Dialerfernsteuerung a.k.a. Registrierung ad absurdum

http://forum.computerbetrug.de/viewtopic.php?p=72941#72941

dvill schrieb:
DialerDieter schrieb:
Wenn ich ein Programm mittels Hintertür auf einen Rechner bringe, dann kann ich ALLES machen. Also auch die Eingabe von einem Programm umgehen und sofort die Einwahl veranlassen. Der gezeigte Trick mit der Message-Queue ist natürlich rel. einfach zu bewerkstelligen, mit etwas mehr Programmier-Arbeit lässt sich aber auch jeder andere Mechanismus aushebeln.
Läßt sich das machen, diesen knappen Text auf Firmenpapier zu schreiben, mit Unterschrift von Chef? Könnten wir hier gut gebrauchen.

Dietmar Vill

schon mal den Chef gefragt ? .....

.
 
Captain Picard schrieb:
das war nie und nimmer Dieter, der da eben gepostet hat , die Schreibe ist eindeutig
Chef persönlich , nix für ungut :wink: , ist ja auch egal , kommt aus demselben Stall

cp

Sorry, das ich das sage, du scheinst mir ein wenig paranoid zu sein....
ich geb zu ich habe mittlerweile zwei Pils gezischt, glaube aber nicht, dass das meinen Stil dermassen beeinflusst. naja egal auch -> glaub doch was du willst.... 8)
 
Halb besoffener schrieb:
ich geb zu ich habe mittlerweile zwei Pils gezischt, glaube aber nicht,
dass das meinen Stil dermassen beeinflusst. naja egal auch -> glaub doch was du willst.... 8)

scheint mir tatsächlich so, daß man mit Alkohol vorsichtig umgehen sollte , denk an Harald Juhnke!

.
 
Schade, auf diese Bitte/Frage noch immer keine Antwort....
http://forum.computerbetrug.de/viewtopic.php?p=72941#72941
dvill schrieb:
DialerDieter schrieb:
Wenn ich ein Programm mittels Hintertür auf einen Rechner bringe, dann kann ich ALLES machen. Also auch die Eingabe von einem Programm umgehen und sofort die Einwahl veranlassen. Der gezeigte Trick mit der Message-Queue ist natürlich rel. einfach zu bewerkstelligen, mit etwas mehr Programmier-Arbeit lässt sich aber auch jeder andere Mechanismus aushebeln.
Läßt sich das machen, diesen knappen Text auf Firmenpapier zu schreiben, mit Unterschrift von Chef? Könnten wir hier gut gebrauchen.

j.
 
@ DialerDieter:
sehr interessante Ausführungen, in der Tat.

Aber gerade da Du Dich so gut auskennst: es gibt doch ziemliche Unterschiede in Sachen Unsicherheit. Was muß man nicht erst alles aufbauen, um beim Online-Banking eine TAN zu erwischen. Und auch der Trojaner muß erst mal auf den PC. Und dann noch die Überweisung: eine ganz klare Spur auf den Nutznießer. Und wie bei den jüngsten Phishing-Versuchen gesehen: die Banken sind da ganz fix, weil dieses Bezahlsystem nicht kompromittiert werden soll.

Alles anders beim guten alten Dialer: da genügen geringe Programmierkenntnisse, um dem ganzen "Effet" zu geben. Und der Nutzer muß nur mal einen Klick zu viel machen, - schon ist es geschehen. Oder noch einfacher: man verführt ihn zum OK, indem man erstmal KOSTENLOS hinschreibt und irgendeine Preisangabe findet sich unten am Rand, - keine technischen Kenntnisse nötig, nur etwas "Psychologie" ...........

Kurzum: was Du sagst ist alles richtig (auch die weiteren Mißbrauchsmöglichkeiten), aber wenn man alles an maximaler Sicherheit mißt, verschwimmen doch etwas die Unterschiede.

