Archiv

Archiv für die Kategorie ‘Piraten’

Plagiatsdoktor-Count: Neun

2011-05-15 5 Kommentare

Langsam wirds zu viel für mein Linkblog, deswegen habe ich die Sammlung hierher verschoben. Das wären schon vier fünf neun Doktortitel, die wegen Plagiaten weg (aberkannt, zurückgegeben, …) oder in Gefahr sind:

Mehr Infos gibts übrigens beim VroniPlag Wiki.

UPDATE:Die ganzen Fälle inkl. der vier Neuen habe ich mal im Piratenwiki in eine schicke Liste eingepflegt. Man könnte fast sagen, dass die Parteien- und Fachbereichstendenz sich bestätigt.

Der Fall von Matthias Pröfrock war mir neu, als ich die Liste erstellt hab. Kurz darauf gabs schon den Fall von Jorgo Chatzimarkakis – und der ärgert mich besonders ob der Dreistigkeit, mit der das Plagiieren verteidigt wird: Auf seiner Website weist er darauf hin, dass er verschiedene “Zitierweisen” benutzt habe, unter anderem “Zitate im Fließtext, nicht eingerückt und ohne Anführungszeichen, ausgewiesen durch Fußnote”. Um sicherzugehen, dass ich ihm kein Unrecht tue, habe ich mir die “Zitate” mal angeschaut, die Arbeit ist online verfügbar, die Plagiateliste auch. Und da werden ganze Seiten en bloc “zitiert”, mit einer Fußnote am Ende (Beispiel: Seite 55-56, Fußnote 115), ohne dass zu erkennen wäre wo das “Zitat” anfängt (böse Zungen würden sagen: Dort, wo das Ende des vorherigen durch die Fußnote erkennbar ist). Besonders schön ist, dass eines der “Zitate” wiederum einen (gekennzeichnet) zitierten Satz enthält, und die Fußnote dann passend bei diesem steht (Seite 54, Fußnote 113).

Interessant vielleicht auch die beteiligten Unis und Fachbereiche:

  • Guttenberg: Bayreuth, Rechts- und Wirtschaftswissenschaften
  • Koch-Mehrin: Heidelberg, Philosophie
  • Pröfrock: Tübingen, Juristische Fakultät
  • Saß: Konstanz, Rechtswissenschaft
  • Chatzimarkakis: Bonn, Philosophische Fakultät

Ob der große Anteil der Jura-Fachbereiche (+ Rest Philosophie) damit zusammenhängt, dass Politiker oft Jura studieren, oder damit, dass im Jura- und Philo-Bereich überdurchschnittlich viele Studenten unterwegs sind die es mit ehrlicher Arbeit nicht so haben, weiß ich nicht.
Für eine statistisch fundierte Aussage reicht es ja (noch) nicht aus. Vielleicht ja beides und ggf. ist ja das eine auch die Ursache für das andere ;-)

Für die auffällige Häufung bestimmter Parteien könnte man das mit dem überduchschnittlichen Anteil natürlich auch…

Volkszählung: Online-Übermittlung unsicher

2011-05-07 32 Kommentare

Aus aktuellem Anlass (die Fragebögen sollen bald raus und jemand der einen bekommen soll hat mich kontaktiert) habe ich mir den Zensus-Kram nochmal angeschaut und mir ist eine Sache aufgefallen: Laut dem Musterfragebogen zur Haushaltsbefragung: werden die Leute, die den Fragebogen online ausfüllen wollen, auf “www.zensus2011.de” geleitet – sollen die Seite also per unverschlüsseltem HTTP aufrufen. Das ist unsicher, und ob danach sofort eine Umleitung auf HTTPS erfolgt, ist im Fall eines aktiven Angriffs irrelevant, da die erste Anfrage über HTTP rausgeht und somit vom Angreifer manipuliert werden kann, bevor der Server überhaupt was mitbekommt und den Nutzer umleiten kann.

Um diese Art von Angriff zu demonstrieren, gibt es eine fertige Software namens “sslstrip” von Moxie Marlinspike. Schaltet man diese in die Leitung, so fängt sie https-redirects automatisch ab, sodass der Nutzer weiter http nutzt und die Daten im Klartext über die Leitung gehen. Ich weiß nicht wie weit die Software entwickelt ist, d.h. ob sie auch in diesem Fall ohne Anpassungen funktioniert, aber in dem Moment wo die erste Anfrage unverschlüsselt rausgeht, ist der Angriff machbar.

Um Missverständnisse zu vermeiden – das bedeutet NICHT

  • dass die Server gehackt wären
  • dass Daten schon offen/geklaut/geleakt wären
  • dass jeder mit dem Tool einfach so sämtliche Zensusdaten abgreifen kann
  • dass Daten im Normalfall (d.h. ohne Angriff) unverschlüsselt verschickt würden
  • dass ein rein passiver Angreifer die Daten abgreifen könnte

Ein aktiver Angreifer kann aber die Daten abfangen. Es zeigt vor allem, dass Sicherheit offenbar nicht wirklich ernstgenommen wird – die Lösung wäre einfach gewesen ein https:// auf den Zensusbogen zu schreiben und darauf hinzuweisen, dass diese Adresse exakt einzugeben ist. Nachträglich könnte man das vermutlich am Besten mit einem zusätzlichen Infoblatt noch retten, was man zusammen mit den Fragebögen austeilen könnte.

Was bedeutet “aktiver Angreifer”? Wie auch die AusweisApp-Geschichte setzt dies voraus, dass der Angreifer den Datenverkehr nicht nur abhören, sondern auch manipulieren kann. Das ist nicht trivial, aber machbar und schon vorgekommen. In der IT- und Netzwerksicherheit geht man – nicht ohne Grund – eigentlich immer von einem sogenannten Dolev-Yao-Angreifer aus, der genau diese Möglichkeiten hat. Die Zertifikate, ein ziemlich komplexer Baustein bei SSL, sind auch nicht ohne Grund da. Die verschiedenen Methoden wie sowas passieren kann müsste ich mal ausführlicher bloggen, einige wären:

  • DNS-Server der Domain manipulieren (wie z. B. beim Sicherheitsdienstleister Secunia passiert)
  • DNS-Server/Cache des Providers manipulieren/vergiften
  • DNS-Cache des Routers manipulieren/vergiften
  • Falsches kostenloses WLAN
  • Angreifer im gleichen Netzwerk (WG, Firma, Schule, verseuchter PC im Haushalt), dann ARP spoofing/poisoning (oder Kontrolle über Proxy/Router)

Diese Angriffe betreffen den Nutzer auch, wenn sein Computer an sich sicher ist! Um sich zu schützen, muss man vor dem Login prüfen, dass a) HTTPS verwendet wird und b) man immer noch auf der richtigen Seite ist.

Die Zensus-Seite für das Online-Ausfüllen ist noch nicht online – ob da noch weitere peinliche Lücken auftauchen weiß ich nicht, ich hoffe nur, dass Finder sie melden oder veröffentlichen statt sie zu missbrauchen.

Eine andere unschöne Geschichte ist noch, dass beim Zensus die ausgefüllten Fragebögen wahlweise bei den Interviewern gelagert werden (siehe auch: NPD ruft Mitglieder auf, Volkszähler zu werden) oder per Post eingeschickt werden können – aber nicht immer an die statistischen Landesämter, sondern teilweise an private Firmen an die der Kram outgesourced wurde.

Zur generellen Kritik am Zensus sei noch gesagt, dass der Zensus keineswegs anonym ist und die Daten jahrelang personenbeziehbar abgelegt sein dürfen. (“Hilfsmerkmale” sind die personenbezogenen Daten)

Abgefragt (und ggf. bei den Interviewern zuhause gelagert!) werden unter anderem:

  • Name, Adresse
  • Geburtsdatum
  • Telefonnummer
  • alle Staatsangehörigkeiten
  • Religionsgesellschaft (Pflichtfrage!)
  • Glaubensrichtung (freiwillig – bei Islam möchte man es gerne genau wissen: sunnitisch, schiitisch oder alevitisch?)
  • Zugewandert? Falls ja, wann und woher?
  • Das gleiche nochmal für die Eltern!
  • Exakter Beruf(z. B. “Blumenverkäuferin”, nicht “Verkäuferin”)
  • Stichworte zur Tätigkeit (z. B. “Beratung, Verkauf, Verpacken von Pflanzen”)

Im Bezug auf die Datenschutzversprechen könnte auch mein Artikel über die herumliegenden Daten die gar nicht da sein sollten beim Statistischen Bundesamt interessant sein.

An dieser Stelle sei noch verwiesen auf:

  • Die “Volkszählungsfibel” des AK Zensus (Zensuskritiker) mit einem guten Überblick über den Zensus und die Kritik daran
  • Die FAQ auf der offiziellen Seite

UPDATE:
Um die Angriffe zu verdeutlichen, hier ein paar Diagramme (können per Klick vergrößert werden).
Schwarze Linien zeigen unverschlüsselte Verbindungen an, blaue Linien sind HTTPS-Verbindungen (d.h. verschlüsselt und die Identität des Servers wird geprüft).

Zunächst einmal der normale Ablauf ohne Angriff:

Der Nutzer gibt die Adresse auf dem Papierfragebogen ein, sein Browser geht (unverschlüsselt) zum Server und bekommt einen HTTPS-Link auf den Online-Fragebogen. Der Nutzer klickt drauf, sein Browser holt über eine gesicherte Verbindung den Fragebogen ab, der Nutzer loggt sich ein und füllt ihn aus.

Nun ein Angriff:

Der Angreifer leitet sämtliche Verbindungen des Nutzers auf sich um.
Der Nutzer gibt die Adresse auf dem Papierfragebogen ein, sein Browser geht (unverschlüsselt) zum (falschen!) Server und bekommt eine Antwort mit einem HTTPS-Link auf einen falschen Fragebogen auf einer Domain die dem Angreifer gehört (und für die er daher ein Zertifikat hat). Beispielsweise http://www.zensus2011-befragung.de ist noch frei (die echte Seite heißt zensus2011-befragungen.de, was der normale Nutzer aber nicht wissen kann). Eventuelle Sicherheitshinweise auf der Seite mit dem Link sind natürlich auch auf den falschen Namen angepasst. Der Rest läuft wie beim normalen Zensus, nur dass der Nutzer den Fragebogen des Angreifers ausfüllt. Der kann entweder eine Kopie des echten Fragebogens sein, oder gleich noch zusätzliche Fragen enthalten.

Mit sslstrip kann man einen anderen Angriff automatisiert machen:

Das sieht erstmal komplizierter aus, ist es aber nicht, weil es weitgehend automatisch passiert. Der Nutzer bekommt hier einen http-Link auf die echte Domain, die ungesicherten Anfragen fängt der Angreifer wieder ab, leitet sie (per https, weil der echte Server keine unverschlüsselten Anfragen will) an den Server weiter und liefert die Antwort wieder an den Zensus-Teilnehmer. Dabei liest er natürlich mit, wenn der Teilnehmer den Fragebogen ausfüllt.

Statt einem HTTP-Link (der das Opfer eventuell wegen der fehlenden Verschlüsselung stören könnte) kann der Angreifer auch einen HTTPS-Link auf eine andere, eigene Domain (wie bei Angriff 1) liefern, und die an ihn gestellten Anfragen von sslstrip weiterreichen lassen.

Wenn auf dem Fragebogen die Adresse mit https stehen würde, würde es so aussehen:

Bereits die erste Anfrage geht über HTTPS, es gibt keine unverschlüsselten Anfragen! Würde der Angreifer hier angreifen wollen, würde es so aussehen:

Der Browser merkt beim Aufbau der gesicherten Verbindung, dass er nicht mit dem richtigen Server spricht, und bricht mit einer sehr deutlichen Warnmeldung an den User ab.

Die Diagramme sind übrigens mit mscgen erstellt.

Atomkraft? Sicher! [Foto/Wallpaper]

2011-03-15 2 Kommentare

Sicheres Onlinebanking? Kostet extra!

2011-01-19 28 Kommentare

Die Postbank schaltet das iTAN-Verfahren zugunsten “sichererer” Verfahren ab. Das iTAN-Verfahren, also die Eingabe eines Einwegkennworts von einer gedruckten Liste, ist bei einem verseuchten Computer über einen Trojaner angreifbar, der die Überweisungsdaten verändert. Der Schritt ist also erstmal logisch, nachvollziehbar und scheint sinnvoll zu sein.

Als Ersatz werden zwei alternative Verfahren angeboten: Die mTAN, bei der eine TAN auf das Handy geschickt wird, und die chipTAN (auch smartTAN genannt), bei der die TAN von einem speziellen Gerät in Verbindung mit der Bankkarte erzeugt wird. Bei beiden Verfahren werden die Trasaktionsdetails (Betrag, Empfängerkonto, …) auf einem separaten Gerät (Handy bzw. TAN-Generator) angezeigt. Dadurch kann ein Trojaner nicht mehr die Überweisung unbemerkt ändern. Vor diesem Problem schützen beide neuen Verfahren. Alle drei Verfahren, also iTAN, mTAN und chipTAN, stellen zusammen mit der PIN des Nutzers eine Zwei-Faktor-Authentifizierung dar: der Nutzer muss geheimes Wissen (die PIN) beweisen, und den Besitz eines physikalischen Gegenstands (TAN-Liste, Handy, TAN-Generator+Karte).

Im Folgenden wird davon ausgegangen, dass es einem Angreifer irgendwie gelungen ist, an die PIN zu kommen – was ohne einen Trojaner auf dem Rechner schwierig ist und in dem Fall die Gefahr relativiert, mit einem Trojaner jedoch trivial ist. Aufgrund der Zwei-Faktor-Authentifizierung sollte der Angreifer alleine mit der PIN (ohne den Besitz des entsprechenden Gegenstandes) nichts anfangen könnten.

