CIA-Leaks

Re(9): Da macht das LiMux - Aus doppelt Sinn

powerleecher — Sun, 12 Mar 2017 10:38:26 GMT

Aber ich kann als Mittelständler mit einer wirkliche einfachen Ausschreibung
ein System einkaufen, das über sämtliches Hardening aufseiten Client, Server
und Netz verfügt. Ich verkaufe dir das gerne! So auch die IBM, die Atos und
weitere 100 vernünftige Lieferanten in Österreich.

Und ich würde es auch gerne kaufen. Allerdings bin ich eben leider "nur" derjenige mit dem IT-Wissen während die Entscheidungen, für die es IT-Wissen brauchen würde, im Management getroffen werden. Da wird mit dem spitzen Bleistift gerechnet, man meint dass es eine tolle Idee ist, sich sein ERP mit einem einzelnen Entwickler selbst zu basteln anstatt standardisierte Lösungen customizen zu lassen und seine Geschäftsprozesse an das customized ERP anzupassen. Und wenn dann Daten von außen ins System übernommen werden sollen wird der SysAdmin, der seine letzte Schulung im vorigen Jahrzehnt hatte, dazu genötigt spontan mal die Ports auf der Firewall aufzureißen und Juhu, wir können jetzt auch EDI und dank unserer schlanken Strukturen sind wir ja sooo flexibel. :D :D :D
Und wenn ein besonders überzeugend lügender Verkäufer mit besonders viel Gel im Haar im Management eine tolle Präsenation mit genug Buzzwords hält kann es einem dann auch passieren dass man spontan einen FAS8040 Cluster da stehen hat. Natürlich ohne Dienstleistung und Schulung, weil wir haben ja einen Systemadministrator, der wird das schon machen. Aber unsere 170 Benutzer haben jetzt perfekten Datenschutz weil den Daten auf der NetApp nichts mehr passieren kann. :D

Das ist jetzt aber nichtmal ein besonders übles Beispiel, das ist der Normalzustand im Mittelstand.
Besonders lustig wird es wenn die Eigentümer dieser Unternehmen vor der Kamera darauf hinweisen welche große Gefahr die Überwachung durch die CIA für ihre Unternehmen bedeutet.

Re(9): Da macht das LiMux - Aus doppelt Sinn

powerleecher — Sun, 12 Mar 2017 10:38:26 GMT

Aber ich kann als Mittelständler mit einer wirkliche einfachen Ausschreibung
ein System einkaufen, das über sämtliches Hardening aufseiten Client, Server
und Netz verfügt. Ich verkaufe dir das gerne! So auch die IBM, die Atos und
weitere 100 vernünftige Lieferanten in Österreich.

Und ich würde es auch gerne kaufen. Allerdings bin ich eben leider "nur" derjenige mit dem IT-Wissen während die Entscheidungen, für die es IT-Wissen brauchen würde, im Management getroffen werden. Da wird mit dem spitzen Bleistift gerechnet, man meint dass es eine tolle Idee ist, sich sein ERP mit einem einzelnen Entwickler selbst zu basteln anstatt standardisierte Lösungen customizen zu lassen und seine Geschäftsprozesse an das customized ERP anzupassen. Und wenn dann mal Daten von außen ins System übernommen werden sollen wird der SysAdmin, der seine letzte Schulung im vorigen Jahrzehnt hatte, dazu genötigt spontan mal die Ports auf der Firewall aufzureißen und Juhu, wir können jetzt auch EDI und dank unserer schlanken Strukturen sind wir ja sooo flexibel. :D :D :D
Und wenn mal ein besonders überzeugend lügender Verkäufer mit besonders viel Gel im Haar im Management eine tolle Präsenation mit genug Buzzwords hält kann es einem dann auch passieren dass man mal spontan einen FAS8040 Cluster da stehen hat. Natürlich ohne Dienstleistung und Schulung, weil wir haben ja einen Systemadministrator, der wird das schon machen. Aber unsere 170 Benutzer haben jetzt perfekten Datenschutz weil den Daten auf der NetApp nichts mehr passieren kann. :D

Das ist jetzt aber nichtmal ein besonders übles Beispiel, das ist der Normalzustand im Mittelstand.
Besonders lustig wird es wenn die Eigentümer dieser Unternehmer vor der Kamera darauf hinweisen welche große Gefahr die Überwachung durch die CIA für ihre Unternehmen bedeutet.

Re(8): Da macht das LiMux - Aus doppelt Sinn

Paulas_Papa — Sun, 12 Mar 2017 09:12:01 GMT

Vollkommen richtig.

