[ph030]

Für die, die es interessiert...Witi hat mich heute nochmal auf das Thema und ein entsprechendes Howto aufmerksam gemacht.

Zunächst einmal, ich habe schon länger ein entsprechendes Howto fertiggestellt, von ein paar sprachlichen Feinheiten, Formatierungen für's Forum und eventuelle Änderungen auf Grund neuer Versionen mal abgesehen.
Allerdings kann ich mich momentan nicht wirklich damit anfreunden, es zu veröffentlichen. Für diesen Entschluss liegen seitens meiner Person mehrere Gründe vor:

• es kann und wird keine 100%ige Sicherheit geben
  
• wie auch bei Windows-Programmen ala PFWs, ist es eher kontraproduktiv einem Howto zu folgen, wenn man nicht weis, was wirklich passiert
  
• es gibt viel zu viele verschiedene Szenarien, diese kann man nicht alle gleichzeitig abdecken bzw. kommen sich manche Maßnahmen gegenseitig in die Quere
  
• es gibt viele Möglichkeiten, dass selbe zu erreichen, wobei nur die Mittel variieren und es eine Sache der persönlichen Präferenz ist, was man warum nutzt
  
• längst nicht jeder wäre fähig, den SRC von ein paar Programmen zu ändern und neu zu compilen
  
• etc. pp

Um das obige alles komplett abzudecken, bräuchte man eigentlich (mindestens einige) Wochen, um alles zu verstehen und verstehen ist hierbei essentiell - nicht umsonst gibt es spezialisierte Dienstleister - ergo, es ist nicht wirklich für jeden etwas.
Was man machen könnte und wozu ich auch - soweit es mit meiner Zeit und meinem eigenen Wissen möglich ist - bereit wäre, wäre die Festschreibung einiger Szenarien und deren möglichst effektiver Begegnung. Allerdings bringt das eine große Masse Szenarien auf, die ich nicht alle selbst abarbeiten kann und will. Wenn sich also ein paar finden, die Szenarien bauen und gut ausformulieren können, werden sich sicherlich einge (inkl. mir) finden, die entsprechende Konterparts beisteuern können/werden.

Fazit, von mir gibt's erstmal nichts fertiges, was ootb abdeckt und ich hoffe, dass dafür ein bisschen Verständnis aufkommt - im Endeffekt ist's sowieso besser, wenn wir uns nicht mit aus Unwissenheit entstandenen Problemem ausseinandersetzen müssen.

cheers,
ph

[bb83]

Deine neue Signatur ist jawohl mal der Hammer :-D.
Vlt. sollte man nicht soweit ausholen, sondern nur grundsätzliches beschreiben, z.B. was der 0815 Desktop User beachten sollte?

[Gitarremann]

Sobald man aber öffentlich hier aufschreibt, wie toll man sich schützen kann, weiß doch aber auch der "Feind" wie man sich schützt und könnte sich eine Alternative ausdenken. Das wäre ja dann wieder das teuerste und beste Sicherheitsschließsystem einbauen und den Schlüssel unter die Fußmatte legen.

[ph030]

@Gitarre,
deine Theorie greift aber nur seltenst, z.B. dann, wenn ich sage, meine Dateien sind per AES verschlüsselt, dann weis man zwar womit und kann sich darauf konzentrieren, dass ändert aber nichts daran, dass der Algo bis jetzt nicht geknackt wurde - jedenfalls nicht, bei entsprechenden Passworten.
Sicherheit entsteht ja nur dadurch, dass jeder versuchen kann, es zu knacken/Systeme zu umgehen, aber dennoch scheitert, deswegen sind die wichtigsten Algos ja OpenSource.

@bbrickwedde,
thx, hab ich letztens mal wieder beim Shuffle durch meine Sammlung entdeckt

[schrämp]

deswegen gibts ja auch keine 100% Sicherheit

WEP war ja auch mal sicher, sowas ist ja auch immer eine Frage der Zeit

[Stefan_der_held]

Zitat (shiversc: 24.06.2007, 09:25)

Man will ja auf eine Echtzeitinjektion setzen und somit den Code auf den PC bringen, d.h, dass man noch mehr wie sonst die Checksumen prüfen sollte. Eine Hardwarefirewall in vernünfitiger Konfig kann sicher auch nciht schaden.

Ich denke mal, in erster Linie dürften die Schlüpflöcher "Java", "NET" oder diverse Host-Basierte Skriptsprachen sein die möglichst "allgemein-gültig" also Systemübergreifend sind..

