Pegasus - Cyberangriff auf die Demokratie [Archiv]

Opprobrium

2021-07-19, 10:46:22

Meiner Meinung nach ist das der Supergau

Natürlich ist das der Supergau.

Läuft allerdings schon seit ~20 Jahren und wird nur ab und an thematisiert wenn mal einer aus dem Wertewesten betroffen ist oder wenn es sich wie bei den Leaks durch Herrn Snowden mal nicht sofortbunter den Tisch kehren lässt.

Wenn CIA, BND & Co. das machen wird dad ja nur gegen Terroristen und Kinderschänder eingesetzt ;)

Fefe dazu:

Übrigens, an der Stelle ist mir ein Punkt wichtig: Wie kommt diese Pegasus-Malware auf die Geräte? Über Sicherheitslücken. Sicherheitslücken, die auf dem Schwarzmarkt gekauft wurden.
Ein Markt, der überhaupt nur existiert, weil es Player gibt, die für Exploits zahlen, und die dann nicht schließen sondern sie ausnutzen.

Ein Markt, der aus genau einem Grunde existiert: Weil unseriöse Unrechtsregimes wie das unsrige ihre Geheimdienste und Polizeien ermächtigen, Sicherheitslücken auszunutzen um Trojaner zu installieren.

Diesen Markt gibt es, weil Länder wie wir Geld für Exploits zahlen. Ob wir die direkt kaufen oder über eine israelische Exploitwäscherei, das spielt an der Stelle keine Rolle.

Bei allem Gestikulieren über die schlimmen Israelis, die dieses Exploit-Kit zusammengestellt haben, dürft ihr bitte nichta us den Augen verlieren, dass sie das tun, weil unethische Möchtegernediktaturen wie Deutschland es für legitim findet, Trojaner auf den Geräten ihrer Bürger zu installieren.

Ist es nicht. War es nie. Und wenn man es doch macht, dann passiert genau das, was ihr gerade schön beobachten könnt.

Bald ist Wahl. Das Mindeste, was ihr tun könnt, ist keiner Partei eure Stimme geben, die es jemals für ethisch vertretbar hielten, Schadsoftware gegen die eigenen Bürger einzusetzen.
https://blog.fefe.de/?ts=9e0a7a4a

Ist die logische Konsequenz wenn sich die Politiker mit Händen und Füßen gegem OSS, Verschlüsselung und ein öffentliches Internet wehren.

Jetzt einen auf Betroffen machen ist an Scheinheiligkeit nicht zu überbieten

BlacKi

2021-07-19, 10:56:26

scheinheilig ist es zu glauben, das ein bundestrojaner gesetz etwas daran ändert. geheimdienste tun geheimdienstkram, das ist ihr job. egal welche partei an der macht ist.

Döner-Ente

2021-07-19, 11:04:24

scheinheilig ist es zu glauben, das ein bundestrojaner gesetz etwas daran ändert. geheimdienste tun geheimdienstkram, das ist ihr job. egal welche partei an der macht ist.

Auch wenn sie im Geheimen agieren und dabei gerne mal ihre Kompetenzen überschreiten, vollkommen losgelöst von Recht und Politik agieren Geheimdienste nun auch nicht.

BlacKi

2021-07-19, 11:09:25

wo kein Kläger, da kein Richter.

sowas kommt nur seltenst ans licht. aber dann ist es wie bei pegasus einen aufschrei wert.

-/\-CruNcher-/\-

2021-07-19, 12:15:33

Ein Geheimdienstler in der IT steht unter extreme moralischem Druck.

Khashoggi starb durch Pegasus :(

BlacKi

2021-07-19, 12:28:35

und in seltenen fällen setzen sie sich ins ausland ab und packen aus. wer immernoch glaubt, die geheimdienste jucken die gesetze, die kann ich nicht ganz ernst nehmen.

zur informations gewinnung werden alle gesetze gebrochen, gesetze werden nur eingehalten, wenn es um beweiße geht, die vor gericht bestand haben sollen.

den bundestrojaner(steht hier mal für alle trojaner die von geheimdiensten eingesetzt werden), haben wir so oder so auf dem handy falls die passende lücke parat ist, je nach dem ob wir die triggerpunkte für eine überwachung ausgelöst haben. verhaften können sie die wirklichen verbrecher aber nur mit dem trojaner, wenn die daten vor gericht stand haben und zulässig sind. insofern stimmt es, das die legalität des bundestrojaner eigentlich nur vorteile bringt. keine zusätzlichen nachteile für den rest einbringt. leider. denn ich will das ding natürlich auch nicht auf dem pc/handy haben, nur leider steht das nicht zur option.

das kann man versuchen zu unterbinden indem man sein handy/pc verhalten anpasst.

Opprobrium

2021-07-19, 12:45:25

und in seltenen fällen setzen sie sich ins ausland ab und packen aus. wer immernoch glaubt, die geheimdienste jucken die gesetze, die kann ich nicht ganz ernst nehmen.
Da kann man natürlich nichts dagegen tun. Geheimdienste zerschlagen? Unmöglich. Gesetze anpassen? Realitätsfremd. Parlamentarische Kontrolle? NATIONALE SICHERHEIT!!!11!

Ich glaube die Demokratie scheitert am Fatalismus der Masse :smile:

BlacKi

2021-07-19, 14:14:21

ich glaube tatsächlich, dass das realitätsfremd ist. die geheimdienste werden lediglich durch eine sache eingebremst, durch leaks. dann wechselt ein verantwortlicher seine position und weiter gehts. ist doch nicht gerade neu. das ist auch der grund, warum man unabhängigen journalismus in manchen staaten stark eingeschränkt wird. aka türkei und seine geheimen waffenlieferungen. oh warte, dafür gabs ja gesetze. was haben sie genutzt? ich will nicht sagen das man die gesetze und die kontrollen nicht braucht, ich sage nur, das sie nicht wirklich effektiv schützen.

Daredevil

2021-07-19, 14:21:33

die geheimdienste werden lediglich durch eine sache eingebremst, durch leaks. dann wechselt ein verantwortlicher seine position und weiter gehts. ist doch nicht gerade neu.
Also nicht das ich dir wiedersprechen möchte, aber sowas hast du doch nur aus Filmen. Dort funktioniert das ja auch gut, weil es den "Bösen" gibt, aber ob das in Realität wirklich auch so ist? I dont know.
Prison Break bleibt mir da immer in Erinnerung, fantastische Serie. ^^

BlacKi

2021-07-19, 15:24:30

kann dir nicht ganz folgen, scheinbar muss ich mir prisonbreak mal antun. das verantwortliche ihren hut nehmen wenn was passiert, ist doch standard.

-/\-CruNcher-/\-

2021-07-19, 18:38:14

"Life Saving Mission"

Wenn Khashoggi durch ihre Technologie erst zum Ziel werden konnte Mission Failed.

Da muss jetzt einer der israelischen Entwickler (Hacker) ordentlich um Vergebung beten

Mir kann auch keiner erzählen das solche möglichen Kollateralschäden nicht bekannt gewesen sind im Hunt after the Bad Boys of our World.
Und der Missbrauch einfach ignoriert in Kauf genommen wurde der KUNDE ist König und wenn dann die Bezahlung stimmt auch über das heilige Land.

Lieber die "Bösen" moralisch sauber jagen und Opfer in Kauf nehmen, die man nicht verhindern wird können und vielleicht auch gar nicht soll, als wie so eine Scheiße veranstalten und den Lauf der Dinge so zu beeinflussen.

BlacKi

2021-07-19, 19:06:53

was hat denn der tod khashoggi mit der spionagesoftware zu tun? weil beides in einem video erwähnt wurde? reicht das schon für dich als beweis? er hatte einen termin wegen seiner verlobung/hochzeit im saudischen konsulat. die spionagesoftware hatte damit nichts zu tun. und das sie gegen staatliche manipulation in saudi arabien vorgingen war auch kein geheimnis. khashoggi war schon lange ein staatsfeind der saudis.

aber ich geb dir recht, life saving mission ist natürlich quatsch.

-/\-CruNcher-/\-

2021-07-19, 19:17:41

Aber nicht ihre Pläne waren bekannt und was für eine Gefahr sie darstellen würden erst durch Pegasus konnte das scheinbar für die Saudis als richtige Bedrohung eingestuft werden die demzufolge eine Terminierung in ihren Gehirnen rechtfertigen würde ansonsten sei mal REAL hätte Khashoggi das Konsulat nie betreten, egal auf welchem Boden es steht, er wusste nicht, was sie schon wussten.

