Social Network Inspector (SNI)

Transkript

1 Social Network Inspector (SNI) Ein Werkzeug zur Visualisierung des Risikopotentials Sozialer Netzwerke Thomas Szeremeta Horst Görtz Institut für IT-Sicherheit Bochum (Germany) 12. Deutscher IT-Sicherheitskongress Mai 2011, Bonn

2 Agenda Ein grober Überblick der Thematiken Motivation Der Gläserne Nutzer Nutzen vs. Gefahr Social Network Inspector (SNI) Ausblick und Probleme Fazit 2

3 Motivation Gründe und Ziele des Themas (Un-)bewusster Umgang der Nutzer mit persönlichen Daten in Sozialen Netzwerken Sammelwut seitens der Netzwerkbetreiber (z.b. durch APIs) Möglicher Missbrauch öffentlicher Daten durch Crawling Mögliche Angriffsszenarien: Phishing, Cyber-Mobbing, Cyber-Stalking Wecken und stärken der (Information) Awareness der Benutzer 3

4 Der Gläserne Nutzer Herkunft, Bedeutung und Schutz Wann ist die Grenze erreicht? Nicht genau definierbar Übergang ist allerdings fließend Wie kann man sich davor schützen? Bewusster Umgang bei der Freigabe der persönlichen Daten ( was und wem ) Anonymität durch Pseudo- Angaben 4

5 Nutzen vs. Gefahr Die Pros und Kontras bei der Nutzung Sozialer Netzwerke Nutzen Kontaktsuche Selbstdarstellung Kontaktinformationen Statusmeldungen (z.b. im Urlaub ) Pinnwandeinträge mit interessanten Links Falsche Freunde Gefahr Missbrauch bzw. Umkehren der Angaben durch andere Nutzer Korrelation von Benutzerprofilen, Identitätsdiebstahl, Cyber-Mobbing und -Stalking Nützliche Information für Inhaber unechter Profile (z.b. für Diebe) Infizierung durch Schadsoftware und (automatisierte) Weiterverbreitung der Links 5

6 SNI Ideen und Vorüberlegungen Kriterien für die Auswahl von Benutzerattributen Eindeutigkeit Über mich kann beliebigen Inhalt aufweisen, eine Datumsangabe hingegen nicht Informationsgehalt Schlüsseldaten, die möglicherweise weitere Informationen durch Zusatzdienste ermöglichen (elektronische Telefonbücher) besonderes Datum (nach 3 Abs.9 BDSG) Angaben zur Religion, politische Meinungen Einzigartigkeit Angaben, die nur einer Person zugeordnet werden können ( -Adresse) Netzwerkübergreifende Attribute z.b. Kontaktdaten von Messaging-Diensten 6

7 SNI Features und Abgrenzungen Eigenschaften und Ziele des Tools Sensibilisierung durch Visualisierung Ein Plattform-unabhängiges Tool, dass intuitiv zu bedienen ist Suche nach korrelierbaren Profilen bei Auswahl mehrerer Netzwerke Anzeige der Daten aus Sicht des Netzwerkbetreibers und aus Sicht Dritter Keine vollständige Abbildung der Profile Prototyp enthält vier Soziale Netzwerke 7

8 SNI Korrelation von Benutzerprofilen Ausgangssituation Die fiktive Person Hans Werner nutzt mehrere Soziale Netzwerke Die Ausprägungen der Benutzerattribute sind unterschiedlich Attribut StudiVZ XING Lokalisten Name: Hans Werner Hans Werner Spitzname: HaWe Geburtsdatum April Hochschule: TU München TU München Interessen: Segeln Fußball, Lesen 8

9 SNI Korrelation von Benutzerprofilen Die möglichen Folgen einer Korrelation Profile aus unterschiedlichen Netzwerken können anhand eines Attributes oder anhand einer Kombinationen mehrerer Attribute korreliert werden Vollständigere Profile können für Phishing-Attacken oder gezielte Werbung missbraucht werden Attribut Profil 4711 Name: Hans Werner Spitzname: HaWe Geburtsdatum Hochschule: TU München Interessen: Segeln, Fußball, Lesen Ergebnis der möglichen Korrelation 9

10 SNI Das Tool Videopräsentation 10

11 Ausblick und Probleme Möglichkeiten und Schwierigkeiten bei der Wartung des Tools Erweiterbarkeit von weiteren Sozialen Netzwerken, Benutzerattributen und Korrelationsmechanismen Trotz Prototyp-Status wäre eine Testphase oder der Produktiveinsatz denkbar Dynamik der Webseiten zieht Programmänderungen nach sich Fehlende Strukturen innerhalb des HTML-Codes Profildaten aus Sicht Dritter 11

12 Fazit Verantwortlichkeiten und Appell an die Nutzer Verantwortung zum Datenschutz einerseits durch die Benutzer Sozialer Netzwerke (Eigeninitiative) andererseits durch die Netzwerkbetreiber und ggf. Aufklärungsarbeit durch entsprechende Stellen Erhöhung der Awareness und der Sensibilisierung der Benutzer Abwägung zwischen Nutzen und Gefahr obliegt einzig und allein dem Benutzer 12

13 Vielen Dank für Ihre Aufmerksamkeit! Fragen? Anregungen?