Security
Thema: Forensic analyse von USB-Sticks (April 2010)
Es ist wieder erstaunlich welche Daten man immer noch auf formatierten Speichermedien so findet.
Die einzig billige und beste Varantie um entweder einen USB Stick oder gar eine ganze Festplatte wirklich zu löschen lautet:
dd if=/dev/zero on=/dev/sdxx    Â
Wobei xx bei sdxx für das Speichermedium steht, welches zu löschen wäre.
Das standard Unix Tool “dd” gibt es auch für Windows.
Thema: iPhone Sicherheit bei Jailbreak Handy  (März 2010)
Dem entsperren von iPhone gehen ich neutral gegenüber, aber wenn mal es vor hat, sollte einem immer bewusst sein, dass die Sicherheit des iPhone durch das Entsperren um 80% reduziert wird.
Die Benutzer mobile und root haben nämlich das Passwort: alpine der default. Somit kann eine jede Apps die nachträglich nicht vom Apps Store installiert wird, Potenzionel gefährlich sein.
Des Weiteren falls man sich entweder einen SSH Server oder FTP vielleicht installiert, dann jeder aus dem Internet ungehindert auf Euer iPhone zugreifen. Also wie immer in der IT “Standardpasswörter sind SOFORT zu ändern”
Zweitens sollte man unbedingt einen zusätzlichen Eintrag in der HOSTS vornehmen.
Der Eintrag lautet: 127.0.0.1Â Â Â iphone-services.apple.com
Dieser muss in die Datei /etc/hosts hinzugefügt werden. Durch diesen Eintrag kann das iPhone nicht mehr nach Hause telefonieren und alles bekanntgeben was so alles auch dem privaten iPhone so befindet.
Relativ einfach kann man auch den Passwortschutz umgehen, dass dies durch die IT-Abteilung erfolgte, wenn man die Firmen E-Mails abrufen möchte.
Für Tipps und Tricks rund um das iPhone stehe ich Euch gerne zur Verfügung.
PS: Lauschangriffe mit den iPhone sind genial!!!!!!
Thema: Passwörter  (Februar 2010)
 Es gibt keine “sicheren” oder “unsicheren” Passworte und die Obsession mit Passwortinhalten und -längen kann man sich oft schenken.Â
Passwortpolicies sind der Versuch, einem simplen Angriff zu begegnen, nämlich dem Versuch des Angreifers, das Passwort durch Raten oder systematisches Probieren herauszufinden. Diese Angriff wird stets glücken, wenn der Angreifer den gesamten Raum möglicher Passworte durchprobieren kann. Welches Passwort gewählt wurde, ist in diesem Fall egal.
Der Angriff wird mit einer gewissen Wahrscheinlichkeit glücken, wenn der Angreifer nur einen Teil der möglichen Passworte ausprobieren kann. In diesem Fall wird ein kluger Angreifer versuchen, seine Erfolgswahrscheinlichkeit zu erhöhen, indem er seine Ratestrategie an der (mutmaßlichen) Häufigkeit ausrichtet, mit der ein Passwort von verschiedenen Nutzern verwendet wird. Die Sicherheitsoptimierung läuft dann darauf hinaus, das gewählte Passwort für einige optimierte Ratestrategien aus dem Bereich der n zuerst probierten Passworte herauszuhalten. Alle Passworte, die für keine betrachtete Ratestrategie in diesen Bereich fallen, sind gleichermaßen sicher.
Kann man den Angreifer so einschränken, dass im eine Ratemöglichkeit nur online, d.h. in Interaktion mit dem System zur Verfügung steht, so lässt sich n auf kleine Werte zwischen 3 und 10 begrenzen.
Schwieriger wird die Sache, wenn irgendwo Passwort-Hashes herumfliegen, an denen der Angreifer offline probieren kann. Dann hängt n vor allem von der Hashfunktion ab.Â
Es gibt keine “sicheren” oder “unsicheren” Passworte und die Obsession mit Passwortinhalten und -längen kann man sich oft schenken.Â
Passwortpolicies sind der Versuch, einem simplen Angriff zu begegnen, nämlich dem Versuch des Angreifers, das Passwort durch Raten oder systematisches Probieren herauszufinden. Diese Angriff wird stets glücken, wenn der Angreifer den gesamten Raum möglicher Passworte durchprobieren kann. Welches Passwort gewählt wurde, ist in diesem Fall egal.
Der Angriff wird mit einer gewissen Wahrscheinlichkeit glücken, wenn der Angreifer nur einen Teil der möglichen Passworte ausprobieren kann. In diesem Fall wird ein kluger Angreifer versuchen, seine Erfolgswahrscheinlichkeit zu erhöhen, indem er seine Ratestrategie an der (mutmaßlichen) Häufigkeit ausrichtet, mit der ein Passwort von verschiedenen Nutzern verwendet wird. Die Sicherheitsoptimierung läuft dann darauf hinaus, das gewählte Passwort für einige optimierte Ratestrategien aus dem Bereich der n zuerst probierten Passworte herauszuhalten. Alle Passworte, die für keine betrachtete Ratestrategie in diesen Bereich fallen, sind gleichermaßen sicher.
Kann man den Angreifer so einschränken, dass im eine Ratemöglichkeit nur online, d.h. in Interaktion mit dem System zur Verfügung steht, so lässt sich n auf kleine Werte zwischen 3 und 10 begrenzen.
Schwieriger wird die Sache, wenn irgendwo Passwort-Hashes herumfliegen, an denen der Angreifer offline probieren kann. Dann hängt n vor allem von der Hashfunktion ab.Â
Â