Die Redaktion präsentiert jeden Dienstag die Geschichten, die sie bewegt, aufgerüttelt oder zum Nachdenken angeregt hat. Heute u. a. mit Software-Lücken, Chat-Metadaten und wie immer viel KI.
(K)eine Schwachstelle im Ländle
Zum Abfluss der Handelsregisterdaten im Fürstentum gibt es jetzt etwas Offizielles:
„Die Sicherheitsanalyse hat ergeben, dass der unberechtigte Zugriff auf die Daten aufgrund einer fehlerhaften Logik zur Überprüfung der Berechtigungen möglich war. Diese Schwachstelle ermöglichte es, die Anwendungsprogrammierschnittstelle (API) durch wiederholte Einzelanfragen auf eine Weise auszunutzen, die nicht vorgesehen war. Es war keine klassische Software-Schwachstelle.“
Fabian Schmid, Leiter des Amts für Informatik (FL)
Wenn durch „wiederholte Einzelanfragen“ Daten „aufgrund einer fehlerhaften Logik zur Überprüfung der Berechtigungen“ abfliessen können, dann ist das eine „klassische Software-Schwachstelle“. Sie ist sogar auf Platz 1 der aktuellen Top-Ten-Liste der renommierten OWASP (Open Worldwide Application Security Project; bei der Gründung 2001 stand das „W“ noch für „Web“).
Nichts Genaues weiss man nicht (weil das Liechtensteinische Amt für Informatik sich bedeckt gibt), aber aufgrund der Erklärung klingt es plausiibel, dass die (fehlenden) Schutzmechanismen für das fürstliche Handelsregister einige Ähnlichkeiten mit denen bei der FIFA für die WM-Fernsehübertragung (spannende Lektüre!) haben könnten.
Einige häufige Softwarefehler, die dann in Sicherheitslücken enden, passen auf die liechtensteinische Beschreibung:
- Nur die Suche liefert keine Antworten, aber wenn man die Handelsregisternummer kennt (oder einfach geduldig hochzählt, die Paradedisziplin bei Computern), bekommt man alle Infos frei Haus (bzw. frei Browser) geliefert
- Der Downloadbutton ist zwar ausgegraut, aber der Link hinter dem Button ist gültig und der Server liefert die gewünschten Antworten
- Es reicht, ein Konto zu haben, egal welche Rechte es hat, denn die Rechte werden nicht geprüft
Beispiele für diese und ähnliche Vorgänge findet man u.a. in der obigen Beschreibung zur FIFA-Sicherheitslücke. Ob diese auf das fürstliche Datenleck zutreffen, ist allerdings zur Zeit reine Mutmassung.
So ähnlich sind übrigens auch gewisse Paywalls von Zeitungen ausgestattet, beispielsweise vei der NZZ oder – famously – dem Einsiedler Anzeiger: Die Daten werden an den Nutzer ausgeliefert, dann aber versteckt (DNIP erklärte). Das hindert Zeitungen nicht daran, dann „Datenklau“ vorzuwerfen, wenn man diese freiwillig beim normalen Browsen gelieferten Daten dann auch liest. Beispielsweise, weil man vor einem alten Computer oder hinter einer langsamen Mobilfunkverbindung hängt.
Was WhatsApp so alles über seine Nutzer weiss
Der deutsche IT-Spezialist „The Morpheus“ hat sich WhatsApp näher angeschaut um herauszufinden, was denn nun WhatsApp alles über seine Nutzer weiss. Mangels Source Code hat er dazu den Android-Client reverse engineered (als den Sourcecode rekonstruiert). Das positive vorneweg (auch wenn das nicht wirklich neu ist): Die eigentlichen Nachrichten werden end-to-end-verschlüsselt übertragen, deren Inhalte sieht Meta nicht.
