S{o}cial
Gizmeo.eu RSS-Feed c1 auf LinkedIn c1 auf Google+ c1 bei YouTube Gizmeo.eu als Android-App
Komm{e}ntare
  • Borno: interessant! danke
  • Abbey: Vielen Dank Probiere es jetzt mal aus war früher mal im darknet aber hatte absolut keine Ahnung mehr wie es...
  • c1ph4: @Unknownuser: Wo? Ist deine Version die neueste aus dem FDroid-Repository? Sehe hier keine. Versuch‘ mal...
  • c1ph4: @R2D2:Ist eine spezielle Firefox-Version für Orbot. Meine Präferenz im Tutorial hier war der übliche Firefox...
  • Unknownuser: Was ist die weltkugel in orbot?
{A}rchiv

Sie sind momentan im Archiv der Kategorie Hacking.

Lef{t}overs
GET FIREFOX!
GET THUNDERBIRD!
www . cipha . net

www . cipha . net
Please use an AMD CPU!
cell processor rox, fuck INTEL
KDE - the Ueber-Desktop-Environment!
STOP FACEBOOK!
msn user die!
aol sucks cock!
FUCK MYSPACE!
explicit content
NEIN zu Softwarepatenten
save the net! net-neutrality is important!
Aktion UBERWACH!
Cred{i}ts
Created, Made & Maintained by AETHYX.EU

Archiv für die Kategorie „Hacking“

und was ist mit javascript??

Seit die DSGVO (aka GDPR) in Kraft ist, werde ich von jeglicher Website angeschissen, ich soll ihre dämlichen Cookies akzeptieren. Dabei waren Cookies nie das Problem.

Cookies waren ein niedliches Hilfsmittel, als das Web noch in den Kinderschuhen steckte. Mit diesem Workaround konnte man Mini-Informationen speichern, die zum Verwenden von Meta-Informationen benötigt wurden. Zum Beispiel Postleitzahlen zum Weiterverarbeiten in Formularen. Wer auch nur ein bisschen Wert auf Sicherheit legte streute ein bisschen Salz über die eigentliche Zahl, man hashte diese, und sie wurde bei der Übertragung unkenntlich. Cookies waren auch nie böse per se. Das zeigt schon die Bezeichnung.

Wirklich böse ist bis heute einzig und allein JavaScript.

Einen in eine HTML-Seite hinzugefügten JavaScript-Code erkennt man immer im Quelltext einer Website am öffnenden und schließenden script-Tag. „Hinzugefügt“ klingt schön verharmlosend, denn eigentlich handelt es sich um eine Injection, eine Injektion. Injektionen bringt man immer in Verbindung mit Spritzen und damit lässt sich so ziemlich alles transportieren, was der Mensch an Bösem erfunden hat. Durch Injektionen bringt man Gifte in die Blutbahnen von biologischen Systemen.

Was genau in eine HTML-Seite injiziert wird lässt sich nicht einmal herausfinden, wenn man JavaScript-Code selbst untersucht. Das wirklich Allermeiste davon ist selbst für Programmierer nichtssagend, Unternehmen und Hacker schreiben JavaScript-Code häufig zudem so, dass man an die eigentliche Funktion gar nicht mehr herankommt. Ich weiß nicht genau, wer sich das ausgedacht hat, ich habe es auch nicht recherchiert vorher. Doch man muss schon ausrangiert im Geiste sein, um so etwas öffentlich zur Weiterverwendung zu publizieren.

Klar, auch ich selbst nutze JavaScript-Code auf vielen meiner Webseiten. Aber nicht, weil ich das will: mir wird einfach von den Anbietern einer bestimmten Funktion keine Alternative zur Verfügung gestellt. Schaut man sich die Evolution des Webs an, v.a. während der Zeit 2000-2010, sind erweiterte Techniken wie AJAX unerlässlich geworden. Auch nicht, weil es so schon einfach oder toll wäre, sondern einfach, weil es keine Alternative gab.

Dass das Web Fehler hat im Design liegt in der Natur in der Sache: es ist ein lebendes Medium. Um fatal errors wie „Flash“ von Adobe ein für allemal auszumerzen aus der Geschichte des Web, brauchte es gar zwei Mega-Player im Onlinegeschäft: YouTube, die verstanden hatten, dass man auch Videos im Web ohne Flash anbieten kann. Und Steve Jobs von Apple, der in einem Move aus Eigensinn und Technik-Verstand den Rotz im Alleingang von seinen Geräten bannte. Beide Unternehmen haben maßgeblich dazu beigetragen, dass kleinere Unternehmen und Individuen der (intelligenten) Anweisung folgten.

Etwas Gleichwertiges bräuchten wir leider auch bei JavaScript. Zugegebenermaßen bin ich hier jedoch nicht optimistisch.

Mir würde es eigentlich schon reichen, wenn mir diese nervige DSGVO auch die Möglichkeit gegeben hätte, JavaScript zu verweigern. Ich wäre gezwungen gewesen, bei bestimmten Angeboten mich mit dem dort verwendeten JavaScript-Code näher zu befassen. Millionen Programmierer und Coder hätten das Selbe gemacht. Diese Chance wurde vertan.

Was wiederum zeigt, dass wir IT-technisch in Europa zwar auf guten Wegen sind, aber leider dauernd die richtige Ausfahrt verpassen. Auf lange Sicht wird das leider nicht gut gehen.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

wasserbetriebene computer

Die WIRED hat jüngst einen Artikel zum Thema wasserbetriebene Computer publiziert. Könnt ihr euch sparen, das zu lesen, denn steht alles auch im offiziellen deutschsprachigen Wikipedia-Artikel: https://de.wikipedia.org/wiki/MONIAC. Nee, echt jetzt, im WIRED-Artikel sind keinerlei wertvollere oder nützlicher Informationen enthalten. Ist ja auch sehr heiß derzeit.

Tatsächlich wurden insgesamt 14 dieser Wassermonster gebaut, zwei sind heute noch in funktionierendem Zustand: in einem Museum in Neuseeland und ein weiterer auf dem Campus der Universität Cambridge.

Obwohl aus 1949, hat es die Funktion in sich: der MONIAC simulierte durch Wassertanks Haushalte, Wirtschaft, Staat, Export und Import.

Die erste Wirtschaftssimulation der Menschheit vielleicht. Allerdings voll-analog. Nichts mit 1 und 0, wie wir es heute gewohnt sind.