Aber ich kann als Mittelständler mit einer wirkliche einfachen Ausschreibung ein System einkaufen, das über sämtliches Hardening aufseiten Client, Server und Netz verfügt. Ich verkaufe dir das gerne! So auch die IBM, die Atos und weitere 100 vernünftige Lieferanten in Österreich.

Re(7): Da macht das LiMux - Aus doppelt Sinn

powerleecher — Sun, 12 Mar 2017 09:06:13 GMT

Für eine gängige Plattform bekomme ich das Hardening "von der Stange" bzw vom
Hersteller. Für ein selbstgestricktes Linux muss ich die ganze "Scheixxe"
nacherfinden und aufwendigst integrieren. Daher haben die ja auch einen Stall
voll Developern benötigt. Und nicht mal dann weiß ich, ob ich "dicht" bin.

Das Hardeining von der Stange nutzt aber auch nur bedingt. Gerade im mittelständischen Bereich hat man doch häufig IT-Abteilungen wo jeder alles können muss und daher im Bereich IT-Security nur oberflächliches Wissen vorhanden ist. Und in der Situation bietet eine Windows-Infrastruktur genauso wenig Schutz wie eine Linux-Umgebung. Ein falsch gesetzter Haken und das Hardening b Werk ist Geschichte...

Re(14): CIA-Leaks

TuxTux — Sat, 11 Mar 2017 13:14:13 GMT

Gerade bei MitM, muss man in der Regel Zertifikatswarnungen ignorieren, damit
der Angriff funktioniert.

also eh nur das was 95% aller internet user täglich tun.

Re(13): CIA-Leaks

kaufinator1 — Sat, 11 Mar 2017 12:53:20 GMT

Ja, es gibt viele Angriffsmöglichkeiten. Aber wenige, die keine Aktion des Nutzers erfordern. Gerade bei MitM, muss man in der Regel Zertifikatswarnungen ignorieren, damit der Angriff funktioniert.

Re(12): CIA-Leaks

Srv-02 — Fri, 10 Mar 2017 12:29:49 GMT

Spoofing ... MitM ...

Re(13): CIA-Leaks

kaufinator1 — Fri, 10 Mar 2017 11:00:54 GMT

in manchen Fällen reicht es, eine Mail, eine Nachricht zu bekommen...

Solche offensichtlichen Lücken werden ziemlich schnell gefunden und geschlossen. Vor allem auf iOS Geräten, wo Jailbreaker solche Lücken suchen wie verrückt.

Der Rest ist nicht so einfach, wie es sich anhört. Wenn du auf einer Mainstream Seite Malware verbreitest, dann infizierst du hunderte oder tausende Nutzer. Das fällt auf. Und wenn die Geheimdienste eines nicht wollen, dann ist es Auffallen. Wenn du nur ein bestimmtes Ziel infizieren möchtest, ist eine Mainstream Seite ein denkbar schlechter Ort. Da gibt es Millionen Anfragen täglich. Wie willst du dein Ziel vom Rest unterscheiden, ohne "false positives" zu haben?

Beim WLAN, musst du erst mal wissen, in welches ich mich einloggen werde. Dann musst du genau dieses manipulieren. Und dann musst du auch noch mein Endgerät eindeutig identifizieren und von den anderen im WLAN unterscheiden um es zu infizieren. Über die MAC Adresse kannst du auf einen bestimmten Hersteller einschränken, aber sonst?

Re(12): CIA-Leaks

Lazy Jones — Fri, 10 Mar 2017 10:16:57 GMT

Ohne meine Mithilfe funktioniert keiner dieser Angriffe.

Falsch, in manchen Fällen reicht es, eine Mail, eine Nachricht zu bekommen... Und sich mit einem WLAN zu verbinden ist ein ganz normaler Vorgang, genauso wie eine x-beliebige Mainstream-Seite zu besuchen und per Ad-Server Malware zu bekommen. Klar, wenn du dein Endgerät gar nicht nutzt, bist du relativ sicher.

Re(11): CIA-Leaks

kaufinator1 — Fri, 10 Mar 2017 10:15:18 GMT

Dazu musst du erst mal wissen, welchen DNS Server ich verwende. Und wenn das ein öffentlicher ist, den viele verwenden, wird so ein Angriff schnell auffliegen.

Re(11): CIA-Leaks

kaufinator1 — Fri, 10 Mar 2017 10:13:38 GMT

In WLANs muss ich mich einloggen, Apps muss ich installieren, mit Browsern muss ich auf eine Seite surfen und Peripherie muss ich anstecken. Ohne meine Mithilfe funktioniert keiner dieser Angriffe.

Angriffe über den carrier - ok. Gegen einen staatlichen Akteur mit solchen Mitteln, kann man sich nicht schützen.

Re(10): CIA-Leaks

Srv-02 — Fri, 10 Mar 2017 09:38:33 GMT

NAT als Barriere? Ernsthaft? DNS Spoofing und dann hast 100 Möglichkeiten.