Meta sieht und sammelt allerdings eine ganze Reihe anderer Dinge:
- WhatsApp erstellt eine detaillierte Übersicht darüber, wer mit wem wie oft und auf welche Weise kommuniziert, was selbst ohne Kenntnis des Nachrichteninhalts wertvoll für das Profiling ist. Das umfasst auch die Häufigkeit von Interaktionen und die Zeitpunkte im Tages- und Wochenverlauf,
- Jede Nutzer-Aktivität ist in den Metadaten nachvollziehbar (wie lange du an einer Sprach- oder Textnachricht gearbeitet hast, wie schnell du sie gelesen/gehört hast, wie oft du das gemacht hast, wann du Pause machst, welche Chats du als Draft stehen lässt etc.).
- Den Inhalt der Kontakte-App, sofern man WhatsApp den Zugriff darauf gegeben hat. Dabei werden nicht nur die Daten der WhatsApp-Kontakte ausgelesen, sondern schlicht die Details aller Kontakte (auch falls diese WhatsApp gar nicht nutzen).
- Informationen zum verwendeten Gerät, zur Internetverbindung etc., mit welchen Meta anschliessend versuchen kann, WhatsApp-Nutzer mit Facebook- und Instagram-Profilen abzugleichen. Das passiert auch dann, wenn man davon absieht, die verschiedenen Accounts in Metas „Account Center“ explizit zu verknüpfen.
All das ist schlussendlich nicht wirklich neu, sondern lässt sich schlussendlich daraus ableiten, dass Meta sicher alle Daten auswertet, die sie in die Finger kriegen. Als Nutzerin hat man keine Möglichkeit, sich dieser Datensammlung zu entziehen. Es sei denn, man wechselt auf Signal oder Threema (und motiviert sein Umfeld, es einem gleichzutun).
Metaverse 2.0
FastCompany sieht Metas Smart Glasses als Teil eines grösseren Plans. Wir alle sollen Trainingsdaten für Metas KI-Modelle und das Metaverse werden, wobei das Metaverse einfach neu der realen Welt übergestülpt werde. Und das, in dem wir Meta-Hardware kaufen, Meta-Software nutzen oder andere Software, die irgendwie an Meta-Dienstleistungen hänge. Und wenn man das nicht selbst tue, werde man Beifang in den Daten und hätte so nicht einmal mehr das Recht auf Opt-Out. Denn wenn die ganze Welt von (portablen) Kameras durchsetzt sei, sei ein Ausweichen unmöglich. Und wir würden als Daten in Metas riesige Datensammlung aufgesaugt.
EZB-Experten warnen vor KI-Blase
Die KI-Blase war schon mehrfach Thema bei DNIP. Nun warnt auch eine Expertengruppe der Europäischen Zentralbank davor. Eine Kurskorrektur der hoch bewerteten Tech-Aktien insbesondere in den USA sei „wahrscheinlich“. Auch wenn europäische Aktienmärkte nicht so stark betroffen sein dürften (da dort nach wie vor herkömmliche Unternehmen dominieren), ist der Euroraum vor allem über Indexanleihen, die oft hinter Geldanlagen oder zweiten und dritten Säulen versteckt sind, auch von den amerikanischen Börsen abhängig. Eine Kurskorrektur dürfte sich daher auch auf die privaten Ersparnisse und die Pensionskassen auswirken.
Formatierte Emails sind riskant
Wir alle haben uns dran gewöhnt, hübsch formatierte Emails zu verschicken und zu erhalten. Technisch ist das allerdings alles andere als sicher, basiert die Formatierung von Emails doch schlussendlich auf denselben Technologien wie Webseiten: HTML für die Inhalte und die Struktur, CSS für die Formatierung. Da sich mit HTML und CSS auch hübsche Web-UIs bauen lassen, kann entsprechender Code, verborgen in Emails, bei Webmailern dazu führen, dass das angezeigte UI aus der Email stammt, und nicht etwa vom Webmailer selbst.
