35C3 - Du kannst alles hacken – du darfst dich nur nicht erwischen lassen.

35C3 Vorspannmusik

Herald:
Herzlich willkommen zum nächsten Talk

"Du kannst alles hacken –
du darfst dich nur nicht erwischen lassen".

Kleine Umfrage:
Wer von euch

hat schonmal eine Sicherheitslücke gefunden

und gedacht:
"Oh Scheisse, wenn ich das jetzt jemandem

erzähle, dann stecke ich aber ganz schön
tief drin, das könnte Ärger geben"?

Bitte Handzeichen, für wen trifft das zu?

Zwischenruf aus dem Publikum: Kamera aus
Gelächter

Herald: Andere Frage: Wer von euch würde
denn gern mal eine Sicherheitslücke

finden, auch Handzeichen.
Gelächter

Alles klar, ich erkläre euch alle hiermit
zu Betroffenen und diesen Talk für

relevant für euch, denn viele Hackerinnen
und Hacker stehen irgendwann im Laufe

ihrer Karriere vor dem Problem oder in der
Situation dass sie irgendwas gefunden

haben oder irgendwo reingekommen sind,
sich irgendwo reinverlaufen haben, und

wissen, wenn die betroffenen Leute, in
deren Architektur sie gerade drinstehen

das mitkriegen, dann gibt's so richtig
Ärger, das wird großes Missfallen erregen.

Und in diesem Talk geht es darum,
welche Worst-Case-Szenarien auf euch

zukommen können, wie ihr damit umgeht, und
am aller besten, wie ihr euch gar nicht

erst erwischen lasst. Und unsere Speaker,
Linus Neumann und Thorsten Schröder, sind

Experten für IT-Sicherheit. Ihr kennt sie
vielleicht noch von dem PC-Wahl-Hack.

Da gings darum, dass sie Sicherheitlücken
in der Bundestags-Wahl-Software gefunden

haben, da gibt es eine sehr
empfehlenswerte Folge.

Alles klar, alles Quatsch was ich
erzählt habe, ich empfehle

euch die Folge von logbuch-netzpolitik.org

trotzdem, die ist nämlich
hörenswert, nämlich die Nummer 228

"Interessierte Bürger". Jetzt erstmal
einen ganz herzlichen Applaus für Linus

Neumann und Thorsten Schröder, Viel Spass
Applaus

Linus Neumann: Vielen Dank, dass ihr alle
da seid. Vielen Dank für das herzliche

Willkommen. Ich fand das auch schön, dass
grad da einige von euch direkt den ersten

OpSec fail gemacht haben und sich erstmal
gemeldet haben. Wir haben noch nie

irgendwas gehackt, wir haben mit nichts
was zu tun. In unserem kleinen Talk soll

es darüber gehen, über das Thema über das
hier alle reden ist Hacking. Wir sehen

über die Jahre viele feine, junge Hacker
landen irgendwie im Knast, und es gibt

einfach viele Risiken, die den Hacksport
begleiten, und den Genuss trüben,

zum Beispiel sowas wie Hausdurchsuchungen,
eingetretene Türen, hohe Anwaltskosten,

alles das muss nicht sein. Es lohnt sich
für euch vielleicht, zu überlegen, wie

auch ihr weiterhin freie Menschen bleiben
könnt. Denn wir wissen, Hacker, das sind

freie Menschen, so wie Künstler, die
stehen morgens auf, und wenn sie in

Stimmung sind, dann setzen sie sich hin
und malen ihre Bilder. Und wir möchten,

dass ihr noch viele schöne Bilder malen
könnt. Und der Weg dahin ist: OpSec.

Und darüber wollen wir heute
mit euch reden.

OpSec ist eigentlich
sehr einfach zusammengefasst,

hier auch übrigens...
Schönes, schönes...

Schönes Lehrmaterial auch wieder

aus Russland, das scheint da die irgendwie
umzutreiben. Wir haben, fangen wir mal

ganz einfach im ganz normalen, den ersten
Computerwurm an: Übermut tut selten gut,

das ist eine der wichtigsten Lehren eurer
operational Security, denn Angeberei und

Übermut bringen euch gern das ein oder
andere Problem ein. Und das wissen wir

ungefähr seitdem es Computerwürmer
überhaupt gibt. Der erste große

Computerwurm, der so international
unterwegs war, und die Hälfte des

Internets lahmgelegt hat, war der Morris-
Wurm, der mehrere Schwachstellen in

Sendmail, Finger, Remote-SH und ein paar
schwache Passwörter ausgenutzt hat, um

sich selber zu verbreiten, war halt ein
Computerwurm. Das führte also zu einem

Internetausfall 1988. Und ihr fragt euch
wahrscheinlich: Warum heißt der Wurm denn

Morris-Wurm? Naja, weil sein Erfinder sehr
sehr stolz war auf seinen Wurm, und gerne

davon erzählt hat, wie er funktioniert
hat. Und zu einem Zeitpunkt stand er wohl

irgendwann in der Harward-Universität auf
dem Tisch, und predigte, wie sein Wurm

funktionierte in alle möglichen Details.
Es war aber auch klar, dass die

ursprüngliche Infektion dort stattgefunden
hat, er hat allen davon erzählt.

Irgendwann hats jemand einem Journalisten
erzählt, er musste es dann zugeben. Er hat

bekommen, dass der Computerwurm immerhin
seinen Namen trägt. Allerdings auch

3 Jahre Bewährung, 400 Stunden soziale
Arbeit, und 10.000 Dollar Geldstrafe, ohne

den eigenen Geltungsdrang wäre es ihm
unter Umständen erspart geblieben. Aber

nicht nur bei Hackern haben wir so kleine
Probleme mit Operational Security und

Geltungsdrang, das haben wir auch bei
Bankräubern. Und zwar haben wir hier einen

jungen Mann, der hat eine Bank ausgeraubt.
Und was macht man so, wenn man spannendes

erlebt hat, und gerade so das ganz große
Geld abgesahnt hat: Natürlich erstmal ein

Selfie. Ja. Wenn das nicht reicht, kann
man auch noch ein anderes Selfie machen.

Gelächter

Oder die Komplizin. Und auch Essen. Und
dann gehts ganz schnell ins InstaJail. Und

man denk, das wär jetzt so ein Einzelfall,
ne, denkt so: OK, so blöd kann ja

eigentlich keiner sein, aber wenn man sich
so im Internet umschaut, braucht man echt

nicht lange, um immer mehr Spezialexperten
zu finden, die solche Bilder posten. Und

das endet auch immer gleich: Hier der
junge Mann mit den, also der muss ganz

schreckliche Zähne haben, der hat alle
Zähne schon aus Gold jetzt, die wurden

auch verurteilt, weil sie auf Facebook
damit angegeben haben, das sie Geld haben.

Nun, wenn wir uns das anschauen, in den
Pionieren des Car-Hackings, da haben wir

im Prinzip das gleich Phänomen. Man muss
dazu sagen, die ersten Unternehmungen im

Car-Hacking waren eher so analoger Natur
und eher Brute-Force. Und die Pioniere in

diesem Bereich waren also diese beiden
jungen Männer, die hier einen ganz großen

Hack geleistet haben, nämlich die
Fahrerscheibe eingeschlagen, 5000 Dollar

und ein iPad aus einem Truck geklaut
haben. Und, was macht man als erstes, wenn

man ein iPad hat und so: Naja, erstmal in
den Burger-King gehen, weil da gibts WLAN.

Und ein bischen mit dem iPad daddeln. Und
dann haben sie festgestellt: Ey, geil da

kann man Videos mit machen.

