Der Groll der Netzwelt

Ubisoft hat es sich verscherzt. Als einer der weltweit größten Publisher von Computer- und Videospielen hat man sich in Frankreich überlegt, einen neuen, ziemlich gewagten Kopierschutz einzuführen:

Um die damit geschützten Spiele (aktuell beispielsweise die Fortsetzungen Assassin's Creed II und Silent Hunter 5) spielen zu können, benötigt es einer permanenten Internetverbindung. Das Spiel meldet sich am Ubisoft-Server an und synchronisiert die Speicherstände des Spielers. Zieht man den Stecker, fliegt man aus dem aktiven Spielgeschehen und sieht lediglich einen Hinweis, dass keine Verbindung mehr besteht.

Sinn und Zweck ist in erster Linie natürlich sicherzustellen, welche Keys verwendet werden und dass dies nur einmal passiert. Relativ schwierig zu knacken ist das deswegen, da das Spiel ohne den Server praktisch nicht mehr funktionsfähig ist. Insbesondere fehlt ihm die komplette Verwaltung der Spielstände, welche Cracker lokal nachbauen müssten.

Positiv für den Anwender ist am neuen Verfahren zum einen, dass er das Installationsmedium nicht zum Spielen braucht, zum anderen, dass die Spielstände überall verfügbar sind.

Da enden die positiven Aspekte aber bereits. Der Publisher sperrt mit dem Mechanismus faktisch jeden Offline-Zocker, jeden mit Zeittarif und jeden mit instabilem Anschluss aus und baut sich durch den zentralen Account eine gläserne Community auf. Auch die bei europäischen Providern übliche Zwangstrennung alle 24h kann zum falschen Zeitpunkt durchaus zum Graus werden.

Ob sich der Kopierschutz langfristig halten kann, bleibt daher abzuwarten, insbesondere zumal Ubisoft schon jede Menge Gegenwind erhalten hat. So kommen beispielsweise aus den Reihen der US-Streitkräfte, einer nicht unwesentlichen Zielgruppe, Klagen, der Kopierschutz sei im Auslandseinsatz ein absoluter Todesstoß für den Spielspaß.

Greifbarer Gegenwind bläst auch aus der Netzgemeinde. Vergangenes Wochenende war es vielen Zockern zeitweise unmöglich entsprechende Spiele zu spielen, da die zentralen Server aus Protest unter einer DDoS-Attacke standen.

Ubisoft undone by anti-DRM DDoS storm

Quicklinks:

Paypal freezes Cryptome

Posted at 21:03 by Christopher Schramm

C'mon ... gimme a break (4)

Wie schoen war es doch frueher, als man verraeterisches Geschreibsel auf einem Zettel einfach runterschlucken konnte und gut wars. Diese Info wurde verdaut und konnte nie wieder hergestellt werden.

Aber seit nun alles auf USB Sticks gespeichert wird, geht das ja nichtmehr. Nur weiss das leider nicht jeder ....


Gruesse
Falk

Posted at 01:03 by Falk Hammer

Merkzettel

Merke: Wenn man im Terminal "clear" verwendet, dann wird der Bildschirm geklaert. Es sei denn, man befindet sich gerade im telnetclienten und ist zum lokalen router verbunden. Da fuehrt "clear" zu:


(click to enlarge)


*seufz*

Gruesse
Falk

Posted at 23:03 by Falk Hammer

Funeral for a friend(?!)

Eine kurios wirkende Möglichkeit der Remote Code Execution hat Microsoft kürzlich im Internet Explorer untersucht und bestätigt: Bringt man den Betrachter einer Webseite dazu F1 zu drücken, so kann man mittels VBScript eine beliebige Hilfedatei öffnen. Dabei lässt sich auch jeder SMB-Pfad angeben und aus einer HLP-Datei heraus lässt sich generell jede Menge Schindluder treiben.

Betroffen sind Versionen 6, 7 und 8, allerdings nicht unter Vista und späteren Windows-Versionen.

IE code execution bug can bite older Windows

MS confirms 'F1 to pwn' IE bug

Patch Tuesday will leave F1 hole unpatched

Die in Sachen Sicherheit besonders negativ herausstechende Version 6 der Browsersoftware braucht sich darüber allerdings keine Gedanken mehr zu machen, hat sie doch bereits ein öffentliches Begräbnis erfahren.