[ph030]

@S_d_H,
na, momente mal...wenn wir von Injection sprechen, kann man das ja überall machen und nur weil es .NET in Form von Mono auch für *nix gibt, heisst das ja noch lange nicht, dass es auch Bug-Kompatibel ist. Bezüglich der Skriptsprachen wäre das auch eine reichlich bescheuerte Idee, denn erstens sind sie bekanntlich nicht grade performant - jedenfall im Gegensatz zu compiliertem Code - wobei das hier weniger das Problem wäre, sondern würde da ja alles im Klartext vorliegen...

Fakt ist, man kann sich gegen alles schützen, die Frage ist nur, a) ist man fähig dazu, b) nimmt man die Zeit und die durch mehr Schutz auftretenden Probleme in Kauf und natürlich c) wie schnell spielt die Zeit gegen einen.

EDIT:
@h0nk,

Zitat

Tut es, sonst wäre ich nicht hier.

...wie man sieht, bin ich's (ev. vorläufig) ja auch wieder, wenn auch zunächst nur in diesem Thread

Zitat

Welche Szenarien sollen das primär sein? Die des Angreifers oder die des Opfers?

Das gilt es zu erörtern, wobei die Seite des Opfers ev. leichter zu handlen ist, da der Angreifer ja auf Dummheit oder vorliegende Exploits vertrauen muss.

Zitat

Auch ist mir nicht klar ob du wirklich alles durchkauen willst, allein ein HowTo über die Kompromittierung würde locker 5 Beiträge füllen.

Nein Danke, jedenfalls nicht allein - man sieht ja, wieviel bei dem kleinen Shell-Howto bei herausgekommen ist und selbst das kratzt ja nur die Oberfläche an. Wenn überhaupt, dann sollen mögliche Taktiken erörtert werden, mit weiter führenden Links, deren Inhalt sich dann jeder selbst zu Gemüte führen muss - bringt ja nichts, wenn ich hier ein paar iptables-configs poste und dann ein Ansturm im INet-Cafe herrscht, von wo aus sich die Leute beschweren, dass sie daheim nicht mehr ins Netz kommen, weil sie ohne denken einfach C&P gemacht haben.

Zitat

wie will man es schreiben, sodass auch der letzte Anwender es versteht.

Gar nicht, Rücksicht auf verschiedene Levels kann und will ich nicht nehmen - ausser gegen Geld - gewisse Grundbedingungen muss man schon erfüllen, sonst ist man bei dem Thema bekanntlich völlig fehl am Platze.

Dieser Beitrag wurde von ph030 bearbeitet: 24. September 2007 - 21:39

[Gitarremann]

Zitat (ph030: 24.09.2007, 21:53)

@Gitarre,
deine Theorie greift aber nur seltenst, z.B. dann, wenn ich sage, meine Dateien sind per AES verschlüsselt, dann weis man zwar womit und kann sich darauf konzentrieren, dass ändert aber nichts daran, dass der Algo bis jetzt nicht geknackt wurde - jedenfalls nicht, bei entsprechenden Passworten...

Wenn Schäuble weiß, dass Daten, die ihn interessieren per AES verschlüsselt sind/werden, dann setzt der sich nicht hin und überlegt, wie er die Verschlüsselung knacken kann, sondern er überlegt sich einen Grund, um den Algorithmus zu verbieten.
Natürlich auch nur Theorie aber im Grunde denken die doch genau so.

Dieser Beitrag wurde von Gitarremann bearbeitet: 24. September 2007 - 21:42

[ph030]

@Gitarre,
ein Crypto-Verbot wurde in Dtl schon desöfteren diskutiert, gefordert und bis jetzt immer wieder verworfen und das aus gutem Grund - man kann nicht sinnvoll begründen, warum der Staat etwas darf und das Volk(eigentlich ja der Staat) nicht. Daneben würde das völlig gegenläufig zum Dienst des Ministeriums für innere Sicherheit laufen.
Abgesehen davon, ein rückwirkendes Verbot wird nicht machbar sein, ergo wäre es vielleicht für die Zukunft verboten, bringt aber rückläufig nichts und kann somit schon zu spät sein.

BTW, Schäuble braucht sich gar nicht setzen, der sollte lieber mal für die Rechte der Menschen aufstehen.

[Gitarremann]

Zitat (ph030: 24.09.2007, 22:43)

@Gitarre,
ein Crypto-Verbot wurde in Dtl schon desöfteren diskutiert, gefordert und bis jetzt immer wieder verworfen und das aus gutem Grund - man kann nicht sinnvoll begründen, warum der Staat etwas darf und das Volk(eigentlich ja der Staat) nicht. Daneben würde das völlig gegenläufig zum Dienst des Ministeriums für innere Sicherheit laufen.
Abgesehen davon, ein rückwirkendes Verbot wird nicht machbar sein, ergo wäre es vielleicht für die Zukunft verboten, bringt aber rückläufig nichts und kann somit schon zu spät sein.

