So, endlich habe ich mal wieder Zeit gefunden, weiter an dem 23c3-Bericht zu schreiben.
Wie versprochen, ging es zunächst mit dem Vortrag von Robert L. zum Thema „Mining Search Queries“ weiter. Er hat in den Mitte des letzten Jahres veröffentlichten Search Queries von AOL ein wenig Data Mining betrieben und dabei einige recht amüsante Fakten herausgefunden und diese während des Vortrags in netten Grafiken dargestellt. Einige Plausichecks haben am Anfang dargelegt, dass die vorliegenden Daten tatsächliche Search Queries darstellen (etwa: Verlauf der Suchen im Tagesverlauf). Danach konnten weitere Ergebnisse präsentiert werden – etwa, dass der beliebteste Suchbegriff bei AOL „Google“ ist 😉 Weiterhin wurde eine Aufteilung der Suchbegriffe nach Themengebieten durchgeführt. Dabei kam etwa heraus, dass nur 1,X% im Zusammenhang mit Pr0n stehen. So wurden viele weitere amüsante Details präsentiert – insgesamt ein Vortrag, der mir sehr gut gefallen hat!
Nach einer kurzen Pause am Abend ging es weiter mit einem Vortrag von Collin Mulliner – Advanced Attacks against Pocket PC Phones: Collin präsentierte Attacken mittels MMS gegen Pocket PCs. Zunächst erfolgte eine Darstellung des Frameworks zum Handling von MMS (nutzt allen möglichen Krempel… GPRS, WAP, IP, TCP, SMS, MIME – unglaublich). Es stellte sich dabei heraus, dass es möglich ist, Pocket PCs den Empfang einer MMS mittels eine UDP-Paketes an einen definierten Port vorzugaukeln. Der Pocket-PC ruft die eigentliche MMS dann über eine in dem UDP-Paket enthaltene HTTP-Adresse ab. Dies hat den Charme, dass man für Experimente mit dem MMS-System nicht jeweils eine teure MMS über den Mobilfunkprovider versenden muss, sondern dies direkt und ohne Kosten tun kann (Dabei ist jedoch zu bedenken, dass die Provider diverse Filter über die Nachrichten-Header laufen lassen, so dass es nicht möglich ist, belibige Header zu versenden und damit Overflows zu erzeugen. Diese würden dann beim Provider abgefangen.
Anschließend stellte Collin kurz sein Framework vor, dass alle Aufgaben übernimmt. Da seitens der von den Sicherheitslücken betroffenen Unternehmen seit einem halben Jahr keine Reaktion erfolgt ist, hat er sich nun entschlossen, den Source Code zu veröffentlichen. Es gibt das ganze unter www.mulliner.org zum Download.
Der dritte Vortrag am Abend war von Udo Vetter von Lawblog.de. Von diesem Vortrag hatte ich mir im Voraus eine Menge versprochen – und ich wurde nicht enttäuscht. Udo hat über den passenden Umgang mit Polizei und Staatsanwaltschaft im Falle einer Hausdurchsuchung berichtet – Titel des Vortrages: „Sie haben das Recht zu schweigen„. Viele Sachen wusste ich schon – man ist ja zumindest grundlegend informiert -, andere waren mir neu. Etwa, dass man auch als Zeuge bei der Polizei nicht zu einer Aussage gezwungen werden kann. Eine wahrheitsgemäße Aussage kann nur bei der Staatsanwaltschaft per schriftlicher Vorladung erzwungen werden.
Udo hat seinen Vortrag durch zahlreiche Praxisbeispiele angereichert. So war es für mich recht erstaunlich, dass ein „Anfangsverdacht“ für eine Hausdurchsuchung ohne Dursuchungsbeschluss eine zufällig in einer Jackentasche gefundene, unbeschriftete DVD sein kann.
Sehr nett war auch das Publikum, das selbst einige Anekdoten beitrug. Ein fragender etwa: „Bei meiner letzten Hausdurchsuchung…“ – der Rest ging schon im Lachen unter.
Insgesamt ein sehr, sehr guter Vortrag.
Der letzte echte Vortrag an diesem Abend kam von Arthur Meister von den Lockpicking-Spezialisten des CCC – Schlossöffnung bei der STASI. Anhand von auf der Bühne aufgebauten Utensilien aus ehemaligem Stasi-Bestand wurde die Schlossöffnung und der Schlüsselnachbau demonstriert, wie sie damals von den Spezialisten der STASI durchgeführt wurden. Besonderes interessant fand ich den kleinen Automaten zum Nachschleifen von Schlüsseln, der wahlweise mit einer Kurbel oder – soweit vorhanden – mittels Strom betrieben werden kann. Auch mal ein interessanter Vortrag der ganz anderen Art.
Schließlich konnte ich nach dem Ende noch kurz beim Hacker Jeopardy vorbeischauen. Der Gewinner war wie bereits einige Male zuvor Felix ‚fefe‘ von Leitner – und das obwohl im Finale extra eine Kategorie „TFDK“ („Things that Fefe doesn’t know“) eingeführt wurde. Leider konnte ich nur das Finale selbst mitverfolgen und nicht die Vorrunden, da sich das Jeopardy mit dem Lockpicking-Vortrag überschnitten hat. Dennoch war es recht amüsant. Immerhin wusste Fefe tatsächlich keine Frage zur Kategorie „TFDK“ und von keinem Finalisten konnte eine der Antworten der 500er-Kategorie beantwortet werden. Die Aufgaben waren also recht knackig gestellt.