WISSEN ist Macht und Pegasus ist WISSEN

BlacKi

2021-07-19, 19:58:48

reine spekulation. er hat genug aussagen öffentlich getätigt die den saudis reichen würden für einen mord. warum willst du das überhaupt an pegasus festmachen. es gibt zig andere malewarehersteller. wäre es pegasus nicht gewesen, wäre es eine software aus tiefsten illegalen kreisen gewesen.

man kann spionagesoftware nicht verbieten. das ist ein teil dieser welt und die journalisten müssen sich drauf einstellen. genau wie ich es in meinem ersten kommentar schon erwähnt habe:

das problem ist nicht einfach das handy, es ist der umgang damit.

-/\-CruNcher-/\-

2021-07-19, 20:05:17

Ich kenne die anderen und ich kenne diese teils verzweifelten seelen dahinter und ich bekämpfe sie trotzdem, weil niemand das recht dazu hat Gott zu spielen und diese ITler sind Abschaum von denen du sprichst.
Die nicht verstehen das sie ihr Handeln teuer bezahlen werden und alle anderen mitreisen.

BlacKi

2021-07-21, 00:39:40

kann dir nicht ganz folgen.

hier ein interview in geschriebener form mit ed snowden.

nach dem ganze pseude emotionalen blabla für die medien, wie schrecklich das ist, bleiben 2 wichtige punkte hängen.

auf die frage: "Glauben Sie, diese Regierungen könnten Spionage in dieser Form betreiben, ohne dabei von der privaten Sicherheitsindustrie unterstützt zu werden?" antwortet er:
ja, klar. Verfügt man dort über einen hoch entwickelten Technikmarkt – klar.

Sie würden ihre eigenen Entwickler darauf ansetzen, sie würden interne Lösungen erarbeiten, ihre eigenen Werkzeuge entwickeln.

und der 2. punkt:
Wir dulden keinen kommerziellen Markt für Atomwaffen. Wir dulden keinen kommerziellen Markt für chemische oder biologische Waffen. Aber wenn es um diese digitalen boshaften Angriffsvektoren geht, unternehmen wir rein gar nichts. Wir müssen den Verkauf dieser Intrusiontechnologie stoppen. Das ist der einzige Weg, wie wir uns schützen können. Es geht darum, ein globales Moratorium für diesen Handel zu unterstützen.
zu letzterem: staaten werden weiterhin im geheimen diese technologien weiterentwickeln und auf dem schwarzmarkt wird es immer diese technologien geben. das moratorium spart vl geld, das wars.

ich bin schockiert, das es leute gibt die deshalb schockiert sind. wie kann es sein, das leute sich nicht ausreichend schützen, wenn sie aktiv gegen staaten und ihre geheimdienste handeln? spätestens seit den snowden leaks müsste doch jeder verstanden haben, das handys gehackt werden können.https://www.zeit.de/digital/2021-07/edward-snowden-spionage-software-pegasus-handy-ueberwachung-diktaturen?utm_referrer=https%3A%2F%2Fduckduckgo.com%2F

-/\-CruNcher-/\-

2021-07-21, 07:25:24

Wir unternehmen gar nichts entspricht nicht der Wahrheit, es lenkt uns aber kausal in eine gesellschaftliche Richtung, die viele niemals akzeptieren werden können.

Opprobrium

2021-07-21, 10:54:07

Passend dazu hat das Bundesverfassungsgericht gesagt das ist alles vollkommen OK:

https://www.bundesverfassungsgericht.de/SharedDocs/Pressemitteilungen/DE/2021/bvg21-062.html

Badesalz

2021-07-21, 12:02:25

Grmbl-Na-Gut

2021-07-21, 12:09:54

Passend dazu hat das Bundesverfassungsgericht gesagt das ist alles vollkommen OK:

https://www.bundesverfassungsgericht.de/SharedDocs/Pressemitteilungen/DE/2021/bvg21-062.html
Sagt es nicht.

Zitat:
Die Verfassungsbeschwerde ist unzulässig, weil zum einen die Möglichkeit einer Verletzung der grundrechtlichen Verpflichtung zum Schutz vor dem unbefugten Zugang Dritter zu informationstechnischen Systemen nicht hinreichend dargelegt ist und sie zum anderen den Anforderungen der Subsidiarität im weiteren Sinne nicht genügt.
Zitat Ende

BlacKi

2021-07-21, 12:37:13

Jep- Wollt ich grad auch schreiben.
"fefe liefert":
https://blog.fefe.de/?ts=9e0914d9

Und WIR haben die Frechheit die Polen was wegen der Gefährdung der Unabhängigkeit der Gerichte vollzusülzen (oder die Ungarn). un-glaub-lich
fefe ist ein zündler vor dem herrn. und die leute fallen wie bei den sozialen medien einfach drauf rein. und imho steigert er sich da immer weiter rein.

Sagt es nicht.

Zitat:
Die Verfassungsbeschwerde ist unzulässig, weil zum einen die Möglichkeit einer Verletzung der grundrechtlichen Verpflichtung zum Schutz vor dem unbefugten Zugang Dritter zu informationstechnischen Systemen nicht hinreichend dargelegt ist und sie zum anderen den Anforderungen der Subsidiarität im weiteren Sinne nicht genügt.
Zitat Ende

imho das schlüsselzitat:
Ob die Behörden bereits nach bestehendem Recht eine der grundrechtlichen Schutzpflicht genügende Abwägung vornehmen müssen, bevor sie entscheiden, eine ihnen bekannt gewordene Zero-Day-Schwachstelle nicht dem Hersteller zu melden, hängt von der Auslegung verschiedener Bestimmungen des Polizei-, des Datenschutz-, des Cybersicherheits- und des IT-Sicherheitsrechts ab.
man hätte die Bestimmungen des Polizei-, des Datenschutz-, des Cybersicherheits- und des IT-Sicherheitsrechts studieren und prüfen müsssen. gab es nachträgliche klagen die spezifischer gestellt wurden? wenn nein, könnte es darauf hindeuten, das man keine punkte gefunden hat, oder man hat es aufgegeben.

weil: wenn keine sicherheitslücken genutzt werden dürfen, dann braucht man auch keine kaufen. das bedeutet, das die sicherheitslücke aber trotzdem noch da draussen ist. es hätte keinen vorteil erbracht.

jetzt mal ganz verrrückt: was wenn man verpflichtet wäre, sicherheitslücken nach 6-12 monaten an den entwickler zu melden, dann könnte man die lücke nutzen, und gleichzeitig einen beitrag zur IT sicherheit liefern. naja, nach 6-12 monaten ^^ win win ?

Badesalz

2021-07-21, 13:51:24

fefe ist ein zündler vor dem herrn. und die leute fallen wie bei den sozialen medien einfach drauf rein. und imho steigert er sich da immer weiter rein.War das jetzt für dich eine Art sachlicher Entgegnung? :| Was interessiert dabei irgendjemanden Naturell?

Opprobrium

2021-07-21, 14:05:03

fefe ist ein zündler vor dem herrn. und die leute fallen wie bei den sozialen medien einfach drauf rein. und imho steigert er sich da immer weiter rein.
Ja, ich finde es auch sehr wichtig daß wir immer brav abwiegeln und uns bräsigem Fatalsimus hingeben anstatt uns mal darüber zu ärgern wenn unsere Verfassung untergraben wird und unsere gewählten Repräsentanten und Gesetzeshüter uns verratern, ausspionieren und verkaufen. :smile:

Am besten sollte man da gar nicht drüber reden. Man kann es ja ohnehin nicht ändern, gell? :rolleyes:

Fusion_Power

2021-07-21, 14:59:50

das problem ist nicht einfach das handy, es ist der umgang damit.
Kommt aufs Handy an. Das ist mein Handy, es gibt viele aber das ist meins! :

https://m.media-amazon.com/images/I/419FM9EJ3GL._AC_SS450_.jpg

Versucht da mal "Pegasus" aufzuspielen. :freak:

-/\-CruNcher-/\-

2021-07-22, 02:50:39

So sieht es dann aus, wenn man seinem eigenen Geschaffenen nicht mehr selber vertraut, und wenn plötzlich nur noch Totale Kontrolle die einzige logische Lösung darstellt.

Badesalz

2021-07-22, 06:36:45

Welche Möglichkeiten gibt es da allgemein am besten ranzukommen? So Apps, die "gefördert" sind? Perfekt oder?

