- Bei Laptops und Mobiltelefonen reichen schon wenige Minuten physischen Zugriffs, um Keylogger zu installieren, Speichermedien zu kopieren oder Firmware bzw. Software zu manipulieren. Daher ist eine zusätzliche Schutzebene nötig, mit der sich Spuren im Nachhinein erkennen lassen.
- Versiegelungen mit Glitzer-Nagellack funktionieren, indem das einzigartige zufällige Muster auf Schrauben fotografisch festgehalten wird, um später festzustellen, ob das Gehäuse geöffnet wurde. Direktes Auftragen auf die Schraube ist sicherer als auf einen Aufkleber.
- Für empfindliche Elektronik kann man mit einer transparenten Box und farblich gemischten Materialien eine Mosaik-Aufbewahrung anlegen und den früheren mit dem aktuellen Zustand per Blink Comparison vergleichen.
- Auditor auf GrapheneOS sowie Heads in Tails- oder Qubes-OS-Umgebungen ergänzen die Erkennung von Firmware- und Software-Manipulationen. Ein als manipuliert erkanntes Gerät sollte jedoch sofort nicht mehr als vertrauenswürdig gelten.
- Werden zusätzlich Android-Apps wie Haven und Videoüberwachung eingesetzt, steigt die Zahl der Hürden, die ein Angreifer umgehen muss. Praktisch ist es am sichersten, alle Ebenen von Anfang an konsequent anzuwenden.
Warum physischer Zugriff gefährlich ist
- Wenn Polizei oder Angreifer physischen Zugriff auf ein elektronisches Gerät haben, kann dieses schon in kurzer Zeit auf Hardware-, Firmware- oder Software-Ebene kompromittiert werden.
- Ein „Evil Maid“-Angriff funktioniert so, dass ein Angreifer kurzzeitig Zugriff auf einen verschlüsselten Laptop oder ein Mobiltelefon erhält, das Gerät manipuliert und es anschließend wieder zurücklegt, auch wenn die Daten selbst nicht entschlüsselt werden können.
- Kehrt der Nutzer zurück und gibt seine Zugangsdaten ein, kann der Angriff erfolgreich werden.
- Mögliche Manipulationen sind unter anderem Änderungen an Festplattendaten, der Austausch von Firmware und der Einbau eines Hardware-Keyloggers.
- Defense in Depth bedeutet, dass ein Angreifer mehrere Sicherheitsebenen gleichzeitig umgehen muss, um erfolgreich zu sein.
Schrauben mit Glitzer-Nagellack versiegeln
- Eine wirksame Versiegelung muss beim Entfernen oder Ersetzen Spuren hinterlassen und ein einzigartiges Muster aufweisen, das sich nur schwer kopieren lässt.
- Glitzer-Nagellack kann zufällige Muster erzeugen, die schwer zu reproduzieren sind. Werden Fotos davon gemacht, lässt sich später prüfen, ob die Versiegelung entfernt und neu aufgetragen wurde.
- Diese Technik wurde 2013 in Thwarting Evil Maid Attacks vorgestellt.
- Verfahren wie bei Mullvad VPN, bei denen ein Aufkleber auf die Schraube geklebt und darüber Nagellack aufgetragen wird, wurden in unabhängigen Tests als nur teilweise geeignet bewertet.
- Selbst Angreifer mit wenig Übung konnten den Aufkleber mit Nadel oder Skalpell am Rand anheben und so an die Schraube gelangen.
- Beschädigte Siegelstellen ließen sich mit transparentem Nagellack reparieren; in den meisten Tests war selbst das nicht nötig.
- Entscheidend ist auch die Anzahl der Elemente am Rand des Aufklebers; spezielle Siegelaufkleber, die beim Ablösen zerbrechen, könnten besser geeignet sein.
- Besser ist es, den Glitzer-Nagellack direkt auf die Schraube aufzutragen statt auf einen Aufkleber.
- Bei Laptops von NitroKey und Purism wird diese direkte Methode verwendet.
- Sind die Schraubenlöcher zu tief, lassen sich unter normalen Bedingungen nur schwer brauchbare Fotos der Versiegelung machen.
- Sind die Löcher zu flach oder wird zu viel Nagellack eingefüllt, besteht das Risiko, dass die obere Schicht abgeschnitten, manipuliert und anschließend mit transparentem Nagellack wieder befestigt wird.
