[keweonDNS][Online Security und Adblock][Ohne Root][Offiziell-Support]

[nik]

@Rosa Elefant Hier: [keweonDNS][Online Security und Adblock][Ohne Root][Offiziell-Support]

 

[MrT69]

Ja genau. Brauchst du die oder hast du die?

 

[Rosa Elefant]

Ah, danke. Wald, Bäume...
Ich bin vermutlich gleich unterwegs, aber ich merke mir das.

 

[RudiderRatlose]

Ich habe mich kurz mit der Materie beschäftigt, dann aber diesen Beitrag bekommen. Kann da eventuell jemand der Ahnung davon hat, etwas dazu sagen:

Beweise und Proof of Concept, dass keweon Online Security lange nicht so sicher ist wie von seinem Entwickler behauptet.

Nachdem eine Gruppe von unabhängigen IT und Cyber Sicherheitsspezialisten nachgewiesen und belegt hat, dass keweon nicht so sicher ist wie vom Entwickler behauptet, sie den Entwickler dann mit den Ergebnissen konfrontiert haben und sie Ihn an eine Wette erinnerten, wurden alle keweon Support Gruppen auf TG vom Entwickler persönlich und ohne weitere Erklärungen am Morgen des 04.02.2019 gelöscht.

Wir alle wissen mittlerweile, die Funktionsweise von keweon DNS basiert darauf, dass Nutzer keweons DNS und das keweon Root Zertifikat nutzen.
Was nun konkret nachgewiesen wurde, ist genau das, was Keweon bei seinen Usern tun könnte, Torsten aber vehement mit "das ist unmöglich" und "das funktioniert nicht" abstreitet:

1. Benutzer dazu bringen, Ihren DNS-Server zu verwenden.
2. Benutzer dazu bringen, Ihr Root-Zertifikat zu verwenden.
3. Umleitung einer Seite, z.B. mybank.com auf einen der keweon-Server (durch Änderung des DNS-Eintrags)
4. Stellen Sie Ihr eigenes SSL-Zertifikat für die Website aus, Benutzer haben ja Ihre Root-CA installiert und somit ist das kein "Hexenwerk"
5. Benutzername/Passwort aus der Verbindung lesen (wenn 2FA verwendet wird, warten Sie einfach, bis sich der Benutzer anmeldet und verwenden Sie das Token schnell wieder, da es 30 Sekunden gültig ist).

Sie haben bewiesen, dass dies - ohne Zweifel - möglich ist. Tatsächlich ist dies ein klassischer MITM-Angriff und jeder, der bestreitet, dass es möglich ist, hat entweder keine Ahnung (das sollte man bei Torsten nicht annehmen dürfen) oder versucht, etwas vor seinen Usern zu verbergen.

Der Entwickler von keweon hat wiederholt die Behauptung aufgestellt und besteht darauf, dass ein Root Zertifikat keine Verbindungen abhören oder gar Daten sammeln kann.

Zitat des keweon Entwicklers mit der von ihm angebotenen PayPal Wette:
"Beweist mir das. Gebt mir eine x beliebige DNS- und ein Root-Zertifikat und versucht so, meine PayPal-Daten zu erhalten.
Ich werde euch sogar kontaktieren, wenn ich mich bei PayPal anmelde. Wenn ihr es schafft, so an meine PayPal Daten zu kommen, könnt ihr euch einloggen und 500 Euro auf euer Konto überweisen. Ich habe dieses Angebot schon sehr oft gemacht und das ist ein ernsthaftes Angebot von meiner Seite."

Leider hat der Entwickler von keweon dann aber nicht, wie von ihm schon so oft versprochen, seinen Teil zum Test beigetragen und loggte sich natürlich nicht in Paypal über unsere bereitgestellte DNS und dem Root Zertifikat ein.
Die einzige Reaktion seinerseits war, sieht man von einigen Beleidigungen ab, wie oben schon erwähnt die Löschung sämtlicher keweon Gruppen auf TG.

Auch wurde beim Sicherheitstest der keweon Server herausgefunden, dass unter bestimmten Bedingungen Verbindungen sogar auf den keweon eigenen -Terminierungsserver umgeleitet und mit 1x1 Pixel gifs beantwortet werden.
Die Tatsache ist also, dass die Anfragen dort Tracking IDs enthalten, die leicht von diesem Server aus aufgezeichnet werden können.

So ist selbst Torstens Aussage, dass der keweon SSL Server Anfragen nur mit leeren (0 byte) antworten terminiert, falsch.
Auch dies widerspricht also wieder Torstens eigener Aussage.

Der Punkt ist nun, dass der Entwickler von keweon aktiv versucht zu leugnen, dass es für ihn möglich ist das root Zertifikat zu missbrauchen, obwohl jetzt nachgewiesen wurde, dass es tatsächlich für ihn möglich ist genau das mit dem keweon Root Zertifikat und seinen Nutzern zu tun.