Sowas wie Nina? Katwarn? Luca? Biwapp`

Wie kann man das System selbst so unterwandern und kaputt machen?
Dafür sollte jemand in den Bau.

lumines

2021-07-22, 11:44:11

Kommt aufs Handy an. Das ist mein Handy, es gibt viele aber das ist meins! :

https://m.media-amazon.com/images/I/419FM9EJ3GL._AC_SS450_.jpg

Versucht da mal "Pegasus" aufzuspielen. :freak:

Dafür braucht man kein Pegasus. Tracking über Mobilfunkzellen und abgehörte Gespräche / SMS ist per SS7 kein Problem.

BlacKi

2021-07-22, 12:12:07

im groben stimmt es aber, wir sind zu komfortabel geworden.

journalisten sollten geschäftshandys nutzen und generell ihre privaten dinge getrennt halten. du kannst doch nicht mitdemselben handy einen sturz im saudi reich planen und damit dann dhl packete/informationen empfangen, und dann auch noch auf den link klicken. sry, aber wie bescheuert ist die allgemeinheit denn bitteschön?

ob es pegasus nun gibt oder nicht, das hat darauf keine auswirkung. es gibt andere tools. ohne pegasus ist die welt nicht wirklich sicherer.

Ja, ich finde es auch sehr wichtig daß wir immer brav abwiegeln und uns bräsigem Fatalsimus hingeben anstatt uns mal darüber zu ärgern wenn unsere Verfassung untergraben wird und unsere gewählten Repräsentanten und Gesetzeshüter uns verratern, ausspionieren und verkaufen. :smile:

Am besten sollte man da gar nicht drüber reden. Man kann es ja ohnehin nicht ändern, gell? :rolleyes:
genau solche sprüche. das ist satire was ihr betreibt. fefe sehe ich nicht als allgemein kritischer blog, sondern da kotzt sich einer aus, immer dagegen.

So sieht es dann aus, wenn man seinem eigenen Geschaffenen nicht mehr selber vertraut, und wenn plötzlich nur noch Totale Kontrolle die einzige logische Lösung darstellt.
nein, man ist von anfang an falsch an die sache rangegangen. man hat die fortschritte und die nützlichkeit gerne genommen, aber nie kritisch hinterfragt.

-/\-CruNcher-/\-

2021-07-22, 13:12:30

Ja da gebe ich dir recht das Hinterfragen macht er erst, wenn er merkt „Moment mal wofür will er das nutzen", da ist es aber dann meistens zu spät und man wurde schon für andere Zwecke missbraucht das ist ein perfides spiel von Leuten, die sehr gut manipulieren können.
Und wenn die richtigen zu ihnen stoßen Jung, Intelligent, naiv und vielleicht dann auch zu allem Überfluss die Eigenschaft Karrieregeil mit sich bringen, Naja dann ist das vorprogrammiert.
Deswegen riesen Respekt vor Snowden und Manning die sich sogar von ihrem eigenen Patriotismus befreien konnten.
So eine krasse ich Wendung der so tief sitzt das Schaft nicht jeder konditionierte Mensch, wobei bei Manning ihrer Einschätzung hat man einen Riesen Fehler begannen nicht zu wissen, wer sie wirklich ist.

BlacKi

2021-07-22, 14:14:38

sicherlich war es interessant zu wissen was zum teil im detail abging, auch habe ich respekt davor was die whistleblower geleistet haben und werden. aber was waren nochmal die konsequenzen? was hat es gebracht? was hat sich in der überwachung offiziell und im geheimen getan? wie hat die bevölkerung sich geändert? was bringt das aufdecken des pegasus falls für konsequenzen? im besten fall bekommen journalisten ihre sicherheit in den griff, weil die spionagetechnik höchstens noch ausgefeilter wird.

mir tun die whistleblower eigentlich nur leid, was sie geopfert haben war es eigentlich nicht wert.

deshalb sehe ich das aufbauschen leider so unnötig, zwecklos und nervend, schon fast scheinheilig, populistisch.

ich erwarte noch viel schlimmeres. und realistisch gesehen unabwendbar.

-/\-CruNcher-/\-

2021-07-22, 14:29:35

Es ist auch nicht gut, wenn wir Menschen unsere Welt und deren Situation nur im Rausch des Konsums und unserer eigenen Befriedigung betrachten, das macht es anderen Mächten zu einfach.
Speziell für ITler ist es wichtig damit konfrontiert zu werden, ihr eigenes Handeln zu hinterfragen und ihre eigenen moralischen Grundsätze nicht einfach zu ignorieren oder der Logik sogar zu opfern.

lumines

2021-07-22, 16:07:34

journalisten sollten geschäftshandys nutzen und generell ihre privaten dinge getrennt halten. du kannst doch nicht mitdemselben handy einen sturz im saudi reich planen und damit dann dhl packete/informationen empfangen, und dann auch noch auf den link klicken. sry, aber wie bescheuert ist die allgemeinheit denn bitteschön?

Link ... klicken? Es wurden Lücken in Parsern ausgenutzt, die keine Nutzerinteraktion erfordern. Daher ja auch Zero-Click-Exploit.

Private und geschäftliche Kommunikation zu trennen ist sicher keine schlechte Idee, ist aber gegen solche Angriffe nicht besonders effektiv. Im Zweifelsfall werden einfach beide Geräte kompromittiert.

Es ist auch nicht gut, wenn wir Menschen unsere Welt und deren Situation nur im Rausch des Konsums und unserer eigenen Befriedigung betrachten, das macht es anderen Mächten zu einfach.
Speziell für ITler ist es wichtig damit konfrontiert zu werden, ihr eigenes Handeln zu hinterfragen und ihre eigenen moralischen Grundsätze nicht einfach zu ignorieren oder der Logik sogar zu opfern.

https://media4.giphy.com/media/l3q2K5jinAlChoCLS/200w.gif

BlacKi

2021-07-22, 16:17:50

Link ... klicken? Es wurden Lücken in Parsern ausgenutzt, die keine Nutzerinteraktion erfordern. Daher ja auch Zero-Click-Exploit.
in dem video wurde genannt, das der eine spacken eine nachricht bekommen hat und daraufhin infiziert wurde. zero click wurde zwar erwähnt, aber nur sehr unkonkret. dazu würde ich auch gerne mehr erfahren.

lumines

2021-07-22, 17:46:34

in dem video wurde genannt, das der eine spacken eine nachricht bekommen hat und daraufhin infiziert wurde. zero click wurde zwar erwähnt, aber nur sehr unkonkret. dazu würde ich auch gerne mehr erfahren.

Wen meinst du mit "spacken"? Was genau soll das hier überhaupt bedeuten? Dass jemand aus deiner Sicht zu unvorsichtig war?

Der Bericht von Amnesty International beschreibt mindestens einen Zero-Click-Exploit durch einen Parser, der von iMessage verwendet wird: https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/

-/\-CruNcher-/\-

2021-07-22, 17:53:18

Es zeigt wie seine Einstellung zu dem Opfer ist (ist doch selber schuld, würde mir super duper boy nie passieren), entweder ist es das oder aber ein rassistischer Hintergrund bezogen auf dem Opfer seiner Herkunft, beides ist genauso scheiße und genau dieses macht ihn dafür mitverantwortlich, was noch kommen wird.
Menschen wie Blacki bestärken gewisse Mächte, dass es der einzige logische Weg ist um sie vor sich und ihrer Arroganz selbst und damit auch alle anderen zu schützen, das geht nur über mehr Kontrolle.
Da läuft ein erbitterter Kampf die einen sagen nein das dürfen wir nicht die anderen, wir müssen es führt kein Weg daran vorbei.
Und da kippt auch mal der ein und andere in die entgegengesetzte Richtung die einen wegen Menschen wie Blacki die anderen, weil sie mit sich selbst kämpfen das es jeden betrifft.

BlacKi

2021-07-22, 19:01:18

du hast es immernoch nicht verstanden. nochmal in kurzform:

es wird immer cyberspionage/maleware geben. wir müssen endlich damit anfangen verantwortlich mit den gerätschaften umzugehen.

ergänzendes video zu dem eingangs geposteten video, ebenfalls von zeitonline.

