Thema: CCC Hackerkongress / Hacking at Random ...

[SiLæncer]

Mit einer "kleinen Geschichte der Technikbegeisterung" eröffnete der Autor Peter Glaser heute Vormittag den 21. Chaos Communication Congress in Berlin. Am Beispiel der Raketenentwicklung in Deutschland vor und während des 2. Weltkriegs zeigte er auf, dass die Technik in Wissenschaft und Forschung meist allein zum Selbstzweck ernannt wird. Sie werde als "Kristallisation von Vernunft und Erfindungsgabe" gefeiert, während die Einsatzmöglichkeiten und Folgen unbedacht blieben. Die Verantwortung werde vielmehr auf die Maschine selbst übertragen, wie sich spätestens mit den "Kill-Boxes" auf den technologisierten Kriegsschauplätzen seit dem Golfkrieg gezeigt habe. Demgegenüber stellte es Glaser als Grundvoraussetzung des Hackens heraus, die Verbindung zwischen Technik und Moral nicht zu kappen.

Die "üblichen Verdächtigen" -- so das diesjährige Motto der größten regelmäßig stattfindenden europäischen Hackerparty -- mussten vor dem Berliner Congress Center lange Schlange stehen. 40 Euro kostet der Dreitagespass für das Treffen der "kreativ-schöpferischen" Techniknutzer. Jenseits der Verwirrung am Eingang bemüht sich der einladende Chaos Computer Club (CCC) dieses Jahr allerdings um eine bessere Organisation der Großveranstaltung.

Erstmals gibt es ein offizielles Weblog sowie ein öffentliches Wiki-System für den Chaotentreff. Besonderen Wert legt das Organisationsteam auf "Internationalität": Zwei Drittel der Vorträge sind in Englisch. "Es riecht professioneller", merkte ein langjähriger Congress-Besucher an. Ob sich das mittelfristig auch auf die maschinell gequirlte Luft im riesigen "Hackcenter" im Untergeschoss beziehen lässt, wird sich noch herausstellen.

Probleme gibt es derweil noch mit dem Netzwerk, einer der unersetzbaren Komponenten des Hackertreffens. Man habe zwar "zufällig" direkt am Heiligen Abend mehr Ausrüstung für die Netzkommunikation erhalten, als ursprünglich geplant, erläuterte Mitorganisator Tim Pritlove. Bis zu 1 GBit/s Upload sei möglich. Die Umgebung auf einem Hackerkongress sei aber "die feindlichste, die man sich vorstellen kann", entschuldigte Pritlove das bis zum Mittag noch nicht funktionierende WLAN und die teils mangelhafte Datenratenversorgung.

"Nur das Chaos lebt", bestätigte Glaser den CCC in seinem Kurs. Die größte Gefahr für die Menschheit sei die Ordnung, deren Vollendung in der Abschaffung des störenden Lebens und der Herrschaft der Maschinen liege. Doch es könne nicht die einzige Aufgabe des Menschen sein, als "Gewürz eine Spur Unordnung in den Kabelsalat zu bringen". Der literarische Althacker zitierte einen Aphorismus von Karl Krauss, dass es nur eine Möglichkeit gebe, sich vor der Maschine zu retten: sie zu benutzen. Glaser erinnerte an die lange und von der kritischen Denkweise der Aufklärung geprägte Tradition der Hacker, auf eine offene Teilnahme aller Interessierter an den Möglichkeiten der Technik und der Vernetzung zu drängen. Dazu gehöre auch der Kampf gegen Systeme zum Digital Rights Management (DRM), das Glaser mit "Entrechtungsmanagement" übersetzte. "Geht es nach dem Willen nach DRM-Falken, wird es ein Eigentumsrecht an digitalen Dateien überhaupt nicht geben", warnte er.

Neben dem eigentlichen Konferenzprogramm locken dieses Jahr zahlreiche Begleitveranstaltung wie die Meisterschaften im Lockpicking, dem nicht-destruktiven Weg zum Öffnen physikalischer Schlösser, und die erste Entwicklerkonferenz der internationalen Wikipedia-Gemeinde.

Quelle : www.heise.de

[SiLæncer]

Die Open-Source-Gemeinde geht vermehrt juristisch gegen Firmen vor, die sich nicht an die Spielregeln der GNU General Public License (GPL) halten. "Wir wollen zeigen, dass die GPL nicht irgendeine Erklärung ist, sondern eine Lizenz, die durchgesetzt werden kann", sagte Harald Welte, Mitautor des Open-Source-Projekts netfilter/iptables, heute auf dem 21. Chaos Communication Congress in Berlin. Der Vorreiter der Bewegung hat inzwischen 120 Verletzungen dokumentiert. "Gegen etwa 25 davon sind wir vorgegangen", sagte Welte. Obwohl er selbst kein Anwalt sei, verbringe er inzwischen ein Drittel seiner Zeit mit derlei Verfahren. Vergleichbare Rechtsstreitigkeiten, mit denen Entwickler freier Software vor allem auf die Veröffentlichung des Quellcodes auch kommerzieller Softwareprodukte mit GPL-lizenzierten Programmbestandteilen drängen, dürften sich laut Welte angesichts des Erfolgs von Linux weiter häufen.

Auslöser der Abmahnwelle war ein Streit mit Linksys, einem inzwischen von Cisco aufgekauften Hersteller von WLAN-Routern. "Die haben auf Zeit gespielt", ärgert sich Welte. Zunächst seien nur Teile veröffentlicht worden, erst vier Monate nach der Beschwerde sei die volle Konformität mit der GPL hergestellt worden. Kosten hätten sich daraus für Cisco nicht ergeben, nicht einmal schlechte Presse. Es habe keinen Anreiz zur Änderung des Verhaltens gegeben, klagte Welte. "Die hätten das jederzeit wieder machen können."

Da die Free Software Foundation (FSF), die prinzipiell über die GPL wacht, einen recht zurückhaltenden Ansatz bei der Verfolgung von Lizenzrechten hat, starteten die Entwickler des netfilter/iptables-Projekts eine eigene Durchsetzungskampagne. Die Palette reicht dabei von einer anwaltlichen Warnung über die Aufforderung zur Unterzeichnung einer Unterlassungserklärung bis zum Antrag einer einstweiligen Verfügung gegen einen Lizenzverletzer. Zweimal sei dies bereits nötig gewesen. In der Regel kommt es aber -- wie im Fall Fujitsu-Siemens -- zur rascheren, außergerichtlichen Einigung. "Dafür erwarten wir Spenden", stellt Welte einen der positiven Nebeneffekte seiner Bemühungen für die Open-Source-Gemeinde dar. Als Firmen, gegen die er und seine Unterstützer bereits vorgegangen sind, nannte Welte Größen wie Siemens, Netgear, U.S. Robotics Germany, Sun Microsystems oder D-Link.

Ein Problem bei der stärkeren Rechtsdurchsetzung ist, dass der eigentliche Autor der widerrechtlich verwendeten Programmzeilen gegen den Missbrauch vorgehen muss. Einige Programmierer, die selbst nicht aktiv werden wollen, haben Welte deshalb ihre Rechte an einzelnen kritischen Codebestandteilen wichtiger Open-Source-Projekte überschrieben, sodass er gegen Lizenzverstöße vorgehen kann.

Quelle : www.heise.de

[SiLæncer]

Der Chaos Computer Club (CCC) sieht seine prinzipiellen Bedenken gegen Trusted Computing nach wie vor nicht ausgeräumt und legt mit neuer Detailkritik nach. Die von der Industrie vorangetriebene "Sicherheitstechnologie" eröffne weiterhin "Orwellsche Zensurmöglichkeiten", führte der Amsterdamer Kryptoforscher Rüdiger Weis am heutigen Dienstag auf dem 21. Chaos Communication Congress in Berlin aus. "Man kann nicht Musik schützen wollen und dann auf freien Informationsfluss in China drängen." So könnte die chinesische Regierung etwa mithilfe von Trusted-Computing-Komponenten verhindern, dass auf den damit ausgerüsteten Rechnern noch der Begriff "Dalai Lama" auftauche. Eine besondere Aktualität habe diese Befürchtung erhalten, betont Weis, seitdem IBM als einer der Hauptinitiatoren der hinter den Industriebemühungen stehenden Trusted Computing Group (TCG) sein PC-Geschäft an den chinesischern Computerhersteller Lenovo verkauft hat.

Ihre Kritik richten die Hacker so nach wie vor auf die mögliche Koppelung von Systemen zum Digital Rights Management (DRM) – Restriction Management im Hackerjargon – mit Trusted Computing. Diese Kombination kann laut Weis zu "absoluten Albtraumszenarien" führen, da DRM und Zensur für ihn "Siamesische Zwillinge" sind. Bedenklich findet der Verschlüsselungsexperte in diesem Zusammenhang auch, dass IBM seit Kurzem Trusted-Computing-Mechanismen in "hochintegrierte Bausteine" des Rechners einbaut. Zudem seien Trusted-Mode-Schnittstellen zu "sicheren" USB-Eingabegeräten sowie zu sonstiger Peripherie in Arbeit. Der CCC verweist hier auf die von ihm sehr begrüßte Stellungnahme der Bundesregierung zu den Sicherheitsbemühungen der Computerwirtschaft. Demnach sollen die eigentlichen Security-Mechanismen "in einem separaten Baustein", dem Trusted Platform Module (TPM), gebündelt werden. Alles andere erscheint der Regierung als zu intransparent.

