16. April 2005, Hotel Schwanen Rapperswil, Cader Association of Swisscom. Spuren im Netz. Prof. Dr. Peter Heinzmann

Transkript

1 16. April 2005, Hotel Schwanen Rapperswil, Cader Association of Swisscom Spuren im Netz Prof. Dr. Peter Heinzmann Institut für Internet Technologien und Anwendungen, HSR Hochschule für Technik Rapperswil (ITA-HSR) und cnlab AG, Tiefenaustrasse 2, 640 Rapperswil 1

2 Institut für Internet-Technologien und Anwendungen Fachhochschule Ostschweiz, Hochschule für Technik, Rapperswil (HSR) Elektrotechnik (195) Informatik (136) Maschinenbau (103) Gartenbau (93) Raumplanung (68) Bauingenieurwesen (65) 660 Students (44% FHO Students) 1997 HSR spin-off 10 Mitarbeiter Internet Sicherheit (PGP) Internet Spezialanwendungen Internet Qualitätsmessungen ITA-HSR: Institut für Internet- Technologien and -Anwendungen

3 Internet Geschichte (named host count) 350'000' '000' '000' '000' '000'000 Jan 1995: 5Mio Rechner, Jan 2000: 72 Mio Rechner Jan 2005: 318 Mio Rechner (Sept 2000: Domains in.ch Jan 2002: Rechner in der Schweiz; 45% der CH-Bevölkerung nutzen das Internet mindestens einmal pro Woche ) 2005: VoIP verbreitet 2000: P2P (Napster) 96: Microsoft bekennt sich zu Internet 95: Java-Programme für Browser 100'000'000 93: WWW Browser 50'000'000 80: TCP/IP wird 91: WWW am Cern Standard 68: ARPAnet 0 Jan 80 Jan 85 Jan 90 Jan 95 Jan 00 Jan

4 Die Firma cnlab ist ein Spinoff der HSR Hochschule für Technik Rapperswil. Cnlab ist aber völlig unabhängig von der HSR und hat - ausser dass P. Heinzmann auch Dozent an der HSR ist nichts mit der HSR zu tun. Die 10 Mitarbeiter der cnlab AG machen Enigneering based Consulting. Die Schwerpunkte sind Internet Sicherheitsüberprüfungen und Software Entwicklung. Einige Internet-Spezialanwendungen sind auf der cnlab Einstiegsseite zu finden

5 Was interessiert uns an Spuren? Wer/was hat sie gelegt? Wo verlaufen sie? Wohin führen sie? Wann wurden sie gelegt? Was kann ich über die Spurenleger herausfinden? Was nützt mir dieses Wissen?

6 Spuren legen und Spuren lesen 6

7 1. Die Spur der Datenpakete (Internet: ein Netz von Netzen) pc4.cnlab.ch cnlab.ch polizei.bayern.de switch.ch Router greenpeace.org hsr.ch mci.com Das Internet ist ein Netz von Netzen. Die Datenübertragung erfolgt paketweise. Jedes Paket enthält die Internet-Protocol (IP) Adresse des Absenders und der Destionation. Die Weiterleitung an verschiedene Teilnetze besorgen so genannte Router. Jeder Rechner im Netz muss eine eindeutige IP-Adresse haben (z.b ). Diesen Adressen ist ein für Menschen einfacher merkbarer Name zugeordnet (z.b. 7

8 Auswertung mit tracert bzw. traceroute oder mit Visualroute Informationen zu den Besitzern von Internet- Teilnetzen sind in den whois-datenbanken abrufbar. OrgName: Verio, Inc. OrgID: VRIO Address: 8005 South hester Street Address: Suite 200 City: Englewood StateProv: CO PostalCode: Country: US Der Weg der Datenpakete vom eigenen Rechner zu einem beliebigen anderen Rechner ist mit dem Programm tracert beim Windows Command Fenster (bzw. Traceroute bei Unix) auslotbar. Man kann aber sogar den Weg zwischen einem Server Ihrer Wahl (z.b. und einem VisualRoute Referenzserver geographisch und mit weiteren Informationen aufzeigen (z.b. Antwortzeiten, Besitzerinformationen). Man sieht dann beispielsweise, dass der Server in Hamburg, Deutschland oder der Server in Perth, Australia liegt. Zu den Domänen (z.b. zu hsr.ch) sind bei über die whois-datenbank Informationen zu den Besitzern der Domäne abrufbar. 8

