Dialerfernsteuerung a.k.a. Registrierung ad absurdum

Captain Picard schrieb:
DialerDieter schrieb:
Ich sage die Ursache des Betruges ist die kriminelle Energie und Handlung, und nicht die letztendlich austauschbare Methode.

Und deswegen sind Schusswaffen hier verboten (in Deutschland ca 300 Opfer pro Jahr
in USA ca 30000 Opfer pro Jahr )

Dialeropfer gibt´s ins USA definitiv weniger, was aber hier nicht zur Debatte steht,
warum in den USA ein Menschenleben weniger Beachtung findet als eine überhöhte Telefonrechnung
das ist deren Bier....

cp

Mal wieder eine etwas vereinfachte Sichtweise, um das mal freundlich auszudrücken.

In der Schweiz (Schätzung) besitzen ca. 27% aller Haushalte eine Schusswaffe.
Quelle: Deutsches Waffenjournal (DWJ), Jahrgang 1997, Blatt 1742 f, unter Berufung auf Prof. Dr. Kleck, Refarat vor der National Academy of Sciences 1990.

Ein signifikanter Unterschied zu Deutschland, was Verletze und Getötete angeht, ist nicht zu belegen.

Die reine Verfügbarkeit der Waffen kann es wohl nicht sein. Ausserdem rechne mal die Einwohnerzahl von USA zu Deutschland hoch und berücksichtige das Sozialgefüge in beiden Ländern.

Jaja, ist OT, musste aber mal gesagt werden.....
 
Statistikquetscher schrieb:
In der Schweiz (Schätzung) besitzen ca. 27% aller Haushalte eine Schusswaffe.
sehr schlicht , in der Tat , da jeder wehrtaugliche Schweizer eine Knarre besitzt ist,
ist das wieder ein Musterbeispiel, wie man Statistiken nach Belieben zu seinen Gunsten quetschen kann
Aus welchem "Lager" dieser hochinformative Beitrag kommt, kann sich jeder an den fünf Fingern abzählen...

cp
 
Hier einmal ein Versuch, zurück zum Thema zu kommen:

Der Verweis auf Unsicherheiten in anderen Bereichen ersetzt kein Sicherheitskonzept. Bei angeblichen Zahlungsmitteln sind die Sicherheitsanforderungen besonders hoch.

Wenn hier scheinbar nicht einmal das Problembewusstsein vorhanden war, helfen Schauergeschichten mit Sicherheitsproblemen anderswo nicht wirklich weiter.

Dietmar Vill
 
DialerDieter schrieb:
Ich will auch nicht den Dialer aus der Missbrauchsmöglichkeit rauswinden, (also bitte spart die Aufforderungen, ich solle erklären ob der Dialer da und dafür sicher wäre) Ich sage die Ursache des Betruges ist die kriminelle Energie und Handlung, und nicht die letztendlich austauschbare Methode.
Die kriminelle Energie ist aber nicht in den Griff zu kriegen. Vor allem nicht bei den mannigfaltigen Angriffsmöglichkeiten im Internet. Angriffe auf Firmennetzwerke kommen heute aus Botnetzen am anderen der Welt. Angriffe in Form von betrügerischen Dialern komen auch aus dem Ausland. Schutz hiervor gibt es nur durch die Absicherung der Verfahren und durch Wachsamkeit im Umgang mit dem PC seitens des Users.
 
@ tf

Sorry, kleiner Einspruch.

Natürlich kann nur verlässliche Hardware gegen Dialer sicher wirken. Wir diskutieren hier aber - auch wenn die Vorstellung schwer fällt - den Fall eines Verbrauchers, der tatsächlich zum Dialer greifen will.

Dieser Verbraucher müsste sich auf die solide, manipulationssichere Arbeitsweise seines Dialer verlassen können. Fernsteuerbare Dialer schwächen die Transaktionssicherheit seines Kaufvorganges. Er vertraut auf eine Dialertechnik, deren Robustheit in Bezug auf Gefahrenabwehr er nicht beurteilen kann.

Wir erleben hier in einer Sternstunde, mit welchem Anspruch an sich selbst die Hersteller an diese Aufgabe herangegangen sind. Man erwirbt sich den Ruf, den man sich erarbeitet hat.