Nachdem Google die Unterstützung aus einigen der eigenen Dienste bereits Anfang des Monats abgezogen hat und auch bei YouTube verlauten lässt, den offiziellen Support Mitte März möglicherweise einzustellen und daraufhin selbst Microsoft die letzten IE6-Nutzer drängt umzusteigen, hat die Netzwelt den Browser nun öffentlich zu Grabe getragen.

Nach offiziellen Angaben starb unser vermeintlicher Freund durch einen Arbeitsunfall. Auf ie6funeral.com findet sich alles weitere zum gestrigen Begräbnis.

Web wags stage IE 6 funeral

YouTube's IE6 support dies on March 13

Ende Dezember gelang es Ermittlern in Spanien drei Personen festzunehmen, welchen das Mariposa-Botnetz zugeschrieben wird. Das seit 2008 aktive Netzwerk hatte etwa 12,7 Millionen Maschinen in über 190 Ländern befallen. Außerdem wird ihm nachgesagt über die Hälfte der Fortune 1000, also der 1000 umsatzstärksten Unternehmen, infiltriert zu haben.

Verbreitet hat es sich überwiegend über Live-Messenger-Links und P2P-Netzwerke. Einmal auf dem System wurden USB-Laufwerke befallen und eine ganze Palette Malware nachinstalliert. Geld machten die Kriminellen durch Toolbars mit pay-per-install-Abrechnung, Verkauf von Zugansdaten und Plünderung von Konten. Die Beamten haben bei den dreien 800.000 Datensätze persönlicher Daten sichergestellt.

Es wird außerdem von einem vierten Betreiber in Venezuela ausgegangen.

Authorities dismantle botnet with 13 million infected PCs

How FBI, police busted massive botnet

Monster botnet held 800,000 people's details

Quicklinks:

Microsoft's wiretap guide goes online, security site goes offline
Cryptome restored after Microsoft change of heart

DarkMarket founder jailed for five years

Brass necked suspect swallows USB evidence

The Morphing PDF (Tipp!)

Posted at 11:03 by Christopher Schramm

Pro Responsible Disclosure

Hallo Welt, Hallo Buschhacker,

Seit Monaten nun ist es ein Graus. Der §202c des StGB hat keinerlei Verbesserung in Sachen IT Sicherheit gebracht. Wie auch .. Wenn man versucht eine regionale Ecke eines international agierenden Netzes per Gesetz zu regulieren, dann hat man entweder keine Ahnung oder ist Stur .. oder beides. Auch deshalb draengt das Thema Responsible Disclosure wieder verstaerkt an die Oberflaeche.

Folgendes Szenario:
Software Hersteller XY schafft eine neue Version seiner Software. Testet lustlos und unmotiviert (Bueroarbeit kann sehr trocken sein!), ob die noetigsten Angriffe standgehalten werden koennen und verkauft das OS dann fuer teures Geld. Im Paket befindet sich angeblich umfassender Support und regelmaessige Security Updates.

Nun, es braucht kein Studium um zu sehen, dass der §202c eigentlich fuer Firmen dasein sollte, die sich nicht darum kuemmern ihren Endverbrauchern ein sicheres System zur Verfuegung zu stellen. Jedes Auto, jeder Toaster, ja sogar jeder Schnuller muss durch 1000 Tests, benoetigt eine Hand voll Zertifikate und wird beim kleinsten Anzeichen von Unsicherheit vom Markt genommen.

Sicherheitsluecken gibt es immer wieder, das ist normal. Aber wenn 98% aller Botnetcomputer Windowsrechner sind, dann spricht das meiner Meinung nach Baende ...

Und wenn nun ein findiger Hacker herausgefunden hat, wo die Luecke sich befindet? Was macht er dann?

Nun gehen wir mal davon aus, dass es sich um einen Hacker handelt, der nach der Hackerethik agiert.

In diesem Falle wuerde er die Herstellerfirma ueber den Fehler benachrichtigen. 30 Tage warten und diese Luecke dann in oeffentlichen Listen ausgeben. Full Disclosure oder Bugtraq sind die beiden gaengigsten Varianten. Diese Seiten kennt jeder halbwegs interessierte Admin.

Warum? Nun, wenn einer diese Luecke finden kann, dann koennen es auch andere! Und besagte "andere" sind unter Umstaenden nicht auf dem Pfad der Hackerethik. Es ist unmoeglich, dass jeder Systemadmin weltweit jede Luecke findet. Nur wie soll er sich dann gegen diese Luecken schuetzen? Man kann sich nur gegen etwas schuetzen, das man auch kennt. Und genau deshalb wird veroeffentlicht!