Re(10): CIA-Leaks

Lazy Jones — Fri, 10 Mar 2017 09:09:48 GMT

Über den carrier, über infizierte WLANs, über Sicherheitslücken in Apps, Browsern, Peripherie-firmware...

Re(9): CIA-Leaks

kaufinator1 — Fri, 10 Mar 2017 09:02:36 GMT

Die meisten Endgeräte hängen hinter einem NAT. Wie willst du ein 0-Day Exploit auf ein Endgerät bringen, ohne Mithilfe des Nutzers und ohne physischen Zugriff?

Re(9): CIA-Leaks

Srv-02 — Thu, 09 Mar 2017 22:06:35 GMT

Nicht umsonst werden iOS Safari RCE für 6-7 stellige Beträge gehandelt.

Dank der Wikileak müssen Sie sich mit dem Hardening nicht sonderlich viel Mühe geben

x33o — Thu, 09 Mar 2017 21:59:39 GMT

Grüße von der Sollbruchstelle!

Re(8): CIA-Leaks

Lazy Jones — Thu, 09 Mar 2017 21:01:15 GMT

Wenn das OS up-to-date ist und man auf keine verdächtigen Attachements oder
Links klickt, ist man ziemlich sicher.

Du hast wohl verpasst, dass die Dienste 0-days horten, kaufen und nutzen und dass selbst Apple nur "die meisten" der in diesen 1% leaks genannten Lücken geschlossen hat.

Re(7): CIA-Leaks

kaufinator1 — Thu, 09 Mar 2017 20:49:53 GMT

Wenn dich jemand ausspionieren will, "owned" er dein Gerät und Verschlüsselung
ist sinnlos.

Das Endgerät zu "ownen" ist nicht so einfach ohne physischen Zugriff. Wenn das OS up-to-date ist und man auf keine verdächtigen Attachements oder Links klickt, ist man ziemlich sicher.

Ein Restrisiko bleibt natürlich immer und wenn es ein Geheimdienst auf eine bestimmte Person abgesehen hat, dann hat diese sowieso keine Chance. Selbst bei perfekter technischer Absicherung gilt: https://xkcd.com/538/

Re: CIA-Leaks # FBI sucht Maulwurf nach Wikileaks-Enthüllungen

Vorauseilender Gehorsam — Thu, 09 Mar 2017 17:28:02 GMT

Geheimdienste: FBI sucht Maulwurf nach Wikileaks-Enthüllungen
http://www.dw.com/de/fbi-sucht-maulwurf-nach-wikileaks-enth%C3%BCllungen/a-37861937?maca=de-rss-de-news-1089-rdf

Alle großen Tech-Konzerne betroffen

Für Unruhe sorgt die Veröffentlichung der Dokumente auch bei den High-Tech-Unternehmen in den USA - allerdings aus anderen Gründen. Wikileaks offenbarte Sicherheitslücken, die von US-Regierungshackern genutzt wurden, um Nutzer auszuspionieren. Betroffen sind unter anderem iPhones von Apple, Android-Geräte von Google, Software von Microsoft, aber auch Samsung-Fernseher.

Apple erklärte dazu, die ersten Analysen durch das Unternehmen deuteten darauf hin, dass viele der Sicherheitslücken, über die Wikileaks berichtete, bereits in der jüngsten Version des Betriebssystems iOS behoben seien. Ähnlich äußerte sich auch Samsung. Das Unternehmen habe den Wikileaks-Bericht zur Kenntnis genommen und befasse sich "dringlich" mit der Angelegenheit, hieß es. Microsoft erklärte lediglich, das Unternehmen schaue sich die Wikileaks-Veröffentlichungen näher an.

Die Dokumente zeigen der Website zufolge, dass die CIA etwa Schadsoftware, Viren und Trojaner zur Cyberspionage einsetzt. Der Geheimdienst sei in der Lage, auf Smartphones die Verschlüsselungscodes populärer Apps wie WhatsApp, Signal, Telegram oder Weibo zu umgehen.

djo/haz (afp, dpa, rtr)
_________________________________________________________________________________________________

Die Redaktion empfiehlt

Sieben Tipps, um die CIA auszusperren
http://www.dw.com/de/sieben-tipps-um-die-cia-auszusperren/a-37857190

Die Wikileaks-Enthüllung hat gezeigt: Das "Internet der Dinge" birgt nicht nur Potential, sondern auch die Gefahr ferngesteuerter Spionage. Doch wie bekomme ich das Internet wieder aus den Dingen heraus? (08.03.2017)

Wikileaks: CIA greift von Frankfurt aus an
http://www.dw.com/de/wikileaks-cia-greift-von-frankfurt-aus-an/a-37843187

Re(6): CIA-Leaks

Lazy Jones — Thu, 09 Mar 2017 16:44:54 GMT

Es ist natürlich kein Allheilmittel aber eine gute Verschlüsselung erhöhten
die Hürden für einen Angreifer beträchtlich.

