Der Zaubberer mit dem Hut in der großen weiten Welt

Als hätte ich es geahnt... Volkswagen hat massive Sicherheitsprobleme und verhüllt sie anstatt sie zu lösen.

Seit drei Jahren ist Volkswagen bekannt dass Schlüssel für ihre Autos und deren "Security" trivial zu brechen sind. Brechen weil - wie bei Mifare Classic (der Vergleich drängt sich einfach auf) - viele einfache Sicherheits-Schranken erst gar nicht gesetzt wurden. Der Pool an Zufallszahlen ist viel zu klein, es gibt keine Beschränkung der Anmeldeversuche, der Halter des Wagens wird gar nicht über Fehlversuche informiert (wenn da 1000 stehen könnte er sich ja Gedanken machen) und so weiter.
Wenn das Auto gestohlen wird, geht dann natürlich die Versicherung davon aus dass der Halter den Schlüssel liegengelassen hat. Oder der Dieb anders dran kam; weil es gibt ja keine Einbruchsspuren. Der Halter müsste also beweisen dass noch alles in Ordnung ist bei ihm; die Umkehrung der Unschuldsvermutung.
Das perfide ist aber: Volkswagen weiss das seit drei Jahren. Und anstatt was zu machen haben sie die Forscher gezwungen, ihre Forschungsergebnisse zurückzuhalten. Das heisst, Diebe haben seit drei Jahren leichtes Spiel.
Wurde in den drei Jahren etwas gemacht? Wurden die Schlüssel und die entsprechenden Sicherheitssysteme in den anfälligen Autos getauscht?
Nein. Warum auch? Es gibt keinen Aufschrei.
Und genau deswegen sollte Security by Obscurity verboten sein. Ich weiss nicht, wieviele Autos inzwischen als gestohlen gemeldet wurden aus diesen Fahrzeugreihen, aber es wurde den Dieben ziemlich einfach gemacht...

Heute las ich einen Artikel, dass Sicherheitsforscher der Meinung sind dass Auto-Hacks schwer zu kopieren sind.

Meine Erfahrungen gehen in die andere Richtung: Alles wird versucht zu vereinheitlichen innerhalb eines Konzerns, um Synergie-Effekte zu haben. Das bedeutet dass dieselben Komponenten (Hard- aber auch Software) überall benutzt werden.
Und weil "Security by Obscurity" so gut funktioniert wird erwartet dass "weil ja niemand etwas weiss" alles sicher ist.
Selbst wenn "nur" das Auto raustelefonieren darf - was hindert mich daran, von innen eine TCP-Verbindung aufzumachen und stehenzulassen? Okay, ich brauche eventuell physischen Zugriff. Oder ein speziell angepasstes mp3-Stück welches ich dem Inhaber des Autos mitgebe. Standard-Libraries (Open Source) haben den Vorteil dass sie für Firmen kostenlos zu benutzen sind und daher auch gerne eingesetzt werden. Wohin das führt sah man schon bei vielen snmp-Bugs, wo plötzlich Hersteller wie Cisco, Juniper, ... alle auffällig zeitgleich ihre Systeme patchen mussten.
Also sorry, ich glaube nicht dass es ausreicht sich darauf zurückzuziehen, dass es zu schwer wird oder es sich nicht lohnt.

Ich bin deutlich zu experimentierfreudig.

Ich habe vor einiger Zeit meinem Laptop beigebracht, die verschlüsselte LUKS-Partition nicht nur über eine Passphrase, sondern auch über eine (andere) Passphrase, gepaart mit meinem Yubikey zu entschlüsseln.

Das hat sich heute gerächt, weil ich den Yubikey für andere Zwecke umkonfiguriert hatte. Ich dachte dann, diesen Slot in LUKS löschst Du mal.

Dafür muss man immer noch ein funktionierendes Passwort angeben.
Dumm nur: Es wurde das Passwort gelöscht welches ich eingegeben hatte. Ganz dumme Geschichte - damit wäre beim nächsten hochfahren das System nicht mehr hochgekommen, weil kein Entschlüsselungs-Schlüssel mehr bereit gewesen wäre; den initialen hatte ich gerade gelöscht und der Yubikey hatte andere Werte.

Was tun fragte ich mich, besonders weil eine Suchmaschinen-Suche auf diese Fragestellung keine eindeutige Antwort gab. Ich sah mich schon alles Backuppen, formatieren und restoren (oder - wenn ich gut drauf gewesen wäre - neues Device mit luks anlegen, dd if.. of ... von A nach B schieben).

Mein Glück ist, dass das Laufwerk ja noch online und damit geöffnet ist. Auch der Master-Key ist (für root) auslesbar.

Zugschlus ist gerade auf der DebConf und hat Margarita Manterolagegenüber sitzen. Und sie kennt luks sehr gut. Ich weiss nicht ob sie aus Erfahrung spricht, aber sie hat den richtigen Tip gehabt:

# cryptsetup luksAddKey $device_name --master-key-file <(dmsetup table --showkeys $volume_name | awk '{print $5 }' | xxd -r -p)

Mit anderen Worten: hole via "dmsetup table --showkeys" den Master-Key aus dem noch geöffneten Volume; bereite die Ausgabe ein wenig auf und gibt sie cryptsetup um einen neuen (initialen) Key für das LUKS-Device zu geben. Mit Hilfe des Master-keys kann man also auch ohne einen (bekannten) Schlüssel einen neuen Schlüssel zu einem LUKS-Device hinzufügen.

Das war für mich jetzt die Rettung. Und ich werde mir diese Kombination definitiv merken, danke marga!!

(Update: der Befehl geht länger... jetzt wird er nicht mehr abgeschnitten!)

Baden-Württemberg rühmt sich, bürgerfreundlich und bürgernah zu sein. Trotzdem gibt es bisher kein Informationsfreiheitsgesetz wie es der Bund und fast alle anderen Bundesländer bereits hat.
Dies möchte die Landesregierung ändern und hat durch das Innenministerium einen Entwurf zu dem IFG vorgelegt, den man auch kommentieren darf. Sehr löblich.
Wenn man allerdings kommentieren möchte soll man sich registrieren. Das heisst, man schreibt einen Text, drückt auf "Vorschau" - und dann soll man sich plötzlich anmelden.
Na gut.
Also eine Mailadresse generieren, ein Paßwort sich ausdenken und ins Keepass werfen, auf die Bestätigungsmail warten, Link anklicken zur Bestätigung und hoffen dass das kein Phishing war (Digitale Unterschrift ist ja sowas von gestern...). _Danach_ kann ich mich mit meinem selbstgewählten Paßwort einloggen.
Und heiße da erst einmal "Ohne Namen 28180". So soll mein Kommentar abgeschickt werden.
Finde ich nicht gut, also möchte ich meinen Namen ändern. Ganz rechts oben auf der Webseite ist inzwischen auch ein neuer Punkt zum Anklicken - "Mein Profil".
Hey, gut! Ich darf mein Profil ändern! Was steht denn da über mich drin?
Positiv: Nur mein Name und eine Möglichkeit das Paßwort zu ändern.
Ich ändere meinen Namen.... aber wo kann ich bitte das ganze speichern?

Auflösung: Rechts unten die Werbung wegklicken und man findet auf einmal den Knopf.