Connect with us

Künstliche Intelligenz

EMBA 2.0: Firmware-Analyzer erreicht 95 Prozent Emulationserfolg


Die Entwickler von EMBA haben Version 2.0 ihres Firmware-Analysetools veröffentlicht. Das Release markiert nach Angaben des Projekts einen Meilenstein auf dem Weg zur automatischen Erkennung und Verifikation von Schwachstellen in Firmware-Images. EMBA ist ein Bash-basiertes Open-Source-Werkzeug zur automatisierten Firmware-Analyse. Es extrahiert Firmware-Images, führt statische und dynamische Analysen durch, generiert Software Bills of Materials (SBOMs) und erstellt Web-Reports. Die neue Version hebt sich durch eine überarbeitete System-Emulations-Engine hervor, die Geräte in einer emulierten Umgebung automatisch startet und so erkannte Schwachstellen verifiziert.

Weiterlesen nach der Anzeige

Die Entwickler haben EMBA 2.0 mit mehreren Firmware-Testsets verglichen. Beim FirmAE-Corpus, einem vor 2020 zusammengestellten Datensatz mit 1074 Firmware-Images, erreichte EMBA eine Erfolgsrate von 95 Prozent und identifizierte dabei über 6000 Netzwerkdienste. FirmAE selbst war ursprünglich auf eine Erfolgsrate von 79 Prozent optimiert worden, während Firmadyne bloß 16 Prozent schaffte. Als Erfolg gilt hierbei, dass mindestens ein Netzwerkdienst in der emulierten Umgebung erreichbar ist.

Bei einem am Fraunhofer FKIE Home Router Security Report orientierten Testset aus dem Jahr 2020 mit 126 Firmware-Images erreichte EMBA eine Erfolgsrate von 87 Prozent (über 600 Netzwerkdienste), FirmAE kam auf 30 Prozent, Firmadyne auf 5 Prozent. Ein neueres Testset von 2022 mit 121 Images bestätigte den Trend: EMBA emulierte 76 Prozent erfolgreich (rund 400 Netzwerkdienste), FirmAE nur 16 Prozent, Firmadyne lediglich 2 Prozent. Die Benchmarks zeigen, dass die Erfolgsrate bei aktuellerer Firmware sinkt, EMBA aber den Vorsprung zu den älteren Projekten hält.

Version 2.0 bietet neben der verbesserten Emulation weitere neue Features: Die Integration von Dependency-Track ermöglicht den automatischen Transfer von SBOMs in Vulnerability- und SBOM-Management-Tools. EMBA unterstützt nun VEX (Vulnerability Exploitability eXchange) und erweiterte SBOM-Quellen. Das Tool nutzt CycloneDX-JSON als SBOM-Format und kann die Daten direkt an Dependency-Track übergeben.

Eine KI-unterstützte Firmware-Analyse ergänzt die klassischen Scan-Module. Neue Analysekomponenten wie Capa mit ATT&CK-Support, Semgrep und Zarn für Perl-Analysen erweitern die Erkennungsfähigkeiten. Das Modul S09 zur Binary-Versionserkennung wurde im Threading verbessert, was die Performance steigert. Die Emulation basiert auf QEMU mit einem angepassten Kernel-Build der Version 4.14.336 LTS, der bessere Kompatibilität mit älterer und aktueller Router-Firmware bieten soll.

Weiterlesen nach der Anzeige

Alle Details zum Update auf Version 2.0.0 finden sich auf der EMBA-Projektseite auf GitHub.

Während die Benchmark-Ergebnisse beeindruckend ausfallen, bleiben einige Fragen offen. Die genauen Firmware-Korpora sind nicht vollständig dokumentiert, die Testsets orientieren sich an Home-Router-Firmware von Herstellern wie AVM, Netgear und Asus. Die Rohdaten der Firmware-Images liegen nicht direkt im Repository, sondern sind über externe Quellen wie Zenodo verfügbar. Eine unabhängige Verifikation der Benchmarks durch Dritte steht aus, obwohl das Projekt sich auf akademische Arbeiten wie jene zu FirmAE bezieht.

Die Emulation nutzt QEMU und angepasste Kernel-Patches für Bootloader-Kompatibilität. Diese Patches sind teilweise projektspezifisch, eine Einbringung in Upstream-Projekte wie Linux oder QEMU ist laut Issue-Tracker geplant. Bei proprietären Bootloadern und signierten Firmware-Images stößt EMBA an Grenzen, hier greift das Tool auf User-Mode-Emulation oder statische Analyse zurück.