Bis sich der Entwickler entschließt, die gegen keweon Online Security erhobenen Vorwürfe zu widerlegen oder er beweisen kann, dass die Vorwürfe gegen ihn haltlos sind ist es ratsam aus einleuchtenden Gründen der Sicherheit keweon Online Security vorläufig nicht zu nutzen.

 

[MrT69]

@RudiderRatlose

Du schon wieder... Ein Spezialisten Team von Cyber Security Entwicklern. Der war lustig, so nennt man jetzt jemand der keine Ahnung hat.

Ich nehm dich nicht mal hier ernst denn wenn mir jemand einen Proxy Server als DNS Server anbietet, das ist hart. Vor allem das üble Bashing und Mobbing ohne Hintergrund was da lief. Sorry.

Die Frage ist jetzt schon berechtigt, denn nur Google oder irgendein Werbeanbieter würde so penetrant stalken wie du. Vor allem ist das völliger Blödsinn was du von dir gibst. Also wer bist du?

Meine Nummer steht im Netz, meine Daten und wenn du nur halb so gut bist wie du sagst, ruf mal an wenn du dich traust.

EDIT:
Im XDA Forum ist das Thema auch noch gross drin. Aber ich sags dir nur vorab, fast alle Mods nutzen keweon.

EDIT2:
Das wäre übrigens in dem Fall nicht nur illegal sondern strafbar wenn ich das mache was du behauptest. Du darfst mich deswegen gerne Anzeigen. Falls du meine Adresse brauchst die steht bei Xing und LinkedIn. Und ich glaube AH Mods würden in dem Fall auch der Veröffentlichung meiner Adresse zustimmen. Sag bescheid dann stell ich die gerne Online.

 

[RudiderRatlose]

@MrT69 , entschuldige bitte, aber was meinst du mit, du schon wieder?
Ich schrieb, dass mich das Thema interessiert und ich mich deswegen etwas mit der Materie beschäftigt habe. Nun habe ich gesehen, dass es in diesem Forum einen Thread dazu gibt und hatte gehofft, hier meine Fragen stellen zu können. Scheinbar ist das aber nicht an dem.

Ich behaupte gar nichts, sondern stelle eine Frage. Das ist ein klitzekleines Unterschied.
Warum fühlst du dich so auf den Schlips getreten?

 

[MrT69]

@RudiderRatlose
Ohh... Beim XDA Forum auch? Leute ernsthaft, langsam ist es nicht mehr lustig.
Ist euch eigentlich klar was ihr hier veranstaltet?

Wenn du nur etwas Ahnung hättest wo ich arbeite würdest du dir das zweimal überlegen. Ernthaft.

Noch ist es mir egal aber das geht seit 3 Monaten so. Wenn das so weitergeht erstatte ich Anzeige wegen Vortäuschen einer Straftat und öffentliches Mobbing. Der Screenshot ist gespeichert.

 

[RudiderRatlose]

Du beschuldigst mich schon wieder einer Sache, welche ich nicht zu verantworten habe.
Noch einmal, mich interessiert dieses Thema und ich hätte gerne Auskunft.
Aber so wie es aussieht, bekomme ich die hier leider nicht.

 

[MrT69]

@RudiderRatlose

Siehe Text oben. Ich geb gern Auskunft und ich rede auch gerne mit jedem. Aber nachdem was ihr da abgezogen habt geh ich lieber mit Mark Zuckerberg und Lary Page n Kaffee trinken bevor ich mich mit einem von euch unterhalten würde. Und die beiden stehen ganz oben auf der Blackliste.

Ich hab kein Problem wenn mir jemand sagt keweon hat Schwächen oder erklärt man kann dies oder das anstellen. Aber meine User für blöd halten weil sie keine Ahnung haben was sie mit keweon sich antun das ist hart.

Ich weiss selbst dass das System nur funktioniert wenn mir die User auch vertrauen. Und das dauert bis das aufgebaut ist. Sowas bekommt man nicht geschenkt. Deswegen bin ich über jeden Hinweis und Tipp dankbar. Auf mich losgehen ist das eine - aber das ich lauter dämliche User hab die nicht wissen was sie tun, das ist ne Nummer zu heftig.

 

[RudiderRatlose]

Wer bitte ist denn ihr? Ich habe hier eine Frage gestellt und werde permanent mit *ihr* konfrontiert und bekomme keine Antwort.
Ich werde mir jetzt erstmal den kompletten Thread durchlesen um zu versuchen, zu begreifen, was du meinst.
Das hätte ich wahrscheinlich machen müssen, bevor ich meine Frage gepostet habe. Sorry dafür, dass ich es nicht getan habe.