[Video wird abgespielt]

.... This is my brother Dylan.. This....
good nights hassle

L: Und weil sie in dieses gestohlene iPad
mit dem WLAN vom Burger King verbunden

hatten, passierte das, was passieren
musste....

Gelächter

L: Und der Eigner des Fahrzeuges hat dann

eine Woche später das Video der Polizei
übergeben, und die Polizei meinte, die

sind ihnen auch gar nicht so unbekannt.
Und haben sich um die jungen Männer

gekümmert.
Thorsten Schröder: Aber kommen wir mal

zurück in die Computerhacker-Ecke, über
die wir heute eigentlich sprechen wollen,

jetzt haben wir einen kleinen Ausflug in
die analoge Welt gemacht. Was kann denn

alles schief gehen wenn man sich als
interessierter Surfer oder sonstwas auf

Online-Shopping-Portalen herumtreibt.
Zunächst will man zunächst vielleicht doch

irgendwelche Waren erwerben, dann fängt
man da an, irgendwie im Online-Shop

rumzuklicken. Plötzlich rutscht man mit
der Maustaste aus, das passiert ja

manchmal, dass man da vielleicht irgendwie
aus Versehen ein falsches Zeichen eingibt,

und was hier halt wichtig ist: Wir reden
hier von einem Threat-Level, ein Level

eines Bedrohungsszenarios für den Hacker,
also wenn ihr da irgendiwe mit dem Online-

Shopping-Portal unterwegs seid, und da aus
Versehen auf der Maus ausrutscht, dann

habt ihr ein gewisses Bedrohungsszenario.
Das wird natürlich ein bischen höher wenn

ihr da aus Versehen irgendwelche komischen
Zeichen eingegeben habt,

ihr seid da

wahrscheinlich ohne Anonymisierungsdienste
unterwegs, weil ihr wolltet ja bloß irgendwas

einkaufen. Und jetzt denkt ihr so: Hmm,
ich bin ja ein bischen verspielt und

neugierig, ich mach jetzt mal Tor an oder
irgendwas, und besuch jetzt diese Webseite

später nochmal mit einem
Anonymisierungsdienst. Und, ja, über die

Zeit findet man dann vielleicht aus
Versehen noch ein Cross-Site-Scriping, das

Bedrohungslevel wächst so allmählich, aber
man hat ja jetzt Tor am Start. Das

Bedrohungs-Threat-Level wächst weiter,
wenn man jetzt vielleicht noch eine etwas

kritischere Schwachstelle wie eine SQL-
Injection gefunden hat. Und es wächst

weiter, wenn man vielleicht auch noch eine
Remote-Code-Execution gefunden hat, dann

sind wir schon recht hoch. Also wenn man
jetzt erwischt wird, wäre es relativ

ungünstig, weil man hat ja auch bewiesen,
dass man direkt nicht nach einem Cross-

Site-Scripting oder irgendeiner anderen
banalen Schwachstelle direkt mal zu dem

Portal gegangen ist und Bescheid gesagt
hat. Na ja, was passiert dann, wenn man da

weiter stöbert. Je nachdem was man da für
so Ziele hat. Vielleicht findet man auch

noch ein paar Kreditkarten. Jetzt sind wir
schon recht hoch in unserem Threat-Level,

und das geht rapide runter weil das
Threat-Level ist jetzt wieder... Es wird

entspannter. Man braucht jetzt keine Angst
mehr haben, dass man irgendwann nochmal

für diesen Hack da erwischt wird. Ja,
warum wird da überhaupt jemand erwischt?

Weil ich an die OpSec erst viel zu spät
gedacht habe. In dem Moment, in dem ich

auf der Maus ausgerutscht bin, hätte ich
im Grunde genommen schon einen

Anonymisierungsdienst, irgendnen Tor-
Service oder so, am Start haben müssen,

denn in dem Moment, wo irgendwann der
Betreiber des Portals mitkriegt, dass da

was passiert ist, werden die einfach
gucken: Alles klar, wir verfolgen das

zurück, ist eine Tor-Session, schlecht,
aber irgendwann stossen sie auf diesen Fall,

wo man halt "Ups" sagt. Und dann werden
sie dich halt finden.

L: Es ist eigentlich auch regelmäßig
tatsächlich so, dass man irgendwie Leute

irgendwie sagen: Ach, guck mal hier, da
hab ich mal was entdeckt, und jetzt geh

ich mal auf Tor. Ne Leute, ist zu spät,
müsst ihr vorher machen.

T: Tschuldigung, wenn euch sowas was
auffällt, ihr könnt euch natürlich mal

überlegen, wie haben ja jetzt die
Datenschutzgrundverordnung, dann könntet

ihr mal schauen was die so für
Datenschutzrichtlinien haben, also manche

Unternehmen geben ja dann auch Auskunft
daüber, wie lange die Logfiles zum

Beispiel aufbewahrt werden, und es soll
ja....

L: Vielleicht habt ihr ja ein Recht auf
Vergessen werden

T: Ja, es gibt ja Unternehmen, die
speichern ihre Logdaten nur 7 Tage, dann

muss man einfach nochmal ne Woche warten
vielleicht.

L: Also es gilt allgemeine Vorsicht bei
Datenreisen, so auch bei unserem Freund

Alberto aus Uruguay, der mit seiner
Freundin irgendwie nichts ahnend am

Nachmittag am Computer saß, und sie gab
irgendwelche Gesundheitsdaten in irgend so

eine Cloud ein, weil: modern. Und Alberto
sagte so: Ah, Gesunderheitsdaten, zeig mal

her. admin admin, oh!
Gelächter

T: Ups
L: Ups. Da war das Ups. Und er schrieb

dann eine Mail an das CERT Uruguay, also
die zentrale Meldestelle des Landes, weil

es sich ja hier um sensible Patientendaten
handelte, und Gesundheitsdaten, und er

bekam innerhalb von Stunden eine Antwort
von dem Leiter des CERT, also das war ganz

klar, wir haben hier ein ernst zu
nehmenden Fall, der auch eben ernst

genommen wurde.
T: Dieser "Ups" Fall ist vielleicht nicht

ganz so dramatisch, möchte man meinen,
weil der Hacker ja nichts böses vor hatte,

der wollte gar nicht weiterstöbern, der
hat einfach gesagt so: "Uh, denen muss ich

schnell Bescheid sagen".
L: Für den war der Fall auch erledigt, der

hatte das ja jetzt dem CERT gemeldet, das
CERT hat sich drum gekümmert, hat die

Verantwortung übernommen, die kümmern sich
jetzt drum. Schalten die Plattform ab,

oder was auch immer. Alberto geht seinem
Leben ganz normal weiter, bis er ein Jahr

später feststellt: Oh, ahhh, das
admin:admin haben sie inzwischen

geschlossen, das ist schonmal gut, aber
jetzt haben sie unauthenticated file

access, auch nicht so gut, melde ich doch
am besten einmal dem CERT. Und wieder

vergeht einige lange Zeit, in diesem Fall
um die zwei Jahre Schweigen im Walde.

Er hatte die ganzen Sachen selbst längst
vergessen, und dann bekommt das betroffene

Unternehmen mit den Gesundheitsdaten
plötzlich eine E-Mail, von irgendwem:

Gib mal Bitcoin.
Gelächter

L: Der wollte "gibt mal Bitcoin", weil der
Angreifer oder der Erpresser hier sagte,

er sei im Besitz dieser Gesundheitsdaten,
die diese Plattform geleaked hat. Und wenn

jetzt nicht 15 Bitcoin innerhalb von
$Zeitraum überwiesen würden, dann würde er

an die Presse berichten: Alle Menschen in
diesem Datensatz, die HIV-infiziert sind.

T: Was die Presse bestimmt total
interessiert hätte.

