"Jede Website wird ständig einer Sicherheitsprüfung unterzogen"

... aus einem Interview mit Jeremiah Grossman, Gründer von WhiteHat Security ...

Everyone with a website gets a "vulnerability assessment", probably several per day. Whether you pay for the results or not is another matter.

heise.de: Wii-Spielekonsole sorgt für Quoteneinbrüche im japanischen Fernsehen

Bei heise.de wurde über eine (zumindest für Fernsehsender) beunruhigende neue Konkurrenz berichtet: in Japan sind die Nutzer am frühen Abend wohl immer weniger vor dem Fernseher, sondern vor der Spiele-Konsole:

Die Sendeanstalten in Japan verzeichnen seit einiger Zeit sehr schwache Einschaltquoten zur Hauptsendezeit. Sie machen dafür Nintendos Wii-Konsole verantwortlich, die sich im Land der aufgehenden Sonne konstant hoher Verkaufszahlen erfreut. Die Sender vermuten, dass die Japaner in den frühen Abendstunden lieber mit der Wii spielen und das Fernsehprogramm ignorieren.

Seit der ersten Juliwoche konnte keine Sendung mehr als 9 Prozent Marktanteil verbuchen.

Für Fernsehsender eine bisher völlig ungewohnte Situation:

Ein Vorstandsvorsitzender des japanischen Senders TBS meinte, dass dies eine ganz neue Situation für die Sender sei. Sonst würden die Sendeanstalten immer nur untereinander konkurrieren, nun stehe ihnen mit der Wii ein völlig neuer Gegner beim Kampf um die Aufmerksamkeit der Zuschauer gegenüber.

Das deckt sich mit einigen anderen Auswertungen, wonach gerade jüngere Zuschauer immer weniger fernsehen und mehr im Internet surfen. Auch bei mir ist der Fernsehkonsum deutlich zurückgegangen, der Fernseher läuft oft auch nur im Hintergrund, während meine wesentliche Aufmerksamkeit dem Internet gilt.

Noch ist dies erst der Anfang, aber die Tendenz wird sich sicher fortsetzen. Die Fernsehsender sollten sich gut überlegen, wie sie mit dieser neu entstandenen Konkurrenz umgehen: einfach ignorieren kann es nicht sein, sonst werden wir in 10 oder 20 Jahren ein Fernsehsender-Sterben erleben, wie es ja auch schon ein Kinosterben gegeben hat.

Web 2.0 in zwei Sätzen erklärt

Question: please describe web 2.0 to me in 2 sentences or less.
Answer: you make all the content. they keep all the revenue.

Was kostet Sicherheit ? Und was kostet keine Sicherheit ?

Sicherheit ist teuer. Keine Sicherheit ist teurer!

Wer's nicht glaubt, in diesem Artikel werden die Kosten eines Sicherheits-Vorfalls beim amerikanischen Handelskonzern TJX genannt. Demnach sind im ersten Quartal dieses Jahres bereits 20 Millionen Dollar an Kosten entstanden, nur für die Untersuchung des Sicherheitsvorfalls, die Beseitigung der Sicherheitslücken und die Kommunikation an die Betroffenen. Hinzu kommen Schadensersatzforderungen und verlorenes Vertrauen.

In its quarterly filing with the Securities and Exchange Commission, TJX acknowledged that the computer intrusion still under investigation has cost it $20 million during the first quarter alone, and that costs were expected to continue to mount in future quarters.

TJX stated in the filing that the $20 million in costs tied to the data breach was spent on investigating the security lapse, strengthening computer security and communicating with customers about the compromise of sensitive financial data.

Erfolg ?

In der CW gefunden, eigentlich über Outsourcing, passt aber auf vieles

Fast immer ist das erste Vorhaben von überwältigendem Erfolg gekrönt – vom Lernerfolg.

Versenden von News aus heise.de - Wo ist der Button ?

Ab und zu versende ich interessante Artikel aus verschiedenen Newslettern, unter anderem auch aus heise.de. Seit meiner letzen Nutzung der Versandfunktion hat heise.de ein CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) eingebaut.

Leider ist es so ungünstig platziert, das ich fast eine Minute den "Absenden"-Button gesucht habe: versteckt zwischen mehreren Eingabefeldern und dominiert von der deutlich 'schwereren' CAPTCHA-Grafik ist der Button nur noch schwer zu erkennen.