_qRZ7q_x2B0

-/\-CruNcher-/\-

2021-07-22, 19:17:24

Cyberspionage JA
Maleware (nicht mehr unbedingt)

Man ist sich hier ziemlich einig, dass eine Schlachtfeld darf nicht für andere (Organisierte Verbrechen) nutzbar sein.
Das heißt in der Durchführung zu erstmal wird schon seit einiger Zeit Wissen permanent vernichtet, Systeme aufgebaut die nicht mehr viele verstehen sollen und dürfen, diese werden abgeschottet und durch verschiedene Barrieren gesichert, die es sich bald überhaupt nicht mehr lohnen wird für irgendjemanden Normalsterblichen überhaupt anzugreifen.

Jetzt könntest du ja sagen ja ist doch super bad guys death ja, nur heißt das auch im Umkehrschluss die totale Kontrolle für einige wenige.

BlacKi

2021-07-22, 19:41:43

kann es sein, das da ein paar kommas fehlen? ich verstehe nicht was du meinst, auch nach 3x lesen nicht.

lumines

2021-07-23, 08:17:23

wir müssen endlich damit anfangen verantwortlich mit den gerätschaften umzugehen.

Und wie soll diese verantwortliche Nutzung genau aussehen? Fällt dir etwas ein, das gegen die verwendeten Lücken geholfen hätte?

-/\-CruNcher-/\-

2021-07-23, 09:07:12

@Lumines

Seinen Standpunkt hat er klar gemacht 2 Geräte, daten trennen, ganz Unrecht hat er damit in seinem Fall nicht es war grob fahrlässig aus Opsec sicht die Sachen zu mischen hätte er das beachtet hätte Khashoggi nicht durch ihn enttarnt werden können.
Für den Zero Click exploit brauchst du immerhin erstmal die Telefonnummer mit den ganzen Datenleaks aus verschiedenen Datenbanken allerdings auch nicht schwer für viele heranzukommen, selbst außerhalb von Geheimdiensten.

Schon die Annahme von ihm nicht zum Ziel werden zu können war grob fahrlässig das Handy Privat zu nutzen reiner Irrsinn.
Und wenn es ein IPhone war und sich auf Apples Aussage zu verlassen (wir sind doch die sichersten der Welt), dann na ja.

Trotzdem das ist nicht der Punkt, wenn jeder Mensch anfangen muss sich so zu betrachten, was für eine Gesellschaft entsteht dadurch?

lumines

2021-07-23, 10:33:25

Seinen Standpunkt hat er klar gemacht 2 Geräte, daten trennen, ganz Unrecht hat er damit in seinem Fall nicht es war grob fahrlässig aus Opsec sicht die Sachen zu mischen hätte er das beachtet hätte Khashoggi nicht durch ihn enttarnt werden können.

Natürlich macht das Sinn, aber wie gesagt, in diesem Fall hätte man einfach beide Geräte kompromittiert.

Und wenn es ein IPhone war und sich auf Apples Aussage zu verlassen (wir sind doch die sichersten der Welt), dann na ja.

Was willst du sonst machen? Keine Computer benutzen? iOS ist neben Googles Android für die Pixel die sicherste Plattform, die man für alltägliche Dinge nutzen kann. Am Desktop gibt es im Grunde als besonders gehärtete Plattformen nur Qubes OS und ChromeOS. Alles andere ist gegen solche gezielten Angriffe sowieso nicht gewappnet.

-/\-CruNcher-/\-

2021-07-23, 11:05:20

Ja es ist ungewöhnlich, wie dieser Fall geschildert wird, da er die Sendebestätigung erwartet hat wusste der Angreifer ja darüber schon Bescheid.
Vermutlich war sein Computer selbst schon kompromittiert (erste Angriffsziel), von dem er aus die Bestellung vornahm und man wollte nur noch zusätzlich auf andere Systeme gelangen eben vor allem auf sein Smartphone hatte er ein Apple Iphone dann gehe ich doch mal stark davon aus das der Computer selbst IOS war und vorher kompromittiert wurde.
Da viele sich ja die Bestätigung auch auf ihr Smartphone senden lassen bzw. ihre E-Mails damit abrufen dann ein leichtes, auf die verschiedenen Geräte zu kommen.

Allerdings bei 2 Geräten, wenn er Opsec eingehalten hätte wäre das kompromittieren des 2 Smartphones so nicht möglich gewesen der Zero Click schon die Nummer hatten sie ja scheinbar nicht sonst hätten sie den Zero Click gleich durchgeführt und nicht erst diesen Umweg genommen.

Die Frage bleibt halt, woher wussten sie von der Bestellung, das bleibt hier im Report erstmal im Dunkeln, jedenfalls von der Zeit ihrer Schilderung her ist es nicht komplett.

Opprobrium

2021-07-23, 11:05:21

es wird immer cyberspionage/maleware geben. wir müssen endlich damit anfangen verantwortlich mit den gerätschaften umzugehen.
:uponder:

Zum Beispiel indem Behörden die Kenntnis über Sicherheitslücken erlangen diese melden anstatt sie auszunutzen?

Zum Beipsiel indem Staaten auf Transparenz und Datensparsamkeit setzen anstatt Cybermilitär einzuführen und die komplette Infrastruktur ans Internet zu hängen?

Zum Beispiel indem Regierungen Open Source Software nutzen anstatt auf proprietäre Closed Source Systeme mit verifizierten Backdoors für allerlei in- und ausländische Geheimdienste zu setzen?

Zum Beispiel indem Dezentralisierung vorangetrieben wird anstatt zu versuchen alle Daten möglichst zentral bei privaten Firmen irgendwo "in der Cloud" zu lagern?

Zum Beispiel indem ende-zu-ende Verschlüsselung ermutigt statt kriminalisiert wird?

Ist ja löblich wenn Du verantwortlichen Umgang anmahnst, aber das betrifft dann doch wohl auch die Verantwortlichen, oder?

Corona zeigt doch gerade mal wieder wie sehr da versagt wird, mit Impfzertifikaten, Luca App etc. pp.

Faszinierend wie Du Verantwortung von den Geschädigten einforderst und es dann auch noch hinbekommst die Scheinheiligkeit denjenigen zu unterstellen die Mißstände ansprechen anstatt denen die sie hervorbringen und dann sagen "da kann man wohl nix machen".

-/\-CruNcher-/\-

2021-07-23, 11:52:54

Könnte man die These aufstellen würde nur jemand machen der selbst Involviert ist Blacki = Black Hat, wer weiß ;)

BlacKi

2021-07-23, 12:14:26

:uponder:

Zum Beispiel indem Behörden die Kenntnis über Sicherheitslücken erlangen diese melden anstatt sie auszunutzen?
zeigt mir, das du das system nicht verstanden hast. du, als spionagebehörde, kaufst doch keine sicherheitslücken um sie dann zu melden. das bedeutet, sie werden so oder so nicht gemeldet. weil du sie nicht kaufst(das tun dann andere so oder so) d.h. der vorwurf, ist nichts als heiße luft, wenn jemand sagt, die behörden tragen aktiv zur gefahrenlage der bürger bei.

Zum Beipsiel indem Staaten auf Transparenz und Datensparsamkeit setzen anstatt Cybermilitär einzuführen und die komplette Infrastruktur ans Internet zu hängen?

wenn du damit meinst, zb. wasserkraftwerke ans netz zu hängen, gebe ich dir recht.

Zum Beispiel indem Regierungen Open Source Software nutzen anstatt auf proprietäre Closed Source Systeme mit verifizierten Backdoors für allerlei in- und ausländische Geheimdienste zu setzen?

fände ich gut, aber inwiefern das wirklich sicherer wäre? es hätte zumindest mehr potential.

Zum Beispiel indem Dezentralisierung vorangetrieben wird anstatt zu versuchen alle Daten möglichst zentral bei privaten Firmen irgendwo "in der Cloud" zu lagern?

bin ich bei dir, aber das hat jeder für sich selbst in der hand. da muss erst der krug noch öfter zum brunnen.

Zum Beispiel indem ende-zu-ende Verschlüsselung ermutigt statt kriminalisiert wird?

wird man sowieso nicht verbieten können. und auf das was manche politiker labern muss man dann nicht jedesmal hochköcheln, wenns eh absurd ist.

Ist ja löblich wenn Du verantwortlichen Umgang anmahnst, aber das betrifft dann doch wohl auch die Verantwortlichen, oder?

Corona zeigt doch gerade mal wieder wie sehr da versagt wird, mit Impfzertifikaten, Luca App etc. pp.

die apps waren nie notwendig, verantwortungsvolles handeln auch ohne app, war schon immer wichtiger. mir käme eine solche app niemals aufs handy.