9 2. Click-Angaben Browser Anfragen, Eingaben GET HTTP/1.1 Serverprogramm Web-Seiten... Programme Hypertext-/ HTML-Seite (Homepage) Click-Infos Was? Woher? Wer? Womit? Gewünschte Seite IP-Adresse des eigenen Rechners: Referer: Letzte besuchte Seite User-Agent, Browser, Version: Mozilla/4.0 (MSIE 5.0; Windows NT) Ein Beispiel von Informationen, welche der Browser zum Server schickt: User's IP address: User's machine name: cn-windli1.hsr.ch Current web page: /cgi-bin/userdata.pl Previous web page visited: Cookie: Browser type: Mozilla/4.0 (compatible; MSIE 5.0; Windows NT; DigExt) Browser acceptable language: de-ch Acceptable data type: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/vnd.ms-excel, application/msword, application/vnd.ms-powerpoint, */* Acceptable encoding method: gzip, deflate Port number of user's software: 1565 Server name: www2.idzap.com Mit diesen Informationen kann auf dem Server eine Datenbank aufgebaut werden, in welcher Einstellungen des Rechners/Browsers abgespeichert sind, die Hinweise auf dessen Nutzer geben. 9

10 Beispiel: HTTP Header Viewer GET HTTP/1.1 Host: Accept:image/gif,application/x-shockwave-flash, Accept-Encoding:gzip Accept-Language:de-ch Referer: User-Agent:Mozilla/4.0 (MSIE6.0; WinNT5.1; Tablet PC1.7 ) HTTP/ OK Date: Sat, 16 Apr :41:11 GMT Server: Rapidsite/Apa/ (Unix) FrontPage/ mod_ssl/ OpenSSL/0.9.7c Last-Modified: Mon, 07 Feb :53:39 GMT ETag: "ed57a f3" To view the HTTP Header sent by the web server: To view the HTTP Header sent by the Browser:

11 Auswertung der Logfiles beim Server Werkzeuge Webalyzer NetTracker Netoutcome Coast WebMaster Wusage Webtrends Accesswatch netoutcome is a cookie based user tracking and database solution. It records the activity of individual users and is many times more accurate than a standard log based solution. COAST WebMaster Pro offers the most detailed web site analysis and extensive traffic reporting, for use by the web team and others in the organization. Filtering and drill-down capabilities let you track every detail on visitors to your site. It even lets you graph your web site traffic for further trend analysis. NetTracker Professional comes with thirty standardized summaries that present detailed information about the effectiveness of your web site. Summaries include banner ad, cookie, keyword, link, page, path, referrer, server performance and user summaries. Webalyzer Definition: HITS is the total number of HTTP requests that the server received during the reporting period. FILES is the number of hits that actually resulted in something being sent back to the user, such as an HTML page or image. Pages are those URLs that would be considered the actual page being requested, and not all of the individual items that make it up (such as graphics and audio clips). Some people call this metric page views or page impressions, and defaults to any URL that has an extension of.htm,.html or.cgi. Visits occur when some remote site makes a request for a page on your server for the first time. As long as the same site keeps making requests within a given timeout period, they will all be considered part of the same Visit. If the site makes a request to your server, and the length of time since the last request is greater than the specified timeout period (default is 30 minutes), a new Visit is started and counted, and the sequence repeats. Sites is the number of unique IP addresses/hostnames that made requests to the server. Care should be taken when using this metric for anything other than that. Many users can appear to come from a single site, and they can also appear to come from many ip addresses so it should be used simply as a rough guage as to the number of visitors to your server. 11

12 Personalisierung Ziel ist es, über den Webserver die BesucherInnen möglichst persönlich bedienen zu können. So genannte Avatare sollen dem Web ein menschliches Verhaltensmuster geben. 12

