"anonymes" surfen mit VPNs

JeGr

Weil es hier immer wieder Thema ist, wegen Anonymität und Privacy und blubb alles via VPNs zu verballern:

Twitter Link von Troy Hunt's Post
bzw.
Twitter Link von HIBP

TL;DR
3 VPN Dienste hatten einen fetten Data Breach, 20Mio Datensätze entwendet in denen nicht nur Mail Adressen enthalten waren, sondern auch:

Login History
Login-Land
Geräte Art und
IMSI & Geräte Seriennummer!

Anonym. Privacy. Genau mein Humor ;)

Bob.Dig

Sry, aber das sind keine bekannten VPN-Anbieter. Ich vermute hinter solchen Schlagzeilen eher das Interesse, Leute zu den teureren Anbietern zu drängen, die wiederum ordentlich Geld für Werbung, kick-backs, etc ausgeben.

noplan

@bob-dig @JeGr

wenn es knopf auf spitz geht bist bei jedem unternehmen das in den USA eine Niederlassung hat
wirst mit schutz der privacy gegen die wand gefahren

punkt
ja für den betreiber der website ist es schwierig herauszufinden woher du kommst,
es ist aber nicht mehr sooo schwer zu wissen das du ein VPN verwendest.

das ganze verhält sich anders wenn es um die verfolgung von crime geht.

aber sonst bin ich bei @JeGr

Anonym. Privacy. Genau mein Humor ;)

JeGr

@bob-dig said in "anonymes" surfen mit VPNs:

Sry, aber das sind keine bekannten VPN-Anbieter. Ich vermute hinter solchen Schlagzeilen eher das Interesse, Leute zu den teureren Anbietern zu drängen, die wiederum ordentlich Geld für Werbung, kick-backs, etc ausgeben.

Für dich vielleicht nicht, aber sie sind durchaus bekannt und genutzt. Vielleicht nicht spezifisch in DE. Aber 20 Mio. Einträge sprechen für sich.

wenn es knopf auf spitz geht bist bei jedem unternehmen das in den USA eine Niederlassung hat

Das hat gar nichts mit dem Gag zu tun. Egal ob das five-eyes oder sonstwas ist, es gibt tatsächlich gar nicht soo viele Länder wo du nicht irgendeine Anordnung in die Hand bekommen kannst, Daten abzugeben. Und dann ist es eben sinnvoll nichts gespeichert zu haben.

WAS und wieviel da gespeichert wurden ist der Witz des Ganzen ;)

noplan

@jegr

auf den Gag bezogen hast recht mit den den dienstleistern und ländern

der springende punkt

WAS und wieviel da gespeichert wurden ist der Witz des Ganzen ;)

macht extrem nachdenklich

JeGr

@noplan Ich hatte dazu ja schonmal einen schönen Diskussionsansatz als Video gepostet.

https://www.youtube.com/watch?v=WVDQEoe6ZWY

Einige Zeilen daraus treffen eben den Nagel auf den Kopf.

"Wenn ich ein Angreifer mit Budget wäre, wäre eine gute Strategie sicher einen VPN Service aufzumachen."

Weil die Leute irgendwelchen Firmen aus Timbuktu mit Rechtssitz Ausland die irgendwelche "privacy VPNs" betreiben komischerweise mehr Vertrauen als dem eigenen ISP der ggf. auskunftspflichtig nach DSGvO o.ä. ist.

viragomann

@jegr said in "anonymes" surfen mit VPNs:

WAS und wieviel da gespeichert wurden ist der Witz des Ganzen ;)

Während die Anbieter immer wieder beschwören, nichts zu loggen.
Die Daten haben sich vermutlich nur irrtümlich da angesammelt.

JeGr

@bob-dig said in "anonymes" surfen mit VPNs:

Sry, aber das sind keine bekannten VPN-Anbieter.

Darauf nochmal zurückzukommen: Wie gesagt für dich/uns sind die nicht bekannt, weil eher US zentrisch, aber die sind mehr als "gut besucht":

The VPN services whose data has been allegedly exfiltrated by the hacker are SuperVPN, which is considered as one of the most popular (and dangerous) VPNs on Google Play with 100,000,000+ installs on the Play store, as well as GeckoVPN (10,000,000+ installs) and ChatVPN (50,000+ installs).

Ja das sind "gratis VPNs". Ja da sollte man schon im Kern mißtrauisch sein, aber es gibt eben sehr viele Anbieter, die auch ein "freemium" Modell haben und einen Teil for free rausgeben. Meist als Art Demo. In dem Fall ist es wohl das Geschäftsmodell. Aber auch wenn die wohl hauptsächlich den Mobile Market als Ziel haben - umso schlimmer. Denn erinnern wir uns:

Device serial numbers
Phone types and manufacturers
Device IDs
Device IMSI numbers

Gerade das letzte (IMSI und Device Serial) ist das letzte was du exponieren möchtest, wenn du anonym bleiben willst.

The threat actor claims that the data has been exfiltrated from publicly available databases that were left vulnerable by the VPN providers due to developers leaving default database credentials in use.

Und genau das ist der Punkt. Sagen, dass man nichts speichert - super. Es auch tun ist wichtig. Und selbst wenn mans tun würde, wenn Dinge wie hier passieren (Dienste wie Datenbanken mit Default Credentials am Netz!), dann ist halt alles im Arsch. Meist gibts eh einen Passus wie hier:

Der letzte Block. Wir speichern nix, außer: x,y,z weil wegen DOS/DDOS Protection und sicherstellen, dass der Betrieb supidupi ist und und und.

Letzte Kirsche auf der Sahnetorte: nur 8% der Datensätze waren in der "HaveIBeenPwned" DB. Normalerweise bei solchen Events ist das weit über 50%. Nur 8% von ~21Mio? Das ist hart. Das heißt wir haben ~19Mio Datensätze "Neuzugänge". Und das sind erstaunlich viele wenn man Breaches der letzten Monate ansieht.

noplan

ich hab mir das heut nachdem du gepostet hast angeschaut und bin auch drüber gestolpert
der % Satz > 10 ist echt Hammer

@jegr said in "anonymes" surfen mit VPNs:

etzte Kirsche auf der Sahnetorte: nur 8% der Datensätze waren in der "HaveIBeenPwned" DB.

Und nein es ist keine gute Idee einen Bunker zu mieten und dort einen ISP oder ein Datacenter zu betreiben ;)