Dietmar Vill
 
dvill schrieb:
Wir diskutieren hier aber - auch wenn die Vorstellung schwer fällt - den Fall eines Verbrauchers, der tatsächlich zum Dialer greifen will.
Sorry, aber das ist mit den Lösungen vereinbar , wer DSL, Router oder sonstige
Nondialerzugänge hat , braucht sich eh darüber nicht den Kopf zu zerbrechen.
Wer das unbedingt will, kann mit einer TK-Anlage oder Dialerblocker sehr wohl Mehrwertzugang
auf sichere Weise realisieren, da diese auf Wunsch! jede Zugangsnummer ermöglichen
aber eben andere, ungewollte blockieren

tf

PS: mit dem Dialerblocker dauert die gewollte Freischaltung etwa 2 Sekunden (ohne Kosten)
länger als der normale Einwahlvorgang
 
dvill schrieb:
Wir diskutieren hier aber - auch wenn die Vorstellung schwer fällt - den Fall eines Verbrauchers, der tatsächlich zum Dialer greifen will.

Dieser Verbraucher müsste sich auf die solide, manipulationssichere Arbeitsweise seines Dialer verlassen können. Fernsteuerbare Dialer schwächen die Transaktionssicherheit seines Kaufvorganges. Er vertraut auf eine Dialertechnik, deren Robustheit in Bezug auf Gefahrenabwehr er nicht beurteilen kann.

Wir erleben hier in einer Sternstunde, mit welchem Anspruch an sich selbst die Hersteller an diese Aufgabe herangegangen sind. Man erwirbt sich den Ruf, den man sich erarbeitet hat.

Gesetzt den Fall, der Verbraucher will sich wirklich auf einen Dailer als Billing- und Inkassoinstrument verlassen, welche Forderungen hat er insgesamt an die Technik, den Anbieter, das Inkasso ... ? Abseits dieser gern genutzten Mär vom anonymen Payment wegen "Schweinkram" und der damit ggf. verbundenen Scham usw.

Und mit welchen anderen Forderungen bzw. Erwartungen könnten diese ggf. kollidieren? Z. B. kann es ja sein, dass der Verbraucher nicht Vertragspartner des Carriers ist, vor dessen Endstelle er sitzt. Die Nutzung des Telefonansschlusses löst aber (heute) eine Berechnung der Leistungen an den Anschlußinhaber aus. Der könnte etwas dagegen haben. Was immer man an Funktionen in den Dialer einbaut: es findet letztlich ein Match Anschluß <-> Anschlußinhaber statt, während eigentlich ein Vertrag zwischen Nutzer und Dienstleister Grundlage der Berechnung sein muss. Der (tatsächliche) Nutzer wird aber eben nicht über die Teilnehmernummer identifizierbar. Ich führe gern einmal vor, wie man auf Kosten des Nachbarn telefonieren kann, wenn man nur in den Keller des Mietshauses kommt. Eben deshalb halte ich Dialer und ihre Rufummern bezogene Berechnung für völlig ungeeignete Payment-Werkzeuge.

Das Ziel derjenigen, die mit Dialern betrügen wollen, wird immer sein, dass die Verbindung aufgebaut wird. Das läßt sich vermutlich immer einrichten. Der Dialer selbst muss dabei nicht einmal genutzt werden. Deshalb ist die Konzentration auf dessen Schutz/Verbesserung vermutlich sinnlos. Das Werkzeug zum Aufbau einer Netzverbindung ist in jedem modernen PC bereits enthalten. U. U. liegt hier eine Möglichkeit zur teilweisen Rettung des Geschäftsmodells. Anstatt Dialer zu verbreiten, wird dem Verbraucher einfach erklärt, wie und was er an seinem PC einstellen muss, damit er den Zugang erhält und das Billing/Inkasso auslöst. Dann kann man seine privaten Anstrengungen darauf konzentrieren, die Änderung/Anpassung des Netzwerkes an seinem PC von den entsprechenden Rechten abhängig zu machen.
Oder ein Dialer muss personalisiert werden. Das setzt aber einen separaten Vertrag mit dem Anbieter voraus. Mit meinem Dialer kann ich dann von überall die jeweilige Dienste nutzen, erhalte darüber eine separate Rechnung und gut ist. Nicht die ursprüngliche Idee, aber geringere Mißbrauchsmöglichkeit.

M. Boettcher
 
Mit dem Begriff "Produkthaftung" in haftungsrechtlichem Sinne wird man vermutlich wenig ausrichten können, wie hier gezeigt wird, weil die Branche nicht einmal Qualitätsstandards in Bezug auf Sicherheitsfragen definiert hat, die unterschritten sein könnten.