DialerDieter schrieb:
Nicht der Dialer wäre erledigt, Mehrwertedienste und Rechtssicherheit im Internet wären erledigt. Angesichts der Fakten sind sie es auch, ABER es gibt ja noch einen Bedarf von beiden Seiten. Und der verdrängt natürlich die Risiken.
Auch hier stimme ich völlig zu, - nur ob´s für Dialerangebote wirklich Bedarf gibt, darf bezweifelt werden. Mag schon sein, daß es z.B. im Erotikbereich einige gibt, die das gern nutzen. Aber wenn es wirklich Bedarf gäbe, dann gäbe es nicht diese Unzahl an Angeboten, die nur durch Tricks funktionieren ...
 
jupp11 schrieb:
Schade, auf diese Bitte/Frage noch immer keine Antwort....
j.

Oh, die habe ich rein rhethorisch eingeschätzt. Dazu muss ich sagen, so, aus dem Zusammenhang gerissen wie es da steht, gibt es kaum eine Veranlassung, die zu unterschreiben. Man möge doch bitte den Sinn meines gesamten Postings betrachten. Schliesslich ging es um die hypothetische Möglichkeit, das es so gemacht werden könnte.

Leider wird anscheinend weniger auf meine Argumente eingegangen, um so mehr der Versuch unternommen, meine Äusserungen zu verkehren und Auszüge mir zu Lasten zulegen. Trauriges Zwischenergebnis, kann ich nur sagen... es wäre doch sicher möglich, etwas mehr zum Thema beitzutragen, als ständig einem zu erzählen, wie sehr man seinen Standpunkt ablehnt.

Aber macht nix, ich warte geduldig auf jeden, der möchte, das die im Thread geschilderten Probleme diskutiert werden.
 
DialerDieter schrieb:
Dazu muss ich sagen, so, aus dem Zusammenhang gerissen wie es da steht, gibt es kaum eine Veranlassung, die zu unterschreiben. Man möge doch bitte den Sinn meines gesamten Postings betrachten. Schliesslich ging es um die hypothetische Möglichkeit, das es so gemacht werden könnte.

Was da aus dem Zusammenhang gerissen sein soll, entzieht sich mir,dieser Absatz
steht groß und breit in der Mitte dieses Postings
http://forum.computerbetrug.de/viewtopic.php?p=72922#72922
und die Frage/Bitte hat ja wohl einen mehr als realen Hintergrund. (Siehe News,
selbst den FST hats aus dem Schlaf gerissen...)

Bei näherer Betrachtung scheint es mir eher umgekehrt zu sein, statt als unschuldig Verfolgter zu lamentieren
selber mal konkret auf Fragen eingehen und nicht wie eine Schlange immer wieder durch die Finger "flutschen" ...
So wird das nix, aber das war ja egal, ob Chef oder Mitarbeiter nicht anders zu erwarten...

j.

PS: Was ich immer wieder fast amüsant finde, dass man sich aus dem Hause Intexus so viel Mühe gibt
hier zu missionieren. Ist nur dumm , wenn der überwältigende Teil der hier Rat und Hilfe Suchenden nicht unbedingt
es amüsant findet, hier das hohe Lied der Dialerei vorgesungen zu bekommen,
mit den Rechnungen auf dem Tisch , die sie alles andere als lustig finden.

.
 
DD schrieb:
.... Leider nicht ganz, diese Sicherheitsaspekte betreffen ALLE Verfahren des Vertragsschlusses im Internet und in der Telekommunikation (übrigens incl. der qualifizierten digitalen Signatur, für die es ein Gesetz gibt, und so sicher ist, das kein Schwein es nutzt ). Nicht der Dialer wäre erledigt, Mehrwertedienste und Rechtssicherheit im Internet wären erledigt. ....

Warum wohl hatte ich E-Commerce und nicht Dialer gesagt?

Der Jurist schrieb:
Lieber DD,

ist Dir bewußt, was Du gerade gesagt hast. Das bedeutet, dass im E-Commerce, als nicht nur bei Dialern, kein Vertrag belegbar abzuschließen ist, wenn man etwa vom Einsatz von qualifizierten Signaturen absieht.