Ja, ich weiß, der Titel war irreführend. Ging mir genauso.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

integrierter schaltkreis marke eigenbau

Seit sechs Dekaden begleitet uns die Technologie der integrierten Schaltkreise bereits, ohne sie ist moderne Computertechnik ohne Sinn und Funktion.

Dennoch konzentriert sich die Forschung und Entwicklung der Chips auf nur sehr wenige Hersteller, bis heute ist der Eigenbau so gut wie nicht in den heimischen Bastelzimmern angekommen. Nicht ganz zu unrecht: gilt sie doch als sehr kompliziert, fehleranfällig und langwierig.

Ein paar wenige Mutige gibt es dennoch, einer davon ist Sam Zeloof. Der verkündete jüngst, am 23. April, er habe in seinem Labor einen eigenen auf Lithografie basierenden IC mittlerweile fertig, schaut dann so aus:

Erster in Heimarbeit hergestellter IC auf Lithografie-Basis

[via]

Sam berichtet selbst ausführlich wie es dazu kam in seinem Blog: http://sam.zeloof.xyz/category/semiconductor/.

Und mehr wie eine Meldung auf T(z)witter von ihm mit den drei Bildern oben gibt es auch noch gar nicht.

Dennoch: da er erst seit 2016 an dem Projekt arbeitet macht das natürlich Hoffnung, v.a. im Angesicht der seit Januar aufpoppenden Intel-CPU-Apokalypse. Wir als Konsumenten/Nutzer sind im Grunde weniger als einer Handvoll riesengroßen Herstellern willkürlich ausgeliefert, die meist alle in den USA sitzen. Und Intel feiert trotz den Horrormeldungen Anfang des Jahres einen Rekordumsatz im 1. Quartal in Höhe von 16,8 Milliarden US-Dollar. Das ist genau die verkehrte Welt, die solche Konzepte wieder etwas gerade rücken könnten.

Sam baute uns diesen vielversprechenden IC in Handarbeit. Was macht ihr so!?

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

steckdosen-gehacktes

Wer zu viel gekifft hat bekommt irgendwann Reefer Madness. Dieses durch ausgeprägte Paranoia um sich greifende mentale Phänomen führt eventuell zu problematischen Lebensumständen. Man findet sich beispielsweise in Unterhose auf einem Baum der Nachbarn wieder oder denkt plötzlich, der eigene Rechner würde über die Steckdose gehackt.

Nun, zumindest zu letztem Punkt gibt es jüngst reale Beweise.

Glaubt man einem Team israelischer Wissenschaftler der Ben-Gurion-Universität, ist das Hacken der Hardware und das Auslesen der Daten über eine Steckdose zwar irre kompliziert, aber nicht unmöglich. Man findet das PDF hier: https://arxiv.org/pdf/1804.04014.pdf. [via]

Wie das vonstatten gehen soll ist wahnsinnig faszinierend, zumindest für mich.

Der größte Knackpunkt ist wohl immer noch eine Schadsoftware, die anfangs auf dem Rechner des Opfers installiert werden muss. Diese sammelt individuell interessante Daten und sendet diese in einer bestimmten Frequenz über das Stromnetz. Triggern lässt sich der Start der Sendung dann von innen, über das Programm oder sogar von außen, über das Stromnetz selbst. Für die Übertragung braucht das Programm Prozessorzeit, die es von ungenutzten Chipkernen abzwackt, diese gar überlastet (was bei einer Single-Core-CPU passiert ist mir hier nicht ganz klar). Die Stromspitzen erzeugen daraufhin ein spezielles Wellenmuster und werden nach draußen transportiert.

Magie passiert ab jetzt: ohne das Kabel anbohren zu müssen greifen Angreifer irgendwo draußen die Daten ab. Und: dies geschieht durch Messung des elektromagnetischen Feldes um das Kabel herum*.

Das „draußen“ ist derzeit wohl noch das Zünglein an der Waage: selbst am Verteilerkasten im Haus des Opfers beträgt die Übertragungsrate nur 0,000001 MBit pro Sekunde. Das nur können wir heute so stehen lassen: eine 1MB große Datei würde 305 Stunden, 33 Minuten, 20 Sekunden veranschlagen. Allerdings weiß jeder Hacker, dass 1MB schon sehr viel ausspähbare Daten sein können. Talentierte Coder schaffen es 1MB in wenige Kilobyte zu pressen. Und so ähnlich würde ich mir das bei dieser doch eher hochentwickelt anmutenden Schadsoftware auch vorstellen.

Feinkost Paranoia zum Schluss: in solchen Fällen wie hier, wenn eine Universität mit solch einer Neuigkeit an die Öffentlichkeit geht, gibt es diese Anwendungen in der Echtwelt längst. Was hier oft versucht wird ist a) Aufmerksamkeit zu verschaffen, dass es eine reale Bedrohung ist, b) unmittelbar etwas bevorsteht und man warnen möchte, c) man nach Gegenmaßnahmen suchen will und Hilfe brauchen könnte oder d), alles davon.

*als ich dies das erste Mal las stellte ich mir ein purpurschimmerndes kleines Feld um ein Stromkabel in der Außenwelt vor, wo jemand mit einem durch mich nicht definierbaren Handgerät diese Erscheinung in Computercode umwandelt und auf einem kleinen Display darstellt. Das nur als kostenloser Zusatz für diejenigen, die interessiert, wie mein Gehirn bei Dingen funktioniert, die ich als für mich faszinierend klassifiziere

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

das wahre potential der blockchain

Es fühlt sich an wie vor 100 Jahren, doch es war vor „erst“ elf: damals geisterte ein fürchterlicher Marketing-Kackrotz durch den Cyberspace, der sich „Web 2.0“ schimpfte. Unter diesem Schlüsselwort (würde heute „trendig“ #hashtag heißen) sammelten die weltweiten Granden der Inkompetenz & Inkontinenz jene Web-Phänomene, mit denen sie nicht gerechnet hatten in den 90ern des vorherigen Jahrhunderts. Dazu konnten aber schon CSS-Hacks gehören, Webseiten auf Flash(!)-Basis, manchmal auch MySpace/Facebook(!) oder sogar Blogs.

Im Kern war alles Schwachsinn.

Den Begriff gab es eine ganze Weile, sogar „Web 3.0“ kam irgendwann, doch richtig Fahrt aufnehmen konnte das nicht mehr.