Jedenfalls ist bei einer Fernsteuerbarkeit auf wsh-Script-Ebene der Personenkreis, der dies versteht und selbst programmieren könnte, sehr groß. Wenn für die Manipulation wenigstens C++- oder Windows-API-Kenntnisse erforderlich wären, würde der Personenkreis wesentlich schrumpfen.

Natürlich wäre dies nicht zufriedenstellend, sondern nur relativ besser.

Dietmar Vill
 
dvill schrieb:
Jedenfalls ist bei einer Fernsteuerbarkeit auf wsh-Script-Ebene der Personenkreis, der dies versteht und selbst programmieren könnte, sehr groß. Wenn für die Manipulation wenigstens C++- oder Windows-API-Kenntnisse erforderlich wären, würde der Personenkreis wesentlich schrumpfen.

Natürlich wäre dies nicht zufriedenstellend, sondern nur relativ besser.
Das würde den "Preis" einer Manipulation sicher etwas nach oben treiben. Zugleich aber könnten auch die Gewinnaussichten solchen Betrugs steigen, wenn nämlich Abrechnungen aus dem Einsatz "sicherer" Dialer mit geringerer Erfolgsquote angegriffen werden könnten. Solche "Gütesiegel" wären m. E. fatal.

Da bislang die Einwahlnummern auch ohne spezifische Dialer gewählt werden können, nämlich einfach mit Windows-Bordmitteln, würden viele Betrüger vermutlich auf die Fernsteuerung verzichten und die Dialer nur als Alibi installieren. Das zu verhindern hiesse, dass man a) sichert, dass die Entgeltpflicht nicht schon bei Anwahl entsteht, und b) bei Dialern in jedem Fall eine besondere Anmeldeprozedur durchlaufen werden muss.

M. Boettcher
 
Mit Windows-Bordmitteln ist nach meiner Überzeugung eine "echt" aussehende Dialereinwahl nicht manipulierbar.

Auf dem lokalen Rechner würden Registry-Einträge, Einträge der Ereignisanzeige, Logfiles usw. anders sein und die Fälschung offenbaren. Auf den Dialin-Servern würde sich ein Einwahlvorgang ohne "schlüssige" Fortsetzung in den Protokollierungen finden.

Man hätte also auf beiden Seiten nachweisbare Unterschiede und damit Anhaltspunkte für die Manipulation.

Die Fernsteuerung über die Benutzerschnittstelle garantiert "echte" Spuren, oder die Manipulation des Originaldialern durch Verbiegen einiger Jump-Befehle auf Ebene der Maschinensprache. Hierbei dürfte das verräterische Exemplar jedoch nicht zurückgelassen werden.

Dietmar Vill
 
DialerDieter schrieb:
Das Kernproblem ist dabei: wie kann ein Programm SICHER überprüfen, ob Userinteraktionen von der angeschlossenen Hardware stammen oder von einem Programm.

?

Wer für sich Vorteile aus der Behauptung herleiten will, daß in irgendwelchen Äußerungen ein menschlicher (Leistungsbestell-)Wille erkennbar geworden sei, der kann diesen Nachweis nicht dadurch erbringen, daß er mit irgendwelchen ungeeigneter Software bestimmte technische Signalisierungen daraufhin "überprüft", ob in ihnen eine mängelfreie Erklärung eines menschlichen (Bestell-)Willens zu erkennen ist.

Das Risiko, daß bei unzureichendem Nachweissystem für die erbrachte eigene Leistung dann keine vertragliche Vergütung gefordert werden kann, wenn hinsichtlich des leistungsveranlassenden Vorgangs nicht unzweifelhaft nachgewiesen werden kann, daß ihm ein menschlicher Leistungsbestellwille zugrunde gelegen haben muß, hat meiner Ansicht nach derjenige zu tragen, der sich dabei auf ein ungenügendes, rein technisches "Prüfverfahren" verlassen wollte.

Ich sage die Ursache des Betruges ist die kriminelle Energie und Handlung, und nicht die letztendlich austauschbare Methode.

Nein.

Mit gutem Grund haftet z.B. derjenige für widerrechtlich von einem anderen(!) einem Dritten zugefügte Schädigungen, der den anderen zur Verrichtung bestellt hat. Dabei wird die Haftung nicht mit einem Vorsatz hinsichtlich der Schädigung begründet, sondern damit, daß es bei sorgfältiger Auswahl bestellter Personen und beschaffter Vorrichtungen nicht zu der Schädigung gekommen sein würde.