Wenn dem aber so ist. Dann wird der Markt es richten. Dann ist die Geschäftsidee Dialer erledigt, es sei denn die Nutzer zahlen "freiwillig".


Und noch eines:

DialerDieter schrieb:
.....
Leider wird anscheinend weniger auf meine Argumente eingegangen, um so mehr der Versuch unternommen, meine Äusserungen zu verkehren und Auszüge mir zu Lasten zulegen. Trauriges Zwischenergebnis, kann ich nur sagen... es wäre doch sicher möglich, etwas mehr zum Thema beitzutragen, als ständig einem zu erzählen, wie sehr man seinen Standpunkt ablehnt.

Aber macht nix, ich warte geduldig auf jeden, der möchte, das die im Thread geschilderten Probleme diskutiert werden.

Bitte komm aus dieser Jammer-Ecke raus. Wer gute sachliche Argumente hat, hat eine solche Attiitüde nicht nötig. Wer keine guten Argumente hat, der unterstellt dem Diskussionspartner Verdrehungen.
 
DialerDieter schrieb:
... sich, seinen Chef und die berufliche Zukunft in seinem Beruf um Kopf und Kragen. Weiter so. (Kein Zitat)
Es geht nicht allgemein um EDV-Sicherheit im Internet. Verbraucher müssen sich die Manipulierbarkeit ihrer Systeme jederzeit bewusst sein, aktuell patchen und umsichtig sein. Das was so und wird auch so bleiben.

Wir reden hier über Dialer und die spezifischen Unsicherheiten zum Nachteil der Verbraucher. Das aktuelle Beispiel führt vor, wie leicht das geht, den Verbraucher in der Praxis zu schädigen.

Die erste Grundregel der Computersicherheit besagt, dass man nicht ausführbaren Programmcode aus unsicheren Quellen startet. Onlinebanking arbeitet nach diesem Prinzip und schützt den Verbraucher mit PIN- und TAN-Nummern, die außerhalb des EDV-Systems aufbewahrt werden.

Bei Dialern muss für jede Transaktion eine fremde, neue exe-Datei geladen und in blindem Vertrauen gestartet werden. Die Vorgehensweise ist blauäugig, fahrlässig und ruft förmlich nach dem, was wir jetzt in größerem Stil vorgeführt bekommen haben.

Diese unsichere Arbeitsweise ist nicht sanierbar. Das Prinzip, ständig neue exe-Programme beim Verbraucher zu starten, widerspricht den einfachsten Gesetzen der Systemsicherheit.

Bei den übrigen Online-Geschäften ist der Verbraucher übrigens durch Rückgaberechte geschützt, auch vor Manipulation seines Bestellvorganges.

Dietmar Vill
 
Zu den freimütigen Erläuterungen von DialerDieter füge ich eine erste Bewertung bei:

Es gibt auch eine Verpflichtung des Programmerstellers gegenüber dem Programmnutzer. Weiter gibt es die Produkthaftung.

Wer einen Dialer erstellt und sich hierbei völlig im Klaren ist, welche Sicherheitslücken sich hierdurch für die Kunden ergeben könnten, ohne angemessene Maßnahmen zu ergreifen, diese Gefahren abzuwenden, handelt aus meiner Sicht mindestens fahrlässig.

Programme können auch direkt Tastatureingaben (=Scancodes) lesen und so die Gefahr der einfachen Fernsteuerung über Messagesqueues sicher vermeiden. Ich halte das Inverkehrbringen von Programmen dieser Sensibilität, bei denen der Ersteller bereits Kenntnisse über die Manipulierbarkeit hat, für äußerst problematisch.

Glücklicherweise lesen hier in diesem Fachforum auch Staatsanwälte, Rechtsanwälte, Journalisten, Politiker usw. mit. Ich hoffe, diese Personen werden die hier freimütig offenbarten Details zu würdigen wissen.

Dietmar Vill
 
dvill schrieb:
Zu den freimütigen Erläuterungen von DialerDieter füge ich eine erste Bewertung bei:

Es gibt auch eine Verpflichtung des Programmerstellers gegenüber dem Programmnutzer. Weiter gibt es die Produkthaftung.

