Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke

Transkript

1 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop, Hamburg 10. Februar 2010 Dominik Birk, Felix Gröbert, Dr. Christoph Wegener creativecommons.org/licenses/by-nc-nd/3.0/de 1

2 Mitwirkende Dominik Birk Felix Gröbert Dr. Christoph Wegener Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 2 / 37 2

3 Menschen & Technik Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 3 / 37 3

4 Wert von Information Information Preis in US$ Internetbanking Zugang Kreditkarten mit CCV2 0,50 12 Kreditkarten 0, Adressen ca. 0,35 / MB komplette Identitäten 0,90 25 Cash-out Service 8-50% share Proxy 0,30 20 angepasster Banking-Trojaner 1000 Quellen: Panda Labs: The Business of Cybercrime, Symantec Report on the Underground Economy Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 4 / 37 4

5 Wert von Information Information Preis in US$ Internetbanking Zugang Kreditkarten mit CCV2 0,50 12 Kreditkarten 0, Adressen ca. 0,35 / MB komplette Identitäten 0,90 25 Cash-out Service 8-50% share Proxy 0,30 20 angepasster Banking-Trojaner 1000 Quellen: Panda Labs: The Business of Cybercrime, Symantec Report on the Underground Economy Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 4 / 37 4

6 Identitätsdiebstahl Missbräuchliche Nutzung personenbezogener Daten einer Identität durch Dritte Identitätsdiebstahl ist eine der am stärksten zunehmenden Kriminalitätsformen in hochtechnisierten Ländern. FTC Attribut Name Adresse Geburtsdatum SSN Bank Konto Passwort PIN Gefahr Niedrig Niedrig Mittel Hoch Hoch Hoch Hoch Quelle: yourcreditadvisor.com Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 5 / 37 5

7 Web 1.0 Internet B2C E-Commerce Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 6 / 37 6

8 Web 2.0 C2C B2C AJAX Wikis Blogs Tags RSS Soziale Netzwerke Internet 211 Millionen Nutzer von Sozialen Netzwerken (bei 283 Millionen Internetnutzern in der EU) Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 7 / 37 7

9 Web 2.0 Hebel Viele verschiedene Dienste mit offenen Schnittstellen Essenz: multimediale, personenbezogene Daten Daten sammeln, durch Verknüpfung anreichern Wert der Daten steigt Weiterverkauf Nutzen der angereicherten Daten Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 8 / 37 8

10 Modellierung Soziale Netzwerke Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 9 / 37 9

11 Soziale Netzwerke i n Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 10 / 37 10

12 Soziale Netzwerke 23 0,391 0, ,986 0, i n w 0,391 0,986 0,544 0,009 n Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 11 / 37 11

13 Identität ( i, A, R ) = 3-Tupel zur Beschreibung einer Identität Attribute: Name, Adresse, Hobbys, Geburtsdatum, , Arbeitgeber, CV, Mitgliedschaften Identität Attribut Relation Attribut Relation Attribut Relation Attribut Relationen: i n w 0,391 0,986 0,544 0,009 n Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 12 / 37 12

14 Aggregation Segeln Fischen Kochen Lesen Surfen Parties Reisen Freitext (twitter): habe gerade das neue Kochbuch von Rach gelesen... gähn #fail Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 13 / 37 13

15 Datenbeschaffung Methoden: Crawling Cracking Buying Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 14 / 37 14

16 Angriffsvektoren: Crawling Crawling Iterieren über profile.php?id=12001 Einheitliche Darstellung & Strukturen Captchas - Turingtest zur Differenzierung zwischen Mensch und Maschine Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 15 / 37 15

17 Quelle: Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 16 / 37 16

18 Angriffsvektoren: Cracking Cracking Breites Angriffsspektrum, Technologievielfalt SQL Injection häufigst gemeldete Schwachstellenkategorie Im Zeitraum vom 1.1. bis : personenbezogene Daten gestohlen Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 17 / 37 17

19 Angriffsvektoren: Cracking StolenLaptop 23% Hack 22% Unknown 2% LostDocument 2% StolenDocument 2% LostTape 3% SnailMail 3% LostMedia 4% Web 17% Disposal_Document 4% Uncategorized 7% Incidents by Breach Type Quelle:Open Security Foundation's DataLossDB StolenComputer 9% Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 18 / 37 18