Faszinierend wie Du Verantwortung von den Geschädigten einforderst und es dann auch noch hinbekommst die Scheinheiligkeit denjenigen zu unterstellen die Mißstände ansprechen anstatt denen die sie hervorbringen und dann sagen "da kann man wohl nix machen".
verantwortlich zu handeln ist im ganzen leben wichtig, aber beim handy (auch diverse andere IoT devices)sind die leute einfach zu nachlässig. das mag daher rühren, da ihnen und ihren bekannten ja auch kein schaden bisher entstanden ist, aber wenn man sich aktiv gegen ein regime einbringt, dann macht man sich feinde. dann klickt man nicht auf irgendwelche sendebestätigungen.

und was so leute wie fefe angeht, er spricht dinge an, aber einseitig. wenn du seinen podcast anhörst, mit seinem buddy, dann merkst du auch ziemlich oft, das sein buddy ihn hinterfragt, zurecht. aber in seinem blog dreht er frei wie ein satiriker, hauptsache der lacher passt. es ist so diese aufmerksamkeitsgeilheit, die für misch scheinheilig rüber kommt. er verrennt sich in sachen, ohne die gegenseite überhaupt miteinzubeziehen. er ist einfach anti regierung, er ist anti security company, als satire seite kann man das noch lesen, aber ernst nehmen ist für mich vorbei. lediglich bei persönlichen erfahrungen bei seinen tätigkeiten lese ich gerne was er so erfährt.

Opprobrium

2021-07-23, 12:31:24

zeigt mir, das du das system nicht verstanden hast. du, als spionagebehörde, kaufst doch keine sicherheitslücken um sie dann zu melden. das bedeutet, sie werden so oder so nicht gemeldet. weil du sie nicht kaufst(das tun dann andere so oder so)
Das System habe ich sehr wohl verstanden. Nur steht das leider im diametralen Gegensatz zu einem anderen System von dem ich mehr und mehr das Gefühl habe, daß die allermeisten dieses nicht verstanden haben. Nennt sich Demokratie...
d.h. der vorwurf, ist nichts als heiße luft, wenn jemand sagt, die behörden tragen aktiv zur gefahrenlage der bürger bei.
Nope. Der Vorwurf ist belegt und begründet. Wenn die Behörden nicht darauf reagieren und 99% der Menschen sich einen Dreck drum scheren (siehe Demokratie...) macht das den Vorwurf noch lange nicht gegenstandslos.

BlacKi

2021-07-23, 12:33:55

Was willst du sonst machen? Keine Computer benutzen? iOS ist neben Googles Android für die Pixel die sicherste Plattform, die man für alltägliche Dinge nutzen kann. Am Desktop gibt es im Grunde als besonders gehärtete Plattformen nur Qubes OS und ChromeOS. Alles andere ist gegen solche gezielten Angriffe sowieso nicht gewappnet.
nicht falsch verstehen, hier gehts eigentlich mehr um journalisten und ihre brisanten kontakte und ermittlungen.

geräte in kategorien einteilen. privat/geschäftlich.

und tails. wenn du nicht dauerhaft im netz bist, kannst du auch schlechter angegriffen werden. ausschalten der geräte, die nicht angegriffen sollen werden dürfen. geräte die zweckgebunden sind.

du kannst doch heute mittlerweile auch verschlüsselt übers internet telefonieren und schreiben.

als privatperson ist es einfacher den geheimdiensten einen schritt vorraus zu sein, als firmen das je könnten. kritik an sicherheitsfirmen zu üben ist richtig, aber es wäre naiv zu glauben, es würde sich dadurch etwas ändern.

Das System habe ich sehr wohl verstanden. Nur steht das leider im diametralen Gegensatz zu einem anderen System von dem ich mehr und mehr das Gefühl habe, daß die allermeisten dieses nicht verstanden haben. Nennt sich Demokratie...

Nope. Der Vorwurf ist belegt und begründet. Wenn die Behörden nicht darauf reagieren und 99% der Menschen sich einen Dreck drum scheren (siehe Demokratie...) macht das den Vorwurf noch lange nicht gegenstandslos.
was willst du mit deiner demokratie, wenn es da draussen regime gibt, die sich nicht dran halten was dir die demokratie verspricht. wir leben hier nicht in deutschland, sondern auf der welt.

bitte belege und begründe es, oder gib mir einen link, wo erläutert wird, wo nicht gemeldete sicherheitslücken der bundesbehörden aktiv die sicherheitder bürger gefährden.
und am besten auch gleich belege dafür, das die von bundesbehörden nicht gefundene sicherheitslücken aktiv die sicherheit von bürgern gefährden. weil das wäre die konsequenz aus ersterem.

Opprobrium

2021-07-23, 13:02:07

was willst du mit deiner demokratie, wenn es da draussen regime gibt, die sich nicht dran halten was dir die demokratie verspricht. wir leben hier nicht in deutschland, sondern auf der welt.
Ach so. Ja. Die fiesen Großkonzerne der Regimes in Nordkorea, Weißrussland und Syrien zwingen uns alle dazu uns ihren kommunistisch-diktatorischen Kartellen zu unterwerfen auf die unsere Behörden keinerlei Einfluß haben :rolleyes:

Es geht hier um Malware einer israelischen Firma. Aber ich schätze bei einem Marktwert von 1,5 Millarden kann man da nichts machen. Freie Marktwirtschaft und so. Lieferkettengesetz brauchen wir nicht, was können wir dafür wenn mit unseren Waffen Kinder erschossen werden, und wir haben doch in die AGBs geschrieben, daß unsere Malware nicht gegen Journalisten eingesetzt werden soll...

Außerdem muß man ja die Privatsphäre von deren Kunden schützen, nicht wahr? Auch wenn man davon ausgehen kann, daß ein Großteil von deren Kunden keine Privatpersonen sind und eher mit öffentlichen (Steuer)Geldern zahlen als aus eigener Tasche.
bitte belege und begründe es, oder gib mir einen link, wo erläutert wird, wo nicht gemeldete sicherheitslücken der bundesbehörden aktiv die sicherheitder bürger gefährden.

Ich merke Du hast Dich mit dem Threadthema ernsthaft auseinandergesetzt :rolleyes: (Links finden sich im Post 1 von Dardevil)

Hier ist aber noch ein Link:
Deutsche Polizei- und Zollbehörden verfügen schon seit 2017 über die gesetzliche Lizenz, solche Schadsoftware in Umlauf zu bringen. Parallel dazu ist eine neue Cybersicherheitsstrategie in Ausarbeitung, die unter anderem vorsieht, dass neu entdeckte Sicherheitslücken nicht veröffentlicht, sondern im Bedarfsfall an die Entschlüsselungs- und Bundestrojanerbehörde ZiTis weitergegeben werden.quelle (https://fm4.orf.at/stories/3016406/)

und am besten auch gleich belege dafür, das die von bundesbehörden nicht gefundene sicherheitslücken aktiv die sicherheit von bürgern gefährden. weil das wäre die konsequenz aus ersterem.
Jetzt wirst Du absurd ;D

Hier ist auch noch was nettes (https://signal.org/blog/cellebrite-vulnerabilities/)

-/\-CruNcher-/\-

2021-07-23, 13:52:30

@Blacki
Du hast diesen Angrff nicht wirklich verstanden auch du wärst Opfer geworden 100%
Er hat nicht einfach so darauf geklickt er hat darauf geklickt, weil er die Bestätigung erwartet hat.
Social Engineering Man in the Middle Angriff geplannt in Perfektion, das kommt aber bei der Zeit Darstellung so nicht genug rüber.
Die Darstellung der Zeit ist für viele eher irreführend, weil sie eben denken ich klick doch nicht einfach auf alles drauf was da bei mir ankommt, das die Leute so weit mittlerweile geschult sind sollte man ja mal erwarten dürfen.

Aber es ist etwas ganz anderes wenn ihre Gefahrensensoren bewusst durch wissen über bestimmte Muster und Erwartungen übergangen werden, dann darfst du bald auf garnichts mehr klicken.

ChaosTM

2021-07-23, 14:28:13

Das ist doch alles seit Snodwen bekannt, nur wollte es keiner wahrhaben. Inklusive Staatstrojaner. Hat Argo Zero in der ersten Antwort schon festgestellt.

Verstehe die Aufregung nicht. Nebenbei geben die Leute freiwillig ihre Daten an das Zuckerbergle etc. und wickeln alles über dessen Messenger ab.