13 3. Texteingaben Direkte Personendaten Bestellungen Anmelden bei Gratisdiensten SW-Downloads Indirekte Personendaten Eingaben bei Suchmaschinen Auswahl von Musikstücken Serverprogramm Hypertext-/ HTML-Seite (Homepage) Kundenund Verhaltens- -Infos Bei der Nutzung von vielen Gratisangeboten (z.b. Mail, kleine Programme) werden in der Regel sehr viele persönliche Informationen Preis gegeben. mog=&.done= k=&partner=&promo=&ym_agreed=&.intl=us&.tointl=1 Angaben über seine Interessen macht man unweigerlich bei Suchanfragen. 13

14 Auswertung von Web-Seiten- oder News- Informationen mit Suchmaschinen Google, Alta Vista, Lycos, Web Crawler,... durchsuchen über 10 Mio Web-Seiten pro Tag Datenbank mit bis zu 140 Mio Web-Seiten Liste/Index mit allen Worten -> Seite Spyder, Robot, Worm, Crawler,... Aufgaben.Geographie... Suchbegriff:

15 Auswertung von Benutzereingaben (Content Based Marketing) mog=&.done= k=&partner=&promo=&ym_agreed=&.intl=us&.tointl=1 15

16 Spezielle Suchmaschinen: Harvester 1. Phase: Web-Seiten mit Suchbegriffen finden Weiteren Links folgen 2. Phase: Adressen auf Web-Seiten Suchen search engines from 36 countries two HTML parsers Microsoft parser and built-in parser scripting technology to process found s on fly very flexible plugins technology flexible limiters of scanning range command line mode to automize 16

17 CREATIVE MARKETING ZONE Alain Ralsky (SPAM King) Aliases: Jeff Kramer, Additional Benefits, Creative Marketing Zone Inc, Sam Smith, William Window, : couple of mailing lists, making $6,000 a week 2001: Creative Marketing Zone, Inc., Nevada 2002: 250 million valid addresses 0.25% response rate 0.75% of mails opened (hidden notification code) 89 Million people have opt-out (between 1997 and 2002) up to $22,000, for single mailing to entire database stealth spam (Romanian program), detect computers that are online and then flash them a pop-up ad 2004: Hundreds of domains: aboutchpecha.com, Some statements from Alain Ralsky (Mike Wendland: Spam king lives large off others' troubles, November 22, and "I've gone overseas," he said. "I now send most of my mail from other countries. And that's a shame. I pay a fortune to providers to do this, and I'd much rather have it go to American companies. But I have to stay in business, and if I have to go out of the country, then so be it." The computers in Ralsky's basement control 190 servers located in Southfield, 50 in Dallas and 30 more in Canada, China, Russia and India. Each computer, he said, is capable of sending out 650,000 messages every hour -- more than a billion a day -- routed through overseas Internet companies Ralsky said are eager to sell him bandwidth. "I'll never quit," said the 57-year-old master of spam. "I like what I do. This is the greatest business in the world." It's made him a millionaire, he said, seated in the wood-paneled first floor library of his new house. "In fact," he added, "this wing was probably paid for by an I sent out for a couple of years promoting a weight-loss plan." In 1997 he bought a couple of mailing lists from advertising brokers and, with the help of the computers, launched a new career that soon was making him $6,000 a week. Ralsky said he includes a link on each he sends that lets the recipient opt out of any future mailings. He said 89 million people have done just that over the past five years, and he keeps a list of them that grows by about 1,000 every day. That list is constantly run against his master list of 250 million valid addresses. The response rate is the key to the whole operation, said Ralsky. These days, it's about one-quarter of 1 percent. Ralsky makes his money by charging the companies that hire him to send bulk a commission on sales. He sometimes charges just a flat fee, up to $22,000, for a single mailing to his entire database. Ralsky has other ways to monitor the success of his campaigns. Buried in every he sends is a hidden code that sends back a message every time the is opened. About three-quarters of 1 percent of all the messages are opened by their recipients, he said. The rest are deleted. Ralsky, meanwhile, is looking at new technology. Recently he's been talking to two computer programmers in Romania who have developed what could be called stealth spam. It is intricate computer software, said Ralsky, that can detect computers that are online and then be programmed to flash them a pop-up ad, much like the kind that display whenever a particular Web site is opened. "This is even better," he said. "You don't have to be on a Web site at all. You can just have your computer on, connected to the Internet, reading or just idling and, bam, this program detects your presence and up pops the message on your screen, past firewalls, past anti-spam programs, past anything. 17