Solange kein Trojaner auf dem Rechner ist und die TAN-Liste geheim bleibt, ist das iTAN-Verfahren sicher. Beim mTAN-Verfahren hingegen sieht es bereits anders aus: Hier muss nicht der PC, sondern das Handy sicher sein. Mit steigender Verbreitung von Smartphones und eher mangelhafter Sicherheit derselbigen wird das immer schwieriger. Während es für gewöhnliche Nutzer schwieriger ist, den Computer statt das Handy sauberzuhalten, kann das bei “Powerusern” genau umgekehrt aussehen. Gelangt ein Angreifer in den Besitz der PIN und kann gleichzeitig das Handy mit Malware verseuchen, kann er das Konto plündern. (Update: Kunden einer spanische Bank sollen auf diese Weise angegriffen worden sein, das ist also keineswegs graue Theorie. Danke an wopot für den Hinweis! Update 2: Jetzt warnt auch das BSI vor dieser Art von Angriff. Update 3: Und jetzt gibts schon gezielte Angriffe auf deutsche User, ausgehend von einem verseuchten Rechner. QED.)

Eine weitere Gefahr bei der mTAN entsteht durch das Mobilfunknetz: Die mTANs werden per SMS verschickt. Diese sind bei der Übertragung nur sehr schlecht geschützt, und es existieren Angriffe, die SMS-Nachrichten an eine bestimmte Nummer bereits im Handynetz umleiten können. Beispiele für Angriffsmöglichkeiten wären: Die Nummer des Opfers portieren lassen, Klonen der SIM-Karte/des Handies, Abhören der SMS-Übertragung irgendwo zwischen Bank und Handy, das Bestellen einer neuen SIM-Karte, und und und. Darüber hinaus ist das meist immer mitgenommene Handy einer höheren Diebstahlsgefahr ausgesetzt als die TAN-Liste, die sicher zu Hause verwahrt wird.

Die mTAN ist im Szenario “PIN dem Angreifer bekannt, Rechner sauber” somit weniger sicher als die iTAN.

Auch im Szenario “Computer verseucht” beitet die mTAN keinen vollständigen Schutz: Heutige Smartphones werden oft mit dem Rechner verbunden, und ein Virus, der vom Computer auf das Smartphone überspringt um die mTANs zu stehlen ist technisch möglich und höchstwahrscheinlich nur eine Frage der Zeit. (In diesem Fall versagt jedoch das bisherige iTAN-Verfahren ebenfalls.)

Das andere Verfahren, die chipTAN, ist nahezu ideal: Ein separates Gerät, welches ausschließlich für die TAN-Erzeugung genutzt wird, zeigt die Überweisungsdaten an und generiert anhand der Bankkarte eine nur für diese Überweisung gültige TAN. Auch hier gibt es zwar Angriffe, diese nutzen jedoch ähnlich wie mein letzter ePerso-Angriff Fehler des Nutzers aus. Mit einer eindeutigen Bedienungsanleitung können diese weitgehend vermieden werden. Dieses Verfahren ist selbst dann sicher, wenn alles außer dem chipTAN-Generator virenverseucht ist, da die Prüfung der Überweisungsdaten auf dem Display des Generators stattfindet. Da dieses Gerät eine abgeschlossene Einheit mit minimalem Funktionsumfang (und somit kaum Angriffsfläche) darstellt, dürfte es vor Viren sicher sein.

Das Problem: Die iTAN wird bei der Postbank abgeschafft, Kunden haben also nur noch die Wahl zwischen mTAN und chipTAN. Nur die mTAN kann allerdings ohne weitere Kosten für den Nutzer genutzt werden. Das weitaus bessere chipTAN-Verfahren erfordert, dass der Nutzer 12-15 Euro für ein passendes Lesegerät ausgibt. Das wird die Akzeptanz dieses Verfahrens nicht gerade fördern. Das mTAN-Verfahren ist aber in bestimmten Fällen weniger sicher als die bisherigen iTANs. Durch das von den Banken behauptete hohe Sicherheitsniveau könnte das im Missbrauchsfall für den Kunden ein ziemliches Problem vor Gericht werden.

Gleichzeitig machen die Preise für die TAN-Generatoren übrigens deutlich, was für eine Gelddruckmaschine die ePerso-Kartenleser mit Verkaufspreisen im dreistelligen Bereich sind bzw. welche Preisklasse die ordentlichen Lesegeräte haben dürften, wenn man sie statt der unsicheren Basisleser in großen Mengen herstellen lässt.

Zusammenfassung:
- Die iTAN ist gegen verseuchte Computer anfällig. Dies ist derzeit das größte Problem beim Onlinebanking.
- Die Abschaffung der iTAN wird insgesamt betrachtet die Sicherheit erhöhen
- Die mTAN kann das Problem lindern, aber nicht lösen.
- Die mTAN bietet in bestimmten Szenarien einen geringeren Schutz als die iTAN
- Die chipTAN hat ein sehr hohes Sicherheitsniveau, kostet aber den Nutzer Geld
- Einige Nutzer werden durch diese Änderung ein niedrigeres Sicherheitsniveau als bisher haben. Sicheres Onlinebanking kostet extra.
- Die Nutzung des chipTAN-Verfahrens kann ich nur empfehlen.

Meiner Meinung nach sollten die Banken die chipTAN als Standardverfahren verwenden und genauso wie sie den Kunden ec-Karten zur Verfügung stellen, kostenlose TAN-Generatoren anbieten.

Durch die Nutzung eines separaten Geräts für die Erzeugung der TANs dürfte das chipTAN-Verfahren übrigens deutlich sicherer sein als die eID-Anwendung des ePersos – obwohl die Hardware einen Bruchteil kostet. Mit einem ähnlichen Ansatz (sichere Eingabegeräte mit Display und Tastatur im Besitz des Nutzers) ließen sich auch EC-Kartenzahlungen deutlich sicherer gestalten – da gibt es nämlich auch schon Sicherheitslücken.

Auch bei digitalen Signaturen sollte ein sicheres Signiergerät den zu signierenden Inhalt in einem simplen Fomat (z. B. Plaintext oder Bitmap) nochmal auf einem eigenen Display anzeigen und nur genau das signieren, was angezeigt wurde. Aber bis sich so etwas etabliert, dürften Jahrzehnte vergehen.

ePerso: PIN-Diebstahl ohne Malware

2011-01-17 61 Kommentare

Der CCC hatte im September 2010 einen Angriff gegen den ePerso präsentiert: Ein Trojaner auf dem PC des Nutzers kann die PIN abfangen, wenn der Nutzer sie über die Tastatur eingibt. Das ist für jeden, der sich ein wenig auskennt, keine Überraschung – aber durchaus ein großes Problem für den realen Einsatz des Personalausweises.

Ich habe nun einen Angriff entwickelt, der in der Lage ist, die PIN des Nutzers zu stehlen, ohne Malware auf dem Rechner des Nutzers zu installieren. Wer sich das mal anschauen möchte, kann ja die Altersverifizierung für den (fiktiven) FSK18-Bereich der Piratenpartei-Website durchführen. (Die PIN wird bei der Demo natürlich nicht an den Server gesendet.) Wer den Angriff testen will, sollte das jetzt erstmal tun und nicht weiterlesen.

v

v

v

Man kann den Angriff auch ohne Ausweis, Lesegerät und AusweisApp testen: Einfach eine sechsstellige PIN ausdenken und so tun als sei die AusweisApp installiert, das Lesegerät angeschlossen und der Ausweis aufgelegt.

v

v

v

Der Angriff funktioniert ganz einfach: Mit JavaScript, HTML und Screenshots (also Bildern) wird eine AusweisApp im Browser simuliert. Der Nutzer denkt, er würde die echte AusweisApp sehen, und gibt seine PIN ein. In diesem Fall wird nach der PIN-Eingabe eine Auflösung angezeigt, bei einem echten Angriff bekäme der Nutzer eine Fehlermeldung zu sehen, damit er keinen Verdacht schöpft, und seine PIN würde an den Server geschickt. Die Fehlermeldung wäre auch nichts besonderes – bei den meisten Seiten funktioniert die Ausweisfunktion eh nicht. (Und auch sonst funktioniert an dem ganzen Projekt ziemlich wenig: Die Änderungs-Terminals spinnen, Sonderzeichen machen Probleme, und so weiter.

Bei dieser Simulation ist es nicht möglich, die PIN über die eingebaute Bildschirmtastatur einzugeben, die entsprechende Schaltfläche fehlt. Das hat allerdings nichts damit zu tun, dass das prinzipiell nicht möglich wäre, sondern dass ich faul bin und keine Lust hatte, noch ein Dialogfeld detailgetreu nachzubauen. Sollte also jemand als “wirksame” Gegenmaßnahme vorschlagen wollen, die Bildschrimtastatur zu nutzen, kann ich das gerne noch nachreichen. Die Bildschirmtastatur schützt lediglich vor sehr einfachen Keyloggern, und vermittelt ansonsten nur ein falsches Gefühl der Sicherheit. Wer Ausweise missbrauchen will, wird sich beim Trojanerschreiben die Mühe machen, auch Eingaben über die Bildschirmtastatur zu erkennen – das ist keine Kunst, sondern Fleißarbeit.

Dieser Angriff nutzt keine Sicherheitslücke im Ausweis oder der AusweisApp aus, sondern die Tatsache, dass Nutzer nicht in der Lage sind, echt aussehende von echten Fenstern zu unterscheiden. Das könnte zwar zu der Behauptung führen, dass dieser Angriff -in der Theorie- gar kein richtiger Angriff sei – das Ergebnis ändert das aber nicht: Der Angreifer hat am Ende die PIN des Nutzers.

Diese Funktionsweise macht es umso schwieriger, den Angriff zu verhindern: Die letzte Sicherheitslücke in der AusweisApp, die ich gefunden hatte, ließ sich mit ein paar Zeilen Code und einem Update lösen. Dieses Problem hingegen lässt sich nur lösen, indem man den Nutzern beibringt, worauf sie zu achten haben – und sie dazu erzieht, auch tatsächlich daran zu denken, jedes mal auf diese Merkmale zu achten. Das ist allerdings sehr schwierig.

Bei unvorsichtigen Nutzern könnte dieser Angriff selbst dann funktionieren, wenn der Nutzer ein Lesegerät der höheren Sicherheitsstufe hat, bei denen man die PIN normalerweise über das Lesegerät eingibt. Eigentlich sollte es dem Nutzer auffallen, wenn er die PIN plötzlich am Rechner eingeben soll – aber wie viele Nutzer, die von den Sicherheitskonzepten keine Ahnung haben, werden die PIN trotzdem über die Computertastatur eingeben, wenn der Computer sie dazu auffordert und die Eingabe über das Lesegerät nicht akzeptiert?

Um sich gegen diesen Angriff zu schützen, muss man lernen, falsche von echten Fenstern zu unterscheiden. Im Browser wird die Website in einem bestimmten Bereich angezeigt. Lässt sich ein Fenster aus diesem Bereich heraus verschieben, dann handelt es sich zumindest um ein richtiges Fenster. Allerdings können Webseiten auch Popup-Fenster öffnen, die sich dann frei verschieben lassen. Bei allen gängigen Browsern kann die Website dabei zwar viele Teile des Browserfensters ausblenden, aber die Adressleiste (bzw. bei Opera eine dünne Leiste mit der Website-Adresse) bleibt immer stehen, eben um zu verhindern, dass ein Popup für ein echtes Fenster gehalten wird. Der “Verschiebetest” zusammen mit einem kritischen Blick auf das Fenster ist also ein guter allgemeiner Anhaltspunkt.

Darüber hinaus hat die AusweisApp (bei angeschlossenem Lesegerät) ein Chip-Symbol in der Taskleiste neben der Uhr, welches bei aufgelegter Karte grün wird. Ist die AusweisApp aktiv, wechselt es die Farbe zu Blau. Das ist ein weiteres Sicherheitsmerkmal, auf das man achten sollte. Da ich nicht ausschließen möchte, dass es möglich ist, die AusweisApp zu aktivieren und dann irgendwie zu überlagern, würde ich den Verschiebetest zusätzlich empfehlen. Seltsam aussehende Schrift im AusweisApp-Fenster ist übrigens kein Hinweis auf eine Fälschung: Die Schriften sehen auch in der echten AusweisApp seltsam aus.

Man kann falsche Fenster also durchaus unterscheiden – aber die Hinweise, wie man es macht und dass man es machen solte, fehlen in den Hochglanzbroschüren zum Ausweis. Von sich aus kommen selbst Fachleute selten auf die Idee, diese Prüfungen zu machen, solange nicht irgendetwas Verdacht erregt. Eine gute Fälschung tut das aber nicht.

Ist der Angreifer im Besitz der PIN, reicht dies allein zwar noch nicht, um die Identität des Ausweisinhabers zu missbrauchen – die PIN existiert aber nicht ohne Grund und sollte nicht nur zum Spaß geheimgehalten werden. Ein Beispiel für einen Angriff, für den eine gestohlene PIN nützlich wäre, wurde auf dem 27C3 präsentiert.

Warum ich den Ausweis auch unabhängig von der Lücke ablehne, steht in diesem Beitrag. Auf weitere grundsätzliche Probleme wie die Beweislastumkehr, die für Ausweisnutzer ein ziemlicher Nachteil ist, werde ich in weiteren Beiträgen eingehen wenn/falls ich dafür Zeit finde. Ich kann nur davon abraten sich so einen Ausweis zu holen, bzw. wenn man schon einen hat, ihn zu nutzen. Auch wenn Alufolie immer an Verschwörungstheoretiker mit Aluhüten erinnert – ein paar Lagen davon, um den Ausweis gewickelt und an den Seiten umgefaltet, verhindern das Auslesen sowohl beim Ausweis als auch bei anderen RFID-Karten zuverlässig.