LinageOS drauf und a ruh is (nehm ich mal an) aber ohne Google oder den Apfel könne die meisten ja nicht mehr existieren, weil tictoc usw. ja so geil sind :D

BlacKi

2021-07-23, 14:37:53

Das ist doch alles seit Snodwen bekannt, nur wollte es keiner wahrhaben. Inklusive Staatstrojaner. Hat Argo Zero in der ersten Antwort schon festgestellt.

1. Verstehe die Aufregung nicht. Nebenbei geben die Leute freiwillig ihre Daten an das Zuckerbergle etc. und wickeln alles über dessen Messenger ab.

2. LinageOS drauf und a ruh is (nehm ich mal an) aber ohne Google oder den Apfel könne die meisten ja nicht mehr existieren, weil tictoc usw. ja so geil sind :D
1. da hast du vollkommen recht.

2. sicher bist du dort auch nicht 100%. höchstens unwahrscheinlicher das ein angriff von erfolg gekrönt ist, weil nische. aber, jetzt kommen wir zum punkt worum es mir geht, man darf sich garnicht darauf verlassen das alles sicher ist, oder meinen das es jemals sein könnte.

@Blacki
Du hast diesen Angrff nicht wirklich verstanden auch du wärst Opfer geworden 100%
Er hat nicht einfach so darauf geklickt er hat darauf geklickt, weil er die Bestätigung erwartet hat.
Social Engineering Man in the Middle Angriff geplannt in Perfektion, das kommt aber bei der Zeit Darstellung so nicht genug rüber.
Die Darstellung der Zeit ist für viele eher irreführend, weil sie eben denken ich klick doch nicht einfach auf alles drauf was da bei mir ankommt, das die Leute so weit mittlerweile geschult sind sollte man ja mal erwarten dürfen.

Aber es ist etwas ganz anderes wenn ihre Gefahrensensoren bewusst durch wissen über bestimmte Muster und Erwartungen übergangen werden, dann darfst du bald auf garnichts mehr klicken.
du hast doch vor einigen posts doch selbst zugegeben, das man verantwortlich mit seinen geräten umgehen muss. das ganze wäre nicht passiert, wenn man privates trennt, von seinen geschäftlichen, oder anderen wichtigen dingen, wie zb. das was die vorhatten. dann wäre das nicht passiert. es wäre zu verhindern gewesen. würde ich das tun, würde ich mich absichern. dann kann ich privat noch auf die sendungsbestätigung klicken und infiziert werden, ohne da etwas gefunden werden kann.

Ach so. Ja. Die fiesen Großkonzerne der Regimes in Nordkorea, Weißrussland und Syrien zwingen uns alle dazu uns ihren kommunistisch-diktatorischen Kartellen zu unterwerfen auf die unsere Behörden keinerlei Einfluß haben :rolleyes:

Es geht hier um Malware einer israelischen Firma. Aber ich schätze bei einem Marktwert von 1,5 Millarden kann man da nichts machen. Freie Marktwirtschaft und so. Lieferkettengesetz brauchen wir nicht, was können wir dafür wenn mit unseren Waffen Kinder erschossen werden, und wir haben doch in die AGBs geschrieben, daß unsere Malware nicht gegen Journalisten eingesetzt werden soll...

Außerdem muß man ja die Privatsphäre von deren Kunden schützen, nicht wahr? Auch wenn man davon ausgehen kann, daß ein Großteil von deren Kunden keine Privatpersonen sind und eher mit öffentlichen (Steuer)Geldern zahlen als aus eigener Tasche.

Ich merke Du hast Dich mit dem Threadthema ernsthaft auseinandergesetzt :rolleyes: (Links finden sich im Post 1 von Dardevil)

Hier ist aber noch ein Link:
quelle (https://fm4.orf.at/stories/3016406/)

Jetzt wirst Du absurd ;D

Hier ist auch noch was nettes (https://signal.org/blog/cellebrite-vulnerabilities/)
ich kann dir echt nicht folgen. du sagst, einfach nur, nicht gemeldete sicherheitslücken sind ein sicherheitsrisiko für die bevölkerung. pauschal stimmt das ja, aber es lässt die tatsache weg, das sicherheitslücken erst mit geld gefunden werden müssen. d.h. die sicherheitslücken wären noch offen,für jeden anderen der da draussen nach sicheitslücken sucht. das bedeutet die sicherheitlücke ist nicht behoben, sie bleibt solange da draussen und gefärdet die sicherheit genauso, als würde sie von den behörden gefunden werden und genutzt.

bitte erkläre wo ich falsch liege und warum.

ich würde gerne noch anmerken, das ich firmen wie die nso nicht für gutheiße, noch ihren versprechen glaube, aber man muss einfach realistisch denken, und endlich verstehen, dass das verbannen solcher "legaler" firmen, alles nur ins illegale drückt, der rest aber genauso weitergeht wie zuvor. es wäre richtig solche firmen als illegal zu verbannen, aber keine lösung bringt.

ich verteidige nicht, ich will nur die wahren konsequenzen ungeschönt skizieren.

lumines

2021-07-23, 15:10:03

geräte in kategorien einteilen. privat/geschäftlich.

Das ist eine gute Idee, aber ich kann es nur wiederholen: Es hätte in diesem Fall nichts genützt. Sie hätten einfach alle Geräte kompromittiert. Wir reden hier von Angreifern mit finanziellen Ressourcen, für die auch mehrere 0-Day-Exploits für unterschiedliche Plattformen vollkommen erschwinglich sind.

und tails. wenn du nicht dauerhaft im netz bist, kannst du auch schlechter angegriffen werden. ausschalten der geräte, die nicht angegriffen sollen werden dürfen. geräte die zweckgebunden sind.

Tails liefert dir nicht mehr Sicherheit als iOS. Tails ist einfach nur ein modifiziertes Debian mit einem Fokus auf besserer Tor-Integration. Wenn ein Angreifer die finanziellen Ressourcen hat einen Zero-Click-Exploit für iOS zu kaufen, dann sind auch die Ressourcen da ein Debian doppelt und dreifach zu kompromittieren.

du kannst doch heute mittlerweile auch verschlüsselt übers internet telefonieren und schreiben.

Inwiefern hilft das gegen Sicherheitslücken in Parsern? Ich sehe da keinen Zusammenhang.

LinageOS drauf und a ruh is (nehm ich mal an) aber ohne Google oder den Apfel könne die meisten ja nicht mehr existieren, weil tictoc usw. ja so geil sind :D

Inwiefern ist LineageOS sicherer als ein aktuelles Pixel? Wir reden hier nicht über Datenschutz, sondern über die Härtung des Betriebssystems und der Anwendungen.

Opprobrium

2021-07-23, 15:17:14

Inwiefern ist LineageOS sicherer als ein aktuelles Pixel? Wir reden hier nicht über Datenschutz, sondern über die Härtung des Betriebssystems und der Anwendungen.
Zumindest insofern als daß

a) Die Geräte sehr zeitnah mit den neuesten Sicherheitsupdates versorgt werden

b) Weniger Bloatware vorinstalliert ist (Härtung der Anwendungen)

c) Man generell mehr Kontrolle über sein System hat (Härtung des OS) und weniger "Support" Telemetrie vorhanden ist. LOS geht ja bspw. auch ganz ohne Google.

Aber klar, wer da rein will kommt da auch rein.

lumines

2021-07-23, 15:31:01

Nichts davon hilft dir aber gegen Exploits, die sich gegen z.B. Medienparser richten (von regelmäßigen Sicherheitsupdates abgesehen, aber das sollte klar sein). LineageOS hat in der Hinsicht keine Vorteile gegenüber anderen Android-Varianten. Du kannst so viel oder so wenig Bloatware installiert haben wie du willst, aber wenn sich die Angriffe gegen bestimmte Parser richten, die sowieso auf allen Android-Varianten identisch sind, dann hast du einfach keine realistischen Vorteile.

Was du suchst, wäre eher so etwas wie GrapheneOS. Da sind tatsächlich einige Libraries speziell gehärtet.

BlacKi

2021-07-23, 15:34:42

Das ist eine gute Idee, aber ich kann es nur wiederholen: Es hätte in diesem Fall nichts genützt. Sie hätten einfach alle Geräte kompromittiert. Wir reden hier von Angreifern mit finanziellen Ressourcen, für die auch mehrere 0-Day-Exploits für unterschiedliche Plattformen vollkommen erschwinglich sind.