Nein, keineswegs. Nur für den verschlüsselten Content bzw. dessen Übertragung. Wenn dich jemand ausspionieren will, "owned" er dein Gerät und Verschlüsselung ist sinnlos. Schließlich ist das, was auf deinem Gerät gespeichert ist, viel interessanter als irgendwelche Kurznachrichten o.ä.. Wie einfach das geht, sieht man ja an den ganzen Trojanern.

Re(5): CIA-Leaks

kaufinator1 — Thu, 09 Mar 2017 16:27:29 GMT

Herumreiten auf Verschlüsselung für alles auch so sinnlos.

Es ist natürlich kein Allheilmittel aber eine gute Verschlüsselung erhöhten die Hürden für einen Angreifer beträchtlich. Genauso wie 2-faktor Authentifizierung und ein Betriebssystem, das auf dem neuesten Stand ist.

100%ige Sicherheit wird es nie geben, aber man muss es einem Angreifer ja nicht so leicht wie möglich machen.

Re(3): CIA-Leaks

kaufinator1 — Thu, 09 Mar 2017 16:11:19 GMT

Überschätzt vielleicht schon, aber ziemlich gesichert ist (Achtung Wortspiel!
), dass sie viele der derzeit gängigen Verschlüsselungen knacken können, auch
wenn die vielen "intelligenten" Passwörter dabei auch eine Hilfe sind...

Das Erraten eines Passwortes hat nichts mit "knacken" einer Verschlüsselung zu tun. Eine Verschlüsselung ist "geknackt", wenn sie - unabhängig vom Passwort - durch fehler in der implementierung oder in der zu grunde liegenden Mathematik aufgebrochen werden kann. Und hier kochen alle nur mit wasser. Auch die CIA ist an die regeln der Mathematik und physik gebunden wonach das "Knacken" von einer richtig implementierten AES Verschlüsselung Jahrzehnte dauert.

oder durch aktive Mitwirkung der Software-und Hardwareherstellern, die
ansonsten ihre Produkte gar nicht verkaufen können(dürfen), und das den Leuten
dann gerne, wenn denn überhaupt bekannt gemacht, als neues "Feature" angedreht
wird.

Hintertüren in Verschlüsselung als Voraussetzung für den Verkauf von Software gibt es in den USA schon seit Jahrzehnten nicht mehr.

Re(2): CIA-Leaks

DarkWing13 — Thu, 09 Mar 2017 11:27:29 GMT

Überschätzt vielleicht schon, aber ziemlich gesichert ist (Achtung Wortspiel! ), dass sie viele der derzeit gängigen Verschlüsselungen knacken können, auch wenn die vielen "intelligenten" Passwörter dabei auch eine Hilfe sind...
Sei es durch ungepatchte Sicherheits-Lücken (von denen sicher einige bis jetzt nur den Geheimdiensten bekannt sind), oder durch aktive Mitwirkung der Software-und Hardwareherstellern, die ansonsten ihre Produkte gar nicht verkaufen können(dürfen), und das den Leuten dann gerne, wenn denn überhaupt bekannt gemacht, als neues "Feature" angedreht wird.

Das sie sich so sehr auf "Endgeräte" wie z.B. TVs und Autos konzentrieren ist ganz einfach.
Weil es noch viel einfacher ist damit Überwachung zu betreiben, und die Leute das otfmals gar nicht vermuten, so dass Gespräche und Bilder zustande kommen, die der "Verdächtige" am Handy vielleicht niemals geäußert hätte.

Die Geheimdienste geben nicht hunderte von Millionen $ für Hardware und Forschung aus, oder beschäftigen zehntausende von Angestellten, nur damit wir uns "sicher" fühlen dürfen.
Wer das glaubt, unterschätzt diese Organisationen wohl eher....

So long,...

Re(2): CIA-Leaks

DarkWing13 — Thu, 09 Mar 2017 11:27:29 GMT

Re(2): CIA-Leaks

DarkWing13 — Thu, 09 Mar 2017 11:27:29 GMT

Überschätzt vielleicht schon, aber ziemlich gesichert ist (Achtung Wortspiel! ), dass sie viele der derzeit gängigen Verschlüsselungen knacken können, auch wenn die vielen "intelligenten" Passwörter dabei auch eine Hilfe sind...
Sei es durch ungepatchte Sicherheits-Lücken (von denen sicher einige bis jetzt nur den Geheimdiensten bekannt sind), oder durch aktive Mitwirkung der Software-und Hardwareherstellern, die ansonsten ihre Produkte gar nicht verkaufen können(dürfen), und das den Leuten dann gerne, wenn denn überhaupt bekannt gemacht, als neues "Feature" angedreht wird.