Noch ein kleiner Hinweis für die Presse: Ich bin immer noch kein CCC-Mitglied, obwohl ich letztes Mal nach den Falschmeldungen eingeladen wurde ;-)

Fragen die öffentlich beantwortet werden sollen/können, bitte über die Kommentarfunktion. Sonstige (An)fragen bitte über Jabber (XMPP, Google Talk) an janschejbal at jabber.ccc.de (das ist keine Mailadresse!) oder Mail an janhomepage [at] gmx punkt net. Telefon ist ungünstig, ggf. bitte Festnetznummer per Mail schicken.

Sicherheitslücke bei PayPal eine Woche lang offen

2010-12-27 6 Kommentare

Anfang Dezember, am 9.12., habe ich morgens gegen 10 eine Sicherheitslücke bei Paypal entdeckt. Obwohl der Laden es eigentlich nicht verdient hat (nicht nur weil sie Wikileaks das Konto gesperrt haben, sondern z. B. deswegen weil sie gerne mal ohne wirklichen Grund Konten willkürlich einzufrieren und sich dann zu weigern, vor Ablauf von 6 Monaten das Geld freizugeben).

Das Problem war, dass man innerhalb der (HTTPS-geschützten) Paypal-Seite über ungeschützte Seiten weitergeleitet wurde – was ein Angreifer prompt hätte ausnutzen können, um ein Opfer auf eine Phisingseite umzuleiten, nachdem es die gesicherte Paypal-Seite erreicht hat.

Obwohl Paypal mir noch am 9. gegen 18 Uhr bestätigte, meine Mail bekommen zu haben und sich um das Problem zu kümmern, wurde die gefährliche Umleitung erst am 16.12., also eine Woche später, in den frühen Morgenstunden behoben. (Ein paar Tage zuvor wurde schon die Umleitung von Paypal.com auf paypal-deutschland.de aufgehoben, wenn ich es richtig in Erinnerung habe.) Wie lange die Lücke vor meiner Entdeckung offen war weiß ich natürlich nicht, aber das können nochmal Wochen oder Monate gewesen sein.

Besonders peinlich daran war, dass die Umleitung über irgendeinen Werbeserver eines Drittanbieters erfolgte, vermutlich also nur gemacht wurde, um Statistiken zu sammeln beziehungsweise das Nutzerverhalten zu verfolgen. Die Lücke hätte eigentlich innerhalb von weniger als einer Stunde behoben sein müssen. Angesichts der Größe von Paypal und der Tatsache dass es sich um einen Zahlungsdienstleister handelt, hätte ich ehrlich gesagt erwartet, dass die Lücke innerhalb einer Stunde nach meiner Mail weg ist – und nicht, dass allein die Eingangsbestätigung rund 8 Stunden dauert. (Gemeldet hatte ich das an eine spezielle Adresse zum Melden von Sicherheitslücken).

Es wird aber noch besser: Dass es gefährlich ist, Teile von kritischen Websites ohne SSL laufen zu lassen, ist hinreichend bekannt, und wurde z. B. von Moxie Marlinspike vor Jahren demonstriert. Die Reaktion von PayPal auf seine Entdeckung: Sie haben sein PayPal-Konto gesperrt und sein Geld darauf eingefroren (lies: erstmal behalten).

 

Technische Details der Lücke

Für Interessierte hier nocheinmal die ganzen schmutzigen technischen Details:

Wenn man mit einem auf deutsch eingestellten Browser auf http://www.paypal.com ging (und die Seite gerade nicht erfolgreich von 4chan geddost wurde), wurde man auf https://www.paypal-deutschland.de/ umgeleitet. Wie es sich für einen Zahlungsdienstleister gehört wurde dabei SSL eingesetzt, wenn auch das Zertifikat dem PayPal-Ableger in Singapur gehört, obwohl die Seite laut Impressum von PayPal Europe (Luxemburg) betrieben wird.

Der Login-Knopf (Ergänzung: der Knopf der einen zum Login-Formular bringt, also kein Knopf zum Absenden der Logindaten) zeigte auf


https://www.paypal-deutschland.de/mediaPlexLink.html?url=https%3A%2F%2Fwww.paypal.com%2Fde%2Fcgi-bin%2Fwebscr%3Fcmd%3D_login-run&id=3484-46780-8030-58%3FID%3D11

Wenn man diese URL nun aufgerufen hat, sah das so aus (Hervorhebung von mir. Die SSL-Warnung liegt nur daran dass mein wget nicht richtig konfiguriert ist):

--04:07:37--  https://www.paypal-deutschland.de/mediaPlexLink.html?url=https%3A%2F%2Fwww.paypal.com%2Fde%2Fcgi-bin%2Fwebscr%3Fcmd%3D_login-run&id=3484-46780-8030-58%3FID%3D11
           => `nul'
Resolving www.paypal-deutschland.de... 62.168.214.18
Connecting to www.paypal-deutschland.de|62.168.214.18|:443... connected.
WARNING: Certificate verification error for www.paypal-deutschland.de: unable to get local issuer certificate
HTTP request sent, awaiting response... 302 Moved Temporarily
Location: http://altfarm.mediaplex.com/ad/ck/3484-46780-8030-58?ID=11 [following]
--04:07:37--  http://altfarm.mediaplex.com/ad/ck/3484-46780-8030-58?ID=11
           => `nul'
Resolving altfarm.mediaplex.com... 89.207.18.81
Connecting to altfarm.mediaplex.com|89.207.18.81|:80... connected.
HTTP request sent, awaiting response... 302 Moved Temporarily
Location: http://mp.apmebf.com/ad/ck/3484-46780-8030-58?ID=11&host=altfarm.mediaplex.com [following]
--04:07:37--  http://mp.apmebf.com/ad/ck/3484-46780-8030-58?ID=11&host=altfarm.mediaplex.com
           => `nul'
Resolving mp.apmebf.com... 89.207.18.80
Connecting to mp.apmebf.com|89.207.18.80|:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: http://altfarm.mediaplex.com/ad/ck/3484-46780-8030-58?ID=11&no_cj_c=1&upsid=868592930557 [following]
--04:07:38--  http://altfarm.mediaplex.com/ad/ck/3484-46780-8030-58?ID=11&no_cj_c=1&upsid=868592930557
           => `nul'
Connecting to altfarm.mediaplex.com|89.207.18.81|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 424 [text/html]

    0K                                                       100%   15.56 MB/s

04:07:38 (15.56 MB/s) - `nul' saved [424/424]

Man wird also über mehrere unverschlüsselte Webseiten weitergeleitet. Die letzte liefert dann eine HTML-Seite aus, die einen wieder zurück zu einer HTTPS-gesicherten Paypal-Seite bringt.

Ein Angreifer mit gewisser Kontrolle über die Internetverbindung konnte also die Auslieferung der ungesicherten Seiten manipulieren und so das Opfer auf eine Phishingseite umlenken. Wenn ein Opfer vor dem Anklicken des Login-Links das Zertifikat (und dann nicht mehr) geprüft hat, wähnte es sich in Sicherheit (denn von einer sicheren Seite sollte man nicht unsicher umgeleitet werden), obwohl aufgrund dieses Fehlers Gefahr bestand.

Asse – Mathematik der Lügen

2010-12-06 3 Kommentare

In “Wahrscheinlichkeitsrechnung des Terrors” hatte ich vor Jahren mathematisch erklärt, warum vermeintlich sichere Verfahren zum Erkennen von Terroristen (oder sonstigen Tätern) dazu führen würden, dass ziemlich viele Unschuldige eingelocht würden. Die Grundidee dabei ist: Wenn man mit einem Verfahren, was sich nur selten irrt, sehr sehr viele Menschen testet, wird es in einigen Fällen danebenliegen. Gibt es nun nur wenige Terroristen in der Gesamtmenge, meldet das Verfahren eventuell mehr Unschuldige als es Terroristen erkennt.

Mit der Asse (dem löchrigen einsturzgefährdeten Atommülllager) gibt es nun ein anderes mathematisches Problem. Da ich hier ZDF-Quellen habe, muss ich recht großzügig zitieren, weil das ZDF die Originalquellen depublizieren wird. Um die Asse wurde eine deutlich erhöhte Krebsrate beobachtet. Laut diesem ZDF-Beitrag schließt die Regierung einen Zusammenhang aber aus:

Die Anzahl der Krebsfälle rund um das marode Atomlager Asse liegen über dem Durchschnitt – einen Zusammenhang hat die Bundesregierung nun einem Bericht zufolge ausgeschlossen. Sie erklärte demnach die Erkrankungsrate mit “statistischen Zufällen”.

Ob es einen Zusammenhang besteht zwischen “erhöhter Krebsrate” und “Da ist ein Berg in der Nähe den sie mit (krebserzeugendem) Atommüll vollgemacht haben, indem sie Fässer aus ein paar Meter Höhe mit einem Radlader abgekippt haben. Danach ist da Salzlake durchgeflossen bis sie radioaktiv verseucht im Grundwasser gelandet ausgetreten ist”. – das kann man mathematisch nicht beweisen. Um zu beurteilen, ob es “statistische Zufälle” sind, gibt es aber ein Verfahren. Das nennt sich Hypothesentest und klingt böser als es ist. Wir können damit keine Sachen beweisen, aber wir können damit Sachen wiederlegen. Beispielsweise die Behauptung, das Auftreten sei reiner Zufall und die Wahrscheinlichkeit, Krebs zu bekommen, sei nicht erhöht. Diese Behauptung nennt sich “Nullhypothese”. Die Gegenhypothese ist “ist doch kein Zufall, die Wahrscheinlichkeit ist erhöht”. (Wohlgemerkt: Die Ursache für die Erhöhung können wir nicht feststellen!)

Zunächst einmal zu den Parametern. Im Videobeitrag wird gesagt: “Die Fälle von Blutkrebs [haben sich] verdoppelt. Es sind 18 Neuerkrankungen an Leukämie bei 10000 Einwohnern.” (Blutkrebs = Leukämie) Damit haben wir alle Werte die wir für die Berechnung brauchen: 18 Betroffene, 10000 Einwohner, normale Fallzahl wäre 9, d.h. eine Wahrscheinlichkeit von 9/10000. Welcher Zeitraum betrachtet wird wissen wir nicht, aber aufgrund der “verdoppelt”-Aussage können wir uns sicher sein, dass die Wahrscheinlichkeit sich auf den gleichen Zeitraum bezieht wie die Anzahl der Betroffenen.

Wir brauchen also eine Binomialverteilungstabelle. Das ist mit OpenOffice Calc (oder Excel) schnell erledigt, in Spalten B und C wird jeweils eingetragen:

=BINOMVERT(A3;10000;9/10000;FALSCH)
bzw.
=BINOMVERT(A3;10000;9/10000;WAHR)

(In Spalte A sind fortlaufende Zahlen von 0 bis 100 – weiter brauchen wir die Tabelle nicht, da die Wahrscheinlichkeiten im Bereich über 100 verschwindend gering sind)

Diese Tabelle gibt an, wie wahrschenlich es ist, dass genau eine bestimmte Anzahl Krebsfälle auftritt, wenn die Wahrscheinlichkeit tatsächlich 9/10000 ist. (Spalte B gibt diese Wahrscheinlichkeit an, Spalte C die aufsummierte Wahrscheinlichkeit, also die Wahrscheinlichkeit für “bis zu x Fälle”.)

Nun entscheiden wir uns, wie genau wir es haben möchten. Ich wähle einen maximalen Fehler von 1% (hätte meine Aussage also gerne mit 99%-iger Sicherheit). Wäre ja schlimm, wenn wir unsere Politiker zu Unrecht der Lüge bezichtigen würden. Nun sind alle Vorbereitungen getroffen und wir können unseren einfachen einseitigen Hypothesentest durchführen: Wir schauen in Spalte C (der summierten Wahrscheinlichkeit) und suchen den ersten Wert >= 99%. Dann lesen wir ab: links steht zu diesem Wert 17. Das bedeutet: Wenn die Krebsrate in der Asse-Umgebung nicht erhöht wäre, würden mit mindestens 99% Wahrscheinlichkeit höchstens 17 Leukämiefälle auftreten.

Die Behauptung, die Krebsrate sei nicht erhöht und die Häufigkeit vor Ort sei reiner Zufall, ist somit widerlegt. (Es ist damit allerdings nicht bewiesen, dass das auch tatsächlich etwas damit zu tun hat, dass direkt daneben ein Berg steht, den sie mit (krebserzeugendem) Atommüll vollgemacht haben, indem sie Fässer aus ein paar Meter Höhe mit einem Radlader… ich glaub ich wiederhole mich.)

Nun kommen wir aber zur Wahrscheinlichkeitsrechnung des Terrors zurück: Würde man einen Test mit einer Zuverlässigkeit von 99% auf tausend Orte anwenden, würde man selbst wenn alles normal wäre 1%, also 10 Orte, als Betroffen ansehen. Darüber versucht die Regierung sich auch rauszureden. Ich habe aber nicht den Eindruck, dass hier 1000 Orte untersucht wurden, und einer betroffen war, sondern es wurde die Umgebung eines Bergs (den sie mit (krebserzeugendem) Atommüll …) untersucht.

Um einen Zusammenhang mathematisch auszuschließen, müsste man den Test übrigens umgekehrt machen: Die Nullhypothese (das was zu widerlegen ist) wäre also “die Krebsrate ist erhöht” und das würde man dann versuchen zu widerlegen. Wenn die Anzahl der Fälle über dem Mittelwert liegt, wird das allerdings nicht gelingen.

Was wären also mögliche Ursachen? Die Regierung stellt die Behauptung auf:

Um den beobachteten Anstieg mit Strahlung erklären zu können, müsste nach den vorliegenden wissenschaftlichen Kenntnissen über die Entstehung entsprechender Krebserkrankungen die Dosis etwa 10.000 mal höher sein als beobachtet.