Wer einen Dialer erstellt und sich hierbei völlig im Klaren ist, welche Sicherheitslücken sich hierdurch für die Kunden ergeben könnten, ohne angemessene Maßnahmen zu ergreifen, diese Gefahren abzuwenden, handelt aus meiner Sicht mindestens fahrlässig.

Programme können auch direkt Tastatureingaben (=Scancodes) lesen und so die Gefahr der einfachen Fernsteuerung über Messagesqueues sicher vermeiden. Ich halte das Inverkehrbringen von Programmen dieser Sensibilität, bei denen der Ersteller bereits Kenntnisse über die Manipulierbarkeit hat, für äußerst problematisch.

Glücklicherweise lesen hier in diesem Fachforum auch Staatsanwälte, Rechtsanwälte, Journalisten, Politiker usw. mit. Ich hoffe, diese Personen werden die hier freimütig offenbarten Details zu würdigen wissen.

Dietmar Vill

Diese Verpflichtung gilt als erstes für den Hersteller der Systemsoftware (Windows). Den größten Schaden entwickeln doch immer "Lücken" im Betriebssystem. Ob da Trojaner, Scripte oder sonstwas auf die Kundenrechner geschleust werden. Wir, als Paymentanbieter können doch nicht für die Fehler anderer verantwortlich gemacht werden.
Am meisten ärgert mich die "Richtung" der meisten "Poster" hier: Dialer werden ausschließlich zum Abzocken genutzt. Das ist totaler Schwachsinn. In diesem Forum werden natürlich nur die "Geschädigten" posten. Die zehntausende zufriedenen Nutzer täglich posten hier eben nicht.
Wer berichtet schon über solche Themen?
Wieviel Umsatz wurden denn nun über diese automatische OK-Eingabe gemacht? Hat da irgendjemand Zahlen? Welches Verhältnis gibt es zwischen "Betrugseinwahlen" und bewussten Einwahlen? Hat hier überhaupt einer irgendeine Ahnung von diesen Zahlen? Ich denke nicht. Woher auch.
Das pure Vorhandensein eines Dialers, setzt nicht automatisch nur Betrug vorraus. Wie DD schon sagte: Es wird immer Betrug geben: Ob per Dialer, per Premium SMS, per Kreditkarte, per Mail und Tan, per Fax oder oder oder oder. Es gilt die "Betrüger" zu ächten, nicht das Paymentsystem. Sonst hätte man die Kreditkarte schon vor Jahren ächten müssen.

Gruß Andreas
 
Kreditkarte ist ein schönes Beispiel.
Da gilt nämlich das Belegsystem. Nur aufgrund eines von mir unterzeichneten Beleges kann die Kreditkartenfirma von mir Geld verlangen. Wenn ein Internethändler auf diesen Beleg verzichtet trägt er auch das Missbrauchsrisiko, da der Kunde mit der Einwendung "misbräuchliche Nutzung" eine Zahlung verhindern kann, sofern der Händler nicht anderweitig beweist dass die Nummer vom Kunden eingegeben wurde.


Teleton
 
andreas12587 schrieb:
Wie DD schon sagte: Es wird immer Betrug geben: Ob per Dialer, per Premium SMS, per Kreditkarte, per Mail und Tan, per Fax oder oder oder oder. Es gilt die "Betrüger" zu ächten, nicht das Paymentsystem. Sonst hätte man die Kreditkarte schon vor Jahren ächten müssen.
Die Forderung, Programme sorgfältig zu erstellen, damit vorhersehbarer Schaden von Nutzern abgewendet wird, ist natürlich an alle zu stellen, auch an Betriebssystemlieferanten. Das tun wir aber auch.

Der Punkt hier ist aber:

Für einen Programmierer, der Manipulationsmöglichkeiten kennt, ist es eindeutig zu wenig zu sagen: Na ja, die Welt ist schlecht. Was soll ich mich bemühen? Wer den Schaden hat, ist halt selber schuld.