- Sind zu wenige Glitzerpartikel vorhanden, könnten sie nach einer Manipulation wieder von Hand an ihre ursprüngliche Position gesetzt werden.
- Bei der Tamper Evident Challenge 2018 gab es Fälle, in denen Glitzer-Nagellack-Siegel umgangen wurden.
- Der damals verwendete Nagellack enthielt relativ große Glitzerpartikel in nur zwei Farben.
- Wird er in feinen Schraubenlöchern verwendet und die Partikeldichte erhöht, ohne zu dick aufzutragen, steigt der Schwierigkeitsgrad eines Umgehungsversuchs.
- Mit zusätzlichem Klebstoff sinkt die Wahrscheinlichkeit einer erfolgreichen Umgehung weiter.
Fotovergleich und Vorgehensweise
- Zur Prüfung zufälliger Muster kann man die aus der Astronomie bekannte Methode des Blink Comparison verwenden, mit der kleine Veränderungen sichtbar gemacht werden.
- Wenn Originalfoto und aktuelles Foto schnell abwechselnd angezeigt werden, fallen kleine Unterschiede leichter auf.
- Unter Android kann die App Blink Comparison verwendet werden.
- Die App verschlüsselt ihren Speicher, sodass Angreifer die Bilder nicht ohne Weiteres austauschen können.
- Sie hilft dabei, Vergleichsfotos mit demselben Winkel und derselben Entfernung wie beim Original aufzunehmen, und wechselt bei Berührung des Bildschirms zwischen beiden Bildern.
- Sie kann wie eine App ohne Google Services installiert werden; die Installation erfolgt nicht über F-Droid.
- Wenn die Methode bei Laptop-Schrauben eingesetzt wird und später Heads-Firmware installiert werden soll, sollte Heads zuerst installiert werden.
- In umgekehrter Reihenfolge müsste der Nagellack entfernt und erneut aufgetragen werden.
- Die praktische Anwendung läuft in etwa so ab:
- Zuerst wird ein Foto der Unterseite des Laptops gemacht und die Schrauben werden in einem Programm wie GIMP nummeriert.
- Beim ThinkPad X230 gibt es zum Beispiel 13 Schrauben, die nummeriert werden können.
- Anschließend wird auf jede Schraube direkt Nagellack mit unterschiedlichen Glitzerfarben und -größen aufgetragen, mit ausreichend Partikeln, aber nicht zu dick.
- Nach dem Trocknen werden Nahaufnahmen jeder Schraube mit der Blink-Comparison-App oder einer normalen Kamera gemacht.
- Für reproduzierbare Beleuchtung ist es sinnvoll, Jalousien zu schließen und sich auf Innenbeleuchtung sowie Kamerablitz zu verlassen.
- Die Bilddateien sollten nummeriert und an einem zweiten Speicherort gesichert werden.
- Muss der Nagellack später für einen internen Zugriff entfernt werden, kann ein Entferner mit einer Spritze aufgetragen werden, damit keine übermäßige Menge ins Innere gelangt und dort Elektronik beschädigt.
Manipulationserkennende Aufbewahrung für sensible Geräte
- Wenn man das Haus verlässt, brauchen empfindliche Geräte wie Laptops, externe Laufwerke, USB-Geräte, Mobiltelefone sowie externe Tastaturen und Mäuse eine manipulationserkennende Aufbewahrung.
- Tresore werden zwar oft zum Schutz von Wertsachen verwendet, können aber auf verschiedene Weise umgangen werden, und manche dieser Umgehungen sind schwer zu erkennen.
- Einen Tresor manipulationsanzeigend zu machen, ist zwar möglich, aber weder einfach noch günstig.
- Eine günstigere Methode ist, Elektronik in eine vorne transparente Box zu legen und sie mit einem farbigen Materialmix zu bedecken, um ein Mosaik zu erzeugen.
- Die Box kann auf ein Handtuch oder Kleidung gestellt werden, damit Stöße oder Vibrationen das Mosaik nicht verändern.
- Vor dem Weggehen sollten alle sichtbaren Seiten fotografiert werden; die Bilder können auf einem sicheren Gerät gespeichert oder einer vertrauenswürdigen Person über einen verschlüsselten und verifizierten Kanal geschickt werden.
