Skip to content

Das BfV und die Spionageabwehr

Gestern war ich auf dem IT-Sicherheitstag bei der IHK Gera eingeladen. Dort hielten verschiedene Fachleute Vorträge oder Workshop. Die einleitenden Vorträge kamen von einem Experten für Spionageabwehr beim Bundesamt für Verfassungsschutz und von mir.

Der Referent des Verfassungsschutzes erklärte, woher die Bedrohungen für die Wirtschaft kommen, wie die aussehen können und was die Firmen dagegen tun können.

Woher kommen die Bedrohungen? Anfangs wurden insbesondere Russland und China mit ihren diversen Einheiten genannt. Die im weiteren Vortrag folgenden Beispiele wurden immer von chinesischen Bürgern ausgeführt. Zum Abschluss stellte der Redner fest, dass der Verfassungsschutz ja einen 360°-Blick hat und es keine Bedrohungen von westlichen Diensten gibt. Hauptgrund war die Tatsache, dass es keine Anzeigen aus der Wirtschaft gibt. Bedeutet das, dass Spionageabwehr nur aus dem Warten auf Anzeigen besteht?

Ich griff den Ball dann in meinem Vortrag nochmal auf und verwies auf den Fall Enercon, wo die NSA spionierte. Daneben verwies ich auf den DGSE und andere Dienste, deren Ziel Wirtschaftsspionage ist und in deren Fokus auch westliche Unternehmen stehen.

Der Vortrag des BfV-Referenten hatte viele Filme zur Illustration dabei. Wenn es dabei um Wirtschaftsspionage ging, kamen die Beispiele aus der Schweiz oder Österreich. Ich fragte mich, warum es keine Beispiele deutscher Unternehmen gibt und was das BfV mit schweizer oder österreicher Unternehmen zu tun hat. Eigentlich soll die Behörde Informationen sammeln, die sich gegen die FDGO richten oder deutsche Unternehmen gefährden.

Den Abschluss des Vortrages bildete ein wenig Werbung für die Behörde. Den schließlich würde diese diskret mit Informationen umgehen und, was dem Vortragenden wichtig zu sein schien, sie unterliegt nicht dem Legalitätsprinzip. Das heißt, bei Kenntnis von Straftaten müssen diese nicht angezeigt werden.

Insgesamt hinterließ der Vortrag bei mir einen recht faden Beigeschmack und bestätigte mein Bild von den »Verfassungsschützern«.

Podiumsdiskussion zur NSA mit Martina Renner

Heute gibt es wieder eine Veranstaltungsankündigung. Am morgigen Dienstag, dem 09. September 2014, werde ich zusammen mit Martina Renner einen Vortrag mit anschließender Podiumsdiskussion in Jena halten. In der Veranstaltung geht es um den NSA-Untersuchungsausschuss. Zu Anfang werden wir einige Details zur NSA, zu deren Überwachungsprogrammen und zu den Entwicklungen beim Untersuchungsausschuss erzählen. Anschließend stellen wir uns den Fragen aus dem Publikum.

Wer teilnehmen mag, sollte vor 18 Uhr im Hörsaal 8 im Unigebäude in der Carl-Zeiss-Str. 3 sein.

Spaziergang an Jenas Orte der Daten(un)sicherheit

Anfang September soll der Datenschutz etwas greifbarer gemacht werden. Ich werde zusammen mit Dirk Adams einen Datenschutzspaziergang machen. Wir wollen einige Stationen in Jenas Innenstadt ansteuern und über die Sicherheit oder Unsicherheit unserer personenbezogenen Daten reden.

Wir starten am Dienstag, den 2. September 2014 um 18 Uhr am Ernst-Abbe-Platz in Jena und wollen folgende Stationen ansteuern.

Geplante Route des Spaziergangs
  1. Ernst-Abbe-Platz
  2. Telekomladen in der Goethegalerie
  3. dm am Teichgraben
  4. Rathaus am Markt
  5. Paradiesbahnhof

Falls jemand noch weitere Hinweise hat, kann es natürlich sein, dass sich die Route geringfügig verschiebt. Die Orte bieten viel Gelegenheit, um über Probleme und Lösungen beim Datenschutz zu reden. Kommt vorbei und spaziert mit.

