datenritter blog

Die Preisgabe der IP-Adressen des Bundesnachrichtendienstes (siehe [1], [2], [3]) könnte für dessen Mitarbeiter ein paar Konsequenzen haben, die ich bisher noch gar nicht bedacht hatte. Kommentare in Bruce Schneiers Weblog brachten mich darauf.

Nehmen wir an, jemand beim BND hätte den Fehler gemacht "von der Arbeit aus" irgendetwas (eine DVD, ein Buch...) im Internet zu bestellen. Oder ein Auto zu mieten. (Oder Begleitung bei einem Escort-Service, laut Wikileaks gibt es da ja Zugriffe. ) Oder einen Flug zu buchen, oder eine Bahnfahrt, oder auch nur einen Routenplaner zu benutzen. Oder gar private Mails über einen Webmailer zu lesen. Oder bei eBay zu bieten.

Klingt dumm? Menschen tun dumme Dinge.

Beim Durchsuchen der eigenen Logfiles könnte der ein oder andere dann Identitäten und Privatadressen oder andere sensible Informationen von BND-Mitarbeitern aufdecken. Unschön. Allein die Information, dass eine bestimmte Kreditkarte vom BND genutzt wird, ist sicher ein paar Euro Wert. Was also sollte einen gelangweilten Admin davon abhalten entsprechende Recherchen anzustellen?

Wie ich schon festgestellt hatte, sind zwar nur wenige Spuren im Web zu finden. So gab es z.B. wenige Änderungen in der Wikipedia. Die "verdächtigen" Edits der Adressbereiche 195.243.248.224-231 und 62.156.187.232-239 kann man sich übrigens mittels des Wikiscanners angucken. Doch selbst wenn bei der geheimsten aller deutschen Behörden darauf geachtet wurde, dass niemand die dienstlichen Anschlüsse für Privates oder ohne Anonymisierung verwendet: Ein einziger Fehler kann genügen, um jemanden in ernsthafte Schwierigkeiten zu bringen oder die nachrichtendienstliche Arbeit empfindlich zu stören.

Und dass solche Fehler zuverlässig verhindert wurden, kann man nach bisherigem Kenntnisstand bezweifeln.

Das Blog Royal Pingdom berichtet über ein abgefahrenes Rechenzentrum, welches in einem ehemaligen Atombunker namens "Pionen White Mountains" irgendwo unter Stockholm eingerichtet wurde. Die Internet-Anbindung ist mehrfach redundant, und zwei deutsche U-Boot-Motoren dienen als Notstromversorgung:

[J]ust for fun the people at Pionen have also installed the warning system (sound horns) from the original German submarine.

Es gibt außerdem Zimmerpflanzen, Nebel, Wasserfälle und Tageslichtsimulation, um den 15 Mitarbeitern den Aufenthalt so angenehm wie möglich zu gestalten.

Hoffentlich haben die Betreiber auch bedacht, dass auch eine atombombenfeste Tür keine Trojaner abhält.

Hier hat jemand eine .htaccess-Datei vorbereitet, mit der man die Adressen, die vielleicht dem Bundesnachrichtendienst gehören, aussperren kann.

Das ist zwar eine eher schlechte Idee, da es leicht zu umgehen ist und dem dem Charakter des Netzes zuwiderläuft.

Aber es ist zumindest lehrreich zu sehen, wie so eine "Ausladung" aussehen könnte. Besucher mit bestimmten Adressen oder Domains werden auf eine zweifelhafte Google-Suche umgeleitet oder mit einer "Forbidden"-Antwort ganz ausgesperrt:

RewriteEngine on
RewriteCond %{HTTP_REFERER} bvoe [NC,OR]
RewriteCond %{HTTP_USER_AGENT} bvoe [NC,OR]
RewriteCond %{REMOTE_HOST} bvoe [NC,OR]
RewriteCond %{HTTP_REFERER} lvp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lvp [NC,OR]
RewriteCond %{REMOTE_HOST} lvp [NC]
RewriteRule ^.*$ http://www.google.de/search?hl=de&q=fema+death+camps+bush+nazi+fascist [R=301,L]