- Damit die Geräte nicht schmutzig werden und kein Material in Ports gelangt, können sie in Frischhaltefolie, Beutel oder Ähnliches eingewickelt werden.
- Beispiele für Mischmaterialien sind rote Linsen und Beluga-Linsen oder gelbe Erbsen und weiße Bohnen.
- Als Box, in die ein Laptop passt und deren Seiten vollständig transparent sind, eignet sich ein kleines Aquarium gut.
- Für langfristige Lagerung kann eine Vakuumversiegelung verwendet werden.
- Auch das Gerät, mit dem die Aufbewahrungsfotos gemacht werden, braucht eigene Sicherheitsüberlegungen.
- Wird ein dediziertes Haven-Telefon verwendet, kann dieses auch für die Fotos genutzt werden, da es ohnehin außerhalb der Aufbewahrungsbox bleibt.
- Wer ein GrapheneOS-Gerät hat, kann damit Fotos machen und es irgendwo im Haus verstecken.
- Eine Kamera ist leichter angreifbar, weil ihr Verschlüsselung fehlt, und die Blink-Comparison-App kann darauf nicht verwendet werden.
Erkennung von Firmware- und Software-Manipulationen
- Nicht nur Hardware, sondern auch Software und Firmware sollten auf Manipulationen überwacht werden.
- Um einem elektronischen Gerät zu vertrauen, muss man Hardware, Firmware und Software gleichermaßen vertrauen können.
- Kompromittierungen von Software und Firmware können nicht nur durch physischen Zugriff, sondern auch durch Remote-Angriffe über das Internet entstehen.
- Unter GrapheneOS kann Auditor benachrichtigen, wenn Firmware oder Betriebssystemsoftware manipuliert wurden.
- Wenn Auditor Remote Attestation ausführt, kann man Benachrichtigungen per E-Mail erhalten.
- Unter Tails oder Qubes OS kann Heads eine ähnliche Funktion übernehmen, noch bevor beim Booten das Passwort eingegeben wird.
- Es funktioniert nur auf unterstützten Geräten.
- Die Installation ist eine fortgeschrittene Aufgabe, die Nutzung selbst aber nicht schwierig.
- Den Heads-USB-Sicherheitsdongle kann man unterwegs mitnehmen und einen Ersatz-Dongle im Haus einer vertrauenswürdigen Person verstecken.
- Wenn Auditor oder Heads Manipulationen erkennen, muss das betreffende Gerät sofort als nicht vertrauenswürdig behandelt werden.
- Eine forensische Analyse kann helfen, die Art der Kompromittierung zu verstehen.
- Man kann sich an Dienste wie Access Now’s Digital Security Helpline wenden, sollte aber keine persönlichen Daten übertragen.
Erkennung physischer Eindringversuche
- Die Erkennung physischer Eindringversuche bedeutet, festzustellen, dass jemand einen Raum betreten hat oder es versucht hat.
- Ein Videoüberwachungssystem kann folgende Eigenschaften haben:
- Kameras können auf Bewegung reagieren und bei Erkennung oder Manipulation Benachrichtigungen senden.
- Kameras können so platziert werden, dass sie Eingänge erfassen oder unauffällig bleiben.
- Damit man nicht überwacht wird, wenn man selbst im Raum ist, kann das System direkt vor dem Verlassen aktiviert und unmittelbar nach der Rückkehr deaktiviert werden.
- Eine manipulationsanzeigende Aufbewahrung allein kann Eindringzwecke wie das Platzieren versteckter Überwachungsgeräte übersehen. Deshalb ist es sicherer, zusätzlich eine Erkennung physischer Eindringversuche einzusetzen.
- Haven ist eine von der Freedom of Press Foundation entwickelte Android-App, die Mikrofon, Bewegungssensor, Lichtsensor und Kamera verwendet, um Veränderungen in einem Raum zu überwachen und zu protokollieren.
- Sie wird derzeit nicht mehr gepflegt.
- Remote-Benachrichtigungen funktionieren nicht.
- Auf vielen Geräten ist sie unzuverlässig.
- Bis Haven wieder vollständig funktioniert, ist es sinnvoll, zusätzlich ein Videoüberwachungssystem zu nutzen, das Remote-Benachrichtigungen senden kann.
- Das ist wichtig für den Fall, dass ein Eindringling lokale Protokolle verändert.
