Angriffsmöglichkeit des Passwortmanagers Mobilesitter
Stefan Weinzierl
besonders gegen brute-force Angriffe geschützte Masterpasswort des
Passwortmanagers Mobilsitter auch eben mit einem Solchen ausspionieren
kann. Nachdem das Frauenhofer Institut für Sicherheit in der
Informationstechnik auf einen entsprechenden Hinweis von mir nicht
reagierte, (vgl. unten), hielt ich es für angebracht, die ganze
Angelegenheit in einigen Portalen, Foren, etc bekannt zu machen. Beinahe
dieselbe Beschreibung des Angriffsszenarios wie jetzt hier habe ich z.B.
damals auch bei Heise (1) in ein Forum gestellt. u.s.w. Die Reaktionen auf
meinen Hinweis waren jetzt aus möglicherweise nachvollziehbaren Gründen
nicht so berauschend. Da sich aber das Gefahrenpotential, das von einem
derartigen Angriffszenario ausgeht, nicht durch Aussitzen und Verschweigen
sondern nur durch entsprechende aktive Bearbeitung gemindert, bzw.
ausgemerzt werden kann, habe ich mich -jetzt wo ich etwas mehr Zeit habe-
entschloßen einen weiteren Anlauf zu wagen, indem ich das Expüloit jetzt im
Usenet bekannt zu machen versuche.
Der Mobilesitter gibt auch bei Eingabe eines unrichtigen Master-Passwortes
zwar plausible, aber dennoch falsche Informationen bezüglich der in ihm
gespeicherten Passwörter zurück. Auf diese Weise sollen unter Anderem
brute-force, bzw. Wörterbuchangriffe wirkungsvoll und sehr sicher vereitelt
werden. Unter der Voraussetzung, dass die richtigen, erwünschten Passwörter
wirklich gegenüber den unrichtigen, auzuschließenden Daten ununterscheidbar
wären, wäre es dann deswegen unmöglich über irgendwelche Wege des
Ausprobierens das betreffende Master-Passwort, bzw. die entsprechend
gültigen Passwörter zu identifizieren. Eine solche Argumentationsweise
lässt nebenbei bemerkt allerdings außer Betracht und verschweigt, dass,
sobald eines der in einem derartigen Passwortmanager gespeicherten
Geheimnisse auf andere Weise ausspioniert werden kann, es nun sehr wohl
versucht werden kann, alle anderen in ihm aufbewahrten Daten über einen
brute-Force Angriff ebenfalls aufzudecken. Das ausspionierte Passwort dient
dann einfach als Referenz und Hinweis, wann zufälligerweise das richtige
Master-Passwort eingegeben wurde.
Offensichtlich werden derartige Passwortmanager trotz des Bestehens der oben
beschriebenen Angriffsmöglicheit, welche ja Prinzip bedingt, also
unausweichlich ist, allgemein noch immer als hinreichend sicher betrachtet,
um in Ihnen streng vertrauliche Geheimnisse wie Passwörter aufzubewahren.
Ob eine solche Vorgehensweise sinnvoll bzw. verantwortbar ist oder nicht,
mag nun dahingestellt sein. Im Fall des Mobilsitters allerdings verschärft
sich diese Möglichkeit zu Brute-Force Angriffen noch beträchtlich, weil mit
ihm unter Anderem auch TAN-Listen verwaltet werden können.
Transaktionsnummern aber werden bekanntlich nach ihrem Einsatz nicht mehr
geheim gehalten, sondern sogar zu Dokumentations- und Verwaltungszwecken
weiter verwendet. Um auf die oben beschriebene Weise einen Brute-force
Angriff durchführen zu können, muss also beim Mobilesitter nicht einmal
eine in ihm gespeicherte, allgemein geheim gehaltene Information, nämlich
ein Passwort, ausspioniert werden. Es reicht schon aus, sich Einblick in
verhältnismäßig öffentlich gemachte Daten, nämlich verbrauchte TAN,
verschaffen zu können.
Herr Ruben Wolf (Mitglied des Mobilesitter-Teams) stellte bei einem
Telefonat Montag, den 07. Juli 2008 gegenüber mir die oben beschriebene
Sicherheitslücke als nicht so bedeutsam dar. Der Mobilesitter sei so
programmiert, dass er auch einmal richtige Daten im Rahmen der erwarteten
statistischen Wahrscheinlichkeit wiedergebe, wenn falsche Master-Passwörter
eingegeben werden.
