Skip to content

Protokoll der mündlichen Anhörung zur VDS beim europäischen Gerichtshof

Bastien Le Querrec von La Quadrature du Net fertigte ein Protokoll der mündlichen Anhörung vor dem europäischen Gerichtshof an. Die klagenden Verbände sowie die Beklagten bekamen Zeit Stellung zu nehmen und Fragen der Richterinnen und Richter zu beantworten. Das Originaldokument gibt es nur in französisch. Ich habe es daher mit Hilfe von DeepL, Google Translate und von Chloé Berthélémy ins Deutsche übersetzt. An einigen Stellen ist die Übersetzung noch etwas holprig. Solltet ihr Verbesserungen haben, hinterlasst bitte einen Kommentar oder schickt mit eine E-Mail.

Im erweiterten Eintrag unten findet ihr den gesamten Text des Protokolls. Alternativ könnt ihr diesen auch als PDF-Datei herunterladen.

Continue reading "Protokoll der mündlichen Anhörung zur VDS beim europäischen Gerichtshof"

Schreibt eure Provider wegen der Vorratsdatenspeicherung an!

Seit nun mehr als zehn Jahren wird um die Vorratsdatenspeicherung gerungen. Verordnungen und Gesetze wurden verabschiedet, Klagen dagegen bestritten und gewonnen. Es gab unzählige Demonstrationen und Aktionen gegen diese Form der Überwachung. Am 1. Juli 2017 soll es nun soweit sein, dass wieder ein Gesetz zur Vorratsdatenspeicherung eingeführt und umgesetzt wird. Auch hier gibt es einige laufende Verfassungsbeschwerden. Digitalcourage plant am 29. Juni 2017 Proteste gegen das Gesetz. Die SpaceNet AG klagte gegen das Gesetz und nun beschloss das Oberverwaltungsgericht des Landes Nordrhein-Westfalen, dass das Gesetz gegen europäisches Recht verstösst. Diese Entscheidung betrifft nur die SpaceNet AG. Andere Provider müssen entsprechend nachziehen. Um an der Stelle etwas Druck aufzubauen, will ich verschiedene Provider anschreiben und diese auffordern oder bitten, es der SpaceNet gleich zu tun. Unten findet ihr mein Musterschreiben. Ihr könnt es gern verwenden oder verbessern.

Sehr geehrte Damen und Herren,

das Oberverwaltungsgericht des Landes Nordrhein-Westfalen (OVG) hat mit Beschluss 13 B 238/17 vom 22. Juni 2017 entschieden, dass die zum 1. Juli 2017 umzusetzende Vorratsdatenspeicherung (VDS) gegen europäisches Recht verstößt. Damit wurde die Klägerin von der Speicherpflicht entbunden. Ich möchte Sie hiermit bitten, sich ebenso für die Grundrechte Ihrer Kundinnen und Kunden einzusetzen und eine ähnliche Entscheidung für Ihr Unternehmen zu erwirken.

Das Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten (VerkDSpG) verpflichtet Internetserviceprovider (ISP) spätestens ab dem 1. Juli 2017 anlasslos eine Reihe von Verkehrsdaten zu speichern. Diesem Gesetz geht die Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten und die deutsche Umsetzung im Gesetz zur Neuregelung der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen sowie zur Umsetzung der Richtlinie 2006/24/EG zuvor. Das Bundesverfassungsgericht erklärte diese Regelungen in dem Urteil 1 BvR 256/08 vom 2. März 2010 für verfassungswidrig und damit nichtig. Am 8. April 2014 hob dann der europäische Gerichtshof (C-293/12, C-594/12) die Richtlinie auf, da diese gegen verschiedene Rechte aus der europäischen Grundrechtscharta verstößt.

Der deutsche Provider SpaceNet AG klagte nun gegen das im Dezember wieder eingeführte Gesetz und bekam am 22. Juni 2017 vor dem OVG NRW Recht. Das Gericht beschloss, dass die Vorratsdatenspeicherung gegen europäisches Recht verstößt. Die SpaceNet AG muss damit die VDS nicht umsetzen.

