Article note: Ja, nee - die 'Wünsche' von "Reklameplattformanbietern" gehen natürlich vor ... #tzzt
Nach Beschwerden von Reklameplattformanbietern wie Facebook sowie Werbefirmen will Apple App-Schnüffeleien nun erst ab 2021 unterbinden.
CCC meldet Schwachstellen bei weiterer digitaler „Corona-Liste“
Article note: #thx @CCC!
In der vergangenen Woche haben Mitglieder des CCC Schwachstellen in einer Online-Plattform für Reservierungen und Kontakt-Erfassung in der Gastronomie gemeldet und veröffentlicht. [1] Durch vollmundige Versprechungen auf Twitter erregte ein Konkurrenzangebot ihr Interesse. Dort gefundene Schwachstellen hat der CCC gemeldet, sie wurden durch das Unternehmen zügig behoben.
Verschlüsselte Daten
Die betroffene Plattform verschlüsselt die erfassten Daten jeweils so, dass nur die Gastgeberin diese entschlüsseln kann. Diese Maßnahme verhinderte erfolgreich das retrograde Auslesen der erfassten Daten: Trotz der vorhandenen Schwachstellen blieben so über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt.
Allerdings war es möglich, die zur Verschlüsselung verwendeten Schlüssel unbemerkt auszutauschen.
Die Folge eines solchen Angriffs:
- Alle zukünftig erfassten Daten wären durch Angreiferinnen zugreifbar gewesen.
- Die betroffenen Gastronominnen hätten keinen Zugriff mehr auf die Daten gehabt.
Im Ernstfall wäre also eine Kontaktverfolgung nicht mehr möglich gewesen.
Zügige Reaktion
Ein 18-seitiger Bericht über die Schwachstellen wurde dem betroffenen Unternehmen am 2. September um 17:09 Uhr übermittelt. Bereits am nächsten Tag um 12:20 Uhr wurde die Behebung der gemeldeten Schwachstellen schriftlich bestätigt. Wir danken für die Nachtschicht!
Die Schwachstellen waren im Einzelnen:
1. Fehlende Autorisierungsprüfung
Gastgeberinnen konnten die Stammdaten und die öffentlichen Schlüssel anderer Gastgeberinnen überschreiben und dadurch Vollzugriff auf deren Konten erlangen.
Diese Schwachstelle wurde laut Betreiber behoben.
2. Nicht-authentisierter Schlüsselaustausch
Öffentliche Schlüssel der Gastgeberinnen konnten von Besucherinnen nicht auf Echtheit geprüft werden. Ersetzte eine Angreiferin den öffentlichen Schlüssel einer Gastgeberin durch ihren eigenen, so konnte nur noch die Angreiferin – und nicht mehr die Gastgeberin – die damit verschlüsselten Kontaktdaten entschlüsseln.
Diese Schwachstelle verliert durch die Behebung von Schwachstelle #1 ihre akute Kritikalität und wird laut Betreiber zeitnah adressiert.
3. Administrativer Vollzugriff auf Content-Management-System
Unter Ausnutzung veröffentlichter Zugangsdaten des Content-Management-Systems und einer Änderung der Rollenzugehörigkeit gelang administrativer Vollzugriff auf bestimmte Inhalte der Online-Präsenz, die jedoch nicht im Zusammenhang mit der Kontaktverfolgung standen.
Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.
4. Code-Ausführung im Content-Management-System
Durch Hochladen ausführbarer PHP-Skripte konnten Nutzerinnen des Content-Management-Systems beliebigen Code ausführen.
Diese Schwachstelle wurde laut Betreiber behoben, indem das Content-Management-System durch statische Seiten ersetzt wurde.
Bewertung: Verschlüsselung schützt
Nicht selten wird Verschlüsselung von Strafverfolgungsbehörden und Geheimdiensten verteufelt. Am vorliegenden Beispiel zeigt sich einerseits ihre Wichtigkeit für Datenschutz, Privatsphäre und IT-Sicherheit: Dank Verschlüsselung blieben über 400.000 Datensätze von über 1.000 Einrichtungen vor fremdem Zugriff geschützt. Weitere 300.000 Datensätze blieben geschützt, weil die Betreiber der Löschpflicht nachkommen.
Andererseits zeigen sich auch übliche Tücken bei der Implementierung: Wenn Schlüssel nicht unabhängig verifiziert werden, können sie unbemerkt ausgetauscht werden. Wenn Daten mit dem falschen Schlüssel verschlüsselt sind, sind sie verloren.
„Wer verschlüsselt, kann auch mal große Klappe haben“, sagte Martin vom CERT mit Bezug auf ein vollmundiges Versprechen der Betreiber von darfichrein.de.
Das CERT (Chaos Emergency Response Team) ist der Brandschutz- und Sanitätsdienst des CCC.
