Kategorie: Allgemein

Ist Tor eigentlich noch sicher? Zwischenzeitlich nicht.

Anfang Oktober hat hiro über die Tor Relay Operators Mailingliste darauf hingewiesen, dass es offenbar einen erfolgreichen Angriff auf Tor Exits gab. Die Config von 333 Relays wurde verändert, Non-Exits wurden zu Exits. Die Exit-Policy wurde so gestrickt, dass die Angreifer unverschlüsselten Mail-Verkehr mitlesen und SSH-Verbindungen umgeleiten konnten.

Es ist noch unklar, wie die Angreifer so viele Systeme infizieren konnten!

Kaba hat das ganze entdeckt, gemeldet (danke!) und nun auch detailliert aufgeschrieben. Arstechnica berichtet.

Ist Tor eigentlich noch sicher? Kommt darauf an.

Eigentlich schon immer, aber spätestens wieder seit Panorama und STRG_F berichteten, dass Strafverfolgungsbehörden zunehmend das Tor-Netz infiltrieren und in einigen Fällen Nutzer*innen von Onion-Services deanonymisiert haben, stellt sich die Frage: Ist Tor noch sicher?

Die klare Antwort lautet: Kommt darauf an. Denn ob Tor sicher ist, hängt davon ab, wovor man sich schützen möchte und wofür man Tor nutzt. Wie sieht das persönliche Angreifermodell aus? Für Betreiber*innen von Onion Services sieht die Bewertung sicherlich anders aus als für Nutzer*innen, die nur auf Zensurumgehung aus sind.

Nun bestätigt ein Paper, was die Praxis schon seit einigen Jahren zeigt. Bei Onion Services ist eine gewisse Vorsicht angebracht und NetFlow-Daten sind gefährlich: On the Effectiveness of NetFlow-Based Deanonymization of Tor Onion Services (Preprint, to appear at IEEE S&P 2027).

numa zum Zweiten

Numa hat schon wieder Ausweisdaten verloren. Bereits im Juli 2026 informierten sie:

Wir möchten dich über einen kürzlich aufgetretenen Sicherheitsvorfall im Zusammenhang mit deiner Buchung informieren, bei dem möglicherweise einige deiner personenbezogenen Daten sowie gegebenenfalls auch Daten von Mitreisenden betroffen waren. Leider hat es in der Hotellerie zuletzt vermehrt Phishing bezogene Angriffe gegeben, und in diesem Fall haben unbefugte Dritte Zugriff auf ein mit unserer Buchungsplattform verbundenes System erlangt. Wir haben den Vorfall erkannt und sofort Maßnahmen eingeleitet, um unsere Systeme zu sichern und den Sachverhalt weiter zu untersuchen.

Die Buchungsplattform war oder ist also nicht ordentlich geschützt und, noch schlimmer, trotz des Vorfalls im letzten Jahr verarbeitet und speichert numa noch immer Ausweisdaten.

Natürlich bedauert numa den Vorfall sehr.

War nicht schwer: Symfony Profiler bei Advocado

Vor ein paar Wochen veröffentlichte der CCC einen Hinweis auf ein inzwischen geschlossenes Datenleck bei der Legal-Tech-Plattform Advocado. Der Spiegel (Paywall) und Golem.de berichteten darüber.

Advocado erklärte gegenüber dem Spiegel, mehrere Sicherheitsmechanismen seien umgangen worden, dafür sei ein „hohes Maß an Fachwissen“ und erheblicher Zeitaufwand nötig gewesen.

Die Wahrheit ist: Hier wurde kein komplizierter Hack ausgeführt. Die Sicherheitslücke beruhte auf einer einfachen Fehlkonfiguration: Ein Symfony-Profiler war öffentlich zugänglich und zeigte diverse Zugangsdaten im Klartext.

„War nicht schwer: Symfony Profiler bei Advocado“ weiterlesen

Behördendomains

Um Transparenz zu fördern, veröffentlichen FragDenStaat und Tim Philipp Schäfers mehr als 2.000 Behörden-Domains. Rene und ich ergänzen diese Liste um weitere 50.000 Domains und Subdomains, einschließlich über 100 zur Zeit nicht registrierter Domains. 20 Domains, beispielsweise bundescriminalamt.de, wurden heute registriert. Die Domains stammen aus diversen Quellen und waren oder sind dem Bund zuzuordnen.