Das sie sich so sher auf "Endgeräte" wie z.B. TVs und Autos konzentrieren ist ganz einfach.
Weil es noch viel einfacher ist damit Überwachung zu betreiben, und die Leute das otfmals gar nicht vermuten, so dass Gespräche und Bilder zustande kommen, die der "Verdächtige" am Handy vielleicht niemals geäußert hätte.

Die Geheimdienste geben nicht hunderte von Millionen $ für Hardware und Forschung aus, oder beschäftigen zehntausende von Angestellten, nur damit wir uns "sicher" fühlen dürfen.
Wer das glaubt, unterschätzt diese Organisationen wohl eher....

So long,...

Re(14): CIA-Leaks

Lazy Jones — Thu, 09 Mar 2017 09:58:24 GMT

Es ist ja auch erst 1% released.

Re(2): CIA-Leaks

DarkWing13 — Thu, 09 Mar 2017 08:34:39 GMT

Der Ausdruck "kriminelle Energie" ist sehr treffend.

Da solche (Sniffer-) Software für den Homegebrauch mittlerweile praktisch für den "kleinen Bürger" illegal ist, auch wenn diese evtl. gar nicht für "kriminelle" Aktionen genutzt wird.
(Obwohl ich denke, dass dieses Verbot eher darauf gründet, die Leute "unwissend" zu halten, damit deren Überwachung sich noch einfacher gestaltet --> s. a. Geforderte Offenlegung von Facebook-, Twitter-, Verschlüsselungs-Passwörtern an US-Geheimdienste bei Einreise in die USA)

Der "Staat" jedoch kann sich inzwischen geradezu willkürlich bedienen wie es ihm gefällt...

Dazu fällt mir immer ein Spruch aus "ferner" Vergangenheit ein:
"Töte Einen und du bist ein Mörder, töte Tausend(e) und du bist ein Held"

Oder anders gesagt: Was für den Einzelnen kriminell ist, muss es noch lange nicht für Staaten/Instutionen/Organisationen sein...

So long,...

Re(4): CIA-Leaks

Fitz — Thu, 09 Mar 2017 08:17:50 GMT

Mache ich zwar schon fallweise (um kriminellen Virenbefall vorzubeugen), aber man sollte sich selbst als Privatanwender schön langsam tatsächlich angewöhnen, ausführbare Dateien nicht nur durch VirusTotal zu jagen, sondern davor noch von mehreren Quellen herunterzuladen (und inhaltlich zu vergleichen). Ein kleiner zeitlicher Abstand zwischen Veröffentlichung und Installation von Updates, in denen nicht gerade hochkritische Sicherheitslücken gepatcht werden, erscheint mir ebenso sinnvoll.

Re(2): CIA-Leaks

hover — Thu, 09 Mar 2017 07:54:00 GMT

Naja also für meinen Samsung SmartTV kommt alle zwei Monate ein Firmware Update raus.
Außerdem wurde bereits in einem anderen Artikel beschrieben, dass manuelle Änderungen VorOrt durchgeführt werden mussten, damit das funktioniert und nur bei einem speziellen Modell.

Also von meinem TV geht da echt keine Gefahr aus und er ist permanent mit dem Internet verbunden, so wie es sein soll. Sonst kann ich gleich bei nem 90er Jahre Röhrentv bleiben.

PS: Vielleicht ist es eh ein guter Weckruf für einige, dass man Updates siehe iOS immer installieren sollte. Sehe oft bei Freunden und anderen die das Update verfügbar Icon monatelang links oben haben und nicht draufklicken.

Re(2): CIA-Leaks

hover — Thu, 09 Mar 2017 07:54:00 GMT

Re(21): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 16:04:04 GMT

Ich weiß was du meinst, aber 80% sind nicht 100%. Ich muss nur wissen was ich wo lagere und wie der theoretische Informationsfluss ist, dann hab ich viel gewonnen.

Re(7): Da macht das LiMux - Aus doppelt Sinn

Srv-02 — Wed, 08 Mar 2017 16:02:05 GMT

Jetzt muss ich mich hier leider ausklinken, aber dein Arsxx ist auf alle Fälle weg.

Für eine gängige Plattform bekomme ich das Hardening "von der Stange" bzw vom
Hersteller. Für ein selbstgestricktes Linux muss ich die ganze "Scheixxe"
nacherfinden und aufwendigst integrieren. Daher haben die ja auch einen Stall
voll Developern benötigt. Und nicht mal dann weiß ich, ob ich "dicht" bin.