Bei der Ausführung potenziell schadhafter Firmware in Docker- oder VM-Umgebungen empfehlen die Entwickler zusätzliche Sicherheitsmaßnahmen wie Nested VMs, AppArmor oder SELinux. Netzwerk-Leaks und Kernel-Exploits können Risiken darstellen, weshalb produktive Umgebungen gemieden werden sollten. Rechtliche Aspekte wie die Lizenz-Compliance bei extrahierten proprietären Binaries oder DSGVO-Fragen bei gespeicherten Credentials liegen in der Verantwortung der Nutzer.

Für Enterprise-Anwender sieht EMBA eine Skalierung über Docker-Swarms und Kubernetes vor. Die Web-UI EMBArk ermöglicht Cluster-Deployments, Performance-Tests zeigen über 100 analysierte Images pro Tag auf 64-Core-Systemen. Die Integration in CI/CD-Pipelines ist über Docker-Images als GitHub Actions oder Jenkins-Steps möglich.

Mechanismen für eine Responsible Disclosure bei automatisch identifizierten Zero-Days sind nicht eingebaut. Die Entwickler verweisen auf manuelle CVD-Prozesse über First.org und den Issue-Tracker. Die Aktualität der Vulnerability-Feeds wird über das Update-Skript sichergestellt, das täglich CVE-Datenbanken wie cve-bin-tool und cve-search aktualisiert.

EMBA positioniert sich als freie Alternative zu kommerziellen Firmware-Scannern. Die höhere Emulationsdeckung gegenüber proprietärer Software spricht für das Werkzeug, allerdings erfordert es eine manuelle Verifikation der Ergebnisse.


(fo)



Source link

Künstliche Intelligenz

Zu Schadenersatz verpflichtet: Teilerfolg für Hoteliers gegen Booking.com


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Der langjährige Rechtsstreit über die Geschäftspraktiken der weltweit führenden Buchungsplattform Booking.com hat eine erneute Wende genommen. Die Zivilkammer 61 des Landgerichts Berlin II entschied am Dienstag, dass der Amsterdamer Mutterkonzern und seine deutsche Tochtergesellschaft grundsätzlich zum Schadensersatz gegenüber den Betreibern von Unterkünften verpflichtet sind. Von dem Urteil profitieren insgesamt 1099 Kläger, die sich gegen die sogenannten Bestpreisklauseln des Portals zur Wehr gesetzt hatten (Az.: 61 O 60/24 Kart).

Weiterlesen nach der Anzeige

Hintergrund des Verfahrens ist die über Jahre praktizierte Strategie des Portals, Hotels und Pensionen strenge Regeln für ihre eigene Preisgestaltung aufzuerlegen. Bis zum Sommer 2015 nutzte das Unternehmen „weite“ Bestpreisklauseln. Diese verlangten von den Unterkünften, auf Booking.com stets den absolut niedrigsten Preis anzubieten – unabhängig vom gewählten Vertriebskanal. Ab Juli 2015 folgten „enge“ Auflagen, die es den Hoteliers zumindest untersagten, auf der eigenen Webseite günstigere Preise anzubieten als auf dem Vermittlungsportal. Das Bundeskartellamt hatte diese Praxis bereits Ende 2015 als kartellrechtswidrig untersagt, was der Bundesgerichtshof (BGH) Mitte 2021 letztinstanzlich bestätigte.

Das Berliner Landgericht schloss sich laut einer Mitteilung nun dieser Rechtsauffassung an. Es stellte fest, dass beide Arten der Klauseln den Wettbewerb massiv beschränkten. Die Richter betonen, dass den Hoteliers durch die Preisbindung die Freiheit genommen wurde, ihre Betriebskostenersparnisse im Direktvertrieb an die Kunden weiterzugeben. Da im Eigenvertrieb keine Vermittlungsprovisionen von durchschnittlich 10 bis 15 Prozent anfallen, hätten die Betreiber diesen Spielraum für günstigere Angebote nutzen können. Dies sei ihnen durch das Geschäftsgebaren von Booking.com effektiv untersagt worden. Auch die flexible Vermarktung von Last-Minute-Kapazitäten hätten die Auflagen erheblich erschwert.