Jetzt, mit der Blockchain, passiert aber etwas „Merkwürdiges“, was zwar seit dem NSA-Skandal 2014 vielleicht vorhersehbar war, jedoch nicht 2009 zum Beispiel, als Bitcoin an den Start ging: das Internet steht nämlich technologisch vor der Ablösung.

Die Zeiten sind endgültig vorbei, seit Jahren schon, wo wir munter „frei“ über http Webseiten in die Welt setzen konnten. Ohne https läuft nichts mehr. Es setzt sich, langsam, wie das eben so ist mit tiefgehenden Veränderungsprozessen, durch, dass wir einander bei elektronischen Medien nicht mehr trauen können, nicht mehr trauen sollten. Nicht nur in Bezug auf das Übertragungsprotokoll aus den 90ern.

Hier kommt jetzt die Blockchain-Technologie ins Spiel, deren Credo von Anfang an lautete: „traue Niemandem!“ („Trust. No. One.“)

Man kann diese als Zahlungsmitteltechnologie einsetzen, wie bei Bitcoin geschehen. Man kann sie aber auch wie z.B. bei Ethereum oder NEO als „Betriebssystem“ einsetzen, um Apps (hießen früher mal „Programme“) darauf aufzubauen, die die Menschheit so noch nicht gesehen hat. Und alles, was man darauf kommuniziert, festlegt, abwickelt, etc., wird verschlüsselt und nie mehr änderbar in einer Blockchain abgelegt.

Als junges Beispiel nehme ich hier mal schnell Japan, die bald wirklich verschlüsselt chatten dürfen: https://the-blockchain-journal.com/2018/04/04/line-japans-largest-chat-platform-is-working-with-blockchain/. Ist ja jetzt nur ein Echtleben-Anwendungsbeispiel.

Die Zeiten für Facebook, WhatsApp, Instagram, Twitter; Vergangenheit! End-lich! Danke, Blockchain! <3 Was halt noch fehlt ist die Interkonnektivität zwischen den verschiedenen Blockchain-Systemen. Aus der Historie des Internet könnte, müsste ja faktisch, eine Art, Achtung, Neologismus, Interblockchain, entstehen.

Bis es so weit ist lassen wir das US-Heimatschutzministerium, Apple und Mark Zuckerberg eben Nackt-Selfies von Minderjährigen in ihren unsicheren Clouds speichern und unsere Bank- und Kommunikationsdaten mitsniffen. Schließlich hat sich darauf die Gesellschaft längst geeinigt, sie wird schon nicht daneben liegen.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

unobtanium – eine kryptogeld-erfolgsgeschichte

Ich dachte mir, da alle Kryptowährungen seit Anfang des Jahres auf Talfahrt sind, heute wäre ein ganz guter Tag für eine meiner (seltenen) Kryptogeld-Erfolgsgeschichten.

Logo von Unobtanium

Gegen Ende 2015 fand ich mit einem ASIC-USB-Miner das erste Mal Unobtanium (UNO). Das ging, weil es ganz wenige „Merge-Mining-Pools“ für Bitcoin da draußen gibt, einer der noch heute läuft lautet mmpool.org*.

Zuerst dachte ich an einen Streich (sprich: Hack) im Interface oder gar des Pools selbst. Doch im Nachrichtenüberblick der Website wurde das Zusammenführen der Mining-Methoden kurz zuvor angekündigt. Ich hatte noch nie von Unobtanium gehört und für mich fühlte sich dieser Moment an, als sei ich im Weltall auf eine außerirdische Lebensform gestoßen.

Wenn man den Suchbegriff in eine große US-Suchmaschine eingibt, landete man damals unter Garantie auf einer Website zum 3D-Blockbuster „Avatar“: es gibt dafür sogar eine Seite bei Wikipedia, die mir erklärte, es handele sich um „ein chemisches Element, das praktisch nicht beschaffbar ist“. Ein seltenes fiktives Material also.

Etwas weiter unter den ersten Treffern dann kam ich doch noch bei einer offiziellen Website raus: unobtanium.uno. Die Seite sieht auch heute noch genauso wie damals aus, sowohl vom Design als auch den Features her.

Dort erfuhr ich, dass Unobtanium eine Bitcoin sehr ähnliche „neue Kryptowährung“ sei; welche Entwickler dahinter stecken (u.a. Hagbard Celine…); wo es Wallets dafür gibt; und wo man die Währung handeln kann.

Ende März zahlte ich mir meine ersten selbstgeminten Unobtanium auf mein Wallet aus, 0,014783 Einheiten.

Ich rechnete mir keinerlei Chancen aus mit diesem Blödsinn Geld verdienen zu können.

Dennoch gab es ein Killerargument für Unobtanium: die Gesamtanzahl aller errechenbaren Kryptomünzen beträgt nur 250.000.

Ich l-i-e-b-e seltenes Zeugs. Ich entschied, mir einen ganzen Unobtanium dazu zu kaufen. Meine Investition damals: 3,50€.

Heute, mitten in einer riesigen (wahrscheinlich künstlich herbeigeführten) Kryptogeld-Krise, ist Unobtanium plötzlich mehr wert wie z.B. der populäre Litecoin: gegenwärtig 103,23€ vs. 93,46€. Den bisherigen absoluten Höhepunkt hatte Unobtanium am 19.10.17: über 159€. Wie man der Jahreschart bei „Coinmarketcap“ entnehmen kann ist der Preis seit Monaten wenig volatil und kennt nur einen Weg: nach oben.

Nun zum saftigen Teil dieses Beitrags:

Meine Investition im Frühjahr 2016 von 3,50€ ist heute 103,23€ wert. Das ergibt einen Zuwachs innerhalb von nur zwei Jahren um 2849,43%.

Nimmt man den bisherigen Höchstwert als Maßstab, also die 159€, lag der Zuwachs gar bei 4442,86%.

Verrückt!? Nö. Es ist einfach, was passieren kann, wenn man früh genug in Kryptos investiert. Zeigt mir mal eine Aktie, die das geschafft hat!

Ich kann auch heute noch InvestorInnen empfehlen nach Kryptowährungen Ausschau zu halten, die durch Mangel gekennzeichnet sind. Bei „Coinmarketcap“ kann man sich eine Liste dafür sogar anzeigen lassen, den Link gibt es hier. Bei „Circulating Supply“ muss das Dreieck nach oben zeigen. Scrollt danach runter bis ihr keine „?“ mehr seht und ihr landet irgendwann bei „Project X“. Alles ab da abwärts dürfte in ein paar Jahren, spätestens Jahrzehnten sehr teuer werden.