L: Ich weiß nicht, ob das die Presse
interessiert hätte, wen es auf jeden Fall

interessiert hat, ist die Polizei. An die
Polizei müsst ihr übrigens immer denken...

T: Die erkennt man an diesen
Kleidungsstücken hier

L: Die erkennt man an diesen Hüten...
Gelächter und Applaus

L: Die haben vorne auch so einen Stern
drauf. Nur damit ihr die nicht vergesst.

So, irgendwer will also Bitcoin. Es
passiert wieder längere Zeit nichts, bis

auf einmal bei Alberto die Tür eingetreten
wird. Es gibt eine Hausdurchsuchung,

wieder mit Brute-Force. Und, jetzt
passiert folgendes: Die Polizei traut

ihren Augen nicht, als sie diese Wohnung
betritt, und findet so viele spannende

Sachen, dass sie nachher auf einem eigenen
Pressetermin ihre Fundstücke so bischen

drapiert, und damit angibt. Sah nämlich so
aus: Da hatten wir also einen ganzen

Stapel Kreditkarten und Blanko-
Kreditkarten. Blanko-Kreditkarten machen

immer gar nicht so einen guten Eindruck.
Gelächter

T: Meistens nicht.
L: Sowohl im Supermarkt, als auch im

Schrank wenn ihr die Polizei vorbeischaut.
Außerdem finden sie Kartenlesegeräte und

ein paar Wallet-Fails.
T: Allo nedos

L: Haben sie dann alles schön drapiert.
Kartenlesegeräte, Zahlungsmittel und so.

T: Ist dann halt die Frage, ob die Polizei
an OpSec gedacht hat, und die

Kreditkartennummern vielleicht auch noch
gültig waren, als sie die Fotos

veröffentlicht haben. Man weiß es nicht,
man wird es auch nicht herausfinden.

L: Und sie finden natürlich, was man bei
jedem Hacker finden muss, bei jedem

Kriminellen, was braucht man da?
Murmeln im Raum

L: Anonymous-Maske, klar
Gelächter

L: Anonymous-Maske drapieren die schön.
Wir haben auch noch eine dabei.. Nein, wir

haben keine Anonymous-Maske. Paar
strategische Bargeld-Reserven. Und, das

war natürlich sehr verräterisch, sie
finden Bitcoin.

Gelächter und Applaus
L: Und die wollte der Erpresser ja haben.

T: Dann ist der Fall wohl abgeschlossen.
L: Ein Bitcoin und ein Bitcoin

zusammengezählt. Verhör, ein paar
Drohungen, und in Anbetracht der völlig

inkompetenten Polizei flüchtet sich
Alberto in das falsche Geständnis, in der

Hoffnung, dass er im weiteren Verlauf des
Verfahrens mit kompetenten Personen in

Kontakt kommt. Dies Hoffnung erfüllt sich
nicht, er ist erstmal im weiteren Verlauf

8 Monate im Knast, und gerade nur auf
Kaution raus. Er ist absolut sicher und

ehrlich, dass er das nicht getan hat.
Hätte er es getan, wäre er auch ziemlich

dämlich, nachdem du zwei Mal responsible
Disclosure gemacht hast, schickst du keine

Erpresser-E-Mail mehr. Vor allem nicht
eine in der du sagst "Ich möchte 15

Bitcoin auf folgendes Konto..." ohne die
Kontonummer anzugeben.

Gelächter und Applaus
L: Da wir jetzt ein paar Scherze über

Alberto gemacht haben, haben wir ihn
einfach mal kontaktiert, und Alberto hat

auch noch ein paar Sachen zu seinem Fall
zu sagen, und wir begrüßen ihn bei uns auf

der Videoleinwand
Applaus

[Video] Hello Germany. ....
......

Applaus
L: Also das Gerät, mit dem er da kurz

hantiert hat, was irgendwie ein bischen so
aussah wie ein GSM-Jammer, das ist ein

ganz bedauerliches Missverständnis. Das
hatte die Polizei nämlich nicht

mitgenommen bei der Durchsuchung, ebenso
wie 30 Festplatten, und er bekommt jetzt

seine Geräte deshalb nicht zurück, weil
die Polizei sagt, das würde zu lange

dauern, den ganzen Kram anzuschauen. Aber
wir lernen aus dieser Sache: Es hat schon

irgendwie Sinn, 127.0.0.1 als Ort der
vorbildlichen Ordnung, Sicherheit,

Sauberkeit, und Disziplin zu pflegen, und
wenn ihr euch mal überlegt, wie das

aussieht wenn bei euch mal die Tür
aufgemacht wird und ein paar Geräte

rausgetragen werden, in den falschen Augen
kann das alle ganz komisch aussehen. Und

auch da fängt OpSec schon an.
T: Nämlich viel früher, bevor ihr den

Browser in die Hand nehmt, oder
irgendwelche Logins ausprobiert. Ja, was

gibt es denn noch auf einer technischen
Ebene, was uns verraten kann. Jetzt haben

wir sehr viel darüber gesprochen, dass
Hacker sich selbst in die Pfanne hauen,

weil sie zu geschwätzig sind, weil sie
vielleicht sogar zu ehrlich sind, und

irgendwelche Lücken melden. Was gibt es
wirklich für Bedrohungsszenarien, die den

Hackern gefährlich werden können: Das
sind, man könnte sagen das sind Metadaten,

die ja auch ein Stückweit so ähnlich sind
wie Fingerabdrücke, wie auf diesem

Metadaten-Aufkleber. Es gibt heute kaum
noch irgendwelche Dinge, die keine

Metadaten hinterlassen. Die Frage, wie man
Metadaten vermeidet, oder was mit

Metadaten angestellt werden kann, ist
immer sehr stark abhängig vom Kontext,

also auch irgendwelche Ermittler müssen
sich natürlich immer den Kontext mit

anschauen, wo Metadaten anfallen. Deshalb
ist natürlich einer der wichtigsten

Punkte, über die man sich bevor irgendwie
auch nur irgendwas anhackt, muss man sich

mal darüber im Klaren sein, was
hinterlasse ich eigentlich für Spuren. Und

das ist ist so der Teil, wo wir ein
bischen versuchen wollen, den jüngeren

Hackern oder Leute, die halt jetzt
anfangen, auch mal Sachen zu hacken, mal

ein paar Ideen mit auf den Weg geben, sich
Gedanken darüber zu machen, was benutze

ich für Geräte, was benutze ich für
Software, was für Spuren hinterlasse ich.

Selbst wenn ich jetzt gerade nicht am
Rechner sitze, hinterlasse ich ja irgendwo

Spuren, weil ich ein Smartphone mit mir
rumschleppe. Und das ist einfach wichtig,

einfach mal herauszufinden, wo hinterlasse
ich eigentlich Logs. Was sind Identitäten,

also wenn ich auch unter Pseudonym im Netz
unterwegs bin, und vielleicht sogar noch

Anonymisierungsdienste verwende, und
eigentlich die technische Voraussetzung

dafür geschaffen ist, dass ich auch anonym
bleibe, benutzt man als Hacker, oder als

Gruppe, vielleicht auch einfach
Pseudonyme, oder man verwendet vielleicht

irgendwelche kryptografischen Keys
mehrfach auf verschiedenen Systemen

L: Das ist immer sehr schlecht,
kryptografische Keys gibt es halt nur

einmal, das ist ja die Idee bei Key
T: Das ist ja der Sinn der Sache. Wenn ich

aber meine VMWares kopiere, und dann
vielleicht irgendwelche Hidden Services

aufmache und da Rückschlüsse auf die Keys
zu ziehen sind. Oder was ich verschiedene

Hostnamen dann auf ein und den selben Key,
SSH-Key-oder was auch immer, zurückführen.