Zusammenfassend hat die TCG im vergangenen Jahr laut Weis neben der Beibehaltung der Zensurmöglichkeiten neue Probleme in den Bereichen Patent- und Kartellrecht sowie letztlich zusätzliche Ansätze für eine "neue Blackbox" geschaffen. Völlig unverständlich ist dem Hacker, dass die TCG weiterhin die von der Electronic Frontier Foundation (EFF) ins Spiel gebrachte Funktion des "Owner Override" mit fadenscheinigen Argumenten ablehnt. Mit dem Feature könnte der Besitzer eines Rechners Weis zufolge "auf dumme, unanständige Anfragen" nach dem Motto "Benutzt du einen Internet Explorer?" trotz des Einsatzes eines anderen Webnavigationsmittels "dumme Antworten" geben und den gewünschten Browsertyp gleichsam simulieren. Der Industrie ist das aber zu heikel. Die Funktion könnte es einer Bank ermöglichen, so die Gegenargumentation, ein fehlerhaftes System als korrekt zu attestieren oder gar selbst einen "Owner Override" zu verwenden. Für die Hacker wäre die TCG dagegen mit der Anerkennung der grundsätzlichen Nutzerrechte alle ihre Probleme wie eine befürchtete Marktabschottung und Konkurrenzausschaltung los.

Einige Schritte in richtige Richtung hat die TCG mit ihrer fortschrittlichen und um Datenschutz bemühten Krypto-Implementation allerdings den Hackern zufolge gemacht. Dass man das gesamte Verschlüsselungssystem beispielsweise an einem eigenen Wurzelschlüssel aufhängen kann, ist für Weis unerlässlich für Trusted-Computing-Systeme in einer Zeit "verheerender Sicherheit" in der Informationstechnik. Allerdings hat der Forscher in der Standard-Spezifikation TCG 1.2 noch einige rein handwerkliche mathematische Fehler ausgemacht, die dringend zu verbessern seien. Ferner sollte das Konsortium seiner Ansicht nach "korrupte" Signaturkomponenten wie SHA1 oder MD5 alsbald ersetzen.

Quelle : www.heise.de

[SiLæncer]

Sicherheitsexperten der Organisation trifinite haben auf dem 21. Chaos Communication Congress (21C3) in Berlin eine Java-Applikation veröffentlicht, mit der sich erstmals von einem Bluetooth-Mobiltelefon aus zahlreiche Manipulationen an einem anderen Nahfunk-geeigneten Handys bewerkstelligen lassen. Das Werkzeug, das die findigen Mobiltechniknutzer in einer Mischung aus Bluetooth und Hoover (englisch für "Staubsauger") Blooover getauft haben, führt eine so genannte BlueBug-Attacke aus. Der Angreifer kann damit Anrufe von einem anfälligen Bluetooth-Handy aus lancieren, SMS über das Gerät verschicken, Adressbucheinträge lesen und verändern, eine Internetverbindung starten sowie zahlreiche andere möglicherweise kostspielige und in die Privatsphäre des Mobiltelefoneigentümers eingreifende Handstreiche auslösen. Daneben aktiviert Blooover eine Rufumleitung zu einer kostenlosen Servicenummer, die normalerweise Nutzern mit Problemen mit Microsofts Windows XP zur Verfügung steht.

Zahlreiche Bluetooth-Schwachstellen bei Mobiltelefonen sind seit über einem Jahr dokumentiert. Mit am bekanntesten neben dem BlueBug ist BlueSnarf. Mit dieser Angriffsmethode lassen sich Daten wie Adressverzeichnisse, Kalender, Uhrzeit oder auch Visitenkarten manipulieren, ohne dass das Handy die Aktionen anzeigt. Betroffen sind beispielsweise die Nokia-Renner 6310 und 6310i sowie Sony Ericssons Kassenschlager T610 -- jeweils mit unveränderter Firmware. Dass derlei Attacken durch eine Koppelung eines Bluetooth-Adapters mit einer WLAN-Antenne auch weit über die eigentlichen Nahfunkgrenzen in Bereiche über anderthalb Kilometer ausgedehnt werden können, ist ebenfalls kein Geheimnis mehr. Bislang war dafür aber immer ein präpariertes Laptop erforderlich. Blooover saugt die fremden Daten dagegen von Handy zu Handy ab -- kaum noch bemerkbar für den Inhaber des angegriffenen Mobiltelefons mit aktiver Bluetooth-Verbindung.

Es handle sich um eine reine "Nachweisapplikation" der Sicherheitsschwachstelle für "Bildungszwecke", betont Martin Herfurt von trifinite angesichts der leichten Bedienbarkeit der Software denn auch. Den Hackern auf dem 21C3 gab er den Hinweis mit auf den Weg: "Bitte nutzt sie verantwortungsbewusst". Die betroffenen Hersteller seien im Vorfeld gewarnt worden und hätten Firmware-Updates zur Verfügung gestellt. An die Nutzer der BlueBug-anfälligen Mobiltelefone appellierte Herfurt nachdrücklich, ihre Geräte zu Servicepartnern zu bringen und dort auf den neuesten Betriebssystemstand bringen zu lassen. Blooover selbst läuft auf Handys mit der Java-Ausrüstung J2ME MIDP 2.0 und einer implementierten JSR-82-Programmierschnittstelle. Dazu gehören unter anderem die Nokia-Modelle 6600 und 7610, das Sony Ericsson P900 oder das Siemens S65.

Gleichzeitig mit Blooover haben die trifinite-Forscher bislang unbekannte Details über die gängigen Bluetooth-Angriffsmethoden herausgegeben. BlueSnarf nutzt demnach einen gewöhnlichen OBEX-Kanal (Object Exchange) in unbeabsichtigter Weise. Eigentlich ist das Verfahren für den Objektaustausch dafür gedacht, via Infrarot oder Bluetooth digitale Visitenkarten oder Kalendereinträge zwischen Mobiltelefonen auszutauschen. Beim BlueSnarfing wird dabei jedoch ein "Push"- in einen "Pull"-Befehl verwandelt, sodass die anvisierten Objekte abgegriffen oder verändert werden können.

BlueBug macht sich zwei geheime RFCOMM-Kanäle (Radio Frequency Communications) zunutze. Derlei Bluetooth-Funkkontakte sollen serielle Anschlüsse emulieren. Bei den Kanälen 16 und 17 handelt es sich bei den angreifbaren Handys allerdings um klassische Hintertüren, auf denen die Sicherheitsfunktionen von Bluetooth nicht greifen. Über diesen Weg können klassische Terminalbefehle bei den betroffenen Mobiltelefonen ausgeführt werden, sodass der Phantasie des Hackers bei der Nutzung der so gekoppelten Geräte kaum Grenzen gesetzt sind. Ein weiteres Werkzeug, das die trifinite-Crew jetzt zur Verfügung gestellt hat, erlaubt das "Blueprinting" -- die Identifizierung eines Mobiltelefon-Typs aus der Ferne anhand dessen Bluetooth-Schnittstelle. Theoretisch lassen sich damit auch die verletzbaren Handy-Modelle rascher aus einer größeren Nutzermenge herausfinden.

Als vorläufiges Resümee der Forschungsarbeiten trifinites hält Mitgründer Adam Laurie fest: "Bluetooth selbst scheint relativ sicher zu sein". Er kenne nur eine Schwachstelle zum Abhören eines wichtigen Schlüsselaustauschs, die sich aber nur mit einer teuren Ausrüstung in einem günstigen Moment bewerkstelligen lasse. Die Bluetooth-Implementierungen einzelner Handy-Hersteller hält Laurie dagegen für "überraschend locker". Mancher Mobiltelefonbauer habe wohl nicht damit gerechnet, dass ein Teil seiner Modelle schon in einem sehr frühen Stadium den Markt erreichen würde.

Quelle : www.heise.de

[SiLæncer]

Für 2005 stehen bei der frei verfügbaren Online-Enzyklopädie einige Neuerungen ins Haus. So soll das exponentielle Wachstum der beliebten Wissens-Site, die am 15. Januar 2005 in ihr fünftes Jahr eintritt, nicht mehr nur mit dem Einschieben weiterer Server aufgefangen werden. Die Inhalte der verstärkt Bildmaterial mit einbeziehenden Datenbank werden künftig größtenteils mit dem freien Algorithmus gzip komprimiert. Dies kündigten Entwickler der MediaWiki-Software, mit der Wikipedia läuft, auf dem 21. Chaos Communication Congress (21C3) in Berlin an. Auf ihrem Treffen am Rande der Hackertagung diskutieren die Wikipedianer zudem über die mögliche Platzierung von Werbung auf der Site und das künftige Vorgehen gegen Raubkopierer.