Abraten kann ich natürlich wie immer von diesen „Hype-Münzen“. GAS und TRON sind zwei so jüngere Beispiele. Wobei die gar nur „Token“, also im besten Fall Dividende sind. EOS ist auch so ein Spezialfall. Lest euch b-i-t-t-e mindestens das White Paper durch, bevor ihr Geld investiert! Und investiert in Kryptomünzen (Coins) und keine Coupons (Token)! Was mit Bitcoin und Konsorten müßig & mutig versucht wird ist das weltweite Geldgeschäft zu revolutionieren; und nicht das „Rabattmarken-Geschäft“.

*mmpool.org bietet leider schon seit Jahren kein Merge-Mining mehr an, weil es laut Betreiber des Pools einfach viel zu aufwendig ist

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

simulationshypothese

Nick Bostrom.
Philosophische Fakultät Oxford.
„Technology Review“, 04/2018.

Mindestens eine der folgenden Hypothesen muss zu 100% wahr sein:
1) „Eine reife Zivilisation muss nur einen winzigen Bruchteil ihrer Computer-Ressourcen einsetzen, um viele Billionen menschliche Gehirne zu simulieren.“
2) „Alle Zivilisationen auf unserem derzeitigen technischen Stand der Entwicklung sterben aus, bevor sie technologisch ausgereift sind.“
3) „Technologisch reife Zivilisationen haben kein Interesse an Ahnensimulationen.“

You decide.

Nur eine letzte Frage stellt sich mir hier: wie lauten die Cheat-Codes!?

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

must-read: cypherpunk-revolution

Bitcoin und Julian Assange sind wohl die derzeitig bekanntesten Schlüsselworte zum Thema Cypherpunk. Die Bewegung selbst ist relativ jung und hat Wurzeln bis mindestens in die 70er des vorangegangenen Jahrhunderts: Kryptographie-Experten entdeckten die asymmetrische Verschlüsselung in digitaler Form. Eine Geheimdienst-Technik, die nie öffentlich werden sollte und es doch wurde, dank auffälliger „Krypto-Anarchisten“, die den Code zur Not gekritzelt in Büchern außer Landes schafften.

Ausgehend von dieser Sachlage beleuchtet der Riesentext „Rise of the Machines: A Cybernetic History“ von Thomas Rid die ausgehende neue Digitalrevolution und erzählt ausführlich die Details hinter der weltweiten Bewegung der Cypherpunks.

Codeschnipsel hinter einem Fraktal
Codeschnipsel hinter einem Fraktal, gefunden bei cypherpunk.at

Bekannte und ominöse Organisationen finden darin genauso Erwähnung wie wertvolle Köpfe und Namen der Repräsentanz von heute wie damals. James Ellis, Walter Koenig, Clifford Cocks, Whitfield Diffie, Martin Hellman, Ralph Merkle, Ron Rivest, Adi Shamir, Leonard Adleman, Martin Gardner, David Chaum, Timothy May, Vernor Vinge, Phil Zimmermann, William Gibson; um nur ein paar wenige zu nennen. Frauen sind hier wie überall in der IT leider chronisch unterrepräsentiert.

Es lohnt sich nach dem (künstlichen) Hype 2017 tiefer in diese Materie einzusteigen, auch um eventuelle Tiefschläge im Handel mit Kryptowährungen vermeiden zu können. Der nun folgende Auszug sei daher jedem IT-Interessierten wärmstens ans Herz gelegt, eignet sich hervorragend als Lesestoff über die Feiertage:

http://projects.csmonitor.com/cypherpunk.

Und jetzt seid brav und verschlüsselt eure Emails und löscht bitte WhatsApp!

Frohe Ostern!
Viel Spaß beim Eiersuchen!
floating crazy rabbit

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

von facebook und nazis

Wer noch ein Paradebeispiel sucht, weshalb Facebook die Spitze der Web-Widrigkeiten darstellt, der kann das gerade perfekt und live in Vollfarbe mit dem Skandal um die Datensammel-Firma „Cambridge Analytica“ und den Whistleblower Christopher Wylie mitverfolgen.

Was hier versucht wird von Seiten des ehemaligen „Social Networks“, Wylie kalt und bloß zu stellen, zeigt einmal mehr wo wir heute mit dem WWW hingekommen sind. Klar könnte man hier hinterfragen, wieso ein Whistleblower gleich drei Accounts von Mark Zuckerberg führen muss, Facebook selbst, WhatsApp und Instagram. Doch was im schlimmsten Fall passieren kann, wenn eine dubiose Mega-Corporation wie Facebook durchgreift (wobei der Begriff „durchgreifen“ hier ebenfalls hinterfragt werden kann, weil man damit mutmaßt, dass die/der durchgreift, Recht hat, was hier definitiv nicht der Fall ist und auch nie sein wird), sieht man bei Wylie anschaulich: ihm wurden schlichtweg alle drei Accounts auf einmal gesperrt.

Doch was war eigentlich passiert?

„Cambridge Analytica“ steht hinter einer App namens „thisisyourdigitallife“. Diese App konnte Profile auf Facebook auswerten, mit Zustimmung deren Nutzer, um die Daten in den eigenen Datenpool zu schaufeln und diese weiterzuveräußern und auch auszuwerten. Diesem Aufruf folgten, ansich schon negativ bewertbar, 270.000 User. Was die allerdings nicht wussten war, dass auch die Verbindungen zu ihren „social friends“ ausgewertet wurden. „Social friends“ müssen keine richtigen „Freunde“ sein, das sind einfach Facebook-Kontakte. Im Schnitt hatte jeder dieser User 190 Stück. Über diese Hintertür hatte die Applikation nun Zugriff auf 51.300.000 Facebook-Profile. Technisch mir nicht ganz klar, wie das machbar sein soll, weil auch ein „social friend“ nicht immer öffentlich sein Profil führt und das eigentlich nur über APIs, spezielle Entwicklerschnittstellen erfolgen kann, die FB selbst bereitstellt und auch kontrolliert, aber bisher scheint sich auch niemand wirklich für diesen technisch (sehr wichtigen) Hintergrund zu interessieren.

Gut und hier sind wir nun, „Cambridge Analytica“ ist aufgeflogen. Dank einem mutigen aber etwas aufmerksamkeitsversessenen Christopher Wylie (u.a. behauptet er auch heute noch die Datenkrake „Cambridge Analytica“ mitbegründet zu haben, was die stets verneinen) und drei Jahre zu spät; denn diese Sammlung wurde bereits 2015 erstellt. Praktischerweise ein Jahr vor der US-Präsidentschaftswahl.

