Jahresendcyber in Bielefeld

Jahresendcyber - Workshops Talks und gute Laune am 27.+28.12.2022 in Bielefeld bei digitalcourage

Da der CCC ja leider ausfällt und zu regionalen Veranstaltungen aufgerufen hatte, musste Ersatz her, dachten sich die Privatsphären-Schützer.innen und Netzaktivist.innen von digitalcourage und nun treffen sich halt die Häcksen und Hacker in Bielefeld.

Digitalcourage lädt zum Jahresendcyber ein: am 27.–28. Dezember öffnen sie ihre Studioräume in der Marktstraße 26, Bielefeld. Es wird ein Programm aus Vorträgen, Talk-Runden, Workshops und Aktionen geboten. Es soll geredet, gelernt, mit Technik experimentiert und über Politik reflektiert werden.

UPDATE: Es fiel krankheitsbedingt leider aus, aber über FireShonks (siehe unten) sind einige Veranstaltungen gelaufen, die man auch nachträglich noch abrufen kann.

Einige Events können, dank der R3S-Crew, außerdem auf dem Kanal der FireShonks gesendet werden.

Dropbox kauft Boxcryptor

Es gibt manchmal Nachrichten, die ich nicht lesen möchte. Secomba, Hersteller von Boxcryptor und deren CEO Andrea Pfundmeier, galt immer mein Respekt, da sie eine sehr einfach zu bedienende, über Anbietergrenzen hinweg nutzbare und aus Deutschland stammende Verschlüsselungslösung für die Cloud angeboten haben.

Leider wurde das „geistige Eigentum“, die IP, nun an DropBox, Inc. (USA) verkauft. Auch wenn ich als Kunde bei der Secomba verbleibe, so können andere nicht mehr direkt mit dem europäischen Verschlüsselungsanbieter arbeiten, da Neuverträge sicherlich nur noch mit der US-amerikanischen Mutter gemacht werden können. Was das heißt, muss ich nicht beschreiben: Die „Drei-Buchstaben-Organisationen“ haben Zugriff auf das was bei DropBox, Inc. abgehen wird und Hintertüren dürften vorrangig das Ziel der US-Behörden sein.

Nun wäre es wieder an der Zeit nach Alternativen zu suchen. Weihnachten geht es nun los: Cryptomator verspricht selbiges wie Boxcryptor und ist zudem OSS (open source software).

SheHacksPurple Security-Kurse durch Bright-Übernahme kostenfrei

Buchcover Alice & Vob learn Application Security
Buchcover Alice & Bob learn Application Security

Tanya Janca (She hacks purple) hat ihre Firma “We hack purple” an Bright verkauft, einem Hersteller eines SAST-Tools. Das wäre nun nichts so tolles, aber ihre Kurse, wie man Application Security angeht, sind nun KOSTENFREI und kosteten vorher mehrere hundert Dollar/Kurs! (Quelle)

Tanyas Buch „Alice & Bob learn Application Security“ (Wiley) hilft sehr gut in das Thema Application Security einzutauchen, daher sind ihre Kurse ebenfalls für Einsteiger gut geeignet.

https://community.wehackpurple.com/

nzyme – WiFi Defense System

nzyme Monitor
nzyme Monitor

Das drahtlose Netzwerk in unserem Haus wird von mir immer als unsicher angesehen, da ich der „Sicherheit“ dieser Art der Datenübertragung grundsätzlich mistraue. Wer einmal gesehen hat, wie leicht man sich mittels einiger kleiner Werkzeuge Zugang zum WLAN des Nachbarn verschaffen kann, der weiß was ich meine. Selbst der Standard WPA3 hat nichts daran geändert.