Das Urteil betrifft allerdings nur einen Provider. Ohne eine ähnlich gelagerte Entscheidung müssen andere ISP die VDS umsetzen. Daher möchte ich Sie bitten, sich für die Grundrechte Ihrer Kundinnen und Kunden einzusetzen und ein ähnlich gelagertes Urteil zu erwirken. Ich bitte Sie, mir mitzuteilen, ob Sie für Ihr Unternehmen derartige Schritte planen oder ob Sie ggf. anderweitig gegen die VDS vorgehen wollen.

Ich danke Ihnen vorab für Ihre Bemühungen und verbleibe

mit freundlichen Grüßen

Hoffen wir, dass sich möglichst viele Provider gegen die VDS stark machen und das Gesetz endlich gekippt wird!

Update: Golem berichtet, dass Vodafone keinen Eilantrag stellen will und Telefónica/O2 die Sachlage prüft.

TLS-Bingo -- Wer bietet mehr?

Ich hatte heute den verwegenen Plan und wollte die Webseite des sächsischen Landtages per HTTPS aufrufen. Der Browser stoppte mich und zeigte eine schöne Fehlermeldung:

Edas
Fehlermeldung zum Zertifikat von edas.landtag.sachsen.de

Also dem Zertifikat traut der Browser nicht. Außerdem fehlen dem weitere Bestandteile. Das Zertifikat ist eigentlich für eine andere Domain und schon längst abgelaufen.

Hier frage ich mich, ob jemand schon mal eine Liste von Zertifikatsfehlern gesehen hat, die länger ist, als die obige. :-)

Kryptografie mit Barbie

Das wunderbare Projekt »Chaos macht Schule« des CCC versucht, Medienkompetenz und Technikverständnis von Kindern und Jugendlichen zu fördern. Verschlüsselung gehört mit in diesen Bereich und Bruce Schneier wies kürzlich auf ein Gerät hin, das in jedes Kinderzimmer gehört. ;-)

Von Mattel gibt es eine Schreibmaschine für Kinder, die eine einfache Verschlüsselung beherrscht. Das Modell E-118 wird von der slowenischen Firma Mehano hergestellt. Mittels der Tastenkombination Shift-Lock und 1, 2, 3 oder 4 wird die Verschlüsselung aktiviert. Die Nachricht kann dann über die Tastatur eingegeben werden und die Maschine druckt den Geheimtext aus. Die Schreibmaschine führt dabei eine einfache Ersetzung (Substitution) aus. Aber für einen Einstieg in die Welt der geheimen Kommunikation ist das sicher sehr gut.

Kryptografie auf einem Schwert

Was hat der Text NDXOXCHWDRGHDXORVI zu bedeuten? Diese Frage stellt das British Museum sich und der Allgemeinheit.

Ein etwa 700 Jahre altes Schwert wird derzeit ausgestellt. Auf der Klinge findet sich die obige Inschrift. Laut der Webseite des Museums vermutet man, dass es die Initialen einer religiösen Handlung darstellt. So steht die Abkürzung ND für Nostrum Dominus (unser Herr) und das X könnte für Christus stehen.

Das Museum ist an weiteren Deutungen sehr interessiert. Wenn ihr etwas wisst oder ahnt, wendet euch an das Museum.

via Ancient Origins: Medieval Sword contains Cryptic Code. British Library appeals for help to crack it.

Wie funktioniert eigentlich Heartbleed

Lest ihr regelmäßig Bugreports oder Meldungen über Schwachstellen bei SSL/TLS? Wie fühlt ihr euch so? Zur Erinnerung:

SSL added and removed here!
Ausschnitt aus einer Folie aus dem MUSCULAR-Programm der NSA

Das heißt, drei Monate in Folge gab es schwere Sicherheitslücken in Software zur Verschlüsselung. Ganz unwillkürlich fühlt man sich an die Folien aus dem NSA-Programm MUSCULAR erinnert.