Juristisch interessant ist die Entscheidung der Kammer zur Zulässigkeit der Feststellungsklage. Eigentlich müssen Kläger ihre Forderungen präzise beziffern, wenn dies möglich ist. Da die Hoteliers jedoch argumentierten, dass die jahrelange Marktmanipulation durch Booking.com zu einer verstärkten Konzentration und der Bildung eines Oligopols geführt habe sowie diese Effekte bis heute nachwirkten, hielten die Richter die Klage für zulässig. Ein abgeschlossener Sachverhalt liege bei der Marktentwicklung noch nicht vor, sodass eine genaue Schadensberechnung zum jetzigen Zeitpunkt nicht verlangt werden könne.

Dennoch konnten die Kläger nicht in allen Punkten einen Sieg erringen. Das Gericht wies den Antrag ab, die Rückzahlung bereits geleisteter Buchungsprovisionen festzustellen. In diesem Punkt hielten die Richter die Klage für unzulässig, da es sich hierbei um abgeschlossene Vorgänge handele, die die Hoteliers direkt hätten beziffern und einklagen müssen. In 70 Fällen scheiterte die Klage zudem, weil eine ordnungsgemäße Vollmacht gefehlt habe. Bei 118 Klägern konnte die Kammer nicht nachvollziehen, dass sie von dem Kartellverstoß betroffen waren. In einem Fall war die Klage aus anderen Gründen unzulässig.

Der Richterspruch bedeutet noch nicht, dass unmittelbar Geld fließen wird. In dem jetzigen Verfahren ging es lediglich um die grundsätzliche Feststellung der Haftung. Die konkrete Höhe des Schadens und die Frage, ob die Klauseln im Einzelfall tatsächlich ursächlich für finanzielle Einbußen waren, müssen in künftigen Verfahren geklärt werden.

Weiterlesen nach der Anzeige

Das Urteil ist auch noch nicht rechtskräftig. Es ist damit zu rechnen, dass der Rechtsstreit in die nächste Instanz geht. Booking.com hat nun einen Monat Zeit, Berufung beim Berliner Kammergericht einzulegen. Angesichts der hohen Streitwerte und der grundsätzlichen Bedeutung für die gesamte Reisebranche gilt das Einlegen von Rechtsmitteln als wahrscheinlich.

Booking.com hob in einer ersten Reaktion hervor, dass das Urteil noch „keinerlei Feststellungen“ über potenzielle Schäden durch die früheren Klauseln getroffen habe. Das könne nur in komplexen, technischen Prozessen nach fachkundiger Analyse erfolgen. Der Hotelverband Deutschland (IHA) sprach dagegen von einem wegweisenden Beschluss des Landgerichts. Dieser verleihe auch einer parallelen Sammelklage, die mehr als 15.000 europäische Hotels vor wenigen Monaten beim Bezirksgericht Amsterdam erhoben haben, zusätzlichen Rückenwind.


(mho)



Source link

Weiterlesen

Künstliche Intelligenz

Österreichs Höchstgericht: Personalisierte Werbung Meta Platforms’ unzulässig


Meta Platforms hat sein Geschäftsmodell im Europäischen Wirtschaftsraum illegal betrieben: Es hat zu viele Daten gesammelt, Werbung unzulässig personalisiert und zu wenig Auskunft gegeben. Das hat der Oberste Gerichtshof Österreichs (OGH) nach elf Jahren Verfahrensdauer entschieden (Az. 6 Ob 189/24y). Facebook durfte Werbung nicht auf den Kläger zuschneiden und darf auf Drittseiten keine Daten über ihn ernten. Und entgegen Metas bisheriger Praxis beschränkt sich sein Anspruch auf Auskunft nicht bloß auf eine Kopie aller persönlichen Daten, sondern umfasst auch die Offenlegung der Zwecke der Verarbeitung sowie die Quellen und Empfänger der Daten.

Weiterlesen nach der Anzeige

Grundsätzlich hat Meta ein Monat Zeit, Auskunftsbegehren zu beantworten. Im konkreten Fall ist diese Frist schon vor Jahren abgelaufen, daher gewährt der OGH nur Zeit bis Jahresende. Angestrengt hat das Verfahren der österreichische Jurist und Datenschutzaktivist Max Schrems im Jahr 2014. Seither war der Prozess zweimal beim Europäischen Gerichtshof (EuGH) und nun das dritte Mal beim OGH.

Jetzt ist Schluss – aber nur mit diesem Prozess. Zahlreiche Klagen dürften folgen, und womöglich wird sich auch der deutsche Bundesgerichtshof (BGH) an Auslegungen des OGH orientieren.

