Ich habe gerade bei heise.de einige Berichte über Sicherheitslücken gelesen: http://www.heise.de/newsticker/meldung/SIM-Karten-Hack-Die-Kompromittierung-der-Mobilfunknetze-durch-NSA-GCHQ-2555714.html http://www.heise.de/newsticker/meldung/Geheimdienste-unterwandern-SIM-und-Kreditkarten-2555685.html Was mir noch nicht so ganz klar ist: Ist mTAN nach den neuesten Kerkenntnissen nicht sicher und es war auch noch nie sicher? Oder ist es unverändert sicher, wenn ich auf dem Computer die echte Seite der Bank und keine Phishingseite geöffnet habe? Was ist mit der Kombination?: echte Webseite der Bank auf meinem Computer und zu meiner identische SIM im Handy eines Verbrechers?
Spätestens seit dem Bericht über SS7 auf dem 31c3 kann mtan als tot angesehen werden. http://www.youtube.com/watch?v=lQ0I5tl0YLY Du brauchst keine Partner-Sim. Du brauchst die Telefonnummer - steht im Kundenprofil Deines Online-Zugangs - und einen SS7-Zugang - kann man kaufen. Dann leitest Du die Sms per SS7 auf ein anderes Handy um und kannst gemütlich Überweisungen tätigen, ohne dass der andere etwas mitbekommt. Das ist viel bequemer, als mit Partner-Sim zu arbeiten, und Du brauchst letztlich vom Angegriffenen nur die Kontonummer, die meist auch Loginname ist, und das Login-Passwort, bei gewissen Banken 5stellig. Da ist selbst itan sicherer, wenn man die Tanliste nicht gerade abtippt, weil eine Email dazu auffordert.
Timm Thaler schrieb: > einen SS7-Zugang - kann man > kaufen. Neugierdehalber: Wie denn? Wo denn? Auf einem Anlagenanschluss (PMX) läuft IIRC trotz gleicher Übertragungskapazität im Vergleich zu einem Übertragungsstrecken-Kanal immer noch D-Kanal-Protokoll und kein SS7, das ist also schon mal keine Lösung. Um sich mit einem anderen Netzbetreiber über SS7 zusammenzuschalten, muss man wohl selbst Netzbetreiber sein. Das wiederum mag in bestimmten Staaten machbar sein, hierzulande gibt's da aber schon ein paar Hürden, z.B. die BNetzA. Daher war ich bislang davon ausgegangen, dass der SS7-Hack für Geheimdienste und gut organisierte Kriminelle eine Option darstellt, für den engagierten Kleinkriminellen hingegen nicht. Liege ich da falsch?
Bist Du jetzt echt damit überfordert, Dir das Video anzuschauen? Da wirds doch erklärt.
Timm Thaler schrieb: > Bist Du jetzt echt damit überfordert, Dir das Video anzuschauen? Da > wirds doch erklärt. Bist Du echt damit überfordert, eine Frage zu beantworten, die Dir gestellt wurde? Nicht JEDER hat Lust, sich ein Video von >1h in englischer Sprache anzusehen, nur um diese Behauptung zu verifizieren: >> einen SS7-Zugang - kann man >> kaufen. >Neugierdehalber: Wie denn? Wo denn?
Kai Mauer schrieb: > Nicht JEDER hat Lust, sich ein Video von >1h in > englischer Sprache anzusehen, nur um diese Behauptung > zu verifizieren: Hab mit ca. 1/2h angesehen. Es war wie meist bei Videopräsentationen und Videoblogs. Ich mag die nicht. Haufenweise prozedurale Details, die eigentlich nur für jene interessant sind, die es nachstellen wollen. Aber man kann wohl sagen, dass da Protokolle aus grauer Vorzeit am Werk sind, ohne jede Berücksichtigung von Sicherheitsaspekten. Waren damals nur wenige grosse Provider, man kannte sich. Im Laufe der Zeit wurde dieser Kram dann sukzessive erweitert um allerlei Mobilfunkkram mit abdecken zu können, wie etwa Roaming. Und genau da ist das offen wie ein Scheunentor und auch nicht abschaltbar, ohne wesentliche Mobilfunk-Funktionen gleich mit abzuschalten. Ansonsten nach 31c3 SS7 suchen.