20 Angriffsvektor: Buying Illegaler Einkauf Foren, IM, IRC Legaler Einkauf Datenhändler Call Center Crawling Services (80legs) Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 19 / 37 19

21 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 20 / 37 20

22 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 21 / 37 21

23 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 22 / 37 22

24 Resultat Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 23 / 37 Quelle: Alexander Kasper 23

25 Profilergänzung StudiVZ MySpace YouTube Blogger Telefonbuch Flickr Xing (OpenBC) GnuPG Keyserver Korrelation Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 24 / 37 24

26 Korrelation Netzwerk 1 Netzwerk 2 Graph G Graph G 1 2 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 25 / 37 25

27 Korrelation L sim Graph G Graph G 1 2 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 26 / 37 26

28 Korrelation L sim Graph G Graph G 1 2 Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 27 / 37 27

29 Attribut-basierte Korrelation 87 % der Amerikaner sind eindeutig identifizierbar über die drei Attribute: Geschlecht Postleitzahl Geburtsdatum Quelle: Zudem: weitere Attribute können über Freitexte (zb twitter) gewonnen werden Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 28 / 37 28

30 Angriffsphase Missbrauch der Vertrauensbeziehung unter den Nutzern z v Vorherige Phasen helfen bei Auswahl geeigneter Opfer u Missbrauch öffentlicher, persönlicher Attribute Hallo [v, x, y, z], ich bins u y x Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 29 / 37 29

31 Angriffsphase Missbrauch der Vertrauensbeziehung unter den Nutzern z v Vorherige Phasen helfen bei Auswahl geeigneter Opfer u Missbrauch öffentlicher, persönlicher Attribute Hallo [v, x, y, z], ich bins u y x Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 29 / 37 29

32 Autom. Sophisticated Phishing Phishing Mails verleiten das Opfer eine Aktion zu tätigen sophisticated, da zielgerichtete Adressierung (Manueller) Advanced Persistent Threat (APT) war auch beim Angriff auf Google erfolgreich An: Von: Hallo Frau Bongartz, herzlichen Glückwunsch auch von mir. Uwe Mustermann hat mir gestern diesen Link vom Segeln geschickt! Beste Grüße, Dieter Obermann Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 30 / 37 30

33 Ergebnis Reaktion auf eine Nachricht folgt in: Datendiebstahl von Passwörtern, etc. Vertrauen durch Referenz auf Attribute und Relationen Office, PDF oder Browser-basierte Malware-Infektion Browser-basiertes Cross-site Request Forgery (XSRF) usw. Wie bei Spam, macht die Automatisierung den Angriff profitabel Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 31 / 37 31

34 Zusammenfassung Soz.Netz 1 Identität A Pseudonym Geburtsdatum Hobbies Soz.Netz 2 Soz.Netz 3 Identität B Pseudonym Wohnort [...] Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 32 / 37 32

35 Zusammenfassung Identität A/B Pseudonym Geburtsdatum Hobbies Wohnort [...] Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 33 / 37 33

36 Zusammenfassung phishing Nachricht phishing Nachricht Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 34 / 37 34

37 Gegenmaßnahmen Mehrere Ebenen: Nutzer-Ebene: Pseudonyme, Datensparsamkeit Anbieter-Ebene: Anti-Crawling, Software- Sicherheit Allgemein: Bewusstsein für Datensparsamkeit schärfen Datenschutzmöglichkeiten der Anbieter bewerben ANONYM SICHER GLÄSERN Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 35 / 37 35

38 Balance Gläserner Nutzer Aktivität Gefahr Passiver Nutzen Nutzer Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 36 / 37 36

39 Fazit Status Quo Kern von Sozialen Netzwerken sind personenbezogene Daten Crawling, Korrelation und Missbrauch der Daten ist für Kriminelle leicht möglich Datendiebstahl, Malware-Infektion Daher Anbieter müssen Nutzerdaten stärker schützen Datensparsamkeit beim Nutzer fördern Datenschleudern im Web-2.0: Gläserne Menschen durch soziale Netzwerke 17. DFN Workshop Birk, Gröbert, Wegener 37 / 37 37

40 !? Vielen Dank! Fragen oder Anmerkungen? 17. DFN Workshop, Hamburg Dominik Birk, Felix Gröbert, Dr. Christoph Wegener creativecommons.org/licenses/by-nc-nd/3.0/de 38