Abo
  1. Foren
  2. Kommentare
  3. Internet
  4. Alle Kommentare zum Artikel
  5. › WLAN-Tracking und Datenschutz: Ist…

Hashing anonymisiert nicht,

  1. Thema

Neues Thema Ansicht wechseln


  1. Hashing anonymisiert nicht,

    Autor: M-M 09.01.19 - 14:14

    ... sondern pseudonymisiert höchstens. So oder so bringt das Hashing von MAC-Adressen nichts, es gibt einfach zu wenige mögliche Adressen:

    MAC-Adressen haben 48 bit.
    Die erste Hälfte der MAC-Adressen ist der sog. Organisationally Unique Identifier (OUI). Es gibt etwa 24215 verschiedene OUIs. Praktisch gibt es also ca 24215*2^24= 4.1E11 verschiedene MAC-Adressen, also ungefähr 400 Milliarden. Damit bräuchte man schon sehr langsame Hashfunktionen, damit man den Hash nicht in sehr kurzer Zeit auf eine MAC-Adresse zurückführen könnte.

  2. Re: Hashing anonymisiert nicht,

    Autor: ibsi 09.01.19 - 15:45

    Wenn man das mit einem Tagessalt hasht (also jeden Tag ein neuer Salt), dann könnte man das meiner Meinung nach hin bekommen. Am nächsten Tag bin ich dann halt ein neuer Kunde.

  3. Re: Hashing anonymisiert nicht,

    Autor: Shismar 09.01.19 - 19:10

    Zum einen kann man die MAC salzen, wenn man unbedingt möchte und zum anderen sind Hash-Funktionen nun einmal nicht reversibel. D.h., selbst wenn Du den Hash in Deiner rainbow table aller möglichen MAC-Adressen gefunden hast (keine Ahnung ob es die gibt), so ist immer noch nicht bekannt, welche der mehreren Millionen MAC-Adressen die den gleichen Hash bilden die richtige ist. (Angenommen ein einigermaßen aktuelles und nicht kompromittiertes Hash-Verfahren)

    Also, nein, der Hash lässt sich nicht auf die Adresse zurückführen, für die er generiert wurde.


    Ein Tagesdatum als Salt hätte den Vorteil, dass zum einen eine rainbow table unrealistisch würde, weil für jeden Tag zu generieren, und man für die Dauer des Tages Bewegungen verfolgen kann. Danach kann man den Hash wegwerfen, weil sehr sicher nie wieder mit der gleichen MAC den gleichen Hash haben wird.

  4. Re: Hashing anonymisiert nicht,

    Autor: M-M 09.01.19 - 19:53

    Ein ausreichend langer Salt, der zeitnah verworfen wird, kann tatsächlich etwas bringen.

    Zum Brechen von ungesalzenen MAC-Adress-Hashes brauch es keine Rainbowtables. Eine Million MAC-Adressen aus Hashes wiederherzustellen dauert keine fünf Minuten auf einer (gar nicht so neuen) Grafikkarte. Bei Verfahren wie md5 oder sha-256 sind mir keine Kollisionen untergekommen.

  5. Re: Hashing anonymisiert nicht,

    Autor: robinx999 09.01.19 - 19:56

    Die Frage muss man natürlich schon stellen, wie viel hashes pro Sekunde kann ein schnelles System berechnen. Das hängt natürlich Algorithmus ab. Aber grundsätzlich ist die Gefahr natürlich hoch das es hier live von einem billigen Gerät berechnet werden muss, und eine High End Workstation kann es evtl. in akzeptabler Zeit Bruteforcen, dann nützt auch ein Salt nichts mehr.

    Und es ist halt die Frage ob man so etwas wie eine Mac oder eine IP Adresse (zumindest IPv4) überhaupt mittels eines Hashes anonymisieren kann, da es einfach zu wenige gibt

  6. Re: Hashing anonymisiert nicht,

    Autor: M-M 09.01.19 - 20:06

    Eine Nvidia RTX 2080 FE kommt mit hashcat auf fast 40 Milliarded md5-Hashes pro Sekunde :D (siehe https://gist.github.com/epixoip/23068f4bc81db505115c43e7751522f2). Bei bcrypt oder scrypt sieht das aber schon anders aus.