L: Logs übrigens auch so ein Klassiker,
immer wieder Strategen, die Dateien dann

auf Truecrypt Volumes vorhalten, weil sie
gehört haben, dass das ja dann besser ist,

und dann in ihrem Betriebssystem aber das
Logging anhaben, mit welchem Player und

Viewer sie welche Dateien geöffnet haben,
so dass dann auf der unverschlüsselten

Partition des Betriebssystems schön noch
draufsteht, welche Videos und Dateien sich

vielleicht in den verschlüsselten
Bereichen befinden.

T: Ja, und da so, dieses Feature, für die
meisten Leute ist das halt ein Feature,

die wollen halt ihre recently used Apps
oder was auch immer schön im Zugriff

haben, damit sie weniger Tipp- und
Klickarbeit haben, könnte aber euch das

Genick brechen, wenn ihr dieses
Betriebssystem einfach nutzen wollt, um

einfach nur mal eben so rumzuhacken.
Wichtig ist halt hier, so können

irgendwelche Ermittler oder Leute, die
euch hinterher recherchieren, Identitäten

über euch erstellen, also über das, was
ihr da gerade, unter welchem Pseudonym

auch immer ihr da unterwegs seid. Die
können Profile anlegen, die können euren

Coding-Stil analysieren, eure
Rechtschreibung wenn ihr irgendwelche

Texte hinterlasst, oder euch in
irgendwelchen Foren anonym oder unter

Pseudonym mit irgendwelchen Sachen
brüstet, die Leute, die sich die Rechner,

die Server anschauen, die hops genommen
wurden, die schauen sich halt auch die

Bash-History an, wenn ihr die liegen
lasst, dann gucken die halt, wie geht ihr

mit so einer Konsole um, habt ihr Ahnung,
darauf kann man schliessen wie viele,

wieviel Erfahrung ihr im Umgang mit dem
Betriebssystem habt, und so weiter. Das

sind alles Sachen, auf die müsst ihr
achten, die müssen beseitigt werden, und

auch der Coding-Stil, wenn ihr irgendwo,
kann ja durchaus sein, dass ihr meint, ihr

müsst eine Funktionserweiterung im Kernel
hinterlassen, der Code wird später

analysiert, und, es gibt Software, die tut
das, also so wie man Plagiate erkennt. Da

gabs glaube ich vor zwei Jahren mal auch
einen Kongress-Talk darüber, wie man

anhand von Binary-Code quasi Rückschlüsse
auf den ursprünglichen Autor ziehen kann,

so dass man eben, Malware beispielweise
attributieren kann, oder leichter

attributieren kann. Wie auch immer, es
gibt unglaublich viele Dinge, auf die man

achten muss, und ihr müsst im Grunde
genommen selber rausfinden, mit was für

Werkzeugen hantiere ich hier eigentlich,
und was öffnen die für Seitenkanäle. Was

für Tracking und Telemetrie gibt es dort,
und wie kann ich es möglicherweise

abschalten. Es gibt irgendwie die Rules of
the Internet von Anonymous

L: ... von denen inzwischen keiner mehr
anonymous ist, aber dazu kommen wir

noch...
T: Die haben halt irgendwie schöne Regeln

aufgestellt, "Tits or get the fuck out"
lautet eine, und das ist halt genau eine

Regel, für die, die anonym bleiben
wollten... Übrigens, das ist die Nummer

falsch, aber ist egal... Ja, hier kommen
wir zu einem schönen Fail eines Hackers

mit dem Namen w0rmer, der hatte nämlich
ein Foto seiner... der Brüste seiner

Freundin veröffentlicht, und war er ganz
stolz drauf "Tits or get the fuck out"

dachten sich auch die Herren von der
Polizei, denn in dem...

L: In dem von iPhone aufgenommenen Bild
war die GPS-Metadaten von dem Zuhause der

Fotografierten
T: Dumm gelaufen...

L: Und deswegen kriegt w0rmer von uns den
Mario Barth Award für den überflüssigsten

OpSec-Fail
Applaus

T: Kennt ihr? Kennta kennta!
L: Fragen sich natürlich, wie geht denn

überhaupt Anonymität im Internet, wenn
schon Anonymous das nicht hinkriegt. Wir

wollen nicht entdeckt werden. Problem:
Unsere IP-Adresse verrät unsere Herkunft.

Das heißt, wir suchen nach etwas, was
unsere IP-Adresse verschleiert, und wenn

wir das bei Google eingeben, landen wir…

T: ... bei VPN-Anbietern, das ist so das
erste, was man findet. Du willst anonym im

Internet unterwegs sein? Dann benutze halt
ein VPN, wir auch oftmals als Ratschlag

nahegelegt. Nagut, da benutzen wir also
jetzt einen VPN-Provider, mit dem

verbinden wir uns, das wird dann
wahrscheinlich eine OpenVPN- oder was auch

immer Connection sein, die dafür sorgt,
dass unsere ursprüngliche IP-Adresse

verschleiert wird, so dass niemand auf
Serverseite quasi Rückschlüsse auf uns

direkt ziehen kann. Alles, was wir an
Traffic ins Internet senden, geht also

über dieses VPN, und von da aus zu unserem
Angriffsziel. Das ist hier eine böse

Firma, die hier jetzt angehackt wird. Und
die denkt sich so: "Whoa, was ist denn

hier los, komischer Traffic, ah, das ist
so ein VPN-Endpunkt". Und was haben wir

jetzt so davon, also wissen wir jetzt,
sind wir jetzt sicher? Wir treffen

irgendeine Annahme, nämlich die Annahme,
dass der VPN-Provider die Klappe hält. Und

dem glauben wir, dem vertrauen wir, obwohl
wir den noch nie gesehen haben. Aber

eigentlich ist ja der Sinn, dass wir
niemandem vertrauen müssen/wollen, wir

wollen niemandem vertrauen, weil was
passiert bei so einem VPN-Anbieter, wir

haben da einen Account, wir bezahlen da
möglicherweise für, warum sollte so ein

VPN-Anbieter sein VPN für lau anbieten.
Also, da liegt im Zweifelsfall eine

E-Mail-Adresse von uns, da liegen unsere
Kreditkartendaten oder Bitcoin-Wallet oder

was auch immer. Es gibt möglicherweise
Logs, aber wissen nichts davon. Vielleicht

hat der VPN-Provider beim nächsten
Betriebssystemupdate eine Logging-Option

an, die er vorher nicht an hatte, und so
weiter. Also es kann ganz viel passieren,

das kann halt auch eine Quellen-TKÜ bei
diesem Anbieter geben, und wir wollen das

aber nicht, wir wollen niemandem
vertrauen. Also ...

