Qbi's Weblog

Benjamin machte eine Fragerunde nach 10 Büchern, die ich und andere bemerkenswert fanden. Folgende Bücher kamen mir dabei in den Sinn:

1. Angerichtet von Herman Koch
   Das gehört zu den Büchern, die mich sehr beeindruckt haben. Darin geht es um zwei Ehepaare, die sich zum Essen treffen und recht dramatische Geschichten zu besprechen haben. Das Buch endet bei der Nachspeise und ich brauchte damals einen längeren Verdauungsspaziergang. Ihr findet im Blog noch eine Einschätzung des Buches.
2. Amon: Mein Großvater hätte mich erschossen von Jennifer Teege
   Die Autorin ist die Enkelin von Amon Göth. Viele kennen den KZ-Kommandanten vermutlich aus dem Film Schindlers Liste. Teege entdeckt durch Zufall ihre Verwandtschaft zu ihm und fällt in ein tiefes Loch. Das Buch handelt davon, wie sie damit umgeht und was sie auf ihrem Weg erlebt.
3. Fourier Analysis: An Introduction (Princeton Lectures in Analysis) von Elias M. Stein und Rami Shakarchi
   Wie der Titel verrät, geht es darin um Fourier-Analysis. Das Buch selbst ist gut und verständlich geschrieben. Ich war damals der Meinung, einen Fehler in einem Beweis gefunden zu haben. Ich wandte mich an die beiden Autoren, beides hochrangige Mathematik-Professoren und war beeindruckt, dass sie mir freundlich antworteten und den Fehler bestätigten.
4. This machine kills secrets von Andy Greenberg
   Das Buch erzählt in sehr detaillierter und gut recherchierter Weise die Geschichte verschiedener Whistleblower. Ich habe damals einen längeren Blogartikel zu dem Buch geschrieben. Leider habe ich das verborgt und ich weiß nicht mehr an wen. Seit längerem überlege ich, das nochmal zu kaufen.
5. Das kompetente Kind von Jesper Juul
   Als ich wusste, dass wir Eltern werden, machte ich das, was viele Neu-Eltern machen: Ratgeber lesen. Das Buch von Jesper Juul zeigte mir damals eine ganz andere Sicht auf die Kindererziehung auf und tat das in nachvollziehbarer Weise. Das hat sicher meinen Erziehungsstil sehr geprägt.
6. Cryptonomicon von Neal Stephenson
   Neal Stephensons Bücher sind alle empfehlenswert. Nach meiner Erinnerung war das Cryptonomicon eines der ersten, die ich las. Darin geht es um zwei Helden, die in zwei Zeiten leben. Wie auch in anderen Stephenson-Büchern spielen sich beide Handlungsstränge parallel ab. Erst gegen Ende wird klar, wie die zusammenfließen. Die Bücher von ihm sind immer bis zum Ende spannend.
7. Das Kollegenschwein von Hans L. Herder
   Vermutlich lässt sich das Buch am besten verstehen, wenn man, wie ich, mal in einer Bank gearbeitet hat. Denn darin geht es um die Intrigen innerhalb einer Bank. Ich fand das damals sehr witzig und spannend beschrieben.
8. Daemon und Darknet von Daniel Suarez
   Beide Bücher gehören zusammen und sollten nicht einzeln gelesen werden. Suarez beschreibt darin, wie die Welt nach dem Tod eines Spieleprogrammierers von einem Computerprogramm übernommen wird. Im zweiten Teil wird dann klar, dass der Daemon vielleicht die Rettung sein kann. Das Buch regt auch stark zum Nachdenken über die Welt an.
   
9. The art of computer programming von Donald E. Knuth
   Das Buch ist so ein Standardwerk aus der Informatik, dass noch nicht zu Ende geschrieben ist. Gleichzeitig finde ich das Buch zeitlos. Ich nutze das zumeist als Nachschlagewerk und finde darin immer wieder großartige Ideen.
10. Manufacturing Consent: The Political Economy of the Mass Media
    Chomsky analysiert Geschichten der Medien und zeigt, dass viele davon interessengeleitet sind. Ein aktuelleres Beispiel ist Weiße finden, Schwarze klauen. Chomsky fand Presseberichte über Wahlen. Je nach Land war die legitim oder undemokratisch, obwohl die Wahlen unter ähnlichen Bedingungen stattfanden. Das Buch ist ein Augenöffner, was Presseberichte betrifft und kann gut auf heutigen Pressemeldungen angewendet werden.

Leider durfte ich nur zehn Bücher erwähnen. Beim Nachdenken fielen mir noch einige ein, die mich beeindruckten. Wenn der nächste fragt, nehme ich vielleicht zehn andere.