- Es sollte ein Modell mit Datenschutzfunktionen gewählt werden, das zum Beispiel nicht über die Cloud arbeitet.
- motionEye OS unterstützt Remote-Benachrichtigungen bei Bewegungserkennung, erfordert für die Einrichtung aber Linux-Kenntnisse.
Einsatz von Haven
- Haven wird am besten auf einem dedizierten, günstigen Android-Gerät verwendet.
- Ältere Pixel-Modelle sind günstig und haben gute Kameras, was sowohl Haven als auch Blink Comparison zugutekommt.
- Einige Modelle könnten weiterhin von GrapheneOS unterstützt werden.
- Die vollständige Festplattenverschlüsselung sollte aktiviert sein.
- Wer ein separates Smartphone besitzt, sollte dieses – anders als das dedizierte Haven-Telefon – ausgeschaltet innerhalb der manipulationsanzeigenden Aufbewahrung lagern.
- Wenn Haven auf dem Hauptsmartphone läuft und ein Eindringling es entdeckt, erhält dieser physischen Zugriff auf ein eingeschaltetes Gerät.
- Ein praktischer Ablauf kann so aussehen:
- Das Haven-Smartphone wird dort platziert, wo ein Flur oder der Zugang zur Aufbewahrung sichtbar ist und ein Eindringling vorbeimuss.
- Das Gerät wird an Strom angeschlossen, damit der Akku nicht leer wird.
- Vor dem Verlassen wird Haven mit einem Countdown aktiviert.
- Da Remote-Benachrichtigungen derzeit nicht funktionieren, werden die Protokolle lokal auf dem Android-Gerät gespeichert.
- Nach der Rückkehr werden die Haven-Logs geprüft.
So greifen mehrere Ebenen ineinander
- Werden die oben genannten Maßnahmen kombiniert, muss ein Angreifer sowohl die Erkennung physischer Eindringversuche als auch die manipulationsanzeigende Aufbewahrung umgehen.
- Auch innerhalb der manipulationsanzeigenden Aufbewahrung unterscheiden sich die Kontrollpunkte je nach Angriffstyp.
- Bei Angriffen, die das Öffnen eines Laptops erfordern, helfen Glitzer-Nagellack-Siegel.
- Gegen Software- und Firmware-Angriffe helfen Heads oder Auditor.
- Die einzelnen Ebenen mögen redundant wirken, sind aber wichtig; mit jeder zusätzlichen Ebene steigen Fachwissen und Kosten eines erfolgreichen Angriffs deutlich.
- Am besten ist es, ein neues Gerät auf eine Weise zu beschaffen, die schwer abzufangen ist, und dann von Anfang an alle Ebenen konsequent einzurichten.
- Wenn ein Haus längere Zeit leer steht, bietet sich folgende Reihenfolge an:
- Ausgeschaltete Geräte werden in die manipulationsanzeigende Aufbewahrung gelegt.
- Die nötigen Fotos werden gemacht.
- Haven wird aktiviert.
- Nach der Rückkehr sollte zuerst nach Einbruchsspuren gesucht werden.
- Zuerst werden die Haven-Logs geprüft.
- Danach wird mit Blink Comparison der Zustand der manipulationsanzeigenden Aufbewahrung kontrolliert.
- Die Laptop-Schrauben müssen nur bei einem konkreten Verdacht überprüft werden.
- Heads und Auditor erfordern nach der Einrichtung keinen großen laufenden Aufwand für die richtige Nutzung.
- Auditor läuft ohne Interaktion.
- Heads ist einfach Teil des Bootvorgangs.
Warum ein Tresor nicht ausreicht
- Manche Tresore lassen sich mit Seltenerdmagneten so öffnen, dass ein Solenoid-Schloss unbemerkt entriegelt wird.
- „Safe bouncing“ bezeichnet eine Methode, bei der ein Tresor geschlagen oder angestoßen wird, damit sich der Schließmechanismus bewegt und sich unbemerkt öffnen lässt.
- Tresore mit Zahnradmechanik sind für solche mechanischen Angriffe weniger anfällig.
- Viele Tresormodelle haben Verwaltungs-Reset-Codes oder sogenannte try-out combinations.
- Werden die Standardwerte nicht geändert, kann ein Tresor unbemerkt geöffnet werden.