Das MediaWiki-System, das in PHP geschrieben ist und mit einer MySQL-Datenbank arbeitet, muss gehörige Lasten tragen. Es gestattet eine Volltext-Suche genauso wie spontane Anfragen. Immer mehr Nutzer machen zudem vom traditionellen "Edit"-Button des Wikis Gebrauch, weiß Mitentwickler Brian Vibber. Es gebe inzwischen fast 1000 entsprechende Anfragen an die Datenbank pro Sekunde, die alle immer auf der Server-Seite abgeglichen werden müssten. PHP ist allerdings recht langsam und wendet bei MediaWiki laut Vibber rund 83 Prozent der Laufzeit für die Code-Kompilierung auf. Zudem hatte Wikipedia bereits mit Problemen bei der MySQL-Datenbank zu kämpfen. Optimierungsbedarf tut sich an zahlreichen Stellen auf.

Die Größe der Datenbank hat sich während der vergangenen zwei Jahre alle zwei Monate verdoppelt. "Wir haben über 1,2 Millionen Artikel in mehr als 200 Sprachen", freut sich Wikipedia-Mitgründer Jimmy Wales über die anhaltende Erfolgsgeschichte. Insgesamt stünden über 130 Millionen Wörter in der Wissensdatenbank. Die Wikipedia-Seiten, die auf Englisch derzeit 412.000 und in Deutsch 172.000 Einträge umfassen, sind im Web populärer als etwa die Homepage des US-Senders Fox News oder des Online-Zahlsystems PayPal.

Der Erfolg kommt den Wikipedianern aber auch teuer zu stehen: Mehr als 30 Server bewältigen momentan die schwere Datenbürde. Erst in diesem Jahr ist mit ersten Komprimierungsversuchen begonnen worden. Doch mit dem unbeschwerten Umgang mit Speicherplatz soll Schluss sein. Mit gzip könne eine durchschnittliche Kompressionsrate von 85 Prozent erreicht werden, schwärmt Starling. Zudem haben die MediaWiki-Macher angefangen, "Squid Web Proxy Cache"-Server in das System zu integrieren. Falls es keine Änderungen in der Datenbank gibt, wird mit deren Hilfe das PHP-Procedere umgangen.

Die Vorstände der Wikimedia-Stiftung, die Wikipedia formell trägt, machen sich angesichts der steigenden Systemkosten auch Gedanken über Einkünfte. Wikimedia-Präsident Wales hat mit seinem Kind schließlich noch viel vor: Mit seinen freiwilligen Mitstreitern will er die beste und größte Enzyklopädie der Welt aufbauen und das darin gespeicherte Wissen allen Menschen weltweit frei zugänglich zu machen. Zudem expandiert Wikipedia ständig: So hat der deutsche Ableger etwa im Herbst die Publikation zweier Sammelreader zu den Schwerpunkten "Schweden" und "Internet" unterstützt. Sie werden von den Initiatoren der beiden Bücher in Eigenregie herausgegeben. Nach der Auflage einer CD mit Teilen der Enzyklopädie soll zur Buchmesse 2005 in Leipzig eine DVD folgen. Im Online-Bereich hat Wikimedia im Dezember das Projekt Wikinews gestartet, in dessen Rahmen Freunde der Netzenzyklopädie Nachrichtenartikel im Stil des "Graswurzel-Journalismus" verfassen. Unter dem Titel "Wikimedia Commons" baut Wikimedia zudem eine lizenzfreie Bilddatenbank auf. Geld bringen all die Projekte aber nicht -- die Medienprodukte werden entweder verschenkt oder mit einer Schutzgebühr versehen.

Allein durch Werbeschaltungen auf der Online-Enzyklopädie könnte die Stiftung gut 500.000 US-Dollar im Monat einfahren, schätzt Wales. "Aber wenn es nach mir geht, werden wir nicht-kommerziell bleiben", sagt der frühere Internet-Unternehmer. Online-Anzeigen hätten keinen guten Ruf bei seinen Mitstreitern. Um Wikipedia auf CDs in Entwicklungsländern zu verbreiten, setzt Wales lieber auf Kooperationen mit philanthropischen Organisationen. Auch für Sponsoring-Angebote ist er offen: So will der Suchmaschinenprimus Google einige Server für Wikipedia hosten.

Auf überraschende Probleme sind die Wikipedianer derweil mit Raubkopierern gestoßen. Das hört sich paradox an, weil die Inhalte von jedermann genutzt und verändert werden können. Sie sind allerdings mit der GNU Free Documentation License versehen. Die neu entstehenden Inhalte oder sonstige Übernahmen müssen so unter derselben "Open Content"-Lizenz mit einem Verweis auf die ursprüngliche Quelle veröffentlicht werden, was ein Teil des Erfolgsprinzips von Wikipedia ist. Doch nicht alle halten sich an die Spielregeln: So besteht das Glossar einer kürzlich von T-Online und Sony BMG herausgegebenen Studie weitgehend aus Versatzstücken von Wikipedia -- ohne Achtung der Lizenzbedingungen. Auch die Firma Babylon hat sich nach Angaben eines Wikimedia-Vertreters für ein Glossar zu einem Werk über die Olympischen Spiele in vergleichbarer Weise bei der Wissensdatenbank bedient. Wales will vor dem Einschalten von Gerichten auf Aufklärung setzen. Ein Rechtsgutachten soll dazu auch die Besonderheiten der Lizenz unter deutschen Verhältnissen beleuchten.

Quelle : www.heise.de

[SiLæncer]

Das Motto "Spaß am Gerät" haben einige selbsternannte Sicherheitsexperten im Umfeld des diesjährigen Chaos Communication Congresses (21C3) anscheinend mal wieder sehr ernst genommen. Zumindest häufen sich im -- momentan allerdings selbst nur sehr schlecht zu erreichenden -- Weblog sowie im schwer überlasteten Wiki des Hackermeetings Meldungen über ungewöhnliche Änderungen an mehr oder weniger exponierten Websites. Da diese mit Congress-Logos geschmückt sind und einschlägige Sicherheitshinweise enthalten, liegt die Vermutung nahe, dass die sich in Berlin treffenden "üblichen Verdächtigen" an den Verunstaltungen beteiligt waren.

Während die spielerisch und mahnend die Netzwelt erkundenden Datenreisenden im vergangenen Jahr gezielt politische Neujahrsbotschaften absetzten, gehören dieses Mal der Entkalkungsspezialist Calgon sowie der Enthaarungsmittelhersteller Veet zu den Opfern. Beide Sites verweisen -- grafisch schlicht, aber bunt -- auf den Congress und verkünden in ihrem Webgraffiti die Botschaft: "wer nicht hören will, muss Backups einspielen...".

Ganz ohne politische Note bleiben die Hackerfreuden allerdings nicht: so darf sich die CDU Niedersachsen über ein neues, ungewöhnliches Logo freuen. Neben den obligatorischen drei Buchstaben baut sich eine stilisierte Grafik auf, die sich vielerlei Interpretationen öffnet. So glaubt ein Teil der Congress-Besucher darin einen Pferdekopf wieder zu erkennen, während andere auf einen vollbusigen Ausschnitt einer Frauengestalt mit wehenden gefärbten Haaren tippen. Etwas außerplanmäßig kommt zudem der Web-Auftritt der Erfurter Andreas Gordon Schule daher.

Überdies ist momentan ein "Massenhack" am Laufen, mit dem die Sicherheitsexperten auf eine lückenhafte Implementierung der Datenbank MySQL beim Webhoster Loomes aufmerksam machen wollen. Der Fehler, der laut den Chaoten Schuld hat an der Offenlegung der FTP-Zugangsdaten und der kompletten Datenbank von über 18.000 Kunden, soll an zahlreichen Sites vorexerziert werden. Betroffen ist etwa die Site Bioseek.de.

Ein eigentlich eher unbedeutender Hack hat derweil bereits für großen Ärger gesorgt. So beschwert sich ein Nutzer eines betroffenen Game-Forums rund um das Spiel "Everquest" bitter beim Congress-Veranstalter, dem Chaos Computer Club (CCC), dass die Site nicht mehr benutzbar sei. Es habe dort nirgends sensitive Informationen gegeben, sodass dem empörten Ankläger zufolge niemand an hohe Sicherheitsvorkehrungen gedacht habe. Besonders tragisch sei der Vorfall, da der eigentliche Administrator der Seite ausgestiegen sei und der Hack damit wohl dem "Todesstoß" für das Forum gleichkomme. Wie das mit der viel beschworenen Hackerethik des CCC vereinbar sein solle, ist dem Spielefan schleierhaft. Als Reaktion auf die Eingabe haben Clubvertreter nun eine "Petition" an die Site-Verunstalter gerichtet, wonach diese zumindest selbst Backups der Originalseiten machen und verlinken sollten.

Vor Ort im Berliner Congress Center geht derweil die Angst vor Viren um, die einmal nicht PCs oder andere Elektronik-Gadgets, sondern die Besucher selbst befallen könnten. So haben die Chaos-Blogger einen Fall von Windpocken bei einer erwachsenen Congress-Teilnehmerin gemeldet. "Bitte achtet in den nächsten 14-16 Tagen auf etwaige Symptome und sucht eventuell einen Arzt auf!", lautet die lapidare Aufforderung. Zudem macht auch ein Magen-Darm-Virus unter Congress-Besuchern die Runde.