Kai Mauer schrieb: > Bist Du echt damit überfordert, eine Frage zu beantworten, die Dir > gestellt wurde? Nicht JEDER hat Lust, sich ein Video von >1h in > englischer Sprache > anzusehen Und deswegen muss ich die Sendung mit der Maus spielen? Bekomme ich dafür Rundfunkgebühren? http://www.heise.de/newsticker/meldung/31C3-Mobilfunk-Protokoll-SS7-offen-wie-ein-Scheunentor-2506892.html Lesen geht hoffentlich noch, oder? Wundert mich nicht, dass die Geheimdienste und die Regierung sich einen Dreck drum scheren, wenn die Menschen, die es betrifft, nicht mal den Hintern hochbekommen, sich zu informieren, geschweige denn sich um die Folgen Gedanken zu machen.
Timm Thaler schrieb: > Wundert mich nicht, dass die Geheimdienste und die Regierung sich einen > Dreck drum scheren, wenn die Menschen, die es betrifft, nicht mal den > Hintern hochbekommen, sich zu informieren, geschweige denn sich um die > Folgen Gedanken zu machen. Wundert mich nicht, dass die Geheimdienste und die Regierung sich einen Dreck drum scheren, wenn Menschen wie Kai, die sich immerhin schonmal dafür interessieren, von Menschen wie dir gleich wieder abgeschreckt werden. Die Äquivalenzklasse "du" ist das Problem, nicht die Äquivalenzklasse "Kai"!
Timm Thaler schrieb: >... wenn die Menschen, die es betrifft, nicht mal den > Hintern hochbekommen, sich zu informieren, geschweige denn sich um die > Folgen Gedanken zu machen. Und?! Was sind denn für Dich die Konsequenzen? Kann ich ab sofort hier keine Beiträge mehr von Dir lesen, weil Dein Rechner verwanzt ist? Telefoniertst Du nun mit Niemandem mehr? Fragst Du Deinen Kontostand nur noch mittels Kontoauszug ab?
Timm Thaler schrieb: > Bist Du jetzt echt damit überfordert, Dir das Video anzuschauen? Da > wirds doch erklärt. Frech...
Timm Thaler schrieb: > ngesehen werden. > > Youtube-Video "SS7: Locate. Track. Manipulate. [31c3] by Tobias Engel > (SnoopSnitch)" Passt da dieser Beitrag von mir rein?: Beitrag "niederländische T-Mobile Basisstationen auf deutschem Gebiet?" Ich habe jetzt 36 min des Videos angeschaut.
Nein. SIM-Karten mit beim Hersteller eingebauter Hintertür und SS7-Hacking sind zwei völlig verschiedene Dinge. Timm Thaler schrieb: > Bist Du jetzt echt damit überfordert, Dir das Video anzuschauen? Da > wirds doch erklärt. Bist Du jetzt echt überfordert, auf eine höflich gestellte Frage kurz zu antworten? Und um deine Frage zu beantworten: Ich bin damit zwar nicht intellektuell überfordert (SS7 und EDSS1 kenne ich nämlich), aber um die 20s interessante Information zu bekommen, sehe ich mir äußerst ungerne eine stundenlange Videopräse an. Du hast sie offenbar gesehen, magst die Information aber nicht 'rausrücken. Das ist natürlich dein gutes Recht, aber ist "Ätsch, ich weiß was, aber ich sag's nicht" wirklich das Niveau, auf dem du diskutieren möchtest? Timm Thaler schrieb: > Lesen geht hoffentlich noch, oder? Ja, bei mir schon, bei dir auch? Da steht's nämlich auch nicht. Und im weiter verlinkten Artikel der Huffington Post steht auch bloß: "Any tin-pot dictator with enough money to buy the system could spy on people anywhere in the world" Ja, das ist doch genau das, was ich oben schrieb - du musst Netzbetreiber spielen können.