- „Spiking“ bedeutet, dass Leitungen zu Reset-Taste, Solenoid oder Motor freigelegt und dann mit einer Batterie kontaktiert werden.
- Da dafür Zugang zu den Leitungen nötig ist, könnte sich dies eventuell manipulationsanzeigend absichern lassen.
- Brute-Force-Angriffe sind möglich, wenn ein Angreifer genügend Zeit hat.
- Drehschloss-Tresore können mit computergesteuerten Auto-Dialern ohne Aufsicht per Brute Force geöffnet werden.
- Elektronische Keypads sind bei gut implementierten gestaffelten Sperrzeiten weniger anfällig für Brute Force.
- Werkzeuge wie Little Black Box oder Phoenix können die Kombination elektronischer Schlösser automatisch auslesen oder zurücksetzen.
- Solche Werkzeuge werden oft an zugängliche interne Leitungen angeschlossen, ohne Schloss oder Behälter zu beschädigen.
- Da dafür Leitungszugang nötig ist, könnte auch dies eventuell manipulationsanzeigend absicherbar sein.
- Auch gegen Keypad-basierte Angriffe gibt es verschiedene Methoden; einige davon lassen sich durch geeignete Operational Security abschwächen.
1 Kommentare
Meinungen auf Hacker News
Vor ein paar Jahren habe ich mit einem Teil dieses Prinzips daran gearbeitet, gefälschte Medikamente zu verhindern: https://www.nature.com/articles/s41598-022-11234-4
Nebenbei: Ich glaube, es gibt immer noch einen ungedeckten Bedarf an Algorithmen, die Fotos solcher zufälligen Muster in Text oder eine ähnliche Form umwandeln, die sich in einer Datenbank speichern und schnell durchsuchen lässt.
Wir haben auch Bildähnlichkeitsalgorithmen ausprobiert, wie sie etwa bei Google Reverse Image Search verwendet werden, aber für diese Aufgabe passten sie nicht gut. In der Arbeit haben wir einen groben eigenen Algorithmus gebaut, der die Muster in Mengen von Strings umwandelt; er funktioniert einigermaßen, aber es muss eindeutig bessere Verfahren geben.
Ich habe früher bei MusicIP gearbeitet, das meines Wissens das von MusicBrainz verwendete Fingerprinting-System entwickelt hat.
Der Hersteller könnte vermutlich nicht unterscheiden, ob es eine Kollision ist oder ob ein Nutzer dieselbe Pille zweimal prüfen will.
Kameras werden immer kleiner und billiger. Versteckte Kameras lassen sich per TEMPEST / Van-Eck-Phreaking erkennen und lokalisieren: https://www.usenix.org/system/files/sec24fall-prepub-357-zha...
Die Rohbild-Encodierung und -Kompression von Spionagekameras findet demnach in integriertem Lese-/Schreibspeicher statt, und diese Aktivität erzeugt elektromagnetische Abstrahlung. ESauron erzeugt gezielt Szenenwechsel und erkennt den Anstieg der elektromagnetischen Abstrahlung, um Spionagekameras zu finden.
In Experimenten mit 50 Kameraprodukten wurde mit nur vier Stimuli eine Erkennungsrate von 100 % erreicht; selbst mit Hindernissen könne die Erkennungsdistanz über 20 m liegen, und die Position lasse sich ebenfalls genau bestimmen.
Die Arbeit räumt in den Einschränkungen ebenfalls ein, dass moderne Smartphones durch stromsparende DDR-Techniken und interne Faraday cages das Austreten elektromagnetischer Abstrahlung verringern; diese Kombination mache es mit dem aktuellen ESauron-Prototyp deutlich schwieriger, die elektromagnetische Abstrahlung des Kameraspeichers von Smartphones zu erkennen.
Ich nutze Brave auf aktuellem iOS und habe seit sechs Monaten den Lockdown Mode aktiviert. Mit diesem PDF stimmt irgendetwas nicht.
Dazu gibt es einschlägige DoD-Standards. Sie gelten vor allem für die Geheimhaltungsstufe SECRET: Aufbewahrungsbehälter für SECRET-Material müssen Manipulationsspuren hinterlassen, müssen aber nicht extrem angriffsresistent sein.
