HiSolutions Research

Von hinten durch die Brust ins Knie: KI-Fail bringt Microsoft in Bredouille

Man hätte es wissen müssen in Redmond: Die Stabübergabe an eine KI war vor ein paar Jahren schon einmal medial kolossal schiefgegangen, als Twitter-Nutzer einen gutgläubigen Microsoft-Chatbot zu einem Nazi-Plappermaul umdressierten. Doch nun war die Verlockung, 77 Redakteure des Nachrichtenportals MSN.com mit einem Schlag durch einen Algorithmus ersetzen zu können, scheinbar zu groß. Dies(er) rächte sich nach kurzer Zeit, indem er einen Artikel des britischen „Independent“ über eine Popgruppe als interessant auswählte – und beim automatisch hinzugefügten Bild zwei nicht-weiße Musikerinnen verwechselte. Nicht nur, aber gerade in Zeiten der neuen Black Lives Matter-Bewegung ist das zunächst mehr als peinlich, da es zeigt, wie sehr der Algorithmus vor allem auf weiße Gesichter trainiert war.

Aus einem ganz anderen Grund sollten wir für den Vorfall jedoch dankbar sein: Er zeigt einmal öffentlich, was sonst meist hinter den Kulissen verschleiert abläuft. Machine Learning ist extrem effektiv darin, uns unsere Stereotypen und Vorurteile abzugucken und deren Anwendung zu perfektionieren. Angesichts der immer weiter voranschreitenden Delegation von Entscheidungen an Algorithmen ist klar: Lernen wir nicht, Bias und Diskriminierung zu detektieren und Gegenmaßnahmen zu entwickeln, dann wird dies zukünftig nicht nur großen Anbietern auf die Füße fallen, sondern der Gesellschaft insgesamt.

https://www.spiegel.de/netzwelt/web/microsoft-msn-ki-verwechselt-musikerinnen-a-6b712b8f-4dfa-4d77-88a2-42cf2bccd3f3

HiSolutions Research

Die Grenzen der Geduld: Kriminelles Callcenter gehackt

Ein Sicherheitsforscher hat zu „robusten“ Maßnahmen gegriffen und sich in die Prozesse krimineller digitaler Machenschaften gehackt. Durch die Übernahme von Systemen in einem Callcenter der Verbrecher konnte er u. a. 70.000 Anrufmitschnitte und Livebilder der Videoüberwachung erbeuten. Die Aufnahmen wurden in einer Dokumentation der BBC und auf YouTube veröffentlicht.

https://www.golem.de/news/callcenter-sicherheitsexperte-hackt-microsoft-betrueger-2003-147058.html

HiSolutions Research

Signing Party verschoben: Microsoft verspricht und verschiebt LDAP Signing

Das Protokoll LDAP (Lightweight Directory Access Protocol) ist die Basis vieler kritischer Authentifizierungssysteme. So beruht unter anderem auch die Basis der Active Directory Services (ADS, oft einfach AD genannt) darauf. Bestimmte Angriffe auf die Authentifizierung lassen sich dadurch verhindern, dass Signaturen in LDAP eingeführt werden. In Windows ist dies bisher nicht der Fall.
Microsoft war mit der Ankündigung vorgeprescht, LDAP Signing ab März zum Standard zu machen – und ruderte kurze Zeit später wieder zurück. Wohl aufgrund des Aufschreis bestimmter Nutzergruppen, die um die Kompatibilität ihrer Legacy-Systeme fürchten, wurde das Sicherheitsfeature nun auf die zweite Jahreshälfte 2020 verschoben.
Der folgende Beitrag beschreibt, wie sich anhand der Event ID 2887 im Event Log der Domain Controller überprüfen lässt, ob die eigene Landschaft mit dem Change klarkommen würde. 

https://opensecurity.global/forums/topic/249-preventing-ldap-apocalypse-in-march-2020-ldap-signing-requirements/

HiSolutions Research

Vor der eigenen Garage kehren: Microsoft-Parkhäuser im Internet

Auch der beste SDL (Security Development Lifecycle), Rolling Updates in den aktuellen Betriebssystemen und noch so viele Patch Tuesdays bewahren anscheinend nicht davor, dass der eigene Dienstleister versagt: Die Parkhaussteuerung am Microsoft-Firmensitz sollte normalerweise nicht aus dem Internet erreichbar sein. Trotzdem konnte man auf die Server in Redmond problemlos zugreifen. Immerhin war das Problem schnell behoben.

https://www.golem.de/news/sicherheitsluecken-microsoft-parkhaeuser-ungeschuetzt-im-internet-2001-146025.html

HiSolutions Research

Hack Yourself mit Microsoft: Das Security Portal kommt

Microsoft ist dabei, die Sichten und Daten diverser Ökosystem-eigener (Cloud-)Sicherheitstools im „Microsoft Security Portal“ zusammenzuführen (in Zukunft erreichbar unter security.microsoft.com – noch läuft dort ein „private preview“ für ausgewählte Nutzer). Ein Blogpost anlässlich der jüngsten Microsoft-Ignite-Konferenz zeigt in Form eines „Hack Yourself“-Experiments anschaulich, was dort an Funktionen zu erwarten ist, mit denen O365 & Co. abgesichert werden können.

https://emptydc.com/2019/11/21/go-hack-yourself-ignite-2019-edition/