Thema: Sicherheitskonferenz Black Hat / DeepSec /Defcon etc.

[SiLæncer]

Nach Google Chrome und Microsofts Internet Explorer haben sich die Teilnehmer des Hackerwettbewerbs Pwn2Own auf der Sicherheitskonferenz CanSecWest auch den Firefox vorgenommen. Vincenzo Iozzo und Willem Pinckaers konnten dem Mozilla-Browser über eine bislang unbekannte Sicherheitslücke – einen Zero-Day-Exploit – Schadcode unterschieben und gewannen damit den mit 30.000 US-Dollar dotierten zweiten Preis des Wettbewerbs. Der erste Preis und damit 60.000 Dollar gingen an das Team der Sicherheitsfirma Vupen für das Knacken von Chrome und IE.

Pinckaers und Iozzo nahmen sich Firefox in der aktuellen stabilen Version 10.0.2 unter Windows 7 SP 1 vor. Wie ZDNet berichtet, nutzten die beiden eine "Use-after-free"-Schwachstelle aus, bei der auf einen bereits freigegebenen Speicherbereich zugegriffen wird,und hebelten die die Schutzfunktionen Datenausführungsverhinderung (Data Execution Prevention, DEP) sowie Speicherverwürfelung (Address Space Layout Randomization, ASLR) aus.

Quelle : www.heise.de

[SiLæncer]

Auf der nächste Woche stattfindenden Hackerkonferenz DEFCON wollen amerikanische Forscher eine Studie vorstellen, die zeigt, wie sich Persönlichkeitsprofile aus Twitter-Meldungen erstellen lassen. Das könnte auch die Ermittlungsbehörden interessieren.

Narzisstisch, sozial inkompetent oder ein Psychopath - über Twitter kann man es herausfinden, zumindest wenn es nach den an der Studie beteiligten Forschern geht. Der Algorithmus untersucht Tweets auf bestimmte Schlüsselwörter, die auf emotionale Stimmung schließen lassen, darunter fallen Schimpfwörter, Beleidigungen oder Füllwörter. Auch Begriffe wie "Hass" werden von dem Algorithmus erfasst und zur Auswertung herangezogen.

Eigentliches Ziel der Studie war es, eine andere Studie zu widerlegen. Damals wurden Texte von Psychopathen auf bestimmte Muster untersucht.

Chris Summer, einer der an der Studie Beteiligten, erklärte zu dem Nutzen der Software: "Das FBI könnte so mögliche Missetäter markieren, aber ich glaube, dass unsere Ergebnisse eher von Interesse für Psychologen und deren Verständnis von großen Gemeinschaften sein dürfte." Doch es dürfe nicht auszuschließen sein, dass eben diese Software Strafverfolgungsbehörden bei der Überwachung und Klassifizierung von Menschen helfen könnte. Quasi ohne Aufwand könnten die Behörden das Netz filtern und sich bestimmte Personengruppen aussuchen, bei denen die Software Alarm schlägt. Doch Chris Summer ist kritisch, was diesen Verwendungszweck angeht: "Nur weil jemand einen hohen Wert auf einer Skala hat, heißt das noch lange nicht, dass dieser kriminell ist. Aber dennoch sind die Ergebnisse interessant, denn nun kann man eine große Gruppe von Menschen analysieren und herausfinden, ob wir tatsächlich unsozialer werden." Eine wirlich wirksame Gegenwehr gegen eine solch mögliche Fandungsmethode gibt es aber nicht, außer "Schützen Sie ihre Tweets und verstecken Sie sie."

Quelle : www.gulli.com

[SiLæncer]

Mit der Ankündigung, erstmals an der Hackerkonferenz Black Hat teilzunehmen, weckte Apple im Vorfeld große Erwartungen. Wer sich jedoch auf einen offenen Dialog mit dem sonst so verschlossenen Unternehmen gefreut hat, erlebte eine herbe Enttäuschung.

Für manche Menschen gehört Zeit zum Wertvollsten, was sie zur Verfügung haben. Und genau diesen Schatz hat Apple einem Raum voller IT-Sicherheitsexperten geklaut: Den ersten Auftritts des Konzerns überhaupt während der IT-Sicherheitskonferenz Black Hat in Las Vegas verwendete Dalles De Atley, verantwortlich für die Sicherheit des Smartphone- und Table-Betriebssystems iOS darauf, den Inhalt eines vor einiger Zeit veröffentlichten Whitepapers detailgetreu vorzutragen – und kein Wort mehr.

    Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Der von HPs Zero Day Initiative (ZDI) veranstaltete Hackerwettbewerb Pwn2Own 2013 ist sehr erfolgreich gestartet – zumindest für die teilnehmenden Hacker. Bis Donnerstagnachmittag war bereits so ziemlich alles geknackt, was Rang und Namen hat: Chrome, Firefox, der Internet Explorer 10 unter Windows 8, der Adobe Reader 11 und – wenig überraschend – gleich vier mal Java. Einige der entdeckten Schwachstellen wurden bereits geschlossen. Der dreitägige Wettbewerb wird noch bis einschließlich am heutigen Freitag auf der Sicherheitskonferenz CanSecWest in Vancouver, British Columbia ausgetragen.

Die höchstmögliche Prämie von 100.000 US-Dollar haben zwei Teams kassiert: Zum Einen Vupen für das Knacken der aktuellen Internet-Explorer-Version 10 auf einem vollständig gepatchten Surface-Pro-Tablet mit Windows 8. Vupen erklärte via Twitter, dass hierzu zwei zuvor unbekannte Internet-Explorer-Lücken (Zero Day) nötig waren. Beim Aufruf einer speziell präparierten Webseite wurde Code auf dem Testsystem ausgeführt.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Nach einem Posting auf der offiziellen Google-Plus-Seite für den Chrome-Browser hat Google den diesjährigen Pwnium-Wettbewerb beendet, bei dem es darum ging, Sicherheitslücken in Googles Betriebssystem Chrome OS zu finden. Den Hackern winkten je 110.000 oder 150.000 Dollar, wenn sie es geschafft hätten, sich über eine manipulierte Webseite Zugriff auf einen Computer Chrome OS zu verschaffen. Insgesamt waren bis zu 3,14159 Mio US-Dollar (2,3 Millionen Euro) ausgelobt, eine Anspielung der Mathe-Fans bei Google auf die Kreiszahl Pi. Allerdings hat offensichtlich kein Hacker es geschafft, Chrome OS vollständig zu knacken. Google überprüfe dem Posting zufolge einige Einreichungen daraufhin, ob sie Teil-Exploits darstellen.

Der Zeitpunkt der Veranstaltung, der gestrige Donnerstag, war übrigens geschickt gewählt: Der Chrome-Browser, das Herzstück von Chrome OS, wurde bereits Mittwoch im Rahmen des Pwn2Own-Wettbewerbs auf Sicherheitslücken abgeklopft (Preisgeld dort: 100.000 US-Dollar) – und geknackt worden. Die auf der Schwesterveranstaltung Pwn2Own präsentierten Lücken hatte Google dann schon vor Pwnium geschlossen.

Quelle : www.heise.de

[ritschibie]

Die Präsentation der Sicherheitsprobleme
lief unter einem provokanten Titel.
Bild: Uli Ries

Der russische Sicherheitsexperte Nikita Tarakanov hat im Rahmen der gerade stattfindenden Hackerkonferenz Black Hat Europe die Resultate seiner Analyse der Treiber-Software präsentiert, die Huawei mit seinen UMTS-Sticks ausliefert. Er attestiert den diversen Komponenten – Treiber, Konfigurationssoftware, Update-Mechanismus – durch die Bank weg miese Qualität.

Als riesiges Einfallstor für Angreifer identifizierte Tarakanov den zentralen Update-Server: Die Huawei-Software installiert auf jedem Rechner eine Komponente zum automatischen Update der Anwendungen und Treiber. Alle 15 Minuten kontaktiere der betreffende Service einen Server in den Niederlanden und fragt dort nach Updates. Dem Hacker zufolge läuft der Webserver noch auf Microsofts angestaubter Version 6.0 des Internet Information Server (IIS), der in Windows Server 2003 integriert ist. "Wer diese Maschine hackt, kann Millionen von Rechnern auf der ganzen Welt mit Schadsoftware infizieren", sagte Tarakanov.