Webmailer versuchen, dieser Problematik durch automatische Kontrolle und dem Ignorieren von potentiellem Code zu entschärfen. Wie der Security-Forscher Gareth Heyes anhand der Webclients von Yahoo Mail, AOL Mail, Fastmail, ProtonMail, GMail und Outlook beschreibt, sind sie dabei aber bei weitem nicht immer erfolgreich. Er zeigt auf, dass inbesondere die Verwendung von eher selten eingesetzten HTML-/CSS-Elementen von den automatischen Filtern nicht erkannt wird, und bösartige auf diese Weise zum Beispiel im von Web-Outlook angezeigte Ribbon (die Klickfläche am oberen Fensterrand) eigene Einträge platzieren können. Heikel wird es auch im Zusammenspiel mit KI-Browsern: Wer diese für den Zugriff auf seine Webmail nutzt, setzt sich faktisch Prompt Injection-Angriffen aus, bei denen aus einer Email heraus direkt Anweisungen an den Browser gegeben werden. Der Artikel führt eine ganze Reihe weiterer erfolgreicher Angriffe auf; basierend darauf kann man eigentlich nur zum Schluss kommen, dass man besser die Finger von Webmailern lässt.
Nicht untersucht hat Gareth Heyes die Mail-Anwendungen, welche als Teil des jeweiligen Betriebssystems mitgeliefert werden oder welche über App Stores etc. installiert werden können.
Und schliesslich:
- Wer wissen will, wie moderne Webseiten dich auch ohne Cookie tracken: Sehr eindrücklich wird das auf dieser Seite erklärt (Variante hiervon; andere Beispiele hier). Das Blocking von bekannten Trackern und Dienstewechsel ist ein wichtiger Schritt, hilft aber allene nicht; man muss zu weiteren Einschränkungen greifen wie die strikteren Privatsphäreeinstellungen bei Firefox, den Tor Browser oder Brave.
- Gegen das Zürcher Polizeigesetz hat eine breite Koalition Beschwerde vor Bundesgericht eingereicht, darunter auch die Digitale Gesellschaft. Dies vor allem, da es die Grund- und Menschenrechte nicht achtet, sondern eine präventive Massenüberwachung mittels intransparenter KI-Systeme schafft. Der News-Beitrag der Digitalen Gesellschaft zieht dabei Parallelen zum Film Minority Report.
- Ein Bankräuber versuchte mittels eines durch ChatGPT zusammengestelten Plans einen Bankraub. Nicht ganz überraschend schlug der Plan fehl. Was man daraus auch für legale Aktivitäten lernen kann: Wenn du in einem Bereich gar keine Ahnung hast, dann verlasse dich nicht auf eine KI, sondern zieh doch bitte noch einen Experten hinzu. Der kennt auch das Zusammenspiel verschiedener Faktoren sowie weiss (oft aus eigener Erfahrung und damit besonders einprägsam) was alles schiefgehen kann.
- Open-Source-Software ist wichtig. Auch moderne kommerzielle Software besteht heute unter der Haube zu sehr grossen Teilen aus Open Source. Doch Open-Source-Ökosysteme können nur gedeihen, wenn die (kommerziellen) Nutzer von Open-Source-Software diese auch in Zusammenarbeit mit dem Originalentwicklerteam weiterentwickeln. Und nicht beginnen, ihre eigenen Varianten („forks“) davon abzuspalten, weder aus kommerziellen noch nationalistischen Gründen. Jan Wildeboer erzählt aus dem Red-Hat-Nähkastchen zu Open Source.
- Eine detaillierte Analyse (und Kritik) am Umgang mit den Cybersecurity-Vorfällen z.B. um OpenAI und Anthropic (DNIP berichtete) hat Mike von Misaligned Markets zusammengestellt. Er zeigt auch auf, wie bei Reinforcement Learning von LLMs beim Training von zusätzlichen Eigenschaften noch eine weitere Feedback-Schleife hinzukommt, über die bekannten Schleifen hinaus.