Quelle : www.heise.de

[SiLæncer]

Der IT-Berater Thomas Maus hat in einem öffentlichen IT-Projekt rund um die elektronische Gesundheitskarte gravierende Fehler bei der Verschlüsselung von Nutzerdaten ausgemacht. Maus erhob auf dem 21. Chaos Communication Congress (21C3) in Berlin schwere Vorwürfe gegen Entwickler im Gesundheitswesen, denen er jegliche Sicherheitskompetenz absprach. Bei dem von ihm untersuchten Projekt, das seinen Angaben nach eine tragende Rolle beim Aufbau der vom Bund geplanten umfassenden Telematik-Infrastruktur für das Gesundheitswesen spielen soll, handle es sich um einen "Totalschaden". Man könne den bereits entstandenen Code "nur wegwerfen", müsste alles neu machen.

Ein Angreifer könne in dem analysierten System, bei dem es um den Austausch sensibler Daten zwischen Arztpraxen in elf Modellregionen gehe, "absolut ungehindert" an sämtliche privaten Schlüssel der Nutzer aus der Entfernung herankommen, erläuterte der Berater den erstaunten Hackern. Die elektronisch gespeicherten Patientenakten seien im Handumdrehen fälschbar, sagte Maus, der nur vier Tage lang Zeit zur Prüfung des mit öffentlichen Mitteln finanzierten Projekts hatte und keine Geheimhaltungsvereinbarung unterschreiben musste. Auftraggeber des Gutachtens sei nicht der Systemhersteller, sondern ein potenzieller Nutzer gewesen. Genauere Angaben zu dem schon dreimal umbenannten System wollte Maus allerdings nicht machen.

Die grundsätzliche Funktionsweise des Untersuchungsobjekts beschrieb Maus dahingehend, dass die Patientenakte in elektronischer Form beim Arzt gelagert wird und über ein Kryptosystem vermeintlich sicher ausgetauscht werden soll. Der Patient erhalte dafür einen Einmalschlüssel in Form eines so genannten Tokens. Bei der genaueren Betrachtung des Systems fiel Maus allerdings unter anderem auf, dass "einige Millionen der Patienten-'Token' alle zur selben Uhrzeit" generiert wurden. So sei es nichts geworden mit den für eine Verschlüsselung eigentlich erforderlichen Zufallszahlen. Die Schlüssellänge betrug aufgrund der architektonischen Systembeschränkungen des zum Einsatz kommenden Windows NT 4.0 nur etwa 26 Bit. Selbst davon sei letztlich "nur ein wenige Millimeter großer Schlüsselraum übrig geblieben", veranschaulichte Maus das Versagen bei der Krypto-Implementierung.

Auch über weitere Fehler wusste Maus zu berichten, etwa dass "Firewalls als explizit unnötig bezeichnet werden". Über das System sei der Austausch beliebiger Dokumente und Viren, eine "Härtung" des Betriebssystems aber nicht vorgesehen. Insgesamt sei eine "riesige Vertrauensblase nach dem Motto 'viel hilft viel' aufgebaut worden. So würden etwa die Patientendaten zweimal verschlüsselt -- allerdings völlig ineffizient. Letztlich lägen etwa Passwörter der Datenbank im Klartext vor. In den Chipkartenleser würden zwar ein "verschlüsselter Private-Key aus der Datei und einer PIN" eingehen, raus käme aber trotzdem "ein entschlüsselter Private-Key". Stutzig machte Maus zudem die Tatsache, dass man ISDN als Kommunikationskanal für die schweren Datenpakete auch etwa von Radiologen und Onkologen vorgesehen habe, obwohl eine Komprimierung mitsamt unvermeidlicher Artefakte nicht angebracht sei. Schon an dieser Stelle seien "unerfahrene Bastler ohne Praxis und Detailliebe" am Werk gewesen.

Quelle : www.heise.de

[SiLæncer]

Hacker aus dem Umfeld des Chaos Communication Congress veränderten die Homepages von rund 18.000 Websites, was das LKA auf den Plan rief und Diskussionen über die Hackerethik ausgelöst hat.

Es gehört quasi zum guten Ton des alljährlichen Chaos Communication Congress, dass die dort versammelten Hacker einige auserlesene Websites mehr oder weniger dezent umgestalten. Sie wollen damit ihr Können unter Beweis stellen, auf Sicherheitslücken hinweisen und die allgemeine Schadensfreude befriedigen. Doch mit dem Massenhack von über 18.000 Websites haben die "üblichen Verdächtigen" -- so das Congress-Motto -- auch nach Ansicht des Veranstalters in Form des Chaos Computer Clubs (CCC) dieses Mal über die Stränge geschlagen. "Wir bitten euch, keine illegalen Sachen von diesem Gebäude aus zu machen", redete CCC-Sprecher Andy Müller-Maguhn der eingeschworenen Gemeinde am gestrigen Mittwoch im Berliner Congress Center ins Gewissen. Die Hacker sollten nicht vergessen, dass sich "auf der anderen Seite" Webadministratoren befänden, die nun viel Arbeit mit der Reparatur der betroffenen Sites hätten.

Der CCC hat für die Dauer des Congresses traditionell ein "Abuse-Telefon" eingerichtet, das gestern erstmals in der 20-jährigen Geschichte des Hackertreffens nicht stillstand. Dort hätte die Veranstaltungsleitung den geballten "Volkszorn" der Betroffenen über sich ergehen lassen müssen, berichtete der ehemalige CCC-Sprecher Frank Rieger nach dem anstrengenden Tag. Nun ist der Club dabei, den Vorfall gewürzt mit Hackerironie zu verdauen. Riegers Kollege "Ron" veranschaulichte den Großhack mit dem unerwünschten Öffnen der Türen sämtlicher Häuser in einer Kleinstadt durch einen Über-Hausmeister. Er kritisierte den Vorgang, da man doch nicht immer "gleich die Panzerfaust ausführen" müsse. Vorab hatten sich die Ereignisse regelrecht überschlagen: Jemand aus dem Congress-Umfeld hatte sich aufgrund einer fehlerhaft implementierten Datenbank beim Webhoster Loomes in den Besitz sämtlicher Datenbanken der Kunden sowie der FTP-Zugangsdaten zu ihren Webimmobilien gebracht, diese wiederum über die gehackten Sites öffentlich zur Verfügung gestellt und so die Welle an Folgeaktionen ausgelöst.

Auch Rieger legte den Hackern ans Herz, doch "einfach mal kurz nachzudenken", bevor sie irgendein Skript starten würden, das solche gravierenden Folgen nach sich ziehen könnte. "Wir müssen besser mit dem umgehen, was wir können", erinnerte er an die vom CCC allzeit hoch gehaltene Hackerethik. Darin findet sich unter anderem die Devise: "Öffentliche Daten nützen, private Daten schützen". Zudem sollen aufrechte Hacker nicht in den Daten anderer Leute "müllen". Auf dem nächsten Congress werde es daher eine "Beratungsstelle für verantwortungsvolles Handeln" geben, kündigte Rieger an. Von dem Plan, das Abuse-Telefon an ein Call-Center in Indien outzusourcen, sei man dagegen wieder abgekommen. Man wolle nicht in Industriepraktiken verfallen.

In den Gesprächen mit den aufgebrachten Website-Inhabern hatten Clubmitglieder laut Ron noch versucht, die Gemüter mit dem Hinweis zu beruhigen, dass bei dem Hack doch "nur" die Startseite verändert worden sei. Die eigentlichen Daten seien dagegen nicht weggekommen, sodass der ganze Spuk mit dem Aufspielen der alten Index-HTML-Datei und der Änderung des Zugangspasswortes beendet werden könnte. Antworten wie: "Mein Shop geht nicht, das kostet mich 1000 Euro am Tag" oder: "Das ist gar nicht mehr mein Server, man kann doch dann klicken und ist bei euch drauf" hätten aber gezeigt, dass hier das "Zurückschalten" um "ganz schön viele Gänge" angebracht gewesen sei.

Ob der Massenhack rechtliche Folgen haben wird, ist bisher unklar. Die "üblichen Verdächtigen" vom Landeskriminalamt (LKA) Berlin hätten noch am Mittwoch auf dem Congress vorbeigeschaut, wusste Müller-Maguhn zu berichten. Die bereits CCC-erfahrenen Beamten hätten allerdings schon gleich Fragen gestellt in die Richtung, dass die Veranstalter ja vermutlich IP-Adressen dynamisch vergeben würden und damit keine aussichtsreiche Chance zur Rückverfolgung der Missetäter bestünde. Dass Datenbanken rasch einmal verloren gehen können, sei den Kriminalpolizisten ebenfalls bewusst gewesen, weil sie vom jüngsten Servereinbruch beim Club gelesen hatten. "Wir hatten ein freundliches Gespräch", fasste der Sprecher die Begegnung mit der Staatsmacht zusammen, die in Hackerkreisen immer von zwiespältigen Gefühlen begleitet wird.

Das Klima kann allerdings durchaus noch umschlagen. In einer Stellungnahme an seine Kunden erklärt die Loomes AG unter anderem: "Wir haben [...] Strafanzeige gegen den Veranstalter dieses Kongresses erstattet und bitten Sie bei etwaigen Ihnen entstandenen Schäden dieses ebenfalls zu tun." Des weiteren spricht Loomes von einer "vermeintlichen Sicherheitslücke", auf die "erlebnisorientierte Jugendliche des Chaos Computer Clubs" glaubten hinweisen zu müssen, um dann allerdings diese "vermeintliche Lücke" doch genauer zu spezifizieren: "Diese Lücke war durch Umstellungsarbeiten in der Datenbankumgebung unserer Gesellschaft entstanden, die wir zwischen den Tagen vornehmen wollten." Auf jeden Fall sei die Störung inzwischen behoben und die betroffenen Kunden (solche mit dedizierten Servern und Windows.Net-Kunden seien davon nicht berührt gewesen) bekämen in Kürze neue Passwörter per E-Mail.