Order Allow,Deny
Deny from 195.243.248.226/32
Deny from 195.243.248.228/32
Deny from 62.156.187.234/32
Deny from 62.156.187.236/32
(...)
Allow from all

Im gleichen Blog findet man auch Rewrite-Regeln zum Aussperren von Spambots und E-Mail-Harvestern nach dem selben Verfahren:

# Block E-Mail Harvester
RewriteEngine on
ReWriteCond %{HTTP_USER_AGENT} Alexibot [OR]
ReWriteCond %{HTTP_USER_AGENT} asterias [OR]
ReWriteCond %{HTTP_USER_AGENT} BackDoorBot [OR]
ReWriteCond %{HTTP_USER_AGENT} Black.Hole [OR]
(...)
ReWriteCond %{HTTP_USER_AGENT} Mozilla/2 [OR]
ReWriteCond %{HTTP_USER_AGENT} Mozilla/3.Mozilla/2.01 [OR]
ReWriteCond %{HTTP_USER_AGENT} Mozilla.*NEWT [OR]
(...)
ReWriteCond %{HTTP_USER_AGENT} Zeus
RewriteRule ^.*$ http://www.google.de/search?hl=de&q=spam[L]

Die alten Browser-Kennungen mit auszusperren, ist sicher kein Fehler. Allerdings muss auch hier gesagt werden, dass Filter umgangen werden können, dieser hier sogar auf triviale Art. Gegen Spam und E-Mail-Harvester gibt es bessere Maßnahmen, z.B. kann man Regel wie die oben gezeigten automatisiert erstellen und zeitlich begrenzt anwenden.

Dass man mittels eines Seifenabdruckes Schlüssel nachmachen kann, ist aus gewissen Filmen hinlänglich bekannt. Logisch eigentlich, dass das auch mit einem Foto geht — und für einige auch nichts neues.

Forscher der UC San Diego Jacobs School of Engineering haben das ganze jetzt in ein automatisiertes Verfahren gegossen. Ein Digitalfoto, gerne auch klammheimlich mit dem Teleobjektiv gemacht, wird vom Computer per Bilderkennung in die Vorlage für einen Nachschlüssel umgewandelt.

Die Studie zeigt einmal mehr, dass Schlüssel — auch die zu sogenannten Sicherhetsschlössern — keineswegs besonders sicher sind. Allerdings waren sie das auch vorher schon nicht.

Die Hersteller gehen dort, wo Stromversorgung und Batteriepuffer zur Verfügung stehen, mittlerweile dazu über, die Schlüssel magnetisch zu kodieren oder gar RFID-Chips einzubauen. Doch dürfte das noch für lange Zeit nur bei Autos üblich sein.

Für den Ottonormal-Netzbürger zeigt dieses Beispiel einmal mehr, wie vorsichtig man mit der Preisgabe von Informationen sein muss:

“If you go onto a photo-sharing site such as Flickr, you will find many photos of people’s keys that can be used to easily make duplicates. While people generally blur out the numbers on their credit cards and driver's licenses before putting those photos on-line, they don’t realize that they should take the same precautions with their keys,” said Savage.

Es würde mich interessieren, was Versicherungen dazu sagen, dass Menschen Fotos von ihren Auto- oder Haustürschlüsseln in frei zugängliche Fotoalben im Netz einstellen.

Ich frage mich, was in manchen Leuten vorgeht. Es ist ja kein Geheimnis, dass Husum ein BND-Stützpunkt war, oder vielleicht immer noch ist. (Schön blöd, wenn es stimmt.) Aber ich glaube kaum, dass man in diesen durch einen in der Toilette einer Hafenkneipe versteckten Fahrstuhl gelangt. Von daher erklären sich mir die beiden Kameras, die übrigens auf einen öffentlichen Gehweg gerichtet sind, überhaupt nicht.

Sicherheit ist gut und schön, und Kameraüberwachung in einzelnen Fällen auch mal eine gute Idee. Meist bringt sie allerdings überhaupt nichts, außer länger anhaltenden Illusionen und falschen Vorstellungen. Derart dreist einfach jeden zu filmen, der den Bürgersteig entlangschlendert, ist jedoch in jedem Fall inakzeptabel.

