Category Archives: Security

Artikel über IT Sicherheit , Datenschutz, Privatsphäre und Bürgerrechte

Heartbleed heißt Passwörter ändern, oder doch nicht?

Im Zuge der ganzen Heartbleed-Aufregung haben viele zum Wechsel der Passwörter aufgerufen (z.B. Wunderlist oder SoundCloud). Der Chefredakteur von heise Security, Jürgen Schmidt behält da schon eher einen klaren Kopf in seinem Kommentar dazu. Er spricht die Zeit an, die für die Änderungen draufgeht und den damit verbundenen Produktivitätsverlust.

Wer sich näher für den Bug interessiert, der kann sich auf heise Security schlau lesen, oder dieses (englische) Video schauen.

Welche Software OpenSSL verwendet kann man auf der OpenSSL Seite sehen.

Was aber wieder einmal klar ist, wer ein Passwort nicht mehrfach verwendet, sondern für jedes Login ein anderes Passwort, der ist relativ sicher. Und in Kombination mit einem Passwort Safe und dafür dann ein sicheres Passwort ist das auch alles kein Hexenwerk.

Datenleck beim Franzis-Verlag?

Ursprünglich wollte ich den Vorfall eigentlich nicht bloggen, aber durch die zweite personalisierten Phishing Mail (über die ich bereits berichtet habe) angetriggert, gibt es nun doch einen Artikel über das potentielle Datenleck beim Franzis Verlag. Die Situation scheint der Franzis Geschäftsführung ja auch nicht wichtig zu sein.

Continue reading

Erneute Warnung vor (personalisiertem) PayPal Phishing

Nachdem ich bereits vor einiger Zeit vor einem gut gemachtem PayPal Phishing Versuch gewarnt habe, möchte ich dies heute aus aktuellem Anlass wiederholen. Ich habe wieder eine neue, ebenso gute eMail erhalten.

Dieses Mal führt der Link des Buttons auf: “http://pp-verifizierung49265.net/B018492/” durch den Pfad im Link soll vermutlich die Emfängeradresse erkenntlich sein. Die Domain hat aber bereits den Status: SUSPENDED (Note: This Domain Name is Suspended. In this status the domain name is InActive and will not function.) Die Kontaktdetails sind:

N/A
Nathalia Outage (Email Masking Image@netnoir.net)
2280 Frederick Douglass Blvd #9B
New York
NY,10027
US
Tel. +1.3012179700

Continue reading

Warnung: (personalisierter) PayPal Phishing Versuch

Heute ist eine erstaunlich authentisch verfasste Phishing Mail in meiner Inbox gelandet. Deswegen möchte ich an dieser Stelle noch einmal eindringlich davor warnen, Links in Mails anzuklicken.

Phishing Mails

Als Phishing Mails bezeichnet man Mails, die einen zur Eingabe von Daten bringen wollen um diese dann (gewinnbringend) zu nutzen.

PayPal Accounts sind scheinbar besonders interessant für Kriminelle, denn es gibt häufig Warnungen vor solchen Versuchen (wie z.B. bei Sicherheit-Online.de diesen April).

Schutz vor Phishing Mails

Vor solchen Mails kann man sich relativ gut selbst schützen. Hier einige Anregungen:
1.) Kennt man den Absender nicht, Mail direkt löschen.
2.) Generell sollte man nur dann tätig werden, wenn man bereits Kunde des Instituts/Shops/Forums/etc. ist, dessen angebliche eMail zur Eingabe von Daten oder zum einloggen überzeugen will.
3.) Niemals auf die Links in der eMail klicken, sondern aus Lesezeichen (Bookmarks) oder von Hand die bekannte Adresse eingeben.

PayPal Phishing Mail

In der besagten Mail wird man korrekt mit Namen angesprochen, was darauf schließen lässt, dass die Daten gekauft oder entwendet wurden. Hier die eMail im vollen Text, das Original kam allerdings zusätzlich HTML formatiert an und sieht dann auch ansprechend aus:

Return-Path: <Mailversand@Service.de>
Received: from www.elladaprojects.com (unknown [178.239.58.81])
(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
(No client certificate requested)
Received: from static.226.92.46.78.clients.your-server.de ([78.46.92.226])
by www.elladaprojects.com with esmtpa (Exim 4.69)
(envelope-from <Mailversand@Service.de>)
id 1UpohR-0007sF-QW
From: “PayPal Deutschland” <Mailversand@Service.de>
Subject: Der Zugang zu Ihrem PayPal-Konto wurde vorübergehend eingeschränkt

21.06.2013

Sehr geehrter Herr Max Mustermann,

bitte unterstützen Sie uns dabei Ihr PayPal-Konto wieder freizuschalten. Der Zugang zu Ihrem PayPal-Kundenkonto wurde vorübergehend eingeschränkt.

Wo liegt das Problem?
Seit Ihrer letzten Anmeldung sind uns verdächtige Aktivitäten aufgefallen.

Was mache ich jetzt?