Wenn man fies und unsachlich wäre, könnte man diese Steilvorlage jetzt nutzen und Spekulationen über die Strahlendosis anstellen. Die kann man schließlich auch (absichtlich) falsch/an “passenden ” Orten messen. Das halte ich jedoch für unnötig: Radioaktivität die man von außen abbekommt ist eine Sache. Nicht gerade gesund, aber nicht allzu gefährlich, wenn man es mit einem anderen Problem vergleicht: In den Körper aufgenommene radioaktive Stoffe. Da kann die Strahlendosis in der Umgebung noch so gering und unter allen gefährlichen Werten sein, wenn man strahlende Partikel im Körper hat, hat man ein Problem. Alphastrahlung kann, wenn sie von außen kommt, keinen Schaden anrichten, da sie in den oberen (toten) Hautschichten abgefangen wird. Gelangt allerdings ein Alphastrahler in den Körper, können seine Strahlen verheerende Schäden anrichten (ungefähr 20x so viel wie Gammastrahlen!). Angesichts der Lecks ist das leider zumindest kein unrealistisches Szenario.

UPDATE: Das Epidemiologische Krebsregister Niedersachsen ist auch der Meinung, dass das kein Zufall ist. (Danke für den Link, Felix!) Welch Überraschung. Wohlgemerkt: damit ist immer noch nicht bewiesen, dass es auch tatsächlich an der Asse liegt – allerdings ist damit geklärt, dass die Behauptung der Bundesregierung (“statistische Zufälle”) eine Lüge ist.

Wie man Leute zum Gegner des ePerso macht

2010-11-14 7 Kommentare

Eigentlich habe ich die Idee eines ePerso an sich nicht generell abgelehnt. Man achte auf die Wortwahl: Nicht wirklich befürwortet, aber sowas hat auch einige Vorteile und ich war nicht wirklich überzeugt, dass die Gefahren durch politischen Missbrauch tatsächlich so groß sind, wie einige behauptet haben. (Das hat natürlich nichts mit der technischen Sicherheit zu tun, die konkrete Implementierung halte ich für, … suboptimal.)

Die Argumentation der strikten Gegner online nutzbarer Ausweisdokumente ist folgende: Sobald es eine leichte Möglichkeit gibt, die Identität des Gegenübers im Netz zu prüfen, könnte sich schleichend zur Selbstverständlichkeit entwickeln (oder politisch durchgesetzt werden), im Netz immer den Ausweis vorzuzeigen, was die Anonymität im Netz zerstören würde. Damit wären Privatsphäre und vor allem freie Meinungsäußerung mehr oder weniger tot.

Ich habe diese Gefahr bisher als eher nicht so groß gesehen, zumal der Einsatz des Personalausweises für die Seitenbetreiber teuer und bürokratisch sein soll, und war vorsichtig optimistisch – mit einer vernünftigen Technik, die nicht auf Wirtschaftsförderung sondern auf vernünftiges Funktionieren optimiert ist, hätte so eine sichere Ausweismöglichkeit durchaus auch Vorteile – sichere Logins, Bankkonten online eröffnen, Onlineshops die Ware vielleicht eher mal auf Rechnung/Bankeinzug rausrücken statt auf Vorkasse zu warten, und vieles mehr. Daher auch mein Standpunkt, die Idee eines ePerso an sich nicht generell abzulehnen.

Herr Axel Fischer, natürlich von der CDU, hat es aber geschafft, mich mit einem Schlag zu einem überzeugten Gegner des Konzepts zu machen. Er konnte einfach nicht anders, als genau den befürchteten Missbrauch unverzüglich zu fordern. Danke, Herr Fischer, dass Sie mir die Augen geöffnet haben. Ach, das ist übrigens nicht irgendwer, sondern der Vorsitzende der Enquete-Kommission “Internet und digitale Gesellschaft”, also quasi der Internetexperte der CDU.

Das meiste ist bei Netzpolitik schon gesagt worden. (Update: Dieser Heiseforumskommentar bringts auch auf den Punkt.) Die Möglichkeit, sich anonym und somit sicher vor Repressalien zu äußern, ist eine Voraussetzung für eine freie Meinungsäußerung. Diesen Grundpfeiler der Freiheit abschaffen zu wollen passt in meinen Augen zu totalitären Zensurstaaten – die Forderung kommt für mich der Forderung gleich, hier einen solchen Staat zu errichten. (Mir ist sooo klar was jetzt für ein Kommentar kommt. Er ist langweilig und weder lustig noch interessant noch nötig. Der erste der ihn postet bekommt nen Fisch in seinen Kommentar geklebt.) Jede Meinungsäußerung zuordnen zu können ist nämlich besonders dann wichtig, wenn man unliebsame Äußerungen zügig bestrafen will.

Nur eines finde ich an dieser Forderung wirklich schade: Dass sie nicht rechtzeitig vor meinen ganzen Interviews rauskam.

AusweisApp gehackt (Malware über Autoupdate)

2010-11-09 194 Kommentare

Gestern Abend wurde die AusweisApp freigegeben, und damit stand fest: Das wird für mich eine lange Nacht. Ich habe mir eine schöne Liste möglicher Angriffe zurechtgelegt. Wenn die einzelnen Angriffe klappen, werden sie einige hässliche Dinge ermöglichen. Ich bin mir recht sicher, dass einer der Angriffe in der Lage sein wird, die PIN und evtl. die aufgedruckte Kartenzugangsnummer zu klauen, ohne dass (wie beim CCC-Angriff) der Rechner des Nutzers verseucht werden muss. Ein anderer Angriff erlaubt es eventuell, dem Nutzer vorzutäuschen, dass er sich für etwas harmloses ausweist, während der Angreifer mit dessen Identität einkaufen geht. Eventuell kann man so auch ein Signaturzertifikat für die qualifizierten elektronischen Signaturen mit dem Namen des Opfers bekommen.

Da ich allerdings weder Lesegerät noch ePerso habe, konnte ich die Angriffe nicht ausprobieren. Also habe ich mir stattdessen die AusweisApp selbst vorgenommen. Von besonderem Interesse war dabei die Updatefunktion. Kann ein Angreifer diese kontrollieren, könnte es ihm gelingen, Malware auf dem Rechner des Users einzuspielen. Das wissen natürlich auch die Entwickler, und deswegen ist die Updatefunktion ordentlich gesichert: Zunächst wird vom Updateserver über eine HTTPS-geschützte Verbindung eine Versionsdatei geholt. Dort wäre für einen Angreifer normalerweise Schluss, denn HTTPS ist (halbwegs) sicher. Der Client überprüft auch, ob das Zertifikat gültig ist – da hört es aber auch schon auf. Der Client prüft nicht, ob das Zertifikat auch zum Servernamen passt! Somit braucht der Angreifer nicht ein gültiges Zertifikat für den Updateserver (welches er hoffentlich nicht bekommen sollte), sondern ein beliebiges gültiges Zertifikat (z. B. für seine eigene Website, welches er selbstverständlich bekommt – Nachtrag: Wir reden hier über gewöhnliche SSL-Zertifikate die es an jeder Ecke gibt, nicht über irgendwelche eID-Berechtigungszertifikate!). Das ist übrigens ein Fehler den man in Java leicht machen kann: Die eingebauten Libraries prüfen soweit ich weiß das Zertifikat, aber den Hostnamen muss man ausdrücklich selbst prüfen.

Mittels einer DNS-Manipulation (für die es im praktischen Einsatz zahlreiche Wege gibt, DNS ist ein völlig unverschlüsseltes Protokoll – zur einfachen Demonstration kann man die Hostsdatei manipulieren) können wir nun den Client überreden, sich zu unserem falschen Update-Server zu verbinden und dessen Zertifikat akzeptieren. Da ich kein eigenes SSL-Zertifikat habe, habe ich einfach das genommen, dessen Key Akamai vor ein paar Jahren freundlicherweise (unfreiwillig) öffentlich gemacht hat. Damit dieses Zertifikat als gültig angesehen wird, muss die Uhr auf dem Client verstellt werden – mit einem aktuellen Zertifikat würde das anders aussehen. (Ich hab auch noch andere, ebenfalls leider abgelaufene, Zertifikate getestet.)

Der Updatefunktion kann nun eine manipulierte Antwort untergeschoben werden, welche sie anweist, eine Datei von einer beliebigen URL herunterzuladen und zu installieren. Der Updater erwartet hierbei eine ZIP-Datei. Diese wird entpackt und dann sollte eigentlich eine bestimmte .msi-Datei darin ausgeführt werden. Hier waren die Entwickler allerdings schlau genug, noch eine Signatur einzubauen, die vor dem Ausführen geprüft wird. Hier ist also eigentlich wieder einmal Schluss. Allerdings wird die ZIP-Datei vor der Signaturprüfung bereits entpackt, und ZIP-Dateien können relative Pfadangaben enthalten. Mit einem (per Hexeditor) in der ZIP-Datei eingebauten “../../” kann man aus dem temporären Verzeichnis ausbrechen und somit beliebige Dateien ins Dateisystem schreiben (directory traversal). Beispielsweise eine Schadsoftware ins Autostartverzeichnis. Vorhandene Dateien werden übrigens gnadenlos überschrieben.

Ein Dolev-Yao-Angreifer, d.h. ein Angreifer, welcher den Netzwerkverkehr beliebig manipulieren kann, jedoch nicht in der Lage ist als sicher geltende Verschlüsselung zu brechen oder den Client des Opfers vorher zu manipulieren, kann somit aufgrund zweier Implementierungsfehler in der AusweisApp über die Auto-Update-Funktion Schadsoftware einspielen.

Der Angriff ist gegen die aktuelle AusweisApp getestet, die sich bei der Installation als 1.0.1, beim Update als 1.0.0 identifiziert.

Diese Lücke können die Entwickler natürlich relativ einfach schließen. Aber was ist mit den anderen, sicherlich noch vorhandenen, unentdeckten Lücken? Mitgeliefert wird beispielsweise eine Java-VM der Version 6 Update 18 – aktuell ist Update 22. Die Kryptographie des Personalausweises selbst mag bewiesen sicher sein. In den umliegenden Protokollen jedoch erwarte ich die ein oder andere Lücke, von denen sich einige leicht, andere vielleicht gar nicht nachträglich stopfen lassen. Der Panzerschrank mag absolut unknackbar sein – was aber, wenn der Angreifer einfach den Besitzer unter falschem Vorwand bittet, ihn aufzuschließen, und/oder den ganzen Schrank mitnimmt?

Ich bedanke mich jedenfalls für diese nette Herausforderung der heutigen Nacht. Gute Sicherheitsmaßnahmen mit kleinen unscheinbaren Löchern, die kreative Kombinationen von Angriffen erfordern, nicht trivial, aber machbar. Genau nach meinem Geschmack. Hat Spaß gemacht! Den Preis, den diese Wirtschaftsförderungsmaßnahme gekostet hat, ist das allerdings nicht wert.

Die Dateien zum Demonstrieren des Angriffs gibts hier als base64-encodetes ZIP-File:


_=_ 
_=_ Part 001 of 001 of file ausweisapp-updatehack.zip
_=_ 
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(SHA1: 22b96851042bfece3c641851eaa6e890a7b28bff)

Kontakt/Fragen bitte über die Kommentarfunktion wenn es Zeit hat oder per Jabber (XMPP, Google Talk) an janschejbal at jabber.ccc.de (das ist keine Mailadresse!) wenn es dringend ist. Telefon ist ungünstig. Notfalls geht auch Mail an janhomepage [at] gmx punkt net.

CDU-Beschluss zur Netzpolitik, übersetzt

2010-10-26 8 Kommentare

Netzpolitik weist auf einen CDU-Vorstandsbeschluss hin, welcher (als letzten Punkt) auch die Netzpolitik erwähnt. Mit ein wenig Übung kann man aus solchen Beschlüssen durchaus Absichten herauslesen. Für die weniger erfahrenen, hier eine Übersetzung. Zitate sind gekennzeichnet und stammen aus dem verlinkten Dokument. Hervorhebungen von mir.

Sollte sich jetzt irgendwer von der CDU gekränkt fühlen und/oder der Meinung sein, dass die Übersetzung ungenau ist: Ihr habt die nächsten Jahre Zeit, das unter Beweis zu stellen. Aber bitte insgesamt und nicht in irgendwelchen Details. Viel Glück.

 

Die Übersetzung

 

Es ist unser Ziel, die Möglichkeiten des Internets in allen Lebensbereichen optimal nutzbar zu machen und den Standort Deutschland als moderne Informations- und Kommunikationsgesellschaft weiter zu entwickeln.

 

Wir wollen das Internet kommerzialisieren wo auch immer das möglich ist und die kommerzielle (Aus)nutzung des Internets fördern. Wirtschaftliche Interessen haben Vorrang vor allem anderen.

 

Ein Netz ohne staatliche Mindestregulierung entspricht nicht unserer Vorstellung von politischer Verantwortung.

 

Wir wollen das Internet regulieren.

 

Gleichzeitig sind wir uns bewusst, dass zentrale und rein nationale Regelungen nur bedingt wirksam sind, gerade auch wenn es um Kriminalität im Internet geht. Fragen der Netzpolitik sind daher im europäischen und internationalen Dialog zu beantworten, Netzaktive und Branchenverbände werden wir dabei einbeziehen.

 

Wir wissen, dass wir unseren Überwachungswahn hier nicht durchgesetzt kriegen, weil uns die Bürger zu sehr auf die Finger schauen. Deswegen werden wir den Weg über die EU-Ebene und internationale Abkommen gehen. Lobbyisten werden dabei die Gesetzesentwürfe schreiben, während wir ein paar „Netzaktive“ ihre Meinung sagen lassen (die wir natürlich ignorieren), um die Massen ruhig zu stellen.

 

Dabei wird in der CDU die Abwägung zwischen „Freiheit“ und „Sicherheit“ stets eine wichtige Rolle spielen.

 

Die Freiheit darf die Sicherheit dabei nie einschränken. Wir fordern die totale Kontrolle.

 

So halten wir das Urheberrecht und das geistige Eigentum für schützenswerte Grundlagen von Innovation und Wirtschaftswachstum in unserer Gesellschaft.

 

Das Urheberrecht wird weiter nach Wünschen der Verwerterindustrie verschärft.