Der ganze Artikel

Quelle: www.heise.de

[SiLæncer]

In einem Blog-Eintrag auf der Konferenzwebsite bittet Defcon-Gründer Jeff Moss (aka The Dark Tangent) darum, dass sich keine Bundespolizisten unter die Teilnehmer der Anfang August stattfindenden Defcon mischen. Die jüngsten Erkenntnisse rund um die umfangreichen Spähprogramme der US-Regierung machten es vielen Hackern schwer, unbefangen mit den Gesetzeshütern umgehen zu können. Von daher bittet Moss die FBI-Agenten – umgangssprachlich "Feds" genannt, um eine Auszeit. "Das gibt allen die Zeit, darüber nachzudenken, wie es so weit kommen konnte und was als nächstes folgt", so Moss.

Der Wunsch von Moss ist insofern ungewöhnlich, als dass FBI-Vertreter jahrelang geduldet, wenn auch argwöhnisch beäugt wurden. Die Hassliebe ging soweit, dass es den Wettbewerb Spot the Fed (Finde den FBI-Agenten) gab: Defcon-Besucher, die einen der Behördenvertreter ausfindig machen und den Entdeckten zu einem Auftritt auf offener Bühne überreden konnten, bekamen eine Trophäe. In aller Regel Gegenstände aus Beständen der Bundespolizisten: Tassen, T-Shirts, Mauspads mit dem offiziellen FBI-Emblem.

Außerdem sind US-Verteidigungsministerium und die jetzt im Kreuzfeuer stehende NSA schon seit Jahren mit Ständen auf der Defcon vertreten, um talentierten Hackern Jobs anzubieten. Im vergangenen Jahr hielt der NSA-Boss General Keith Alexander sogar einen viel diskutierten Vortrag am ersten Tag der Defcon.

Die Defcon findet vom 1. bis zum 4. August dieses Jahres im Rio Hotel & Casino Las Vegas, Nevada statt.

Quelle : www.heise.de

[SiLæncer]

Ein Sicherheitsforscher hat eine Schwäche in TLS (Transport Layer Security) ausgemacht, die durch die standardisierte TLS-Erweiterung für Session Tickets hervorgerufen wird. Gelangt ein Angreifer an den Speicherinhalt des Webservers, kann er alle mitgeschnittenen Verbindungen auch im Nachhinein entschlüsseln.

Florent Daignière hat sich eingehend mit der in RFC5077 definierten TLS-Extension befasst, die den Einsatz von Session Tickets vorsieht. Diese Tickets werden beim Verbindungsaufbau einmalig vom Server erzeugt und dann vom Client gespeichert. Bei einer folgenden Verbindung entfällt damit der Handshake zwischen Client und Server, da der Client nur noch das gespeicherte Ticket übermitteln muss. Dies senkt die CPU-Last des Webservers, was insbesondere bei stark ausgelasteten Maschinen, die viele Clients gleichzeitig versorgen müssen, ein Vorteil ist.

Das Problem tritt Daignière zu Folge auch auf, wenn Verfahren mit Perfect Foward Secrecy zum Einsatz kommen. Wie im Rahmen seiner Black-Hat-Präsentation ausführt, bleiben die Tickets vergleichsweise lange gültig. Im Fall einer Standard-Installation von OpenSSL beispielsweise, bis der Prozess auf dem Server neu gestartet wird. Im Fall neuerer Apache-Versionen obliegt es dem Anwender, einen sinnvollen Wert festzulegen.

In der Praxis bedeutet dies, dass ein Angreifer im Fall von OpenSSL sehr lange Zeit hat, um sich den Speicherinhalt anzueignen. Bekommt er diesen in seine Fänge, kann er aus dem im Speicher liegenden Schlüsselmaterial relativ leicht den jeweiligen Master Key erzeugen, mit dem sich die einzelnen, zuvor mitgeschnittenen und per TLS gesicherten Verbindungen nachträglich entschlüsseln lassen. Florent Daignière hat zum Extrahieren des Keys ein kleines Tool programmiert, das den Speicherdump durchsucht und die relevanten Daten automatisch herausfiltert. Er will es in Kürze veröffentlichen.

Wie ein Angreifer an den Speicherinhalt des Servers gelangt, führte Florent Daignière nicht genauer aus. Er verwies lediglich auf Memory-Disclosure-Bugs, die sich regelmäßig in weit verbreiteten Anwendungen und auch OpenSSL fänden.

Quelle : www.heise.de

[SiLæncer]

Nach der Anklage von fünf mutmaßlichen chinesischen Hackern will die US-Regierung nun angeblich chinesischen Bürgern die Einreise verweigern. So sollen Chinesen von den Hacker-Konferenzen Black Hat und Defcon in Las Vegas ferngehalten werden.

