Skip to content

Ankündigung: Live-Hacking im Datenkanal 26

Der neue Datenkanal wird eine Therapiestunde für euch. Ihr sollt hacken und darüber reden. ;-) Wir haben zwar kein Sofa, dafür ein Pad und ein Telefon. Legt euch also bequem auf euer Sofa, nehmt den Rechner auf den Schoss, das Telefon in die Hand und macht unsere Sendung an.

Wir haben einen Server aufgesetzt und ein bisschen Software installiert. Die Software hat diverse Schwachstellen und ihr sollt diese finden. Für eure Funde und für die Koordination gibt es ein Pad. Schreibt dort einfach rein, was ihr probiert habt, was geklappt und was nicht geklappt hat.

Die Sendung soll aber ein wenig Interaktivität bieten. Ruft uns an und erzählt uns, was ihr versucht habt und ob dies erfolgreich war. Die Nummer im Studio ist 03641/522222. Wir freuen uns auf eure Anrufe.

Wenn ihr es schafft, den Rechner zu übernehmen, denkt bitte daran, dass sich andere auch versuchen wollen. Denn falls jemand Unfug baut, schalte ich den Rechner ab. Dann ist der Versuch vorschnell zu Ende. Kommt lieber stattdessen ins Pad oder direkt in die Sendung und teilt uns mit, welchen Weg ihr genommen habt.

Die »Kontaktdaten« des Servers geben wir kurz vor der Sendung bekannt. Beobachtet das Blog oder unseren Twitter-Kanal.

Viel Spass in der Sendung und beim Testen des Rechners

DK25: National Security Agency

National Security Agency

Die englische Zeitschrift Guardian lies im Juni 2013 eine Bombe platzen. Gestützt auf die Veröffentlichungen des Whistleblowers Edward Snowden veröffentlichte die Zeitschrift Details zu verschiedenen Überwachungsprogrammen des Geheimdienstes NSA. Eine wichtige Rolle in der öffentlichen Diskussion spielt das Programm PRISM.

Die NSA ist auch 60 Jahre nach der Gründung in der breiten Öffentlichkeit weitgehend unbekannt. Nicht umsonst machen manche Leute aus der Abkürzung NSA die Langform »No such agency« bzw. »Never say anything«. Daher haben wir die aktuelle Ereignisse zum Anlass genommen, ein wenig in die Geschichte des Dienstes zu blicken.

Wir starten unseren Überblick bei der American Black Chamber. Das war eine Tarnfirma, die unter der Leitung von Herbert O. Yardley, diplomatische Nachrichten entschlüsselte. Ein weiterer Zweig, der später zur NSA führte, waren der Signals Intelligence Service bzw. der direkte Vorläufer, die AFSA.

Neben den Vorläufern der NSA spielt auch die Zusammenarbeit zwischen den Diensten eine große Rolle. Wir haben daher ein wenig zu BRUSA bzw. UKUSA erzählt. Dies ist eine Vereinbarung über die Zusammenarbeit verschiedener Geheimdienste. Schon während des zweiten Weltkrieges wurde eine Zusammenarbeit zwischen dem GCHQ und amerikanischen Diensten vereinbart. Einer der Gründe für die Annäherung der Dienste vergass Jens in der Sendung zu erzählen. Der britische Mathematiker und Kryptoanalytiker Alan Turing sollte den USA beim Aufbau der Turing-Bomben helfen. Doch er wurde bei der Einreise festgesetzt und aus einem geplanten Aufenthalt von zwei Wochen wurden am Ende drei Monate. In der Zeit versuchte er, sich durch die Bürokratie zu kämpfen und seine eigentliche Arbeit zu machen. Diese negativen Erfahrungen führten später zu den obigen Überlegungen bzw. Verträgen.

