Ebay soll den eigenen PC mittels Portscanner scannen

Jetzt ist Ihre Meinung gefragt zu Ebay soll den eigenen PC mittels Portscanner scannen

Wie der Sicherheitsforscher Charlie Belmer herausgefunden hat, wird der PC nach offenen Ports durchsucht, wenn man auf Ebay surft. Hierbei bedient man sich Techniken, wie sie auch bei Fernwartungstools zum Einsatz kommen.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Unterforum zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Ebay soll den eigenen PC mittels Portscanner scannen

technisch habe ich da null bedenken... Allerdings ist es fraglich wie lange die Maßnahme einen Sinn ergeben wird, wenn ich jetzt ebay Bots hätte, würde ich auf den Kisten einfach einen OpenVPN Server installieren, den default Port auf irgendeinen high port umdrehen und mich so auf die Maschinen verbinden, der Aufwand ist Quasi gleich null.. kann man ja automatisieren.

"17.0.0.1, einer IP-Adresse des lokalen Computers." -> die gehört eher zu APPLE-ENGINEERING.
Ist vielleicht die 127.0.0.1 (Loopback-Adresse) gemeint?
Dann macht es aber auch überhaupt keinen Sinn, da man dann immer noch nicht weis, was von Außen erreichbar ist (über den Router / die Firewall).
Könnt ja mal nmap mit 127.0.0.1 und eurer externen IP ausführen, die Ergebnisse werden ziemlich auseinanderdriften.

gelistete ports sind bei mir dicht...
das war knapp..

Um den letzten Satz zu komplettieren:

User "knss" von heise.de schrieb:

Das Verfahren, das Webseiten mit Hilfe von Websocket Portscans die Windows Rechner auf Remote Access Tools prüfen (als Sicherheitsfeature) wurde 2015 von ThreadMatrix entwickelt und ist seit dem auf mehreren Bankwebseiten im Einsatz - jetzt auch bei eBay.

Das Verfahren wurde 2015 bereits umfangreich diskutiert, insbesondere die fehlende Zustimmung des Nutzers zum Portscan wurde bemängelt - aber am Ende hat man sich darauf geeinigt, das keine Daten ausgespäht werden.

Man kann diese Scans (und ähnliche) mit uBlock Origin blockieren, wenn man es nicht möchte: Firefox: Zugriff auf lokale Adressen für Dritte blockieren

Zum Vergrößern anklicken....

Das wäre auch ziemlich egal wenn die offen währen, du müsstest die Ports in deinem Router noch forwarden/weiterleiten damit die von Außen sichtbar sind.

AdelskroneExport schrieb:

"17.0.0.1, einer IP-Adresse des lokalen Computers." -> die gehört eher zu APPLE-ENGINEERING.
Ist vielleicht die 127.0.0.1 (Loopback-Adresse) gemeint?
Dann macht es aber auch überhaupt keinen Sinn, da man dann immer noch nicht weis, was von Außen erreichbar ist (über den Router / die Firewall).
Könnt ja mal nmap mit 127.0.0.1 und eurer externen IP ausführen, die Ergebnisse werden ziemlich auseinanderdriften.

Zum Vergrößern anklicken....

Macht aber Sinn, wenn man wissen will, was auf dem lokalen Rechner alles läuft und lauscht. Ein Portscan von außen, ohne Genehmigung des Anschlussinhabers, wäre in Deutschland auch rechtlich ein bisschen sehr problematisch.

"Auf Linux-System wird derweil kein Portscan von Ebay durchgeführt."

Wieder ein Grund mehr, sich mal hier DistroWatch.com: Put the fun back into computing. Use Linux, BSD. umzuschauen.

binär-11110110111 schrieb:

"Auf Linux-System wird derweil kein Portscan von Ebay durchgeführt."

Wieder ein Grund mehr, sich mal hier DistroWatch.com: Put the fun back into computing. Use Linux, BSD. umzuschauen.

Zum Vergrößern anklicken....

Hehe ich nutz eh schon für Vieles eine VM wo ein Linux drauf sitzt, jetzt gehört E-Bay mit dazu .

Dafür hat man den Router und die Firewall auf dem Rechner.

DKK007 schrieb:

Dafür hat man den Router und die Firewall auf dem Rechner.

Zum Vergrößern anklicken....

Nutzt dir bei dieser Technik nix. Der Browser scannt die Ports von "von innen". Das ist ja das geniale/gemeine an der Sache.
Ein AdBlocker mit EasyPrivacy Liste sollte das aber unterbinden.

News schrieb:

"Unabhängig davon, ob der Portscan als Teil einer Infektion oder als Teil von Sicherheitskontrollen im E-Commerce oder bei Banken verwendet wird, handelt es sich eindeutig um böswilliges Verhalten." - Charlie Belmer.

Zum Vergrößern anklicken....

Jaja, dass ein weiterer, selbsternannter "Sicherheitsforscher" mit riesen Geltungsbedürfnis dies als böswillig und gefährlich einstuft, ist doch klar.

Ports gesperrt und aus die Maus!

Bunkasan schrieb:

Ein Portscan von außen, ohne Genehmigung des Anschlussinhabers, wäre in Deutschland auch rechtlich ein bisschen sehr problematisch.

