0d - Zeroday

Etwas mehr als ein Jahr nach der Anwendung der EU-Datenschutzgrundverordnung wollen wir mal schauen, welche Strafen denn in diesem Zeitraum schon verhängt wurden. Das Thema resultiert aus Svens Neugierde, nachdem er in der letzten Episode über die Rekordstrafen gegen British Airways und Marriott gesprochen hat. Dazu gibts eine Menge Datenverluste und News und die Bitte an Euch, zu kommentieren worauf wir zukünftig mehr Fokus legen sollen.

Aufgenommen am: 25.07.2019

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Zusammenfassung

In der heutigen Episode hat sich Stefan mal ein wenig die CVE-Einträge aus 2018 angeschaut und war dabei mehrmal überrascht und auch ein wenig enttäuscht.
Das Geschenk, welches Sven ihm 2 Wochen im Voraus bereits versprochen hat wird sich in Zukunft als sehr nützlich beim Einkaufen erweisen. Aber auch die Datenverluste und die News haben es mal wieder in sich.

CVE, CVSS, CVE-Details, CVE-Search, MongoDB (Wiki), MongoDB,
CVE-Details top 50 Hersteller of all times, CVE-Detals top 50 Hersteller in 2018

Anzahl der Einträge mit einem Score >= 9

1  Oracle=2
2  Canonical=8
3  IBM=11
4  Redhat=23
5  Debian=24
6  Cisco=48
7  Google=104
8  Adobe=110
9  Microsoft=114
10 Qualcomm=210
Gesammt: 654

Fun and other Thinks

Einkaufswagenlöser, Beispiel bei ebay

Aufgenommen am: 08.07.2019
Veröffentlicht am: 09.07.2019
Intro & Outro Chiptune: Pumped by ROCCOW
Logo CC BY 2.0 Richard Patterson 

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Die Sondersendung zu der Verleihung der Big Brother Awards 2019 bedarf keiner Vorstellung mehr. Sie ist fester Bestandteil des jährlichen Themenkomplexes und wie gewohnt auch ein wenig länger als normale Episoden.

https://bigbrotherawards.de/  – digitalcourage

Kategorie: Behörden und Verwaltung, Laudator: Dr. Rolf Gössner
Der BigBrotherAward 2019 in der Kategorie Behörden & Verwaltung geht an den hessischen Innenminister Peter Beuth (CDU).

Kategorie: Biotechnik, Laudator: Dr. Thilo Weichert
Der BigBrotherAward 2019 in der Kategorie Biotechnik geht an die Firma Ancestry.com.

Kategorie: Kommunikation, Laudatorin: Rena Tangens
Der BigBrotherAward 2019 in der Kategorie Kommunikation geht an die Precire Technologies GmbH in Aachen.

Kategorie: Technik, Laudator: Frank Rosengart, Der BigBrotherAward 2019 in der Kategorie Technik geht an das „Technical Committee CYBER“ des Europäischen Instituts für Telekommunikationsnormen (ETSI)

Kategorie: Verbraucherschutz, Laudator: padeluun
Der BigBrotherAward 2019 in der Kategorie Verbraucherschutz geht an ZEIT ONLINE.

Fun and other Thinks

Svens Mastodon Account: [email protected]

Aufgenommen am: 19.06.2019
Veröffentlicht am: 20.06.2019
Intro & Outro Chiptune: Pumped by ROCCOW
Logo CC BY 2.0 Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Thema: Böses Word, harmloses PDF? Das Risiko von Anhängen in E-Mails

Did you know you can play games in PDF files?

BSI techn. Warnungen bzgl. Schwachstellen in PDF-Readern:

Fun & other Thinks

Aufgenommen am: 04.06.2019

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Es begab sich in der Episode 41, dass sich Stefan einmal die aktuelle Situation des Wirtschaftskrieges zwischen Nord-Amerika und China anschaute um herauszufinden, ob seine Geräte noch sicher sind und dieses auch bleiben. Allerdings wurde erst nach vielen  Datenverlustigungen und Nachrichten darauf eingegangen.