Im Verlauf der Sendung diskutieren wir dann die Entschlüsselungsversuche diverser Algorithmen. Innerhalb des UKUSA-Bündnisses gab es anfangs große Erfolge mit russischen Chiffren. Am so genannten Black Friday stellte die Sowjetunion ihre Algorithmen um und die NSA konnte trotz enormer Anstrengungen in den folgenden Jahren nicht in die Inhalte der russischen Kommunikation schauen.

Wir diskutierten die Überflüge über die Sowjetunion und Kuba mit den U-2-Flugzeugen, aber auch den Einsatz von Schiffen und Satelliten. Die U-Boote der NSA haben wir außen vor gelassen.

Im Hinblick auf die aktuellen Veröffentlichungen wollte Jörg wissen, ob das ein Einzelfall ist. Daraufhin haben wir das Project SHAMROCK etwas beleuchtet. Dies führte dann später zur Einrichtung der Church-Kommission und zum Echelon einzugehen. Dies war zwar keine Abhörung der US-Inländer. Aber das Programm wurde um 2000 stark diskutiert. Selbst innerhalb der EU gab es einen Untersuchungsausschuss und schutzmaßnahmen für Parlamentarier wurden diskutiert.

Schließlich gingen wir auf die vergleichsweise aktuellen Veröffentlichungen zu Thinthread, Trailblazer und anderen durch Thomas Drake, William Binney und andere ein. Dabei wurde weiter klar, dass trotz anderslautender Äußerungen auch Amerikaner in das Schussfeld geraten. Weiterhin gab das so genannte Warrantless-Wiretapping-Programm. Dort hörte die NSA sämtliche Kommunikation ohne Gerichtsbeschluss ab. Dies führte zu einer Anpassung des FISA-Gesetzes von 1978 und führte weitreichende Erlaubnisse ein.

Wir haben im Laufe der Sendung viele Details zur Geschichte der NSA weggelassen. Zwei Stunden sind für das Thema doch zu wenig. :-) Dennoch sollte euch die Sendung einen guten Einstieg geben und die untenstehenden Bücher vertiefen das weiter.

Download und Anhören

Musik

Shownotes

Bücher

Zu Anfang der Sendung hatte Jens einige Bücher zur NSA angesprochen. Die ersten Veröffentlichungen lieferte James Bamford. Später lieferte Matthew M. Aid eine weitere Biografie zur NSA.

Continue reading "DK25: National Security Agency"

DK24: Backups

Ein Problem, was vermutlich jeder kennt, sind verlorene Daten. Ihr arbeitet am Rechner und das Programm oder der komplette Rechner stürzen ab. Meist ist der Jammer groß. Denn in diesem Moment fällt euch ein, dass ihr eigentlich seit Monaten mal ein Backup machen wolltet. Wir greifen dieses Thema in der heutigen Sendung auf und diskutieren ein paar Ideen zur Lösung des Problems.

Jens ist in der Regel für die Bearbeitung der Audio-Dateien zuständig. Leider fehlt ihm etwas die Zeit für eine sinnvolle Nachbearbeitung. Der nächste Datenkanal ist schon fertig. Daher ist die Datei erstmal nicht bearbeitet und Shownotes fehlen auch. Eine bearbeitete Datei und Shownotes reichen wir später nach.

Download und Anhören

Musik

Shownotes

Musik und Shownotes kommen später

Ankündigung: DK25 zur NSA

Die 25. Sendung des Datenkanals steht vor der Tür. Am 20. Juni 2013 gehen wir ab 15 Uhr auf Sendung. Unser Thema ist die National Security Agency. Der Skandal um PRISM, UPSTREAM und andere Datensammlungen hat uns bewogen, den unbekanntesten Geheimdienst mal auf die Tagesordnung zu setzen. Wir wollen ein wenig die Geschichte des Dienstes beleuchten und über das FISA-Gericht sprechen. Dieses entstand aufgrund eines ähnlichen Überwachungsskandals vor mehr als 30 Jahren.

Der Livestream zur Sendung ist auf der Seite des Radio OKJ zu finden. Wir haben während der Sendung unseren XMPP-Chat an. Eventuell werden wir auch mit Crypto.cat rumspielen.