    Interessant wäre es, wenn man scrypt ASIC miner zum Hash-Brechen nutzen könnte.

  7. Re: Hashing anonymisiert nicht,

    Autor: Agina 09.01.19 - 20:13

    Shismar schrieb:
    --------------------------------------------------------------------------------
    > zum
    > anderen sind Hash-Funktionen nun einmal nicht reversibel. D.h., selbst wenn
    > Du den Hash in Deiner rainbow table aller möglichen MAC-Adressen gefunden
    > hast, so ist immer noch nicht bekannt, welche
    > der mehreren Millionen MAC-Adressen die den gleichen Hash bilden die
    > richtige ist.
    Es gibt 2^46 verschiedene MAC-Adressen und md5 hat 2^128 verschiedene Möglichkeiten.
    Damit sind Kollisionen zwar möglich, aber extrem unwahrscheinlich und wenn, dann werden es wohl auch nur 2 MACs sein, die den gleichen md5-Hash haben.

  8. Re: Hashing anonymisiert nicht,

    Autor: robinx999 09.01.19 - 20:21

    M-M schrieb:
    --------------------------------------------------------------------------------
    > Ein ausreichend langer Salt, der zeitnah verworfen wird, kann tatsächlich
    > etwas bringen.
    >
    Nur wie Zeitnah will man so einen Salt verwerfen wenn man laut Aussage der Betreiber sicher stellen will das Jeder Besucher nur ein mal Gezählt wird, da kann man diesen nicht sehr oft verwerfen

  9. Re: Hashing anonymisiert nicht,

    Autor: Agina 09.01.19 - 20:27

    robinx999 schrieb:
    --------------------------------------------------------------------------------
    > M-M schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Ein ausreichend langer Salt, der zeitnah verworfen wird, kann
    > tatsächlich
    > > etwas bringen.
    > >
    > Nur wie Zeitnah will man so einen Salt verwerfen wenn man laut Aussage der
    > Betreiber sicher stellen will das Jeder Besucher nur ein mal Gezählt wird,
    > da kann man diesen nicht sehr oft verwerfen
    Auch wenn der Betreiber das natürlich am liebsten über Jahre tracken würde, reicht es aus, einmal am Tag den Key zu verwerfen.
    Damit wird zwar nur sichergestellt, dass jeder Besucher nur einmal am Tag getrackt wird, aber das reicht schon aus.

  10. Re: Hashing anonymisiert nicht,

    Autor: robinx999 09.01.19 - 20:37

    Hängt dann aber natürlich Trotzdem von dem Verfahren ab einige simple lassen ja trotzdem zu das man mehrere Millionen pro Sekunde durchprobiert mit einer schnellen Grafikkarte. Also braucht es ein Verfahren welches gegenüber Bruteforce Atacken einigermaßen Resistent ist und gleichzeitig ausreichend schnell von Billigen Messgeräten erzeugt werden kann.

  11. Re: Hashing anonymisiert nicht,

    Autor: fox82 09.01.19 - 21:07

    Es ist nicht so entscheidend ob man nun eine echte Mac Adresse oder ein Pseudonym hat.

    Der Datenschutz-Gau passiert wenn man irgendwo das Bewegungsprofil (Pseudonym/Hash, wasauchimmer) einer Person zuordnen kann. Etwa einer Zahlungskarte, einem Foto einer Überwachungskamera etc.

    Wenn ich jeden Tag ein neues Salt verwende, aber jeden Tag das Profil der Kundenkarte der Person A zuordne dann ist dieses Salt völlig irrelavant. Denn ab dann weiß ich was Person A jeden Tag gemacht hat.