Links:
“Mohrenrondell” erhält alten Namen zurück
Article note: #clickbait! .oO(Warum steht nicht "Erstes Rondell" im Titel? #tzzz)
Die Stiftung Preußische Schlösser und Gärten will mit zwei Projekten die Geschichte der Schlösser in der Zeit des Nationalsozialismus und das Erbe des Kolonialismus näher beleuchten. Das Forschungsprojekt zur NS-Zeit soll noch in diesem Jahr beginnen, wie Stiftungssprecher Frank Kallensee den PNN sagte. Beim Thema Kolonialismus sind die Vorarbeiten bereits im Gange. Derzeit werde eine Liste des betroffenen Bestandes erstellt. Noch in diesem Jahr soll außerdem eine Arbeitsgruppe eingesetzt werden, die sich mit dem Thema kontinuierlich beschäftigen wird, erklärte Kallensee.
Der Name wird erst nach dem Zweiten Weltkrieg verwendet
Das erste Projekt widmet sich dem vermeintlichen “Mohrenrondell”: Das soll umbenannt werden und seinen alten Namen zurückerhalten, wie die “Märkische Allgemeine” zuerst berichtete. Tatsächlich gab es bei der Auseinandersetzung mit dem Skulpturenrondell bereits eine Überraschung für die Stiftungsmitarbeiter, wie Kallensee den PNN sagte: Man sei immer davon ausgegangen, dass es sich bei “Mohrenrondell” um einen historischen Namen handele. Ein Blick in die Unterlagen und ältere Parkkarten habe aber gezeigt, dass der Name dort erst nach dem Zweiten Weltkrieg auftaucht. “Das ist ein sehr junger Name”, sagt Kallensee. In früheren Parkplänen heißt das Skulpturenensemble schlicht “Erstes Rondell” — wohl, weil es das erste Rondell auf der Hauptallee von Sanssouci ist. Dieser ursprüngliche Name soll nun wieder genutzt werden.
Außerdem sollen Spaziergänger mit Beginn der kommenden Saison vor Ort mehr über die Geschichte des Namens und den kolonialistischen Hintergrund erfahren können. In welcher Form dieses “Angebot der Kommentierung und Erklärung” passieren wird — etwa als Schild vor Ort oder mit einem Online-Angebot — sei noch offen, sagte Kallensee. Die Initiative für das Kolonialismus-Projekt sei vor dem Hintergrund der derzeit weltweit geführten Debatte um Rassismus entstanden.
Studierendengruppe und Stadtverordneter hatten Debatte vorangetrieben
Der Name des Rondells hatte indes bereits vor einigen Jahren in Potsdam für Diskussionen gesorgt. Im Zuge der Rassismus-Debatte um die “Zwarten Pieten” beim Sinterklaasfest im Holländischen Viertel und mit Verweis auf das Potsdamer Toleranzedikt hatte der Stadtverordnete Andreas Menzel (BVB/Freie Wähler), damals noch bei den Grünen, den Namen des Rondells in der Fragestunde der Stadtverordnetenversammlung zur Sprache gebracht. Mit Spuren der kolonialistischen Vergangenheit Preußens im heutigen Potsdams beschäftigt sich seit längerem auch die studentische Arbeitsgruppe Colonial Potsdam, die erst vor kurzem auch einen kostenlosen Audio-Stadtführer zu verschiedenen Orten — darunter auch das fragliche Rondell — vorgestellt hat.
Am Mittwoch zeigte sich Menzel geradezu euphorisch ob der Ankündigung der Stiftung, den Rondell-Namen zurückzuändern. Er begrüße sehr, dass sich die Schlösserstiftung unter ihrem Generaldirektor Christoph Martin Vogtherr “den rassistischen Aspekten der Geschichte der Preußischen Königshäuser stellen” wolle, teilte Menzel mit: “Mein Herz hüpft ein wenig!”
Vogtherr stellte am Mittwoch in Potsdam ein weiteres Projekt zur Auseinandersetzung mit bislang wenig bekannten Aspekten der Geschichte der preußischen Schlösser vor: Unter dem Motto “Schauplätze der Geschichte” erinnert die Stiftung künftig mit durchsichtigen Plastikstühlen an bemerkenswerte Ereignisse. Dabei können über einen QR-Code im Internet zusätzliche Informationen abgerufen werden. Einer der Stühle steht im Grottensaal des Neuen Palais. Er erinnert daran, dass sich dort Prinz Chun, der Bruder des chinesischen Kaisers am 4. September 1901 gezwungen sah, vor Kaiser Wilhelm II. zu verneigen — mit dieser Sühnegeste sollte der Tod des deutschen Gesandten Freiherr Clemens von Ketteler im Zuge der Unruhen um den Boxeraufstand vergolten werden.
Sturm auf den Reichstag – Sturm im Wasserglas
Article note: #strike!! + #thx
Eine doppelte Widerrede
Spieglein, Spieglein, in der Frisbee …
Article note: #thx! + #goon!
– von Maren Oberländer Unsere Körperwahrnehmung beeinflusst unseren Selbstwert und in der Folge unser Verhalten. Gesellschaftliche Schönheitsideale begegnen uns tagtäglich auf der Straße, in den (sozialen) Medien und auch im Frisbeesport. Wie entstehen Stereotype? Ganz automatisch werden Schönheitsideale verinnerlicht, ob wir wollen oder nicht. Wir lernen also beispielsweise, welche Körperformen als schön gelten und welche …
Der Beitrag Spieglein, Spieglein, in der Frisbee … erschien zuerst auf .