Wie funktioniert eigentlich Heartbleed

Lest ihr regelmäßig Bugreports oder Meldungen über Schwachstellen bei SSL/TLS? Wie fühlt ihr euch so? Zur Erinnerung:

SSL added and removed here!
Ausschnitt aus einer Folie aus dem MUSCULAR-Programm der NSA

Das heißt, drei Monate in Folge gab es schwere Sicherheitslücken in Software zur Verschlüsselung. Ganz unwillkürlich fühlt man sich an die Folien aus dem NSA-Programm MUSCULAR erinnert.

Die letztgenannte Schwachstelle ist vermutlich die bislang schwerste. Denn damit ist es möglich, den Arbeitsspeicher eines Computers auszulesen. Dies funktioniert sowohl auf der Seite des Servers wie auch beim Clientprogramm. Dazu ist es notwendig, dass das Programm OpenSSL verwendet und eine Erweiterung von SSL namens Heartbeat aktiviert hat. Dies ist beispielsweise bei Android in der Version 4.1.1 der Fall. Mozilla Firefox hingegen nutzt die NSS-Bibliothek und ist nicht betroffen. Die Webserver nutzen hingegen recht oft die OpenSSL-Bibliothek und sind damit betroffen, falls die Version 1.0.1 bis 1.0.1f von OpenSSL verwendet wird. Sollte jemand von euch die Software nutzen, so upgraded auf mindestens 1.0.1g oder deaktiviert Heartbeat in OpenSSL. Gerade letzteres kann man aus meiner Sicht problemlos tun. Denn bisher fand ich keinen sinnvollen Anwendungsfall für Heartbeat.

Doch wie funktioniert diese Lücke eigentlich? Heartbeat (RFC 6520) ist eine Erweiterung für TLS. Ein Teilnehmer einer Verbindung sendet beliebige Daten an den Empfänger. Dieser antwortet mit einer Kopie dieser Daten und zeigt somit, dass die Verbindung noch steht und alles in Ordnung ist. Das Problem dabei ist, dass in einer Anfrage zwei Längenfelder vorhanden sind. Ein Angreifer sendet einfach ein Byte Daten und behauptet, er hätte 64 kB gesendet. OpenSSL liest nun die 64 kB aus dem eigenen Puffer und sendet die Daten zurück an den Angreifer. Der Angreifer kann den Angriff immer und immer wieder starten und erhält so eventuell immer wieder ein neues Stück Arbeitsspeicher (siehe Kommentar von Florian Diesch). Bruce Schneier hat mit seinen Worten vollkommen recht:

Catastrophic" is the right word. On the scale of 1 to 10, this is an 11.
https://www.schneier.com/blog/archives/2014/04/heartbleed.html

Ich hatte in meinem 30C3-Vortrag schon ein OpenSSL-Beispiel reingenommen. Das sollte zeigen, wie kompliziert es sein kann, mit der Software sicheren Code zu schreiben. Auch andere sind, über die Codequalität gestolpert. Daher sind Leute gefragt, die einen detaillierten Blick auf OpenSSL werfen und die Software verbessern. Dazu zählt auch die bessere Lesbarkeit des Codes oder gute Dokumentation.

Wenn ihr wissen wollt, ob ihr betroffen seit, schaut lokal auf die OpenSSL-Version, nutzt die Zeile openssl s_client -connect example.com:443 -tlsextdebug 2>&1| grep ‘server extension “heartbeat” (id=15)’ || echo safe oder verwendet den Testservice von Lutz Donnerhacke oder Filippo Valsorda.

Weiterlesen:

Passwort und Nutzername im Dump der Daten von Yahoo! Mail

Tor -- Vortrag und Hackday

In München treffen sich in dieser Woche Vertreter des Tor-Projektes zum Summer-Dev-Meeting. Neben den internen Besprechungen gibt es zwei interessante Veranstaltungen für die Öffentlichkeit.