Tails liefert dir nicht mehr Sicherheit als iOS. Tails ist einfach nur ein modifiziertes Debian mit einem Fokus auf besserer Tor-Integration. Wenn ein Angreifer die finanziellen Ressourcen hat einen Zero-Click-Exploit für iOS zu kaufen, dann sind auch die Ressourcen da ein Debian doppelt und dreifach zu kompromittieren.

ich bin echt kein profi, aber ich dachte, wenn ich tails auf der dvd starte, ist ersteinmal keine schadsoftware wie pegasus drauf. das notebook ist mit jedem start sauber. startest fake traffic, dann bringst du deinen email server/cloud online wo dateien hinterlegt und die verschlüsselt sind. nach dem datentransfer geht wieder alles offline. so kann man nachrichten in text, audio und videoform tauschen, ohne das die systeme infiziert werden können.

man muss praktisch zum geheimagenten werden, wenn man gegen ein regime arbeitet, das nicht vor mord zurückschreckt.

lumines

2021-07-23, 16:00:59

ich bin echt kein profi, aber ich dachte, wenn ich tails auf der dvd starte, ist ersteinmal keine schadsoftware wie pegasus drauf. das notebook ist mit jedem start sauber.

Es muss ja auch keine Schadsoftware auf der DVD installiert sein. Das kann problemlos (und ist es auch im Fall der Parser-Lücken) zur Laufzeit passieren.

Davon abgesehen haben Live-DVDs das Problem, dass du sie nicht updaten kannst. Für Kernel-Updates und die glibc brauchst du aber zwingend einen Reboot. Weil die Updates aber nicht persistent sind, verlierst du mit jedem Start wieder alle Sicherheitspatches. In der Hinsicht ist es klar unsicherer als eine persistente Installation.

BlacKi

2021-07-23, 16:10:23

Das kann problemlos (und ist es auch im Fall der Parser-Lücken) zur Laufzeit passieren.
kannst du das genauer erklären? ich meine, die dateien sind doch verschlüsselt und falls sie verändert werden, was durch die verschlüsselung nicht geht, wären sie korrupt.

-/\-CruNcher-/\-

2021-07-23, 16:13:02

https://www.redox-os.org/

lumines

2021-07-23, 17:11:58

kannst du das genauer erklären? ich meine, die dateien sind doch verschlüsselt und falls sie verändert werden, was durch die verschlüsselung nicht geht, wären sie korrupt.

Von was für einer Verschlüsselung reden wir hier? iMessage ist auch Ende-zu-Ende verschlüsselt, aber das spielt in dem Fall einfach keine Rolle. Wenn du z.B. eine speziell präparierte Nachricht geschickt bekommst, die von iMessage geparst werden muss (eventuell ein Bild) und im Parser eine Lücke ausgenutzt wird, dann kann dein Host eben dadurch kompromittiert werden. Wir reden hier nicht von einem Angreifer, der den Transport der Daten modifiziert, sondern direkt modifizierte Nachrichten verschickt.

BlacKi

2021-07-23, 17:31:17

Tails hat die möglichkeit persistent storage anzulegen. diesen container kann man sicher verschicken und der empfänger kann diese dann öffnen mit einem schlüssel, den nur die die nutzer kennen. die datenerstellung und der datenempfang muss jeweils mit einem neustart passieren (bzw. auf einem anderen gerät) und zwar offline aufdem jeweiligen gerät. kein bit kein byte darf unverschlüsselt raus. der container kann kann auch notfalls sicher über ein infiziertes gerät verschickt werden.
https://tails.boum.org/doc/first_steps/persistence/index.en.html
das mit der live telefonie hab ich jetzt mal nach hinten geschoben. aber diverse dateien sicher und zeitlich begrenzt unknackbar zu verschicken, halt ich für möglich und sehe es als die einzigsten möglichkeit, wirklich sicher informationen auszutauschen.

lumines

2021-07-23, 17:43:03

Das hilft dir nicht wirklich weiter, wenn dein System zur Laufzeit kompromittiert wird. Wenn du mit den Dateien etwas anfangen willst, musst du sie ja entschlüsseln.

Ich weiß auch nicht, warum du dich so sehr an Tails aufhängst. Es liefert dir Pseudonymität, aber praktisch jedes fest installierte Betriebssystem ist sicherer. Eine besonders hohe Sicherheit ist soweit ich weiß auch gar nicht das Ziel von Tails.

Wenn ich Dateien sicher verschicken will, nehme ich Signal an meinen mobilen Geräten oder age, wenn es plattformunabhängig sein soll.

Wenn du gegen Parser-Exploits geschützt sein willst, dann brauchst du tatsächlich so etwas wie Qubes OS. Dort wird jede Anwendung in eine eigene, schlanke VM gesteckt. Die einzelnen VMs können dann zwar kompromittiert werden, aber so ist nicht direkt der gesamte Host kompromittiert. Das ist meileinweit besser als jede Standardlinuxdistribution.

Sweepi

2021-07-24, 13:36:23

Möchte Lumines Dank aussprechen, so viele klasse Beiträge!

Vielleicht hilft Blacki ein Gedanken-Experiment weiter:
[versuche trotz Vereinfachungen möglichst korrekt zu bleiben]

Wenn ich dir einen kompromittierten PC zur Verfügung stelle, wärst du vor mir sicher, wenn du von DVD bootest? - Nein. Neben vielen anderen Möglichkeiten, könnte ich z.B. den PC so einrichten, dass wenn du von DVD bootest, du gar nicht von DVD bootest - sondern ein Hypervisor startet, welcher dann eine Virtuelle Maschine hostet, in welcher du von DVD bootest - und ab dann habe ich alles was aus der (virtuellen) Maschine rein - und raus geht, z.B. alle Keypresses.

In diesem Fall sitze ich, der Angreifer (Hypervisor), tiefer als du, das Opfer (Virtuelle Maschine).
Bei Pegasus nistet sich der Angreifer auch tiefer ein (Betriebssystem/Admin) als der Nutzer (Userland).

Um zu verstehen, warum Tails in diesem Angriffsszenario nicht hilft, folgende aus der Luft gegriffene (aber nach besten Wissen und Gewissen korrekte) Verteilung der Angriffsvektoren von Software wie Pegasus:
0% installed from the factory
5% installed with physical access to the device (Klassiker: Kontrolle am Flughafen)
95% exploited at runtime, w/o previous access/control to/over the device

Was heißt das? Normalerweise wird ein Gerät betrieben, um es zu nutzten.
Genutzte Geräte werden Daten ausgesetzt, die von Dritten kontrolliert werden.
Naheliegende Beispiele:
SMS, Messenger, Mail, Webseiten

Welches Szenario muss vorliegen, damit ich ein Gerät über eine von dem oben genannten Wege kontaktieren kann?

SMS: Jedes Phone empfängt SMS. Der Angreifer muss nur die Nummer kennen.
Messenger: In den meisten Fällen reicht es, die Nummer / den Accountnamen zu kennen.
Mail: Wenn du einen Mailapplikation auf deinem Gerät deine Mails abruft, muss der Angreifer nur die Mailadresse kennen.
Webseiten:
- Kann ich auf Seiten, welche du besuchst, Werbung schalten?
- Kann ich an irgendeiner Stelle Man in the Middle machen?
- Kann ich dich irgendwie dazu bringen, eine von mir kontrollierte Seite zu besuchen?

Jetzt kommen wir zu dem was Lumines mit "Parser-Exploits" gemeint hat: Wenn du eine Nachricht via Messenger/Mail bekommst, wird die von deinem Gerät verarbeitet. z.B. bekommst du eine Notification, welche wie folgt lautet: "Eine neue Mail von Sara, Subject: "Toller Urlaub", enthält 3 Bilder". Wenn in dem Parser, der diese Mail verarbeitet hat, um diese Notification zu erzeugen, einen Bug hat, durch den ich durch einen speziell gebaute Mail triggern kann, um die Kontrolle zu übernehmen, kann ich dein Gerät aus der Ferne unbemerkt übernehmen, nur weil ich deine Mail Adresse (und einen funktionierenden Exploit) habe.
Der Exploit kann nauertlich auch fuer den Parser sein, welcher benutzt wird, um dir die Mail anzuzeigen, wenn du sie aufrust. Das Beispiel zeigt aber, dass die entsprechende Nachricht nicht in jedem Fall vom Nutzer selbst aufgerufen werden muss, um zu exploiten.