53.654 Bundes-Domains und Bundes-Subdomains

adele-esf.de
altersvorsorgemachtschule.de
arb-5.de
arbeitenbis67.de
ba-reform.de
bildungspaket-bmas.de
bitvlotse.de
briefing4pilot.de
bundescriminalamt.de
bundestag-magazin.de
bundestag-online.de
bundestag-und-schule.de
xn--einsatzfrarbeit-6vb.de
inqa-bestellservice.de
jugendinarbeit.de
ombudsrad.de
vereintaktiv.de
w3-indikatoren.de
wiewerdenwirarbeiten.de
zehnte-ddr-volkskammer.de

60jahresozialstaat.de
xn--allianz-fr-arbeitskrfte-f8b20d.de
xn--allianz-fr-fachkrfte-rzb33c.de
allianz-fuer-arbeitskraefte.de
allianz-fuer-fachkraefte.de
altersvorsorgemachtschule.com
altersvorsorgemachtschule.net
altersvorsorgemachtschule.org
arbeit-4-null.de
arbeit-4-punkt-null.de
arbeiten-4-0.de
arbeiten4null.de
arbeiten4punktnull.de
arbeitenvierpunktnull.de
arbeit-psyche.de
arbeitvierpunktnull.de
ausbildungsportal.org
beschaeftigtebeteiligen.de
beschaeftigung-aelterer.de
xn--beschftigtebeteiligen-91b.de
xn--beschftigung-gestalten-44b.de
bmas-alleinerziehende.de
briefing4aviation.com
briefing4aviation.de
briefing4pilot.com
bspc2007.de
chancen-mit-erfahrung.de
csringermany.de
csrmadeingermany.de
das-bildungspaket.de
das-jobcenter.de
das-rentenreformpaket.de
deutschland-wird-inklusiv.de
einsatzfuerarbeit.de
eparlament.de
e-parliament.de
esf-foerderung.de
esf-programm.de
fachkraefte-allianz.de
xn--fachkrfte-allianz-vqb.de
xn--fachkrftewoche-bib.de
fondsheimkinder.de
fons-civitatis.de
xn--freinlebenswertesland-8hc.de
fuereinlebenswertesland.de
generationenarbeit.de
glasklar-bundestag.de
gp-habitat.de
gph-habitat.de
gute-arbeit-alleinerziehende.de
heimkinder-fonds.de
xn--initiative-fr-fachkraefte-qwc.de
xn--initiative-fr-fachkrfte-f8b50d.de
inqa-check.de
inqa-ddn.de
inqa-demografie.de
inqa-demographie.de
inqa-demographie-netzwerk.de
inqa-epoxibewertung.de
inqa-kmu.de
inqa-mittelstand.de
inqa-produktion.de
inqa-stress.de
job3punkt0.de
jobcenterservice.de
jobcentersuche.de
job-drei-null.de
jobdreipunktnull.de
jobsohnebarrieren.de
lebenslagen-in-deutschland.de
meinmicrocredit.com
meinmicrokredit.org
meinmikrocredit.com
meinmikrocredit.de
met4aviation.com
met4aviation.de
met4pilot.com
met4pilot.de
mindestlohn-gilt.de
mindestlohn-kommt.de
mindestlohn-wirkt.de
mitmischen.tv
mitneuemmut.de
monitoring-esf.de
netzwerk-alleinerziehende.de
neuekulturderarbeit.de
neues-jobcenter.de
ohnedichkeinwir.de
ombudsrat.net
ombudsrat.org
ostseeparlamentarierkonferenz2007.de
parlaments-profi.de
projekt-e-demokratie.de
projekt-persoenliches-budget.de
rentenreformpaket.de
selberhandeln.de
sgb2.com
sgb2-kennzahlen.de
sgb2.net
sgb2.org
sgb2-reform.de
sgbii.com
sgbii-kennzahlen.de
sgbii.net
sgbii.org
sgbzwei.com
sgbzwei.de
sgbzwei.net
sgbzwei.org
sozialpolitische-informationen.de
sozialwahl2011.de
the-unseen.org
uniohneabi.de
un-koordinierungsstelle.de
xn--vereint-fr-gemeinsame-bildung-tbd.de
xn--vereint-fr-gleiche-bildung-6zc.de
vereint-fuer-gemeinsame-bildung.de
vereint-fuer-gleiche-bildung.de
w3-wohlstandsindikatoren.de
was-ist-gute-arbeit.de
wdrei-indikatoren.de
wdrei-wohlstandsindikatoren.de
whochdrei-indikatoren.de
whochdrei-wohlstandsindikatoren.de
wiewollenwirarbeiten.de
yesweareopen.de

Die GdP fordert

Wie erwartet meldet sich die Gewerkschaft der Polizei (GdP) nach dem schlimmen Messerangriff in Hamburg, um einmal mehr einen massiven Grundrechtseingriff zu fordern.