Die US-Regierung will angeblich verhindern, dass Personen mit chinesischem Pass in die USA einreisen, um die Sicherheitskonferenzen Defcon und Black Hat zu besuchen. Man wolle zu diesem Zweck Visa-Anträge von entsprechenden Personen ablehnen, berichtet das Nachrichtenportal Ars Technica mit Berufung auf ungenannte Regierungsquellen, die sich gegenüber Reuters entsprechend geäußert hätten.

Amerikanische Behörden hatten vergangene Woche fünf mutmaßliche Hacker des chinesischen Militäts angeklagt. Die chinesische Regierung weist die Vorwürfe zurück und hatte den US-Botschafter in Peking einbestellt, um die Rücknahme der Anklage zu fordern. Als Reaktion jetzt chinesische Besucher der Hacker-Konferenzen fernhalten zu wollen, sei ein rein symbolischer Akt, so die Organisatoren der Defcon und der Schwesterkonferenz Black Hat. Die Vorträge würden in der Regel aufgezeichnet und nach den Konferenzen im Netz verteilt, erklärte Black-Hat-Organisator Chris Wysopal.

Laut den Konferenzveranstaltern besitzen mehrere Redner auf der diesjährigen Black-Hat-Konferenz einen chinesischen Pass. Dagegen sei keiner der Defcon-Redner Chinese. Beide Konferenzen finden in diesem Jahr kurz nacheinander Anfang August statt.

Quelle : www.heise.de

[SiLæncer]

Bitcoin-Schürfer nutzen sogenannte Mining-Pools, um ihre Schürfleistung zu bündeln und ihre Erträge zu verbessern. Ein Angreifer hat jetzt einen Weg gefunden, das erwirtschaftete Kryptogeld über Hardware eines Internet Service Providers direkt in die eigene Tasche zu leiten.

in Angreifer hat massenweise Kryptomünzen-Schürfer betrogen, in dem er deren Schürf-Erträge auf dem Weg zum Mining-Pool in seine eigene Tasche umgeleitet hat. Damit soll er 84.000 US-Dollar in Bitcoins verdient haben. Außerdem hijackte er die Erträge von Schürfern anderer Kryptowährungen wie Dogecoin, WorldCoin und HoboNickel.

Dem Angreifer gelang dies, in dem er sich in die Systeme eines kanadischen Internet Service Providers (ISP) einhackte und die Einstellungen des Border Gateway Protocol (BGP) eines Routers änderte. Bei dem Angreifer soll es sich eventuell um einen Mitarbeiter oder früheren Mitarbeiter des Service Providers gehandelt haben.

Gefunden haben den Angriff Forscher von Dell SecureWorks nachdem ein Teil ihrer eigenen Schürf-Erträge abgeleitet worden war. Gegenüber der britischen Zeitung The Guardian erklärte einer der Forscher den Angriff am Rande der Konferenz Black Hat 2014, die heute in Las Vegas zu Ende geht, wollte aber den Namen des ISPs nicht nennen.

Der Angriff hätte sich laut den SecureWorks-Forschern verhindern lassen, in dem der Mining-Pool die Verbindung zu den Schürfern mit SSL gesichert hätte. Die Forscher nannten den Angriff bewundernd "eine großartige Idee", zumindest aus technischer Sicht, und merkten noch an, dass der Angreifer wohl gezielt nach Schürfern mit kraftvoller Hardware gesucht hatte, um mehr zu erwirtschaften.

Quelle : www.heise.de

[SiLæncer]

Knapp drei viertel aller gängigen mobilen Terminals zum Auslesen von Kreditkarten basieren auf der selben Hard- und Software. Forscher haben demonstriert, wie sie die Geräte unter Kontrolle bringen und so dem Kartenmissbrauch Tür und Tor öffnen.

Der Sicherheitsexperte Jon Butler und ein Kollege, der einfach unter dem Vornamen Nils auftritt, haben schwerwiegende Lücken im mobilen Kassensystem Miura Shuttle entdeckt und ihre Erkenntnisse auf der Sicherheitskonferenz Black Hat 2014 vorgestellt. Die mobile POS (Point of Sale)-Hardware dient den Forschern zufolge als Grundlage für zahlreiche weitere mPOS-Produkte anderer Anbieter – darunter wahrscheinlich auch des Platzhirsches PayPal – und kommt somit auf einen Marktanteil von geschätzt 75 Prozent. Welche dieser Hersteller noch von den aufgespürten Schwachstellen betroffen sind, wollten Butler und Nils nicht sagen.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Jedes Jahr werden auf der Black-Hat-Konferenz mit einer glamourösen Zeremonie die Pwnie Awards verliehen. Dieses Jahr ging der Security-Oscar unter anderem an Heartbleed, Apple, den Hacker Geohot und Mt.Gox-Chef Mark Karpeles.

