DNIP Briefing #47: (Gute) Nacht

Die Redaktion präsentiert jeden Dienstag die Geschichten, die sie bewegt, aufgerüttelt oder zum Nachdenken angeregt hat.

Wer kennt sie nicht, diese Anrufe vom angeblichen «Microsoft-Support». Oder diese Mails, die einem Millionengewinne oder grossartige Investmentchancen versprechen. Die meisten von uns erkennen das relativ schnell als Betrugsmasche. Alleine die Tatsache, dass diese Anrufe und Mails nicht aufhören, sollte allerdings ein Indiz sein, dass sich die Masche lohnen muss. Der Redaktion ist aber auch eine Person persönlich bekannt, die im Laufe der Jahre mehrere Hunderttausend Franken bzw. Euro an verschiedene Internet-Betrüger bezahlt hat.

Also ist es mehr als nur eine Masche, sondern ein regelrechtes Geschäftsmodell. Der deutsche Podcast «Legion: House of Scam» ist den internationalen Banden hinter diesen Scam nachgegangen und berichtet über deren skrupelloses Vorgehen.

Internet-Sperren taugen nicht gegen Raubkopien

In Italien gibt es seit mehreren Jahren das sogenannte Piracy Shield, mit welchem Rechteinhaber von Filmen etc. Internet-Sites blockieren lassen können, über die aus ihrer Sicht Raubkopien ihrer Werke verbreitet werden. Technisch kommen dabei sowohl IP- wie auch DNS-Blockaden zum Einsatz. Dieses System wurde schon bei der Einführung kritisiert, da es zu grossen Kollateral-Schäden führt (nicht alle Inhalte einer Webseite verstossen typischerweise gegen des Urheberrecht) und durch technisch versierte User leicht umgangen werden kann.

Italienische ForscherInnen haben nun genau diese Befürchtungen in ihrem Paper A First Look to Collateral Damages and Efficacy of the Italian Piracy Shield bestätigt:

In dieser Arbeit präsentieren wir die erste Untersuchung der realen Auswirkungen der Plattform, indem wir ihre Blockierungsaktivitäten rekonstruieren und analysieren. Unsere Analyse zeigt, dass die Plattform erhebliche Kollateralschäden verursacht. Die wahllose Blockierung auf IP-Ebene hat Hunderte von legitimen, nicht-Streaming-Websites, gestört und stört sie weiterhin. Gleichzeitig könnte die Wirksamkeit der Plattform durch Streamer untergraben worden sein, die der Durchsetzung entgingen, indem sie auf neue Infrastrukturen und ungefilterten IP-Adressraum migrierten.

Sie halten im Weiteren fest, dass der durch die Internet-Sperren verursachte Kollateral-Schaden (Sperre von legitimen Inhalten) deutlich grösser ist als der potenzielle Nutzen, und regen Anpassungen an.

Wenn AI nach Schusswaffen sucht …

Der Einsatz eines AI-basierten Schusswaffen-Detectors hat in Baltimore County (USA) dazu geführt, dass die Polizei einen Schüler in Handschellen legte. Das Überwachungssystem hatte in der Art, wie der Schüler eine Packung Chips in der Hand hielt, eine Schusswaffe interpretiert und Alarm ausgelöst. Dies führte dazu, dass 20 Minuten später die Polizei auf dem Schulgelände eintraf und den Schüler vorübergehend festnahm. Gemäss Angaben der Schule (archive.is-Link, der Originallink ist ausserhalb der USA nicht zugänglich) wurde der Alarm allerdings bereits vorher durch die Schule gestoppt. Entsprechend unklar ist, wieso schlussendlich trotzdem die Polizei ausrückte.

AI-basierte Schusswaffen-Erkennung ist an dieser Schule seit letztem Jahr im Einsatz, und verwendet dazu Bilder aus den in der Schule bereits vorhandenen Überwachungskameras. Aus dem Bericht geht nicht hervor, ob das System in dieser Zeit auch schon echte Waffen erkannt hat, oder ob es der erste falsche Alarm überhaupt war. Aus europäischer Sicht mag das alles recht surreal wirken, aber in den USA nimmt man wohl lieber die Traumatisierung einzelner Schüler durch einen Fehlalarm in Kauf als einen effektiven Schusswaffeneinsatz im Schulzimmer.

Jaguar Land Rover-Hack noch teurer als vermutet

Vor ein paar Wochen haben wir hier darüber spekuliert, dass die Garantie über 1.5 Milliarden Pfund, welche die britische Regierung für das Unternehmen gegeben hat, eine gute Annäherung an die effektiven Kosten des Hacks bzw. der fehlenden Sicherheitsmassnahmen darstellt. Ein Cybersecurity-Unternehmen hat in der Zwischenzeit eigene Berechnungen angestellt und kommt auf Gesamtkosten von 1.9 Milliarden Pfund (rund 2 Milliarden CHF).