  1. Vortrag »Tor and the Censorship Arms Race: Lessons Learned«
    Roger Dingledine und Jacob Appelbaum berichten über ihre Erfahrungen in der Umgehung von Zensur. Tor ist in dieser Beziehung ein sehr wichtiges und sicheres Werkzeug. Der Vortrag findet am 24. Juli 2013 ab 18 Uhr im Hörsaal 1 des LRZ statt (siehe Bild unten).
  2. Tor Hack Day
    Am Freitag findet dann ein öffentlicher Hackday statt. Ihr könnt dort verschiedene Entwickler treffen und mit denen über Tor sprechen bzw. programmieren.

 

Hochwasser-Tourismus

Heute, auf dem Weg in die Innenstadt, entschied ich mich kurzerhand nach dem aktuellen Stand des Hochwassers Ausschau zu halten. Dabei verlor ich mein eigentliches Ziel aus den Augen und tigerte mehrere Stunden entlang der Saale.

Camsdorfer Brücke In der Saale Der Startpunkt war die Camsdorfer Brücke, eines der sieben Wunder der Stadt. Das Bild links zeigt in Richtung des Wenigenjenaer Ufers. Dort, wo die Bäume stehen, befindet sich ein kleiner Weg und eine Wiese, wo Menschen grillen und chillen. Zwischen dem Baum, der aus dem Wasser ragt und dem blauen Schild sassen vor nicht allzu langer Zeit mit dem Bürgermeister Jenas und sangen Lieder. Auf dem rechten Bild stehe ich auf der Treppe, die zum Ufer führt. Einige Leute schauten mich etwas merkwürdig an, als ich die Stufen hinabstieg. Sie warteten dann und hofften wohl, dass entweder ich oder meine Kamera den Weg ins Wasser finden. ;-)


Fuchsbau unter Wasser Auf dem Rückweg von der Brücke fiel mir ein, dass auf der anderen Seite eine Fuchsfamilie wohnte. Doch wie zu erwarten war, war kein Fuchs zu sehen und ihre »Wohnung« stand unter Wasser. Die Camsdorfer Brücke war die ganze Zeit sehr gut besucht. Sie ist natürlich die Verbindung zwischen der Innenstadt und Jena-Ost. Diesmal hielten viele mit Kamera an, um das Hochwasser zu fotografieren.

Ich begab mich dann weiter in Richtung Stadtrodaer Straße bzw. Paradies-Bahnhof. Dort ist ein Wehr und mich interessierte, wie hoch das Wasser dort mittlerweile steht.

Umsetzstelle an der Saale In meinem Rücken ist die Stadtrodaer Straße, also die Schnellstraße, die nach Lobeda und zur Autobahn führt. Ich stehe an einer Umtragestelle für Bootsfahrer. Ein paar Meter vor dem Wehr kann man mit dem Boot anlanden und muss es bis zu dieser Treppe tragen. Dort werden die Boote wieder ins Wasser gesetzt und die Fahrt kann weiter gehen.

Ich habe an der Stelle zwei Videos gemacht. Die zeigen recht imposant die Situation am Wehr:

Strandbar 22 Am Ernst-Abbe-Sportfeld Ich entschied mich, Richtung Stadion weiterzulaufen. Unterwegs kam ich an der Strandbar 22 vorbei. Dort waren natürlich die Schotten dicht. Die Barhocker, die sonst direkt am Ufer der Saale standen, waren überflutet.

