Guymon

Überwachung von Vorschulkinder mit RFID-Chips

Was für eine beschissene Idee und unglaublich dumme Begründung:

Die Visionen von Autor Cory Doctorow in seinem Buch „Little Brother“ scheinen schon jetzt Realität zu werden. Wenn die Vorschulkinder von Constra Costa Country morgens von ihren Eltern ins Gebäude gebracht werden, deponiert man den personalisierten Chip am Kind selbst und entnimmt die Hardware, bevor die Kinder die Schule verlassen. Den ganzen Tag über werden alle Bewegungen innerhalb der Schule festgehalten. So kann beispielsweise überprüft werden, ob sich die Kinder in der Mittagspause im Speisesaal einfinden oder wer sich häufiger unerlaubt vom Gelände entfernt. Die Schulsprecherin hält die neuen Maßnahmen für angemessen. Statt die Kinder für viel Geld von Lehrern oder Erziehern beaufsichtigen zu lassen, würden die RFID-Chips jetzt überprüfen, wo sich die Kleinen im Schulgebäude aufhalten.

Datensammlung an der Kasse

Nach Informationen der Frankfurter Rundschau sammeln offenbar alle großen Anbieter von Kassensystemen zur Kartenzahlung die Daten der Kunden. Sie setzen sie systematisch für sofortige Bonitätsprüfungen an der Kasse ein. Die Datenbanken geben dann bei künftigen Einkäufen eine Empfehlung darüber ab, ob dem Kunden getraut werden kann.

Dabei greifen die Firmen aber nicht nur auf Sperrdateien zurück. Diese vermerken Kunden, deren Abbuchungen tatsächlich jüngst geplatzt sind. Sondern es werden auch Positivlisten angelegt. Bei Intercard heißt es zum Beispiel, dass 75 Prozent aller im Handel eingesetzten Karten in einer sogenannten White-List geführt werden. Darin werden offenbar Daten über Häufigkeit des Karteneinsatzes und eingesetzte Summen ausgewertet. Daraus kann ein grober Rückschluss auf die Bonität gezogen werden. Diese Bewertung bleibt auch allen anderen Kunden, die die Kasse beobachten, nicht verborgen

via fr online

Sicherheitsprobleme beim elektronischen Personalausweis

Der Chaos Computer Club (CCC) hat in Zusammenarbeit mit Schweizer Sicherheitsexperten eine praktische Demonstration der Unsicherheit des elektronischen Personalausweises geliefert. Aus der Pressemeldung:

Die Sicherheitsexperten Max Moser und Thorsten Schröder konnten zeigen, daß sich schon mit einfacher, für jedermann problemlos im Netz erhältlicher Software sowohl die SuisseID als auch der elektronische Personalausweis (ePA) ferngesteuert benutzen lassen. Die dafür ausgenutzten Sicherheitslücken werden bereits heute hunderttausendfach von Kriminellen benutzt, um etwa Kontendaten zu erlangen.

“Es geht hier nicht um theoretische Schwachstellen, es geht um praxisrelevantes systemisches Versagen”, kommentiert CCC-Sprecher Dirk Engling. “Gerade die Sicherheit gegen Alltagsrisiken, wie Schadsoftware auf dem heimischen PC, muß bei so massenhaft eingesetzten Systemen wie der SuisseID und dem ePA im Vordergrund stehen.”

Der neue Personalausweis hat die ersten Sicherheitsprobleme

Der neue Personalausweis hat bereits die ersten Sicherheitsprobleme:

Das ARD-Magazin “Plusminus” hat im Sicherheitssystem des neuen Personalausweises, der am 1. November 2010 eingeführt wird, gravierende Mängel festgestellt. In Zusammenarbeit mit dem Chaos Computerclub prüfte die Redaktion Testversionen der Basis-Lesegeräte. Für Betrüger ist es demnach problemlos möglich, geheime Daten abzufangen - inklusive der geheimen PIN-Nummer. Die Lesegeräte sind nötig, wenn man den neuen Personalausweis am heimischen Computer nutzen wolle und sich somit für die Abwicklung von Internet-Geschäften zu identifizieren.

Weder Bundesinnenminister Thomas de Maizière noch das BSI sieht Handlungsbedarf. Moment, wurde uns das Ding nicht als Sicherheits-Gewinn verkauft?!

Chip and PIN is broken

Forschern der University of Cambridge ist es gelungen den Eurocard Mastercard Visa (EMV) zu knacken, was die Nutzung von Karten ohne PIN erlaubt. (pdf)

In essence, there is a gaping hole in the specifications which together create the “Chip and PIN” system. These specs consist of the EMV protocol framework, the card scheme individual rules (Visa, MasterCard standards), the national payment association rules (UK Payments Association aka APACS, in the UK), and documents produced by each individual issuer describing their own customisations of the scheme. Each spec defines security criteria, tweaks options and sets rules – but none take responsibility for listing what back-end checks are needed. As a result, hundreds of issuers independently get it wrong, and gain false assurance that all bases are covered from the common specifications. The EMV specification stack is broken, and needs fixing.