BSI Warnung zu gehackten E-Mail Adressen

[::arglbarf::]

offtopic an:

und dann schicken plötzlich 10 Mio Menschen ihre Haustür zur Polizei, die dann prüfen muss, ob ein Schlüssel passt...
schicken dir aber die Tür nur zurück, wenn sie einen passenden Schlüssel gefunden haben. :d

offtopic aus

 

[kassie]

Aus dem offiziellen Pressetext des BSI lese ich wenig heraus, das dazu gedacht ist, Panik zu schüren.

Aus dem Text nicht. Aber diese mangelnde Wischiwaschi-Information der BSI schürt Panik.

Erste Frage, die sich stellt, ist doch: Weshalb gab es bei früheren Entdeckungen dieser Art KEINE BSI-Warnung?
Gemeint ist sowas hier:
http://www.spiegel.de/netzwelt/web/microsoft-stoert-zeroaccess-botnet-a-937588.html
http://www.spiegel.de/netzwelt/web/hacker-stehlen-2-millionen-passwoerter-a-937320.html

Zweite Frage:
Stehen diese "Entdeckungen", von denen im Dezember bereits berichtet wurden, mit dem aktuellen Fall in Zusammenhang oder ist das jetzt etwas Neues?

Dritte Frage:
Warum kann der BSI nicht darüber informieren, nach welcher "Schadsoftware" man auf seinem Rechner suchen soll/kann/darf/muss und wie man die sicher wieder los wird?

Bei mir ist, wie erwähnt, 1 von 7 überprüften email-Adressen betroffen.
Für diese 1 email-addy bekam ich 10 BSI-Nachrichten.
Und ClamXav fand auf meinem Rechner 0 (null) Unregelmäßigkeiten, also offenbar 0 Schadsoftware.

Ich Laie will bei einer derartigen "Warnung" schlichtweg bzw. vorrangig wissen, ob jemand unberechtigt Zugriff auf meinen Rechner hat und ob ich eine Chance habe, das mit Hilfe von der so warm empfohlenen Suche nach "Schadsoftware" herauszufinden und abzustellen!

Der BSI verspricht, ich zitiere: "Falls Ihre Adresse betroffen ist, erhalten Sie kurz darauf per E-Mail eine entsprechende Information sowie Empfehlungen zu erforderlichen Schutzmaßnahmen an die angegebene Adresse."

Und die "Empfehlungen zu erforderlichen Schutzmaßnahmen" sehen dann SO aus:


"Sehr geehrte Dame, sehr geehrter Herr,
Sie haben diese E-Mail erhalten, weil die E-Mail-Adresse xxx auf der Webseite www.sicherheitstest.bsi.de eingegeben und überprüft wurde.
Die von Ihnen angegebene E-Mail-Adresse xxx wurde zusammen mit dem Kennwort eines mit dieser E-Mail-Adresse verknüpften Online-Kontos von kriminellen Botnetzbetreibern gespeichert. Dieses Konto verwenden Sie möglicherweise bei einem Sozialen Netzwerk, einem Online-Shop, einem E-Mail-Dienst, beim Online-Banking oder einem anderen Internet-Dienst.
Um diesen Missbrauch zukünftig zu verhindern, empfiehlt das BSI die folgenden Schritte:
1. Überprüfen Sie Ihren eigenen Rechner sowie weitere Rechner, mit denen Sie ins Internet gehen, mittels eines gängigen Virenschutzprogramms auf Befall mit Schadsoftware.
2. Ändern Sie alle Passwörter, die Sie zur Anmeldung bei Online-Diensten nutzen.
3. Lesen Sie die weiteren Informationen hierzu unter www.sicherheitstest.bsi.de.
Diese E-Mail ist vom BSI signiert. Wie Sie die Signatur überprüfen können erfahren Sie auch unter www.sicherheitstest.bsi.de.
Mit freundlichen Grüßen
Ihr BSI-Sicherheitstest-Team"


Ehrlich: Dass ich in so einem Fall mein Antivirenprogramm durchlaufen lasse und meine Passwörter ändere, versteht sich eigentlich von selbst. Als "Empfehlungen zu erforderlichen Schutzmaßnahmen" erwarte ich vom BSI eigentlich mehr!