„Meta (muss) Herrn Schrems beispiellosen Zugang zu den über ihn gesammelten Daten gewähren”, sagt die Anwältin des Klägers, Katharina Raabe-Stuppnig. „Dies geht weit über das Download-Tool oder die Informationen auf der Webseite hinaus. Seit mehr als einem Jahrzehnt weigert sich Meta, vollständige Transparenz über die Verarbeitung von europäischen Daten zu gewähren. Das Urteil ist in der gesamten EU unmittelbar vollstreckbar.“

„Für die Erbringung der Dienste des sozialen Online-Netzwerks ist … die Personalisierung von Werbung unter Verwendung der personenbezogenen Daten des Nutzers … nicht erforderlich”, stellt der OGH fest. „Auch die Aggregation und Analyse personenbezogener Daten zu Werbezwecken ist kein Bestandteil der für den Kläger bestimmten Vertragsleistung.” Das sei vielmehr eine Leistung für Werbekunden, nicht für die Nutzer. Damit fällt die von Meta behauptete Rechtsgrundlage für den persönlichen Zuschnitt der Reklame weg.

Allerdings bietet Meta Nutzern seit 2023 die Möglichkeit, sich durch Zahlung von Gebühren den Werbezuschnitt zu verbitten. Was diese Konstellation juristisch bedeutet, lässt der OGH ausdrücklich offen. Sein Erkenntnis bezieht sich ausschließlich auf die Situation 2020.

Unterdessen ist die Situation noch komplexer geworden. Die EU-Kommission hat mit Meta jüngst einen Pakt geschlossen, wonach Meta bald weniger Daten für personalisierte Reklame auf Facebook und Instagram auswerten wird, es für die umfassende Unterlassung der aber Gebühren verlangen darf. Das hilft aber, soweit ersichtlich, nur gegen den Werbezuschnitt, nicht gegen die Sammlung personenbezogener Daten an sich. Sobald der Nutzer den EWR verlässt, oder sich die Rechtslage ändert, könnte Meta die bereits gesammelten Daten wieder voll auswerten.

Weiterlesen nach der Anzeige

Meta sammelt nicht nur über eigene Dienste, sondern auch auf zahllosen Webseiten und Apps Dritter Daten über deren User, durch Cookies sowie die berüchtigten „Meta Business Tools”. Diesbezüglich stellt der OGH fest, dass Meta „hinsichtlich des Erhebens, der Übermittlung und der weiteren Verarbeitung jener personenbezogenen Daten des Klägers, die sie mittels ihrer sozialen Plugins und ähnlicher Technologien im Zuge von Besuchen oder Aktivitäten des Klägers auf Webseiten dritter
Anbieter erlangt” Verantwortliche” im Sinne der Datenschutzgrundverordnung (DSGVO) ist. Metas Argument, dafür seien allein die Betreiber der jeweiligen Apps und Webseiten zuständig, greift nicht.

Metas Plugins sind beispielsweise auch in Webseiten politischer Parteien, medizinische Seiten oder Seiten für Homosexuelle eingebunden. Damit erfassen sie sensible Daten, die von der DSGVO besonders geschützt werden. Ob Meta solche Daten absichtlich oder unabsichtlich sammelt, spiele laut OGH keine Rolle. Meta habe diese Datensammlung über Webseiten und Apps Dritter zu unterlassen. Dabei kommt es auch nicht darauf an, ob die Daten für Werbung oder andere Zwecke ausgewertet wird.

Der OGH stützt sich dabei auch auf den EuGH. Dieser hat im Verfahren mit dem deutschen Bundeskartellamt (Az. C-252/21) eine Aufspaltung des Gesamtvorgangs in einzelne Verarbeitungsvorgänge und unterschiedliche Datenkategorien ausdrücklich abgelehnt.

„Der OGH bestätigt, dass die Meta Business Tools generell rechtswidrig sind”, verdeutlicht der deutsche Anwalt Max Baumeister. „Es sind Spionagewerkzeuge, die unser aller Privatleben ausspionieren.” Baumeister führt, unabhängig von Schrems‘ elf Jahre alter Klage, einen juristischen Großangriff auf Metas Geschäftsmodell in Deutschland und Österreich. Der Anwalt geht „davon aus, dass der BGH das Ende 2026 oder Anfang 2027 bestätigen wird”, sagte er Donnerstagabend zu heise online.