Die Anschuldigungen wiegen noch schwerer, als die Fakten hier wiedergeben: sowohl soll mit diesen illegalen Daten eine Einflussnahme auf die Präsidentschaftswahl in den USA stattgefunden haben. Als auch auf die Brexit-Abstimmung. Als auch auf „anderes“. Auch hier wieder nebulös: was mit „anderes“ gemeint sein soll, wurde bisher nicht erörtert.

Ja, sollte sich herauskristallisieren, was hier steht, stehen wir vor einem aktuellen Problem: Nazis. Genauer: wie sie es geschafft haben, natürlich erneut wieder auf verbrecherischem Weg, sich mit Hilfe aktueller Technik unserer Realität und unseres Alltags zu bemächtigen. Donald Trump ist nichts weiter als ein arischer, weißer Rassist. Steve Bannon ist Rassist. Boris Johnson ist wohl auch Rassist. Wie George W. Bush ist Donald Trump kein vom amerikanischen Volk gewählter Präsident. Die Manipulationen waren auch 2000 schon mit den Diebold-Wahlmaschinen möglich und verifizierbar (Empfehlung: die filmische Dokumentation „Hacking Democracy“). Schon damals war eigentlich klar, dass „etwas versucht“ wird oder sogar wurde. Die Ausläufer, bzw. die „Errungenschaften“, werden mittlerweile ganz gezielt, ganz strikt, ganz offen(!) angewandt. Die AfD sitzt im Bundestag; zum ersten Mal seit Ende des Zweiten Weltkriegs hat Deutschland wieder eine rechte Partei. Das sind Entwicklungen, die ich persönlich nie mitmachen wollte und von denen ich in den 90ern noch dachte, dass sie gar nicht möglich sind. Mittlerweile ist diese braune Scheiße wieder Alltag, wieder real, die Verbrecher gelen sich sogar heute die Haare und tragen Anzug wie in Österreich. Und sind damit eigentlich nicht mehr von Bankern, pardon, Bankstern, zu unterscheiden.

Wisst ihr, es ist schlichtweg nicht hinnehmbar: lässt man Nazis probieren und machen, eventuell scheitern sie sowieso. So funktioniert das nicht, hat nie funktioniert. Was mit 9/11 passierte war eigentlich auch nur wegen „Hightech-Nazis“, die sich „Neo-Cons“ nannten. Wirklich, wirklich traurig dabei ist zudem, dass es heute reicht, über einen einzigen Webdienst 51.300.000 zu hintergehen, abzuzocken und damit auch noch auf Menschenfang zu gehen. So viel zum Thema „früher waren sie eben nicht so intelligent wie heute“. Eine schwachsinnigere, gierigere, ekligere, heuchlerischere und dumme Zeit wie ich seit 2000/2001 wahrnehme sah ich in meinem ganzen Leben nicht. Und ich werde bald 40. Ich danke der US-amerikanischen „Politik“ für diesen Umstand. Und natürlich Facebook und Twitter. .:.

[Update I, KW14 2018]

Facebook hat diese Woche selbst den Skandal genauer untersucht. Und es waren nicht 51.300.000 Profile abgegriffen worden sondern 87 Millionen. Und obwohl bloß 65 deutsche Nutzer an der Umfrage vom Kraken Cambridge Analytica aus UK teilgenommen hatten, waren 310.000 deutsche Profile betroffen (via). (A)Soziale Netzwerke: the definition! Period.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

werten dank an die h4x0rz dieser welt!

W00p-w00p, Intel, bitte ficken Sie sich hart:

Meltdown und Spectre: ab jetzt Vergangenheit

Seit Bekanntwerden der härtesten Intel-CPU-Bugs der letzten 300 Jahre, Meltdown (Kernschmelze) und Spectre (Schreckgespenst), verfügt eine meiner (dämlichen) Intel-i5-Maschinen mit Kernel 4.14.21 das erste Mal über Schutz gegen beide Lücken.

Respekt an die weltweite Entwicklergemeinde, die die letzten 6 Wochen Überstunden geschoben und sich mehrere Male verbal und per Email-Listen abgeschlachtet hat! Ich verneige mich vor so viel CPU-Kompetenz und mögen wir die nächsten 6 Monate bis 600 Jahre von ähnlichen Horror-Bugs verschont bleiben!

Nochmal zur Erinnerung: das Tool https://github.com/speed47/spectre-meltdown-checker/ von speed47 checkt nur, ob der im Einsatz befindliche Linux-Betriebssystemkern gegen die drei Angriffsvektoren geschützt, „gehärtet“, ist. Das ist mit der oben erwähnten Version bereits der Fall, ich selbst hatte frühestens mit 4.15 gerechnet. Wer eine Rolling-Version von Linux am Rennen hat, der sollte abgedichtet sein.

Einen hardwareseitigen Schutz gibt es aus bereits in der Vergangenheit erwähnten physikalischen Gründen _nicht_; die CPU, die Hardware, bleibt weiterhin fehlerhafte Komplettkacke.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

unsichere deutsche online-medienlandschaft

Am 8. Februar machte Google bekannt, dass ab Juli 2018 mit Release des Webbrowsers Chrome 68 _alle_ Webseiten, die dann noch mit unsicherem http laufen, in der Adresszeile als „Nicht sicher“ markiert werden. Satte vier(!) Jahre(!) nach den Enthüllungen eines gewissen noblen Herrn Edward Snowden. Diese markante und sehr sichtbare Änderung wird dann global 50-60% der Browsernutzer betreffen.

Meiner Meinung nach kommt das viel zu spät.

Dass auch im deutschsprachigen Digitalien 2018 tatsächlich noch „Neuland“ herrscht, kann man leicht herausfinden, wenn man die Massenmedien hierzulande, die mit einem Internetauftritt vertreten sind, daraufhin untersucht, ob die wenigstens aus 2014 ihre Lehren gezogen haben und ihre Webseiten mit Nachrichten, die von Millionen Menschen täglich online konsumiert und gesharet werden, abgesichert haben.

Dazu nimmt man „einfach“ die Massenmedien zur Hand, die news.google.de täglich aggregiert. Danach entsteht eine Liste, die man in zwei Welten aufteilen kann, „gut“ und „böse“ bzw. „sicher“ und „unsicher“.