18 4. Identifikation via Pseudonym (Cookies) Browser erste Abfrage GET HTTP/1.1 Serverprogramm Reply Cookie HTML- Seiten spätere Abfrage GET www. shop.ch/new/ HTTP/1.1 Cookie-Infos Wann zuletzt? Was zuletzt? Cookie speichert Daten unter einem Pseudonym des Browsernutzers. 18

19 Auswertung/Bezug auf vorangegangene Besuche: Personalisierte Web-Seiten Bei vielen Web-Angeboten werden Sie persönlich begrüsst und vielleicht sogar darüber informiert, dass bestimmte neue Produkte verfügbar sind, die genau für Sie interessant sein könnten. Das ist dadurch möglich, dass abgespeichert wurde, für welche Produkte Sie sich früher schon mal interessiert hatten. 19

20 5. Angaben in Datenbanken tel.search.ch und map.search.ch

21 tel.search.ch Strasse + Google

22 Google News, Google Images

23 6. Verdeckte Abfragen JukeBox Musikstücke Hördauer Geräte / SW PlayerID Playlist Musikserver Nutzungs- Daten DataBank seamlessly integrates ad and site activity data to allow analysis of the complete customer lifecycle from impression to purchase. DobleClick servers send out more than a billion banner ads every day Closed-Loop Marketing more control over your online ads more meaningful relationships with consumers and the power to act on what you learn create a clear correlation between advertising and life long customers DART centralizes campaign management creates a single set of reports (including post-click activity) for your entire campaign. 23

24 7. Spuren von Mobiltelefonen

25

26 Spuren auswerten 26

27 Auswertung: Data Mining Ad-Server ad.doubleclick.net M M M GET ad.doubleclick.net..hotel+... A A A Browser M Click- Infos M Kunden- Infos M Cookie- Infos Banner: /adi/altavista.digital.com/result_front; kw=hotel+and+barcelona+and+velo; lang=xx;cat=stext;ord= ? Referer: A Click- Infos A Kunden- Infos A Cookie- Infos

28 Kosten der Datenschutzverletzung (Double Click Börsenkurs) 16. Februar Das unvorsichtige Datenschutz-Policies auch Geld kosten können, zeigt der Verlauf der Double Click Börsenkurse nach Bekanntgabe der Untersuchung durch die Federal Trace Commission. 28

29 Auswertung: SPAM 1937: Hormel & Co. economical pork loaf called SPAM government did not allow to call it ham) advertising campaign for "Spamwich" or "Spambled eggs" 1970: Monty Python's Flying Circus Wikingersketch (SPAM) 1994: Laurence Canter and Martha Siegel made a newsgroup posting about a Green Card Lottery SPAM used for messages to flood newsgroups with irrelevant or inappropriate messages 2002: SPAM is getting a significant Internet problem US company Hormel Trademark: During the Great Depression, George A. Hormel 's ( ) company sold 1.5-pound cans of beef stew for only 15 cents, providing an affordable, filling, and nutritious meal for the families of unemployed workers. The beef stew and other "poor man's dishes" (including canned products such as corned beef and cabbage, spaghetti and meat balls, and chili con carne) were highly regarded in those lean years. "Encouraged by the success of its poor man's dishes, Hormel & Co. introduced an economical pork loaf in The canned meat ran into a major problem before it even got to market, however, when the U.S. government would not allow the company to call it ham, because it was made from pork shoulder instead of the hindquarters. The product was called SPAM instead ov Ham (as an Abbrevation for Spiced Pork and Ham ) November 1970 there was a Monty Python's sketch on SPAM in a cafe. One table is occupied by a group of Vikings with horned helmets on. A man and his wife enter. Whenever they hear the word Spam everybody is repeating and singing Spam, Spam,. April 13, 1994 there was a lowers couple, Laurence Canter and Martha Siegel, who used the Usenet to send out an advertisement about their (overpriced) immigration help service. They made an announcement, that people could win Green Cards by sending a postcard to the Green Card lottery service and at the same time they advertised their (overpriced) services to immigrant communities. This created a big, endless discussion about advertising in Usenet news groups. Around 2002, SPAM is really an important problem in communication. 29