Aktenschränke brauchen verschweißte und lackierte Nähte sowie gute Schlösser. Einen Sicherheits-Aktenschrank kann man zwar mit einem Brecheisen öffnen, aber die Beschädigung ist sichtbar. Siehe Abschnitt 5.3.1 in [1].
Die U.S. Navy erlaubt siegelartige Etiketten, bewertet deren Sicherheit aber als „minimal“. Siehe Abschnitt 6.3 in [2]. Auch die Defense Counterintelligence Agency hat Richtlinien zu Sicherheitssiegeln, die aber vermutlich veraltet sind.
Es gibt auch „manipulationssichere Siegel mit Rückständen“. Wenn man sie abzieht, bleibt auffälliger Schmutz zurück, und sie haben außerdem Barcode-Seriennummern. Ein Angreifer mit ausreichenden Ressourcen, viel Zugriffszeit und der Möglichkeit, das Siegel vorher zu prüfen und eine Kopie anzufertigen, könnte es wohl entfernen und ersetzen; aber bei diesem Bedrohungsmodell sollte man auf einem unbeaufsichtigten Laptop ohnehin nichts Interessantes liegen lassen.
[1] https://www.nispom.org/NISPOMwithISLsMay2014.pdf
[2] https://exwc.navfac.navy.mil/Portals/88/Documents/EXWC/DoD_L...
[3] https://www.dcsa.mil/Portals/91/Documents/CTP/NAO/security_s...
[4] https://seals.com/security-tape-labels/?_bc_fsnf=1&Classific...
Der Motor war entfernt worden, aber die Montagehalterungen sowie die Treibstoff- und Oxidatortanks waren noch vorhanden. Um hineinzusehen, mussten sie eine Vierfach-Steckdose hinter einem mit sowjetischem Stempel versehenen Kunststoffsiegel entfernen.
Das Raumfahrzeug musste exakt in den Zustand zurückversetzt werden, in dem es gefunden worden war; wenn die Sowjets das fehlende Siegel bemerkt hätten, wäre alles vorbei gewesen. Als das CIA-Fahrzeug zurückkam, befand sich darin ein perfektes gefälschtes sowjetisches Siegel, und das Panel konnte wieder versiegelt werden, um den Diebstahl zu verbergen.
https://www.technologyreview.com/2021/01/28/1016867/lunik-ci...
Die wichtigste Fähigkeit innerhalb der US-Regierung, Siegel zu überwinden, liegt bei der CIA.
Zum ersten Mal bin ich durch den Anime Death Note mit Mechanismen für „Manipulationsspuren“ in Berührung gekommen
https://youtube.com/watch?v=zZBR9iQ7DRA3D
Der Protagonist verwendet mehrere Vorrichtungen, etwa die Höhe des Türverschlusses, ein Stück Papier zwischen Tür und Wand oder eine Druckbleistiftmine im Türscharnier. Wenn nur ein Siegel verrutscht ist, kann man das ignorieren; wenn aber alle drei gebrochen sind, war jemand im Zimmer
Als ich als Kind mit Eltern und Geschwistern zusammenlebte, habe ich den Papiertrick selbst benutzt und konnte so leicht erkennen, wer hereingekommen war und meine Sachen durchwühlt hatte. Bei einer „geheimen“ Schublade mit falschem Boden habe ich auch den Trick mit der Druckbleistiftmine verwendet
Wenn alle drei gebrochen waren, handelte es sich um einen unerfahrenen Eindringling wie ein Familienmitglied; wenn eines wiederhergestellt war, die anderen beiden aber gebrochen waren, bedeutete das einen geübten Eindringling wie die Polizei
Eine Methode war, hinter der Tür ein Wasserglas so zu platzieren, dass beim Öffnen der Tür Wasser auf ein Taschentuch verschüttet wurde, auf das er ein schwer zu kopierendes Muster gezeichnet hatte. Er nannte noch andere Methoden, aber die habe ich vergessen; da mir der Trick mit der Druckbleistiftmine bekannt vorkommt, könnte es auch der gewesen sein
Snowden ist außerdem dafür bekannt, Anime zu mögen, also ist es gut möglich, dass er diese Szene gesehen hat
Ich mochte Sachbücher lieber als Literatur und habe Unmengen solcher Bücher gelesen. Darin gab es alle möglichen Kniffe: mit Milch schreiben und die Schrift mit Zitrone sichtbar machen, Schnürsenkeltricks, Techniken zum Beschatten von Personen und so weiter; das war Anfang der 90er, als der Kalte Krieg zu Ende ging