( Wer seine im einschlägigen Milieu angeheuerten Drückerkolonnen mit Schußwaffen losschickt, haftet für deren Verrichtungsschädigungen wegen unsorgfältiger Auswahl von Personen und Gerät.)

gal.
 
DialerDieter schrieb:
Das Kernproblem ist dabei: wie kann ein Programm SICHER überprüfen, ob Userinteraktionen von der angeschlossenen Hardware stammen oder von einem Programm. Einen Tastendruck zu simulieren ist unter Windows (lt. MS) sogar ein Feature.
Das hatte ich beim Lesen in dieser Deutlichkeit erst nicht bemerkt. Es machte sich auch ganz schön auf Firmenpapier, mit Unterschrift vom Chef ...

Wenn der Cheftechniker das Problem so einstuft, wie kann dann der Chefjurist sicher sein, dass der Mensch auf der Kundenseite das Feature bedient hat?

Dietmar Vill
 
dvill schrieb:
Mit Windows-Bordmitteln ist nach meiner Überzeugung eine "echt" aussehende Dialereinwahl nicht manipulierbar.
Ups! Mißverständnis: ich meinte mit "Bordmittel" das "Werkzeug" zur Einwahl, kurz den in jedem Windows wegen des DfÜ-Netzwerkes verfügbaren Dialer. Man kann also am registrierten Dialer der Anbieter vorbei Mehrwertnummern wählen. Ich gebe aber zu, das wegen

dvill schrieb:
Die Fernsteuerung über die Benutzerschnittstelle garantiert "echte" Spuren, oder die Manipulation des Originaldialern durch Verbiegen einiger Jump-Befehle auf Ebene der Maschinensprache. Hierbei dürfte das verräterische Exemplar jedoch nicht zurückgelassen werden.
die "Echtheit" eine ziemlich harte Nuss darstellen kann, weil der Anschein gegen das Opfer spricht. Insofern ist der Bypass u. U. das Betrugsverfahren für Amateure, die Fernsteuerung das für Profis (mehr know how in der Entwicklung, höhere kriminelle Energie ...).

M. Boettcher
 
Weil aktuell das alte Forum im Gespräch ist, habe ich dort einen Beitrag vom 20.8.03 rausgesucht, der zeigt, dass das Wissen um die Fernsteuerbarkeit lange bekannt ist. Man wollte offensichtlich untätig abwarten, um zu sehen, ob jemand dahinter kommt, wie es geht. Na prima.

Dietmar Vill
 

Anhänge

  • forumds200803.jpg
    forumds200803.jpg
    175,7 KB · Aufrufe: 291
Die vorstehenden Spekulationen über kriminelle Energien und Manipulationstechniken halte ich für falsch.

Für die Fernsteuerungsvariante reicht ein wsh-Script, für das eine leicht verständliche Programmieranweisung verfügbar ist. Das geht mit Basic, Pascal usw. ähnlich leicht und ist "für Anfänger geeignet".

Hier müsste man eine gute Beseitigungstechnik der Huckepacklösung hinzufügen.

Schwieriger wäre die Nachprogrammierung des sichtbaren Dialerverhaltens auf der Verbraucher- und Anbieterseite oder die Veränderung des Maschinencodes durch z.B. modifizierte Jump-Anweisungen. Ich kenne Varianten von aktuellen Dialern, die in der exe-Version umgefrickelt wurden. Das wäre nur Spezialisten möglich.

Einfaches Anwählen von Mehrwertnummern mit dem DFÜ-Netzwerk ohne dialertypische Weiterverarbeitung wird den Anbietern durch die Protokolle wahrscheinlich sofort auffallen.

Also: Auch die "Anfänger" würden die Fernsteuerungsvariante nutzen.

Dietmar Vill
 
dvill schrieb:
Einfaches Anwählen von Mehrwertnummern mit dem DFÜ-Netzwerk ohne dialertypische Weiterverarbeitung wird den Anbietern durch die Protokolle wahrscheinlich sofort auffallen.
Vielleicht, wenn er Wert darauf legt. Wird er das? Er kassiert einfach für den Verbindungsaufbau den vollen Satz einer Einwahl, muss aber an keinen Partner abführen. Hier wurde schon geäußert, dass auch für Spracheinwahlen einer solchen Nummer Rechnung gestellt wurde. Reine Anwahl eignet sich nicht, um Geld aus dem Partnervertrag auf sein Konto zu lenken. Aber es reicht, den Wettbewerber zu schädigen.