Quelle : www.heise.de

[SiLæncer]

Nachdem in Japan 2002 eine von zahlreichen Gruppierungen der Zivilgesellschaft getragene Kampagne gegen die Einführung von Ausweisen mit einer allgemeinen Personenkennziffer scheiterte, fiel es Joi Ito wie Schuppen von den Augen: "Das politische System ist kaputt." Wenige Monate später verlegte er sich aufs Bloggen -- und glaubt nun in der Blogosphäre die Geburt einer neue "auftauchenden Demokratie" aus dem Geist des Internet zu erleben. Als kollektive Einheit ist das Universum der Weblogs schlauer als seine einzelnen Teile, wandelt der ehemalige Internet-Unternehmer, Wagniskapital-Geber und Webjournal-Betreiber eine alte Philosophen- und Physikerweisheit ab. Dieses Phänomen "können wir nutzen, um die Demokratie zu reparieren", erklärte er den Hackern auf dem 21. Chaos Communication Congress (21C3) in Berlin.

Seine Thesen hat der umtriebige Japaner, der momentan auch im Direktorium der Netzverwaltung ICANN sitzt, in einem Essay unter dem Titel "Emergent Democracy" niedergeschrieben. Das Papier sei eventuell ein wenig "zu optimistisch" gewesen, gibt Ito inzwischen zu. Aber grundsätzlich hält er an seiner Idee fest. Standesgemäß hat er den Text zur kollaborativen Weiterbearbeitung in einem Wiki zur Verfügung gestellt. Ganz neu ist die Idee der sich aus neuen Medien anders herauskristallisierenden Demokratie allerdings nicht.

Weblogs betrachtet Ito als exzellent für die Meinungsbildung, weil sie ein Mittelding darstellen zwischen reinen statischen Websites, auf denen man Besucher nur schwer halten könne, sowie Mailinglisten, die immer wieder die Aufmerksamkeit der Nutzer überstrapazieren würden. Die Online-Journale entsprächen dagegen mit ihren einfachen Schnittstellen für das Hochladen von Inhalten sowie standardisierten Möglichkeiten zur "Content-Syndication" der "traditionellen Ethik des Internet". Vor allem die Trackback-Funktion, mit der Blogger ihre Einträge gegenseitig weitgehend automatisch verlinken, haben laut Ito "den Internet-Diskurs komplett verändert." Die Online-Kommunikation gestalte sich nun wie bei einer Cocktail-Party: Wenn etwas interessant sei, werde es sofort in die allgemeine Konversation aufgenommen. Uninteressante Beiträge würden einfach ignoriert.

Die daraus auch erwachsende Wirkung und "Macht der Blogger" veranschaulichte der Japaner mit der Enthüllung eines Fälschungsskandals rund um den Nachrichtenfrontmann des US-Senders CBS, Dan Rather, während des amerikanischen Präsidentschaftswahlkampfs. Hier würden sichtbar alte Autoritäten "zerstört". Eine weitere Stärke von Weblogs liege darin, Themen rasch aufzugreifen und zu verbreiten. Ito verwies dabei auf die asiatischen Blogger, die nach dem tödlichen Seebeben im Indischen Ozean innerhalb weniger Sekunden ins Zentrum der Blogosphäre gerückt seien.

Spätestens mit dem Schicksal Howard Deans wurde Ito aber klar, dass sich die ersehnte Stärkung der Demokratie nur über das Bauen von Brücken zu den Massenmedien und den Apparaten der "alten" Politikwelt erreichen lässt. Dean hatte als Präsidentschaftskandidatenanwärter der Demokraten vor allem das Internet eingesetzt. Er war Anfang des Jahres im Vorwahlkampf gescheitert, als das Fernsehen dabei eine größere Rolle einzunehmen begann. Nur aus einem neu austarierten Zusammenspiel der Medien und Institutionen könne "eine gemeinsame Infrastruktur für die freie Meinungsäußerung" entstehen, so Ito. Um dieses zu diskutieren, haben Blogaktivisten bereits ein neues Forum in Form des Gemeinschaftsjournals Global Voices Online ins Netz gestellt.

Sich in anderen politischen Blogs zu engagieren ist laut Ito dringend ratsam, da das Selbstregulierungsprinzip des Internet durch offene Zensurbestrebungen von Regierungen sowie das technische Hilfsmittel Digital Rights Management (DRM) bedroht sei. Vor allem mit Mobiltelefonen werde das Internet immer stärker Teil der "realen" Welt, sodass die etablierten Mächte nicht mehr darüber hinwegsehen können. Ito erwartet daher in Bälde einen orchestrierten "Angriff auf das offene Internet", auf den sich gerade die Hacker mithilfe von Technologien zum Schutz der Netzstrukturen vorbereiten sollten.

Quelle : www.heise.de

[SiLæncer]

Superworms, Toll Collect, Biometrie-Großprojekte, ZigBee, mobile Bot-Netze sowie die Vernetzung von Autos oder Überwachungskameras gehören zu den Top Ten der befürchteten Sicherheitsdebakel im kommenden Jahr. Diese und viele andere potenzielle Gefährdungen im Bereich der Informationstechnik trugen die Hacker im völlig überfüllten Kuppelsaal des Berliner Congress Centers am gestrigen Mittwoch auf dem gestrigen Abschlusstag des 21. Chaos Communication Congress (21C3) in Berlin zusammen. Die mit viel Hackerhumor gewürzte Übersicht über die drohenden "Security Nightmares" gehört traditionell zu den beliebtesten Foren des Chaotentreffs. Sie dient zum einen dem Realitätsabgleich der im Vorjahr aufgestellten Albträume, zum anderen wagen die unorthodoxen Techniknutzer einen erneuten Blick in die Glaskugel.

Alles, was kreucht und fleucht an Schädlingen im Netz, übt auf die Hacker seit langem eine gewisse Faszination aus. Beeindruckt zeigten sich die Chaosjünger daher beispielsweise von Würmern wie Phatbot, die erstmals neue Angriffsmöglichkeiten nachladen konnten, oder solchen, die andere Würmer anfielen. Interessant fanden sie zudem, dass sich Google vor kurzem plötzlich in der Rolle des Schädlingsbekämpfers sah. Als nächstes kämen wohl Superwürmer "mit eigenem Betriebssystem", unkte "Ron", einer der Moderatoren der Runde. Zudem stünden "Kreuzungen zwischen Spyware und Würmern" an, die sich gegenseitige (De-) Installationskriege liefern könnten, ergänzte sein Kollege Frank Rieger.

Nach wie vor warten die Hacker in diesem Zusammenhang auch auf ein Fiasko im Mobilbereich, wo sie im Zusammenhang mit Bluetooth gerade zahlreiche Sicherheitslücken demonstriert haben. Da die Verbreitung von Mobiltelefonen mit GPRS inzwischen größer sei, "wäre ein Bot-Netzwerk für Premium-SMS lukrativ", schwante Rieger. Bei einer Fortpflanzung via MMS etwa könnten damit "absurde Eurobeträge ausgelöst werden". Schließlich könne man bei einem Handy-Dialer anders als bei einem PC nicht einfach das Modem rausziehen im Notfall.

Gespannt sind die Datenreisenden auch auf den lange verzögerten Start des Mautsystems Toll Collect. "Es ist schön, wenn der Staat so ein bisschen Spielzeug auf die Straßen stellt", befand Rieger. Auch die schon länger abgegebene Prognose über schwere Probleme mit größeren Biometrie-Installationen werde 2005 endgültig eintreten: "Wir wissen, dass die Systeme hackbar sind", erklärte der Ex-CCC-Sprecher. "Wir warten nur noch auf eine Gelegenheit, damit wir es großflächig zeigen können." Das Iris-Erkennungssystem am Frankfurter Flughaben ließ er dabei nicht gelten: Es sei keine "sportliche Herausforderung", wenn Polizisten mit Maschinengewehren neben den Identifizierungsgeräten stünden.

Zu den Dauerrennern auf der Albtraumliste der Hacker gehört auch der gesamte Bereich des "Pervasive Computing", also der Einzug des Internet in immer mehr Gegenstände und Maschinen. Moderne Autos etwa seien mit immer mehr Mikroprozessoren bestückt und hätten dafür eine gemeinsame Datenschnittstelle, den so genannten CAN-Bus (Controler Area Network), führte Rieger aus. Dort würde es angesichts der von zahlreichen Systemen wie dem ABS oder der Navigationshilfe, die Updates beispielsweise auch über den Verkehrsfunk erhalte, zu Überlastungen und Eingriffsmöglichkeiten kommen. Ron kam daher rasch ins Träumen über die "freie Fahrt für freie Nerds", wenn man sich bald über einen UKW-Sender die Autobahn reservieren lassen könne. Die Botschaft, dass künftig gar "Car-2-Car"-Schnittstellen in Autos für gegenseitige Updates wandern sollen, gab ihm dann aber doch zu denken.