Da Google hier so gut wie keine Alternativmedien listet (z.B. Blogs) und sich die Medienquellen täglich wiederholen, ebenso die „Nachrichten“ dort, bekommt man zusätzlich und noch völlig kostenlos eine formidable Übersicht, was das völlig verkalkt veraltete Deutschland unter seinem „journalistischen Wertekanon“ versteht.

Als auch im Jahr 2018 noch unsicher, also komplett ohne https, gelten folgende Onlinemedien:

FAZ.net
SPIEGEL.de
Sueddeutsche.de
zeit.de
t-online.de
handelsblatt.com
kicker.de
taz.de
Euronews
Deutsche Welle
Tagesspiegel
Abendzeitung München
chip.de
GameStar
Ausgburger Allgemeine
manager magazin
RP Online
Wirtschaftswoche

Als sicher gelten hingegen:

tagesschau.de
Telepolis
DIE WELT
bild.de
Focus Online
Merkur.de
Berliner Kurier
Gala
BUNTE
Russia Today
STERN
Bayerischer Rundfunk
Deutschlandfunk
Hamburger Morgenpost
N-TV
auto motor und sport
netzwelt.de
Golem.de
Kölnische Rundschau
Stuttgarter Nachrichten
Yahoo Nachrichten
Reuters Deutschland

Diese Liste kann und soll keinerlei Ansprüche auf Vollständigkeit erheben. Dennoch denke ich, so zum Großteil sehen wir hier diesen „Wertekanon“ ganz gut.

Fazit: die deutsche Onlinemedienlandschaft ist sicherheitstechnisch tief gespalten, 18:22. Warum man hier nicht aufgeholt hat, das hätte nämlich allerspätestens Mitte 2014 Not getan, lässt sich für mich nicht nachvollziehen.

Ihr müsst euch das so vorstellen: in der Praxis können _alle_ Nachrichten, Bilder, Links, etc., die ihr von den 18 Übeltätern abruft, 100% gefälscht sein. Just in dem Moment, in dem ihr sie betrachtet! Ich will nicht sagen, dass es einfach ist, hackingtechnisch, doch ich erwähne hier nur kurz mal das Stichwort JavaScript-Injection. Im Jahr 2018 kann man diesen, mindestens 18, einfach immer noch nicht trauen. Und DAS ist schon eine Feststellung.

Mich persönlich ärgert so etwas. Gut, ich bin voreingenommen, stamme beruflich und privat aus dem Webumfeld seit 1999/2000. Aber die da oben erreichen täglich Millonen Menschen. Nicht ein paar Dutzend, so wie ich hier. Das ist eine ganz andere Liga der Verantwortung. Es erklärt sich eigentlich von selbst, dass man im Dienst der LeserInnen steht ab einer bestimmten Besucherzahl, ich würde sogar sagen dreistellig täglich. In einer halbwegs vernünftigen Welt, müsste ich nichtiger Cyberpunk das in keinem Artikel erwähnen müssen.

Und es gibt noch etwas, dass mich ärgert: ich habe die Liste viel zu spät angefertigt. Wer weiß, wie das 2014, 2010 oder 2004 aussah. Das zu recherchieren wäre es auch mal wert, das Internet Archive sollte hier eigentlich helfen können.

Selbst mein Indie-Verlag AETHYX MEDIAE nutzt https seit Anfang 2017. Für alle Onlinemedien. Wo fließt denn das ganze viele Geld hin, das die Arschmaden da oben mit euch und Werbung verdienen!?

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

ileak

Die Gläubigen der Apple-Gemeinde haben es mit hoher Sicherheit bereits aus ihren täglichen Gottesdiensten erfahren: der iOS-Quellcode wurde geleckt. Naja, so ein bisschen. Was Motherboard allerdings nicht davon abhielt diese GitHub-Publikation den „größten Leak der Geschichte“ zu betiteln.

iFruit - Logo der Satire-App von Rockstar Games

Was war passiert?

Jedes Betriebssystem muss beim Start der Hardware mit dieser bekanntgemacht werden. PC-Nutzer kennen diesen Vorgang als hassgeliebtes BIOS-Brimborium. Bei iOS, dem mobilen Apple-Betriebssystem, gibt es diesen Vorgang natürlich auch, er stellt u.a. sicher, dass das Betriebssystem, was nun auf einem iPhone oder iPad starten will, signiert ist, „sicher“, geschützt, usw. Dieses BIOS, im Apple-Lingo iBoot, wurde nun in der iOS-Version 9 auf GitHub veröffentlicht. Die Meldung ging durch die Tech-Medien dieser Welt offline wie online am 8. Februar und noch am selben Tag wurde aus Cupertino eine Takedown-Beschwerde an GitHub versendet (DMCA-Geschichten, kennste).

Was damit bezweckt werden sollte ist nicht ganz klar.
Folgt man der Hacker-Anarchisten-Logik, war es einfach mal möglich diesen Code online zu veröffentlichen. Da muss kein Beweggrund dahinter stehen, das ist einem Hacker meist völlig egal.
Dann gibt es noch die Sichtweise, dass man natürlich für Jailbreaks sorgen könnte, da Teile dieses Code auch heute noch in iOS 11 mutmaßlich verwendet werden sollen. Durch einen speziellen Chip auf dem Mainboard gehen Jailbreak-Hacks heute nicht mehr so leicht nur über Software.
Und man kann es auch so lesen, dass man Sicherheitsforscher ermutigen will, Geld durch Apples Kopfgeldjäger-Programm zu verdienen: die zahlen nämlich bis zu 200.000$ Prämie, sollte der Code geknackt werden können. Dass es jetzt so weit kommt, daran ist Apple also auch ein bisschen selbst dran Schuld.

Das Zitat mit dem „größten Leak“ stammt übrigens von Jonathan Levin, kein Unbekannter in der Apple-Glaubensgemeinschaft. Er gilt als Experte im iOS– und macOS-Bereich durch seine Bücher. Welche das sind weiß ich nicht und verlinke ich auch nicht. Tatsächlich aber hat der Typ selbst mal Apple-Code über reverse engineering sichtbar machen können. Ob es ein Fake ist oder nicht kann er also ganz gut einschätzen. Und: laut seiner Aussage haben sich die LSD-Junkies aus Cupertino durch das Leck ins Hemd gemacht. Das erklärt die Kriegserklärung versus GitHub noch am selben Tag, dem 8. Februar. Was dieser DMCA-Takedown eben auch macht: er bestätigt durch Apple selbst, wahrscheinlich ungewollt, die Echtheit des Codes.

