Advertising Apocalypse Now. Thorsten Schröder Frank Rieger

Transkript

1 Advertising Apocalypse Now Thorsten Schröder Frank Rieger

2 Warum dieser Talk? Ad-Wars Episode II: Ad-Blocker-Blocker-Kampagnen Malwaretising-Kampagnen Cyber-Werbung ist ein Risiko für unsere Sicherheit

3 Ad-Blocker

4 Adblocking ist Standard Trotz schattiger Geschäftsmodelle bei einigen Plugin-Anbietern Bildquelle:

5 Das Online-Werbesystem Drei große Player: Doubleclick/Google, Adtech/AOL (ONE by AOL), smartadserver Content auf CDN Platzierungen auf Websites und in Medien Egal ob Video, Mobile-App, Website oder Programme wie ICQ Alles die gleiche Technologie

6 Wofür fliesst Geld? Abrechnung nach TKP (nach 1000 Einblendungen) Immer häufiger: Pay per Click Websitebetreiber wird an Klick-Gewinn beteiligt, wenn es zu einem Kauf kommt Handel mit Werbeflächen über sog. Marktplätze

7 Ad Networks? Ein ganzes Universum

8 AdTech T.B.C. Grafik aus dem rd

9 Werbe-Plattformen

10 Betriebssystem Webbrowser Universal-Werkzeug dank W3C , Kalender, Chat, Web, Crypto (OTR, PGP) Dokumentbearbeitung: Google Docs, Office 365, CMS Medien: Soundcloud, Netflix & Co, Mediatheken, Streams Websockets, User Interfaces

11 Betriebssystem Webbrowser Enterprise-Werkzeug dank Extensions Telefonkonferenzen: Webex Remote Login (Terminal Services, Citrix,...)

12 Betriebssystem Webbrowser Kurz: Ein Webbrowser übernimmt eine verdammt große Anzahl der Tasks, die wir so am Rechner erledigen müssen Sowohl beruflich als auch privat

13 Firefox So komplex wie ein kleines Betriebssystem Braucht eigentlich Benutzerrollen und Berechtigungskonzepte Bräuchte ein sicheres Speichermanagement Was fehlt: Dateisystem-Permissions auf Browser-Ebene Wir brauchen also so etwas wie einen Betriebssystem-Kernel, der alle Funktionen und Sicherheitsmechanismen zuverlässig implementiert

14 Extensions - XPI Das Kernel-Treiber Äquivalent eines modernen Browsers Mächtige Programmierschnittstellen und kaum Schutzmechanismen Eine XPI Extension vergrößert die Angriffsfläche Browser oder Extension kann gehackt werden

15 Gefahren Viele Schwachstellen in Browsern oder Extensions sind dank JavaScript plattformübergreifend und vergleichbar mit Kernel- Bugs in Betriebssystemen (wenige Browser-Engines) Niemand von euch klickt auf ungefragt zugesandte EXE-Dateien Euer Browser tut genau das. Jeden Tag, jede Sekunde. Ausführung von Programmen und Scripten aus dem Internet, die euch tracken und Werbung einblenden sollen

16 Vertrauenswürdige Coder? JavaScript-Jasper Hexeditor-Heike Shellcode-Schorsch

17 Malwaretising Ausführung von besonders unerwünschtem Code! Nicht-technische Fehler: Social Engineering (JS-Overlays mit Fake-Warnungen) Technische Fehler: Bugs in Webbrowser und Co.

18 (Bekannte) Schwachstellen Kritische Lücken in 5 populären Webbrowsern (Chrome, Firefox, IE, Opera, Safari): 2013: 727 Schwachstellen 2014: 1035 Schwachstellen (+42%!) Und noch mehr in Plugins und Dritt-Software Mozilla Firefox

19 Malwaretisement Motivation Drive-By-Shooting: Brutalo-Methode um Ransomware zu verbreiten (cash) Gezielte Angriffe: Suche nach Leitenden Angestellten, Administratoren, Vorständen (Spionage) Sonstige Schnüffler: Besonders vorteilhaft - plausible Deniability

20 Malware-Business Kosten-Nutzen-Kalkulation Zielgruppen-Vorfilter durch Ad-Networks Erpressungstrojaner sind der Schritt von B2B zu B2C - direkte Payment-Beziehung zum Konsumenten

21 Point, Click, Root.

22 Patch Me If You Can

23 Butter bei die Phishe Wir haben mal Werbung, für ein bislang völlig unterrepräsentiertes hochinnovatives Produkt gebaut

24 Was zum? Wir haben mit diesem Beispiel das komplette Verfahren eines Malwaretisements durchgeführt: 1. Schadhaftes JavaScript über offizielles, großes ADN ausgeliefert 2. Browser Bug mittels JavaScript aus 1. ausgenutzt 3. Schadsoftware (EXE) aus Internet geladen & gespeichert 4. Schädliche EXE Datei auf Opfer-Rechner ausgeführt

25 Alles graue Theorie?

26 Was tun?

27 Wem gehört die Webseite? BILD.DE SPON SZ ZEIT Requests Unique Hosts rd Party Hosts Own Hosts (*) (*) basiert auf augenscheinlich zum Verlag gehörenden Domains/Subdomains

28 DO NOT EVEN (2016)

29 Snakeoil Frage: Wieso nicht einfach Intrusion Prevention Systeme nutzen? Antwort:

30 Content-Anbieter Wenn ihr nicht garantieren könnt, dass ungeprüftes JS an eure Leser (Kunden) ausgeliefert wird, erlaubt Ad-Blocker Verhandelt mit eurem ADN Dienstleister: Gibt es eine Art Security-Level- Agreement? Der ADN Betreiber soll für schadhaften Code haften - vorher wird er sich keine Mühe mit der Prüfung machen Limitiert die technischen Möglichkeiten, die ADN auf eurer Website anrichten kann Stellt das Vertrauensverhältnis zu euren Lesern wieder her: Erklärt transparent, was ihr macht und warum, limiert Content auf statischen Code wie Bilder etc.

31 Alternativen Payment-Optionen: Der faire Preis pro Artikel ist nicht, was auf Blendle steht Kalkulationsvorschlag: Einnahmen durch Ads für diesen Artikel / Anzahl der User ohne Adblocker Zahlungsbereitschaft für Tracking- und Werbefreien Content existiert nur nicht für den Ticker-Rerun den es überall gibt

32 Vision: Die Content-Payment-Genossenschaft Ein Micro-Payment-System ohne eigenes Profitinteresse für alle Content-Anbieter, wenigstens in Deutschland / Europa Abrechnung nach Nutzung ohne individualisiertes Tracking (moderne Crypto macht s möglich) Abschaffung der Zahlungshürde durch einmalige Payment- Anmeldung für Zugang zu allen Content-Quellen Genossenschaft smodell stellt sicher, daß kein Medienhaus beherrschand / kontrollierend wird Vorbild: dpa

33 This is the end of the Ad as we know it Werbung als Finanzierung für Content wie wir sie heute kennen ist nicht länger zumutbar Alternative Finanzierungsmodelle für Content sind unausweichlich Wenn Werbung überleben will, muss sie sich den Problemen stellen ohne die Leser in Sicherheits-Risiken zu stürzen Und wir haben noch nicht mal über Tracking und Targetting gesprochen

34 Fin. Grosses Dankeschön an: Stephan Urbach! Frank: Thorsten: ths