Bereits in der Vergangenheit forderte die GdP u.a. Vorratsdatenspeicherung, Videoüberwachung, noch mehr Videoüberwachung, Bodycams, verdachtsunabhängige Kontrollen und Gesichtserkennung. Zu viele dieser Forderungen wurden erfüllt.

Doch offenbar ließen sich soziale Probleme bisher nicht mit dem Einsatz von immer mehr Überwachung lösen. Dennoch nutzt die Gewerkschaft auch den jüngsten Angriff, um noch mehr Überwachung zu fordern ‒ in der bizarren Hoffnung, dass die sozialen Probleme mit dem Einsatz von nur noch etwas mehr Technik gelöst werden.

Die aktuelle Forderung nach dem Einsatz von Verhaltenserkennung suggeriert, dass eine KI Straftaten verhindern könnte, noch bevor sie passieren. Sie erweckt den Eindruck technologischer Objektivität, obwohl in Wahrheit fehlerhafte, intransparente und diskriminierende Systeme eingesetzt werden. Diese Systeme schaffen kein Mehr an Sicherheit, sondern nur eine Kontrolle aller. Die GdP verkauft wieder ein trügerisches Sicherheitsgefühl, liefert aber nur Totalüberwachung.

Den Überwachungsforderungen der GdP sollte nicht unkommentiert Raum gegeben werden.

Die AFD Hamburg betreibt niemals nie nicht briefwahl-hamburg.de

Jemand betrieb bis gestern unter briefwahl-hamburg.de eine Weiterleitung auf die Webseite der Hamburger AFD. Das ist unschön, denn Briefwahlanträge können in Hamburg unter briefwahl.hamburg.de gestellt werden. Dies ist nun nach vier Jahren aufgefallen. Die AFD gibt sich natürlich unschuldig und hat angeblich keine Ahnung, wer dahintersteckt. Spoiler: Es könnte sich lohnen, Herrn Moritz L., ehemaliges Bezirksvorstandsmitglied der AfD Hamburg-Nord und Gründungsmitglied des Hamburger AfD-Landesverbands, zu fragen.

Tragen wir mal zusammen:

1. Die Domain briefwahl-hamburg.de zeigte in der Vergangenheit auf die IP-Adressen 88.99.56.57 und 88.99.139.237. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-08-26 – 2023-09-07
88.99.139.237 Hetzner Online GmbH 2021-09-02 – 2023-08-26
5.9.113.177 Hetzner Online GmbH 2021-03-11 – 2021-09-02

2. Die reverse DNS-Einträge für diese IP-Adressen lauten heute s1. bzw. s2.alternative-hamburg.net und früher hamburg-intern.net [Quelle].

3. Die Domain hamburg-intern.net zeigte in der Vergangenheit ebenfalls auf die IP-Adressen 88.99.56.57 und 88.99.139.237. Und das auch noch zu ähnlichen Zeiträumen wie briefwahl-hamburg.de. [Quelle]

88.99.56.57 Hetzner Online GmbH 2023-07-06 – 2023-09-04
88.99.139.237 Hetzner Online GmbH 2022-12-12 – 2023-07-06

4. Der Whois-Eintrag für briefwahl-hamburg.de wurde zuletzt am 02.09.2021 geändert.

$ whois briefwahl-hamburg.de

Domain: briefwahl-hamburg.de
Nserver: ed.ns.cloudflare.com
Nserver: may.ns.cloudflare.com
Status: connect
Changed: 2021-09-02T13:55:18+02:00

5. Als technischer Kontakt für hamburg-intern.net fungierte ‒ Überraschung ‒ Herr Moritz L.

Das alles ist natürlich kein Beweis, aber ein möglicher Hinweis.