17.05.2019: So schnell werden ausgenutzte Zero-Day-Lücken gepatcht

Google sperrt Android-Updates und den Play Store für Huawei;  Trump verbietet Telekommunikationsgeschäfte mit Firmen „gegnerischer“ Staaten; Top U.S. Tech Companies Begin to Cut Off Vital Huawei Supplies;  USA gewähren 90 Tage Aufschub für Teil der Sanktionen gegen Huawei;

Aufgenommen am: 21.05.2019
Veröffentlicht am: yy.05.2019
Intro & Outro Chiptune (CC BY SA): Pumped by ROCCOW
Logo (CC BY 2.0) Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

In der heutigen Folge versucht Sven, ein wenig Luft in das Dunkel der Exploits und Patches zu bringen. Wer weitere Quellen zu dem Thema beitragen kann, ist herzlich eingeladen, dies in den Kommentaren zu tun. Neben den Standardthemen Datenverluste und News gehen wir noch auf Hörerkommentare ein und Stefan wird für eine völlig veraltete PHP-Version auf unserer Webseite abgewatscht. Da Sven vorher mit Teigwarensalat gefüttert wurde, fällt das allerdings viel freundlicher aus, als ursprünglich geplant.

Hausmeisterei

Thema: Vulnerabilities – Das Rennen zwischen Exploits und Patches

Fun & other Thinks

Aufgenommen am: 08.05.2019

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Dieses Mal bringt Stefan sein Thema DNS zu ende. Jedoch gibt es vorher einen ausführlichen Datenverlust- und News-Block da es die einzige Folge des Monats ist.
Warum dieses so ist, wird in der Hausmeisterei geklärt, sowie ein Audiokommentar eingespielt, der den Podcast nach der letzten Sendung erreichte.

Besser für den Datenschutz: Gravatar abschalten und Emojis deaktivieren

Aufgenommen am: 25.04.2019
Veröffentlicht am: 26.04.2019
Intro & Outro Chiptune (CC BY SA): Pumped by ROCCOW
Logo (CC BY 2.0) Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Für die heutige Folge, hat sich Sven einmal mit ‘Smarten’ Lautsprechern beschäftigt und präsentiert seine Ergebnisse. Dieses sei verraten, schlau sind Sie alle nicht. Die Folge ist aufgrund der Komplexität des Themas leider etwas über die Stränge geschlagen, was die Länge angeht, aber dafür auch sehr unterhaltsam. Zum Ende besucht Stefan auch noch live zum ersten mal in seinem Leben die Seite ‘Pornhub’ um sich an zu sehen wie Axel Voss das Internet f****.

GPS Week Number Rollover am 7. April 2019 (Gehen Sie weiter, es gibt nichts zu sehen)

• 14.03.2019: Unsecured Database Exposed 33 Million Job Profiles in China
• 15.03.2019: Unsecured Gearbest server exposes millions of shoppers and their orders
• 15.03.2019: Insecure Database Exposes 800,000 Singapore Blood Donors
• 16.03.2019: Database leaks 250K legal documents, some marked ‘not designated for publication’
• 24.03.2019: A family tracking app was leaking real-time location data
• 18.03.2019: MySpace lost 12 years of user content
• 21.03.2019: Facebook Employees Could Access Unencrypted Passwords for Millions of Users

• 25.03.2019: Warning: ASUS Software Update Server Hacked to Distribute Malware, Shadowhammer tool
• 15.03.2019: Over 100 Exploits Found for 19-Year Old WinRAR RCE Bug
• 18.03.2019: Popular wireless Logitech mouse vulnerable to keystroke injection, Mousejack.com, affected Devices
• 14.03.2019: 39% of All Counter-Strike 1.6 Servers Used to Infect Players
• 14.03.2019: Porno-Erpresser-Mails: 17-jähriger Tatverdächtiger in Bremen verhaftet
• 14.03.2019: Multi-Factor Auth Bypassed in Office 365 and G Suite IMAP Attacks   
• 19.03.2019: Ransomware Attack Forces Aluminum Manufacturer to Shutdown Systems Worldwide
• 25.03.2019: Pwn2Own: Hacker Knacken Tesla Model 3
• 22.03.2019:  Unzureichend abgesichert: Defibrillator-Implantate offen für Hacker-Attacken
• 15.03.2019:  DNSpionage: Massive Angriffe auf Mail- und VPN-User
• 21.03.2019: Microsoft ships antivirus for macOS as Windows Defender becomes Microsoft Defender
• 25.03.2019: 122 Millionen US-Dollar von Facebook und Google erschwindelt