Die Pwnie Awards, die Oscars der Security-Gemeinde, prämieren sowohl die coolsten Hacks als auch die heftigsten Fehler des Jahres. Gewonnen haben dieses Jahr unter anderem Heartbleed, AVG, Apple mit dem GotoFail-Bug und Mt.Gox-Chef Mark Karpeles. Die offizielle Bestätigung der Gewinner durch die Organisatoren der Pwnies lässt allerdings weiterhin auf sich warten, da diese nach eigenen Angaben noch nicht nüchtern sind. Dazu muss man wissen, dass auf die Siegerehrung eine Party folgt, die legendäre Ausmaße erreichen soll.

Der Pwnie für den beeindruckendsten Server Bug geht in diesem Jahr, natürlich, an Heartbleed. Dessen Entdecker sagte beim Entgegennehmen des Preises, er habe die Lücke vor allem deswegen öffentlich gemacht, um einen Pwnie Award zu gewinnen. Leer aus ging Dan Farmer, der dieses Jahr kolossale Bugs im Fernwartungsprotokoll IPMI offenlegte. Den Pwnie für den besten Client Bug räumte Geohot ab, der vier Sicherheitslücken aneinander reihte, um Chrome beim Pwnium-Wettbewerb das Handwerk zu legen. Damit setzte er sich gegen Heartbleed und Apples GotoFail durch.

It's not a bug, it's a feature

Weniger freuen wird sich Antiviren-Hersteller AVG: Die Firma darf sich nun mit dem Pwnie für die "Lamest Vendor Response" schmücken. Denn wer schon im LAN einer Firma ist, sollte sich auch auf der Verwaltungssoftware für die im Netz installierten Virenscanner anmelden dürfen, um diese abzuschalten. Auch ohne gültiges Passwort.

Getoppt wird AVG da allerdings noch von Apple, die den "Most Epic Fail" verbuchen können. Vorhersehbar, denn GotoFail liest sich wie die Definition dieser Rubrik. Eine einzelne Zeile C-Code hatte die SSL-Implementierung von Mac OS und iOS komplett unwirksam gemacht. Wenn das Sprungziel dann auch noch "fail" heißt, ist der Pwnie schon absehbar. In jedem anderen Jahr wäre das mit Abstand der schlimmste Bug des Jahres geworden, doch zum Glück für Apples Image kam Heartbleed und überschattete alles.

Der dümmste Programmierer in der Geschichte der Menschheit

Auch die insolvente Bitcoin-Börse Mt.Gox bekam ihr Fett weg. Dessen Chef Mark Karpeles bekam den Pwnie für "Most Epic 0wnage", denn er hatte sich durch grundlegende Mängel in seiner Software hunderte Millionen Dollar in Bitcoins seiner Kunden stehlen lassen. Die Pwnie-Organisatoren fassen das in der Nominierung wie folgt zusammen: "Karpeles ist entweder der dümmste Programmierer in der Geschichte der Menschheit oder er war beim Diebstahl der Bitcoins seiner Kunden nicht ganz unschuldig."

Zum Abschluss gilt es noch die Gewinnerin des Pwnies für den besten Song zu würdigen. In diesem Jahr ist das eine leichte A-capella-Ballade zur Melodie von "Jingle Bells". Gewinnerin 0xabad1dea konnte sich mit dem mit leichter Stimme vorgetragenem "The SSL Smiley Song" gegen die 50-Cent-Parodie "I'm a C I Double S P" und weitere Konkurrenten wie NYAN und Dale Chase durchsetzen.

Quelle : www.heise.de

[SiLæncer]

Ein IT-Sicherheitsexperte hat schwerwiegende Lücken in den Servern gefunden, über die Internetprovider die DSL-Router ihrer Kunden fernwarten. Angreifer könnten so massenhaft Router kapern und etwa manipulierte Firmware in die Geräte einspielen.