Mit großer Vorfreude beobachten die Hacker zudem, dass sich selbst Überwachungskameras verstärkt über das Netz steuern lassen, häufig sogar über WLAN. "Die sind auch skriptbar", gab Rieger zum Besten. Mit einer kleinen Programmroutine könnten so die rund 15.000 Schwenk-Neige-Bewegungen rasch vorexerziert werden. Erwartungsvoll sehen die Technikexperten zudem der Einkehr des Funknetzwerk-Protokolls ZigBee entgegen, das beispielsweise für die Heimvernetzung gedacht ist. Sicherheitsfunktionen seien dort nämlich nicht im Design vorgesehen, müssten individuell nachinstalliert werden. Bei einer Spezifikation des Standards auf 350 Meter Reichweite, dürfte das häufig mit dem Rütteln an Türen verglichene "Port-Scannen" von Netzrechnern damit ganz andere Dimensionen erhalten.

Nach wie vor sehen die CCCler aber auch Einfallstore bei den ganz normalen Betriebssystemen meterweit offen stehen. "Ein ungepatchtes Windows-System ist nur noch 4 Minuten im Internet", bis es gehackt sei, vergaß Ron nicht zu erwähnen. Verstärkt hatten die Analysten überdies in diesem Jahr auf Schwachstellen im vermeintlich gut behüteten Mac OS X auf dem Kongress hingewiesen. Nicht nur die Tatsache, dass Passwörter im Klartext von dem Apple-System aufbewahrt werden, warfen die Hacker Steve Jobs vor. Wie Angelo Laub vortrug, sind die Systempräferenzen beim Mac auch standardmäßig in keiner Weise gesichert. Zudem seien während der Laufzeit Methoden und Routinen überschreibbar, was Phishing-Attacken mit Apples Safari-Browser erleichtere. Sogar eine Replikationsroutine für das System aus Cupertino führte Laub vor. Er nutzte dafür unter anderem die Eigenart des Macs, sich ein Dateiformat auch nach dessen Umbenennung zu merken.

Das Ende der Fahnenstange dürfte nach Ansicht der Experten mit derlei befürchteten Schwachstellen noch nicht erreicht sein. Ihre Liste umfasst weiter unter anderem ein böses Erwachen beim nur noch vermeintlich sicheren Telnetprogramm SSH, bei VoIP, Instant Messaging oder abhanden kommenden gesamten Datenbanken. Während Spam Rons Gefühl nach anscheinend eine Sättigungsgrenze an der Netzarchitektur erreicht habe, werde das Passwort-Phishing weiter zunehmen und E-Mail als Kommunikationskanal zwischen Firmen und Nutzern endgültig das Aus bereiten.

Quelle : www.heise.de

[SiLæncer]

Trotz eines größeren Kollateralschadens haben die Veranstalter vom Chaos Computer Club (CCC) ein positives Fazit des 21. Chaos Communication Congress gezogen. Auf der Abschlussveranstaltung am Mittwochabend freuten sie sich vor allem darüber, dass sie aufgrund des deutlich erweiterten Konferenzteils 3500 Teilnehmer zu der "europäischen Hackerparty" begrüßen durften. Noch nie in der 20-jährigen Geschichte des traditionellen Treffens der Sicherheitsexperten zwischen den Jahren seien so viele Leute gekommen.

Allein 200 Referenten hätten Vorträge über Themen wie Biometrie, Demokratie, Wikipedia, IT-Großprojekte, DRM und Urheberrecht, Roboter, VJing sowie allüberall klaffende Sicherheitslücken gehalten, brachte Tim Pritlove vom Veranstaltungsteam Licht in die Statistik. Viele davon seien aus den USA angereist. Der CCC hatte in diesem Jahr stärker als sonst einen Akzent auf die Internationalität der dreitägigen Veranstaltung gelegt und um das Halten von Vorträgen auf Englisch gebeten. Dies führte aber auch dazu, dass einige nicht-englische Muttersprachler sich auf dem Podium nur mehr schlecht als recht verständlich machen konnten.

Der Besucherandrang brachte das erst vor einem Jahr bezogene Berliner Congress Center am Alexanderplatz allerdings deutlich an seine Grenzen. "Nicht so sehr, was die Räumlichkeiten anbelangt, sondern was die Luft angeht", erklärte CCC-Sprecher Andy Müller-Maguhn. 80 Prozent der Kongressteilnehmer seien Raucher -- deutlich mehr als im Bevölkerungsdurchschnitt. Und was sich die Leute da angezündet hätten, seien nicht nur Zigaretten gewesen, brachte Müller-Maguhn das Auditorium mit einem "Running Gag" aus dem Hackerleben zum Lachen. Im Hackcenter ("Tigerkäfig") im Untergeschoss des Veranstaltungsorts sei in der zweiten Nacht sogar die Notbelüftung angegangen, so der Sprecher weiter. Viele der Freunde der unorthodoxen Technikbenutzung hatten Iso- oder Hängematten und Schlafsäcke mitgebracht und sich gleich neben ihren Rechnern sowie in den Wandelgängen ihr Lager für eine kurze Nacht bereitet. Müller-Maguhn kündigte nun an, dass es im nächsten Jahr erstmals Regeln für Raucher geben würde.

Pritlove dankte vor allem den rund 150 "Engeln", die unter anderem bei der Einlasskontrolle, der erstmals in namhaftem Umfang erfolgten Referentenbetreuung sowie im Ton- und Videobereich mitgeholfen hatten, sowie dem Chaos Emergency Response Team (CERT). Dieser medizinische Notfalldienst für den Kongress hatte sich dieses Jahr unter anderem mit einem Windpockenfall zu beschäftigen. Dass der CCC auf diese Weise mit Viren verbreitete, hatte schon während der Konferenz bei Außenstehenden immer wieder zu leichten Ausbrüchen an Schadenfreude geführt.

Auch beim Netzwerk konnte sich das Network Operation Center (NOC) dieses Mal nicht mit Ruhm bekleckern: ein Funknetz auf der Basis des weit verbreiteten Standards 802.11b etwa funktionierte bis zum Kongressende so gut wie nicht. Das NOC habe versucht, das "Beste aus der Situation zu machen", nahm Pritlove seine Mannen in Schutz. Wenn gesponserte Netzwerkgeräte erst kurz vor Weihnachten ohne Firmware angeliefert würden, sei nicht mehr viel zu retten. Problemlos funktionierte dagegen das gute alte Telefon über die vom Phone Operation Center (POC) betriebene Anlage, in die sich 470 Besucher mit ihren DECT-Geräten eingebucht hatten.

Angesichts des Rekords bei den Besucher- und Referentenzahlen überlegt der CCC, den Kongress um einen weiteren Tag zu verlängern. Schon jetzt hielten sich viele der Dauergäste am dritten Tag allerdings nur noch mit dem Einpumpen diverser koffeinhaltiger Getränke sowie dem Schlucken von Koffeintabletten wach. Sinnvoll wäre eine rein zeitliche Ausdehnung also höchstens, wenn gleichzeitig das dieses Jahr überaus dicht gedrängte Konferenzprogramm entzerrt würde. Viele Vorträge waren hoffnungslos überfüllt, sodass der Plan zur Nutzung mehrerer, dafür aber kleinerer Räume nach hinten los ging. Im erweiterten Hackcenter war dagegen schier noch Platz frei. Den Künstlern der Chaos-Organisation bleiben so noch einige Optimierungsmöglichkeiten.

Audio- und Videomitschnitte des Konferenzprogramms sollen in ein bis zwei Wochen über den FTP-Server des CCC (ftp://ftp.ccc.de/) unter einer Creative-Commons-Lizenz verfügbar gemacht werden.

Quelle : www.heise.de

[SiLæncer]

Geeks, Nerds, Hacker – für die Besucher des 21. Chaos Communication Congress gibt es viele Bezeichnungen. Allerdingsdreht sich auf dem Kongress des Chaos Computer Clubs längst nicht alles um Cracks, Computer und Code.
   
Schlösser knacken

Die größte Ausnahme vom Alltag des durch dunkle Räumen und Computersurren geprägten Kongresses stellen wohl die Lockpicker dar. Die Sportsfreunde der Sperrtechnik haben am Rand der Veranstaltung wieder ihre Skills unter Beweis gestellt - aber nicht an Servern, sondern Schlössern. Mit Geschick, etwas Handwerkszeug und vor allem viel Erfahrung versuchen die Schlossknacker, alltägliche Sicherheitstechnik zu überwinden. Dass es dabei lustig zugeht, beweisen die geröteten Gesichter, angekratzten Stimmen und müden Augen am Ende des Kongresses.

Große Augen gab es stellenweise, wenn die schnellsten Knacker zeigten, wie einfach und fix man mit ein paar Tools physische Barrieren überwinden kann – auch digital geht’s selten schneller. Ein richtiges Highlight für die Besucher gab es allerdings erst am dritten und letzten Messetag. Dann wurden auch Ungeübte in die Kunst des Schlösserknackens eingeweiht und konnten sich im Öffnen von einfachen Schließwerken probieren. Auch unser Redakteur war mehr oder minder erfolgreich – zumindest bei zwei der vorhandenen Testschlösser war er erfolgreich.