Vermutlich verhält sich der Mobilsitter wirklich so wie von Herrn Wolf
dargestellt, aber mit einer Trefferwahrscheinlichkeit von 1 zu einer
Million pro ausspionierter TAN ist der oben beschriebene Angriffsweg sicher
besser geeignet Unsicherheit in Bezug auf das Masster-Passwort zu
vermindern als z.B. die durch das Frauenhofer Institut SIT beschriebene
Angriffsmöglichkeit des ähnlich aufgebauten Passwortmanagers "Code Memo"
von Sony-Ericsson. (2; 3; 4; 5; etc.) Im Falle des beschriebenen
Angriffsszenarios auf den Code Memo wird anstatt die zu testende Hypothese
(Master-Passwort richtig) direkt zu markieren, die entsprechende
Alternativhypothese (Master-Passwort unrichtig) gekennzeichnet, wobei
besagte Kennzeichnung noch auf einen verhältnismäßig unwahrscheinlichen,
also unsicheren Weg (der versehentlichen Darstellung von Sonderzeichen, die
über die Tastatur überhaupt nicht eingebbar sind) erfolgt. Bei der
Angriffsmöglichkeit hier hingegen wird die zu testende Hypothese auf
direktem Weg hervorgehoben und noch wegen der ja schon erwähnten geringen
Fehlerwahrscheinlichkeit eine verhältnismäßig geringe Anzahl von falsch
positiven Entscheidungen. Dass über den Mobilsitter viel größere und
komplexere Passworträume für das Master-Passwort realisiert werden können
als dies bei Code Memo der Fall ist, ist meiner Meinung nach in diesem
Zusammenhang unerheblich. Ein Brute-force, bzw wörtebuch- Angriff
funktioniert hier sowieso nur bei der Verwendung verhältnismäßig schwacher
Master-Passwörter, und dass dies überaus häufig zuzutreffen scheint, zeigt
schon der Umstand, wieviel Mühe und Sorgfalt beim Mobilsitter verwandt
worden ist, besagten Tüuschungsmechanismus zu implementieren.
Als mögliche weitere Entscheidungskriterien , welche zur Verifizierung des
Master-Passwortes noch hinzugenommen werden könnten, kommen mir z.B. in den
Sinn:
1. Einfach , sobald die ausspionierte TAN mit dem entsprechendem Wert im
Mobilesitter übereinstimmt, andere im Mobilesitter gespeicherte Passwörter
an entsprechend, geeigneten Zugängen, also z.B. an einem Account in einem
Internetshop. zu testen.
2. Oder der Weg, den ich als eine mehr mathematische-statistische Lösung
bezeichnen möchte: Wenn es möglich ist, von einer, einzigen verbrauchte TAN
unbefugt Kenntnis zu erhalten, dürfte es doch nicht so schwierig sein, noch
eine zweite, weitere TAN unter Umständen auf dem selben Weg
auszuspionieren. Dann ließe sich zu testende Hypothese mit einer weitaus
kleineren Fehlerwahrscheinlichkeit kennzeichnen als der, mit welcher man im
Lotto sechs Richtige tippen könnte.
3. Eine mehr als psychologisch-korrelativ zu bezeichnende Variante könnte
bei der Hinzunahme weiterer Entscheidungskriterien z.B. sein: Es wurde
schon darauf hingewiesen, dass das gesamte hier vorgestellte
Angriffsszenario meist nur erfolgsversprechend sein kann, wenn bei der
Auswahl des Master-Passwortes ein hochriskantes Verhaltensmuster, nämlich
die Verwendung schwacher Passwörter, zur Anwendung kommt. Für eine
derartige Vorgehensweise ist nun unter Anderem kennzeichnend, dass als
Passwörter meist sinnhafte Buchstabenkombinationen, also im Klartext
normale Wörter, ausgewählt werden. Wörter kann der Mobilesitter natürlich
nicht bei Eingabe eines falschen Master-Passwortes wieder in sinnhafte
Buchstabenskombinationen umsetzen. Denn dass er z.B. die (zugegebenermaßen
schlechte) Passphrase "Mary hat ein kleines Lamm." bei Eingabe eine
falschen Masterpasswortes in unter Umständen "Walter hat einen Bernhardiner
geküsst." umwandelt, kann ich trotz meines ungebrochenen Vertrauens in die
Fortschritte der KI-Technik beim besten Willen nicht glauben. Wenn man
aber, um Erfolg zu haben, davon ausgehen muss, dass bezüglich der
Zugangsberechtigung "Master-Passwort Mobilesitter" sinnhafte
Buchstabenkombinationen zum Einsatz gekommen sind, ist es doch ebenfalls
recht wahrscheinlich, dass auch andere Daten von Zugangsberechtigungen über
normale Wörter gebildet wurden. Wenn sich jetzt die ausspionierte TAN mit
der vom Mobilesitter generierten TAN deckt, könnte man durch Vergleich, ob
sich in diesem Fall irgendwo in den gespeicherten Passwörtern des
Mobilesitters sinnhafte Buchstabenkombinationen finden lassen, die
Trefferwahrscheinlichkeit dafür, dass wirklich das richtige Master-Passwort
eingegeben wurde, noch weiter eingrenzen.