 

Auch ist es unserer Ansicht nach Aufgabe des Staates, etwa im Bereich des Daten-, Kinder-, Jugend- und Verbraucherschutzes, verbindliche Rahmenbedingungen für das Netz zu schaffen.

 

Unter dem Vorwand des Daten-, Kinder- und Jugendschutzes werden wir die Überwachung und Zensur des Internets vorantreiben und in Gesetzesform gießen. Mit ein paar wirkungslosen Verbraucherschutzregeln zünden wir eine Nebelkerze um ein – wenn auch irrelevantes – Gegenbeispiel zu haben, wenn man uns daran erinnert, dass wir eigentlich fast immer für die Lobbyisten und gegen die Verbraucher arbeiten. Falls wir am Datenschutz was ändern, werden wir “klare” und einfache Rahmenbedingungen schaffen – “einfach” dadurch, dass wir die Einschränkungen bei der Datennutzung reduzieren.

 

Die CDU hat eine Arbeitsgruppe „Netzpolitik“ eingerichtet, die für den Bundesparteitag 2011 programmatische Positionen erarbeiten wird, mit denen wir diese Entwicklung fördern, den Herausforderungen begegnen und die Bürger über die Chancen und Risiken der digitalen Welt informieren können.

 

Wir haben eine ganze Arbeitsgruppe eingerichtet, um so zu tun, als ob wir Ahnung vom Thema haben. Gleichzeitig werden wir uns intensiv bemühen, die Freiheit im Netz weiter einzuschränken und Propaganda über das große böse Internet zu verbreiten.

Stuttgart 21: Gezielte Kopfschüsse mit Wasserwerfern

2010-10-07 6 Kommentare

Zu den Wasserwerfereinsätzen der Polizei in Stuttgart habe ich ein Video gefunden, wo ein Wasserwerfer bei einzeln stehenden Personen aus relativ geringer Entfernung gezielt auf den Kopf zielt, und zwar mit einem ziemlich kräftigen Strahl. Wozu das führen kann, hat man ja leider gesehen. Auf diesem Video bei 2:47 (direkt nach dem kleinen Schnitt) sieht man einen solchen Vorfall – da scheint es übrigens so, als würde gezielt ein Fotograf/Kameraman aufs Korn genommen, was ich besonders abartig finde.

Damit man besser sieht was passiert, habe ich hier mal die relevanten Frames extrahiert und ein langsam abgespieltes animiertes GIF daraus gemacht. Man sieht eindeutig, wie der Strahl genau den Kopf trifft, und man sieht auch die Wucht, mit welcher der Strahl auftrifft. Die ersten Bilder sind vom Einschlag des Strahls, die letzten zwei (in etwas größeren Abständen) zeigen die Situation direkt danach. Im letzten Bild (etwa eine Sekunde nach dem Einschlag des Strahls) sieht man dann, dass vor dem Fotografen mehrere Meter frei waren und der Strahl deutlich über die Plane hinwegging, die ein paar Leute in der Nähe des Wasserwerfers gespannt hatten. “Versehentlich zu hoch geschossen” dürfte (auch angesichts des Volltreffers) also keine Ausrede sein. Links, rechts und hinter dem Fotografen waren übrigens auch Köpfe – anders als mit Absicht ist das meiner Meinung nach kaum zu erklären.

Das Bild gibts wegen der Größe erst nach dem Klick: Hier klicken zum Weiterlesen

Stuttgart 21: Entgegenkommen, Baustopp oder Verarsche?

2010-10-07 1 Kommentar

Derzeit wird desöfteren betont, dass in naher Zukunft wegen Stuttgart 21 weder Bäume gefällt werden noch der Südflügel abgerissen wird. Das wird dann als Entgegenkommen verkauft, oder gar als der von den Gegnern des Projekts geforderte Baustopp.

Der SWR schreibt dazu:

Mappus (CDU) bekräftigte, dass es bis zur Landtagswahl am 27. März 2011 keine weiteren Abrissarbeiten mehr gebe. “Da ist in den nächsten Monaten nichts notwendig, was in irgendeiner Weise provozieren könnte.” Außerdem fügte er hinzu, dass bis 2011 auch kein Baum im Schlossgarten mehr gefällt werde. [...] Der Südflügel sei für den Baufortschritt nicht notwendig. “Wir werden ihn so bestehen lassen. Und ich glaube, das ist ein Signal”, sagte die Ministerin

Ich lese da keineswegs ein Entgegenkommen oder einen Baustopp. Ich lese da: “Die Bauarbeiten werden wie geplant fortgesetzt. Die Bäume, die gefällt werden müssen, haben wir in der (vermutlich illegalen) Hau-Ruck-Aktion schon gefällt, und alles was wir in nächster Zeit abreißen müssen ist schon abgerissen, den Rest machen wir nach der Wahl, wenn die anderen Tatsachen geschaffen sind, das hat ja eh Zeit.” Tolles “Entgegenkommen”. Die Medien und die Bevölkerung so zu verarschen ist aber sowohl typisch für das ganze Projekt, als auch geschickt – denn leider werden wohl zumindest einige drauf reinfallen.

Genauso toll ist übrigens, wie ständig davon gesprochen wird, dass “die ersten” Bäume schon gefällt wurden. Nach der obigen Aussage scheint es so zu sein, als ob alle relevanten Bäume in dem Teilstück gefällt wurden. Und zwar höchstwahrscheinlich rechtswidrig gegen den enstprechenden Beschluss des Eisenbahnbundesamtes. Das problematische daran: Würde noch mindestens ein Baum dort stehen und der Beschluss umgesetzt – wie man leicht vermuten könnte wenn die Medien von den ersten gefällten Bäumen sprechen – würde sich das Bauvorhaben verzögern. Ist aber erstmal abgeholzt, bleibt nur noch die langwierige Diskussion über mögliche (Geld-)Strafen – der Bau kann weitergehen. Ich wette, die Geldstrafe bzw. eventuelle Kosten für Ersatznaturschutzmaßnahmen werden nur einen Bruchteil dessen betragen, was eine Bauverzögerung gekostet hätte, sodass sich das rechtswidrige Verhalten für die Bahn unterm Strich richtig fett lohnt. Vor allem wenn man bedenkt, dass ein Monat Verzögerung plus Winter plus (evtl. sogar vorgezogene) Landtagswahlen ein Aus für das Projekt ergeben können, bevor die Bahn ausreichend viele Fakten schaffen kann. Meiner Meinung nach müsste sichergestellt werden, dass Geldstrafen in solchen Fällen den Gewinn durch das rechtswidrige Verhalten deutlich übersteigen, oder die verantwortlichen Personen Haftstrafen bekommen.

Sollte ich mich in irgendeinem Punkt irren, hinterlasst bitte einen Kommentar. Ich bin nicht vor Ort und kann daneben liegen. Wäre in diesem Fall schön, wenn es so wäre. Ansonsten ist nämlich das, was hier als “Geste des guten Willen” verkauft wird, eine astreine Verarsche.

Bundestag kann SSL abhören

2010-10-04 8 Kommentare

Der Bundestag kann SSL-gesicherte Verbindungen abhören. SSL ist vielen vielleicht nur als “https” bekannt und sichert neben Onlinebanking auch z. B. Verbindungen zu E-Mail-Servern und ziemlich viele andere Sachen. (Kurzzusammenfassung für Leute die sich mit SSL auskennen: Der Bundestag hat ne CA. Der Artikel erklärt halbwegs laienfreundlich genau das, die Grundidee hinter SSL und warum SSL kaputt ist.)

SSL funktioniert so: Eine vertrauenswürdige Stelle stellt dem Server einen Ausweis aus, den er vorzeigt, und darüber wird die Verbindung verschlüsselt. Das nennt sich Zertifikat und die technischen Details habe ich schonmal erklärt, hier will ich es einfach halten. Ein Angreifer kann sich in die Verbindung nicht einklinken, weil er keinen passendes Zertifikat hat (nur der Besitzer oder jemand der das Original kopiert hat kann ein Zertifikat zeigen, weil beim Zeigen ein Teil geheim bleibt. Klingt komisch, ist aber Mathematik.)

In jedem Browser ist eine Liste der aus Sicht des Browsers vertrauenswürdigen Stellen enthalten. Das sind ungefähr 50 Stück und zwar auch solche, die man vielleicht nicht ganz so vertrauenswürdig findet, wie z. B. die chinesische Internetbehörde.

Die Sicherheit von SSL beruht darauf, dass ein Angreifer kein Zertifikat bekommt für die Seite, deren Datenverkehr er abhören will. Wenn jemand den Datenverkehr zur Postbank abhören will, muss er also jemanden finden, der ihm ein Zertifikat ausstellt, was bestätigt dass ihm Postbank.de gehört. Das kann aber jede der vertrauenswürdigen Zertifizierungsstellen.

Es wird noch “besser”: Die Zertifizierungsstellen können jedermann zu einer Zertifizierungsstelle machen. Derjenige hat dann die gleichen Möglichkeiten wie die im Browser eingetragenen Zertifizierunsstellen. Neben den 50 Stellen können also noch viele viele weitere ein falsches Zertifikat ausstellen – und mit einem solchen kann man eine eigentlich gesicherte Verbindung abhören. (Das funktioniert so, dass der Angreifer die Verbindung über sich umleitet und behauptet, er sei die Postbank – über das Zertifikat prüft der Browser ob das stimmt.)

Zertifizierungsstellen kürzt man übrigens mit CA ab.

SSL ist also unsicher, wenn

  • Eine einzige dieser CAs einen Fehler macht und ein Zertifikat ausstellt ohne zu merken, dass der Angreifer nicht die Postbank ist
  • Eine CA dem Angreifer bewusst oder z. B. über einen erpressten Mitarbeiter ein falsches Zertifikat ausstellt (man denke an Geheimdienste oder Industriespionage, viele CAs werden von Regierungen/regierungsnahen Organisationen und noch mehr von Firmen die eigentlich was ganz anderes machen betrieben)
  • Der Angreifer eine eigene CA hat/ist/kauft
  • eine Sicherheitslücke im Protokoll oder im benutzten Browser/Server auftaucht
  • oder irgendwas was ich vergessen hab passiert

Fehler sind schon oft passiert. Ein paar Forscher haben mal das Internet nach SSL-Zertifikaten abgegrast und das zusammen mit ein paar anderen Sicherheitsproblemen auf der DefCon präsentiert. Sie sind auf über 500 Organisationen gekommen die direkt oder indirekt eine CA haben.

Weiterhin haben sie gemerkt, dass CAs ca. 500 noch gültige Zertifikate, die praktisch “geknackt” sind (durch eine Sicherheitslücke bei Debian) nicht für ungültig erklärt haben, und gültige Zertifikate für private IPs. Das ist in etwa so wie ein Ausweis der bestätigt dass Büro Nummer 37 einer bestimmten Person gehört – ohne zu sagen, von welchem Haus in welcher Stadt man redet. Das scheint übrigens dann das Ausnutzen eine anderen Sicherheitslücke zu erlauben (vereinfacht: man sagt dem Nutzer, dass er die Postbank im gleichen Flur in Büro 37 suchen soll, geht in dieses fremde Büro und zeigt dann wenn der Nutzer kommt den Ausweis vor. Deswegen darf es so einen Ausweis eigentlich nicht geben).

Ach ja, und um zu prüfen, ob jemandem eine Domain gehört, wird eine Mail verschickt. Über oft unverschlüsseltes SMTP. Nachdem über bisher ungesichertes DNS nachgeschaut wurde, wohin die Mail gehen soll. Wenn also jemand es schafft, eine dieser Verbindungen zu manipulieren, bekommt er falsche Zertifikate.

Trotzdem sollte man SSL benutzen. Ohne SSL kann ein Angreifer einfach so mithören, was passiert. Mit SSL muss er selbst bei groben Sicherheitsproblemen (z. B. Zertifikate gar nicht prüfen) auch Kommunikation manipulieren statt einfach nur mitzuhören (geht recht leicht, ist aber eine Hürde). Selbst wenn eine CA falsche Zertifikate ausstellt, muss der Angreifer diese finden und sie muss auch ihm so ein Zertifikat geben. Wenn z. B. die Telekom dem BND ein Zertifikat geben würde (was ich jetzt nicht unterstellen möchte), würde sie es immer noch nicht mit einem gewöhnlichen Kriminellen tun. Auch hier wird also eine Hürde geschaffen.

Schützen kann man sich nur bedingt. Die Firefox-Extension CertPatrol zeigt an, wenn sich ein Zertifikat ändert, und auf Wunsch auch bei neuen Zertifikaten, wer es ausgestellt hat. Dabei machen sowohl die Extension als auch Firefox (beim Klick auf das blaue “gesicherte Verbindung”-Feld in der Adressleiste) einen groben Fehler, den ich hier allerdings noch nicht erklären werde. Erinnert mich in nem Monat dran wenn ich nicht dran denke. (Update: In CertPatrol inzwischen behoben – es wird/wurde nur die CA angezeigt, die das Zertifikat ausgestellt hat. Ein Angreifer, der eine falsche CA hat, kann aber erst eine andere falsche CA mit beliebigem Namen erstellen, und damit dann das Cert ausstellen.) Mit dieser Extension habe ich auch gemerkt, dass der E-Petitionsserver des Bundestags plötzlich ein von der mir bis dahin unbekannten Bundestags-CA ausgestelltes Zertifikat hat. Damit könnte der Bundestag theoretisch falsche Zertifikate ausstellen und so SSL-Verbindungen abhören.

Beim Ausstellen falscher Zertifikate geht die CA aber ein gewisses Risiko ein – normale Nutzer merken das nicht, aber wenn es mal einer mit z. B. CertPatrol merkt und das Zertifikat abspeichert, kann die CA sich nicht völlig herausreden, das Zertifikat verrät unabstreitbar wer es ausgestellt hat. Sie muss es auf einen Fehler schieben und hoffen dass nichts passiert. Wenn sich solche Fehler häufen, düfte die CA aus den Vertrauenslisten in den Browsern rausfliegen und andere CAs dürften sich hüten, diese Organisation wieder in den CA-Status zu heben. Um Zertifikate direkt abspeichern zu können, wenn sie auftauchen (und so das Risiko zu vermeiden, dass beim Abruf mit einem anderen Tool wieder das “saubere” Zertifikat drin ist), kann man die Extension Cert Viewer Plus nutzen.