L: ... fangen wir nochmal von vorne an.
Bei dem Fall ist es halt schief gegangen,

wir müssen also irgendwie einen Weg
finden, wo wir nicht darauf angewiesen

sind, anderen zu vertrauen. Das heißt
nicht, dass wir denen nicht vertrauen

können, es ist heißt nur, dass wir es
nicht wollen. Aber, wir brauchen auf jeden

Fall erstmal ein anderes Angriffsziel, ich
würde sagen wir nehmen einfach mal

irgendeine Alternative
Gelächter und Applaus

L: Und dieses Mal nutzen wir Tor. Habt ihr
bestimmt schonmal von gehört, Tor ist

eigentlich relativ einfach. Euer
Datentraffic geht mehrmals über

verschiedene Stationen im Internet und ist
mehrmals verschlüsselt. Ihr sendet also an

einen sogenannten Tor Entry erstmal einen
mehrfach verschlüsselten... euren mehrfach

verschlüsselten Traffic und dieser Tor
Entry, der weiß ja jetzt wer ihr seid, der

weiß aber sieht aber nur in der an ihn
verschlüsselten Botschaft, dass die, dass

er die weitergeben soll an einen nächste
Node im Tor Netz, in diesem Fall die

Middle-Node, und die Middle-Node gibt das
vielleicht noch an andere Middle-Nodes

weiter, das wurde von euch vorher
festgelegt, bis ihr dann irgendwann beim

Tor Exit seid, und der Tor Exit macht dann
"hacke die hack hack". Und wenn jetzt

unser Angriffsziel schaut "was ist denn
los", da weiß der Tor Exit zwar "Ja, der

Traffic der kam wohl von mir, aber ich
habe keine Ahnung wo der her kommt, die

Middle-Node weiß eh nix, und der Tor Entry
weiß "Ja OK, der weiß zwar wer ihr seid,

aber er hat keine Ahnung, welchen weiteren
Verlauf die IP-Pakete und Datenpakete, die

ihr geschickt habt, gegangen sind. Da seid
ihr jetzt schon mal besser dran und müsst

nicht so vielen Leuten vertrauen, weil ihr
... weil sie es einfach nicht wissen

können. Es sei denn, ihr habt es mit einem
globalen Angreifer zu tun, dann seid ihr

natürlich etwas schlechter dran, aber so
für die kleine Datenreise kann man hier

auf jeden Fall noch ohne Reisewarnung auf
die Reise gehen. Es sei denn, man ist zu

blöd...
T: Jetzt haben wir quasi die technische

Voraussetzungen dafür, uns relativ anonym
im Internet zu bewegen. Wir brauchen

niemanden vertrauen und so weiter. Aber
jetzt kommt halt so die eigene Intelligenz

ins Spiel.
L: Das ist eigentlich erst das Level, an

dem wir Operational Security brauchen,
vorher brauchen wir gar nicht erst

anzufangen mit OpSec. Dachte sich auch ein
Student der Harvard University, der

irgendwie ein bisschen nicht gut
vorbereitet war für die Prüfung die an dem

Tag anstand. Und ihr kennt das, was macht
man, man überlegt sich so "Wie könnte ich

jetzt diese Prüfung noch zum ausfallen
bringen". Da gibt es eigentlich relativ

wenig Optionen, eine die aber immer ganz
gut funktioniert ist eine Bombendrohung.

Wer kennt das nicht.
Gelächter

L: Und hier, Harvard University Stratege
sagt: "Ich habe ja gelernt, wie das mit

der Anonymität im Internet ist, ich
benutze Tor". Und er schickt seine

Erpresser E-Mails, in denen steht "Ich
habe eine Bombe da da da oder da

positioniert". Einer davon der Räume in
dem er die Klausur schreibt um auch ganz

sicher zu gehen, dass auf jeden Fall der
geräumt wird, wenn schon nicht die ganze

Uni. Datenpaket kommt an, und was sagt die
Harward Universität, die ruft natürlich

die Polizei. Lalülala. Die Polizei sagt
"Ach guck mal hier, ist über Tor gekommen,

liebes NOC, schau doch mal bitte kurz ob
irgendjemand von den Studenten hier in dem

fraglichen Zeitpunkt Tor genutzt hat". Und
in dem Uni Netzwerk haben die sich

natürlich alle namentlich anmelden müssen.
Und da gab es dann eine kostenlose Fahrt

im Polizeiauto, weil wir hier eine
wunderschöne Anonymisierungs technologie

gehabt hätten, wenn wir uns nicht vorher
angemeldet hätten, und nur für den genau

den kleinen Zeitraum Tor genutzt haben, in
dem genau diese Erpressungs-E-Mails bei

der Uni ankamen. Aber wir bleiben ein
bisschen bei Anonymisierungsdiensten, was

ja auch insbesondere in der Öfentlichkeit
sehr viel die Menschen bewegt: Hidden

Services. Wir wollen also jetzt das ganze
Anonymisierungsnetzwerk umdrehen, wir

wollen nicht quasi als Angreifer versteckt
sein, sondern wir wollen unseren Server

da drin verstecken. Und das machen wir ganz
einfach, indem wir die Leute zwingen, dass

sie uns nur über Tor erreichen können. Das
heißt, unser Polizist muss auf jeden Fall

in ein Tor Entry, dann durch mehrere
Middle-Nodes, und irgendwann kommen die

Datenpakete bei uns an, ohne Tor jemals
wieder zu verlassen. Die Middle-Nodes

wissen nie, dass sie die erste oder die
letzte sind, und so routen wir unsere

Pakete immer irgendwie anders herum, und
haben jetzt einen Server im Internet, zu

dem viele Wege führen, aber nie wirklich
herauszufinden ist, auf welchem Weg wir

... wo wir diesen Server stehen haben.
Immer unter der Voraussetzung, dass nicht

jemand das gesamte Internet überwacht,
oder wir ein bischen zu blöd sind. Das

können wir verhindern, indem wir auf
unserem Hidden Service anfangen, keine

Logs zu schreiben, wir benutzen keine
bekannten SSH Keys. Relativ schlecht, wenn

ihr da den gleichen SSH Key wie bei der
Arbeit benutzt. Wir geben unserem Hidden

Service nur ein lokales Netz, fangen den
in irgendeinem RFC 1918, schaffen getrennt

davor einen Tor-Router, der also dann mit
dem Internet verbunden ist, und diesen ...

den Hidden Service freigibt, und dann die
Verbindung zu unserem Hidden Service

herstellt. Das schöne ist, unser Hidden
Service kann gar nicht mit dem Internet

verbunden, werden wenn er also versucht,
wenn ihn da so ein kleines Ping

entfleuchen würde oder so, das könnte
niemals in das große böse Internet

gelangen.
Gelächter

L: Und jetzt haben wir also unseren Hidden
Service da und sind total happy, denn das

große böse Internet kommt nur über das Tor
Netz zu uns. Aufwand zum Aufsetzen, wenn

man weiß wie man es macht und ein bisschen
geübt hat, würde ich sagen 1-2 Tage, und

schon bist du einen Drogenkönig. Und jetzt
sind die technischen Voraussetzungen da,

dass du deine OpSec wieder so richtig
schön verkacken kannst.

Gelächter
T: Es gibt da, um auch im Darknet zu

bleiben, diesen Fall "Deutschland im Deep
Web". Der Herr hatte sich da so ein Forum

und Marketplace aufgemacht, und der
Betrieb von solchen Diensten kostet ja

Geld. Also hat er um Spenden gebeten,
damit er seine Dienste weiterhin auch

gesichert anbieten kann. Und die Spenden
sammelt man natürlich in Bitcoin einer,

eine schön anonyme Bezahlvariante passend
zum Darknet. Ich habe Hidden Service, ich

kann nicht gefunden werden. Ich habe ein
anonymes Zahlungsmittel, ohne dass mein

Name daran klebt. Also haben wir den Weg
dass wir unsere Bitcoins irgendwann auch

nochmal versilbern wollen.
L: Irgendwann haste genug Burger im Room77

gegessen, dann musst du... dann willst du
vielleicht auch mal Euro haben, oder so.

T: Dann verlässt dieses anonyme
Geld irgendwann die digitale Welt und

wandert über so ein Bitcoin Exchange
Portal auf dein Sparbuch, und in dem Fall

hat es genau da schon "Knacks" gemacht,
denn deine Identität ...