…oder bin ich als Laie da einfach nur ZU doof?

 

[starguide]

Wenn ich haveibeenpwned.com glauben kann, dann ist meine Schrott-Adresse, die auch vom BSI gefunden wurde, bei Adobe letzten Oktober geklaut worden. Was durchaus stimmen kann, da ich genau die Adresse bei Adobe verwendet hatte. Naja, das Passwort war eh Adobe spezifisch und stellt somit keine Gefahr dar.

Gruß starguide

 

[xentric]

http://www.heise.de/security/news/foren/S-Test-ist-case-sensitiv/forum-273558/msg-24684191/read/

Der Test soll case-sensitive sein.

 

[tocotronaut]

email-adressen werden weltweit und seit anbeginn der computertechnologie schon immer klein geschrieben.

es kann gut sein, dass sie das in der "liste" vereinheitlicht haben.
wahrscheinlicher ist aber dass das schon in den rohdaten so war

 

[xentric]

Quatsch nicht. Das ist mir schon klar, dass die meistens klein geschrieben werden. Ich kann dir aber mind. 10 abgespeicherte mails in meinem Adressbuch zeigen, die Thunderbird so aufgenommen hat, weil sie im Header nicht klein geschrieben wurden.

"In der Liste" vereinheitlicht ist genau so wies im Forum steht. Dann sollen sie die eingabe checken. Evlt ist es eben doch nur ne Hashtabelle, und selbst dann könnte man die Eingaben verifizieren und es so gestalten, dass es keinen unterschied macht, ob man sie groß oder klein eingibt.

Edit: ich hab nach leak, pastebin gesucht:

http://pastebin.com/HjQ8fBTA

Und siehe da, nicht alle Emailadressen klein.

 

[maccoX]

Wat? Wie soll das funktionieren? ich habs nicht gecheckt, ..

Ganz einfach, wenn du dich irgendwo anmeldest kannst du im Passwortfeld nicht nur Buchstaben, Zahlen und Sonderzeichen eintragen sondern auch z.B. irgendwo mittendrin Variablen für Zeit oder Datum.

Dein Passwort kann dann also z.B. so aussehen blabla14blabla wobei die 14 für 14 Uhr steht und wenn es eben 15 Uhr ist musst du blabla15blabla eintragen um dich ein zu loggen, sonst gehts nicht Einfach und effektiv.

 

[osh]

…oder bin ich als Laie da einfach nur ZU doof?

Nein, nicht zu doof, aber Du gehst davon aus, dass das BSI viele Informationen hat und Dir vorenthalten, die sie gar nicht haben.
Die haben selbst keinen Schimmer, wann und wie die Login-Informationen gesammelt wurden.

Ich Laie will bei einer derartigen "Warnung" schlichtweg bzw. vorrangig wissen, ob jemand unberechtigt Zugriff auf meinen Rechner hat und ob ich eine Chance habe, das mit Hilfe von der so warm empfohlenen Suche nach "Schadsoftware" herauszufinden und abzustellen!

Verständlich, dass Du das Alles wissen willst. Aber das weiss eben derzeit niemand. Ausser vielleicht die Personen, die die 15 Mio. accounts zusammengesammelt haben.

http://www.heise.de/security/news/fo...24684191/read/

Da hat der Verfasser aber auch nicht 1+1 zusammen gezählt. Es geht um Login-informationen. Die sind case-sensitiv.
Dass ich eine E-Mail an Otto@mail.com schreiben kann und die kommt an die gleiche Person, wie wenn ich an otto@mail.com schreibe, ist in der Thematik vom Identitätsklau völlig irrelevant.
Klar kann man jetzt schreien, das BSI müsste aber einen weiteren lowercase() to lowercase() Vergleich durchführen und wenn der passt, nochmals separat warnen, weil die Wahrscheinlichkeit hoch ist, dass es ein Treffer ist.
Aber bei 15 Mio. records und 12 Mio. requests innerhalb von 24 Stunden die Queries auf die Datenbank mal eben nochmal verdoppeln?