Nun habe ich zumindest mal nzyme installiert, was nun sich noch etwas justieren muss, aber dazu dient, damit man potenzielle Angriffsversuche von außen auf das WLAN angezeigt bekommt. Es ist ein Wifi-Intrusion-Detection-System (WIDS) als Ergänzung zu meiner UTM Appliance (Unified Threat Management), welches diese Services alles abdeckt: Internet-Gateway, Firewall, Virtual Private Network (VPN) Gateway, Virus Protection, Intrusion Detection System, Contentfilter, Spam Protection, Endpoint Protection, Surf Protection, Authentifizierung, Quality of Service (QoS) und Reporting.

Bei mir ist alles wichtige gekabelt und hinter der UTM. Der NAS (Network Attached Storage) und DSL-Zugang sind nicht von außen erreichbar und alles an Zusatzprodukten ist abgeschaltet, schon immer. So empfiehlt es auch die c’t in ihrem Heftchen c’t Security Tipps, woher ich auch die Anleitung genommen habe – und funzt einwandfrei.

Ich werde über meine Erfahrungen berichten. Bei mir läuft es auf einem Raspberry Pi 4 (wo schon Pi-Hole und Flightradar24 drauf laufen). Die Antenne ist eine Alfa AWUS036H mit Realtek RTL 8187L-Chipsatz.

Pegasus? Bist Du da?

Um mal zu prüfen, ob jemand an meinen iPhone-Daten Interesse hatte, habe ich meinen Apple Silicon mal angeworfen, um das Mobile Verification Toolkit, kurz mvt zu installieren… Sollte pegasus mal hier gewesen sein, könnte es Spuren hinterlassen haben.

Nein, ich jailbreake mein iPhone nicht, sondern nutze ein lokales Backup. Das Sicherheitssystem von Apple finde ich per se besser als der Mist, der sonst so am Markt ist. Einer der Gründe, warum ich auch jedem rate keine Virenscanner auf macOS zu nutzen, sondern andere Abwehrmechanismen, die deutlich besser zum Betriebsystem passen.
Das ist aber ’ne andere Geschichte…

Hier die Schritte:

brew install python3 libusb
cd <entwicklungsprojekte>
git clone https://github.com/mvt-project/mvt.git
cd mvt
pip install --upgrade pip --user
pip install nose
pip install matplotlib
# Rust installieren
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
# immer noch in <entwicklungsprojekte>/mvt installiert man nun 
pip3 install .
# um sein Gerät am USB auszulesen
brew install --HEAD libimobiledevice
# test
ideviceinfo
# LOKALES Backup über den Finder anwerfen
# RTFM https://mvt.readthedocs.io/en/latest/ios/backup/itunes.html
mvt-ios decrypt-backup -p password -d /irgendwo/wo/platz/ist  
~/Library/Application Support/MobileSync/<Tolle-Nummernfolge>
# danach sieht man hübsche Kommandoantworten wie in 'tollen' Hacker-Filmen (siehe Beitragsbild)
# Analyse Files in STIX2-Format von Amnesty
git clone https://github.com/AmnestyTech/investigations.git
mvt-ios check-backup -i <entwicklungsprojekte>/investigations/2021-07-18_nso/pegasus.stix2 --output /output/wo/platz/ist /irgendwo/wo/platz/ist

Lt. HEISE muss man sich nur Sorgen machen, wenn ein WARNING mit Hinweisen auf Pegasus im letzten Schritt angezeigt werden würde. Die timeline.csv offenbart so manches altes Schätzchen… sehr spannend was man so die JAHRE über gemacht hat… und das das alles aufbewahrt wurde.

Endian UTM Mini 25 Firewall

Ich hatte mir schon länger überlegt, neben der obligatorischen Firewall im DSL-Router, eine ‚wirkliche‘ Firewall vor meinen Switch zu hängen, da das Vertrauen immer weiter sinkt (siehe Cyberattacke 2016).