Gelächter
T: ... ist genau in diesem Fall

aufgeflogen, weil wir hier über einen ...
auch noch einen deutschen Anbieter Bitcoin

Marketplace getauscht haben, und wie soll
es anders sein, da wird natürlich Auskunft

gegeben, wer denn der eigentliche
Empfänger ist, und auf welches Sparbuch

das ganze überwiesen wurde. Das heißt hier
kommen wir jetzt zum Satoshi Nakamoto

Award für anonyme Auszahlungen ...
Gelächter

T: ... für eine wohldurchdachte
Spendenplattform ist. Wirklich wirklich

gut gemacht.

L: Bitcoin ist anonym.
T: Ja, ja Bitcoin ist anonym.

L: Und was eigentlich ganz interessant ist

an den Fall, durch eigentlich einfach mal
saubere Polizeiarbeit ohne

Vorratsdatenspeicherung, ohne Responsible
Encryption, ohne Verbot von

Anonymisierungsdiensten hat die Polizei
hier ihre Arbeit geleistet. Es ging ja

hier dann auch nicht mehr nur um
Kleinigkeiten, sondern auf dieser

Plattform wurden Waffen gehandelt. Mit den
Waffen, die dort gehandelt wurden, wurden

Menschen getötet. Und ich denke hier kann
doch einfach mal sagen, die Polizei, die

ja gerne mal quengelt, das irgendwie alle
Daten von ihnen weg sind, und sie immer

mehr brauchen, hat hier einfach mal eine
gute Arbeit geleistet...

Applaus
L: ... ohne uns die ganze Zeit zu

überwachen, ist doch auch mal was das. Ist
doch Schön!

T: Brauchen gar keine
Vorratsdatenspeicherung

L: Können wir anonym bleiben... Aber man
hat natürlich noch sehr viel schönere

Metadaten, mit denen man zum Opfer fallen
kann. Sehr beliebt ist WLAN. Wer von euch

benutzt WLAN? Jetzt melden sich die, die
sich gerade schon gemeldet haben, als die

Frage war, ob sie schon mal eine
Sicherheitslücke gefunden haben.

T: Es heißt ja auch, man soll zum Hacken
irgendwie zu irgendwelchen Kaffeeketten

gehen. Vielleicht keine so gute Idee.
L: WLAN ist nicht mehr nur in eurer

Wohnung, die Signale die ihr da
ausstrahlt, die kommen relativ weit. Das

hat auch ein Mitglied von Anonymous
gelernt, der nämlich am Ende darüber

überführt wurde, dass man einfach vor
seinem Haus so einen Empfangswagen

hingestellt hat, und geguckt hat, wann
denn sein WLAN so aktiv ist. Wann also

sein Computer, wenn auch verschlüsselte
Pakete, durch das WPA verschlüsselte WLAN

und durchs Tor Netz und sieben Proxies und
hast du alles nicht gesehen, die am Ende

einfach nur korreliert: Wann ist der gute
Mann im IRC aktiv, und wenn er aktiv ist,

kann das sein, dass zufällig auch diese
Wohnung, auf die wir unsere Richtantenne

ausgerichtet haben, ein paar WLAN
Paketchen emittiert. Stellte sich heraus,

das war der Fall. Hat ihn am Ende in den
Knast gebracht. Und das spannende ist, wir

haben wir die Unverletzlichkeit der
Wohnung, die brauchten gar nicht rein zu

gehen, weil ihnen der Mensch, der sich
hier anonym halten wollte, quasi seine

Datenpakete frei Haus geliefert hat. Also
man könnte sagen: Ethernet ist OpSec-Net.

Applaus
T: Ein weiterer Killer für Anonymität ist

auch die Möglichkeit, dass so ein
Smartphone, wenn man rumrennt, oder eine

Uhr mit WLAN Funktionalität oder
Bluetooth, die hinterlassenen Spuren wo

man hingeht. Also es gibt ja auch
Marketingfirmen, die Lösungen anbieten,

was sich die MAC Adressen von den
Endgeräten auch zu tracken, also diese

Spuren hinterlässt man, auch wenn man
einfach so auf die Straße geht, und

hinterlässt damit natürlich auch Spuren,
die irgendwie korreliert werden können mit

dem eigenen Verhalten. Und wenn es einfach
nur darum geht, man ist irgendwie zum

bestimmten Zeitpunkt gerade nicht zu
Hause, ...

L: Aber ich bin voll klug, ich kann meine
MAC-Adresse randomisieren. MAC-Changer.

Voll geil.
T: Super. Dein Telefon ist aber auch nicht

nur einfach so an, das kennt irgendwie so
10, 15 oder 20 verschiedene SSIDs, also

verschiedene WLAN Netze, in die du dich
regelmäßig einbuchst, und selbst wenn du

deine MAC-Adresse regelmäßig änderst, wird
dieses Gerät diese Probes regelmäßig

raussenden und hinterlässt damit ein
Profil über dich. Ja, da rechnest du erst

mal nicht mit. Es eigentlich viel
einfacher, dich über so ein Set an

bekannten SSIDs Probes zu identifizieren
als über eine MAC-Adresse. Du hinterlässt

eine sehr starke Identität, egal wo du
hingehst und wo du dich da aufhälst.

L: Ich seh gerade, hier haben wir offenbar
jemanden gefangen in der vierten SSID von

oben, der war sogar schonmal im Darknet.
T: Und im St. Oberholz.

Das ist eigentlich fast das gleiche, oder?
L: Ein echt ärgerliches Phänomen, was die

Hersteller eigentlich meinten beseitigt zu
haben, indem sie dann die MAC Adressen bei

den Probe Requests randomisieren. Aber
einfach nur die Anzahl der WLANs, die eure

Geräte kennen, ist mit wenigen WLANs
sofort eindeutig und spezifisch auf euch

in dieser Kombination. Und nach dieser
Kombination kann man eben überall suchen.

T: Also was kann man hier so ganz
grundsätzlich mal sagen, wenn man

irgendwie Sorge hat, getracked zu werden,
dann sollte man dafür sorgen dass das WLAN

auf allen im Alltag genutzten Devices
ausgeschaltet wird, wenn man die Wohnung

verlässt, oder wenn du irgendwas hackst.
L: Kommt ja manchmal vor....

T: Manchmal.
L: Auch sehr schön, habe ich einen Fall

gehabt, manchmal berate ich Leute, in dem
Fall war das eine Gruppe von

ehrenamtlichen U-Bahn Lackierern ...
Gelächter und Applaus

L: ... die sich dafür interessierten, wie
denn so ihre Arbeitsabläufe zu bewerten

sind. Und die hatten Diensthandys, die sie
nur für den Einsatz beim Kunden benutzt

haben. Was ja erstmal, also es war ja
schön gedacht. Das einzige Problem war

natürlich, sie haben die auch wirklich nur
beim Kunden eingesetzt. Und wenn man jetzt

einmal in so eine Funkzellenabfrage damit
gerät, und die Polizei spitz kriegt: "Oh,

wunderbar, wir machen jetzt einfach jedes
Mal, wenn die ein neues Bild gemalt haben,

so wie die Hacker von Putin, dann machen
wir einfach eine kleine Funkzellenabfrage

und schauen uns mal, welche IMEIs, welche
IMSIs waren denn so in welchen Funkzellen

eingeloggt. Das macht ihr 2, 3 Mal, dann
seid ihr das nächste Mal, wenn ihr im

Einsatz seit, ehrenamtlich, wartet die
Polizei schon an eurem Einsatzort. Denn

Mobiltelefone lassen sich einfach live
tracken, wenn man weiß nach welchen man

sucht. Und auch hier eben ein
wunderschöner Fall von OpSec Fail.

Übrigens wollte ich nur darauf hinweisen,
das ist kein Bild von der angesprochenen

Gruppe. So klug waren die schon, ich habe
einfach irgendeins gegoogelt.

