Euer Computer hat euch bereits verraten
Es ist kein Hack, sondern eine Funktion
Autor
Dieser Artikel ist zwar etwas technisch, aber nicht weniger wichtig als alle anderen, die ich bisher veröffentlicht habe. Vielleicht sogar noch wichtiger, weil er SO etwas heimtückisches beschreibt!
»Als sie den Hacker holten, habe ich geschwiegen; ich war ja kein Hacker.
Als sie die Journalisten holten, habe ich geschwiegen; ich war ja kein Journalist.
Als sie die Dissidenten einsperrten, habe ich geschwiegen; ich war ja kein Dissident.
Als sie mich holten, gab es keinen mehr, der protestieren konnte.«— frei nach Niemöllers Gedicht
Er heißt Peter Stokes, und für einen Hacker hat er praktisch alles richtig gemacht.
Sein VPN war die ganze Zeit aktiv. Der Datenverkehr wurde über ngrok getunnelt. Die IP-Adressen sprangen zwischen Tallinn, New York und Bangkok hin und her, als würde jemand drei Vielfliegerprogramme gleichzeitig benutzen.
Neunzehn Jahre alt, mit doppelter US-Estnischer Staatsbürgerschaft, und angeblich Mitglied bei „Scattered Spider“, einer Erpresser-Bande, die bei über hundert Angriffen mehr als 100 Millionen Dollar erbeutet hat.
Das alles spielte keine Rolle. Nicht. Ein. Einziges. Bit.
Vielleicht sollten wir zunächst ein paar Fachbegriffe klären, für diejenigen, die damit nicht vertraut sind:
IP: Stellt euch das wie eure Wohnadresse vor, nur online. Wenn die Behörden eure IP haben, wissen sie, wer du bist (mehr oder weniger – ich gehe hier nicht zu sehr ins Detail, also hört auf, an Kleinigkeiten herumzukritteln – ja, ja, ich spreche hier zu meinen Nerd-Kollegen :wink:).
VPN: Dabei handelt es sich (meistens) um eine Softwarelösung, die den Datenverkehr verschlüsselt und ihn zunächst über den Server eines Dritten leitet, sodass derjenige, der uns beobachtet, diesen Server sieht und nicht uns.
ngrok: Ein legitimes Tool, das Entwickler nutzen, um einen lokalen Server für das Internet zugänglich zu machen. Anscheinend ist es aber auch beliebt bei Erpressern, die ihren Datenverkehr so gestalten wollen, dass er aus dem Nichts zu kommen scheint. Was sicher reiner Zufall ist.
IP-Hopping: Dabei wird die Verbindung durch verschiedene Länder geleitet, sodass jede Anfrage so aussieht, als käme sie von einem anderen Ort.
Am 12. Mai letzten Jahres um 19:21 Uhr UTC öffnete jemand die Anmeldeseite von ngrok und erstellte das Konto, das später dazu genutzt wurde, bei einem US-Juwelier einzubrechen und Lösegeld in Höhe von 8 Millionen Dollar zu erpressen.
Microsofts eigene Protokolle, die in der Anklageschrift des Bundes zitiert werden, zeigen Minuten genau, welcher Rechner diese Seite geöffnet hat. NICHT die Adresse, die das VPN gerade zu verschleiern versuchte. Sondern den Rechner selbst.
Das ist eigentlich der gesamte Artikel.
Ihr könnt also jetzt aufhören zu lesen, wenn ihr wollt.
Das „Warum“ und das „Wie“ – DAS ist es aber, was mich heute so aufgeregt hat.
Wenn ihr ein VPN nutzt, solltet ihr eigentlich geschützt sein, da eure echte IP-Adresse nicht bekannt ist. Das FBI kannte sie also nicht. VPNs sind nach wie vor sicher. Aber jetzt, nachdem das Geheimnis gelüftet ist, sind sie genauso nutzlos wie bereits zuvor.
Also sagt mir bitte ... Wie sind sie an den Namen dieses Typen gekommen?
Sie haben Microsoft angerufen.
Windows hat etwas, das sich GDID nennt – die Global Device Identifier (Globale Gerätekennung). Sie stammt direkt aus der Telemetrie von Microsoft, und wenn ihr Windows 10 oder 11 habt, übermittelt ihr die ganze Zeit still und leise eure eigenen Daten. Egal, wo ihr euch aufhaltet oder in diesem Fall hin wechselt.
Also ... Was IST diese GDID eigentlich?
Gut, dass ihr fragt ... Sonst hätte ich es euch nie verraten ...
