerecht wird, dann stellt sich wirklich die Frage, inwiefern die hohen Preise dafür gerechtfertigt sind.

Nutzerdatenanalyse bei MS Office 2007

Hätte mich fast verschrieben und Office ‘97 geschrieben… die Zeiten werden einfach nicht besser
Ein schönes Beispiel, wie in kommerzieller Software mit der Privatsphäre umgegangen wird: Microsoft Office 2007 versendet anonymisierte Daten über die Nutzung der Software an einen “Statistik Dienstleister” (Office 2007 übermittelt Surf-Daten an Marktforscher).
Gut, die Daten sind anonymisiert, schlecht, die Daten stellen einen Wert dar – sonst würden sie nicht erhoben werden.

Was lernen wir daraus?

OK, jetzt aber mal im Ernst: Für den mündigen Computernutzer sollte diese Information keine Neuigkeit beinhalten, denn er weiß: wenn der Rechner Daten abruft, die nicht auf dem eigenen Rechner lagern, sondern von einem Server aus dem Internet geladen werden, ist mit höchster Sicherheit davon auszugehen, dass diese Daten einer Analyse unterzogen werden…
Einzig die Kenntnis darüber, wann genau auf Daten auf dem lokalen Arbeitsplatz oder auf einem Server im Internet zugegriffen wird, ist relevant. Und genau hier muss auch eine klare Trennung in der Software vollzogen sein, wie dies m.E. bei der MS Hilfefunktion der Fall ist. Sie muss deutlich darauf hinweisen (nein, ich meine keine hunderttausendstes Popup in der Art: “MS Office möchte sich mit dem Internet verbinden”), dass bei bestimmten Teilfunktionen eine Datenabfrage im Internet ausgeführt wird.

PS für die, die noch mit alter Software von MS arbeiten ein umfassendes Dokument über MS Office 007