Ferner ist trügerisch, dass der Quellcode erst jetzt massenmedientechnisch die Runde macht: dieser wurde auf reddit bereits im letzten(!) Jahr veröffentlicht. Da der Nutzer apple_internals allerdings brandneu war, wenig „Karma“ hatte, fand der Code wenig Beachtung, systemisch wurde er von reddit „begraben“. Im Untergrund befindet sich iBoot also schon im Umlauf. Mal schauen, was für Konsequenzen das nach sich ziehen wird. Popcorn!

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

weltweit erstes risc-v-linux-hackerboard erscheint!

Vergesst Intel, AMD, ARM und IBM mit deren Schrottprozessoren, die Zukunft spricht RISC-V!

Wenn Meltdown & Spectre uns Anfang des Jahres eines wieder vor Augen geführt haben, dann dass die oben erwähnten Hersteller sich einen Dreck kümmern, wie sicher und entwickelt deren CPUs sein sollen. Der Dumme ist der Käufer, der sich in Besitz eines „Hochtechnologie-Produkts“ wähnt, wenngleich die einzig guten Prozessoren des Planeten bei Verteidigungsministerien und Armeen verbleiben.

Das ist auch einer der Hauptgründe, weshalb es bislang keinerlei öffentliche Forschungen auf dem Gebiet bösartige und schädliche Prozessoren gibt. Meltdown & Spectre lassen die besten Programmierer des Planeten verzweifeln, weil sie einfach nicht wissen, wie sie mit solchen Bugs umgehen sollen. Besonders Spectre ist auch auf Linux bis heute nicht gefixt, die Hacker streiten richtig über die öffentlich zugänglichen Mailinglisten, von der Industrie kommt laut Linus Torvalds auch nur Bullshit (sic). Wer mitlesen will, was für merkwürdige und streitsüchtige Wesen Menschen sind, wird hier täglich fündig.

Ahhhh! Tief durchatmen! Luft holen! Die Rettung naht mit diesem Must-Have-Linux-RISC-V-Hackerboard:

RISC V: Freedom U540 Linux-Hacker-Mainboard

Was mit RISC-V versucht wird ist revolutionär und doch bisher jedes Mal gescheitert:

Opensource-CPUs für Alle!

Ja, es ist die einzige Rettung der IT wahrscheinlich. Nur: das Problem haben wir bereits seit Jahrzehnten. RISC-V ist vom Design her auch nur vorheriges Jahrhundert. Wer mitmachen soll, verändern soll, erweitern soll, das darf hier offen bleiben. Credo: Don’t be bad by design.

Mit dem Freedom U540, oben abgebildet, kann nun jeder Nachwuchs-CPU-Hacker und Prozessor-Experte für einen ziemlich humanen Unkostenbeitrag von 999$ (ca. 813€) direkt in die (vielleicht einzig sichere) Zukunft der Computerprozessoren einsteigen. Hier die extrem saftigen Features im Überblick:

* derzeit schnellste RISC-V-CPU der Welt
* das einzige derzeit erhältliche linuxfähige RISC-V-SoC (SystemonaChip)
* 4+1 Mehrkern-SoC, bis zu 1,5 GHz
* 4x U54 RV64GC Kerne mit Sv39 Virtual-Memory-Support
* 1x E51 RV64IMAC Management-Core
* kohärenter 2MB L2-Cache
* 64-bit DDR4 mit ECC
* 1x Gigabit-Ethernet-Anschluss
* hergestellt in 28nm-Technologie

Das ist richtig was hier passiert, es fühlt sich gut an. Mehr Details und Bezug über:

https://sifive.com/products/hifive-unleashed/.

Man darf hoffen, dass es nicht das einzige Motherboard dieser Art bleibt.

Hier geschieht gerade CPU-Geschichte und wer auch nur einen Hauch Interesse und Lust auf Prozessoren hat, sollte schnellstens mitmachen. Hier eröffnen sich die nächsten Jahrzehnte auch ganz neue Geschäftsfelder. Meine persönliche Empfehlung des Jahres! Schon jetzt! Danke an das Schreckgespenst und die Kernschmelze! Schub. Düse. Jetze.

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

der grosse kryptoklau (metaversion)

Es gibt mittlerweile dermaßen viele Kryptowährungen-Tauschbörsen, dass man leicht den Überblick verlieren kann. Coincheck zum Beispiel ist eine der jüngeren und stammt aus Japan, sie wurde erst 2014 gegründet.

Über Coincheck sind nun Kryptomünzen der asiatischen Kryptowährung NEM im Wert von 530 Millionen US-Dollar Ende Januar „gestohlen“ worden. Das macht dieses Ereignis zum größten Krypto-Hack aller Zeiten zusammen mit dem Mt.-Gox-Desaster 2014 (zufällig das selbe Jahr, in dem Coincheck im selben Land gegründet wurde…), das sich um die 500 Millionen US-Dollar bewegte. Damals meldete Mt. Gox Konkurs an, es war Betrug der Betreiber, die sich vor Gericht verantworten mussten.

NEM-Coincheck-Megahack

Der Diebstahl fand nur über 19 Accounts dort statt, mindestens einer davon hatte keinerlei Verbindungen zu dem/die Hacker. Für mich ist unverständlich, wer so viele XEM über so wenige Benutzerkonten dort lagerte. Es gibt ein offizielles Wallet für XEM, für jedes Betriebssystem. Wirklich niemand ist gezwungen seine Kryptomünzen extern auslagern zu müssen. Im Schnitt sind das also über 27,8 Millionen XEM pro Account mit einem äquivalenten Wert in US-Dollar zu der Zeit. Wie ist so etwas möglich!?

Noch etwas ist merkwürdig an der Geschichte: zwei Handelsgruppen fusionierten daraufhin zum Zwecke der Schaffung einer neuen „Organisation der Selbstregulierung“. Wir kennen die Geschichten aus Südkorea und China Anfang des Jahres, in Südkorea infiltrierte das Finanzministerium diverse Tauschbörsen im Zuge einer Regulierung. Was wir hier sehen ist die japanische Herangehensweise an das selbe Thema. Coincheck ist auch als eine der Kryptotauschbörsen bekannt, die eng mit der japanischen Regierung zusammenarbeitet. Zufall?