DK23: Verschwörungstheorien

Wir haben die 23. Sendung genutzt, um uns ein wenig über Verschwörungstheorien zu unterhalten. Den Anfang bildete die Bielefeld-Verschwörung. Danach streiften wir bekannte Themen wie die Anschläge vom 11. September und der Barschel-Affäre. Aber wir besprachen auch eher unbekannte Themen wie Gladio oder die Eichmann-Atombomben-Verschwörung.

Nach der Sendung fand Jens einen interessanten Vortrag bei YouTube. Unter dem Titel »Verschwörungstheorien und AIDS-Leugnung« berichtet Sebastian Bartoschek von den Ergebnissen seiner Arbeit. Er hat Verschwörungstheorien charakterisiert.

Viel Spass beim Reinhören

Download und Anhören

Musik

In der Sendung spielten wir die folgenden Titel:

Shownotes

Continue reading "DK23: Verschwörungstheorien"

DK22: Schwachstellen im Web II (OWASP Top Ten)

Die Sendung schließt nahtlos an den Vorgänger an. Im Datenkanal 21 sprachen wir hauptsächlich über SQL Injections und Cross-Side-Scripting (XSS). Diesmal wanderten wir grob an der Top Ten des Open Web Application Security Projekts entlang.

Zu Beginn der Sendung holten wir die Geschichte über der UEFI-Schlüssel raus, der auf einem frei zugänglichen Server lag. Über die Betrachtung von IT-Sicherheit als Prozess und den Demingkreis ging es dann weiter. Einen zweiten Kreis machten wir um das Erlernen einer Programmiersprache. Früher gab es so tolle Bücher, die versprachen, eine Sprache in Stunden oder höchstens Tagen zu erlernen. Heute gibt es Webseiten, die einen nachhaltigen Ansatz verfolgen.

Im weiteren Verlauf sprachen wir einzelne Einträge in den Top Ten an und erzählten etwas zu unseren Erfahrungen.

Download und Anhören

Musik

Jörg hat sich diesmal Van Syla rausgesucht. Wir spielten zuerst The Death of a Star. Als zweites Lied sollte in der Sendung Memories kommen. Vermutlich war das zu leise, denn in der Livesendung war plötzlich andere Musik (Notprogramm?) zu hören. Ich habe daher das Lied nachträglich in die Aufnahme reingeschnitten.

Shownotes

Continue reading "DK22: Schwachstellen im Web II (OWASP Top Ten)"

DK21: Schwachstellen im Web I (SQL Injection und XSS)

Diese Folge setzt unsere Betrachtungen von IT-Sicherheit fort. Nachdem wir mit dem Buffer Overflow einen Klassiker angesprochen haben, wenden wir uns in der Folge hauptsächlich der SQL Injection zu. Gegen Ende der Sendung kommen wir noch auf Cross Site Scripting (XSS) zu sprechen.

Zu Anfang gehen wir kurz auf Webanwendungen, PHP und SQL ein. Danach nähern wir uns der SQL Injection auf verschiedenen Wegen und erklären einige mögliche Schutzmechanismen. Über ein paar Umwege über Passwörter, Seitenkanalangriffe und HSTS kommen wir schließlich zu XSS.

Wir hatten ursprünglich vor, noch weitere Punkte mit in die Sendung zu nehmen. Aufgrund des Zeitmangels am Ende machen wir demnächst eine weitere Sendung zu dem Thema.

Zu Anfang der Sendung hatten wir ein paar Probleme mit dem Headset. Nach einem Tausch funktionierte dann alles problemlos.

Exploits of a mom von xkcd
Exploits of a mom (xkcd)

Download und Anhören

Musik

Jörg suchte sich die zwei Titel, Electrolife und Aren’t you clever von Trancendam raus.

Shownotes

Continue reading "DK21: Schwachstellen im Web I (SQL Injection und XSS)"
tweetbackcheck