Bitte bestätigen Sie sich über folgenden Button durch einen Abgleich Ihrer Daten als rechtmäßiger Inhaber. Im Anschluss können Sie Ihr Paypal-Konto wieder uneingeschränkt nutzen:
Hier klicken

Mit freundlichen Grüßen
Ihr Team von PayPal Deutschland

Sie möchten mit uns Kontakt aufnehmen?
Unsere Kundenhotline erreichen Sie unter 0180 500 88 97
(Mo.-Fr. 8.00 bis 21.30 Uhr und Sa.-So. 9.00 bis 19.30 Uhr. Für Anrufe aus dem Festnetz fallen maximal 14 Cent/Min. an, aus Mobilfunknetzen sind es maximal 42 Cent/Min.)

Hier finden Sie weitere Informationen:
Online-Shops | Sicherheit | Passwort vergessen

Helfen Sie uns, Paypal noch besser, einfacher, übersichtlicher und sicherer zu machen.

Copyright © 1999-2012 PayPal. Alle Rechte vorbehalten. PayPal (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions. Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

Unzensiertes Netz mit JAP (JonDonym)

Wie in dem Artikel über Tor angekündigt, steht noch ein Artikel über JAP aus. Ursprünglich hiess das Projekt einmal Java Anon Proxy, da aber “Java” ein geschützter Name ist, darf es nicht mehr so genannt werden.

Wieso man Privatsphäre im Internet vielleicht haben möchte habe ich im letzten Artikel (zu Tor) ja schon erwähnt. JAP ist eine andere Lösung für dieses Problem.

Continue reading

Anonym surfen mit Tor

Beim durchsehen meiner Entwürfe für den Blog, habe ich einen halb geschriebenen Artikel über die Installation von Tor und JAP (Java Anon Proxy) gefunden. Mittlerweile gibt es schon unzählige Beiträge dazu im Netz zu finden. So habe ich die Anleitung gelöscht und verweise stattdessen nur auf bereits vorhandene.

Dennoch werde ich noch ein paar einführende Worte zu Tor los. JAP folgt in einem später erscheinenden Artikel. Auf technische Details versuche ich so gut wie es geht verzichten.

Wieso Privatsphäre?

Hierzu gibt es einige einfache Punkte.

  • In meinem Land existieren Netzsperren und das Internet ist somit nicht frei zugänglich.
  • Meine Firma/Uni/Schule blockiert (manche) Webseiten.
  • Die GEMA liegt immer noch mit YouTube im Clinch.
  • Es geht niemanden etwas an, wo ich surfe – was für Nachrichten und Blogs ich lese, mit wem ich kommuniziere, etc.

Wenn einer dieser Punkte zutrifft, dann sollte man weiter lesen.

Tor

The Onion Router heisst nicht nur wie eine Zwiebel, sondern funktioniert auch so. Kurz gesagt, der Internetverkehr wird über viele Schichten (andere Rechner) umgeleitet (genannt onion routing). Das Projekt wurde an der Cambridge University in 2002 begonnen und steht unter der freien BSD-Lizenz.
Um einen Kompromiss zwischen Geschwindigkeit und Sicherheit/Privatheit zu finden, wird der Verkehr in der Praxis über drei Server umgeleitet.

Hilfevideos

Ein Video zur Installation und Nutzung von Tor unter Windows findet man auf der Webseite des Projekts. Dort findet man auch ein Video, wie die Authentizität des Programms sichergestellt werden kann – es also nicht verändert wurde.

Installation

Wer nichts weiter lesen möchte und direkt loslegen möchte, der lädt sich die aktuelle Version des Tor Browser Bundles herunter (aktuell Version 2.3.25-2). Startet diese Datei und entpackt sie in ein Verzeichnis der Wahl (benötigt etwa 80 MB). Nach dem entpacken, kann mit klick auf “Start Tor Browser” auch schon losgelegt werden.

Kritik

So sicher und gut das Konzept des onion routings sein mag, leider ist die Implementation von Tor nicht genauso sicher. Und es gibt auch einige Hinweise darauf, dass Tor vielleicht durch manche Staaten “gebrochen” wurde. Deswegen ist die Nutzung leider nur eingeschränkt sicher und ermöglicht dadurch vielleicht nicht jede Nutzung. Zu nennen sind hier zum Beispiel der Arabische Frühling oder Berichte aus Staaten mit starker Zensur.

Upload-Verzeichnis ändern bei WordPress 3.5

Mit WordPress Version 3.5 wurde auch die Mediathek grundlegend überarbeitet. Dies hat eine wichtige Änderung mit sich gezogen – bisher war in den Einstellungen unter “Verschiedenes” bzw. unter “Mediathek” der Ordner zu ändern, in welchem die Dateien der Mediathek landen/liegen. Da das anscheinend selten benutzt wurde, ist diese Option jetzt aus der Admin-Oberfläche verschwunden. Um es weiterhin zu ändern, ist es notwendig die Datei wp-config.php zu editieren. Dort muss folgende Zeile (angepasst) eingefügt werden:

define( 'UPLOADS', 'wp-content/'.'neuerUploadOrdner' );

Das würde ich aus Sicherheitsgründen immer noch jedem empfehlen, der einen neuen Blog mit WordPress installiert.