T: Und hier wird ein Pseudonym, also was
weiß ich, irgendein Name dieser Gruppe,

wird dann irgendwann aufgelöst und wird
einer bestimmten Person oder

Personengruppe zugeordnet, und weil halt
über einen längeren Zeitraum immer wieder

diese Metadaten angefallen sind, immer mit
diesem Bild, mit diesem Schriftzug, mit

dem Namen, also diesem Pseudonym
assoziiert werden können, und irgendwann

kommt der Tag, und wenn es nach fünf oder
nach zehn Jahren ist, da wird man das dann

quasi alles auf eine Person zurückführen
können.

L: Das ist echt so dieser Geltungsdrang,
der den Graffiti Sprüher irgendwie immer

wieder zum Verhängnis wird so. Einmal so
eine Bahn zu besprühen, und diese wieder

sauber machen zu lassen, das kriegste
vielleicht noch geschultert, aber wenn du

das irgendwie 20 Mal gemacht hast, und
dann erwischt wirst... Schlecht.

T: Beim 19. Mal denkt man noch: Ey, ich
wurde jetzt 20 mal nicht erwischt, oder 19

Mal...
L: Sie könnten jedes Mal einen anderen

Namen malen oder so.
T: Ja okay, aber das ist ja unter Hacker

ja auch so, es gab ja auch Defacement
Organisationen, die das quasi in der

digitalen Welt ähnlich gemacht haben. Wie
auch immer, wie ich schon am Anfang

angesprochen habe, ist eigentlich das
wichtigste, dass man weiß, was für

Werkzeuge man verwendet. Dass man die
Werkzeuge beherrscht, dass man nicht

einfach irgendwas herunterlädt, weil man
hat davon mal irgend etwas gehört oder ein

Kumpel hat mal was gesagt, oder man hat im
Internet irgendwas gelesen. Kenne dein

Gerät. Setze sich mit der Technik
auseinander, die du da benutzt, und

benutze halt die Technik, die du am besten
beherrscht. Beispielsweise Web Browser.

Das ist schon ein ganz wichtiges Thema,
ich meine viele dieser ganzen Web

Application Geschichten, über die stolpert
man hauptsächlich mit Browsern. Und

heutzutage ist eigentlich völlig egal, was
für einen Browser man benutzt, die haben

alle irgendwelche Macken, irgendwelches
Tracking, oder Telemetry enabled. Das ist

zum Beispiel auch bei Mozilla ein großes
Ding, Wenn man halt eine sehr beliebte

Extension installiert hat, und die zum
Beispiel den Besitzer wechselt, und dieser

neue Besitzer dann einfach klammheimlich
irgendein Tracking einbaut, das alles

schon vorgekommen, kann euch das ....
L: ... da haben wir einen Vortrag drüber

gehabt ...
T: Kann euch das irgendwann den Kopf

kosten, und deswegen müssen ihr ganz genau
wissen: Was benutze ich hier für Tools,

was ändert sich wenn ich dieses Tool
vielleicht mal update, oder irgendwie eine

kleine Extension update. Setzt euch
einfach damit auseinander, denn was die

Werbeindustrie ganz gut drauf hat, ist
euch zu tracken, egal ob ihr jetzt Cookies

akzeptiert oder irgendwie Tracking
disabled habt, die können das ganz gut mit

Browser Footprinting, da gibt es
verschiedene Methoden auf einem ganz

anderen Weg. So wie man eben diese WLAN
Probe Requests irgendwie nutzen kann um da

einen Footprint zur identifizieren, kann
deshalb bei Browsern genauso

funktionieren. Also, was kann man da
machen? Man verwendet vielleicht Wegwerf-

Profile, man sorgt dafür, dass die Daten
zuverlässig von der Festplatte wieder

verschwinden. Idealerweise hat man ja
ohnehin einen Laptop, mit dem man dann

hackt, den mann regelmäßig mal platt
macht. Und man muss dafür sorgen, dass

egal was für einen Browser ihr verwendet,
dass alle Datenlecks zuverlässig gestoppt

werden. Ein Serviervorschlag für so ein
Setup, anonym und mit möglichst wenig

Datenlecks unterwegs zu sein, ist einfach
alles zu trennen, was man trennen kann.

Wenn ihr grundsätzlich davon ausgeht, dass
irgendwo etwas schief gehen kann, und es

wird irgendwo etwas schief gehen, dann
müsst ihr einfach dafür sorgen, dass

dieses Risiko möglichst minimal gehalten
wird. Also wäre eine Möglichkeit: Ihr

benutzt einen Rechner, als Hardware oder
VM, wo ihr eure Hacking Workstation drin

habt, irgend ein Kali oder BSD, oder was
auch immer, und über meinetwegen Hunix

Installation dafür sorgt, dass keine
Datenlecks nach außen gelangen können. Es

wird immer noch irgendwelche Datenlecks
geben, die so ein Hunix nicht abhalten

kann, aber es minimiert zumindest
bestimmte Risiken bevor irgendwelche

Pakete fahrlässig ins große böse Internet
gesendet werden, wo eine Menge Leute

darauf warten. Also deine Geräte, lass
dich nicht beeinflussen von irgendwelchen

Leuten, die halt sagen: "Ne, du musst das
Betriebssystem benutzen, sonst bist du

nicht cool oder sonst kann es ja nicht
mitmachen". Ihr müsst genau das

Betriebssystem benutzen, mit dem ihr euch
am besten auskennt, denn nur wenn ihr euer

System beherrscht und gut kennt, könnt ihr
auch, wisst ihr halt über all diese

Nachteile, die hier eine Rolle spielen,
wisst ihr darüber Bescheid, ihr könnt das

berücksichtigen in eurem Verhalten.
Faulheit ist auch ein großer Killer von

Anonymität, ebenso dieses vorausschauende
OpSec, dass man sagt, ich benutze von

vornherein Tor, auch wenn ich jetzt gerade
nur was im Onlineshop was einkaufen will.

Einfach nur um sicher zu sein, dass man
nirgendwo einfach nur aus Faulheit irgend

einen Schutzmechanismus mal weglässt. Kann
ja auch sein, dass irgendein Target Server

einfach sagt: "Nöö, ich blockier aber Tor
Exit Nodes". Kommt vor. Oder dass zum

Beispiel die Captchas immer lästiger
werden, wenn man über einen Tor Exit Node

kommt. Das ist einfach alles nur dafür da,
euch zu nerven und einfach mal für einen

kleinen Augenblick Tor abzuschalten und
vielleicht normalen VPN-Anbieter zu

benutzen, oder komplett auf irgendeine
Verschleierung zu verzichten. Und ja,

diese Faulheit wird euch im Zweifelsfall
auch das Genick brechen. Was wir in

Zukunft eventuell auch häufiger sehen
könnten ist etwas, das sind Canaries.

Colin Malena hat letztes Jahr auch schon
auf dem Kongress glaube ich über Canaries

in Embedded Devices gesprochen. Das sind
einfach nur irgendwelche Pattern, die in

der Firmware hinterlassen werden, die dann
gemonitored werden, ob jemand danach

googelt. Das heißt, ich kann also auch auf
einem Produktionssystem so eine Art Pseudo

Honeypot installieren, und eine Datenbank
mit scheinbar realen Daten füllen, und

irgendein Angreifer, der halt sehr
neugierig ist, wird das möglicherweise

ausprobieren, ob das Login von der Frau
Merkel dann auch wirklich funktioniert,

oder er wird vielleicht nach irgendeinem
Pattern auch googeln und herauszufinden,

ob sich dann noch mehr holen lässt, um die
Qualität und vielleicht auch den Wert der

erbeuteten Daten auszukundschaften. Das
heißt, da ist auch Neugier dann der Killer

was Anonymität angeht. Und ja, das sind
halt einfach Fallen, die ausgelegt werden,

und man sollte grundsätzlich so eine
gewisse Grundparanoia haben. Man sollte

immer davon ausgehen, das jemand einem
eine Falle stellt.