Der Vorteil liegt auf der Hand ... man kann mich nicht mit Anderen über einen Kamm scheren, sondern ich brauche gesonderte Aufmerksamkeit. Der Gedanke einer maßgeschneiderte LiMux Lösung ist sehr nobel, aber mit Beamtengehältern nicht finanzierbar. Ich kann das OS natürlich von externen DL auf die Sicherheit testen lassen, dadurch nehme ich mir aber die Flexibilität für kleine, knackige Releases. Sprich, ich komm mit 0815 Methoden nicht rein und muss mich als Angreifer anstrengen und angepasste Vektoren finden - wie bei Windows eben auch.

Es ist durch LiMux somit nichts gewonnen und was bleibt ist lediglich der Schmerz.

Re(20): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 15:57:56 GMT

und einer nicht alles hat

Der eine ist zu 80% mein Mailclient. Das ist mein Problem.

Re(6): Da macht das LiMux - Aus doppelt Sinn

Paulas_Papa — Wed, 08 Mar 2017 15:55:12 GMT

Als professioneller Betreiber von IT Plattformen, die HOCHSENSIBLE Daten (Bürger!!!) verarbeiten, MUSS man alles tun, um die GESAMTLÖSUNG sicher zu bekommen.

Und ich verwette meinen Arsxx, dass das mit einer der Treiber war, warum das LIMUX gegen die Wand fuhr.

Für eine gängige Plattform bekomme ich das Hardening "von der Stange" bzw vom Hersteller. Für ein selbstgestricktes Linux muss ich die ganze "Scheixxe" nacherfinden und aufwendigst integrieren. Daher haben die ja auch einen Stall voll Developern benötigt. Und nicht mal dann weiß ich, ob ich "dicht" bin.

Re(19): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 15:54:43 GMT

Ich bin mir dessen exakt bewusst wer potentielle Angreifer sind und was ich dagegen bewusst oder unbewusst unternehmen kann oder auch nicht.

Die Frage ist immer nur ... wem gebe ich welche Informationen preis.

Ich muss vor meinem Partner meine sexuellen Perversionen nicht verstecken, aber vor meinen Kunden.
Ich muss vor meinen Kunden deren Betriebsgeheimnisse nicht verstecken, aber vor meinen Freunden.
Ich muss vor meiner Bank meine Kreditkartendaten nicht verstecken, aber vor einem Phisher.
Ich muss vor meinem Staat meine Geburtsurkunde/Dokumente nicht verstecken, aber vor einem Angreifer.
usw.

So lange ich Herr über den Informationsfluss bin und einer nicht alles hat bzw. nicht ohne meine Zustimmung auf gewisse Bereiche Zugriff hat bin ich schon zufrieden.

Re(5): Da macht das LiMux - Aus doppelt Sinn

Srv-02 — Wed, 08 Mar 2017 15:47:55 GMT

Mach ich auch, bin ich auch, tu ich auch, weiß ich auch. So what?

Und du hast mich falsch verstanden ...

Windows hat die moderneren Securitytechnologien unter der Haube.

Unbestritten, es scheitert aber in 90% der Fälle trotzdem an der Implementierung dieser Features ... und da reden wir von den entlegensten Nuancen.

Re(18): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 15:46:30 GMT

Das Problem ist ja, dass du vorher den Feind nicht kennst. Alleine aus deinem hier genannten Expertentum heraus kannst du ja schon ein potentiell hochrangiges Ziel sein.

Wenn ich ein Dienst bin, würde ich grundsätzlich alle Vortragenden der diversen Konferenzen vorsorglich beschnüffeln. Hilfts nix, so schadts nix...

Re(4): Da macht das LiMux - Aus doppelt Sinn

Paulas_Papa — Wed, 08 Mar 2017 15:43:20 GMT

Wir betreiben beide (Server)Plattformen im 4 stelligen Stückzahlen und die Leute sind internationale Experten. Meine Leute wissen, wie man das Hardening durchzuführen hat und welches Restrisiko beide Plattformen haben.

Und die Meinung der Typen ist eindeutig! Windows hat die moderneren Securitytechnologien unter der Haube.

Re(17): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 15:39:59 GMT

Bin mehr als nur affin und mir meiner Risiken bewusst, die Frage ist immer gegen welchen Feind man sich rüstet.

Re(3): Da macht das LiMux - Aus doppelt Sinn

Srv-02 — Wed, 08 Mar 2017 15:25:37 GMT

Macht nix, irren ist menschlich.