Genau hier beginnt die Produkthaftung und die Sorgfaltspflicht. Der kann man gerecht werden. Oder eben nicht.

Dietmar Vill
 
dvill schrieb:
andreas12587 schrieb:
Wie DD schon sagte: Es wird immer Betrug geben: Ob per Dialer, per Premium SMS, per Kreditkarte, per Mail und Tan, per Fax oder oder oder oder. Es gilt die "Betrüger" zu ächten, nicht das Paymentsystem. Sonst hätte man die Kreditkarte schon vor Jahren ächten müssen.
Die Forderung, Programme sorgfältig zu erstellen, damit vorhersehbarer Schaden von Nutzern abgewendet wird, ist natürlich an alle zu stellen, auch an Betriebssystemlieferanten. Das tun wir aber auch.

Der Punkt hier ist aber:

Für einen Programmierer, der Manipulationsmöglichkeiten kennt, ist es eindeutig zu wenig zu sagen: Na ja, die Welt ist schlecht. Was soll ich mich bemühen? Wer den Schaden hat, ist halt selber schuld.

Genau hier beginnt die Produkthaftung und die Sorgfaltspflicht. Der kann man gerecht werden. Oder eben nicht.

Dietmar Vill

Das sehe ich anders: Ein Messerhersteller wie "ZWILLING J.A. HENCKELS" kann nicht für vorsätzliche Straftaten der "Benutzer" haftbar gemacht werden. Er kann "nur" für Fabrikationsfehler haften.
Und unser Dialer hat keine Fabrikationsfehler.

Gruß Andreas
 
andreas12587 schrieb:
Das sehe ich anders: Ein Messerhersteller wie "ZWILLING J.A. HENCKELS" kann nicht für vorsätzliche Straftaten der "Benutzer" haftbar gemacht werden. Er kann "nur" für Fabrikationsfehler haften.
Und unser Dialer hat keine Fabrikationsfehler.

Warum wird hier immer am Thema vorbeiargumentiert: Es liegt kein Fabrikationsfehler vor, sondern
ein grundsätzlicher Designfehler, so wie bestimmte Autos den Elchstest nicht bestanden haben....

cp
 
Hallo Qoppa,

es freut mich sehr, dass du an der Diskussion teilnimmst, ich erlaube mir aber auf deine Aussagen ein wenig unsortiert einzugehen:

Qoppa schrieb:
Auch hier stimme ich völlig zu, - nur ob´s für Dialerangebote wirklich Bedarf gibt, darf bezweifelt werden. Mag schon sein, daß es z.B. im Erotikbereich einige gibt, die das gern nutzen. Aber wenn es wirklich Bedarf gäbe, dann gäbe es nicht diese Unzahl an Angeboten, die nur durch Tricks funktionieren ...

Ein Umstand, den ich selbst mit ein wenig Besorgnis sehen. Zu differenzieren sind meiner Meinung nach ersteinmal Tricks, die die Zustimmung zum Kauf unterlaufen, sprich sich heimlich einwählen, und diese, die über die Qualität der Leistung "hinwegtäuschen". Die ersteren sind definitiv zu verurteilen. Punkt. Beim zweiten ist es einfach schwieriger: Wo ist die Grenze zu suchen, an der Werbung aufhört und an der falsche Versprechen anfangen. Ein Problem, das nicht nur das Dialergeschäft betrifft, weil es subjektiv vom Konsumenten definiert wird.

Aber darauf will ich jetzt gar nicht weiter eingehen (an anderer Stelle gerne), sondern vielmehr auf den Bedarf des Kunden. Der liegt nämlich in der Möglichkeit, ohne grössere Hindernisse, wie Eingabe sensibler oder persönlicher Daten, oder sogar Warten auf Post vom Anbieter, Käufe zu tätigen. Er profitiert von den Vorteilen eines zahlungssicheren Micropayments (Das sollte mein Beispiel mit den 2,30 € verdeutlicht haben, und den Vorwurf des Etikettenschwindels lasse ich in einem Beispiel nicht gelten). Es gibt einen großen Bedarf an mehr Qualität und Umfang der angebotenen Leistungen, der momentan grade von namhaften Anbietern nicht gedeckt wird, weil sie Rechtsunsicherheit und Imageschaden durch Dialerpayment befürchten.