CISCO (Breach 2020) und auch Zyxel (letztere mochte ich noch nie und Backdoors sind auch eine ganz tolle Idee) kamen nicht infrage und da bekam ich die Empfehlung einer Endian Firewall:

Endian Firewall Community präsentiert sich als schlüsselfertige, Linux-basierte Sicherheits-Software für den Heimbereich sowie für kleine Netzwerke. Wirft man allerdings einen Blick in die Foren, so sieht man, dass die Firewall durchaus auch in größeren Netzwerken zum Einsatz kommt. Mit EFW lässt sich jede Hardware-Appliance in eine vollwertige Unified-Threat-Management-Lösung (UTM) verwandeln. Mittlerweile verzeichnet die Firewall über 2 Millionen Downloads weltweit.

Quelle: Linux Magazin 5/2021, besucht 30.5.2021

Ich habe das kleine Stück schon im November 2020 erworben, also eine Variante mit Appliance und Support (ich bin in solchen Dingen nicht mehr so fit wie vor 20 Jahren und brauche Support :-). Leider störte mich an der UTM Mini 25 der Lüfter und habe ihn einfach abgeklemmt. Danach habe ich die Luftzirkulation verändert, indem ich neben dem Kühlkörper des Prozessors Löcher hineingebohrt habe (ja, das Gerät ist niegelnagelneu, mir egal, ich hasse Lüftergeräusche :-)). So wird die warme Luft über dem Kühlkörper von alleine abgegeben. Frage auch an den Distributor (der den Hersteller kennt), warum man die alte UTM Mini 25 ohne und die neue mit Lüfter ausliefert…. Small Office Home Office (SoHo) ist ja deren Zielmarkt und das stehen die Dinger nicht im Rechenzentrum.

Ansonsten muss man sich an das Linux-typische „geht-sieht-aber-langweilig-aus“ als verwöhnter NeXT/Apple-User etwas gewöhnen, aber die Firewall kann alles, hat alles was man braucht und alles was mir an Verbesserungen auffällt gebe ich auch dem Hersteller zurück, denn es wäre schön, wenn eine auf open source basierende Variante von digitaler Selbstverteidigung auch weiterhin gute Appliances liefert.

  • gute Supportreaktionszeiten seitens des Herstellers
  • gute, wenn auch verstreute Hilfen (Community + Manual) bei Portfreigaben für MS Teams, Skype, Zoom, WhatsApp & Co.
  • etwas umständliche Snort-Regelsuche, sie man aber per SSH selbst machen kann – bspw. um die Regel von DropBox zu finden und in den emerging-policy.rules an der Web-Oberfläche abzuschalten. Schön wäre es, es direkt bei der Regelsuche in der Web-Oberfläche suchbar zu machen, aber dort kann man nur die .rules selber suchen.
    grep -rnw '/var/signatures/snort' -e '2012647'
  • Gute Live-Logs und die Möglichkeit eigenen OpenVPN direkt dort zu konfigurieren.
  • Wenn man ein CISCO-kompatibles USB-C<->RJ45-Kabel verwendet, hat man direkten Zugriff auf die Konsole und kann, wenn man so blöd ist, wie ich, und sich die Software zerschießt, mittels USB-Stick die Software direkt wieder drauf pflanzen – auch da hatte der Support schnell und umfassend Hilfe.

Fazit

Trotz ruckeligem Start habe ich nach einiger Zeit und einigen Tests, sowie Modifikationen, die kleine Unified-Threat-Management-Lösung lieb gewonnen und seit heute ist sie von der Testphase in die Live-Phase gewechselt.

Technisches Datenblatt (Endian), besucht 30.5.2021

c’t Sonderheft Daten Schützen: Vertrackt – Wie Google das Leben von Milliarden Menschen erfasst

Eine, wie ich finde, sehr schöne Lektüre, damit nicht jemand sagen kann, sie/er habe nichts gewusst. Doch! Wir wissen es! Wir benutzen es! Und weil es so schön einfach ist, verlinke ich den Artikel mal via Google Books, einfach mal so….

Ach ja, da war noch was: Ich habe der c’t mal geschrieben, ob die das so toll finden, dass 35 von 161 Seiten (22%, nicht ganz, aber fasst 1/4) durchgängig als Probe zu lesen sind!?