Die letztgenannte Schwachstelle ist vermutlich die bislang schwerste. Denn damit ist es möglich, den Arbeitsspeicher eines Computers auszulesen. Dies funktioniert sowohl auf der Seite des Servers wie auch beim Clientprogramm. Dazu ist es notwendig, dass das Programm OpenSSL verwendet und eine Erweiterung von SSL namens Heartbeat aktiviert hat. Dies ist beispielsweise bei Android in der Version 4.1.1 der Fall. Mozilla Firefox hingegen nutzt die NSS-Bibliothek und ist nicht betroffen. Die Webserver nutzen hingegen recht oft die OpenSSL-Bibliothek und sind damit betroffen, falls die Version 1.0.1 bis 1.0.1f von OpenSSL verwendet wird. Sollte jemand von euch die Software nutzen, so upgraded auf mindestens 1.0.1g oder deaktiviert Heartbeat in OpenSSL. Gerade letzteres kann man aus meiner Sicht problemlos tun. Denn bisher fand ich keinen sinnvollen Anwendungsfall für Heartbeat.

Doch wie funktioniert diese Lücke eigentlich? Heartbeat (RFC 6520) ist eine Erweiterung für TLS. Ein Teilnehmer einer Verbindung sendet beliebige Daten an den Empfänger. Dieser antwortet mit einer Kopie dieser Daten und zeigt somit, dass die Verbindung noch steht und alles in Ordnung ist. Das Problem dabei ist, dass in einer Anfrage zwei Längenfelder vorhanden sind. Ein Angreifer sendet einfach ein Byte Daten und behauptet, er hätte 64 kB gesendet. OpenSSL liest nun die 64 kB aus dem eigenen Puffer und sendet die Daten zurück an den Angreifer. Der Angreifer kann den Angriff immer und immer wieder starten und erhält so eventuell immer wieder ein neues Stück Arbeitsspeicher (siehe Kommentar von Florian Diesch). Bruce Schneier hat mit seinen Worten vollkommen recht:

Catastrophic" is the right word. On the scale of 1 to 10, this is an 11.
https://www.schneier.com/blog/archives/2014/04/heartbleed.html

Ich hatte in meinem 30C3-Vortrag schon ein OpenSSL-Beispiel reingenommen. Das sollte zeigen, wie kompliziert es sein kann, mit der Software sicheren Code zu schreiben. Auch andere sind, über die Codequalität gestolpert. Daher sind Leute gefragt, die einen detaillierten Blick auf OpenSSL werfen und die Software verbessern. Dazu zählt auch die bessere Lesbarkeit des Codes oder gute Dokumentation.

Wenn ihr wissen wollt, ob ihr betroffen seit, schaut lokal auf die OpenSSL-Version, nutzt die Zeile openssl s_client -connect example.com:443 -tlsextdebug 2>&1| grep ‘server extension “heartbeat” (id=15)’ || echo safe oder verwendet den Testservice von Lutz Donnerhacke oder Filippo Valsorda.

Weiterlesen:

Passwort und Nutzername im Dump der Daten von Yahoo! Mail

Cypherpunks reloaded

Mehr als zwanzig Jahre ist es nun her, als sich eine Gruppe von Leuten auf einer Mailingliste »traf«. Die Cypherpunks diskutierten in den folgenden Jahren Kryptografie, Anonymität und andere Techniken zum Schutz der Privatsphäre. Letztlich ist über verschiedene Ecken auch Bitcoin ein Produkt der Cypherpunks-Zeit. Allerdings diskutierten die Teilnehmer nicht nur, sondern viel wichtiger, sie programmierten. Ein Spruch aus den Zeiten lautet: »Cypherpunks write code.«

Nun fand ich eine E-Mail in meiner Inbox, die das erneute Aufleben der Mailingliste ankündigte. Und prompt trudelten hier einige E-Mails ein. Wer also an den Themen Kryptografie, Politik und Privatsphäre interessiert ist, kann sich dort eintragen. Allerdings kamen früher recht viele E-Mails über die Liste und auch in den letzten Tagen erhielt ich recht viele Nachrichten. Ihr solltet also mit eurem E-Mail-Client gut filtern. :-)

Ich bin gespannt, ob die Liste neuen Drive gewinnt. Immerhin habe ich durch die Diskussion der letzten Tage ein paar Zufallszahlenerzeuger für den Rechner kennengelernt und habe nun was zum Testen.

tweetbackcheckcronjob