Guymon

Chip and PIN is broken

Forschern der University of Cambridge ist es gelungen den Eurocard Mastercard Visa (EMV) zu knacken, was die Nutzung von Karten ohne PIN erlaubt. (pdf)

In essence, there is a gaping hole in the specifications which together create the “Chip and PIN” system. These specs consist of the EMV protocol framework, the card scheme individual rules (Visa, MasterCard standards), the national payment association rules (UK Payments Association aka APACS, in the UK), and documents produced by each individual issuer describing their own customisations of the scheme. Each spec defines security criteria, tweaks options and sets rules – but none take responsibility for listing what back-end checks are needed. As a result, hundreds of issuers independently get it wrong, and gain false assurance that all bases are covered from the common specifications. The EMV specification stack is broken, and needs fixing.

Kontraste: Sicherheitsrisiko an deutschen Flughäfen

Und hier noch mal einmal ein Beispiel für das aktuelle Sicherheits-Theater: Für viel Geld werden unsinnige Nacktscanner installiert aber die einfachste physikalische Sicherheit im Flughafen wird ignoriert:

Die Diskussion über die Sicherheit an deutschen Flughäfen geht weiter – Stichwort „Nacktscanner“. Doch nun gibt es ein ganz neues Problem: Hacker sind in der Lage, die Ausweise des Personals heimlich per Funk zu kopieren. Mit solchem Datenklau könnten sich Terroristen Zugang zu sicherheitsrelevanten Bereichen verschaffen.

Das YouTube Video gibt es hier.

Datenkraken: Elena

Matthias Becker setzt sich für telepolis mit dem Elektronischen Engeltnachweis (Elena) auseinander. Elena erfasst in einer zentralen Datenbank unter anderem Namen, Anschrift, Geburtsdatum, Höhe des Gehalts und der Zeitraum des Beschäftigungsverhältnisses. Natürlich soll alles streng zweckgebunden sein - wie immer am Beginn solcher Projekte.

Mit “Elena” entsteht ein veritables digitales Abbild der Beschäftigungsverhältnisse in Deutschland. Die enthaltenen personenbezogenen Daten ließen sich ohne großen Aufwand zur Erstellung von Personenprofilen nutzen. Für Datenschützer besonders problematisch: Auch wer gar keine Anträge auf Elterngeld oder Arbeitslosenhilfe stellt, wird erfasst.

Becker betont, dass es bei diesem Projekt auch um die flächendeckende Einführung einer elektronischen Signatur geht. Und was das angeht erwarte ich nichts gutes: erst der Zwang diese Signatur für die Kommunikation mit den Behörden zu verwenden, dann steigen Online-Shop und sonstige Bezahl-Dienste darauf um und irgendwann wird die Nutzung des Internets ohne Signatur Karte verboten. Anonymität adé.

SIGINT 09 Videos

Die Videos der SIGINT 09 sind online.

Du bist Terrorist

Erst kürzlich haben wir herausgefunden, daß in Deutschland mehr als 82 Millionen versteckte (potenzielle) Terroristen wohnen. Du bist einer davon.

Video-Animation zur Lage der Nation.