Ein paar Meter weiter, am Ernst-Abbe-Sportfeld, wartete dann das erste echte Hindernis. Vom Sportfeld lief das Wasser in Richtung Saale und der gesamte Sportplatz stand unter Wasser. Eigentlich sollte hier ein Sportfest stattfinden. Aber das wurde schon im Vorfeld abgesagt. Tja, was tun? Sowohl Schuhe wie auch Hose waren bereits nass. Also beschloss ich, einfach durch das Wasser zu waten. Die vom Wasser umspülten Schuhe sind hier zu sehen:

Kneipp-Kur Kneipp-Kur

Bootsanlegestelle Am Ernst-Abbe-Sportfeld Mit nassen Füßen ging es dann weiter in Richtung Stadion. Ich wusste von anderen Fotos, dass das Stadion eher einer überdimensionalen Badewanne gleicht, denn ein Fußballplatz ist. Leider ist das Stadion nicht gut von außen einzusehen. So dass ich nicht sagen kann, ob bereits die Haie kreisen. :-)

Kurz hinter dem Stadion erwischte mich ein kurzer, aber heftiger Schauer. Beim Unterstellen kam ich mit ein paar Leuten ins Gespräch. Einige bereiteten sich auf die Jugendweihefeier vor. Die Festwiese war durchweicht und die Saale drückte auch dagegen. Interessanterweise nahmen es die Leute mit Humor und meinten: »Da haben wir etwas, was wir noch in zehn Jahren erzählen können«. :-)

Zwei Stellen lagen auf dem Weg und die wollte ich gern noch besuchen. Zum einen war das die Bootsanlegestelle des SV Schott. Zwei Wochen eher waren wir dort zu Besuch und unserer Kinder machten eine Schnupperstunde auf ein paar Paddelbooten. Das Bild links ist ein Vergleich der Situation von vor zwei Wochen und heute. Leider konnte ich die Bilder nicht vom selben Standpunkt aus machen. Der Baum oben und unten ist jeweils identisch. Das Bootshaus ist momentan durch Sandsäcke abgesicht. Das heißt, momentan müsste das Wasser ca. 30 cm steigen ehe größerer Schaden entsteht.

Universaale Blick zur Saale Die zweite für mich interessante Stelle war die Baustelle der Universaale. Dort wird unsere neue Schule gebaut. Die steht aber quasi sowieso schon in der Saale und ich war gespannt, wie dort die Lage ist. Das rechte Bild die Saale mit einem Wehr auf der linken Seite. Direkt hinter mir ist die Baustelle. Zu dem Zeitpunkt als ich das Foto machte, stand die Saale genau am Rand des Zauns. Ein paar Stunden später ging bis zu der Betonplatte vor schon eine Pfütze. Sollte also der Pegel weiter steigen, wird der Schulkeller wohl gewässert und der Eröffnungstermin rückt in die Ferne.

Über den Spielplatz im Paradies lief ich dann wieder zurück Richtung Paradies-Bahnhof. Dabei kam ich am Zusammenfluss von Leutra und Saale vorbei. Die Leutra ist normalerweise ein kleiner Plätscherbach, in dem oft Kinder spielen. Heute hätte ich mich als Erwachsener nicht da rein getraut. Das Wasser floss mit hoher  Geschwindigkeit gen Saale. Direkt neben dem Zusammenfluss war wieder die Strandbar. Viele Leute gingen dahin und erzählten ihre Erlebnisse. Ich machte mich auf zum Bahnhof und schute mir das Schauspiel von der anderen Seite an.

Leutra Im Laufe meiner Wanderung habe ich über 50 Bilder gemacht. Die liegen in einem Album bei Flickr. Videos sind oben schon eingearbeitet. Momentan codieren noch zwei vor sich hin. Ich verlinke die später.

Tja, ich kann mir nur wünschen, dass der Pegel nicht mehr höher steigt. Denn das würde sicher einigen Schaden nach sich ziehen. Ich drücke von hier aus die Daumen, dass das Schlimmste vorbei ist.

Kakenya Ntaiya: Ein Mädchen verlangt Bildung

Da ich vorhin über die TED-Konferenz schrieb, schiebe ich hier noch ein Video nach. Kakenya Ntaiya erzählt ihre Geschichte. Sie besuchte auf den Willen ihrer Mutter die Schule und erkannte den Wert der Bildung für sich. Heute errichtet sie Schulen und versucht ihre Idee weiterzutragen. Es ist schon erschreckend zu hören, was ihr bzw. ihrer Mutter wiederfahren ist.

tweetbackcheckcronjob