Die Bundestags-CA wurde vom DFN (Deutsches Forschungsnetz) bestätigt, welches wiederum seine CA von der Telekom bestätigt bekommen hat. Hier die Zertifikate:

Certification path for "epetitionen.bundestag.de"
Inhaber: C=DE,ST=Berlin,L=Berlin,O=Deutscher Bundestag,OU=PetA,CN=epetitionen.bundestag.de
Aussteller: C=DE,O=Deutscher Bundestag,OU=Deutscher Bundestag,CN=Deutscher Bundestag CA - G01,E=pki-ca@bundestag.de
Validität: from 2010-09-27 13:09:06 UTC to 2015-09-26 13:09:06 UTC
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
Inhaber: C=DE,O=Deutscher Bundestag,OU=Deutscher Bundestag,CN=Deutscher Bundestag CA - G01,E=pki-ca@bundestag.de
Aussteller: C=DE,O=DFN-Verein,OU=DFN-PKI,CN=DFN-Verein PCA Global - G01
Validität: from 2008-12-17 14:39:27 UTC to 2019-06-30 00:00:00 UTC
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
Inhaber: C=DE,O=DFN-Verein,OU=DFN-PKI,CN=DFN-Verein PCA Global - G01
Aussteller: C=DE,O=Deutsche Telekom AG,OU=T-TeleSec Trust Center,CN=Deutsche Telekom Root CA 2
Validität: from 2006-12-19 10:29:00 UTC to 2019-06-30 23:59:00 UTC
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
Inhaber: C=DE,O=Deutsche Telekom AG,OU=T-TeleSec Trust Center,CN=Deutsche Telekom Root CA 2
Aussteller: C=DE,O=Deutsche Telekom AG,OU=T-TeleSec Trust Center,CN=Deutsche Telekom Root CA 2
Validität: from 1999-07-09 12:11:00 UTC to 2019-07-09 23:59:00 UTC
-----BEGIN CERTIFICATE-----
MIIDnzCCAoegAwIBAgIBJjANBgkqhkiG9w0BAQUFADBxMQswCQYDVQQGEwJERTEc
MBoGA1UEChMTRGV1dHNjaGUgVGVsZWtvbSBBRzEfMB0GA1UECxMWVC1UZWxlU2Vj
IFRydXN0IENlbnRlcjEjMCEGA1UEAxMaRGV1dHNjaGUgVGVsZWtvbSBSb290IENB
IDIwHhcNOTkwNzA5MTIxMTAwWhcNMTkwNzA5MjM1OTAwWjBxMQswCQYDVQQGEwJE
RTEcMBoGA1UEChMTRGV1dHNjaGUgVGVsZWtvbSBBRzEfMB0GA1UECxMWVC1UZWxl
U2VjIFRydXN0IENlbnRlcjEjMCEGA1UEAxMaRGV1dHNjaGUgVGVsZWtvbSBSb290
IENBIDIwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCrC6M14IspFLEU
ha88EOQ5bzVdSq7d6mGNlUn0b2SjGmBmpKlAIoTZ1KXleJMOaAGtuU1cOs7TuKhC
QN/Po7qCWWqSG6wcmtoIKyUn+WkjR/Hg6yx6m/UTAtB+NHzCnjwAWav12gz1Mjwr
rFDa1sPeg5TKqAyZMg4ISFZbavva4VhYAUlfckE8FQYBjl2tqriTtM2e66foai1S
NNs671x1Udrb8zH57nGYMsRUFUQM+ZtV7a3fGAigo4aKSe5TBY8ZTNXeWHmb0moc
QqvF1afPaA+W5OFhmHZhyJF81j4A4pFQh+GdCuatl9Idxjp9y7zaAzTVjlsB9WoH
txa2bkp/AgMBAAGjQjBAMB0GA1UdDgQWBBQxw3kbuvVT1xfgiXotF2wKsyudMzAP
BgNVHRMECDAGAQH/AgEFMA4GA1UdDwEB/wQEAwIBBjANBgkqhkiG9w0BAQUFAAOC
AQEAlGRZrTlk5ynrE/5aw4sTV8gEJPB0d8Bg42f76Ymmg7+Wgnxu1MM9756Abrsp
tJh6sTtU6zkXR34ajgv8HzFZMQSyzhfzLMdiNlXiItiJVbSYSKpk+tYcNthEeFpa
IzpXl/V6ME+un2pMSyuOoAPjPuCp1NJ70rOo4nI8rZ7/gFnkm0W09juwzTkZmDLl
6iFhkOQxIY40sfcvNUqFENrnijchvllj4PKFiDFT1FQUhXB59C4Gdyd1Lx+4ivn+
xbrYNuSD7Odlt79jWvNGr4GUN9RBjNYj1h7P9WgbRGOiWrqnNVmh5XAFmw4jV5mU
Cm26OWMohpLzGITY+9HPBVZkVw==
-----END CERTIFICATE-----

Einzelne CAs im Browser rauswerfen bringt wenig, weil gerade die kleinen/neuen CAs oft (nicht öffentlich sichtbare!) Bestätigungen von anderen CAs haben. Wenn man eine CA rauswirft, die viele Zertifikate ausstellt, kann man deren Zertifikate nicht mehr von gefälschten unterscheiden. Da man nicht jedes Zertifikat manuell prüfen kann – ganz schlecht. Am Sinnvollsten dürfte CertPatrol sein und für kritische Sachen eben auf die Warnungen achten und beim ersten Mal das Zertifikat genau prüfen. Interessanterweise hat Microsoft dieses Problem scheinbar erkannt – bei WLAN-Verbindungen wo die Anmeldung über Zertifikate gesichert wird muss man ausdrücklich auswählen, welchen CAs man für diesen Zweck traut, und nur die werden akzeptiert. So kann eine Firma sicherstellen, dass ihre Rechner für die Anmeldung in ihrem WLAN nur ihrer eigenen CA und nicht der des Konkurrenten trauen. Und in der Fehlermeldung wird unterschieden zwischen “Zertifikat einer unbekannten CA” und “Zertifikat einer bekannten aber nicht angekreuzten CA” sodass man sich zumindest halbwegs sicher verbinden kann, wenn man die richtige CA nicht weiß.

Für Serverbetreiber gilt: Es spielt keine Rolle, wie sicher die CA ist, die man wählt – wichtig ist nur, welche CA in den Browsern akzeptiert wird. Selbst erstellte (nicht von einer CA bestätigte) Zertifikate sind eine relativ schlechte Lösung – eine CA bietet zusätzlich die Möglichkeit, halbwegs sicher zu sein, selbst wenn man das Zertifikat nicht selbst prüfen konnte. Kostenlose Zertifikate für Webserver gibts bei StartSSL, was bis auf Opera von allen Browsern akzeptiert wird. Das oft vorgeschlagene CAcert ist in den meisten Browsern standardmäßig nicht enthalten und daher IMHO nur zweite Wahl – bietet dafür aber auch andere Zertifikatstypen an.

Fefe hat das Thema auch schon kommentiert und ein weiteres Horrorgeschichtenkabinett findet sich in den “A mighty fortress is our PKI”-Mails von Peter Gutmann: Teil 1, Teil 2, Teil 3

Schießsport erlauben, aber Spiele verbieten?

2010-09-24 2 Kommentare

Über Fefe bin ich darauf aufmerksam geworden, dass Wolfgang Bosbach (CDU) nach dem Amoklauf in Lörrach darauf hingewiesen hat, dass man wegen eines solchen Vorfalls nicht gleich das Sportschießen verbieten könne. Da stimme ich ihm übrigens zu. Interessant wird das erst, wenn man sich vor Augen führt, dass er ein Verfechter von Computerspielverboten ist.

Diesen Widerspruch kann ich irgendwie nicht verstehen – denn wegen einzelner solcher Vorfälle etwas verbieten zu wollen, was allerhöchstens sehr indirekt damit zu tun hat, scheint mir recht unlogisch. Eigentlich wollte ich Herrn Bosbach daher über Abgeordnetenwatch fragen, aber darüber will er nicht gefragt werden:

Da ich seit vielen, vielen Jahren völlig problemlos per Brief, per Fax oder per E-Mail erreichbar bin, darf ich Sie sehr herzlich darum bitten, etwaige Fragen an mich auch unmittelbar zu adressieren, ein Umweg über Abgeordnetenwatch.de ist wirklich nicht notwendig. Sodann werde ich Ihnen gern antworten. Selbstverständlich können Sie meine Antwort auch gern veröffentlichen.

Das ist natürlich schade, denn so kann man seine Antworten auf die Fragen anderer Leute nicht lesen, aber natürlich sein gutes Recht.

Daher habe ich folgenden Text eben direkt per Mail an ihn geschickt, und werde die Antwort dann hier veröffentlichen, sobald sie eintrifft (Links waren in der Mail als Fußnoten):

Sehr geehrter Herr Bosbach,
im Rahmen der Diskussion um eine Verschärfung des Waffenrechts, welche durch die Amoktat in Lörrach entfacht wurde, haben Sie laut Zeit gesagt:
“Wegen einer solchen Tat kann man nicht Millionen von Sportlern die Ausübung ihres Sports verbieten.”

In diesem Punkt stimme ich Ihnen völlig zu. Umso mehr überrascht war ich jedoch, als ich darauf hingewiesen wurde, dass Sie sich nach dem Amoklauf in Emsdetten in einem SPIEGEL-Interview vom 23.11.2006 dafür ausgesprochen haben, gewalthaltige Computerspiele zu verbieten.

Hat sich Ihre Meinung diesbezüglich seitdem geändert?

Falls nein, warum halten Sie es für richtig, Millionen von Spielern die Ausübung ihres Freizeitvergnügens zu verbieten, obwohl Sie dies bei Sportschützen (völlig zu Recht) ablehnen?

Computerspiele eignen sich (im Gegensatz zum Sportschießen) keineswegs dazu, den Umgang mit einer Waffe zu erlernen, und sie geben dem Spieler auch keine Möglichkeit, an echte Waffen zu gelangen. Selbst wenn die Spiele – was umstritten ist – bei manchen Personen bereits vorhandene Neigungen zur Gewalt verstärken würden, scheint mir dies eine deutlich geringere Gefahr zu sein als die, die Sie beim Sportschießen bereit sind, in Kauf zu nehmen. Ein Verbot aus rein subjektiven moralischen Gesichtspunkten wäre meiner Meinung nach einer freiheitlichen Gesellschaft unwürdig und schwer nachvollziehbar – bei Sportarten wie Boxen werden ja auch keine Verbote gefordert.

Mit freundlichen Grüßen
Jan Schejbal

P.S.: Ich finde es schade, dass Sie keine Fragen über Abgeordnetenwatch entgegennehmen möchten. Das Portal erlaubt es anderen Besuchern schließlich, auch fremde Fragen und die Antworten darauf an einem Ort einzusehen und leicht zu finden.

Auf die Antwort bin ich jedenfalls gespannt.

Sicherheitslücke für alle

2010-09-21 2 Kommentare

In bzip2 gibt es eine Sicherheitslücke. Das ist deswegen so schlimm, weil das ein wichtiges Kompressionsverfahren ist und somit von sehr vielen Formaten und Programmen genutzt wird. Ich schätze daher, dass so gut wie jeder Computernutzer mindestens ein Programm nutzt, was von dieser Lücke betroffen ist.

Unter Linux ist das keine große Sache – jede Library (also Sammlung von Programmfunktionen, die von anderen Programmen benötigen werden, z. B. auch die betroffene bz2-Library) wird einmal zentral installiert und alle Programme greifen dann darauf zu. Somit kann man die kaputte Version an einer Stelle austauschen und hat das Problem gelöst. Unter Windows bringt fast jedes Programm seine eigenen Kopien der benötigten Libraries mit, man darf also jedes betroffene Programm einzeln aktualisieren – sobald der Hersteller ne aktuelle Version bereitgestellt hat. Und es werden viele Programme betroffen sein.

Um sich ein Bild zu verschaffen, habe mittels apt-rdepends -r auf einem Linuxrechner geschaut, was für Programme direkt oder indirekt von bzip2 abhängen, es also irgendwie nutzen. In einigen Fällen wird bz2 vielleicht nur für einen Installer o.ä. verwendet, sodass eine Windowsversion des Programms nicht betroffen ist, oder die Windowsfassung kann bzip2 nicht, oder bzip2 wird sonstwie so eingesetzt, dass die Sicherheitslücke irrelevant ist. Bei den genannten Programmen ist aber das Risiko, dass sie betroffen sind, recht hoch. Zum Gruseln hier ein paar Auszüge aus der Liste mit für Windowsuser relevanten etwas bekannteren Programmen (nochmal: ein Eintrag hier bedeutet, dass das Programm eine gute Chance hat, betroffen zu sein, nicht, dass es das tatsächlich ist!):

  • Apache (Webserver)
  • AssaultCube (Egoshooter)
  • Audacity (Audio-Editor)
  • Avidemux (Videoschnitt)
  • Azureus (BitTorrent-Client, vermutlich eher nicht betroffen)
  • BallView (Molekülvisualisierungssoftware)
  • Blender (3D-Editor)
  • BOINC (Seti-at-home-Client)
  • Chromium (Browser, Chrome-Klon)
  • ClamAV (Antivirus)
  • Codeblocks (Entwicklungsumgebung)
  • (… – ab hier bin ich die Liste nicht systematisch durchgegangen, sondern hab gesucht)

  • Firefox
  • Inkscape (Vektorgrafik)
  • Diverse PDF-Reader?