Veroeffentlichung hat Wissen zur Folge!

Die 30 Tage Vorinformation an die Softwarehersteller sollen garantieren, dass diese bis zum Zeitpunkt des Full Disclosure auch einen Bugfix oder ein Patch zur verfuegung stellen koennen.

Und trotzdem muss man derzeit damit rechnen bei der Veroeffentlichung einer Luecke (inklusive dem damit verbundenen Angriffsszenario) vor Gericht zu landen, weil man der Ansicht unserer Regierung nach "Strafbares Material verbreitet". Was fuer ein Unsinn ...

Nur was, wenn sich der Hersteller einen Sch...dreck darum kuemmert? Apple, HP und IBM haben bekannte Sicherheitsluecken offen, die bis zu 1079 Tage (ausgeschrieben: eintausendundneunundsiebzig Tage!) alt sind. Warum duerfen diese Firmen weiterhin Software herstellen? Warum werden diese Firmen nicht kriminalisiert? Wie viele Kreditkarteninformationen wurden schon gestohlen, weil der Adobe Acrobat Reader unzureichend gepatcht wurde? Meines erachtens nach handelt es sich bei diesen Firmen, welche fahrlaessig mit den Daten der User umgehen, um die wahren Kriminellen.

Ein Gesetz das Softwarefirmen verpflichtet umfassende Tests laufen zu lassen kann so schwer nicht sein. Ebenso fuer regelmaessige Updates. Warum stellt Microsoft nur Dienstags Updates zur Verfuegung? (An dieser Stelle wuerde ich gern erzaehlen, wie meinem Nachbarn ein solches Security Update dazu verholfen hat, das sein System kompromittiert wurde, darf es aber wegen 202c nicht ...) 2 Wochen mussten IE Nutzer auf einen Fix gegen den Aurora Exploit warten. Und das auch erst nach dem oeffentlichen bekannt werden. Dabei wusste Microsoft schon 4 Monate von der Luecke.

Linuxderivate koennen auch taegliche Security Updates bereitstellen und die haben kein Milliardenetat wie Microsoft.

Aber was will man von einer Regierung verlangen, die schon als Fachkundig gilt, wenn die Kanzlerin mal eine SMS schickt. Weiss die Kanzlerin auch, dass A5/1 geknackt wurde und was fuer Folgen das fuer die Geschaeftsleute dieser Welt hat?

Versteht Herr Schaeuble was multi-factor authentication beim Online banking veraendern koennte? Weiss Guido Westerwelle was Identity Theft ist?

Warum ist es so schwer die die Position eines "Minister fuer Digitale Medien" vorzustellen? Es geht ja hier nicht nur um den Endverbraucherschutz. Es geht vor allem darum zu Kontrollieren, dass kein Datenmissbrauch begangen wird. Ist es der deutschen Regierung nach Okay, dass die amerikanische Regierung jederzeit Zugang zu allen Gmail accounts hat? Auch die Grundbildung in diesen Bereichen an Schulen muss dringend verbessert werden. Die Zeiten haben sich geaendert und IT braucht dringend eine hoehere Schulfach Fokusierung. Ich moechte garnicht wissen, wie viele ahnungslose Kinder/Teenager ihre persoenlichen Daten im Netz verbreiten, weil sie keiner darueber informiert hat, dass diese Daten gegen sie verwendet werden koennen .

Besagtes Ministerium fuer Digitale Medien koennte auch die Schirmherrschaft fuer eine deutsche Full Disclosure Seite uebernehmen. Eventuell koennte man ja mal Vorreiter sein und eine Disclosure Seite anbieten, die auch gleich Loesungen bereitstellt. Eventuell auch ein Tuev fuer Betriebssysteme. Ich bin mir sicher, die Hacker in Deutschland wuerden gern dazu beitragen, dass ihre Umgebung sicherer wird. Aber will das auch die Bundesregierung?

Unter umstaenden ist die Gruendung einer Internet-Kommission (Link submit by neon) der erste richtige Schritt in die richtige Richtung. Nur wie lange soll das dauern? Nochmal 20 Jahre?

Pro Full Disclosure!

Gruesse
Falk

Posted at 00:03 by Falk Hammer