(1)
http://www.heise.de/security/foren/S-Angriffsmoeglichkeit-des-Passwortmanagers-Mobilesitter/forum-44155/msg-15225534/read/
(2)
http://www.sit.fraunhofer.de/pressedownloads/pressemitteilungen/20070925Pressemitteilung.jsp
(3) http://mobilesitter.de/downloads/security-codememo.pdf
(4)
http://www.heise.de/newsticker/Schwachstelle-in-Sony-Ericssons-Passwortprogramm--/meldung/96551
(5)
http://www.connect.de/news/Sony-Ericsson-Passwortsoftware-unsicher_210418.html
--
Psychologisches-Passport Management (PsyPaM)
-Passwort-Management und verschlüsselte Autorisationsdateneingabe-
Stefan Weinzierl
http://PsyPaM.info
Ertugrul Söylemez
> Anfang Juli entdeckte ich eine Möglichkeit, die es erlaubt, wie man
> das besonders gegen brute-force Angriffe geschützte Masterpasswort des
> Passwortmanagers Mobilsitter auch eben mit einem Solchen ausspionieren
> kann. [...]
Ich weiß nicht, ob ich das alles richtig verstanden habe, aber
offensichtlich ist der Mobilesitter angeblich aus dem Grund gegen brute
force-Angriffe sicher, weil ein Angreifer Erfolg von Misserfolg nicht
unterscheiden kann. Das ist keine ausreichende Sicherheitsmaßnahme.
Bestenfalls kann man damit einen solchen Angriff nur verlangsamen.
Wenn das "Master-Passwort" unsicher ist, dann ist es eben unsicher. Da
hilft auch eine solche "Sicherheitsmaßnahme" nicht.
> Herr Ruben Wolf (Mitglied des Mobilesitter-Teams) stellte bei einem
> Telefonat Montag, den 07. Juli 2008 gegenüber mir die oben
> beschriebene Sicherheitslücke als nicht so bedeutsam dar.
Ist sie auch nicht, solange ein brute force-Angriff der bestmögliche
ist. Das Passwort hat sicher zu sein. Keine technische Maßnahme kann
effektiv gegen ein psychologisches bzw. gesellschaftliches Problem
(schwache Passwörter) helfen.
> Der Mobilesitter sei so programmiert, dass er auch einmal richtige
> Daten im Rahmen der erwarteten statistischen Wahrscheinlichkeit
> wiedergebe, wenn falsche Master-Passwörter eingegeben werden.
Das ist absolut logisch. Je nach Größe des Geheimnisses und
statistischer Verteilung des -- ich nenne es mal so -- Geheimnisraumes
ist es nicht nur möglich, sondern gar unabwendbar. Ich würde es nicht
"so programmiert" nennen. Es ist viel mehr eine natürliche Folge der
Art der Speicherung.
> [...] Ein Brute-force, bzw wörtebuch- Angriff funktioniert hier
> sowieso nur bei der Verwendung verhältnismäßig schwacher
> Master-Passwörter, und dass dies überaus häufig zuzutreffen scheint,
> zeigt schon der Umstand, wieviel Mühe und Sorgfalt beim Mobilsitter
> verwandt worden ist, besagten Tüuschungsmechanismus zu implementieren.
So ist es. Diesen "Täuschungsmechanismus" nennt man allgemeiner
"security through obscurity". Wenn schwache Master-Passwörter verwendet
werden, dann ist der Benutzer selber schuld.
> Als mögliche weitere Entscheidungskriterien , welche zur Verifizierung
> des Master-Passwortes noch hinzugenommen werden könnten, kommen mir
> z.B. in den Sinn:
> 1. Einfach , sobald die ausspionierte TAN mit dem entsprechendem Wert
> im Mobilesitter übereinstimmt, andere im Mobilesitter gespeicherte
> Passwörter an entsprechend, geeigneten Zugängen, also z.B. an einem
> Account in einem Internetshop. zu testen.
Das ist nicht so einfach wie es klingt. Eine TAN ist eine
verhältnismäßig kurze Zahl. Anhand einer TAN-Übereinstimmung kann ein
ausreichend starkes Passwort auf keinen Fall verifiziert werden.
Beispiel: Master-Passwort aus 8 Buchstaben gegen eine 6-stellige TAN.
Findet man hier eine Übereinstimmung, handelt es sich nur zu
0.0000000479% um das richtige Master-Passwort.
> 2. Oder der Weg, den ich als eine mehr mathematische-statistische
> Lösung bezeichnen möchte: Wenn es möglich ist, von einer, einzigen
> verbrauchte TAN unbefugt Kenntnis zu erhalten, dürfte es doch nicht so
> schwierig sein, noch eine zweite, weitere TAN unter Umständen auf dem
> selben Weg auszuspionieren. Dann ließe sich zu testende Hypothese mit
> einer weitaus kleineren Fehlerwahrscheinlichkeit kennzeichnen als der,
> mit welcher man im Lotto sechs Richtige tippen könnte.
Nein. Siehe oben.
Da zieht man lieber noch mehr TANs zu Rate. Um ein schwaches Passwort
zu brechen, braucht man keine solch ausgefeilten Techniken.
Grüße,
Ertugrul.
--
nightmare = unsafePerformIO (getWrongWife >>= sex)
Carsten Krueger
> Wenn das "Master-Passwort" unsicher ist, dann ist es eben unsicher.
Das Problem ist das man auf nem Handy nur mit viel Mühe eine hinreichend
sichere Passphrase eingeben kann.