Matthias L. schrieb: > Du hast sie offenbar gesehen, magst die > Information aber nicht 'rausrücken. Warum soll ich etwas beschreiben, was man mit den Stichworten SS7 und 31C3 aus meinem Text seit fast 2 Monaten zigfach, z.B. bei Heise im Internet findet? Welchen Erkenntnisgewinn erhoffst Du Dir davon? Matthias L. schrieb: > Ja, das ist doch genau das, was ich oben schrieb - du musst > Netzbetreiber spielen können. Wenn jemand vom CCC dazu einen Zugang bekommen kann, muss man offensichtlich nicht Netzbetreiber spielen können. Man muss sich bei einer der 800 Firmen, die da beteiligt sind, einen Zugang kaufen. So wie das die "Dienste" machen, die Dir anbieten, das Handy Deiner Freundin zu tracken. Und da die Firmen weltweit verteilt sind, wird man sicher jemanden finden, der das gegen genügend Knete macht. Das Tracking haben offenbar einige dt. Anbieter inzwischen weitgehend abgeschalten - was nicht heisst, dass das für gewisse Interessenten nicht trotzdem möglich ist. Die Anruf- und SMS-Weiterleitung kannst Du nicht unterbinden, weil dann kein Rooming und keine Rufumleitung mehr gehen. Nicht der Geheimdienst, nicht der Netzbetreiber - JEDER, der sich so einen Zugang erschleicht, kann Deine Anrufe umleiten, Deine SMS abfangen, unter Deiner Nummer SMS verschicken, Dir falsche SMS schicken. Er braucht nur Deine Telefonnummer.
Jaaa, jaaaa. Wie kannst Du_ oder _Ich nun so einen Zugang kaufen? Oder wie hat der CCC das hinbekommen? Erzähl doch mal! Wie kannst Du meine SMS umlenken? Bislang kam dazu nur lauwarme Luft. Timm Thaler schrieb: > Warum soll ich etwas beschreiben, was man mit den Stichworten SS7 und > 31C3 aus meinem Text seit fast 2 Monaten zigfach, z.B. bei Heise im > Internet findet? Welchen Erkenntnisgewinn erhoffst Du Dir davon? Zum Einen erhoffe ich mir davon endlich eine Erklärung, wie das beschriebene Szenario tatsächlich von jedermann ausgenutzt werden kann. Das habe ich nämlich in den bisherigen Veröffentlichungen nirgends gefunden. Und du offenbar auch nicht, sonst würdest du ja nicht so ein Geschiss drumherum machen. Du kannst bei einem Netzanbieter, der es mit der Zusammenschaltung nicht so eng sieht, einen Zugang kaufen. OK. Dieser Netzanbieter dürfte im Ausland sitzen (Any tin-pot dictator...). An diesen Zugang kannst du einen Rechner dranhängen, der die beschriebenen Manipulationen ausführt. Auch OK. Und diesen Rechner kannst du von irgendwo anders (also auch von hier) seinerseits fernsteuern. Möglich ist das, keine Frage. Aber nicht "jeder, der meine Rufnummer kennt" hat die Mittel, sich in Weitwegland den Netzzugang zu kaufen und dort vor Ort einen Rechner zu installieren, den Aufwand muss man erst mal treiben und bezahlen. Ein Geheimdienst kann das, kriminelle Organisationen können das auch und dem CCC traue ich das auch durchaus zu - aber die sind nicht "jeder". Wenn das mal jemand tut und die gewonnenen Missbrauchsmöglichkeiten gegen Bezahlung dem interessierten Kleinkriminellen als Dienstleistung anbietet, hm, dann wird's fies. Könnte für den "bösen" Netzanbieter aber nach hinten losgehen, wenn die umliegenden "guten" ihn als Spoofing-Schleuder identifizieren und ihn ggf. isolieren... Die großen Netzbetreiber sind durchaus in der Lage, an ihren Netzübergängen den SS7-Verkehr zumindest anteilig zu monitoren und die werden jetzt wohl verstärkt nach Auffälligkeiten suchen. Deshalb war der Weckruf des CCC durchaus richtig und wichtig. Matthias L. schrieb: > aber ist "Ätsch, ich weiß was, aber ich sag's nicht" wirklich das > Niveau, auf dem du diskutieren möchtest? Eine Frage ist immerhin beantwortet, vielen Dank.