30 80% 75% 70% 46% ungültige Adressen 65% 60% 55% 50% 45% 10% Virenmails 40% 35% 30% 25% 20% 15% 10% 31% SPAM ungültige Adressen Viren behaftet Clean (mit Spam Assassin) Clean ( (mit Brightmail) 5% 0% 13% Clean Mails Mittlerweile sind rund Dreiviertel der empfangenen Mails SPAM, wobei die Hälfte nicht existierende Namen enthalten und daher leicht erkannt werden können. Dies sind Mails, welche von Robot-Programmen stammen, die SPAM (und Viren) an konstruierte Adressen bekannter Organisationen verschicken. Etwa 15% aller Mails enthalten Viren und nur jede zehnte der empfangenen Mails ist eine echte Mail. Diese werden manchmal auch als HAM bezeichnet. 30

31 Health; 7% Leisure; 6% Internet; 7% Scams; 9% Other; 3% Spiritual; 4% SPAM-Arten Products; 25% Financial; 20% Adult; 19% 2003: spam-statistics.html SPAM Unaufgeforderte Massenmails, welche maschinell versandt wurden UBE (Unsolicited bulk ) UCE (Unsolicited commercial e- mail) Keine (Geschäfts)Beziehung zwischen Sender und den meisten der Empfägner SPORN: SPAMs mit pornographischem Inhalt SCAM: SPAMs mit gefälschtem/ bösartigem/ kriminellen Inhalt Nigeria Info Grabber (Phishing) The 2003 statistics were derived from a number of different reputable sources including: Google, Brightmail, Jupiter Research, emarketer, Gartner, MailShell, Harris Interactive, and Ferris Research. Worst of the Spam - Sporn - How well does the filter support the blocking of sporn or spammed pornography? Does it allow you to block all pornography and/or adult themes? Does it allow you to view quarantined without viewing any of the pornographic i? As much as 8% of all is pornographic in nature, what we at Spam Filter Review call Sporn or spammed pornography. 31

32 Info Grabber: Cheap Rolex? Lockvogelangebote für Rolex-Uhren, Windows Software, Wettbewerbe, Gefälschte Bestellung, mit falscher MC Nummer und Junk am abgeschickt: Keine Verschlüsselung Falsche Kreditkartennummer nicht detektiert Keine -Bestätigung für die Bestellung wahrscheinlich geht es nur darum, Kreditkarten- und Personen Informatinen zu sammeln. 32

33 Voice over IP (VoIP) Phase 2b Plane Old Telefone System (POTS) Gateway Phase 3 Gateway ISP Phase 2a Gateway Phase 1 Cordless Phone Hard Phone Soft Phone IP-Telefonie Phase 1: Telefonieren von Internet-PC zu Internet-PC ist seit etwa 2000 mit einfachen, frei verfügbaren Programmen möglich. Im einfachsten Fall reicht eine kostenlose Software (z.b. Internet Messenger, Skype, Iphone von freenet, global iphones) und ein Kopfhörer mit Mikrofon. Es gibt keinen Übergang zum POTS. IP-Telefonie Phase 2a: Einsatz von VoIP im internen Netz, um Haustelefonzentralen zu ersetzen. Anstelle der Haustelefonzentrale (PBAX) wird ein VoIP-Zentrale mit Gateway zum normalen Telefonnetz (POTS) eingesetzt. IP-Telefonie Phase 2b: Internet Service Provider (z.b. Cablecom) bieten über ihre Infrastruktur die Möglichkeit, konventionelle Telefone über den Internet- Anschluss (Router, Cablemodem) anzuschliessen. Beim ISP gibt es eine VoIP- Zentrale für den Übergang zum POTS. IP-Telefonie Phase 3: VoIP wird nicht nur von PC zu PC, sondern auch von PC zum POTS ermöglicht. Die Kunden erhalten eine konventionelle Telefonnummer und sind auch vom POTS aus erreichbar (vgl. Skype). 33