Auch heute mag ich Podcasts über Privatdetektive, Spione, militärische Nachrichtendienste und polizeiliche Ermittlungen. Der letzte, den ich gehört habe, handelte von der Ermordung des niederländischen Politikers Pim Fortuyn: In den Polizeiberichten fehlte die Tatsache, dass der praktisch auf frischer Tat gefasste Täter neben einem früheren Schwerkriminellen wohnte, und einige Jahre später wohnte dieser ehemalige Kriminelle in der Nähe eines islamistischen Terroristen
Daher stellte sich die Frage, ob er dem Täter die Waffe gegeben hatte oder ob er Informant des AIVD (damals BVD) war; während der Produktion des Podcasts starb dieser ehemalige Kriminelle dann auch noch, ganz wie in einer typischen Wendung. Zu einem Ergebnis kam man nicht, aber es war eine interessante Geschichte
Ich musste einen relativ neuen Roborock-Staubsauger zerlegen, um ihn komplett zu reinigen. Er hatte nämlich ein Stück Hundekot entdeckt und daraus ein großartiges Chaos gemacht
Ich hatte alle sichtbaren Schrauben entfernt, aber die Bodenabdeckung ließ sich trotzdem nicht abnehmen. Erst später merkte ich, dass ein Loch, das wie eine Kunststofffüllung aussah, in Wirklichkeit ein Wachssiegel war, das die letzte Schraube abdeckte. Das scheint eine einfache Methode zur Manipulationserkennung für Garantiezwecke zu sein
Mit einer Heißluftpistole habe ich den Manipulationsschutz-Aufkleber erwärmt und abgezogen. Ich hatte lange auf diese Xbox gespart, daher konnte ich es mir nicht leisten, die Garantie zu verlieren; zum Glück verhinderte der alte Heißlufttrick, dass der Aufkleber zerstört wurde
Microsoft bezahlte die Herstellung von Sicherheitsaufklebern, um Manipulationen zu verhindern, und das Gerät ließ sogar — für die damalige Zeit ungewöhnlich — einen Hypervisor laufen, um Manipulationen zu unterbinden
Dann fand aber jemand im Internet heraus, dass man den Aufkleber mit einer Heißluftpistole erwärmen und vorsichtig mit einer Pinzette abziehen konnte, und dass man die Firmware des DVD-Laufwerks so ändern konnte, dass sie dem gesperrten, „vollständig sicheren“ OS meldete: „Ja, das ist eine offizielle Xbox-360-Disc.“
Ein Unternehmen darf die Garantie nur für den konkreten Teil verweigern, den der Nutzer tatsächlich beschädigt hat. Wenn man ein elektronisches Gerät öffnet, ohne etwas kaputtzumachen, kann man verlangen, schriftlich zu begründen, warum die Garantie erlöschen soll. Wahrscheinlich heißt es dann: „Wir helfen Ihnen dieses eine Mal aus Kulanz“
Auch die FTC geht inzwischen endlich gegen Unternehmen vor, die solche Warnhinweise verwenden. Dank des Magnuson-Moss Warranty Act erlischt auch bei Fahrzeugen die Herstellergarantie nicht, wenn man selbst oder ein Dritter daran arbeitet
Ich würde gern mehr darüber hören, was Menschen tun, die ein solches Sicherheitsniveau brauchen.
Ich frage mich, ob die NSA Laptop-Schrauben mit Glitzer-Nagellack überzieht oder ob CIA-Geheimagenten oder SOF so etwas machen.
Ich weiß nicht, wer überhaupt diese Art von Geheimhaltung braucht, wenn er keine physische Sicherheit zum Schutz des Geräts hat.
Sie/er berichtete über Cybersicherheit und darüber, wie einige Regierungen Spyware missbrauchen, um Bürger zu überwachen.
Ziel solcher Sicherheitsmaßnahmen dürften Journalisten und Cybersicherheitsforscher sein, die ins Visier von Regierungen geraten können. Auch andere Berufsgruppen könnten diese Informationen nutzen, um sich besser zu schützen.
Große Regierungsbehörden haben die Mittel, Systeme so zu entwerfen, dass sie solche Anforderungen nicht brauchen, und sie legen wahrscheinlich auch keine sensiblen Informationen auf unbeaufsichtigten Geräten ab.