Zum Vergrößern anklicken....

In dem Fall ist es eine Grauzone, mit der sich ein Gericht beschäftigen müßte. Immerhin hat man eBay quasi selbst eingeladen und solange das nicht für einen Angriff genutzt wird, sollte es da wenige Problem geben.

Zumal man dem Mist in irgendeiner Datenschutzerklärung vermutlich selbst zugestimmt hat.

DKK007 schrieb:

Dafür hat man den Router und die Firewall auf dem Rechner.

Zum Vergrößern anklicken....

Das nutzt dir nichts, da du eBay selbst zu dir eingeladen hast.

glatt_rasiert schrieb:

Ports gesperrt und aus die Maus!

Zum Vergrößern anklicken....

Den krempel garnicht erst installieren oder wenn man ihn braucht, abseits der Nutzungszeiten, deaktivieren.

Pu244 schrieb:

Zumal man dem Mist in irgendeiner Datenschutzerklärung vermutlich selbst zugestimmt hat.

Zum Vergrößern anklicken....

Hat man ganz sicher nicht.
Zum Einen wurde man da nicht explizit danach gefragt, es liegt also gar keine freiwillige Einwilligung vor.
Zum Anderen taucht Portscan da nicht auf. https://www.ebay.de/help/policies/member-behavior-policies/datenschutzerklrung?id=4260#section12

DKK007 schrieb:

Hat man ganz sicher nicht.
Zum Einen wurde man da nicht explizit danach gefragt, es liegt also gar keine freiwillige Einwilligung vor.
Zum Anderen taucht Portscan da nicht auf. https://www.ebay.de/help/policies/member-behavior-policies/datenschutzerklrung?id=4260#section12

Zum Vergrößern anklicken....

Datenschutzerklärung ist etwas anderes als Nutzungsbedingungen.
In den Nutzungsbedingungen kann ich mir gut vorstellen, dass irgendein Satz von wegen "wir behalten uns technische Schritte vor, die Sicherheit unserer Dienste zu gewährleisten bla bla bla" vorkommt.

Da muss dann aber auch drin stehen, wenn da was auf den PCs der Nutzern läuft.
Irgendwas allgemeines reicht da nicht.
Ansonsten kann man da direkt eine Abmahnung schicken.

Pu244 schrieb:

In dem Fall ist es eine Grauzone, mit der sich ein Gericht beschäftigen müßte. Immerhin hat man eBay quasi selbst eingeladen und solange das nicht für einen Angriff genutzt wird, sollte es da wenige Problem geben.

Zumal man dem Mist in irgendeiner Datenschutzerklärung vermutlich selbst zugestimmt hat.



Das nutzt dir nichts, da du eBay selbst zu dir eingeladen hast.



Den krempel garnicht erst installieren oder wenn man ihn braucht, abseits der Nutzungszeiten, deaktivieren.

Zum Vergrößern anklicken....

Fraglich ob der Scan (da offensichtlich nicht notwendig) mittels einfacher Datenschutzerklärung oder Nutzungsvereinbarung geregelt werden kann. Nach der aktuellen Fassung der EU-DSGVO würde ich behaupten, bedarf es hierzu einen eigenen OptIn und keinen generellen OptIn, also es würde ein separates Häkchen erfordern. An ein solches kann ich mich nicht erinnern, vor allem da ich mich irgendwann in den 90er registriert habe und ich kann mich nicht daran erinnern, jemals (gerade in den letzten zwei Jahren) etwas derartiges angeklickt zu haben (und JA, ich lese solche Sachen).

Den nächsten Punkt habe ich anders verstanden, warum habe ich Ebay eingeladen? Wenn ich eine Internetseite besuche, dann müssen solche Sachen seit DSGVO zwingend aufpoppen BEVOR sie ausgeführt werden. Gerade Ebay sollte hier vorsichtig genug sein, 4% der jährlichen Umsatzsumme werden schon ein teures Spielchen werden und irgendwie kann ich mir nicht vorstellen, dass die EU Kommision im Zweifel Gnade walten lässt; warum auch? Aber die zweite Verständnisfrage, welchen Krempel installiere ich denn? Windows? Internet Explorer? Weil so wie ich den Artikel verstanden habe, geht es darum, dass ein Portscan bei Betreten der Seite ausgeführt wird, nicht wenn du eine App installiert hast?

Ein Portscan hat doch aber nicht zwangsläufig etwas mit der DSGVO zu tun?!

SimonG schrieb:

Nutzt dir bei dieser Technik nix. Der Browser scannt die Ports von "von innen". Das ist ja das geniale/gemeine an der Sache.
Ein AdBlocker mit EasyPrivacy Liste sollte das aber unterbinden.

Zum Vergrößern anklicken....

Deswegen läuft bei mir immer noch alles was Internet angeht in SandBoxie und ganz aktuell bin ich dabei mir einen HyperV in den Keller zu stellen (vorrangig als NAS und Medienserver), der dann aber auch eine komplett geschützte Windows Installation beherrbergen soll, die nach jeder Nutzung in den Ursprungszustand zurückspringt. Damit ist man dann nochmal flexibler und kann schon auf Hardwareebene einen VPN einrichten, so dass nichtmal Windows weiß wo man wirklich steckt