L: Zum Beispiel auch, wenn das Männchen
vom Elektroversorger kommt, und so was

mitbringt; Wisst ihr, was das ist? Das ist
ein Smart Meter. Auch das natürlich ein

Gerät, was unter der Maßgabe des "Digital
First, Bedenken Second" gerade ausgerollt

wird und eine ganze Menge Metadaten über
euer Verhalten sammelt. Müsst ihr euch

aber nicht unbedingt Sorgen machen, weil
das ist ja vom Bundesamt für Sicherheit in

der Informationstechnik abgenommen, da
kann eigentlich nichts schief gehen. Außer

natürlich, dass Geräte mit
Deutschlandflagge und Adler für die

hacksportliche Nutzung grundsätzlich
ungeeignet sind, deswegen raten wir davon

ab. Und sind gespannt, was wir noch alles
für Metadatenquellen in unserer Zukunft

sehen werden.
T: Ja, und ihr seht schon, es sind nicht

immer nur die technischen Probleme, die
ihr nicht berücksichtigt, das seid auch

ihr selbst, eben dieses ungeduldig sein
oder faul sein, oder wenn man sich gerne

Sachen schön redet und sagt "So naja, nu,
ist jetzt irgendwie 19 Mal gut gegangen,

warum sollte ich jetzt irgendwie immer und
immer wieder den gleichen Aufwand

betreiben, das wird schon schiefgehen.
Warum sollte jemand in dieses Log

gucken". Ist so vergleichbar mit "Warum
sollte irgendjemand diesen Unsinn in

dieses Formularfeld eintragen". Also man
trifft hier Annahmen, die halt fatal sind,

und da muss man halt auch sehr stark
darauf achten, dass man selbst nicht sich

selbst verrät. Die Frage ist zum Beispiel
auch: Geht man oft gerne feiern und

brüstet sich dann vielleicht auf einer
Feier beim Bier irgendwie mit Erfolgen

oder gibt man sich gerne geheimnisvoll? So
gibt man immer wieder gerne auch mal

Geheimnisse preis, die einem das Genick
brechen. Da gibt es auch Fälle, wo dann

Leute aus dem Freundeskreis eben
angefangen haben, Daten auch nach außen

sickern zu lassen. Ansonsten sind das noch
Kleinigkeiten wie ich schon sagte der

Coding-Stil kann ein verraten, das ist wie
eine Handschrift, aber deine

Rechtschreibung und Grammatik ist es auch.
Vielleicht kann man da irgendwelche

Translation-Services benutzen und hin und
her übersetzen, wenn man schon in

irgendwelchen Foren schreiben muss.
Bestimmte Skills, Eigenschaften, die ihr

technisch beherrscht, die andere
vielleicht nicht so gut beherrschen,

können euch auch genausogut verraten. Das
sind am Ende einfach nur einzelne

Indizien, die von Ermittlern oder Leuten,
die euch jagen, kombiniert werden, um

nem plausiblen Beweis zu finden, um euch
zu finden. Ja, ansonsten ist auch oft,

wenn ihr irgendwo was zerhackt habt, dann
hinterlasst hier vielleicht auch

irgendwelche Funktionserweiterer und
Werkzeuge, die es euch erlauben, Sachen

hoch oder runter zu laden. Diese Sachen
bleiben im Zweifelsfall dort liegen, weil

euch jemand die Internetleitung kappt, und
diese Daten können dann halt analysiert

werden. Rechnet immer damit, dass dieser
Fall eintreten kann, und sorgt dafür, dass

sich eure Tools, dass es da keinen
Zusammenhang ergibt zu euch. Ja, ansonsten

eben einfach mal tief durchatmen,
vielleicht ein bisschen diskreter an die

Sache rangehen, und versuchen unter dem
Radar zu bleiben, nicht herum zu posen,

keine Andeutungen zu machen, um damit
irgendwie ein Geheimnis geheimnisvoller

da zu stehen. Nicht übermütig zu werden,
das ist einer der wichtigsten Punkte, und

eben, dieser Geldfall, nicht gierig zu
werden, klar. Geld macht eh nicht

glücklich, also von daher, werde einfach
nicht übermütig. Ich glaube, das ist am

Ende auch ein ganz großer Faktor, wenn man
irgendwie jahrelang irgendwelche Sachen

zerhackt hat, dass man da übermütig wird.
Und, verhaltet euch einfach so wie ihr

euren Eltern das immer auch empfohlen
habt: Klickt nicht auf irgendwelche Links,

die ihr per Spam E-Mail zugeschickt
bekommt. Klickt nicht auf irgendwelche

Anhänge, die euch zugeschickt werden
ungefragt. Und seid einfach nicht so

leichtfertig.
L: Was auch noch zu verräterischen

Schwächen gehört ist auch ein Fall aus dem
Anonymous-Umfeld: Dein Kumpel hat Kind und

Familie, ist erpressbar, und versuchte
dich, ans Messer zu liefern.

T: Ich habe kein Messer dabei...
L: OK. Es gibt eigentlich, wenn ihr euch

das so anschaut, niemanden der das so mit
dem Hacking länger durchgehalten hat, will

man meinen. Aber es gibt einen, das ist
Fisher, kein Mensch weiß wie er aussieht,

kein Mensch weiß ob es mehrere oder wenige
sind. Und diese Person, dieses Pseudonym,

ist ein Staatstrojaner-Jäger, hat einfach
mal Gamma Finfisher aufgemacht, hat in

Italien das Hacking Team aufgemacht, und
vor kurzem gab es dann die frohe Kunde,

dass die Ermittlungsverfahren eingestellt
wurden, weil es keine Spuren gibt, um

irgendwie diese Person oder diesen Hacker
zu finden. Und dafür gibt es von uns

natürlich die lobende Erwähnung und den
Hat-Tip....

Applaus
L: Kommen wir zum Fazit: Pseudonym ist

nicht anonym. Verratet nicht eure Pläne,
seid nicht in der Situation, dass ihr

jemandem vertrauen müsst. Seid vor allem
vorher paranoid, weil nachher geht das

nicht mehr. Kennt eure Geräte, trennt
Aktivitäten und Geräte, es ist sehr

sinnvoll mehrere Geräte zu haben, vor
allem wenn man von der Polizei durchsucht

wird wie Alberto, und die nur die Hälfte
mitnehmen, habt ihr danach vielleicht noch

ein Gerät über. Haltet euer Zuhause rein,
und vor allem lasst die Finger vom

Cybercrime. Andere waren besser als ihr
und haben es auch nicht geschafft. Bitcoin

ist eh im Keller. Also lasst es sein.
Applaus

L: Und dann bleibt uns eigentlich nur noch
ein ein allerletzter wichtiger Rat, und

das ist nie ohne Skimaske hacken.
T: Und immer auch nie ohne Ethik hacken.

L: Und bitte bitte bitte bitte nie ohne
Ethik hacken, den Vortrag über die

Hackerethik, auch dass ein
Einführungsvortrag, den gab es an Tag eins

von Frank Rieger. Ihr könnt euch auch den
Seiten des CCC darüber informieren, spart

euch den Ärger, arbeitet auch der
leuchtend glänzenden Seite der Macht und

seid gute Hacker. Macht keinen Scheiß,
dann aber auch keine Sorgen. Vielen Dank !

Applaus

T: Ich hab auch noch eine.
Applaus

T: Ist bald wieder Fasching, ne
Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2019. Mach mit und hilf uns!