Wie man sieht, ist die Liste lang, und ich werde nicht das ganze Alphabet durchgehen. Grundsätzlich hat man gute Chancen, bzip2 in folgenden Sachen 1. zu finden 2. an einer Stelle zu finden, wo es regelmäßig nicht vertrauenswürdige Daten abbekommt:

  • Browser
  • P2P-Programme
  • Alles was mit Bildern zu tun hat
  • Antivirensoftware
  • Entpacker (d’oh)

Auch die Liste könnte natürlich fortgesetzt werden. Ich freu mich schon auf die Updaterei.

Eine Suche nach bzip2.dll liefert auch eine schöne Liste…

  • MikTex (LaTeX-Umgebung)
  • Inkscape (Vektorgrafik, siehe oben)
  • Gimp (Bildbearbeitung)
  • Mumble (Sprachkommunikation, freie Alternative zu TeamSpeak)

Es wird sicherlich viele Programme geben, bei denen die Datei anders heißt oder die fehlerbehafteten Funktionen statisch gelinkt (=direkt in die EXE eingebaut) oder in einer anderen DLL enthalten sind.

Geld zurück für DigiProtect-Abmahnopfer

(oder: so bastelt man eine Sammelklage)

Von DigiProtect Abgemahnte können eventuell ohne großes Risiko einen Teil ihres Geldes zurückbekommen. Hier versuche ich auch für juristische Laien verständlich zu erklären, wie und warum. (Hinweis/Disclaimer: Ich bin kein Anwalt, das ist meine Laien-Zusammenfassung, informiert euch auch noch selbstständig.)

Zunächst einmal das wie:

  • Nur für Leute, die 1. von DigiProtect und 2. wegen eines Pornos abgemahnt wurden, 3. Kosten hatten und 4. noch nicht selbst geklagt haben. (Gründe siehe unten)
  • Teilnahmeformular ausfüllen und einschicken. Dadurch verzichtet ihr auf das Recht, selbst Geld von DigiProtect zurückzufordern, und gebt dieses Recht an die Firma Metaclaims
  • Warten, nichtstun, hoffen. Metaclaims verklagt DigiProtect ohne euer Zutun. Wenn sie gewinnen, kriegt ihr die Hälfte ab, die andere bekommt Metaclaims. Wenn sie verlieren habt ihr das Recht abgegeben, DigiProtect zu verklagen, und bekommt nix (und Metaclaims hat Verlust in Form von Anwaltskosten).

Wenn ihr also eh nicht vorhattet, selbst gegen DigiProtect innerhalb der Verjährungsfristen zu klagen, verliert ihr nur ein Recht, was ihr eh nie genutzt hättet – und bekommt im Idealfall ohne großen Aufwand die Hälfte eures Geldes wieder.

Mehr dazu gibt es bei Gulli:

  1. Ursprünglicher Artikel zum Thema
  2. Detailfragen werden erklärt
  3. Reminder

Wer sich für die Hintergründe (das warum) interessiert, kann hier weiterlesen:

Wenn jemand einem unrechtmäßig einen Schaden zugefügt hat, hat man ein Recht darauf, den Schaden ersetzt, z. B. ausgegebenes Geld zurück zu bekommen. Falls die Abmahnerei von DigiProtect rechtswidrig war (und dafür bestehen in bestimmten Fällen gute Chancen), und man gezahlt hat oder Anwaltskosten für einen eigenen Anwalt hatte, hat man also ein Schadensersatzanspruch -vulgo: “Recht auf Geld zurück”.

In Deutschland gibt es zwar keine Sammelklagen, aber dafür viele findige Anwälte. Und weil wir in einem marktwirtschaftlich orientierten Staat leben, kann man fast alles verkaufen.

Wenn ein Händler zum Beispiel einen Computer im Internet verkauft und auf Rechnung, also ohne Vorkasse, verschickt, hat er gegenüber dem Käufer einen Anspruch, das Geld dafür zu bekommen (“Recht auf Geld”). Das kann er gegenüber dem Käufer geltend machen – oder er kann es verkaufen. Das sieht so aus: Der Computer hat 1000 EUR gekostet, der Händler hat also ein Recht auf 1000 EUR. Der Kunde zahlt aber nicht. Der Händler kann ihn jetzt verklagen und wenn die Klage durch ist, bekommt er das Geld (wenn der Kunde bis dahin nicht pleite ist). Der Händler will/kann aber nicht warten. Also sucht er sich einen Geldeintreiber. Der bietet dem Händler an: Ich geb dir jetzt 500 EUR, wenn du mir dafür das Recht auf 1000 EUR gibst. Das sieht für den Händler wie ein schlechter Deal aus, aber er hat keine Lust das Geld einzuklagen und würde es selbst nie schaffen, also lässt er sich drauf ein.

Der Händler hat 500 EUR und ist aus der Sache raus, und der Geldeintreiber verklagt den Kunden und bekommt am Ende hoffentlich die 1000 EUR. Wenn nicht, hat er an diesem Fall Verlust gemacht (seine Kosten + die 500 EUR), aber er hat so viele Fälle, und ist so gut und trainiert im Verklagen, dass ein einzelner Fall ihm wenig Kosten verursacht. Der Händler würde beim Verklagen viel Arbeit haben, weil er das nur selten macht. Weil der Geldeintreiber auch viele Fälle hat, kann er effizient arbeiten, und weil die meisten Fälle gut gehen, lohnt es sich für ihn insgesamt.

Wenn ihr abgemahnt wurdet und die Abmahnung rechtswidrig war, seid ihr jetzt der Händler – ihr habt ein Recht gegenüber DigiProtect auf z. B. 1000 EUR. Metaclaims bietet euch nun an, euch dieses Recht abzukaufen. Allerdings bekommt ihr dafür kein Geld, sondern nur den Anspruch auf einen Teil der “Beute”, wenn MetaClaims vor Gericht Erfolg hat. Dadurch werden die Kosten für MetaClaims kalkulierbar – wenn sie verlieren, zahlen sie “nur” die Anwaltskosten, wenn sie gewinnen, bekommen sie die Hälfte der “Beute” (und die Anwaltskosten von den Abmahnern ersetzt). Sie machen das also nur, weil sie denken, dass sie gewinnen, und in dem Fall lohnt es sich für sie. Gleichzeitig ist der Fall natürlich Werbung für sie.

Damit die potentielle “Beute” groß genug ist, müssen genug Leute mitmachen. Wegen 500 EUR zieht die Firma nicht vor Gericht, das lohnt nicht. Sobald genug Leute mitmachen, d.h. ihr “Recht auf Geld zurück” an Metaclaims übertragen haben, hat MetaClaims z. B. das Recht, 10000 EUR von DigiProtect zu fordern – und versucht sich das Geld zu holen. Da sie offensichtlich von einem Erfolg ausgehen, würden sie in dem Fall 5000 EUR (+ die Werbung, was hier der Haupteffekt sein könnte) Gewinn machen – und ihr hättet wenigestens einen Teil des Geldes. Weil MetaClaims auch was riskiert (Anwaltskosten, falls es schiefgeht), wollen sie natürlich nur einfache Fälle. Vermutlich würden sie auch riskantere Fälle nehmen – aber da würdet ihr dann z. B. nur 10% bekommen, damit es sich für die lohnt, oder ihr müsstet einen Teil des Risikos tragen.

Metaclaims hält nun die Pornofälle von DigiProtect für am Einfachsten. So eine Klage macht natürlich nur Sinn (für Metaclaims) wenn sie möglichst wenig Aufwand macht, deswegen nehmen sie nur diese eine Art von Fall.

Einfach im Sinn von “leicht zu gewinnen” sollen diese Fälle wohl deswegen sein, weil DigiProtect nur abmahnen darf, wenn sie bestimmte Rechte haben. Und das scheint für die Pornofälle zweifelhaft zu sein.

Feindbilder: Neuer Krieg erhitzt die Gemüter

Die Entscheidung der USA, mit dem Afghanistankrieg einen beliebten Ort für Spielhandlungen in echte Kämpfe zu verwickeln, hat heftige Reaktionen hervorgerufen. So wiederholte der Killerspielerverband “Blutpixel” am heutigen Montag seine Forderung, Politiker sollen den “unspaßigen Krieg”, welcher am 7.10.2010 offiziell begann, endlich beenden.

Die Gamestar hatte am Wochenende erklärt, sie widere der neue Krieg an, weil echte Menschen kämpfen und andere Menschen brutal ermorden würden. Es sei schockierend, erklärte die Gamestar, “dass überhaupt jemand auf die Idee kommt, spielerische Gewalt in die Realität umzusetzen.” Schließlich würden dabei Kinder durch die Hände der Gegner ihre Väter und Frauen ihre Ehemänner verlieren.

Die US-Regierung wies die Kritik zurück: “Das Mindestalter für die Teilnahme am Krieg sind 18 Jahre, deswegen dürfen nur Erwachsene mitmachen. Es ist die Entscheidung der Freiwilligen, ob sie zur Armee gehen oder nicht.” Eingemischt hatt sich in die Diskussion unterdessen auch der deutsche E-Gamer-Verband: Sprecher Samuel Ernst äußerte gegenüber dem Nachrichtenmagazin Focus, es sei “widerwärtig, so einen Krieg anzufangen, während friedliche Spieler vor der Kulisse Afghanistans Kriegsspiele spielen”.

 

Dieser Beitrag ist Satire in Form eines Faketickers. Hintergrund/Vorlage ist die Kritik am Computerspiel “Medal of Honor”, in welchem der Spieler auch Taliban spielen können soll. Ich hoffe, der Text regt zum Nachdenken darüber an, ob es widerwärtig ist, ein Spiel über einen Krieg zu machen, oder ob es nicht eher widerwärtig ist, einen solchen Krieg zu veranstalten.

Genau deswegen hasse ich C/C++

2010-08-21 16 Kommentare

Hier mal ein schönes Beispiel, warum ich C und C++ hasse. Nehmen wir doch dieses schöne, einfache Programm:

#include <stdio.h>

int main() {
	int zahl = 23;
	if (zahl > 5) {
		printf("Das sollte reichen: " + zahl);
	} else {
		printf("Das reicht nicht: " + zahl);
	}
}

Was gibt dieses Programm aus, wenn man es startet?

(Runterscrollen für die Lösung)
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.

Die Antwort lautet:

s reicht nicht: 

Also der Text aus dem else-Zweig, der eigentlich nicht aufgerufen werden kann, und auch noch am Anfang abgeschnitten, und die Zahl fehlt. Was ist passiert? Nun, die Zeichenketten werden hintereinander im Speicher abgelegt. Es wird sehr wohl der erste Zweig ausgeführt – aber es wird die Speicheradresse der ersten Zeichenkette genommen, die Zahl dazuaddiert und die Zeichenkette an dieser neuen Adresse ausgegeben. Logisch, oder? Und das ist nunmal ein Teil der zweiten Zeichenkette.

Ist ja auch völlig klar, dass man bei einer direkt im Quellcode konstant angegebenen Zeichenkette, wo man nicht einmal weiß, wo die landen wird, mit der Speicheradresse herumrechnen will. Klar ist das hier ein Fehler des Programmierers und der Compiler macht sicherlich nur das, was im Standard vorgesehen ist. Aber der gcc (3.4.5 mingw-vista special r3) hält es selbst mit gesetztem -Wall -Wextra (also sehr hohem Warnlevel) nicht im Geringsten für nötig, wenigstens eine Compilerwarnung auszugeben. (Angemessen wäre meiner Meinung nach gerade in diesem Fall schlichtweg ein Fehler. Wer wirklich auf den Pointern herumrechnen will, kann ja casten.) Natürlich hat das alles seine Richtigkeit: Der Text hat den Typ char* (also ein Pointer), und dazu kann man wunderbar einen int addieren. Was sonst sollte man denn damit machen…

Ich sage übrigens nicht, dass automatisch mehr Speicher allokiert, die Zahl in einen Text umgewandelt, an den ursprünglichen String drangehängt und ausgegeben werden muss – eine schlichte Fehlermeldung, dass “Text” und “Zahl” sich nicht addieren lassen, wäre völlig ausreichend.

Dieses einfache Beispiel zeigt aber, wie maschinennah man bei C/C++ programmiert. (Update: Ein weiteres, mindestens genauso fieses Beispiel siehe hier.) Dadurch, dass man so direkt auf dem Speicher arbeitet, und sich um viele Kleinigkeiten manuell kümmern muss, entsteht viel Code, mit vielen Fehlern, und “Fehler” heißen beim Umgang mit rohem Speicher und fremden Daten desöfteren “Sicherheitslücke wegen der man sich schon beim Anschauen einer Website nen Virus fängt”. Ergänzung – zum Beispiel so (Hervorhebung von mir):

Adobe hat seinen Shockwave Player auf Version 11.5.8.612 aktualisiert und schließt damit wieder einmal zahlreiche Sicherheitslücken, von denen Angreifer mindestens 18 zum Einschleusen von Schadcode missbrauchen können. Ursache für die meisten Schwachstellen sind Speicherfehler in diversen Funktionen [...]

Die meisten Exploits der letzten Jahre dürften wir tatsächlich C/C++ verdanken.

Zudem habe ich noch den Eindruck, dass entweder durch den üblichen Programmierstil und/oder durch die vielen Kleinigkeiten, die man manuell machen muss, C/C++-Programme im Vergleich zu anderen Sprachen deutlich schlechter lesbar sind.

Für mein Tool DarkLock hatte ich das “Vergnügen”, die Windows-API aus C++ heraus aufrufen zu müssen. Insbesondere die Funktion PowerDuplicateScheme gefällt mir, weil sie stellvertretend für viele andere Funktionen zeigt, wie viel “Spaß” C++ macht. Diese erhält als Parameter die Konstante NULL (ist halt so…), einen Pointer auf die GUID des einen Schemas, und einen Pointer auf einen Pointer auf eine GUID. Richtig gelesen. Macht auch absolut Sinn, denn wenn der Pointer auf einen Nullpointer pointet, wird eine neue GUID erzeugt und der Nullpointer durch den Pointer auf die GUID ersetzt. Alles klar? (Man muss danach nur noch den Speicher richtig freigeben…)

Den Rest von DarkLock hab ich dann in C# geschrieben, einer Sprache die mehr Java als C ähnelt und deutlich weniger Schmerzen hervorruft. (Und ja, ich weiß, dass es für C durchaus Libraries gibt, die obiges Problem lösen würden.)