Neben den Aktivitäten im Schliessbereich gab es auch noch Kunstwerke der ganz anderen Art zu bestaunen. Im Foyer des Berliner Kongresszentrums stellte der Erfinder des mechanischen Pongs sein Werk aus – allerdings war das Spielgerät schon nach kurzer Zeit defekt und schien damit dem großen Ansturm nicht unbedingt gewachsen.
   
Blinkende Lichter

Für fulminante Lichtspiele sorgten die Blinkenlights, LEDs oder Glühbirnen, die von einem Mikrocontroller kontrolliert schöne Muster hervorbrachten. Besonders imposant: In tagelanger Kleinarbeit rüsteten die Blinkenlights-Macher wieder das zum Kongresskomplex gehörende "Haus des Lehrers" mit der Technik aus und zauberten die Lichteffekte auf die Fensterfront des Hochhauses.

Die Tagungsstätte selbst lag zumindest im Untergeschoss permanent im Halbdunkel – dort fühlten sich die auch ansonsten licht- und kamerascheuen Teilnehmer offenbar am wohlsten. Tagelang saßen sie dort vor ihren Laptops und wagten sich nur ungern ins Licht der Öffentlichkeit. Nicht umsonst hingen an den Wänden "Bitte Duschen!!!"-Schilder. Denn das Kongresszentrum in der Hauptstadt war nicht nur Arbeits- sondern auch Schlafraum für viele der Besucher. Davon zeugten die Schlafsäcke und Isomatten, die in abgelegenen Winkeln ausgebreitet waren.

Der 21. CCC-Congress war kurz vor dem Jahreswechsel definitiv noch einmal ein Highlight 2004. Zwar kann man die Vorträge bald auch Online auf den Seiten des CCC beziehen, die Atmosphäre allerdings und vor allem die netten Gespräche, die sich mit den Teilnehmern ergaben, sind nicht durch einen Computermonitor zu ersetzen.

Quelle : www.onlinekosten.de

[SiLæncer]

Überraschend frühzeitig hat der Fahrplan für den diesjährigen 22. Chaos Communication Congress (22C3) das Licht der Datenwelt erblickt. Ziel der bereits im Sommer angekündigten Verlängerung der traditionellen "europäischen Hackerparty" des Chaos Computer Clubs (CCC) am Jahresende um einen zusätzlichen vierten Tag war es eigentlich, das Programm zu entzerren und Überschneidungen zu reduzieren. Der nun veröffentliche Zeitplan, der sich in Version 0.9 befindet und sich damit einer stabilen Planungsmöglichkeit stark annähert, ist aber erneut voll gepackt mit einer kaum überschaubaren Zahl von Veranstaltungen rund um die Themen "Hacking", Netzwerk- und Systemsicherheit, Programmier-Trends, angewandte Kryptographie oder den sonstigen "kreativen Einsatz von Technik" in Forschung, Gesellschaft und Kultur.

Den Hauptvortrag am Eröffnungstag übernimmt mit dem japanischen Wagniskapitalgeber und Bürgerrechtler Joi Ito eine dem Kongresspublikum nicht unbekannte Größe: Schon im vergangenen Jahr hatte der begeisterte Blogger über die Entstehung einer neuen Demokratie aus dem Geiste der vernetzten Medien philosophiert. Dieses Mal wird er nun zum Thema "Private Investigations" sprechen, dem erkundungsfreundlichen Motto des diesjährigen Stelldicheins der Hackerszene. Ebenfalls auf dem 21C3 bereits für Aufsehen gesorgt hatte der Karlsruher Sicherheitsexperte Thomas Maus mit Einblicken in schwere Sicherheitslücken in Architekturen für den sensiblen Bereich E-Health. Vornehmen will er sich dieses Jahr die Infrastrukturen rund um die elektronische Gesundheitskarte, die seiner Ansicht nach ein Datenschutz-Desaster verheißen könnten.

Nachdem der CCC das ganze Jahr über vor der Einführung biometrischer Merkmale auf RFID-Chips in die Reisepässe gewarnt hatte, dürfen auf dem Congress natürlich auch Erkundungen zur "Technik im neuen E-Pass", RFID-Protokollen und Abhörmöglichkeiten von Funkchips sowie etwa zu "Biometrie in der Science Fiction" nicht fehlen. Weitere Schwerpunkte aus dem Bereich Netzpolitik und Überwachungsstaat stellen mehrere Vorträge rund um die geplante EU-Richtlinie zur TK-Vorratsdatenspeicherung, zu Softwarepatenten und Urheberrecht, Wirtschaftsspionage, Videoüberwachung sowie der Cybercrime-Verfolgung mit der möglichen Kriminalisierung von Sicherheitsprüfern dar.

Neben der kritischen Auseinandersetzung mit den soziopolitischen Folgen der Informationstechnik soll naturgemäß aber auch der "Spaß am Gerät" nicht zu kurz kommen. Auseinander genommen werden laut Fahrplan dieses Jahr unter anderem die Xbox in alter und neuer Form, das Linux-Navigationssystem TomTom Go, TCP/IP oder Blackberrys. Dazu kommt die Auseinandersetzung mit Missbrauchs- beziehungsweise kreativen Nutzungsmöglichkeiten etwa bei der Internet-Telefonie unter dem Stichwort "VoIPhreaking". Tiefer gehende geistige Nahrung verheißen Auslotungen zum "informationskognitiven Kapitalismus" oder zu "Entschwörungstheorien", während spezielle Jahresrückblicke und Rätselspiele den besonderen Hackerhumor ansprechen sollen. Dazu kommen eher technisch ausgerichtete Vorträge zum besseren Programmieren etwa bei AJAX, Dylan oder Python. Abgerundet wird der Vortragsmarathon wieder etwa mit Bastel- und Entspannmöglichkeiten im "Art & Beauty"-Center oder im Häcksencenter der weiblichen Computerfreunde. Das Hackcenter, der große Spielplatz der Internet-Sicherheitsprüfer und Daddler, muss dieses Jahr Platz abgeben, um Raum für das themenbezogene Programm zu schaffen.

Zur Unterkunftssuche, zum Gedankenaustausch oder Überprüfen der Kongressangebote hat der CCC erneut ein öffentliches Wiki sowie ein Weblog eingerichtet. Dort erfährt man beispielsweise bereits, dass das Rauchen am Veranstaltungsort, dem Berliner Congress Center (BCC) am Alexanderplatz, zwar nicht direkt verboten, aber doch eingeschränkt werden soll. Der Griff zur Zigarette im Gebäude steht demnach nur noch absolut süchtigen Hackern offen. Die Standardkarte für den viertägigen Hackerurlaub zwischen den Jahren kostet für Club-Mitglieder 50, für die sonstigen Besucher 75 Euro. Firmenvertreter werden gebeten, einen 250 Euro teuren Pass zu kaufen.

Siehe zum 22. Chaos Communication Congress (22C3) und zur Veranstaltung 21C3 im vergangenen Jahr:

    * 22C3: Private Investigations, Website zum 22C3

    * Hackertreffen endet mit Besucherrekord
    * AVIT^C3: "Frame für Frame Aktion" bei den VJs
    * Hacker erwarten auch 2005 viele "Spielplätze"
    * Demokratie-Hacks, Weblogs und freie Meinungsäußerung
    * Massenhack löst Welle der Empörung aus
    * Riesige Datenschutzlücken im elektronischen Gesundheitswesen
    * Hacker erinnern nachlässige Web-Admins an Backup-Pflichten
    * Wikipedia soll schneller werden und kommerzfrei bleiben
    * Blooover demonstriert schwere Sicherheitslücken bei Bluetooth-Handys
    * Hacker fürchten Orwellsche Zensurmöglichkeiten durch Trusted Computing
    * Entwickler freier Software setzen GPL-Rechte durch
    * Nur das Chaos lebt

Quelle und Links : http://www.heise.de/newsticker/meldung/66567

[SiLæncer]

Zum 22. Mal rief der Chaos Computer Club zum Hackerkongress, und über 3000 Interessierte kamen. Vier Tage lang geht es jetzt mit Tech-Talk, tiefen Einsichten und viel Politik zur Sache: Hacker, machten die Eingangsredner klar, sind keine Kriminellen, sondern Verteidiger der Informationsfreiheit.

Computerfreaks sind - wie tröstlich - auch irgendwie normale Menschen, jedenfalls wenn es um Probleme mit der Technik geht. Am ersten Tag des diesjährigen Chaos Computer Congress (22C3) jedenfalls zeigten sich am Dienstag nicht nur die Mikrofone im Berliner Congress Centrum bockig. Auch das WLAN und die Congress-Website waren zeitweilig ausgefallen.

Die rund 3000 jungen Männer und schätzungsweise drei Dutzend Frauen, die zum 22. Congress des Chaos Computer Club pilgerten wie zum jährlichen Klassentreffen, nahmen es gelassen. Zu groß war die Vorfreude auf vier tolle Tage hinter Keyboard und Bildschirm, auf Austausch über die neuesten Gimmicks und Hackertricks, auf 150 Vorträge von Szenegrößen über Themen wie die "Technik im neuen ePass" oder die "Elektronische Gesundheitskarte und Gesundheitstelematik - 1984, reloaded?"