Man sollte also lieber Daten auf ner Smartcard speichern die sich nach 5
Versuchen sperrt, dann reicht auch ne 6 stellige PIN, aber das wär ja kein
tollese Produkt ...
Gruß Carsten
--
ID = 0x2BFBF5D8 FP = 53CA 1609 B00A D2DB A066 314C 6493 69AB 2BFB F5D8
http://www.realname-diskussion.info - Realnames sind keine Pflicht
http://www.spamgourmet.com/ + http://www.temporaryinbox.com/ - Antispam
cakruege (at) gmail (dot) com | http://www.geocities.com/mungfaq/
Stefan Weinzierl
>
> Ich weiß nicht, ob ich das alles richtig verstanden habe, aber
> offensichtlich ist der Mobilesitter angeblich aus dem Grund gegen brute
> force-Angriffe sicher, weil ein Angreifer Erfolg von Misserfolg nicht
> unterscheiden kann. Das ist keine ausreichende Sicherheitsmaßnahme.
> Bestenfalls kann man damit einen solchen Angriff nur verlangsamen.
> Wenn das "Master-Passwort" unsicher ist, dann ist es eben unsicher. Da
> hilft auch eine solche "Sicherheitsmaßnahme" nicht.
Da solltest du dir einmal die Mobilesitter Website oder die
Presemitteilungen über das Ding ansehen (siehe z.B. 1;2;3) Da klingt das
aber ganz anders.
>
>> Der Mobilesitter sei so programmiert, dass er auch einmal richtige
>> Daten im Rahmen der erwarteten statistischen Wahrscheinlichkeit
>> wiedergebe, wenn falsche Master-Passwörter eingegeben werden.
>
> Das ist absolut logisch. Je nach Größe des Geheimnisses und
> statistischer Verteilung des -- ich nenne es mal so -- Geheimnisraumes
> ist es nicht nur möglich, sondern gar unabwendbar. Ich würde es nicht
> "so programmiert" nennen. Es ist viel mehr eine natürliche Folge der
> Art der Speicherung.
Der Mann vom Frauenhofer Institut zielt hier auf einen
Implementierungsfehler im Rahmen von Verschlüsselung ab, der es z.B. den
Allierten im zweiten Weltkrieg ermöglicht hat, den
Verschlüsselungsalgorithmus von der Enigma zu knacken.
Bei der Verschlüsselung von Daten, also z.B. wenn du einem Zeichen ein
anderes Zeichen zuordnest, muss es auch möglich sein, dass die
Ursprungsdaten, oder zumindest -was von der Art des Algorithmus abhängt-
Teile der Daten, auch im Klartext trotz angewandteter Verschlüsselung
weiter verarbeitet werden können. Für das Beispiel der Zuordnung von
Zeichen hieße dies dann, das es erlaubt ist, einem Zeichen im Rahmen der
Zuordnung auch sich selbst zuzuordnen. Solche kardinalen Fehler macht ein
Entwicklungs-Team, welches bei einem Forschungsinstitut für IT Sicherheit
angesiedelt ist, natürlich nicht.
>
>> [...] Ein Brute-force, bzw wörtebuch- Angriff funktioniert hier
>> sowieso nur bei der Verwendung verhältnismäßig schwacher
>> Master-Passwörter, und dass dies überaus häufig zuzutreffen scheint,
>> zeigt schon der Umstand, wieviel Mühe und Sorgfalt beim Mobilsitter
>> verwandt worden ist, besagten Tüuschungsmechanismus zu implementieren.
>
> So ist es. Diesen "Täuschungsmechanismus" nennt man allgemeiner
> "security through obscurity". Wenn schwache Master-Passwörter verwendet
> werden, dann ist der Benutzer selber schuld.
Das vom Mobilsitter-Team hier angewandte Prinzip als -ich will es mal
mit "Sicherheit durch Komplexität" übersetzen- zu bezeichnen. trifft den
Kern der Sache meiner Meinung nach nicht ganz. Es geht hier um ein Problem,
das mir bei der Entwicklung meines Konzeptes auch einiges Kopfzerbrechen
bereitet hat, nämlich trotz stark begrenzter Rechenkapazität eine sichere
Verschlüsselung hinzukriegen.
Das Master-Passwort beim Mobilsitter ist natürlich im Grunde genommen sein
Schlüssel, über den die Passwörter verschlüsselt werden. Und da es meiner
Meinung nach unvermeidlich ist, dass in großen Umfang schwache Passwörter
benutzt werden, muss man eine Möglichkeit finden, dass
der "Passwortschlüssel" trotzdem eine sichere Verschlüsselung
gewährleistet.
Normalerweise gibt es die Möglichkeit den Schlüssel durch die
Implementierung von zusätzlichen Rechenaufwand zu strecken. Man baut also,
z.B. durch mehrmaliges Verschlüsseln, so viel zusätzlichen Rechenaufwand in
seinen Verschlüsselungsalgorithmus ein, dass es selbst bei einem kurzen,
primitiven Schlüssel unerträglich lange dauern würde, ihn durch brute-force
zu knacken.