Die dialertypische Verarbeitung besteht nur in der Übergabe der ID/PW des Partners und löst damit indirekt die Auszahlung an diesen aus. Der Dialog geht m. E. über die regulären Parameter des DfÜ-Netzwerkes nicht hinaus. Wer auf der Ebene private Protokolle definiert, sorgt so m. E. nicht dafür, dass der Dialer gegen Manipulation und Fernsteuerung resistent wird. Letzteres ist vermutlich gar nicht möglich, allenfalls steigt der Aufwand dafür.

M. Boettcher
 
Eh ich´s wieder vergesse, noch mal eine andere Frage zur technischen Seite. Es kam ja die Aussage
andreas12587 schrieb:
Und unser Dialer hat keine Fabrikationsfehler.

Ich hatte neulich einen Intexusdialer geprüft, ganz zufällig herausgegriffen, - und der war doch extrem flott, - will sagen: abbruchunwillig. Ich wollt ja nur prüfen, nicht einwählen. Aber das dumme Viech wählt einfach weiter, obwohl ich den Abbrechenknopf heftig gedrückt hab. Aber davon ließ er sich gar nicht beeindrucken. Wenn ich keine 0190/0900-Sperre hätte, dann könnt ich mich jetzt mit euch über ein paar € streiten .... (was gewiß auch seinen Reiz hätte ;))

Wie macht ihr das? Gibt´s da einen Verzögerungsmechanismus, oder wie? Jedenfalls weiß ich jetzt, wie es zu diesen paar-Sekunden-Einwahlen kommt, über die hier viele Geschädigte berichten.

Ach ja, das nette Ding heißt girlscam[gc-32297,de].exe, Hashwert: F7BD946F41F62EA628BA0A2B0BACE2662E117FBF, und ist natürlich trotz diesem Fehler registriert.
 
dvill schrieb:
DialerDieter schrieb:
Das Kernproblem ist dabei: wie kann ein Programm SICHER überprüfen, ob Userinteraktionen von der angeschlossenen Hardware stammen oder von einem Programm. Einen Tastendruck zu simulieren ist unter Windows (lt. MS) sogar ein Feature.
Das hatte ich beim Lesen in dieser Deutlichkeit erst nicht bemerkt. Es machte sich auch ganz schön auf Firmenpapier, mit Unterschrift vom Chef ...

Wenn der Cheftechniker das Problem so einstuft, wie kann dann der Chefjurist sicher sein, dass der Mensch auf der Kundenseite das Feature bedient hat?
Meine Frage drohte, in Vergessenheit zu geraten. Sie sollte aber nicht im allgemeinen Fortgang hier verloren gehen.

Wir erfahren gerade, dass die erfolgte Einwahl eines Dialers nur heißt, das entweder der Mensch *oder* ein Programm den Dialer gestartet hat. Aus einer vorliegenden Einwahl kann also nicht schlüssig gefolgert werden, dass hier eine bewusste Entscheidung des Menschen voranging. Es könnte ebenso ein fremdgestartetes Programm gewesen sein.

Die bewusste Entscheidung des Menschen wäre aber zwingende Voraussetzung für den Vertragsschluss. Wie kann denn dann angesichts dieser Erkenntnisse von der Forderungsseite die Existenz eines Vertrages nachgewiesen werden?

Dietmar Vill
 
dvill schrieb:
...
Wir erfahren gerade, dass die erfolgte Einwahl eines Dialers nur heißt, das entweder der Mensch *oder* ein Programm den Dialer gestartet hat. Aus einer vorliegenden Einwahl kann also nicht schlüssig gefolgert werden, dass hier eine bewusste Entscheidung des Menschen voranging. Es könnte ebenso ein fremdgestartetes Programm gewesen sein.
Die bewusste Entscheidung des Menschen wäre aber zwingende Voraussetzung für den Vertragsschluss. Wie kann denn dann angesichts dieser Erkenntnisse von der Forderungsseite die Existenz eines Vertrages nachgewiesen werden?
Dietmar Vill

Auf die Antwort bin ich auch gespannt.
 
Zurück
Oben