Google mit Tastatur-Bedienung

Gerade im Firmen-Blog gefunden: ein experimentelles Feature von Google Labs bietet die Tastaturbedienung für die Google Suche. Man kann das Feature aktivieren, indem man den Parameter esrch=BetaShortcuts in die Suchanfrage einbindet.

Wer die Google Suche in Firefox nutzt, kann auch das Such-Plugin entsprechend erweitern. Dazu bearbeite man die Datei

C:\Programme\Mozilla Firefox\searchplugins\google.xml

und fügt an geeigneter Stelle die folgende Zeile ein

<Param name="esrch" value="BetaShortcuts"/>

OpenProxies, Content Spammer und Blacklists

Aus gegebenem Anlass anbei ein paar nützliche Links, um IP-Adressen auf 'böses' Verhalten zu untersuchen. Gerade für WebMaster und Betriebsmanager manchmal ganz nützlich, um 'ihre' IP's auf ein eventuelles Hacking zu untersuchen.

Für die Überprüfung, ob eine IP als OpenProxy konfiguriert ist, habe ich bisher noch nichts gefunden. Um zu prüfen, eine bestimmte IP-Adresse auf OpenProxy-Listen auftaucht, ist Google aber eine gute Möglichkeit: einfach die IP-Adresse angeben (in Anführungszeichen), die Trefferliste kann man schnell 'durchscannen'. IP-Adressen tauchen normalerweise sehr selten als Text im WWW auf ... ausser eben auf diesen Listen.

ProjectHoneypot.org sammelt Informationen über Server, die als Harvester, Spam-Server, Content Spammer oder Dictionary Attackers agieren.

Bei www.dnsstuff.com können über "Spam Database Lookup" IP-Adressen gegen 277 Blacklists gecheckt werden.

Google Analytics mit neuer Oberfläche

Google Analytics hat seine Berichts-Oberfläche komplett neu gestaltet.

Im Announcement von Google sind viele tolle Neuerungen aufgeführt. Berichte können per eMail versendet oder als PDF exportiert werden, benutzerdefinierte Dashboard sollen das Wiederauffinden von angepassten Berichten vereinfachen, eine kontextbezogene Hilfe steht zur Verfügung, usw.

Warum man dafür die Oberfläche komplett umbauen musste, die Informationsarchitektur geändert hat und das Look-and-Feel geändert wurde, kann ich daraus aber noch nicht ableiten.

Was mich zumindest etwas versöhnt, ist die Darstellung in der Landkarten-Sicht, bisher war nur eine "Ganze Welt"-Sicht möglich, jetzt kann man in einzelne Kontinente und bis auf Länder-Ebene "hineinzoomen".

Ich warte ja noch darauf, das Google diese Sicht mit den Landkarten aus Google Maps kombiniert.

CW: 8 von 10 grossen Website sind angreifbar

aus einer Meldung der Computerwoche:

IT-Security - Die meisten großen Internet-Seiten haben Schwachstellen

Bekannte und oft besuchte Websites sind besonders anfällig für Attacken - in der Regel betrifft es acht von zehn Angeboten. Zu diesem Ergebnis kommt eine gestern vorgelegte Untersuchung des Sicherheitsdienstleiters WhiteHat Security. Das Unternehmen prüft regelmäßig Hunderte von beliebten und stark besuchten Websites.

Die gefundenen Angriffsmöglichkeiten sind die üblichen Verdächtigen:
Cross-Site-Scripting: zwei Drittel aller Sites
Abruf von Programmcode: ein Drittel aller Sites
Content-Spoofing: ein Viertel aller Sites

Aus meiner Erfahrung heraus weiss ich wie aufwendig es sein kann, Lücken in der Software nachträglich zu finden und zu beseitigen. Die Ursachen liegen tief bei Entwicklung von Web-Anwendungen verborgen, viele Entwickler kennen sich mit dem Thema "Web Application Security" kaum aus, und kennen die Angriffsmethoden nicht. Die Implementierung einer sicheren Web-Anwendung muss ganz früh in der Konzeptionsphase der Software beginnen. Der Lösungs-Ansatz zur Vermeidung vieler dieser Lücken nutzt normalerweise zentrale Klassen, z.B. Filterklassen, die alle Ein- und Ausgaben prüfen.