Wie die iX Mitte September berichtete und Strafverteidiger Udo Vetter vom law blog heute kritisierte plant die Bundesregierung einen neuen, vermeintlich sicheren und noch vermeintlicher vertrauenswürdigen E-Mail-Dienst. Der "De-Mail" genannte Bundesmaildienst solle sogar digitale Einschreiben ermöglichen, berichtet onlinekosten.de. (Ich bin gespannt, wie das funktionieren soll, wenn der Empfänger z.B. gerade PC-Probleme hat.)

Um den Dienst gibt es bereits Streit, der Provider Strato ist aus dem Projekt ausgestiegen. Grund: die "informationstechnologische Monostruktur" und eine vom BSI verweigerte Zertifizierung.

Hier einige Gründe, warum dieser Dienst grober Unfug ist und scheitern wird:

• Der Dienst ist zentralistisch. Das ist schlecht für die Verfügbarkeit und extrem schlecht für die Sicherheit.
• Der Bundestrojaner.
• Eigentümliche Vorstellungen von Sicherheit der Regierung und bei manchem Mitarbeiter des BSI.
• Juristen werden viel zu sagen haben.
• Wenn Daten verloren gehen, ist der Schaden gigantisch.
• Der Dienst wird zentrales Ziel für Industriespione jeder Nationalität.
• Der Dienst ist ein weiteres Prestigeprojekt der Bundesrepublik. Und wie immer wird er uns Prestige kosten. Und Geld. Und Sicherheit.
• Die Deutschen vertrauen ob zahlreicher Datenskandale der Telekom nicht mehr und werden den Dienst nicht nutzen.
• Die Deutschen vertrauen ihrem Staat nicht mehr und werden den Dienst nicht nutzen.

Letzteres ist das Hauptproblem und Killerargument schlechthin. Denn die Entscheidung darüber, was privat und vertraulich ist, obliegt durch diesen Dienst dem Staat.

Unabhängig von der politischen Meinung muss jedermann klar sein, dass staatliche Organe vollen Zugriff auf die Postfächer haben werden. Man wird "im Vorfeld tätig" werden wollen, um Verbrechen zu verhindern, und vielleicht sogar Urheberrechtsverletzungen und Sozialbetrug verfolgen. (Vielleicht verraten die vielen Liebesbriefchen ja, ob jemand doch nicht allein lebt...?)

Man bedenke: Selbst das heilige Bankgeheimnis deutscher Nationen wurde abgeschafft.

Das bedeutet konkret: Im Gegensatz zu einem privatwirtschaftlichen Provider, der kein solches Interesse hat, wird der Staat freimütig zugreifen und entscheiden, welche Daten er für privat und sensibel hält. Und damit wird er auch entscheiden, ob der Bürger etwas zu verbergen hat. Und an wilden Fantasien und Paranoia mangelt es offensichtlich nicht.

Dadurch ist der Dienst sowohl für geschäftliche, private und Behördenkommunikation unbrauchbar und man kann aus sicherheitstechnischer Sicht nur dringend davon abraten, ihn zu nutzen.

Aber vielleicht kann man damit ja endlich mal große Dateianhänge verschicken...

Ich glaube, es war ein π in einer unteren Ecke einer Webseite, auf die Sandra Bullock in "Das Netz" drücken musste, um Zugang zu einem geheimst geheimen Programmteil eines Supermegakontrollnetzwerkes zu erhalten. Der Film stammt aus dem schönen Jahr 1995, als die peinliche Weltfremdheit der Filmemacher und Marketingmenschen nur wenigen auffiel. Das Internet hatte noch nicht jeder "in seinem Computer", und viele Firmen dachten noch, in ihrer Branche bräuchte man keine Webpräsenz. Kurz gesagt: Es war absolut lächerlich.

Und deswegen haben damals viele nicht bemerkt, dass der Film wahrlich kein Meisterstück ist. (Oder wegen Sandra Bullock, das kann natürlich auch sein.)

Heute würden die Menschen die unrealistische Darstellung der Digitalwelt als störend empfinden, weswegen der Film nicht mehr als Lehrfilm taugt. Leider, denn einige Aspekte haben mittlerweile durchaus an Bedeutung gewonnen. "Melderegister: Drücken Sie auf das Pi..." ... »