Re: CIA-Leaks

kaufinator1 — Wed, 08 Mar 2017 14:39:58 GMT

Ich denke, dass die CIA genau so wie andere Geheimdienste einfach oft überschätzt werden. Die iOS exploits waren beispielsweise schon fast komplett gepatcht in der aktuellen Version. Auch Verschlüsselung können sie nicht knacken, weil sie sich sonst nicht so auf die Endgeräte konzentrieren würden.

Dass man Smart-TVs, die so gut wie nie ein Update erhalten, leicht hacken kann ist auch naheliegend. Deswegen verweigere ich meinem Fernseher schon seit dem ersten Einschalten, den Zugriff aufs Internet.

Re(2): Da macht das LiMux - Aus doppelt Sinn

Paulas_Papa — Wed, 08 Mar 2017 12:53:43 GMT

Das bezweifle ich! Und auch meine IT-SEC Experten!

Re(16): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 12:45:47 GMT

Ich glaube, dass du damit mehr als nur die Noobs erwischt. Das Problem ist, dass du als normal technikaffiner Mensch schon so viele Angriffsvektoren offen hast, dass auch du oder Lazy ganz normale Opfer sein können.

Re: Da macht das LiMux - Aus doppelt Sinn

Srv-02 — Wed, 08 Mar 2017 12:26:34 GMT

Das geht jetzt einfacher als nach der Umstellung.

Re(15): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 12:25:05 GMT

Du kannst mit dem Framework den Großteil der Noobs kompromittieren, für den Rest brauchst du dann eben Spezialisten der NSA oder eine Taskforce aus eigenem Hause.

Re(14): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 12:05:03 GMT

Zitat: The CIA isn't more advanced than the NSA. Most of this dump is child's play, simply malware/trojans cobbled together from bits found on the Internet. Sometimes they buy more advanced stuff from contractors, or get stuff shared from the NSA. Technologically, they are far behind the NSA in sophistication and technical expertise.

Den Eindruck hatte ich auch. Meine IT-SEC Leute lesen das Zeug höchstens 30 Minuten. Das ist in der Szene knapp über dem Einstiegslevel. Das Zeug adressiert "normale" Tatverdächtige - was ja der Job der CIA ist.

Es geht ja auch nichts davon wirklich auf den Backbone (Cisco, Huawei...) los, wo du die Massendaten absaugen könntest.

Re(11): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 11:55:19 GMT

Falsche Zeitform! Die haben ja schon ganze Regionen zB telefonmäßig überwacht. Auf Content, nicht auf Verbindungsdaten!

Da macht das LiMux - Aus doppelt Sinn

x33o — Wed, 08 Mar 2017 11:20:13 GMT

So kann die CIa wieder auf gewohntem Wege zugreifen.

Re(5): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 11:18:56 GMT

Bingo!

Die sitzen mittelfristig auf jedem Ding, das eine IP hat.

Re(3): CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 11:17:23 GMT

Brutal gesagt: ich gehe davon aus, dass alles, was ich von CHIP.DE oder HEISE.DE downloaden kann, von irgendeinem Dienst potentiell verseucht ist. Damit auch "Little Snitch".

Re(15): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 11:12:18 GMT

Das wirds immer geben und ist nie auszuschließen, die Wahrheit wissen vermutlich nicht mal eine Hand voll Leute.

Re(14): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 11:10:30 GMT

und spricht für Kreativität.

Es geht ja mehr oder weniger die Verschwörungstheorie um, dass das gezielte/manipulierte Leaks sind mit denen das Putin-Trump-Umfeld zeigen will, dass die CIA "false flag"-Hacks betreibt um Putin anzuschwärzen.

Re(13): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 11:09:58 GMT

Guter Roundup um den Hype realistischer zu betrachten: http://blog.erratasec.com/2017/03/some-comments-on-wikileaks-ciavault7.html

Re(13): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 11:05:41 GMT

Das ist ja wiederum ulkig ... щ（ﾟДﾟщ） und spricht für Kreativität. Man muss halt nur nicht jedem nicht klassifizierten Laptop Zugriff auf dieses sensible Netz gewähren.

Re(12): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 11:00:51 GMT

in einem Testnetzwerk.

Mit Hostnamen wie "PocketPutin".

Re(11): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 10:59:01 GMT

Step by step ... ich empfinde die Veröffentlichung bereits als Erfolg zur Transparenz der gefahrenen Operationen. Interessant ist ja wohl auch wie selbst Post-Snowden diese Informationen in der CIA gehalten werden - in einem Testnetzwerk.

Re(10): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:57:07 GMT

Und nichts daran ändert, dass die NSA wohl irgendwann großflächig Mikrofone aufdrehen wird, wenn sie mit den Daten was anfangen können.

Re(9): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 10:55:43 GMT

Was erfreulich ist.

Re(8): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:55:00 GMT

Die CIA macht aber offenbar keine Massenüberwachung wie die NSA, sondern greift konkrete Ziele an.