Das Dumme ist nur: Bei einem Programm, das auf unter Java auf einem Handy
laufen soll, mutet der Versuch, einen schwachen Schlüssel auf diese Weise
absichern zu wollen, ungefähr so vermessen an, wie es in dem Witz von den
Ameisen und dem Elefanten zum Ausdruck kommt:
Ein Trupp Ameisen läuft auf dem Rücken eines Elefanten.
Elefan schüttelt sich. Alle Ameisen fallen herunter.
Nur eine Ameise kann sich noch mit Müh und Not am Nacken des Elefanten
festhalten.
Schreien die anderen Ameisen erbost:"Würg ihn, Egon!"
Deswegen ist das Mobilsitter Team auf den Trick mit den Falschmeldungen
verfallen.
>
> [..] Anhand einer TAN-Übereinstimmung kann ein
> ausreichend starkes Passwort auf keinen Fall verifiziert werden.
> Beispiel: Master-Passwort aus 8 Buchstaben gegen eine 6-stellige TAN.
> Findet man hier eine Übereinstimmung, handelt es sich nur zu
> 0.0000000479% um das richtige Master-Passwort.
Sieh oben bei einem AUSREICHEND STARKEN Passwort funktioniert ein
brute-force Angriff natürlich nicht. Dann ist aber auch die ganze
Trickserei nicht notwendig.
(1)
http://www.all-about-security.de/security-artikel/endpoint-sicherheit/mobile-computing-und-pdas/artikel/6828-mobilesitter-treibt-hacker-zur-verzweiflung/
(2)
http://www.pocketbrain.de/newsticker/news/883-mobilesitter-eine-falle-fuer-passwort-diebe.html
(3)
http://www.pcwelt.de/start/sicherheit/backup/news/165872/passwoerter_co_sicher_auf_dem_handy_aufbewahren/
Carsten Krueger
> Es geht hier um ein Problem,
> das mir bei der Entwicklung meines Konzeptes auch einiges Kopfzerbrechen
> bereitet hat, nämlich trotz stark begrenzter Rechenkapazität eine sichere
> Verschlüsselung hinzukriegen.
Handyprozessoren sind für moderne Kryptoalgorithmen locker ausreichend
dimensioniert, das Problem ist doch nur die Passworteingabe.
> Normalerweise gibt es die Möglichkeit den Schlüssel durch die
> Implementierung von zusätzlichen Rechenaufwand zu strecken. Man baut also,
> z.B. durch mehrmaliges Verschlüsseln, so viel zusätzlichen Rechenaufwand in
> seinen Verschlüsselungsalgorithmus ein, dass es selbst bei einem kurzen,
> primitiven Schlüssel unerträglich lange dauern würde, ihn durch brute-force
> zu knacken.
Der Unterschied zwischen nem Handy und einem PC ist nur so Faktor 100, das
spielt also keine Rolle.
Einen kurzen Schlüssel kriegst du so überhaupt nicht sicher.
schickm...@hotmail.de
> meinen Hinweis waren jetzt aus möglicherweise nachvollziehbaren Gründen
> nicht so berauschend.
"Weinzierl" in Verbindung mit "Psypam" einen gewissen Ruf im Internet
genießt. Jemand, der mit seinem konfusen und pseudoformalen
Passwortveraltungsmechanismus im Internet auf Werbefeldzug geht,
braucht sich nicht wundern, wenn er nicht ernst genommen wird.
(Zugegeben: sicher ist das Verfahren schon, denn keiner außer dem
Erfinder selbst kann es nachvollziehen, verstehen und anwenden)
> Es reicht schon aus, sich Einblick in
> verhältnismäßig öffentlich gemachte Daten, nämlich verbrauchte TAN,
> verschaffen zu können.
Was bedeutet denn "verhältnismäßig öffentlich gemacht"? An welchem
schwarzen Brett werden denn die Listen von verbrauchten TANs
ausgehängt? Kann ich einfach bei deiner Bank anrufen und sagen "Hallo,
ich hätte gerne die verbrauchten TANs vom Herrn Weinzierl"?
Stefan Weinzierl
> Was waren denn die "nachvollziehbaren Gründe"?? Etwa, dass der Name
> "Weinzierl" in Verbindung mit "Psypam" einen gewissen Ruf im Internet
> genießt. Jemand, der mit seinem konfusen und pseudoformalen
> Passwortveraltungsmechanismus im Internet auf Werbefeldzug geht,
> braucht sich nicht wundern, wenn er nicht ernst genommen wird.
Sag mal, hast du ein anderes Google wie ich? "Stefan Weinzierl" taucht im
Zusammenhang mit PsyPaM in der Ergebnisliste erst unter ferner liefen auf.
Meine schon vor neun Jahren aufgegebene Praxis in Pleystein z.B. erscheint
viel früher und auch viel häufiger, und dass obwohl ich schon vor einem
halben Jahr den entsprechenden Verzeichnisdienst schon darauf hingewiesen
habe, dass die Praxis schon lange geschlossen ist.
Fact ist außerdem, dass ich erst im Juni 2008 wieder etwas im Zusammenhang
mit PsyPaM, nämlich die neue Version meines Konzeptes, ins Internet
gestellt habe. Vorher war ich seit Dezember 2006, also seit zweieinhalb
Jahren, praktisch nicht im Internet.