Eine GDID ist – ohne jetzt in diese Abkürzungssuppe einzutauchen – etwas, das jede Windows-Installation erhält. Es ist keine Hardware-ID, denn Hardware kann sich ändern; sie wird bei der ersten Rückmeldung eures Computers an Windows übermittelt (und oh Mann, die rufen WIRKLICH gerne zurück!!).
Jede neue Windows-Installation erhält eine neue GDID. Diese bleibt für immer und ewig erhalten, bis ans Ende aller Zeiten (oder bis ihr diese Spyware löscht, die sich als Betriebssystem tarnt).
Stellt euch das wie eine Mitgliedskarte vor, um die ihr nie gebeten habt und die ihr nicht zurückschicken könnt.
Und egal, was ihr tut – Updates installieren, eine Festplatte austauschen, mehr Arbeitsspeicher hinzufügen, was auch immer ... Sie bleibt bestehen. NUR durch eine saubere Neuinstallation erhaltet ihr eine neue. Aber selbst dann behält Microsoft in seinen Unterlagen die alte ID mit der zugehörigen Historie. Wenn eure Neuinstallation also zufällig von derselben IP-Adresse stammt wie die alte Historie? Dann kann sie weiterhin zu euch zurückverfolgt werden.
Jedes Mal, wenn ihr Windows startet, registriert ein Hintergrunddienst euer Gerät im internen System von Microsoft. In einem Support-Thread eines Nutzers heißt es, dass dieser Dienst bei jedem einzelnen Start 250 bis 300 Megabyte an Daten nach Hause schickt.
Pro Systemstart. Für ein Namensschild. Ich bin mir ziemlich sicher, dass mehr als nur ein Namensschild gesendet wird.
Unabhängig davon gibt es diesen Update-Sharing-Dienst, der genau dieselbe Nummer neben eurer IP-Adresse und dem ungefähren Standort meldet. Eine weitere Diagnose-Pipeline lädt Datenpakete nach eigenem Zeitplan hoch. Und wenn eure Telemetrie nicht vollständig deaktiviert ist, können diese Datenpakete die Webadressen eures Browsers und die URLs enthalten, die der Defender in Echtzeit bei Microsoft überprüft.
Die GDID wird bei jeder Abfrage mitgesendet.
[..]
Ach ja, und bevor ihr jetzt zum nächsten Apple Store eilt: Auch Mac ist kein sicherer Hafen.
Da „GDID“ bereits vergeben war, nennen sie es „DSID“ (Directory Services Identifier - Verzeichnisdienst-Kennung). Auch hier handelt es sich um eine permanente Nummer, die fest mit eurer Apple-ID verknüpft ist. Und Apple hat euren vollständigen Namen, eure Telefonnummer, euer Geburtsdatum, eure E-Mail-Adresse, ...
Ihre Analysesysteme senden diese Nummer bei jedem Tippen im App Store oder in der Musik-App an die Zentrale, selbst wenn ihr angegeben habt, dass sie nicht gesendet werden soll. „Share Analytics“ ist im Grunde reine Augenwischerei. Das bringt überhaupt nichts.
[..]
Das einzige System, das euch helfen kann, ist Linux. Auch dort gibt es eine ID (/etc/machine-id), aber der Unterschied ist grundlegend. Diese Maschinen-ID wird während der Systeminstallation oder beim ersten Systemstart aus einer zufälligen Quelle generiert – auf eurem Rechner, nicht vom Server eines Anbieters vorgegeben, und kein Unternehmen bewahrt eine Kopie davon auf.
Im Handbuch selbst steht, dass sie als „vertraulich“ zu betrachten ist und in nicht vertrauenswürdigen Umgebungen, insbesondere im Netzwerk, nicht preisgegeben werden soll.
Gefällt euch das nicht? Löscht die Datei mit „rm“, startet den Rechner neu, und ihr bekommt eine neue.
Standardmäßig findet keine Datenübertragung auf Betriebssystemebene statt.
Ein Vorbehalt ist jedoch zu beachten: Das Betriebssystem überwacht in diesem Fall zwar nichts, aber die von euch installierten Apps (Chrome, Spotify, eine Google-Anmeldung) übermitteln dennoch auf jedem Betriebssystem Daten an die Hersteller.
[..]
Niemöller hatte nie eine Geräte-ID.
Welch ein Glückspilz.
Anmerkung: Die Zombie-Phoneioten gucken hier:
https://android.izzysoft.de/articles/named/identifiers-1
Autor
Thema: Sicherheit (Gelesen 68062 mal)