    Am besten das Ganze bleiben lassen. Denn die Verantwortlichen denken sie haben alles super anonymisiert, arbeiten in großem Stil mit den Daten, geben sie weiter (alles anonym, lol), und sobald jemand diese Daten mit anderen Daten zusammenführt kommt plötzlich was völlig Dummes raus.

    zB eine Taxizentrale (NY oder so) hat mal anonyme Daten zu Fahrten veröffentlicht. Die Daten hat jemand mit Paparazzi Fotos kombiniert (Taxinummer + Person am Foto), und schon hatte man Bewegungsdaten von vielen bekannten Personen.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. caplog-x GmbH, Leipzig
  2. Deloitte, verschiedene Standorte
  3. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf
  4. Landeshauptstadt München, München

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 114,99€ (Release am 5. Dezember)
  2. täglich neue Deals bei Alternate.de
  3. (reduzierte Überstände, Restposten & Co.)


Haben wir etwas übersehen?

E-Mail an news@golem.de


In eigener Sache: Golem.de bietet Seminar zu TLS an
In eigener Sache
Golem.de bietet Seminar zu TLS an

Der Verschlüsselungsexperte und Golem.de-Redakteur Hanno Böck gibt einen Workshop zum wichtigsten Verschlüsselungsprotokoll im Netz. Am 24. und 25. September klärt er Admins, Pentester und IT-Sicherheitsexperten in Berlin über Funktionsweisen und Gefahren von TLS auf.

  1. In eigener Sache Zweiter Termin für Kubernetes-Seminar
  2. Leserumfrage Wie können wir dich unterstützen?
  3. In eigener Sache Was du schon immer über Kubernetes wissen wolltest

Energie: Wo die Wasserstoffqualität getestet wird
Energie
Wo die Wasserstoffqualität getestet wird

Damit eine Brennstoffzelle einwandfrei arbeitet, braucht sie sauberen Wasserstoff. Wie aber lassen sich Verunreinigungen bis auf ein milliardstel Teil erfassen? Am Testfeld Wasserstoff in Duisburg wird das erprobt - und andere Technik für die Wasserstoffwirtschaft.
Ein Bericht von Werner Pluta

  1. Autos Elektro, Brennstoffzelle oder Diesel?
  2. Energiespeicher Heiße Steine sind effizienter als Brennstoffzellen
  3. Klimaschutz Großbritannien probt für den Kohleausstieg

Transport Fever 2 angespielt: Wachstum ist doch nicht alles
Transport Fever 2 angespielt
Wachstum ist doch nicht alles

Wesentlich mehr Umfang, bessere Übersicht dank neuer Benutzerführung und eine Kampagne mit 18 Missionen: Das Schweizer Entwicklerstudio Urban Games hat Golem.de das Aufbauspiel Transport Fever 2 vorgestellt - bei einer Bahnfahrt.
Von Achim Fehrenbach

  1. Mordhau angespielt Die mit dem Schwertknauf zuschlagen
  2. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  3. Bright Memory angespielt Brachialer PC-Shooter aus China

  1. EU-Kommission: Vodafone kann Unitymedia kaufen
    EU-Kommission
    Vodafone kann Unitymedia kaufen

    Vodafone kommt mit seinen angebotenen milden Zugeständnissen durch. Unitymedia und weitere Liberty-Global-Töchter in Europa dürfen gekauft werden.

  2. Cintiq 22: Wacoms preiswerteres Stift-Display hat mehr Zeichenfläche
    Cintiq 22
    Wacoms preiswerteres Stift-Display hat mehr Zeichenfläche

    Für etwa 1.000 Euro verkauft Wacom sein Cintiq-Stift-Display mit 22-Zoll-Arbeitsfläche. Für das Geld gibt es die bekannte Digitizer-Technik und den Stift. Einige Funktionen sind als optionales Zubehör erhältlich.

  3. Halbleiter: Samsung beginnt mit Massenfertigung von 12-GBit-DRAM
    Halbleiter
    Samsung beginnt mit Massenfertigung von 12-GBit-DRAM

    Der Halbleiterhersteller Samsung hat damit begonnen, 12-GBit-LPDDR5-Bausteine in der Masse zu produzieren. Der neue Speicher ist laut Hersteller rund 30 Prozent schneller als die Vorgängerbausteine.


  1. 15:22

  2. 14:50

  3. 14:25

  4. 13:50

  5. 13:22

  6. 13:00

  7. 12:25

  8. 12:01