 

[tocotronaut]

es geht hier nicht darum, emails zu versenden, sondern eine einfache Abfrage zu machen.

Wenn der Kunde zu blöd ist seine emailadresse da korrekt einzutippen ist das doch kein Problem des BSI.
Niemand wird gezwungen das Angebot zu nutzen!

Wie ich früher schon schrub - in der ursprünglichen liste werden sicherlich auch Benutzernamen drin sein, die eben keine Emailadresse sind.
Da macht es ggf. schon sinn, das ganze direkt case-sensitiv aufzubauen.

 

[Olivetti]

Dein Passwort kann dann also z.B. so aussehen blabla14blabla wobei die 14 für 14 Uhr steht und wenn es eben 15 Uhr ist musst du blabla15blabla eintragen um dich ein zu loggen, sonst gehts nicht Einfach und effektiv.

Naja, und du glaubst der Cracker ist dafür also zu doof (auch eine passende Funktion in seine Cracksoftware einzubauen).
Das sind einfach 2 überflüssige Stellen mehr -> Security by fälltmirjetztkeinpassenderbegriffein.

 

[Olivetti]

es geht hier nicht darum, emails zu versenden, sondern eine einfache Abfrage zu machen.

Wenn der Kunde zu blöd ist seine emailadresse da korrekt einzutippen ist das doch kein Problem des BSI.
Niemand wird gezwungen das Angebot zu nutzen!

Wie ich früher schon schrub - in der ursprünglichen liste werden sicherlich auch Benutzernamen drin sein, die eben keine Emailadresse sind.
Da macht es ggf. schon sinn, das ganze direkt case-sensitiv aufzubauen.

Das ist doch völlig unnötig auch noch Groß-/Kleinschreibung zu beachten.
Alles lowercasen, dann hashen und ein kurzer Hinweis, in der Mail für Betroffene, eben alle Schreibweisen zu berücksichtigen, fände ich jetzt schon professioneller.
Deutsche googlemail.com und gmail.com-Adressen müssen auch vice versa geprüft werden.

Nein, nicht zu doof, aber Du gehst davon aus, dass das BSI viele Informationen hat und Dir vorenthalten, die sie gar nicht haben.
Die haben selbst keinen Schimmer, wann und wie die Login-Informationen gesammelt wurden.

Laut SZ hat das BSI nur eine Liste der Mail-Adressen, nicht der dazugehörigen Passwörter:

»Wie oft solche Passwörter auf der Liste stehen, die jetzt das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhalten hat, ist nicht bekannt. Auch nicht dem BSI selbst. "Uns liegen nur E-Mail-Adressen vor", sagte ein Sprecher der Behörde, "die zugehörigen Passwörter wurden uns nicht übermittelt."«
Quelle

---

Eine mögliche Erklärung zu den mehrfachen Antworten auf eine Mailadresse:

»Allerdings tauchen derart unspezifische Listen aus E-Mail-Adressen und Passwörtern täglich im Netz auf - beispielsweise auf der anonymen Text-Veröffentlichungs-Plattform Pastebin. Diese Listen umfassen zwar in der Regel nur einige Hundert bis mehrere Tausend Einträge. Beobachtet man jedoch solche Quellen dauerhaft, lässt sich in relativ kurzer Zeit eine Liste mit mehreren Millionen Einträgen zusammenstellen - die dann womöglich doppelte und nicht funktionierende Einträge enthält.«
Quelle

 

[maccoX]

Naja, und du glaubst der Cracker ist dafür also zu doof (auch eine passende Funktion in seine Cracksoftware einzubauen).
Das sind einfach 2 überflüssige Stellen mehr -> Security by fälltmirjetztkeinpassenderbegriffein.