Featurittisk(r)ampf Reloaded zzgl. Datenschleuder

Ich bin schon seit OS/2-Zeiten jemand, der eher auf Robustheit, gute Konzeption und Einfachheit anstatt „Featurewahn“ steht. Ich nutze heute noch Programme, die nur eine Sache sehr gut erfüllen, dafür aber genau das und für mich transparent.

Nun ist in der Pandemie wieder das alte Lied angeworfen worden, den die OS/2-Kämpfer/innen (Warp) schon gegen die Windows-Fraktion (Win) verloren hatten: Win war schicker und hatte vieles an Funktionen, die man auf Warp tlw. händisch nachpflastern musste, aber Warp war recht sicher, robust und transparent in dem was es tat. Win war anfälliger, unsicherer und Plug&Pray-Sprüche stammen aus dieser Zeit.

Heute wollen wir Videokonferenzen, virtuelle Tagungen, Inhalte kollaborativ nutzen und zwar schick und jetzt! Sicherheit? Privatsphäre? Profiling? Big Data-Analyse? „Mir doch egal!“ Selbst wenn es mal klappert, könnte man mit etwas manuellem Aufwand Datensammlerm von nachweislich schlampigen, aber weit genutzter Kollaborationssoftware durch Nichtnutzung in die Schranken weisen, aber…

…wer die Geschichte des „OS-Wars der 90er“ kennt, weiß wer sie „gewonnen“ hat. Schade, aber wir in der IT wollen oder können nicht aus der Vergangenheit lernen, auch wenn alle nun Linux oder Mac schreien, so ist der Anteil nach wie vor der, den die Warp-Kämpfer/innen noch in Erinnerung haben: Gering.

Statistik: Marktanteile der führenden Betriebssysteme in Deutschland von Januar 2009 bis Mai 2020 | Statista
Quelle: Statista

Die Schiffsbrücken-, Geldautomaten-, eben kritische… Software lief auf Warp, aber die Masse eben auf Win, gell, liebe Unixoider/innen?!

Bis heute ist mein Haushalt windowsfreie Zone, aber werde ich mich auch der reloadeten Version widersetzen können? Keine virtuelle Konferenz besuchen, wo ich mich daten-nackig mache? Bin ich wieder die Minderheit und muss mich fügen und Scott’s Losung „there is no privacy, get over it“ fügen?

Ich habe keine Antwort darauf, hoffe aber, wie in „The Day After“ , dass da noch jemand da draußen ist….

[UPDATE 26.7.2020]

Alle benutzen Zoom…. ahja… sehr spannend, wenn IT’ler einem Flöhe in die Ohren setzen… – die Umfrage ist während der Corona-Zeit (5/2020) gemacht worden 🙂

Statistik: Haben Sie schon einmal das Videokonferenz-Tool Zoom genutzt? | StatistaQuelle Statista

Ein Leben ohne Twitter

Am 24. März 2018 verabschiedete ich mich von Fratzenbuch, da der Cambridge-Analytica-Skandal bei mir das Faß zum Überlaufen brachte. Seit der KW26 ist nun Twitter bei mir Geschichte und liebe Bekannte und alte Weggefährten fragten warum und wie sie mit mir in Zukunft in Kontakt bleiben können. Dafür erst einmal Danke! Diese Seite hat ein Impressum, wie es sich gehört und zudem habe ich nach wie vor meinen Threema-Account (u.a.). Wer was von mir möchte, findet mich.

Ich kommuniziere gerne persönlich, also IRL (in real life), anstatt über Schriftwechsel oder soziale Nachrichten. Da ich mich einem Thema gerne auch mal über provokante und polarisierende Aussagen nähere („aus der Reserve locken“), das Spiel mit Kommunikationsmitteln eben liebe („was passiert dann“-Maschine), sind soziale Medien mir einfach zu flach. Ich brauche die Reibung, die Konflikte, die Emotionen…. auch ein strittiges Thema auszufechten ist für mich keine Belastung, sondern eher Befreiung. Können manche Menschen nicht mit um. Ich habe da in den letzten Jahren meine „emphatischen Fähigkeiten“ verbessert, aber die sind ausbaufähig, da ich diesen Weichspülmodus (alle haben sich lieb) nur bedingt akzeptiere, denn es muss am Ende auch was dabei rauskommen, damit es voran geht.