Amazon Echo, Google Assistant/Google Home, Siri/Homepod

• 05.01.2019: Amazon verkaufte mehr als hundert Millionen Geräte mit Alexa
• 05.02.2019: HomePod Struggling to Gain Market Share Alongside Cheaper Amazon Echo and Google Home Speakers
• 03.05.2018: Dumb And Dumber: Comparing Alexa, Siri, Cortana And The Google Assistant
• 18.07.2018: Der Spion in meiner Wohnung: Wichtige Fakten zu Alexa, Google Assistant und Co.
• 20.12.2018: Amazon gibt intime Alexa-Sprachdateien preis
• 20.12.2017:Heimspion Alexa: Sie reagiert nicht nur auf das Signalwort
• 10.10.2017: Google is permanently nerfing all Home Minis because mine spied on everything I said 24/7
• 24.05.2018: Alexa sent private audio to a random contact
• 01.08.2017:  Ältere Amazon Echos lassen sich über Debug-Kontakte rooten; Alexa, are you listening?
• 02.08.2017: Mit Amazon Echo rund um die Uhr andere Menschen abhören
• 31.08.2017: Hacker steuern Smart Speaker
• 16.03.2017: Google Home is playing audio ads for Beauty and the Beast
• 02.01.2018: Amazon has big plans for Alexa ads in 2018; it’s discussing options with P&G, Clorox and others
• 08.03.2018: Alexa, Please Stop Laughing: Amazon Says It’s Fixing Device’s Unprompted Cackles, Alexa randomly laughing compilation @Youtube
• 04.01.2017: Kinder vs. Alexa: Ein Puppenhaus, kiloweise Kekse und ein Pornoklingelton
• 08.01.2017: Amazon Echo: Nachrichtensprecher löst Massenbestellung aus
• 21.09.2017: Papagei geht bei Amazon shoppen – dank Alexa
• 18.09.2017: Chaos bei Alexa: Amazons Sprachassistentin reagiert auf Befehle aus South Park

Pornhub:  GERMAN MAN FUCKS THE WHOLE INTERNET

Aufgenommen am: 25.03.2019
Veröffentlicht am: 26.03.2019
Intro & Outro Chiptune (CC BY SA): Pumped by ROCCOW
Logo (CC BY 2.0) Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Nachdem die Helden der Informations- und Datensicherheit es endlich einmal geschafft haben ohne “bla bla” vor dem Intro eine Folge zu beginnen, widmet sich Stefan dem Domain Name System und gibt einen überblick über die Historie dahinter und einen wirklich rudimentären Einblick wie es funktioniert. Kündigt jedoch bereits Vertiefungen an.
Zwischendurch lenkt Sven Stefan ab, indem er sein rechtes Ohr lüftet.

• 07.03.2019: Thousands of Pakistani Bank Cards Are Available on the Dark Web
• 25.02.2019: 800 Millionen Emailadresse bei verifications.io geleakt
• 09.03.2019: Iranian hackers stole terabytes of data from software giant Citrix

• 01.03.2019: eBay-Phishing auf eBay-Seite
• 04.03.2019: Cisco-Router: Forscher melden Hinweise auf aktive Angriffe
• 05.03.2019: 5G geknackt
• 09.03.2019: Erpresser erbeuten 400.000 US-Dollar durch Cyber-Angriff
• 11.03.2019: O2-HomeBox-Router ließen sich kapern
• 03.03.2019: Bundespolizei speichert Bodycam-Aufnahmen in Amazons AWS-Cloud
• 11.03.2019: 1400 Bodycams für Bayerns Polizei: Datenschützer hat Bedenken
• 11.03.2019: Studie: 50 Prozent der Systeme für „Künstliche Intelligenz“ schummeln
• 06.03.2019: Ghidra: NSA stellt quelloffenes Software-Analyse-Tool vor

SRI International, Elizabeth Feinler, Jon Postel, University of Southern California, Information Sciences Institute, Network Information Center, Paul Mockapetris, Internet Engineering Task Force, RFC 882, RFC 883, UC Berkeley, BIND, DEC, Mike Karels, Paul Vixie, RFC 1034[1], RFC 1035, Request for Comments

Aufgenommen am: 12.03.2019
Veröffentlicht am: 12.03.2019
Intro & Outro Chiptune: Pumped by ROCCOW
Logo CC BY 2.0 Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).