Der Cracker weis aber nicht welche Zahlen von all denen im Passwort starr sind und welche (oder ob überhaupt irgendwelche) eine Variable sind und für was diese stehen (Stunde, Minute, Tag, Monat, Jahr, ...). Es erweitert somit die Kombinationsmöglichkeiten noch mal enorm. Stell dir mal vor du hast ein wichtiges (etwas längeres) Passwort für etwas und ein Hochleistungsrechner versucht das zu knacken und braucht dafür natürlich eine ganze Weile. In der Zeit verändert sich das Passwort dann allerdings und am Ende wird es vielleicht gar nicht geknackt da Ein Wert bereits als falsch versucht wurde der nachher aber irgendwann richtig ist und somit der Computer irgendwann am ende ankommt und keins als richtig erkennen konnte da er ein "Timingproblem" hatte.

 

[Olivetti]

Ja klar. Ich denke, du gehst von für Menschen einfach zu merkende Passwörter aus.
Mit Bruteforce sind es aber einfach nur 2 Stellen mehr.

 

[maccoX]

siehe letzte Zeilen von meinem editierten Beitrag -> Timingproblem

 

[Olivetti]

Ich habe da andere Erfahrungen wie übliche Cracksoftware funktioniert (Bruteforce oder PW-Listen).
Da wird ja nicht mehr als 1 Stunde ein Passwort errechnet und dann nach "eineinhalb" Stunden erst ausprobiert.

Wir sollten das evtl. nicht hier diskutieren.

 

[Kaito]

Der Cracker weis aber nicht welche Zahlen von all denen im Passwort starr sind und welche (oder ob überhaupt irgendwelche) eine Variable sind und für was diese stehen (Stunde, Minute, Tag, Monat, Jahr, ...). Es erweitert somit die Kombinationsmöglichkeiten noch mal enorm. Stell dir mal vor du hast ein wichtiges (etwas längeres) Passwort für etwas und ein Hochleistungsrechner versucht das zu knacken und braucht dafür natürlich eine ganze Weile. In der Zeit verändert sich das Passwort dann allerdings und am Ende wird es vielleicht gar nicht geknackt da Ein Wert bereits als falsch versucht wurde der nachher aber irgendwann richtig ist und somit der Computer irgendwann am ende ankommt und keins als richtig erkennen konnte da er ein "Timingproblem" hatte.

Wie willst du solch ein variables Passwort speichern? Normal werden ja Hashes gespeichert, das ist hier nicht möglich, außer man speichert zusätzliche Informationen, wie z.B. die Stelle, an der der variable Wert sitzt, sowie eine Referenz wie man diesen variablen Wert auf Richtigkeit prüfen kann. Dies macht die Sache dann aber wieder komplett nichtig.
Also ich versteh schon was du willst und ich ginge sogar mit dir konform, dass so etwas die Sicherheit für dich erhöhen kann, es ist nur nicht mit den Techniken vereinbar, mit denen heutzutage Passwörter gespeichert und auf Richtigkeit abgeglichen werden.

Wie du auch selbst schon geschrieben hast, erhöht das aber ohnehin nur die Kombinationsmöglichkeiten. Das ist aber ebenso durch die Verwendung eines ordentlichen Passworts auf deiner und der eines ordentlichen Hashs auf Seiten des Websitebetreibers möglich. Um die Kombinationsmöglichkeiten auch bei eigentlich zu kurzen Passwörtern hoch zu halten, gibt es extra das salzen.
All die Techniken existieren, das Problem sind diejenigen, welche sie nicht verwenden und z.B. bekanntermaßen ungeeignete Hashingverfahren nutzen. So jemand würde auch deine Methode nicht implementieren, zumal das eh umständlicher wäre als die "bekannten" Methoden.

Es gibt natürlich generell auch andere Wege als Passwörter, z.B. Security Tokens, wie sie in den Geräten von RSA vorkommen, oder Google und Blizzard in ihren Authentikatoren verwenden. Diese sind für sich alleine gestellt allerdings aufgrund ihrer ganz eigenen Probleme nicht sicher, in Verbindung jedoch mit einem Passwort eine wunderbare Angelegenheit. Es wäre z.B. egal, wenn jemand an dein Passwort durch solche eine Liste kommt, sofern er nicht auch noch gezielt auf deinen Auth los geht.