BTW, Schäuble braucht sich gar nicht setzen, der sollte lieber mal für die Rechte der Menschen aufstehen.

Noja aber dass drüber diskutiert wurde zeigt ja, dass die zumindest tatsächlich so ticken.

[ph030]

Wenn mein Gedächtnis mich nicht täuscht, gab es bereits Ende der 80er Debatten zum Thema - vielleicht auch schon vorher, aber da war ich noch nicht alt genug, mich damit zu befassen - und auch wenn wir damals ebenfalls schwarz Regiert wurden, kam das Thema auch unter Rot/Grün wieder auf. Wir sind ja auch beileibe nicht das einzige Land, in dem solche Diskussionen geführt werden und die Diskussion an sich ist ja auch nichts schlimmes. Wie überall wird auch hier versucht, größtmögliche Kontrolle vorbei am Wille des Volkes einzuführen, was mit einer der Gründe ist, warum ich gegen Staat an sich bin.

Es gibt zwar (hier) viele, die mich als Paranoiker bezeichnen (würden), aber dennoch glaube ich, dass ich grade auf Grund dessen wesentlich besser schlafen kann, als die ewigen Optimisten, wenn sie erstmal feststellen, dass sie - wie meistens - unrecht hatten.

[Gitarremann]

Naja da gibts auch wieder mehrere Sorten Leute. Die einen sagen "Das ist doch nicht so schlimm, weil es nicht so derbe kommt wie einige unken." und ich sage zwar auch "Das ist nicht so schlimm" aber in nem ganz anderen Zusammenhang. "Ich glaub es kommt schon so wie die anderen unken aber es kommt so oder so." Sobald die technischen Möglichkeiten da sind, werden die auch genutzt werden. Da wird doch nicht wirklich diskutiert "Dürfen wir das und dann machen wir das oder dürfen wir das nicht und dann machen wir das nicht." sondern die Diskussion ist ja: "Dürfen wir das und dann machen wir das oder dürfen wir das nicht und dann machen wir das heimlich" - Wobei ich mir vorstellen kann, dass ein Großteil der Aktionen, gegen die gekämpft wird und die irgendwelche Datenschützer nicht erlauben wollen, schon seit Jahren gängige Praxis sind.

[koch]

@ph030: schön, dass du (vorläufig) wieder da bist. ich glaube, ich muss deine sig für ein anderes forum klauen....

so, und jetzt erst mal den rest der neuen beiträge oben lesen.

[ph030]

Zitat

Wobei ich mir vorstellen kann, dass ein Großteil der Aktionen, gegen die gekämpft wird und die irgendwelche Datenschützer nicht erlauben wollen, schon seit Jahren gängige Praxis sind.

Damit hast du mit >99% Wahrscheinlichkeit recht. Anders würde es auch keinen Sinn machen, sie wollen nur nachträglich etwas legitimieren, was sich bereits bewehrt hat, allerdings in anderer Weise, als es nach aussen getragen wird. Ich glaube nicht, dass es etwas gegen die achsoweit verbreiteten Terroristen gebracht hat oder gar wird, aber in anderen Szenarien, die schon oft genug angesprochen wurden, hat es mit Sicherheit schon funktioniert.

Zitat

@ph030: schön, dass du (vorläufig) wieder da bist.

Thx

Zitat

ich glaube, ich muss deine sig für ein anderes forum klauen....

A*sch, na wenigsten komm ich dann nicht als einziger vor den Kadi, weil ich illegal Songtexte verbreite (kann man das überhaupt Songtext nennen bzw. ist damit schon die nötige und erforderliche Schaffenshöhe, die unser Urheberrechtsgesetzt verlangt, erfüllt?)

BTW, ob man das hier ev. splitten und lieber mit dem BJ-Thread im Off/Disks mergen sollte?

EDIT2:

koch's sig sagte:

sabayon linux 3.4e

Warum denn nicht gleich Gentoo, Sabayon ist doch nur Gentoo-maximum-bloated...

Dieser Beitrag wurde von ph030 bearbeitet: 24. September 2007 - 23:57

[ShadowHunter]

Back to topic ?! zumindest schweifts teilweise etwas ab, wofuer nen gesonderter Thread mehr Sinn macht.