Matthias L. schrieb: > Die großen Netzbetreiber sind durchaus in der Lage, an ihren > Netzübergängen den SS7-Verkehr zumindest anteilig zu monitoren und die > werden jetzt wohl verstärkt nach Auffälligkeiten suchen. Haha, der war gut. Weshalb sollten sie das tun? Kostet nur und bringt nix. Rolf R. schrieb: > Ich habe gerade bei heise.de einige Berichte über Sicherheitslücken > gelesen: Its not a bug. > Ist mTAN nach den neuesten Kerkenntnissen nicht sicher und es war auch > noch nie sicher? Oder ist es unverändert sicher, wenn ich auf dem > Computer die echte Seite der Bank und keine Phishingseite geöffnet habe? Ich wuerd' mir nicht so in's Hemd machen und ich verstehe auch die neuerliche Panikmache der Medien in diesen Dingen nicht. Wenn Dich ein Dienst haben will, dann kriegt er Dich in der Regel auch (ausser Du bist selbst bei 'nem anderen Dienst). Und dann hast Du in der Regel andere Sorgen, als irgendeine Bankseitenumleitung. Und als wenn das so was weltbewegendes wäre, daß die Dienste die GSM-Schlüssel haben, ist doch klar. Wäre auch das erste, das ich mir als Dienst besorgen würde. Die haben sicher auch die Private-keys für Kredit- und EC-Karten etc. Einzig und alleine die Sache mit den Pässen ist etwas ungut, aber ist doch klar, daß dieses Spiel so gespielt wird. Das kommt halt davon, wenn die Chips nicht von einer hoheitlichen Paßchipfabrik kommt, aber das wäre wohl zu teuer (und selbst dann würde man wohl jemanden einschleusen können). Es ist auch relativ wahrscheinlich, daß im Ernstfall die Amis das Verhalten der Schweizer FA-18 modifizieren können, oder die Italiener, Briten und Deutschen jenes der österreichischen Eurofighter. Mein Gott, ach war das noch schön, als wir Ende der 90er im IRC anlässlich der damals aktuellen Echelon-Themas über solche Dinge von den Meisten einfach nur als Spinner abgetan wurden. Und heute ist dieser Snowden ein Held, nur weil er Binsenweisheiten ausplaudert. Und die Medienlandschaft hat endlich etwas, andem sie sich alle paar Monate mit "neuen Erkenntnissen" immer wieder auskotzen und Furcht erzeugen (deren Lieblingsbeschäftigung) kann und das arme Volk findet das natürlich alles so furchtbar und hätte sich die Ausmaße der Tätigkeiten der Dienste ja niemals vorstellen können. Wie armseelig, das Ganze! Aber wenigstens Respekt an die Poltik, die deutsche Regierung bleibt wenigstens relativ souverän und macht nur dann kleine Beschwichtigsversuche oder beteuert handeln zu wollen, wenn's vom öffentlichen oder dem Druck der Medien einfach nicht mehr anders geht. Genau so muß das laufen, immer nur ein bisschen klein zugeben wenn's gar nicht mehr anders geht aber geschehen tut natürlich nix. Genau so soll das sein, immerhin hat man ja selbst auch diverse Interessen... N0R
Norbert M. schrieb: > Ich wuerd' mir nicht so in's Hemd machen und ich verstehe auch die > neuerliche Panikmache der Medien in diesen Dingen nicht. Wenn Dich ein > Dienst haben will, dann kriegt er Dich in der Regel auch Es geht in der SS7 Diskussion überhaupt nicht um Dienste. Die würden da auch bis zum Hals drin stecken, wenn es abgesichert wäre. Die meisten Gauner sind nicht bei Diensten angestellt, sondern sind einfach nur Gauner - hoffe ich jedenfalls noch. Und es geht in dieser Sache (SS7) primär um Umleitung von mTANs. Banken und Gerichte pflegen Verfahren so lange für absolut sicher zu erklären, bis es dermassen zum Himmel stinkt, dass die Existenzgrundlage wegzubrechen drohnt. Wem bis dahin das Konto abgeräumt wurde, der gilt praktisch stets als selbst schuld. Oder machst du dein Banking noch immer wie Oma, indem du Formulare zur Bank trägst und ein nettes Pläuschchen mit dem Typ vom Schalter hältst? Danach wär das vermutlich eine Option, also nachdem dein Geld zwar nicht weg ist, aber bei jemand anders.