34 Next Waves: SPIM & SPIT SPIM: SPAM over Internet Messenger SPIT: Spam over Internet Telephony Cheap voice over IP (VoIP) Internet-NetPhone- Connections Calling machines

35 SPAM-Kosten Kalkulator Durch Spamming fallen Kosten an. Mehrheitlich werden diese nicht vom Spammer bezahlt: Download der Nachrichten Unnötiger Verbrauch von Festplattenplatz Unnötiger Traffic auf Netzwerkressourcen SPAM auf falsche Adressen: Fehlermeldungen kommen zum ISP Finden Sie heraus wie sich Spam auf die Finanzen und Produktivität Ihrer Unternehmung auswirkt. Füllen Sie Felder 1-5 mit den entsprechenden Zahlen und clicken sie auf 'Spamkosten Berechnen'. Diese Kalkulation ist nur eine Schätzung und bezieht keine Kosten ein, welche durch verschwendeten Speicherplatz, Bandbreite und IT Personal entstehen. 35

36 Überwachungskamerakarte für Zürich Kameratypus Burg: Rundumüberwachung Erkerkamera: Eingangsüberwachung mit zwei Kameras. Spezialfall der Vorraumüberwachung Klingelkamera: Zugangskontrolle direkt bei der Hausklingel Einschalten nach Bedarf. Fokus: mittel Raumüberwachung: Grossflächig. Fokus: mehrere Meter. Vorraumüberwachung: Eingang, Abfallsammelstellen und Parkplätze. Fokus: mittel Überwachungskameras im Hauptbahnhof Zürich: An keinem anderen öffentlich zugänglichen Ort in Zürich ist die Dichte der Überwachungskameras höher als am Hauptbahnhof: Über 100 Kameras beobachten KundInnen und Angestellte von Bahn und Shopping. Der Hauptbahnhof wird täglich von Menschen frequentiert. Die Kameras sind alle auf den öffentlich zugänglichen Bereich gerichtet. Sie dienen der Verhaltenskontrolle, der Beweissicherung und der Einsatzplanung in Krisenfällen. Die meisten Kameras sind untereinander zu einem eigentlichen CCTV-System vernetzt, das von der Kantonspolizei und den Bundesbahnen SBB gemeinsam betrieben wird. (CCTV = Closed Circuit TV). ProduzentInnen: Bigbrother Awards Schweiz & Rote Fabrik in Zusammenarbeit mit SIUG (Swiss Internet User Group) und dem Archiv Schnüffelstaat Schweiz (ASS) Gestaltung Print / Web: Annina Rüst Überwachungskameras in Köln: Chaos Circuit Television - Datenbank 36

37

38 Weitere Livecams: 38

39 Zusammenfassung 39

40 Zusammenfassung 1: Spuren lesen im Internet ist aufschlussreich Wer/was hat sie gelegt? Datenpakete, Mails, Clicks, Eingaben Wo verlaufen sie? Wohin führen sie? Wann wurden sie gelegt? Tracert, VisualRoute Server Log Files Was kann ich über die Spurenleger herausfinden? Organisation, Name, Lokation, Interessen, Beziehungen,

41 Zusammenfassung 2: Es wird immer mehr Spuren geben (Mobiltelefonspur: TourLive) Nokia 6630 Fortuna GPS Modul cnlab TourLive- Mobile Software

42 Zusammenfassung 3: 1. Wir hinterlassen Spuren im Netz HTTP, Benutzereingaben, Cookies 2. Daten werden nicht nur lokal gesammelt Ad-Server, Data-Mining, Verkauf Browser GET ad.doubleclick.net/banner 3. Privacy Probleme können teuer zu stehen kommen DoubleClick Beispiel,... 42