2013 habe ich mit Eric Michaud einen Vortrag über Glitzer-Nagellack gehalten; jetzt fühle ich mich alt.
Anna Merlan, Tim Marchman und die Leute von 404 Media ebenfalls. Wenn man über kriminelle Organisationen berichtet, kann einen das paranoid vorsichtig machen.
Wenn ein Grenzbeamter an einem Laptop einer gewöhnlichen Person glitzerbedeckte Schrauben sieht, könnte das ein Signal sein, diese Person während ihres gesamten Aufenthalts genau im Auge zu behalten.
Wir nutzen auch alle Herstellerfunktionen, bei denen Einbruchserkennungsschalter mit dem TPM verbunden sind, fügen aber darüber hinaus noch weitere Manipulationsschutzmaßnahmen hinzu.
Ich werde nicht im Detail sagen, was all diese Server tun, aber Glitzer-Epoxid und andere lästige Siegel an Stellen, an denen man auf die Server zugreifen könnte, sind Teil des physischen Schutzes.
Das erinnert mich an einen alten James-Bond-Film mit Sean Connery. Er zog ein Haar aus, befeuchtete seinen Finger mit Speichel und klebte es als Siegel an die Tür seines Hotelzimmers; später konnte er daran erkennen, ob jemand im Zimmer gewesen war.
Beim Framework Laptop habe ich schon mehrmals an dieses Problem gedacht. Wie leicht wäre es, einen der seitlichen Ports gegen eine bösartige Version wie etwa einen Keylogger auszutauschen, ohne dass der Nutzer irgendetwas bemerkt?
Der Unterschied ist, dass der Angreifer das gesamte Glitzermuster auf ein neues Gehäuse kopieren müsste. Oder er müsste das vorhandene Gehäuse öffnen, also müsste man auch das so gestalten, dass es Spuren hinterlässt. Ich weiß allerdings nicht, wie leicht sich diese Module tatsächlich öffnen lassen.
Ich freue mich über diesen Artikel, weil Strafverfolgungs- und Nachrichtendienste heute tatsächlich so vorgehen.
Die frühere französische DCRI, heute DGSI, hat illegal einen Hardware-Keylogger in meinen Laptop eingebaut. Ich gehe davon aus, dass er installiert wurde, bevor ich ihn nach dem Onlinekauf bei materiel.net geliefert bekam.
In meinem Kopf bin ich mir zu 100 % sicher. Wenn man glaubt, dass eine solche Offenlegung möglich ist, sollte man Laptops oder Hardware niemals online kaufen, sondern im Laden.
Aus Spaß und als Proof of Concept hatte ich auch vor, einen Hardware-Keylogger für Laptops zu bauen, um zu zeigen, wie einfach das möglich ist.
Diese Methode wirkt deutlich plausibler, als wegen eines unwahrscheinlichen Szenarios wie „evil maid“ über Secure Boot zu reden.
Von den Leuten, die ich kenne, würde niemand mit „Mein Laptop wurde manipuliert!“ reagieren, wenn Windows ausrastet und grundlos nach dem BitLocker-Schlüssel fragt.
Bei genügend vielen Mitarbeitern gibt es so viele Fehlalarme, dass die IT fast täglich BitLocker-Schlüssel herausgeben muss. Auf tatsächliche Manipulationsspuren würden die Leute dagegen wahrscheinlich achten.
Ein Chromebook ist beispielsweise so ausgelegt, dass es nach einem Neustart in einen konsistenten, nicht kompromittierten Zustand zurückkehrt, selbst wenn es eine systemweite Schwachstelle gibt, mit der man bis zum Kernel übernehmen kann.
Im Mobile-Ökosystem gibt es Ähnliches. Untethered Jailbreaks, also persistente Jailbreaks, gegen hochwertige Ziele existieren kaum.
Selbst wenn Tools wie Cellebrite High-End-Geräte wie Pixel oder iPhones angreifen, werden diese üblicherweise danach eingestuft, ob sie vor oder nach dem ersten Entsperren angreifbar sind – also bezogen auf den Zeitpunkt, an dem die Boot-Chain-Sicherheit am stärksten ist; persistente Kompromittierung oder Downgrade-/Replay-Angriffe gibt es kaum.