 

[Schotti]

Hallo Ratloser:
du stellst vlt. im ersten Beitrag "auch" eine Frage...
Aber insgesamt kommst mit deinem ersten Beitrag hier im Forum schon ziemlich angreifend & fordernd rüber, sprichst zum Einen "vom Entwickler" und im nächsten Atemzug von "Torsten" usw. und präsentierst ja selbst nichts als Behauptungen (unter Berufung auf irgendwelche IT-Spezi).
Durch Edit & QUOTE nun etwas klarer!

Nicht wirklich vertrauensvoller Ablauf bisher...
Ich hoffe @nik & Co haben die Entwicklung hier "auf dem Schirm", bevor etwas eskaliert, was nicht eskalieren müsste!
(leider muss ich gleich los und kann das zunächst mal nicht aktuell mitverfolgen)
Ich hoffe auf vernünftige & sachliche Informationen später!
Gruß
Schotti

 

[Sitara Aci La Rose]

@MrT69
Ich glaube wirklich, du hast das falsch verstanden.
So wie ich es verstanden habe, hat @RudiderRatlose sich über das Thema informiert und ist dann auf diesen Beitrag gestoßen, der von wem auch immer, irgendwo gepostet wurde.
Er wollte vermutlich nur wissen, was davon zu halten ist.

Übrigens, ich feiere keweon. Da ich aber meine Geräte immer roote und adaway nutze, benutze ich es nur an der Playstation.
Am router Eine Weile auch. Doch da es dort Probleme mit Gewinnspielen gab, die der Lebensgefährte meiner Mutter machen wollte, musste ich es leider wieder entfernen.
Dennoch...weiter so! Finde den Ansatz echt Klasse!

Liebe Grüße
Aci

 

[RudiderRatlose]

@Sch@tti, dieser Text ist nicht von mir, ich habe ihn nur hier rein kopiert.
Deswegen meine Frage dazu. Wahrscheinlich ist das, durch das Kopieren, nicht ersichtlich.
Ich wollte hier weder irgendwie komisch oder gar aggressiv rüber kommen, sondern hatte auf eine Erklärung gehofft.

Danke @Sitara Aci La Rose

 

[Sitara Aci La Rose]

Kein Problem.
Nur ein Tipp: verlinke den Beitrag das nächste Mal am besten
So sieht es nicht aus, als hättest du ihn selbst geschrieben, sondern wirkt wirklich so, wie es vermutlich auch ist: du ihn also gefunden hast und fragen dazu hast.

 

[RudiderRatlose]

Ich habe meine Frage mal bearbeitet, damit mein Anliegen deutlicher wird. Tut mir leid, dass ich für Irritationen gesorgt habe.
Danke für den Hinweis @nik
Eine Antwort würde mich aber trotzdem interessieren.

 

[nik]

@RudiderRatlose Was möchtest du denn konkret dazu wissen? Das beschriebene Szenario wäre durchaus denkbar. Und die Tatsache, dass ein Rootzertifikat installiert wird, macht die Sache im Missbrauchsfall jetzt nicht unbedingt schwerer. Allerdings sind ähnliche Angriffe auch ohne Rootzertifikat möglich.

Deshalb ist bei der Nutzung solcher Dienste Vertrauen ein sehr wichtiger Punkt. Wenn du dem Betreiber nicht vertraust, nutz den Dienst besser nicht.

 

[RudiderRatlose]

Also sollte ich solche Dienste nur nutzen, wenn ich den Betreiber kenne? Ist aber ein schweres Unterfangen, für den Nutzer und auch für den Betreiber. Wie viel Nutzer kennen denn einen Betreiber und welcher Betreiber kennt 1000+ Nutzer?

 

[nik]

Wenn du nur Menschen vertraust, die du kennst, wäre das die Konsequenz daraus.
Allerdings wäre das ziemlich kompliziert, da du vermutlich niemanden kennst, der einen DNS-Server betreibt. Und wenn du das weiter denkst, gilt das ja auch für andere Dienste. Wo ziehst du da dann die Grenze?

Deinen Gedankengang mit den 1000+ Nutzern kann ich allerdings nicht nachvollziehen.

 

[RudiderRatlose]

Na wenn nur User das nutzen, welche den Betreiber kennen, sollte auch der Betreiber genügend Nutzer kennen, welche ihm vertrauen, sonst lohnt sich das ja nicht, Zeit und Nerven zu investieren.
Wie gesagt, ich hab von der Materie keine Ahnung und wollte mich schlau machen.

 

[nik]

Ach so, ja unter der Prämisse, dass du wirklich nur Menschen vertraust, die du kennst, wäre das die Konsequenz daraus. Wenn du mal ein wenig darüber nachdenkst, ist das Konzept vielleicht nicht ganz brauchbar. Du vertraust ja auch dem Autohersteller, dass er sichere Autos baut, dem Busfahrer, dem Piloten, deiner Bank, deinem Stromanbieter, google etc.
Und du kennst wahrscheinlich kaum jemandem davon.