Die Berücksichtigung in der SW-Entwicklung ist einfach ... wenn man es von Anfang an richtig macht. Falls so etwas nicht direkt von Anfang an vorgesehen ist, kann man z.B. eine Umstellung der Parameter-bearbeitung auf einen zentralen Filter nur mit sehr viel Aufwand nachziehen. Das nachträgliche "Hineinprüfen" von Security kann nicht funktionieren, und findet immer nur die nächstbeste Schwachstelle.

"Der Inhalt Ihres Rechners wurde als Beweismittel mittels den neuen Bundestrojaner sichergestellt"

seit einiger Tagen ist die neueste Trojaner-Mail unterwegs, gestern ist sie auch bei einem Kollegen aufgeschlagen:

Sehr geehrter Internetnutzer,

im Rahmen unserer ständigen automatisierten Überprüfung von sogenannten Tauschbörsen im Internet, wurde folgende IP-Adresse auf unserem System ermittelt.

IP: 127.0.0.1

Der Inhalt Ihres Rechners wurde als Beweismittel mittels den neuen Bundestrojaner sichergestellt.
Es wird umgehend Anzeige gegen Sie erstatten, da sich illegale Software, Filme und/oder Musikdateien auf Ihren System befinden. Durch die Nutzung sogenannter Tauschbörsen, stellen Sie diese auch anderen Nutzern zu Verfügung und verstoßen somit gegen §§ 249ff StGB.

Das vollständige Protokoll Ihrer Online-Durchsuchung finden Sie im Anhang dieser Email.

Die Strafanzeige und die Möglichkeit zur Stellungnahme wird Ihnen in den nächsten Tagen schriftlich zugestellt.

Herbert Klein, Kriminaldirektor, LKA Rheinland-Pfalz
Am Sportfeld 9c, 55124 Mainz
Tel.: 06131 - 970738
Fax: 06131 - 970731
Mobil: 0171 - 7504699
Mail: Hcklein51 [at] aol.com

Wenn der geschockte Empfänger den Anhang öffnet, angeblich ja das Protokoll der Online-Durchsuchung, handelt er sich einen Trojaner ein.

Mal abgesehen von den ganzen Unstimmigkeiten, das LKA würde wohl kaum eine heimliche Durchsuchung zugeben, die aktuell sogar noch illegal ist, ich halte es für unwahrscheinlich, das das LKA Rheinland-Pfalz eMail-Adressen bei AOL hat, und die Polizei wird den Bundestrojaner wohl kaum Bundestrojaner nennen (ich frage mich immer, wie lange die Verfasser über solche Mails nachdenken, wenigstens sind diesmal keine haarsträubenden Rechtschreibfehler dabei) ... es dürfte doch noch genug Leute geben, denen diese Details nicht auffallen und die eher in Panik den Anhang aufmachen.

Ich vermute mal, bei den Bundestrojaner-Verantwortlichen in Berlin hat sich KEINER darüber Gedanken gemacht, das genau solche Mails in Umlauf kommen und den Botnetzen zusätzliche Ressourcen liefern ... und damit indirekt auch dem Terrorismus Vorschub leisten: die meisten Experten sind sich einig, das die Terror-Anschläge des 21. Jahrhunderts nicht mit Briefbomben sondern mit IP-Paketen erfolgen. Jede Terrorismus-Gruppe kann für wenig Geld ein grosses Botnetz mit einigen zehntausend Rechnern anmieten, die "moralische Barriere" der Botnetz-Betreiber ist bekanntlich niedrig.
Erfolgreiche Angriffe von Hackern haben schon mehrfach schwere Störungen ausgelöst. Und ein gezielter Angriff gegen wichtige zentrale Knoten oder die Internet-Infrastruktur könnten das Internet tagelang zusammenbrechen lassen ... die Kosten für die Weltwirtschaft wären enorm.

Stasi 2.0

... kein Kommentar

ecin: "Virtuelle Plätzchen liegen schwer im Magen" ... wohl nicht schwer genug

Bei Auswertungen des Besucher-Verhaltens werden oft langlebige Cookies genutzt, die Nutzer über verschiedene Visits hinweg identifizieren sollen.