Shahar Tal von CheckPoint Software hat in Server-Software, die weltweit von Providern zur Fernkonfiguration von Routern verwendet wird, mehrere Schwachstellen entdeckt: Die bei vielen Providern auf den zuständigen Auto Configuration Servern (ACS) installierte Software weist Schwachstellen auf, die sich aus der Ferne mißbrauchen lassen. Tal entdeckte bei einer Stichprobe einen Provider aus dem mittleren Osten, über dessen fehlerhaftes ACS er Zugriff auf über 500 000 DSL-Modems seiner Kunden bekam.

Der ACS und die Router der Teilnehmer kommunizieren miteinander über das seit einigen Jahren weltweit verbreitete Protokoll TR-069 (Technical Report 069). Einer Statistik aus dem Jahr 2011 zufolge sind zirka 150 Millionen Breitband-Router für TR-069 ausgelegt. Neben DSL-Endgeräten gehören auch von Kabel-Providern ausgegebene Kabelmodems und -Router dazu. TR-069 haben viele Router-Hersteller erst auf Verlangen von Netzbetreibern und Providern in ihre Router implementiert. Bei den frei auf dem Markt erhältlichen Routern ist die TR-069-Funktion in der Regel abgeschaltet und nur auf Wunsch einschaltbar. Hingegen ist sie bei den von Providern gestellten, oft baugleichen Geräten in aller Regel aktiviert und nicht abschaltbar. Auch die in Deutschland beliebte Fritzbox von AVM eignet sich für TR-069. Bei den frei im Handel erhältlichen Modellen lässt sich TR-069 abschalten.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Jennifer Granick, Anwältin und streitbare Verteidigerin der Meinungsfreiheit, eröffnete die Sicherheitskonferenz Black Hat. In ihrer Ansprache zählte sie Punkte wie staatliche Überwachung als Anzeichen für den langsamen Tod des freien Internets auf.

Jennifer Granick, Anwältin und streitbare Verteidigerin der Meinungsfreiheit, bezeichnete während ihrer Eröffnungsansprache zur Hackerkonferenz Black Hat 2015 ein freies, unzensiertes Internet als ihren Traum – den sie nach und nach dem Tod entgegengehen sieht. Sie erwartet, dass das Netz durch subtile und weniger subtile Zensur, Kontrolle und staatliche Überwachung zu einem ähnlich langweiligen Massenmedium wird wie das Fernsehen.

Sie sieht unter anderem deswegen so schwarz, weil selbst demokratisch gewählte Regierungen, die im Rahmen von Grundgesetzen und dem Verständnis für Meinungsfreiheit agieren, der Freiheit empfindlich zusetzen. Die nächste Milliarde Internetnutzer komme aus Staaten, die keine solchen Regelungen kennen und dem Netz mit der ihnen eigenen Kontrollwut begegnen würden.

Vor 20 Jahren sah sie im Internet noch einen Ort, an dem sich all die austoben konnten, die mit Technik spielen und Soft- sowie Hardware untersuchen, verändern und per Reverse Engineering verstehen wollten. Diverse Gesetze habe das im Lauf der Zeit unmöglich gemacht. Aber auch die Passivität, mit der die Web-Nutzer diese Einschränkungen hinnähmen, trüge zum langsamen Dahinsiechen bei. Dazu komme, dass es einige wenige Engpässe gebe – Level 3 für Glasfaserverbindungen, Google für Suche und E-Mail, Amazon für Cloud-Dienste und so weiter –, die eine effiziente staatliche Kontrolle und Zensur möglich machen.

Produkthaftung bei Software

Auch die Produkthaftung bei Software war Thema der Ansprache: Granick ist, genau wie Konferenz-Gründer Jeff Moss, davon überzeugt, dass es über kurz oder lang Regelungen zur Produkthaftung bei Software geben wird. Sie unterscheidet hierbei zwar zwischen klassischen Softwarelösungen, wie sie Oracle und Microsoft böten, und vernetzten, softwaregesteuerten Geräten des Alltags. Im Fall von letzteren werde es schneller gehen, wenn netzwerkfähige Toaster abfackeln oder computergesteuerte Autos Menschenleben kosten. Solche Regelungen würden zwar die Entwicklungskosten in die Höhe treiben und Fortschritt behindern. Dennoch seien sie "unausweichlich".