Der Hansaplatz-Versuch war kein Erfolg

Die Hamburger Polizei experimentiert am Hansaplatz mit KI, genauer mit Verhaltenserkennung. KI soll unerwünschtes Verhalten erkennen und die Polizei benachrichtigen. Die Polizei darf ihren Versuch selbst evaluieren, also wurden selbstverständlich alle Ziele erreicht. Zum Glück heißt es im Koalitionsvertrag von SPD und Grüne im Abschnitt Digitalisierung und gesellschaftliche Verantwortung:

Wir werden beim Einsatz von KI-Anwendungen in Hamburger Behörden sicherstellen, dass grundsätzlich Transparenz, Nachvollziehbarkeit und Überprüfbarkeit gegeben sind. Wo es fachlich vertretbar ist, sollen von bzw. für die Hamburger Verwaltung entwickelte Algorithmen öffentlich verfügbar gemacht werden. KI-Trainingsdaten sollen in der Kontrolle der Behörden verbleiben, soweit diese nicht im Rahmen eines Datenaustausches in größere Datenpools eingebracht werden. Zudem wollen wir einen behördenübergreifenden Standard zur Überprüfung der Diskriminierungsfreiheit bei KI und Algorithmen einführen, damit die Souveränität über die Verfahren bewahrt wird.

Wir können also Transparenz erwarten, vielleicht sogar einen Blick in die Trainingsdaten werfen und damit nachvollziehen und überprüfen, ob der Versuch tatsächlich so erfolgreich war wie behauptet.

Leider wurde meine Transparenzanfrage zu dem Projekt über ein Jahr lang nicht beantwortet. Und auch dann wurde nur ein kleiner Teil der angefragten Dokumente zur Verfügung gestellt. In diese Dokumente, Evaluations- und Projektabschlussbericht, schauen wir nun einmal rein.

„Der Hansaplatz-Versuch war kein Erfolg“ weiterlesen

Law enforcement undermines Tor

Few weeks ago, the German political magazine Panorama and STRG_F reported that law enforcement agencies infiltrated the Tor network in order to expose criminals. The reporters had access to documents showing four successful deanonymizations. I was given the chance to review some documents. In this post, I am highlighting publicly documented key findings.

Findings

  • 2024-09-12: Telefónica implements IP Catching
    • Frankfurt District Court orders Telefónica (O2) to surveil its customers for up to three months
    • Telefónica reports all customers connecting to a specific Tor entry relay named by the German Federal Criminal Police Office (Bundeskriminalamt, BKA). This is called IP catching
    • After a few days, the measure is completed successfully
    • Data of unsuspects was allegedly deleted immediately and not transmitted to law enforcement authorities. It remains unclear how this can happen without already knowing the suspect
    • There is no legal basis for IP catching. Telefónica still claims to be obliged to implement the measure
  • 2024-09-16: First statement of the Tor Project
    • Pinpointing Tor entry relays of onion services to successfully deanonymize Tor users
    • Timing analyses in combination with broad and long-term monitoring of Tor relay
    • V2 and V3 onion addresses were affected, at least between 2019/Q3 and 2021/Q2
    • nusenu references KAX17
  • 2024-09-18: Journalists detail one case
    • Operation Liberty Lane is referenced
    • Four successful measures [=deanonymizations] in one investigation
      • 2x identification of Ricochet users
      • 2x further measures
    • Deanonymization is based on timing analysis
    • It’s not a classic software vulnerability that is exploited
    • Tor Project agrees that nothing indicates that a vulnerability in the Tor browser is exploited. Problem: The attack works even though the Tor software is working properly
    • Sources speak of widespread monitoring of Tor relays
    • Number of surveilled Tor relays in Germany has risen sharply in recent years
  • 2024-09-18: The second statement of the Tor Project gives the impression that only Ricochet is affected
  • 2024-09-25: Interview with Daniel Moßbrucker
    • More and more Tor relays in Germany are under surveillance for longer and longer periods, in such a way that apparently data has been used for timing analysis
    • Deanonymization takes some time. Tor users are not deanonymized by the authorities in the blink of an eye
    • Not only Ricochet is affected, but twice also normal v3 Onion Services
    • Timing analyses was always possible when, to put it simply, there was „little traffic“ on an onion service and only a few packets were transmitted, which could then be assigned to a specific user. On whistleblowing platforms, there is usually little traffic until a source decides to submit data
    • The journalists first reached out to Ricochet in July 2023, mentioning cases of deanonymization of Tor users by revealing their entry relays. Ricochet immediately informed the Tor Project

Media reports