 

[maccoX]

Gut erklärt, danke! Jetzt weis ich warum es das noch nicht gibt.

 

[xentric]

Da hat der Verfasser aber auch nicht 1+1 zusammen gezählt. Es geht um Login-informationen. Die sind case-sensitiv.
Dass ich eine E-Mail an Otto@mail.com schreiben kann und die kommt an die gleiche Person, wie wenn ich an otto@mail.com schreibe, ist in der Thematik vom Identitätsklau völlig irrelevant.
Klar kann man jetzt schreien, das BSI müsste aber einen weiteren lowercase() to lowercase() Vergleich durchführen und wenn der passt, nochmals separat warnen, weil die Wahrscheinlichkeit hoch ist, dass es ein Treffer ist.
Aber bei 15 Mio. records und 12 Mio. requests innerhalb von 24 Stunden die Queries auf die Datenbank mal eben nochmal verdoppeln?

Und, was soll das Problem dabei sein?! Wo werden da querries verdoppelt bitteschön? Wenn man sich blöde anstellt wie du das vorhast, .. dann sicherlich. Muss man aber auch nicht.

 

[osh]

Und, was soll das Problem dabei sein?! Wo werden da querries verdoppelt bitteschön? Wenn man sich blöde anstellt wie du das vorhast, .. dann sicherlich.

Da kann man sich so blöd oder schlau anstellen, wie man will.
Wenn ich einen Vergleich machen will zwischen Wert1 und Wert2 dann muss ich beide Werte in eine Speicheradresse schreiben und dann miteinander vergleichen.
Ein Vergleich von Wert1_verändert und Wert2_verändert beinhaltet zunächst die Veränderung der Werte (hier: in Kleinbuchstaben umwandeln) und dann ein erneuter Vergleich.

Egal, ob Du das per SQL oder per code machst, ob Du mich als blöd bezeichnest oder nicht - Tatsache ist einfach: einen gegebenen String in Kleinbuchstaben umzuwandeln erfordert Rechenzeit. Zwei Strings miteinander zu vergleichen benötigt Rechenzeit. Und damit ist gegeben, dass der reine Vergleich zwischen Usereingabe-String und DB-String schneller ist, als zusätzlich zu diesem nochmal zu prüfen, ob die lowercase Variante der Beiden gleich ist, oder nicht.
Selbst wenn Du vorab die Hashes von Beiden Varianten erstellen würdest, was immer bleibt ist: der Server muss die Usereingabe in lowercase umwandeln und es muss ein weiterer String-Vergleich stattfinden.

Muss man aber auch nicht.

Als Blöder lerne ich immer wieder gern dazu. Klär mich auf, bitte.

 

[doger]

Ich habe da andere Erfahrungen wie übliche Cracksoftware funktioniert (Bruteforce oder PW-Listen).
Da wird ja nicht mehr als 1 Stunde ein Passwort errechnet und dann nach "eineinhalb" Stunden erst ausprobiert.

Wir sollten das evtl. nicht hier diskutieren.

Da sehe ich eigentlich kein Problem, grundlegendes kann man sich schon bei Wikipedia oder dem CCC erlesen.
Nimmt man dann ein paar Schlagwörter und füttert eine Suchmaschine damit wird man schnell fündig und kann sich weiter einlesen. Nicht zuletzt in White Papers namhafter Sicherheitsunternehmen, die haarklein erklären wir der Hack grundlegend funktioniert hat. Weiter geht's dann mit Dokumentationen über bestimmte Verschlüsselungen und deren Grundlagen, hilfreich hierbei ist wiederum Wikipedia so wie die Dokumentationen und Leerunterlagen von Cisco, Juniper und Microsoft zur Thematik. Wenn man das durch hat kommt man dann schön Langsam in die Bereiche zu verstehen wie so was funktioniert haben könnte.

Just my two cents about that …

//doger