Bekannt wurde Jennifer Granick, die seit über 20 Jahren als Teilnehmerin der Hackerkonferenz Defcon beiwohnt, in der Vergangenheit unter anderem als Vertreterin der Electronic Frontier Foundation (EFF). Sie verteidigte Hacker wie Kevin Poulsen oder Aaron Swartz und stand auch Jeff Moss, Gründer der Konferenzen Black Hat und Defcon, als Rechtsbeistand zur Seite. Heute ist sie Director of Civil Liberties am Stanford Center for Internet and Society.

Quelle : www.heise.de

[SiLæncer]

Das Rüstungsabkommen Wassenaar scheidet die Security-Gemeinde, jetzt soll HP sein Engagement beim Pwn2Own-Event deswegen beendet haben. Da Zero-Day-Lücken gegen die Exportbestimmungen verstoßen könnten, ist der Wettbewerb wohl zu heikel.

Wie der Organisator des Hacking-Events Pwn2Own über Twitter bekannt gab, muss die nächste Ausgabe ohne Hauptsponsor Hewlett-Packard (HP) auskommen. Dragos Ruiu, Erfinder und Ausrichter der in Security-Kreisen hoch angesehenen Schwachstellen-Jagd, habe dies von der zu HP gehörenden Zero-Day-Initiative (ZDI) erfahren. Schuld sei ein Exportabkommen für Rüstungsgüter, das sogenannte Wassenaar Arrangement. Bei Pwn2Own können Hacker hunderttausende US-Dollar an Preisen für Lücken in Desktop- und Mobilgeräten abräumen – große Teile des Preisgeldes kommen von HP.

Die Firma hatte zwar bereits ein Pwn2Own-Event im März gesponsort, das fand allerdings auf der CanSecWest-Konferenz in Kanada statt. Die aktuelle Ausgabe soll im November in Japan steigen und genau da liegt der Hase im Pfeffer: Im Gegensatz zur kanadischen Umsetzung des Wassenaar-Abkommens seien die japanischen Gesetze so unübersichtlich, dass die Anwälte von HP das Hacker-Event für zu riskant halten. Insgesamt habe HP über eine Million US-Dollar ausgegeben, um die Konsequenzen des Wassenaar-Abkommens abzuschätzen, sagte Ruiu gegenüber der US-Nachrichtenseite Ars Technica.

Schadcode als Rüstungsgut

Änderungen des Wassenaar Arrangement, die seit Anfang des Jahres in Kraft sind und von den einzelnen Unterzeichner-Staaten separat umgesetzt werden müssen, besagen, dass auch Schadcode und Schwachstellen unter die Exportbeschränkungen von Rüstungsgütern fallen. In welchem Umfang dies zutrifft, ist momentan sehr unklar und wird seit Monaten von der Security-Gemeinde debattiert. Wie der aktuelle Fall zeigt, scheinen auch lokale Nuancen bei den Umsetzungen des Abkommens dabei durchaus schwer ins Gewicht zu fallen.

Die Anwälte von HP haben offensichtlich Angst, dass den Sicherheitsforschern die Ein- beziehungsweise Ausfuhr von Speichermedien mit Exploits zum Verhängnis werden könnte. Und eben solche Exploits sind die Ausrüstung, die Hacker dabei haben müssen, um bei Pwn2Own mitzumachen. Immerhin müssen sie live vor Zeugen das entsprechende Gerät übernehmen und brauchen dazu Schwachstellen in dessen Software, die am besten niemand anderes kennt – also genau jene Zero-Day-Exploits die unter Umständen den Exportbeschränkungen von Wassenaar unterliegen. HP will wohl nicht mit den Konsequenzen assoziiert werden.

Pwn2Own bleibt bestehen

Ruiu will nun erst einmal alleine mit Pwn2Own weitermachen. Die HP-Preisgelder sind nicht die einzigen Kollateralschäden, die die Unsicherheit über die Wassenaar-Änderungen nach sich zieht. Unter anderem hatte ein Sicherheitsforscher Mitte des Jahres bereits aus dem selben Grund die eigene Dissertation beschnitten. Eine Anfrage von heise Security, ob Wassenaar der Grund für den Ausstieg bei Pwn2Own ist, ließ HP bis jetzt unbeantwortet. Es kursieren ebenfalls Gerüchte, dass die Firma sich aus dem Engagement zurückzieht, weil sie den Verkauf ihrer Tochter Tipping Point erwägt. Auch die ZDI gehört zu Tipping Point.

Quelle : www.heise.de