In einem früheren Stadium des Verfahrens hat der OGH Max Schrems bereits 500 Euro Schadenersatz zugesprochen, weil Meta die Auskunftspflicht verletzt hat. Für die illegale Datensammlung und die unzulässige Datenauswertung für personalisierte Werbung gibt es schon deswegen keinen weiteren Schadenersatz, weil Schrems insgesamt nicht mehr als 500 Euro beantragt hat – wohl um den Streitwert und damit Prozesskosten nicht ausufern zu lassen.

„Wir gehen davon aus, dass hier noch wesentlich mehr drin steckt”, meint Baumeister, „Das gilt für Österreich; für Deutschland aufgrund strengerer Gesetze bei schwerwiegenden Eingriffen in das Persönlichkeitsrecht sowieso.” Die deutschen Landgerichte sind bezüglich Metas Datenpraxis geteilter Meinung.

Weil Privatpersonen in Deutschland keine vollstreckbaren Sammelklagen erheben können, hat Baumeister in den letzten zwei Jahren rund 8.000 Klagen wegen der Datenernte mittels Meta Business Tools eingereicht. Mehr als 2.000 Verfahren sind bislang in erster Instanz entschieden, kein einziges rechtskräftig.

Aufsehen erregte Mitte des Jahres ein Urteil des Landgerichts Leipzig, das einem Meta-Betroffenen 5.000 Euro zusprach (Az. 05 O 2351/23, nicht rechtskräftig). Zunächst urteilten die deutschen Gerichte überwiegend für Meta, doch nach und nach gewinnen die Datenschutzargumente Boden bei deutschen Richtern. Die juristischen Begründungen sind nicht immer gleich, die zugesprochenen Schadenersatzbeträge variieren um den Faktor 100: Die Bandbreite reicht von 100 Euro bis 10.000 Euro.

Der BGH wird entscheiden müssen. Im Zusammenarbeit mit dem österreichischen Verbraucherschutzverein (VSV) sammelt Baumeister nun Teilnehmer aus beiden Ländern, die kostenlos an einer Verbandsklage teilnehmen möchten.


(ds)



Source link

Weiterlesen

Künstliche Intelligenz

Porträt von John Ternus: Ist er Apples nächster CEO?


Die Umstände für die Präsentation einer historischen Apple-Produktneuerung waren am 10. November 2020 alles andere als ideal. Die Corona-Pandemie breitete sich verheerend schnell aus, die Weltwirtschaft rutschte in eine tiefe Rezession. Trotz der widrigen Rahmenbedingungen wollte Apple-Chef Tim Cook das „One More Thing“-Event nicht absagen. So kam John Ternus, der Leiter der Hardware-Sparte, zu seinem wichtigsten öffentlichen Auftritt: Er präsentierte die initialen Macs mit den hauseigenen M1-Chips. Sie hauchten der altgedienten Gerätekategorie neuen Schwung ein und ließen die vorausgehenden Intel-Macs über Nacht sehr alt aussehen.

Cook beschränkte sich auf eine kurze Einordnung: „Dies ist ein bedeutender Tag für den Mac und für Apple. Fortschritte dieser Größenordnung sind nur möglich, wenn man mutige Veränderungen vornimmt.“ Danach überließ er dem Jungstar Ternus die Bühne. Seitdem ist der passionierte Schwimmer aus Kalifornien immer wieder für den Chefposten im Gespräch. Beobachter sehen in ihm den künftigen Apple-CEO, sollte Tim Cook sich aus der Führungsspitze verabschieden.

  • Ternus ist seit über 20 Jahren mit Apple-Hardware betraut.
  • Er war an vielen Apple-Meilensteinen beteiligt.
  • Jony Ives Abgang gab Ternus mehr Spielraum.
  • Als Cook-Nachfolger braucht es jedoch mehr als nur Hardware-Expertise.

Prominente Keynote-Auftritte bleiben bei Apple nicht dem Zufall überlassen: Sie dienen nicht nur der Produktvorstellung, sondern auch der sorgfältigen Präsentation des potenziellen Führungspersonals. Diese Vorstellung richtet sich nicht allein an Apple-Fans und Kunden, sondern ebenso an den Aufsichtsrat – das Board of Directors – und die Investoren.


Das war die Leseprobe unseres heise-Plus-Artikels „Porträt von John Ternus: Ist er Apples nächster CEO?“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Beliebt