Vermutlich will da irgendjemand, mich im Internet verleumden. Deswegen wäre
ich dir aus sicherlich ebenfalls "nachvollziehbaren Gründen" auch sehr
dankbar, wenn du mir deinen Eindruck mit einigen stichhaltigen Beweisen und
Tatsachen untermauern würdest.
> Was bedeutet denn "verhältnismäßig öffentlich gemacht"? An welchem
> schwarzen Brett werden denn die Listen von verbrauchten TANs
> ausgehängt? Kann ich einfach bei deiner Bank anrufen und sagen "Hallo,
> ich hätte gerne die verbrauchten TANs vom Herrn Weinzierl"?
Vor einiger Zeit wollte ich CD?s nach Zahlung per Vorauskasse versenden. Da
mir die Möglichkeiten fehlten, ein entsprechendes Bezahlsystem aufzubauen,
verfiel ich auf den Gedanken, mir einfach die im PDF-Format ausgedruckte
Quittung der Online-Buchung zuschicken zu lassen.
Eine derartige Quittung sieht nun bei meiner Bank, der Postbank, also keiner
Hinterhofklitsche ungefähr so aus:
Quittung Ihrer Überweisung
Ihre Überweisung wurde am 07.09.2008 um 10:18 durchgeführt.
Empfänger: Fraenkischer Tag
Kontonummer des Empfängers: 1605640
Kreditinstitut: VR BANK BAMBERG RAIFFEISEN-VOLKSBANK BAMBERG
BLZ: 77060100
Betrag: 22,90 EURO
Verwendungszweck: Ku-Nr. 123456789012345
Re-Nr. 123456789012345
Buchungstermin: Sofort, Achtung: Widerruf nicht möglich
Kostenpflichtige Buchungsbestätigung: Nein
Verwendete TAN, laufende Nummer 418: 450 495
Tschüss Stefan
Arno Welzel
> schickm...@hotmail.de schrieb:
>
>> Was bedeutet denn "verhältnismäßig öffentlich gemacht"? An welchem
>> schwarzen Brett werden denn die Listen von verbrauchten TANs
>> ausgehängt? Kann ich einfach bei deiner Bank anrufen und sagen "Hallo,
>> ich hätte gerne die verbrauchten TANs vom Herrn Weinzierl"?
>
> Vor einiger Zeit wollte ich CD?s nach Zahlung per Vorauskasse versenden. Da
> mir die Möglichkeiten fehlten, ein entsprechendes Bezahlsystem aufzubauen,
> verfiel ich auf den Gedanken, mir einfach die im PDF-Format ausgedruckte
> Quittung der Online-Buchung zuschicken zu lassen.
> Eine derartige Quittung sieht nun bei meiner Bank, der Postbank, also keiner
> Hinterhofklitsche ungefähr so aus:
[...]
Und an diese Quittung käme jeder heran, der deine Bank danach fragt? Ich
würde die Bank wechseln.
hansw...@gmx.de
leider wieder ein echter Stefan Weinzierl mit -meiner Meinung nach-
verdrehten Fakten und haarsträubenden Vergleichen, ganz so wie ich ihn
aus allerlei Foren kenne. Was man ihm lassen muss: Im Gegensatz zu
vielen anderen schafft er es immer wieder, seine Einlassungen wohl
formuliert und ohne die sonst oftmals übliche Forenpolemik
vorzutragen, dass scheinbar viele sie sogar beim ersten Lesen als
sachlich einschätzen und wahrscheinlich auf seine Argumentationen
herein fallen. Leider bist auch Du ihm nun auf den Leim gegangen. Er
suggeriert, dass bei der Postbank (eigentlich fast) jeder an die
verbrauchten TANs rankommen kann, indem er einen Auszug aus einem
Dokument anführt, welches die Postbank (wohlgemerkt) nur an den
Kontoinhaber geschickt hat, nachdem dieser seine TAN verbraucht hatte.
Klar, dass die Postbank das an ihn schickt, wenn er das verlangt; das
ist keineswegs ein Sicherheitsproblem, ich würde das sogar als guten
Service der Bank bezeichnen. Man bekommt ja auch den eigenen PIN-Brief
an seine Adresse geschickt. Wenn jedoch Du (und nicht der Kontoinhaber
selbst) Dich dort gemeldet hättest und darum gebeten hättest, dass man
Dir diese Information über seine Buchung an direkt Deine Adresse
zuschickt, dann hätte die Postbank Deiner Bitte garantiert nicht
entsprochen. Die Postbank hat die Kontaktinformation ihrer Kunden bei
sich hinterlegt und schickt Informationen zu Transaktionen ihrer
Kunden natürlich nur genau an diese Adressen. Insofern sind die TANs,
auch wenn sie nach deren Gebrauch nochmals an den Kontoinhaber
verschickt werden, keineswegs öffentlich. Wie der Kontoinhaber danach
mit seinen Daten umgeht und was er davon an andere weiter leitet,
liegt einzig und allein in der Hand des Kontoinhabers. In dem besagten
Fall hat der Kontoinhaber halt eben das von der Postbank erhaltene
Dokument gerade so weiter geschickt. Dafür kann man der Postbank nun
wirklich keinerlei Vorwurf machen.