mTAN war doch schon immer unsicher, nicht erst seit SS7, aber die Banken pushen es trotzdem, weil es billiger ist und die Beweislast im Betrugsfall auf Seite des Kunden liegt. Zum Glück bietet meine Bank noch iTAN an, da ich am Rechner auch keine Webcam habe, wirds schwer die TAN auszuspionieren die in der Schublade liegen. Bei der Verbindung zur Bank im Browser muss man halt auf korrekte SSL Daten achten. Aber das muss man ja bei allen anderen Verfahren auch.
Matthias L. schrieb: > Nein. > > SIM-Karten mit beim Hersteller eingebauter Hintertür und SS7-Hacking > sind zwei völlig verschiedene Dinge. Korrekt, aber beides hat schon für sich gesehen Auswirkungen auf die Sicherheit von mTAN.
Ja, völlig einverstanden. Dass mTAN derzeit als kompromittiert angesehen werden muss, ist ja auch unstrittig. Du hast allerdings das Ursprungsposting nicht gelesen, stimmt's? Nur die Hysterie drumherum ist kontraproduktiv, weil sie ein immer wiederkehrendes Verhaltensmuster fördert: Die Hysteriker jodeln sowas wie "JEDER kann ALLE SMS sonstwohin umleiten und damit ALLE Überweisungen manipulieren". Darauf antworten die Banken sowas wie "Das beschriebene Szenario haben wir geprüft und dabei festgestellt, dass die beschriebenen Manipulationen nur unter ganz bestimmten Voraussetzungen möglich sind." Soll heißen: "Ist doch alles gar nicht so schlimm." Und was wird geändert? Nix. Wenn in der Kommunikation doch mal das konkrete Missbrauchsszenario ohne Nebelkerzen drumherum aufgezeigt würde, dann wären die Ausreden der Banken hinfällig. Und dann müssten sie reagieren und auf andere Verfahren umsteigen - RSA-Token, Zertifikate, die alte iTAN, Kombinationen davon... Dass Kommunikation grundsätzlich abgehört und manipuliert werden kann, ist doch ein alter Hut, Norbert hat oben an das Echelon-Thema erinnert. Norbert M. schrieb: > Matthias L. schrieb: >> Die großen Netzbetreiber sind durchaus in der Lage, an ihren >> Netzübergängen den SS7-Verkehr zumindest anteilig zu monitoren und die >> werden jetzt wohl verstärkt nach Auffälligkeiten suchen. > > Haha, der war gut. Weshalb sollten sie das tun? Kostet nur und bringt > nix. Doch, das bringt den Schutz der eigenen Infrastruktur. Deshalb wird jeder ernstzunehmende Netzbetreiber auf Auffälligkeiten im Zeichengabenetz achten. Der Kundenschutz ist eher ein netter Nebeneffekt. Als vor ein paar Jahren diverse TK-Anlagen gehackt wurden, hat beispielsweise die Telekom die betroffenen Kunden nach wenigen Tagen über den Missbrauch informiert. Sowas geht mittels Zeichengabe-Monitoring. Es würde zugegebenerweise auch über das Monitoring der aufgelaufenen Telefonkosten gehen. http://hipath.userboard.org/hipath-3000-5000-f20/hipath-3500-wurde-gehackt-und-fuhrte-auslandsgesprache-t1878.html
Thread beobachten
Seitenaufteilung abschaltenBitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.