Der Bedarf der Anbieter liegt auf der Hand. Ich kenne zwar keine Fakten, schätze aber das mehr als zwei Drittel aller Internetpräsenzen der Unternehmen nur kosten und zunehmend zu viel kosten. Ich folge Dir, wenn Du sagst das der Bedarf an vielen gegenwärtigen Angeboten gering ist, aber ich behaupte das es einen Bedarf an elektronischen Mehrwertdiensten gibt und damit verbunden an einer Paymentmethode, die für jeden verfügbar und einfach zu handhaben ist.


Qoppa schrieb:
Alles anders beim guten alten Dialer: da genügen geringe Programmierkenntnisse, um dem ganzen "Effet" zu geben. Und der Nutzer muß nur mal einen Klick zu viel machen, - schon ist es geschehen. Oder noch einfacher: man verführt ihn zum OK, indem man erstmal KOSTENLOS hinschreibt und irgendeine Preisangabe findet sich unten am Rand, - keine technischen Kenntnisse nötig, nur etwas "Psychologie" ...........

Um so besser, das in der neuen Verfügung eine klare Vorgabe zur Zustimmungserklärung gegeben wird. Halten werden sich daran allerdings nur wieder seriöse Anbieter. Die Tatsache, das es Dialer gibt liefert ja nicht die Ursache, das es Betrüger gibt. Max. die technischen Möglichkeit sich mit einem Computer zu einer teuren Nummer zu verbinden kann als solche für diese Art des Betruges gelten. Gäbe es auch die nicht gäbe es aber andere Möglichkeiten des Computerbetruges.

Qoppa schrieb:
Kurzum: was Du sagst ist alles richtig (auch die weiteren Mißbrauchsmöglichkeiten), aber wenn man alles an maximaler Sicherheit mißt, verschwimmen doch etwas die Unterschiede.

Da hast du natürlich recht, trotzdem sehe ich keinen wirklich praktikablen Weg, um den Missbrauch zu verhindern. Ausser natürlich in den Massnahmen, die sich gezielt gegen den Betrüger selbst richten.

Qoppa schrieb:
Aber gerade da Du Dich so gut auskennst: es gibt doch ziemliche Unterschiede in Sachen Unsicherheit. Was muß man nicht erst alles aufbauen, um beim Online-Banking eine TAN zu erwischen. Und auch der Trojaner muß erst mal auf den PC.

Deswegen nehme ich den User für die Sicherung seines Systems mit in die Verantwortung.

Qoppa schrieb:
Und dann noch die Überweisung: eine ganz klare Spur auf den Nutznießer. Und wie bei den jüngsten Phishing-Versuchen gesehen: die Banken sind da ganz fix, weil dieses Bezahlsystem nicht kompromittiert werden soll.

Hmm, dazu finde ich im Netz ganz andere Tenöre.... Das das Problem von den Banken auch ein wenig abgewiegelt wird, könnte ich mir aber gut vorstellen. Denn die Fakten in meinen oberen Posting blieben natürlich.
(Es sei denn sie sind falsch, dann verbessert mich bitte!)

Es wäre nett, wenn du mich dazu mit einigen Links versorgen könntest,
die Deine Aussage unterstützen.


Gruss DialerDieter
 
Ich halte die Information, dass der Chefprogrammierer einer derart sensiblen Software - wir reden von einem Zahlungsmittel - von leichten Missbrauchsmöglichkeiten weiß, diese achtlos zur Kenntnis nimmt und keine Bemühungen anstrengt, diese Missbrauchsmöglichkeiten zu versperren, schon für sehr problematisch.

Ich schließe aus, dass das z.B. für Kreditkartentransaktionen so ist, dass die Software-Ersteller untätig bleiben, wenn Sicherheitslöcher bewusst werden.

Dietmar Vill
 
Zurück
Oben