Zusammenfassung

Dieses Mal erzählt Sven etwas allgemeiner über das Thema Verschlüsselung und gibt Tipps zur Nutzung einer geeigneten Verschlüsselung für den richtigen Zweck.
Wie immer mangelt es auch dieses mal nicht an Datenverlusten und Nachrichten, von denen ein Teil geeignet wäre die Allgemeinheit zu verunsichern.

Hausmeisterei

• Website Security Header Scanner
  • SSL Server Test bei SSL-LABS
• Checkpoint Security Report 2019

• 12.02.2019: Gehackte Websites: 620 Millionen Accounts zum Verkauf im Darknet
• 13.02.2019: 500px reveals 2018 breach that exposed user data
• 15.02.2019: Collection of 127 Million Stolen Accounts Up for Sale on the Dark Web
• 17.02.2019: Hacker puts up for sale third round of hacked databases on the Dark Web
• 12.02.2019: Hackers Wipe VFEmail Servers, May Shut Down After Catastrophic Data Loss
• 19.02.2019: LPG Gas Company Leaked Details, Aadhaar Numbers of 6.7 Million Indian Customers
• 20.02.2019:  Schweden: 2,7 Millionen Patienten-Anrufe ungeschützt im Netz, Computer Sweden

• 12.02.2019: Xiaomi Electric Scooters Vulnerable to Life-Threatening Remote Hacks
• 20.02.2019: Google put a microphone in Nest Secure and forgot to tell anyone, Mikrofone in Schaltsteckdosen (Teltarif), Nochmal Mikrofone in Schaltsteckdosen (heise), die jedoch schon mind. 4 Jahre früher (2013) gefunden wurden
• 25.02.2019: More than two thirds of Ticketmaster data breach victims have suffered fraudulent transactions, 0d023 – Diffie-Hellman (05.07.2018)
• 24.02.2019:  Apps liefern Facebook vertrauliche Daten – Untersuchung angekündigt,  Reportage des Wall Street Journal
• 22.02.2019: Apple-Datenschutzrichtlinie ist größtenteils rechtswidrig, Urteil des Landgerichts Berlin von 2013.
• 24.02.2019:  Ortungs-App wird Dieb in Hamburg zum Verhängnis
• 23.02.2019: Die Schweiz kurz vor dem Härtetest ihres E-Voting-Systems, LNP287

Bitlocker – LVM – CoreStorage –  VeraCrypt– Zip mit AES, 7zip mit Einschränkungen – Amazon Redshift – Transparent Database Encryption“ (TDE)  – TDE wurde allerdings 2010 geknackt – HTTPS – SSL –  TLS – TLS – Fingerprinting with JA3 and JA3S – SSH – RDP mit Einschränkungen – SFTP – FTP über TLS – SCP – VPN – OpenVPN – (stunnel – Tor – Boxcryptor  – PGP –  GPG – argon2 – scrypt – bcrypt – PBKDF2 – symmetrische Verschüsselung – AES  – Twofish – Blowfish – asymmetrische Verschlüsselung – RSA – PGP – SMIME – Hybride Verschlüsselung – IPsec – TLS/SSL

Aufgenommen am: 25.02.2019
Veröffentlicht am: 25.02.2019
Intro & Outro Chiptune: Pumped by ROCCOW
Logo CC BY 2.0 Richard Patterson

In diesem Podcast werden Techniken oder Hardware vorgestellt, die geeignet sind, externe Geräte anzugreifen. Dies geschieht ausschließlich zu Bildungszwecken, denn nur, wenn man die Angriffstechniken kennt, kann man sich effektiv davor schützen. Denkt immer daran, diese Techniken oder Hardware nur bei Geräten anzuwenden, deren Eigner oder Nutzer das erlaubt haben.Der unerlaubte Zugriff auf fremde Infrastruktur ist strafbar (In Deutschland §202a, §202b, §202c StGB).