Das Modell schätzt, dass das Ereignis einen finanziellen Schaden von 1.9 Milliarden Pfund in Grossbritannien verursacht und über 5.000 britische Organisationen betroffen hat. Die modellierte Verlustspanne liegt zwischen 1.6 und 2.1 Milliarden Pfund, könnte aber höher ausfallen, wenn die Betriebstechnologie erheblich beeinträchtigt wurde oder es zu unerwarteten Verzögerungen bei der Wiederherstellung der Produktion auf das Niveau vor dem Ereignis kommt. Diese Schätzung spiegelt die erheblichen Störungen in der Fertigung von Jaguar Land Rover, in seiner mehrstufigen Fertigungslieferkette und bei nachgelagerten Organisationen, einschliesslich Händlern, wider.

Wenn dein Wasserbett dich kocht, ist die Cloud schuld

Die Luxus-Wasserbetten des Herstellers Eight Sleep liessen sich während dem Ausfall der Amazon-Cloud nicht mehr steuern, wie 404 Media berichtet (Paywall). Einige wechselten auf Dauerheizen, andere weigerten sich, aus der sitzenden Gute-Nacht-Geschichten-Lese-Position in die fürs Schlafen geeignetere horizontale Funktion zu wechseln. Beide Varianten dürften dem wohligen Schlaf nicht zuträglich gewesen sein.

Es erstaunt immer wieder, wie Firmen auf die Idee kommen, Produkte als marktreif anzusehen, die bei einem Internetausfall nicht mal mehr die grundlegenden Funktionen unterstützen. Also die, die wir noch vor wenigen Jahren mit einem Ein/Aus-Schalter oder ähnlichem erledigten. Falls die Firma je Konkurs gehen sollte oder sonstwie umstrukturieren muss, ist es gut möglich, dass die Betten auch dann aufhören zu funktionieren. Und das wäre ja leider nicht das erste Mal.

Einkaufstipp: Wer heute irgendein elektronisches Gerät kauft, sollte vor dem Kauf schon ausprobieren, ob es auch ohne Internetanschluss läuft. Egal wie toll die App aussieht.

Bad Boys benutzen Blockchain

Der letzte Internet-Übeltäter, eine Schadsoftware namens GlassWorm hat einige neue Tricks auf Lager. Seine eigentliche Schadfunktion ist es, auf den PCs von Softwareentwicklern nach Zugangsdaten zu suchen, mit denen Updates auf Softwareportale wie NPM und GitHub hochgeladen werden können, um weitere Entwickler und ihre Software zu infizieren.

GlassWorm bringt aber auch einige Neuheiten mit, wie Idan Dardikman von der Sicherheitsfirma Koi berichtet. So werden die Schadfunktionen des Codes durch Sonderzeichen codiert, die beim normalen Anschauen unsichtbar sind, sogenannte Unicode Variation Selectors; ihr eigentlicher Zweck ist, Varianten von Basis-Emojis zu erzeugen, beispielsweise in der Hautfarbe.

Wie viele andere Schadsoftware will auch GlassWorm auf einen Steuerserver (Command and Control Server, abgekürzt C&C oder C2) zugreifen, um mit seinem Herrchen Kontakt aufzunehmen und zusätzliche Kommandos oder Schadfunktionen nachladen. Diese Server stellen einen Single Point of Failure dar. Entsprechend versuchen Firmen und Behörden, diese Server raschmöglichst vom Netz zu nehmen, um die Funktion der Malware einzuschränken.

Als zweite «Innovation» speichern die Ersteller von GlassWorm die Adresse des C2-Servers nun in einer Blockchain. Die Blockchain speichert diese Daten ewig – oder so lange sie überhaupt am Laufen gehalten wird – und ermöglicht auch eine spätere Änderung dieser Adresse, die in normalen Transaktionen innerhalb der Blockchain codiert werden.

Und schliesslich:

• Falls jemand bereits über Weihnachtsgeschenke nachdenkt: In den USA kommt jetzt eine Kamera für die Toilette auf den Markt. Diese soll den Toiletten-Inhalt vor dem Spülen optisch analysieren und potenzielle Gesundheitsprobleme frühzeitig erkennen. Wir sehen da noch ein paar andere Probleme und halten das eher für eine Sch**ss-Idee, aber ey, wie der Hersteller versichert, ist bezüglich Datenschutz alles in Butter: „Die erzeugten Daten werden end-to-end-verschlüsselt“ …
• Falls sich jemand den neuesten Asterix-Band zu Gemüte führen sollte: Seid nicht überrascht, wenn aktuelle Themen wie Registrierungspflicht auf Webseiten und Passwortregeln auf die Schippe genommen werden. Viel Spass!
• Wer sich mal mit dem Erzeugen eines neuen Passwortes austoben will, kann das bei Neal.Fun ausprobieren. Der Name ist Programm, die Passwortregeln sind nicht ernst gemeint, dafür doppelt unterhaltsam und herausfordernd. (Wer sich übrigens echte, sichere deutsche Passphrases generieren will, wird hier fündig.)