Ein Artikel bei ecin listet die Probleme auf, die sich dabei ergeben, wenn Nutzer ihre Cookies löschen. Demnach löschen 30% der Internet-Nutzer ihre Cookies Internet-Nutzer. Wie stark die Auswirkung dieser 30% sind, wurde in einer Studie von comScore untersucht.

Das häufige Zurücksetzen der Cookies kann dazu führen, dass Publikumsgrößen um einen Faktor von bis zu 2,5 zu groß angegeben werden. Werbung von Drittanbietern würde falsch bemessen und zu teuer verkauft, Nutzungsdaten lieferten überhöhte Ergebnisse.

Die Studie lässt das aber so klingen, als wäre das die Schuld der Nutzer, die als „Serienzurücksetzer“ diffamiert werden.

Ich bin da ein wenig paranoid, weil ich durchaus weiss, WAS man mit solchen Cookies alles auswerten kann. Viele Sites (amazon ist da ein bekanntes Beispiel) nutzen das User-Verhalten zur Bestimmung von kontext-sensitiver Werbung, abhängig von meinem Surf-Verhalten. Dahinter steckt natürlich ein solches langlebiges Cookie, das über viele Besuche hinweg hilft, ein Profil aufzubauen, auch wenn ich mich gar nicht anmelde.

Noch "schlimmer" wird das, wenn die Werbung gar nicht direkt vom der Site kommt, sondern über den grossen Werbe-Anbieter angezeigt wird (nachdem Google DoubleClick übernommen hat, gibt es ja nur noch einen). Denn dann kann dasselbe Cookie für alle Auftritte genutzt werden, die diesen Werbe-Anbieter nutzen. Dieser kann so sehr genau verfolgen, auf welchem Auftritt ich mir was angesehen habe, und Site-übergreifende Profile erstellen, die meine Buch-Interessen mit meinen Google-Suchen, gelesenenen Zeitungs-Artikeln, eingekauften Nahrungsmitteln und vielen weiteren Informationen korrelliert.

Und wie es um das Datenschutz-Selbstverständnis großer amerikanischer Firmen bestellt ist, haben wir ja schon an einigen Beispielen erfahren.

30% der Nutzer löschen ihre Cookies regelmässig ... heisst aber auch, 70% machen das nicht! Ich kann jedem nur raten, das zu tun. Um die bewusste oder unbewusste "Sammelwut" etwas einzuschränken, hilft mir der Firefox sehr: mein Browser ist so eingestellt, das er Cookies mit Schliessen des Browsers löscht. Einstellbar unter Tools --> Options --> Privacy --> Cookies: Keep until --> "I close Firefox"

SecondLife und FirstLife

Bei dem ganzen Hype um SecondLife muss man sich nicht wundern, das auch die ein oder andere satirische Site sich des Thema's annimmt. Bei www.getafirstlife.com werden die Vorzüge des "First Life" gepriesen ... direkt angelehnt an die Startseite von SecondLife.

ecin: aktive Beteiligung an Web2.0 ist selten

ecin hat eine Studie von Hitwise zusammengefasst, in der die Beteiligung von Nutzern an Web2.0-Sites ausgewertet wurde. Demnach stellen lediglich ein Bruchteil der Nutzer einer typischen Web2.0-Site "user generated Content" zur Verfügung.

Bei YouTube etwa erfolgen nur 0,16 Prozent der Zugriffe durch Personen, die selbst Filme hochladen. Ganz ähnlich bei der Foto-Community Flickr, wo ebenfalls nur zwei Promille der Besucher selbst Bilder einstellen.

Das es auch anders geht, zeigt Wikipedia. Dort werden bei 4,6 Prozent aller Visits Artikel bearbeitet.

Bei mir selber kann ich da ein ähnliches Verhalten feststellen, auf Wikipedia ändere ich eigentlich recht viel ... und wenn es nur Schreibfehler sind. Andere Web2.0-Sites sind dagegen weniger im meinem Änderungs-Fokus. Das liegt auch daran, wie einfach Änderungen an der Wikipedia sind. Insbesondere das eine Anmeldung zur Änderung nicht notwendig ist. Wenn ich mich bei jedem kleinen Schreibfehler anmelden müsste, würde ich mir das wohl auch schenken.