Angesichts offensichtlicher Unkenntnis im Rest der Welt sah sich Zeremonienmeister Tim Pritlove bei der Eröffnungsveranstaltung genötigt zu erklären, was Hacker nicht sind: "Wir sind keine Kriminellen", sagte er. Und fügte schelmisch an: "Denkt dran."

Hacker seien auch keine "übermächtigen Übergeeks" und auch nicht die, "die dir dein Windows reparieren". Ein Hacker sei vielmehr einfach einer, der "Dinge durchdringen" wolle, der sich "besorgt, unnachgiebig und wütend" für die Informationsfreiheit einsetze.

Der Hinweis auf die Grenzen der Legalität, der auf der völlig überfüllten Eröffnungsveranstaltung für Heiterkeit sorgte, war aber nicht ganz unbegründet. Im vergangenen Jahr habe es, erinnerte Pritlove, vom Congress aus ein paar unangenehme Hackerattacken gegeben - mit entsprechenden Gegenmaßnahmen der Computerermittler des Berliner Landeskriminalamts. Deshalb gelte auch für Hacker: "Schalte dein Gehirn ein, bevor du den Computer anknipst." Für Zweifelsfälle ist eine "Hacker Ethics Hotline" geschaltet, die über die strafrechtlichen Konsequenzen aufklärt.

Waschen ist Dienst am Nächsten

Auch sonst achtet der CCC streng auf Etikette. So wurden alle Teilnehmer, die schon am Morgen in kleinen Grüppchen tief versunken und stumm vor ihren Laptops saßen, im Programmheft aufgerufen, Drogen - einschließlich Alkohol, Coke und Club Mate - nur insoweit zu gebrauchen, als sich niemand gestört fühle. Das Schlafen auf den Gängen des Berliner Congress Centrums wurde in diesem Jahr erstmals untersagt, unter anderem wegen der Erkenntnis, dass "regelmäßiges Duschen nicht nur erfrischt, sondern auch für die Menschen um dich herum angenehm sein kann".

Ernster nehmen die Chaos-Teilnehmer die eigenen Regeln zum Fotografieren und Filmen. Gilt doch der Kampf um das Recht am eigenen Bild als Ehrensache für die Szene, die Informationsfreiheit zum Menschenrecht erklärt hat. Die eine oder andere Kamera von Pressefotografen sei bereits zu Bruch gegangen, erinnerte sich CCC-Sprecher Andy Müller-Maguhn. Mit den Vermietern des Congress Centrums haben die Veranstalter ausgehandelt, dass die Videoüberwachung für die Zeit des Treffens zumindest teilweise ausgeschaltet wird.

Auch der Eröffnungsvortrag des Szenegurus Joi Ito zeigte, dass es sich nicht nur um eine Spaßveranstaltung handeln soll. Ito warnte vor dem Ende der Freiheit im Internet und vor den damit verbundenen Gefahren für die Demokratie. "Das größte Risiko heute ist, dass das Netz wieder geschlossen wird."

Informationsfreiheit aber sei "wichtiger als das Recht, Waffen zu besitzen und auch wichtiger als das Wahlrecht". Sie ermögliche den Wettbewerb der Ideen und damit Demokratie.

Auch Pritlove meinte, es habe bis zum Jahr 2005 gedauert, bis sich Regierungen die Winkelzüge ausgedacht hätten, die man bereits für das sagenumworbene 1984 befürchtet habe. Im Dezember jenes Jahres hatte sich die Szene übrigens in Hamburg zum ersten Chaos Computer Congress getroffen.

Quelle : www.spiegel.de

[SiLæncer]

Erstmalig gibt es auf dem Chaos Communication Congress, dem alljährlichen Stelldichein der europäischen Hackerszene zwischen Weihnachten und Silvester in Berlin, ein rund um die Uhr besetztes Beratungstelefon. Die "Hacker Ethik Hotline" soll selbsternannte Sicherheitstester davon abhalten, nach Belieben "Kisten aufzumachen". Dies kündigte Tim Pritlove vom veranstaltenden Chaos Computer Club (CCC) bei der Eröffnung des 22. Hackertreffs (22C3) am Dienstagvormittag im Berliner Congress Center am Alexanderplatz an. Der CCC reagiert damit auf einen Massencrack während des Kongresses im vergangenen Jahr, bei dem über 18.000 bei einem Provider gehostete Websites durch ein Skript automatisch verändert wurden.

Die Hotline ist aus dem kongresseigenen Telefon-Netz mit DECT-Geräten über die Nummer 1042 kostenfrei zu erreichen. Sie soll Fragen nach der moralischen Vertretbarkeit von Sicherheitstests beantworten und Anrufende anonym etwa darüber aufklären, "wie viel Stress es gibt, wenn's schief geht". Im vergangenen Jahr waren die Kongress-Organisatoren einen geschlagenen Tag damit beschäftigt, am "Abuse"-Telefon die Gemüter von Anrufenden zu beruhigen, die über "dumme Parolen" und das Vereinslogo auf ihren Sites wenig entzückt waren. "Um uns allen viel Ärger zu ersparen und mir außerdem zu zeigen, dass ihr keine Nihilisten seid, die am liebsten alles zerstören würden, bitte ich euch hiermit um Folgendes: Bitte sperrt dieses Jahr von eurem Treffen aus von vorneherein meine URL", hatte sich ein genervter Webmaster im Vorfeld des diesjährigen Kongresses in einem auch im Vereinsmagazin Datenschleuder abgedruckten Schreiben an die Hacker gewandt. "Ich hab zwischen den Jahre ne Menge zu tun und daher keine Zeit für eure Späßchen".

Generell forderte Pritlove die Teilnehmer der "größten europäischen Hackerparty" auf, "das beste Bild davon abzugeben, um was es in der Szene geht". Das Hackerimage sei in der Öffentlichkeit nach wie vor etwas verzerrt, weswegen es einige Punkte klarzustellen gebe: "Wir sind keine Kriminellen", proklamierte der Eröffnungsredner. Das Hauptbestreben der Computerexperten sei darauf gerichtet, die Freiheit zu wahren sowie die Technologie und damit auch die Welt zu verstehen. "Wir sind aber nicht die allmächtigen Über-Geeks", stellte Pritlove weiter klar. "Wir dringen nicht in alles ein und knacken keine Bankkonten." Ein Hacker sei jemand, der erforschen wolle, wie etwas funktioniere. "Wir reparieren auch nicht deine Windows-Maschine", räumte der Mitorganisator mit weiteren falschen Erwartungen an die Konferenz auf. "Wir haben eine Stimme und wir wollen, dass sie gehört wird."

Bei den politischen Zielsetzungen will sich der CCC laut Pritlove in diesem Sinne insbesondere gegen eine weitere Überwachung der Bürger stark machen. "Wir starteten mit dem Kongress im Orwell-Jahr 1984, weil es ein Sinnbild für die Unterdrückung war. Jetzt haben wir auch in Deutschland all diese Gesetze und Regeln, von denen wir dachten, dass sie '1984' existieren würden", versuchte der Hacker seine Mitstreiter aufzurütteln. In 150 Vorträgen können sich die Teilnehmer dieses mal an erstmals vier Tagen über Sicherheitslücken, den Einfluss der Computer- und Netztechnik auf die Gesellschaft sowie auch über die Angriffe auf die Privatsphäre und die Meinungsfreiheit aufklären lassen. Daneben verspricht das Hackcenter im Untergeschoss erneut viel "Spaß am Gerät", während insbesondere im "Art & Beauty"-Saal mit Robotern, dem Öffnen von Schlössern (Lockpicking) oder Visuals experimentiert werden darf. Weitere größere Projektecken halten etwa die Vertreter des deutschsprachigen Wikipedia besetzt, die am morgigen Mittwoch Besuch vom Chefentwickler der Mediawiki-Software, Brion Vibber, erwarten, die Wauland-Stiftung zur Erinnerung an den 2001 verstorbenen CCC-Doyen Wau Holland oder die Freifunk-OLSR-Bewegung besetzt.

Siehe zum 22. Chaos Communication Congress (22C3) und zur Veranstaltung 21C3 im vergangenen Jahr:

    * 22C3: Spaß am Gerät mit Xbox-Hacking, VoIPhreaking und Entschwörungstheorien
    * 22C3: Private Investigations, Website zum 22C3

    * Hackertreffen endet mit Besucherrekord
    * AVIT^C3: "Frame für Frame Aktion" bei den VJs
    * Hacker erwarten auch 2005 viele "Spielplätze"
    * Demokratie-Hacks, Weblogs und freie Meinungsäußerung
    * Massenhack löst Welle der Empörung aus
    * Riesige Datenschutzlücken im elektronischen Gesundheitswesen
    * Hacker erinnern nachlässige Web-Admins an Backup-Pflichten
    * Wikipedia soll schneller werden und kommerzfrei bleiben

    * Blooover demonstriert schwere Sicherheitslücken bei Bluetooth-Handys
    * Hacker fürchten Orwellsche Zensurmöglichkeiten durch Trusted Computing
    * Entwickler freier Software setzen GPL-Rechte durch
    * Nur das Chaos lebt

Quelle und Links : http://www.heise.de/newsticker/meldung/67786