Eher konfliktvermeidende Menschen können wohl mit den sozialen Medien mehr anfangen, denn sie können Dinge ignorieren, Antworten wohl überlegt zu dem Zeitpunkt schreiben wo sie eine Antwort abgewogen haben. Grenzen ausloten, auch mal eine Aussage raushauen oder eine Emotion preisgeben, die eben nicht wohl temperiert und überlegt ist, hat auf Twitter und auch auf anderen Plattform meistens nicht nur gute Reaktionen zur folge.

Bei Twitter kommt noch erschwerend hinzu, dass ich gerne meine Quellen aus denen ich mir meine Meinung beildet habe, schwer unterbringen kann. Es ist dort nicht üblich. Ich habe aber im Informationszeitalter (als die Mailboxen die Welt eroberten) gelernt, dass es ratsam ist, den Wert einer Information oder auch nur die Richtigkeit zu überprüfen, da man sonst auf falschen Annahmen sein Meinungsbild baut. Als Tester bzw. qualitätsliebender Mensch versuche ich auf Basis von Fakten und Regeln zu agieren und nicht auf „Trends“. Trends müssen deren Verbesserung auch beweisen, damit ich sie gut finden kann…. (das wäre aber eine längere Geschichte)

Zu Corona wurde der Anteil an guten Informationen immer weniger. „Gefährliche Halbwahrheiten“ überschwemmten dann die Feeds.

Ich werfe nicht alle meine Wertevorstellungen über Bord, nur weil ein Virus mich zu neuem Handeln bewegt – Veränderung ist für mich normal. Persönliche Schutzmaßnahmen gegen eine Pandemieausbreitung, Einsatz von Remote-Arbeitswerkzeugen, Zusammenarbeitsformen mit Kolleginnen und Kollegen uvm. ist und war auf einmal im Umbruch. Nur, ich habe zumindest ausreichende Grundkenntnisse in Sachen Viren (Ausbildung in der Lebensmittelindustrie und Mikrobiologie war eines meiner Lieblingsfächer), habe seit Anfang der 2000er Jahre mit remote Arbeitstools zu tun und zudem bin ich schon seit den 90ern in Sachen Privatsphäre und Sicherheit unterwegs und habe auch Zusammenarbeitsformen mit voran getrieben, die es Kolleginnen und Kollegen vor Corona ermöglicht haben am Teamleben teilzunehmen, auch wenn sie nicht vor Ort waren. Das war vor Corona auch nie einfach, denn man muss für „soziale Nähe“ etwas tun – von beiden Seiten! Tools, die aber meine Daten dann verschleudern als wären es ihre, die sich um die Sicherheit von gesicherter Kommunikation ’n Dreck kümmern, unterstütze ich eben nicht, nur weil sie ertappt wurden und „nachgebessert“ haben.

Twitter hat nun das hochgespült, was ich immer dadurch umgangen habe, indem ich mich nur mit Menschen umgebe, die ich mag. Bei Twitter ist das aber leider nicht verhinderbar in den Sog gezogen zu werden und daher entziehe ich mich dem.

Was jetzt wenigstens passiert, dass auch Typen wie Trump & Co. die Grenzen ihres Auswurfs an Blödsinn seitens der Betreiber aufgezeigt bekommen. Zu Mailbox-Zeiten war v.i.s.d.P. (verantwortlich in Sachen des Presserechts) der …… genau Betreiber!

Mal sehen, ob es auch soziale Medien gibt, die es lohnt kennenzulernen – gerne eMail an mich.