Re(7): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 10:51:56 GMT

Vom Aufwand her in Relation gestellt, dass ich nur wenige Knotenpunkte oder Verbindungen kontrollieren muss um unauffällig Massen zu erreichen, als dass ich großflächig Exploits ausrolle.

Re(6): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:50:03 GMT

eine schwache Verschlüsselung kann ich überall auf dem Weg aufgabeln, für
einen Exploit muss ich aktiv etwas tun.

Nur bringt eine starke Verschlüsselung genau nichts auf einem unsicheren Gerät.

Wie du ohne "aktiv etwas zu tun" meine unverschlüsselte Kommunikation abgreifst, zeigst du mir.

Re(5): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 10:41:12 GMT

Nein, denn eine schwache Verschlüsselung kann ich überall auf dem Weg aufgabeln, für einen Exploit muss ich aktiv etwas tun.

Re(4): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:38:51 GMT

dass keine Protokolle attackiert sondern lediglich Exploits entwickelt
werden.

Ist ja klar - wenn man die Geräte beherrscht, braucht man keine Exploits für Anwendungen/Protokolle. Deshalb finde ich dieses Herumreiten auf Verschlüsselung für alles auch so sinnlos.

Re(3): CIA-Leaks

Srv-02 — Wed, 08 Mar 2017 10:30:59 GMT

Was auf alle Fälle richtungsweisend ist, dass keine Protokolle attackiert sondern lediglich Exploits entwickelt werden.

Re(2): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:14:40 GMT

Und was davon überrascht dich im speziellen?

Nichts, wieso?

Aber bei dieser Meldung hier ist jedes Einzeltheme mehr oder minder auf
diversen CCC oder anderen White Hat Hacker Veranstaltungen durchgenommen
worden. Das wissen ca. 80% der Heise Leser.

Nein, bisher gab es m.W.n. keine Belege über konkrete CIA-Hack-Fähigkeiten, die aktiv genutzt werden. Nur reichlich Spekulationen und Diskussionen über Schwachstellen, die von jede genutzt werden könnten. Jetzt gibt es sehr viele Details.

Wusstest du, dass sie daran arbeiten, Schadcode in "Little Snitch" einzuschleusen (vmtl. durch Schwachstellen in libpcap)? Ich jedenfalls nicht.

Re(2): CIA-Leaks

Lazy Jones — Wed, 08 Mar 2017 10:14:40 GMT

Und was davon überrascht dich im speziellen?

Nichts, wieso?

Aber bei dieser Meldung hier ist jedes Einzeltheme mehr oder minder auf
diversen CCC oder anderen White Hat Hacker Veranstaltungen durchgenommen
worden. Das wissen ca. 80% der Heise Leser.

Nein, bisher gab es m.W.n. keine Belege über konkrete CIA-Hack-Fähigkeiten, die aktiv genutzt werden. Nur reichlich Spekulationen und Diskussionen über Schwachstellen, die von jedem genutzt werden könnten. Jetzt gibt es sehr viele Details.

Wusstest du, dass sie daran arbeiten, Schadcode in "Little Snitch" einzuschleusen (vmtl. durch Schwachstellen in libpcap)? Ich jedenfalls nicht.

Re: CIA-Leaks

Paulas_Papa — Wed, 08 Mar 2017 10:11:07 GMT

Und was davon überrascht dich im speziellen?

Ich war bei der 1. NSA Geschichte überrascht von der schiere Masse an Daten, die sie bereits saugen und sinnvoll in Echtzeit filtern können. Die dazu nötigen (bis dahin) unvorstellbaren Budgets haben mich echt verwundert. Diese Menge an "krimineller Energie" war verblüffend

Aber bei dieser Meldung hier ist jedes Einzeltheme mehr oder minder auf diversen CCC oder anderen White Hat Hacker Veranstaltungen durchgenommen worden. Das wissen ca. 80% der Heise Leser.

Mich würde interessieren, was sie mit der Verschneidung von Big Data mit Neuronalen Netzwerken mittlerweile zusammenbringen. Dort ist in den letzten Jahren der Quantensprung in der Praxis passiert. Da denke ich, dass die NSA mittlerweile genauer weiß, was du oder ich morgen machen werden, als wir es selbst heute wissen.

Re: CIA-Leaks

Srv-02 — Tue, 07 Mar 2017 20:16:00 GMT

Im Dump ist leider auch nicht viel.

CIA-Leaks

Lazy Jones — Tue, 07 Mar 2017 14:28:10 GMT

Kleiner Einblick in die aktuellen Fähigkeiten der CIA, Links gehen leider z.T. nicht.

https://wikileaks.org/ciav7p1/cms/index.html