Dass Coincheck nicht vertrauenswürdig ist zeigten sie hinterher: zusammen mit dem NEM-Team würde zwar garantiert werden, dass man die geklauten digitalen Münzen aufspüren kann. Wer XEM kauft, die aus dem Hack stammen, bekommt eine Warnmeldung. Das geht, weil NEM ein zentralisiertes Movement ist, es gibt exakt 8.999.999.999 XEM, die in der Genesis-ICO bereits verteilt wurden, viele XEM verblieben bei den Gründern und Entwicklern. Technisch ist das also hier möglich. Doch Coincheck bot an nicht in US-Dollar, sondern japanischen Yen zu erstatten. Seriös?

Bereits gekaufte XEM vor dem Hack sind sicher. Einen Hardfork soll es nicht geben, versichert das NEM-Team. Im Textabschnitt oben ist ja kurz angerissen, warum das nicht nötig ist.

2018, die (Krypto-)Welt verändert sich.

Folgende Lehren halten wir fest:

* im Jahr 2018 wird geldwerter Diebstahl in einer Größenordnung eines dreistelligen Millionenbetrags in US-Dollar über Computer-Hacks ausgeführt, eine neue Dimension
* 2018 wird das Jahr sein, in dem verschiedene Mechanismen der Regierungen des Planeten Erde zur Regulierung von Kryptowährungen, ganz egal ob diese zentralisierten oder dezentralen Charakter besitzen, ausgehend von Asien, namentlich China, Südkorea und Japan, starten werden
* die exekutierenden Staaten sind sich darüber nicht einig, wie genau dabei vorgegangen werden soll und es werden verschiedene, teils auch brachiale, Taktiken ausprobiert, was unseriös und kopflos wirkt
* was wir hier sehen ist eine neue Form von Finanzkrieg
* Kryptowährungen sind die neue ultimative Bedrohung für Banken und Regierungen
* damit gerät jeder ins Visier, der Krytowährungen nutzt, teilt oder errechnet
* Kryptowährungen-Tauschbörsen im Internet kann auch fast 10 Jahre nach Erscheinen des Bitcoin nach wie vor nicht vertraut werden
* diese Wellen der Skandalmeldungen werden die nächsten Monate auch in Nordamerika und Europa aufpoppen wie Seifenblasen
* es ist davon auszugehen, dass der monetäre Wert von Krytogeld dadurch künstlich (in diesem Fall staatlich) gedrückt werden soll
* durch einen von den Massenmedien (mit wenig bis gar keinem technischem Hintergrundwissen) programmierten Hype im gesamten Jahr 2017 wird 2018 versucht werden die „aufgescheuchten Schäfchen“ wieder einzusammeln, die ähnlich wie beim Dotcom-Boom um die Jahrtausendwende in Aktien letztes Jahr in Kryptowährungen investierten. Kryptowährungen stehen in harter Konkurrenz zu Aktien und sind im Gegensatz für weniger Geld zu haben
* das Ende ist offen und es darf davon ausgegangen werden, dass dieser neue Krieg über das Jahr 2018 hinaus weitergeführt werden wird

Wenn wir hier nicht Zeuge einer Revolution werden, was ist es anderes?

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^

intel: defective by design II

Mitarbeiter von Intel möchte ich derzeit nicht sein.

Intel: defective by design
Grafik gefunden bei: https://defectivebydesign.org/intel-hdminsult

Am 12. Januar vermeldeten die Finnen von F-Secure eine völlig neue Sicherheitslücke, die rein gar nichts mit Meltdown und Spectre zu tun hat. Was hier heraus kam ist pikant, denn es betrifft Millionen Firmen-Laptops auf der ganzen Welt.

[via]

Die Crux liegt in einer „Technik“, die sich Active Management Technology (AMT) schimpft. Es ist eine hardwareseitig verbaute Fernsteuerung, laut Wikipedia zur „Administration und Fernwartung von Computersystemen“. Üblicherweise gerne von Firmen genutzt, um darüber ihre Firmenhardware zu kontrollieren. Im Verdacht für schädliches Verhalten steht dieses Feature schon länger.

Die betroffene Komponente heißt Intel Management Engine (Intel ME) und befindet sich auf einem Mikrocontroller namens Quark. Dieses System ist zum Leidwesen von PC-Nutzern komplett autark, das bedeutet hier, dass sich das Teil auch nicht ausschaltet, wenn der PC abgeschaltet ist: er läuft immer und wird über einen 5-Volt-Anschluss permanent mit Strom versorgt.

Laut den finnischen Sicherheitsexperten lässt sich mit physischem Zugang zu einem Gerät jegliche Sicherheitssperre innerhalb von 30 Sekunden umgehen, egal wie diese eingerichtet war, also ob über BIOS, Passwörter, PINs, egal. Ohne eine einzige Zeile Code lancieren zu müssen.

Betroffen sind hier jedoch im Gegensatz zu Meltdown und Spectre, die bereits in Hardware ab 1995 gefunden werden können, „nur“ Chips, die auf dem Sockel 1151 gesteckt werden können und dieser war erst ab August 2015 auf dem Markt.

Was F-Secure berichtet ist jedoch komplett inakzeptabel. Als Beispiel diente ein Angriffsszenario, wo jemand einen Laptop in einem Hotelzimmer zurücklässt, ein Dritter sich Zugang zu diesem Zimmer verschafft und ein Firmen-Feature in weniger als einer Minute für seine Zwecke missbraucht. Und ab hier wird es richtig geil:

„To exploit this, all an attacker needs to do is reboot or power up the target machine and press CTRL-P during bootup. The attacker then may log into Intel Management Engine BIOS Extension (MEBx) using the default password, “admin,” as this default is most likely unchanged on most corporate laptops. The attacker then may change the default password, enable remote access and set AMT’s user opt-in to “None.” The attacker can now gain remote access to the system from both wireless and wired networks, as long as they’re able to insert themselves onto the same network segment with the victim. Access to the device may also be possible from outside the local network via an attacker-operated CIRA server.“

Das ist nicht mal mehr Hacking. Das ist ernte die Früchte von RTFM.

Wie ihr seht: Intel ist nicht gut für uns. Der Fehler bei deren Chips liegt schon im Design. Und daran wird sich nie etwas ändern.

Person A: Wo arbeiten Sie?
Person B: Bei Intel.
Person A: Ha! Haha! Ahahaha! Hahahahahahahahahaaaahahahaahahahhahahah! Ahhhaaaaaahahhahhaahahahahahahahhaaaaahhh! Ihr Ernst?

Flattr this!
Ether spenden // Donate Ether
Bitcoin-Spenden hier akzeptiert ^^