Leider nimmt’s Stefan Weinzierl bei seinen Einlassungen nicht immer
ganz so genau, soweit ich das nach Lektüre vieler von ihm stammender
Forenbeiträge beurteilen kann. Auf Basis von Phantasie, Halbwahrheiten
und eigenem Interesse (siehe PsyPaM) als Antrieb strickt er meiner
Einschätzung nach die kühnsten Geschichten. Ich bin zwar hier kein
Experte, aber soweit ich das beurteilen kann, sind seine Annahmen und
die darauf aufgebauten Argumentationen falsch und zwar nicht nur das,
was er in seiner letzten Antwort schreibt. Eine solche falsche Annahme
besteht in der Behauptung, dass Banken ausgegebene TANs für andere
publizieren und diese als öffentlich anzusehen sind. Wahrscheinlich
muss man sich jedoch an jedem –möglicherweise selbst konstruierten-
Strohhalm festhalten, wenn man eigene geistige Ergüsse oder Ausflüsse
wie PsyPaM nach vorne bringen möchte und krampfhaft um Aufmerksamkeit
kämpft. Wer sich die Mühe machen möchte, der kann sich von dem
Schaffen des Stefan Weinzierl mal ein Bild machen (www.psypam.de). Ich
muss gestehen, dass ich nach kurzer Zeit aufgeben musste.
Ich habe mir aber mal die Mühe gemacht, seine
Schwachstellenbeschreibung von dieser Mobilsittersoftware zu lesen, zu
verstehen (soweit ich dazu in der Lage bin) und mir darüber Gedanken
zu machen. Ich kenne mich da nun nicht wirklich aus und ich kenne auch
die Software nicht, jedoch habe ich mir mal 5 Minuten Zeit genommen
und bin auf die www-Seiten von den Frauenhofer-Leuten gegangen, wo ich
mal einen kurzen Blick in das Handbuch der Software geworfen habe. Es
hat wirklich nicht länger als 5 Minuten gedauert und da hatte ich eine
Stelle gefunden, an der beschrieben wird, wie ausgegebene TANs nach
deren Verbrauch gelöscht werden. Wenn man das berücksichtigt, dann ist
die Einlassung von Stefan Weinzierl zu der von ihm gefundenen
Schwachstelle ohnehin schon kompletter Unsinn, wobei man hierbei schon
zu seinen Gunsten beide Augen zudrückt, da ja seine Annahme mit
öffentlichen TANs schon nicht gerechtfertigt ist. Und diese Annahme
müsste für alle seine weiteren Argumentationen erst einmal zutreffen.
Aber selbst wenn diese zutreffen würde, dann würden seine weiteren
Argumentationen dennoch nicht zutreffen, wie ein kurzer Blick in die
Unterlagen der Software zeigt. Deshalb kann ich mir auch gut
vorstellen, dass die Leute bei Frauenhofer Besseres zu tun haben, als
sich mit den Phantasien des Stefan Weinzierl zu befassen, was er ja in
seinem obigen Beitrag anprangert.
Anstatt lange Texte zu schreiben und über seine Erkenntnisse bzgl.
riskanter Praktiken in Banken und Lücken in Programmen zu
schwadronieren, sollte man doch einfach mal kurz recherchieren und
nachdenken. Das spart Bandbreite und erhöht die Qualität von vielen
Foren. Aber möglicherweise tue ich ihm hier ja Unrecht und er hat das
sogar getan, aber dann hätte er ja nichts mehr, womit er sich hier
aufspielen kann. Und viele Leser scheint es ja offensichtlich nicht zu
geben, die den Einlassungen von Stefan Weinzierl auf den Grund gehen.
Aber das ist möglicherweise auch nicht notwendig, weil ihn
wahrscheinlich zunehmend mehr Forenleute kennen und ohnehin nicht mehr
ernst nehmen (siehe Beitrag oben von schickmirmu...@hotmail.de oben)
und somit tiefer gehende Beleuchtungen seiner Einlassungen nicht mehr
angebracht sind (Kostproben siehe z.B. unter
http://markmail.org/message/it4oird6fqfkcfis#query:+page:1+mid:bgqua7sxhnqhopmu+state:results
http://www.foonews.net/de-comp-security-misc/2432589-iso-8859-15-q-qualit-e4tsmanagment-bei-autorisationsdaten.html
http://groups.google.com/group/de.comp.security.misc/browse_thread/thread/39a654cb648a1f85/051a1c83da1ce158?hl=en&lnk=st&q=#051a1c83da1ce158
http://groups.google.com/group/de.comp.security.misc/browse_thread/thread/2af29542f2aad71a/960c0e93c7336f42
http://dcoulm.a-za-z0-9.de/msg00014478.html
http://forum.chip.de/e-mail-spam/offene-mail-vorstand-1-1-internet-ag-416433.html
).