Es gibt sicherlich Fälle, wo C und C++ noch Sinn machen (Embedded-Systeme, Dinge die mit hoher Leistung laufen müssen, Sachen die aus sonst einem Grund derart maschinennah sein sollen, …) – für die alltägliche Programmierung von Desktopanwendungen will ich den Kram aber nicht mehr sehen. Wem meine Kritik auf viel zu niedrigem Niveau ist, darf sich gern bei Fefe bedienen.

Gibt es eigentlich einen GUI-Editor für Java, der ähnlich gut ist wie der von Visual Studio? Ich habe nämlich keine Lust, 70% der Zeit damit zu verbringen GUIs zu schreiben. Auch nett wäre, wenn die “höheren” Sprachen eine einfache Möglichkeit bieten würden, bei Bedarf doch mal auf ein niedrigeres Level zu wechseln (mit den damit verbundenen Nachteilen), oder zumindest (gerade Java) irgendwas, um bequem mit “rohen” Bytes (gerne durchaus in verwaltetem, geschützem Speicher!) sinnvoll arbeiten und rechnen zu können.

Polizeigewerkschaftswahnsinn

2010-08-08 3 Kommentare

Wenn in den Medien wieder einmal berichtet wird, dass die/eine Polizeigewerkschaft irgendetwas fordert, muss man immer daran denken zu fragen, welche. Es gibt nämlich drei, die sich regelmäßig zu politischen Themen äußern:

  • DPolG (Deutsche Polizeigewerkschaft)
  • BDK (Bund Deutscher Kriminalbeamter)
  • GdP (Gewerkschaft der Polizei)

Hält man die nicht auseinander, macht man schnell eine halbwegs vernünftige Gewerkschaft für die Äußerungen einer anderen, weniger vernünftigen, verantwortlich.

Der BDK ist bekannt dafür, dass er gerade was der Internet betrifft, gerne viel und vor allem viel Unsinniges fordert, ohne wirklich Ahnung zu haben. Die aktuellste respektable Leistung hierbei ist die Forderung eines “Reset-Knopfs” (gemeint ist ein Not-Aus), mit dem das Internet bei Angriffen abgeschaltet werden kann. Ich denke, die folgende Karikatur bringt die “Sinnhaftigkeit” des Vorschlags auf den Punkt:

Die BDK-Meldungen zeichnen sich aus meiner Sicht meist mit recht starkem Populismus und Polemik aus, teilweise hat man den Eindruck, dass einfach irgendwo aufgeschnappte Ideen zur eigenen Forderung werden, um in die Presse zu kommen. (Mit dem Internet-Notaus-Knopf machen sich in Amerika seit längerem Leute lächerlich.)

Zumindest eine der anderen Polizeigewerkschaften hatte ich eigentlich als halbwegs vernünftig in Erinnerung und hatte den Eindruck, die Existenz von Bürgerrechten sei ihnen zumindest bekannt. Sicher bin ich mir nicht, ich glaube es war die DPolG, die auch das BKA-Gesetz wegen mangelndem Schutz von Bürgerrechten kritisierte. (UPDATE: Ich hab mir die alten Meldungen nochmal angeschaut, kann genausogut die GdP gewesen sein, ich weiß es nicht.)

Das hat sich geändert. Zum BDK muss ich ja nicht mehr viel sagen. Die GdP hat sich vor kurzem durch eine Aussage ihres Chefs hervorgetan, nach der er sich nicht vorstellen kann, dass die Sicherungsverwahrung Bürgerrechte verletzen könnte. Jetzt hat auch die DPolG nachgelegt, und gleich mal einen Pranger gefordert.

Derzeit kann man also von keiner der drei Gewerkschaften sagen, dass sie Bürgerrechte und die freiheitlichen Grundsätze unserer Gesellschaft auch nur ansatzweise verinnerlicht hätte. (Ergänzung:) Ab und zu schaffen sie es was überraschend positives zu veröffentlichen, aber kurz danach greifen sie wieder daneben. Dennoch sollte man bei Nachrichten unterscheiden, welche der Gewerkschaften was absondert, da es doch noch Unterschiede gibt. BDK-Äußerungen führen bei mir inzwischen nichtmal zu Kopfschütteln – von denen bin ich das gewohnt. Die anderen Gewerkschaften nehme ich zumindest noch etwas ernst. Schade, dass die Presse üblicherweise jede Äußerung einer dieser drei Gewerkschaften aufgreift und verbreitet, fast als wäre es eine offizielle Meldung einer Behörde. Bei vielen Bürgern kommt leider meist nur “Polizeigewerkschaft” und somit “Polizei” und somit “offiziell” und somit “gut” an…

UPDATE 2: Die FAZ hat es soeben geschafft, ein schönes Gegenbeispiel für den letzten Satz zu liefern. Leider dürfte das die Ausnahme sein, die die Regel bestätigt… UPDATE 3: Hrmpf. Die FAZ hat Constanze Kurz vom CCC für sich schreiben lassen, kein Wunder dass die Meldung was taugt. Immerhin gut, dass sie wenigstens auf Kompetenz setzen, aber lieber wäre mir, wenn die Medien von alleine mit ihren üblichen Autoren auf sowas kämen – so wird es viel zu selten was.

Geheimes Urheberrechtsabkommen ACTA – eine Übersicht

Auf internationaler Ebene verhandeln Regierungen derzeit an einem neuen, internationalen Urheberrechsabkommen namens ACTA. Die Verhandlungen werden nicht nur vor der Öffentlichkeit, sondern auch vor den Parlamenten geheimgehalten – diese haben nicht mitzureden. Lobbyisten von Urheberrechtsverbänden hingegen haben sehr wohl Zugang und werden auch angehört. Angebliche Offenlegungen im Namen der Transparenz und stellen sich als unvollständig, fehlerhaft oder völlig gefälscht heraus. Regelmäßige Leaks von Teilen des Abkommens zeigen, dass die Geheimhaltung einen guten Grund hat – es sollen wieder einmal die Interessen normaler Nutzer übergangen und die Interessen der Contentmafia durchgesetzt werden. Vorgeblich soll es nur um die Bekämfung kommerzieller Verletzungen von Schutzrechten wie z. B. Produktfälschungen gehen – in Wirklichkeit betreffen die Regelungen jeden.

Die Pläne übertreffen die bisherigen Gesetze bei Weitem, und auch die EU sorgt eher dafür, dass die Regelungen verschärft als gelockert werden. Der meines Wissens nach aktuellste Leak ist die EU-Version vom 1. Juli. Ich fasse hier mal ein paar Punkte zusammen, die deutlich machen, wie der Hase läuft. Das ist nur das, was ich dem Leak entnehmen konnte. Sicherlich habe ich einige gut in Juristensprache versteckte Punkte übersehen. Zudem ist zu befürchten, dass der Leak unvollständig sein könnte!

  • Richter sollen für Schutzrechtsverletzungen Entschädigungszahlungen nach jedem legitimen vom Rechteinhaber vorgeschlagenen Maßstab wie z. B. dem Verkaufspreis festzusetzen.
  • Geräte, bei denen der Verdacht besteht, dass sie für Schutzrechtsverletzungen verwendet werden, sollen auch in Zivilverfahren entschädigungslos beschlagnahmt werden dürfen. Das bezieht sich ausdrücklich auch auf Urheberrechtsverletzungen, nicht nur auf Produktfälschungen.
  • “Grenzmaßnahmen” wieder ausdrücklich auch gegen Urheberrechtsverletzungen (gemeint ist z. B. das Durchsuchen von Datenträgern) sind vorgesehen, die Mitgliedsstaaten des Abkommens können jedoch Ausnahmen für private Güter einführen – müssen es aber nicht! Würden die Verhandlungsteilnehmer ihre Versprechungen, dass das Abkommen eben nicht die Durchsuchung und Beschlagnahme privater MP3-Player umfassen soll, ernst meinen, hätten sie es reingeschrieben.
  • Ebenso können die Teilnehmerländer davon absehen, die strafrechtlichen Vorgaben des Abkommens auf Verletzungen durch Endkunden anzuwenden. Die beinhalten unter anderen, dass für das Abfilmen von Kinofilmen (auch nur für den Privatgebrauch gedachtes) ein eigener Straftatbestand eingeführt werden soll und bei Schutzrechtsverletzungen eine Beschlagnahme der verwendeten Ausrüstung vorgesehen ist.
  • Der interessanteste Teil ist jedoch der, der sich auf das Internet bezieht. (Die Behauptung, es ginge nur um kommerzielle Produktfälschungen und den Handel mit Raubkopien, wird schon durch die Existenz des Abschnitts, spätestens aber durch den Inhalt, widerlegt.)

  • Nicht näher spezifizierte beschleunigte Abhilfen zur Verhinderung von Schutzrechtsverletzungen und Mittel die eine Abschreckung gegenüber zukünftigen Verletzungen bieten werden gefordert. Three Strikes wird zwar nicht ausdrücklich genannt, es dürfte aber darauf hinauslaufen.
    Eine Regelung, nach der diese Maßnahmen gerecht und angemessen sein müssen, wird nur von drei Delegationen gefordert!
  • Die DMCA-Takedown-Notices, nach denen ein Internetanbieter auf Benachrichtigung durch einen (angeblichen) Rechteinhaber verpflichtet ist, Inhalte zu entfernen, sollen international verpflichtend werden (bzw. die Haftungsbefreiung für fremde Inhalte soll an die Umsetzung eines solchen Verfahrens gekoppelt werden). Immerhin darf die Haftungsbefreiung für die Provider nicht an eine Pflicht zur Vorabkontrolle durch den Provider gekoppelt werden.
  • Diensteanbieter und Rechteinhaber sollen zur Kooperation angehalten werden, um Rechteverletzungen zu vermeiden. Das ist schwammig formuliert, könnte aber dazu führen, dass von Rechteinhabern vorgegebene Richtlinien für Anbieter quasi-verbindlich werden könnten.
  • Das Umgehen von Kopierschutzmaßnahmen und Tools dafür sollen international verboten werden. Eine Vorgabe, dass Kopierschutzmaßnahmen die rechtmäßige Nutzung nicht behindern dürfen, fehlt natürlich.
  • Fazit

    Wäre das Abkommen tatsächlich nur gegen kommerzielle Produktpiraterie gerichtet, hätte man es reingeschrieben. Auch wenn einige sinnvolle Dinge drin sind, würden viele der Punkte eine weitere, maßlose Verschärfung des Urheberrechts bewirken. Neue sowie bereits im deutschen Urheberrecht vorhandene katastrophale Regelungen würden durch ein internationales Abkommen zementiert, die dringend nötige Reform zur Lockerung und Anpassung des Urheberrechts an das 21. Jahrhundert würde massiv erschwert.

    Zudem kann man sich nie sicher sein, ob der Leak korrekt und vor allem vollständig ist, oder ob in Wirklichkeit noch weitere Maßnahmen hinter verschlossenen Türen behandelt werden.

    Die inhaltlichen Probleme sind nur eine Seite des Problems. Ein viel schwerwiegenderes Problem ist die Art und Weise, wie dieses Urheberrechtsabkommen zustande kommt – nämlich unter Ausschluss demokratischer Gremien, dafür mit Beteiligung von Lobbyisten. Es ist zu befürchten, dass so zahlreiche juristische Feinheiten darin versteckt wurden, die erst später ihre schädliche Wirkung auf die Rechte der Nutzer entfalten. Meiner Meinung nach muss daher der gesamte Entwurf verworfen werden und sofern ein solches Abkommen weiterhin gewünscht ist, muss es von Grund auf mit Personen die an den ACTA-Verhandlungen nicht beteiligt waren transparent und öffentlich neu erstellt werden. Dabei muss berücksichtigt werden, dass beim Urheberrecht nicht nur die Interessen der Rechteinhaber berücksichtigt werden dürfen – auch die Allgemeinheit hat Interessen, nämlich die möglichst freie Nutzung von Werken. Leider hat sie keine so laute und penetrante Lobby. Dennoch muss hier eine gerechte Abwägung getroffen werden, was bisher nie gelungen ist – und dem Entwuf nach mit ACTA sicher nicht gelingen wird. Vielleicht wäre es bei einer Neuverhandlung sinnvoll, zur Abwechslung mal die Lobbyisten an die frische Luft zu setzen.

    Die Piratenpartei hat heute deswegen einen offenen Brief an die EU-Kommision und die Bundesregierung geschickt. Darin werden diese aufgefordert, die ACTA-Verhandlungen endlich offenzulegen, die Geheimhaltung zu begründen, auch die Interessen der Bürger zu berücksichtigen und den weiteren Prozess transparent zu gestalten. Ich erwarte nicht wirklich eine Antwort, aber es wäre schön, wenn auch du den Hinweis auf diesen offenen Brief weiterverbreiten würdest, damit der Druck erhöht wird!

    Es bleibt zu hoffen, dass genug Abgeordnete aufgrund dieser intransparenten Verhandlungen ACTA aus Prinzip ablehnen. Nachdem das SWIFT-Abkommen im zweiten Durchlauf mit einer deutlichen Mehrheit abgesegnet wurde, ohne dass die wichtigsten Kritikpunkte behoben wurden, habe ich aber leider wenig Vertrauen in das Europäische Parlament. Die Hoffnung stirbt bekanntlich zuletzt. Eine Petition gegen ACTA gibt es unter stopp-acta.info.

Follow

Erhalte jeden neuen Beitrag in deinen Posteingang.

Schließe dich 105 Followern an