Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Manche Hacker bleiben wegen des Codes, den sie geschrieben haben, in Erinnerung. Kevin Mitnick bleibt wegen etwas in Erinnerung, das viel schwerer zu beheben ist: seiner Fähigkeit, Menschen dazu zu überreden, ihm das zu überlassen, was kein Exploit erreichen könnte.
Es begann mit einem Kartentrick. Er war etwa zehn Jahre alt, der Vater eines Nachbarn zauberte, und das war’s. Mitnick brachte es Jahre später in seinen Memoiren auf den Punkt: „Zauberei war mein ursprünglicher Einstieg in die Kunst, Menschen zu täuschen.“ „Wanted“, Ausgabe 5 der TuxCare Comics, nimmt ihn beim Wort und zeichnet ihn als Bühnenzauberer in einer Zeit, in der es geklonte Handys, gestohlene Identitäten und eine landesweite Fahndung gab, die sein Hobby in eine Schlagzeile verwandelte.
Es ist zudem der neueste Teil einer preisgekrönten Serie. Die ersten beiden Ausgaben wurden bei den Summit Digital Media Awards ausgezeichnet: „The Worm“ erhielt den „Leader Award“ und „ILOVEYOU“ den „Innovator Award“. „Wanted“ führt die Serie in eine andere Richtung der Sicherheitsgeschichten – eine, in der der interessanteste Angriff die Person am anderen Ende der Leitung ist.
Als Menschen Teil der Angriffsfläche wurden
Lange bevor Phishing-Kits zu Standardwerkzeugen wurden, verdeutlichte Mitnick eine Tatsache, die bis heute leider nichts an Aktualität verloren hat. Der Zugriff wird nicht immer mit Gewalt erzwungen. Manchmal wird er einfach freiwillig gewährt, weil die Anfrage routinemäßig klang, der Anrufer die richtigen Namen nannte und die Geschichte gerade so detailliert war, dass sie glaubwürdig wirkte.
Das ist der Kreislauf, den er immer wieder durchlief. Vertrauen, Identitätsbetrug und ein kleiner Informationsschnipsel, mit dem sich die nächste Information herauslocken ließ. Die Authentifizierung hat sich seitdem verbessert. Die Protokollierung hat sich verbessert. Die Erkennung hat sich verbessert. Jemanden davon zu überzeugen, dass eine Anfrage normal ist, ist nach wie vor einer der kürzesten Wege, um ein gut aufgebautes System zu umgehen, und dafür gibt es keine CVE-Nummer.
Der Trick, der bei Motorola funktioniert hat
1992 war Mitnick auf der Flucht und wollte ein Handy, das niemand zurückverfolgen konnte. Das bedeutete, dass er den Quellcode der Firmware für das Motorola MicroTAC Ultra Lite brauchte, das damals schickste Handy auf dem Markt. Dabei kam kein Exploit zum Einsatz. Kein Zero-Day, kein Pufferüberlauf, nichts, was ein Scanner hätte aufdecken können.
Er rief die gebührenfreie Auskunft an. Eine Mitarbeiterin verwies ihn freundlich an die „Cellular Subscriber Group“ von Motorola in Schaumburg, Illinois. Er wählte die Nummer, stellte sich als Rick aus der Forschungs- und Entwicklungsabteilung in Arlington Heights vor, erwähnte, dass Pam im Urlaub sei und ihn gebeten habe, anzurufen, und fragte eine Frau namens Alisa, ob sie ihm den Quellcode schicken könne. Das konnte sie. Und das tat sie auch. Dabei nannte sie ihm einen Servernamen und einen Login.
Dann löschte er ihren Shell-Verlauf, damit am nächsten Morgen keine Spuren mehr zu finden waren. Das Ganze wirkt wie ein Kartentrick, und der Comic stellt es auch so dar: Das Bildfeld wird in der Mitte geteilt, sodass man mitverfolgen kann, wie sich der Anzug des Magiers mitten im Satz in ein Motorola-Poloshirt verwandelt.
Der Mann, der es persönlich nahm
Zu jeder guten Darbietung gehört jemand im Publikum, dem sie nicht gefällt.
Am ersten Weihnachtsfeiertag 1994 drang jemand in die Heimcomputer von Tsutomu Shimomura, einem Computational Physicist am San Diego Supercomputer Center, ein und kopierte seine Dateien. Es folgten spöttische Voicemails, obwohl Mitnick bis zu seinem Lebensende bestritt, dass sie von ihm stammten. Wie dem auch sei – die Botschaft kam an, und Shimomura war nun kein unbeteiligter Zuschauer mehr.
Was dann folgte, hatte weniger mit Magie als vielmehr mit Funkpeilung zu tun. In Zusammenarbeit mit Ermittlern des Bundes und der Telefongesellschaft verfolgte Shimomura das Mobilfunksignal bis in ein Viertel in Raleigh, North Carolina, grenzte den Suchbereich auf eine Wohnanlage ein und schließlich auf eine einzige Wohnungstür. Am 15. Februar 1995 um 1:30 Uhr morgens betraten die Ermittler diese Wohnung. Darin fanden sie geklonte Mobiltelefone, mehr als hundert Kloncodes, mehrere Sätze gefälschter Ausweispapiere und – ein Detail, das Raleigh bis heute nicht ganz losgelassen hat – eine Serviette von Denny’s.
An dieser Stelle endet dieser Beitrag. Was anschließend im Gerichtssaal geschah und wie Mitnick die folgenden zwei Jahrzehnte verbrachte, ist der zweite Teil der Ausgabe und sollte unvoreingenommen gelesen werden.
Warum diese Geschichte in einen Comic gehört
Berichte über Vorfälle sind nützlich, aber niemand liest sie zweimal. Ein Zaubertrick ist ein besseres Lehrmittel, denn der springende Punkt eines Tricks ist ja gerade, dass man auf die falsche Hand geachtet hat. Das ist Social Engineering in einem Satz. Es handelt sich weniger um einen technischen Fehler als um einen Fehler bei den Berechtigungen, der auf der „Wetware“ abläuft, und wenn man dies als Fingerfertigkeit darstellt, wird der Mechanismus auf eine Weise sichtbar, wie es eine Zeitleiste niemals vermag.
Das ist übrigens auch der unangenehme Teil des Jobs. Die Teams werden immer besser im Patchen, bei der CVE-Triage, bei Migrationen nach Ablauf der Lebensdauer – also bei all den Aufgaben, die ein Ticket generieren. Dann ruft jemand namens Rick aus Arlington Heights an, und plötzlich spielt all das keine Rolle mehr, denn die Haustür wurde von innen geöffnet.
Lest „Wanted“ auf der TuxCare-Comics-Plattform, zusammen mit Beiträgen zu „Morris Worm“, „ILOVEYOU“, „Project Rivolta“ und „WannaCry“.