Wem das noch nicht reicht, der frage Google.
Hans
Stefan Weinzierl
welches am 14 *September* 2008 verfasst wurde.:
(Unter (1) lässt sich übrigens der gesamte Thread verfolgen)
> Leider bist auch Du ihm nun auf den Leim gegangen.
Nein ist er nicht. Denn Arno bringt nur im Grunde genommen in zwei Sätzen
dieselbe etwas naive und gutgläubige Kritik zum Ausdruck, wie du in deinem
langatmigen Vortrag.
Er schrieb nämlich:
> > Eine derartige Quittung sieht nun bei meiner Bank, der Postbank, also
keiner
> > Hinterhofklitsche ungefähr so aus:
>
> [...]
>
> Und an diese Quittung käme jeder heran, der deine Bank danach fragt? Ich
> würde die Bank wechseln.
> Leider nimmt?s Stefan Weinzierl bei seinen Einlassungen nicht immer
> ganz so genau, soweit ich das nach Lektüre vieler von ihm stammender
> Forenbeiträge beurteilen kann.
Da hast du dir aber viel Arbeit gemacht. Warum denn?
[..]
> muss man sich jedoch an jedem ?möglicherweise selbst konstruierten-
> Strohhalm festhalten, wenn man eigene geistige Ergüsse oder Ausflüsse
> wie PsyPaM nach vorne bringen möchte und krampfhaft um Aufmerksamkeit
> kämpft. Wer sich die Mühe machen möchte, der kann sich von dem
> Schaffen des Stefan Weinzierl mal ein Bild machen (www.psypam.de).
*ACHTUNG* Warnung! Der Domainamme psypam.de wird meines Wissens nur hier in
besagtem Post verwendet.Auf jeden Fall taucht "PsyPam.de" im Grunde
genommen überhaupt nicht im Internet auf.
Leider ist meine Website mir an Sicherheit grenzender
Wahrscheinlichkeit komprimitiert, sprich der Trafic wird überwacht. (Die in
(2) bzw. (3) dargestellten Unregelmäßigkeiten waren und sind leider nicht
die einzigen Sabotageversuche meiner Domain) Möglicherweise könnte deswegen
ein Aufruf meiner Domain über "psypam.de" zu etwas "unangenehmen"
Folgekontakten führen. (Vermutlich sogar von irgendwelchen Leuten aus dem
Berufsfeld "Horch, Guck und Greif") Am Besten sollte man wahrscheinlich auf
meine Domain nur mit entsprechend verschleierter Identität zugreifen.
> ... Ich kenne mich da nun nicht wirklich aus und ich kenne auch
> die Software nicht, jedoch habe ich mir mal 5 Minuten Zeit genommen
> und bin auf die www-Seiten von den Frauenhofer-Leuten gegangen, wo ich
> mal einen kurzen Blick in das Handbuch der Software geworfen habe. Es
> hat wirklich nicht länger als 5 Minuten gedauert und da hatte ich eine
> Stelle gefunden, an der beschrieben wird, wie ausgegebene TANs nach
> deren Verbrauch gelöscht werden.
Ich habe mir natürlich auch das Handbuch (4) angesehen. Von einer
automatischen (!) Löschung von verbrauchten TAN fand ich nichts. Eine
genaue Bezeichnung der Stelle, wo du das gefunden haben willst, wäre
vielleicht hilfreich.
> Deshalb kann ich mir auch gut
> vorstellen, dass die Leute bei Frauenhofer Besseres zu tun haben, als
> sich mit den Phantasien des Stefan Weinzierl zu befassen, was er ja in
> seinem obigen Beitrag anprangert.
Dass die Leute bei Frauenhofer lieber ihr Produkt vermarkten, oder sich mit
meinem Konzept herumschlagen, also etwas in ihren Augen "Besseres" zu tun
haben, dürfte sicherlich niemand bestreiten. Aber muss dann gleich zu
illegalen Mitteln gegriffen werden:
Damals im Juli hat ein News-Portal das von mir dargestellte Exploit
aufgegriffen und veröffentlicht. Leider war die News (vom Inhalt her
ähnlich wie hier beschrieben) nur ungefähr drei Tage im Netz. Dann wurde
sie unter mysteriösen Umständen gelöscht. Allerdings verblieben von der
Nachricht Spuren im Internet. (5) (6)
Stefan
(1)
http://groups.google.de/group/de.comp.security.misc/browse_thread/thread/4a68ac08f975eafc/e38776a867cfcc81?#e38776a867cfcc81
(2)
http://www.heise.de/security/foren/S-Offene-Mail-an-den-Vorstand-der-1-1-Internet-AG/forum-44157/msg-4559787/read/
(3)
http://forum.chip.de/e-mail-spam/offene-mail-vorstand-1-1-internet-ag-416433.html
(4) http://mobilesitter.de/downloads/mobilesitter-manual-de-quer.pdf
(5)
http://www.emulefuture.de/forum/Angriffsmoeglichkeit-des-Passwortmanager-Mobilesitter-t11478.html
(6) http://www.redtram.de/go/136214841/