Was ändert jetzt Tails an der Situation, vorausgesetzt, deine DVD ist sauber?
Positiv:

Auch beim 2. und 3. Boot ist die DVD selber weiterhin sauber

Neutral:

Runtime Exploits wie oben beschrieben bist du weiterhin ausgesetzt.
Wenn du exploitet wirst:

Alles, was du danach in der Session machst, ist kompromittiert
Wenn der Angreifer einen Weg findet, sich auf deinem System einzunisten (Positiv: boot drive geht wie angesprochen nicht), bist auch du dauerhaft kompromittiert

Negativ:

Bis du dein Betriebssystem auf den aktuellen Stand gepatched hast, bist verwundbarer als andere mit fest installiertem System, da fuer dein OS mehr Lücken existieren, und diese dazu auch noch bekannter sind (, und, wenn der Patch schon was her ist, gibt es eine gute Chance das public Exploits existieren, kannst du bei Interesse recherchieren, gibt viele Blogs, die (sobald ein Patch existiert) Erklärungen veröffentlichen, wie man die jeweilige Sicherheitslücke ausnutzt).

BlacKi

2021-07-24, 16:09:49

tails steht für mich nur für bootbare cd betriebsysteme. das erstmal vorweg.

ihr versteht es nicht. bei meiner methode meine ist es egal welchen stand tails hat kann auch 5 jahre altes tails sein. man nimmt sogar in kauf, das geräte kurzzeitig exploitet werden.

ich beschreibe mal den vorgang in einzelnen schritten, vom aufnehmen einer videonachricht:

ich nehme ein video mithilfe eines laptops/pc mit camera/mikrofon ohne internetzugang auf die ramdisk, die tails anlegt, auf, das mit einem sauberen betriebssystem auf cd bootet, und verschlüssele die datei so, das die geheimdienste sie nicht zeitnah öffnen können. soweit kann niemand zugriff auf irgendwas haben.

usb kamera/mic abziehen und boote neu, falls irgendwo was im speicher an daten hängenbleiben könnte. nun gehe ich damit online. ab hier ist das system angreifbar. aber alles was sie sehen sind eine verschlüsselte datei die sich nicht öffnen können. ich schicke diese datei an die zieladresse. schalte pc aus. ich habe bisher keinerlei daten verraten ausser, das ich eine verschlüsselte datei verschickt habe.

nun bekommt der empfänger die datei, er schiebt die datei auf seinen externen speicher, und geht offline. nun kann er die datai öffnen, mit dem schlüssel, den nur beide kennen, bzw. die gruppe. nun kann er damit arbeiten solange er offline bleibt und den externen speicher trennt und neu startet bevor er wieder damit online geht.

das ist zwar umständlich, aber sicher. sicherheitslücken können hier nichts ausrichten.

lumines

2021-07-24, 16:37:11

Du beschreibst einfach nur Systeme mit Air Gap, aber das hilft den Leuten ja nicht weiter, die einen General-Purpose-Computer mit Internetzugang brauchen. Oder glaubst du, dass Journalisten nicht mit ihren Quellen und Kollegen kommunizieren müssen, im Web recherchieren und E-Mails / Messenger-Nachrichten lesen? Das ist Teil ihres Jobs und der lässt sich nicht mit einer Air Gap durchführen.

Sweepi

2021-07-24, 16:56:29

Das was du schreibst ist nicht falsch und funktioniert im Prinzip, mit ein paar Einschränkungen:
1) sehr umständlich
2) "ich habe bisher keinerlei daten verraten ausser, das ich eine verschlüsselte datei verschickt habe" - naja, mindestens ein paar Metadaten:
- wann gehst du online
- von wo gehst du online
- wie gross ist die datei / der container, den du verschickst
- wohin verschickst du die datei
- evtl hardware fingerprinting, wenn jemand remote access bekommt
- ...
3) wenn einem der Gruppe sein Key verloren geht, oder es einen Weg gibt, dessen System dauerhaft zu kompromittieren, können auch alle vorher verschickten Dateien entschlüsselt werden, es sei denn, es ist auch zwischen auf diese Art und Weise ge-air-gapten System möglich, Perfect Forward Secrecy (PFS) zu nutzen.
4) "ich habe bisher keinerlei daten verraten ausser, das ich eine verschlüsselte datei verschickt habe" - je nach Situation ist das auch schon fatal. (Journalist redet mit Whistleblower / Einwohner eines Unrechtsstaats / Edward Snowden)

BlacKi

2021-07-24, 18:07:24

es geht darum, sachen, die nicht nach aussen dringen dürfen unter verschluss zu halten. ich sehe definitiv darin potential.

wenn man so wie dieser typ im ersten video natürlich täglich in den sozialen medien alles rausposaunt, dann macht man sich damit natürlich zum ziel. auch khashoggi war schon lange ein ziel für die saudis. pegasus hat daran nichts geändert.

natürlich können journalisten airgap systeme nutzen. kommunikation ist damit unter kollegen auch möglich. und hier kommt eben dieser schon genannte komfortfaktor. die leute sind zu bequem geworden. so arbeiten wie früher können die garnicht mehr. online recherche kann man auch bei öffentlichen computern machen. oder eben bei bekannten, wenn man das nur weit genug streut, kann man das sicher nicht mehr nachvollziehen.

diese fake sicherheit ist schon in der gesellschaft voll drin. und dann sind die leute schockiert und schreien, unsere demokratie ist jetzt in gefahr. dabei waren die leute noch nie sicher. früher wars die stasi, danach die geheimdienste und nun lagern die geheimdienste kosten an freie unternehmen wie die NSO aus.

lumines

2021-07-24, 19:33:57

es geht darum, sachen, die nicht nach aussen dringen dürfen unter verschluss zu halten. ich sehe definitiv darin potential.

Dein Vorschlag ist ja kein neues Konzept, Air Gaps sind nur eben in vielen Fällen einfach nicht praktikabel oder werfen nur noch mehr Fragen auf.

Wie willst du z.B. ohne einen weiteren Kanal das Key- und Identiätsmanagement zum Austausch der Daten betreiben? Willst du mit Pre-shared Keys oder asymmetrischer Verschlüsselung arbeiten? Wie betreibst du das Secret Sharing bei Pre-shared Keys, wie rotierst du Schlüssel?

Das sind alles Fragen, auf die man keine einfache Antwort bekommen wird und die sich noch einmal komplett unabhängig von einer Air Gap stellen. Dafür gibt es auch keine fertigen Lösungen. Es gibt nur verschiedene Konzepte mit diversen Vor- und Nachteilen, die alle mit ihren ganz eigenen Problemen und Risiken behaftet sind.

wenn man so wie dieser typ im ersten video natürlich täglich in den sozialen medien alles rausposaunt, dann macht man sich damit natürlich zum ziel. auch khashoggi war schon lange ein ziel für die saudis. pegasus hat daran nichts geändert.

Macht das irgendeinen Unterschied? "Sei einfach kein Ziel, duh" ist nicht besonders hilfreich.

natürlich können journalisten airgap systeme nutzen. kommunikation ist damit unter kollegen auch möglich. und hier kommt eben dieser schon genannte komfortfaktor. die leute sind zu bequem geworden. so arbeiten wie früher können die garnicht mehr.

Wie hat man denn "früher" gearbeitet?

online recherche kann man auch bei öffentlichen computern machen. oder eben bei bekannten, wenn man das nur weit genug streut, kann man das sicher nicht mehr nachvollziehen.

Ein investigativer Journalist tippt also auf einem Windows-XP-Retro-Rechner im Keller eines Kumpels in Google ein "mass surveillance nso journalists orban" und stößt auf den größten Skandal seit den Snowden-Leaks. Echter Journalismus der alten Schule, sozusagen.

diese fake sicherheit ist schon in der gesellschaft voll drin. und dann sind die leute schockiert und schreien, unsere demokratie ist jetzt in gefahr. dabei waren die leute noch nie sicher. früher wars die stasi, danach die geheimdienste und nun lagern die geheimdienste kosten an freie unternehmen wie die NSO aus.

Und jetzt? Der Status Quo lässt sich sicher verbessern, oder nicht? Man kann die Kosten für Angreifer immer weiter erhöhen.

Im Fall des iMessage-Exploits hätte man den Parser in einer besser dafür geeigneten Sprache schreiben sollen. Es ist ja auch kein neues Problem. Viele komplexe Datenformate erfordern komplexe Parser, die oft mit der heißen Nadel gestrickt sind.

Es gibt noch viele weitere Möglichkeiten die Sicherheit zu verbessern. Man ist noch lange nicht am Ende angekommen.