Die 5. Wahlperiode des Thüringer Landtages neigt sich dem Ende zu. Einer der letzten Beschlüsse ist die Drucksache 5/7583 mit dem Titel Verschlüsselte Kommunikation ermöglichen und befördern. In der Endfassung enthält der Beschluss die Bitte an die Landesregierung:

1. zukünftig Wege zu ermöglichen, welche die Vertraulichkeit des Inhalts elektronischer Kommunikation mit öffentlichen Stellen des Landes und der Nutzung ihrer elektronischen lnformationsdienste sowie des Inhalts elektronischer Kommunikation zwischen öffentlichen Stellen des Landes durch Angebote einer sicheren End-to-End-Verschlüsselung (Kryptografie) eröffnen,
2. die Bürger des Freistaats Thüringen in geeigneter Weise über die Möglichkeiten der Verschlüsselung elektronischer Kommunikation, insbesondere auf den Web-Seiten der Landesregierung, zu informieren.

Der Versuch

Darin steckt der Wunsch, TLS für Webseiten und Ende-zu-Ende-Verschlüsselung vielleicht mit OpenPGP zu machen.

Ich entschied mich, denselben Weg wie Anna Biselli zu gehen. Sie versuchte, verschlüsselt mit einem Abgeordneten zu kommunizieren. Ich besuchte die Webseiten der Fraktionen im Landtag und die der Abgeordneten. Dabei wollte ich jede Seite mit https öffnen und suchte nach einer Möglichkeit für verschlüsselte E-Mail-Kommunikation. Konnte ich beides nicht finden, so schrieb ich die Abgeordneten an. Was kam dabei heraus?

Fraktionen

Die CDU-Fraktion im Landtag bietet keinerlei Unterstützung für SSL/TLS an und es gibt auch keine Möglichkeit zur verschlüsselten E-Mail-Kommunikation.

Die Webseite der SPD-Fraktion begrüßt mich mit der Meldung SSL peer has no certificate for the requested DNS name. Eine verschlüsselte Verbindung zu der Seite ist damit nicht möglich und ich fand auch keinen OpenPGP-Schlüssel auf der Seite.

Die Webseite der FDP-Fraktion scheitert zunächst an den Einstellungen in meinem Browser und sagt Peer attempted old style (potentially vulnerable) handshake. Wenn ich die Einstellungen lockere, so präsentiert die Seite ein Zertifikat, was für die Domain web6.online-now.de ausgestellt ist. Wenn ich dann auch noch dieses akzeptiere, so erhalte ich von der resultierenden Seite die Meldung Die Domain “www.thl-fdp.de” ist nicht über https verfügbar. Die Unterstützung von OpenPGP ist wie bei den anderen Parteien.

Die Webseite der Fraktion der Grünen hat ein Zertifikat, welches seit Ende 2013 abgelaufen ist. Ich hatte den Fakt im Juli 2014 gemeldet. Zum Zeitpunkt des Blogeintrages hat sich an dem ungültigen Zertifikat nichts geändert. Wird dies akzeptiert, so werden die Inhalte der Webseite angezeigt. OpenPGP sucht man jedoch vergeblich.

Einzig die Fraktion der LINKEn unterstützt SSL/TLS vom Start weg und die Servereinstellungen sind sehr gut. Hier wäre nur zu wünschen, dass die Webseite alle Anfragen standardmäßig auf die verschlüsselte Seite umleitet. Die positiven Nachrichten reißen aber noch nicht ab. Denn die Kontaktseite bietet einen OpenPGP-Schlüssel zum Download an und weist den Fingerprint aus. Damit ist die LINKE eindeutig der Spitzenreiter, was verschlüsselte Kommunikation betrifft.

Abgeordnete

Von den knapp 90 Abgeordneten im Landtag gibt es nur zwei, die einen OpenPGP-Schlüssel anbieten:

• Dirk Adams (Grüne)
• Katharina König (LINKE)

Beider Webseiten sind auch per HTTPS zu erreichen. Jedoch verwendet die Seite von Dirk Adams ein falsches Zertifikat und die Seite von Katharina König bzw. der Provider blockieren Verbindungen über Tor. Falls ihr also die Seite mit Tor ansurft, kann es sein, dass sich diese nicht öffnet.

Uwe Barth (FDP) nutzt ein Wordpress-Blog als Webseite. Damit kann die Seite auch per HTTPS besucht werden. Die SPD-Abgeordneten David-Christian Eckardt, Uwe Höhn, Birgit Pelke und Claudia Scheerschmidt nutzen das Angebot von Sozinet. Das bietet ebenfalls HTTPS an.

Bei allen anderen Abgeordneten fand ich keine funktionierende Möglichkeit, per HTTPS auf die Seite zuzugreifen. Ebenfalls konnte ich keine Nennung von E-Mail-Verschlüsselung finden. Also schrieb ich E-Mails und fragte nach.

Die Abgeordneten der FDP haben das Wahlkampfmotto Wir sind dann mal weg wohl zu ernst genommen. Denn ich erhielt von keinem der angeschriebenen Abgeordneten eine Antwort.

Die CDU schien sich intern auf eine Antwort geeinigt zu haben. Alle Antworten hatten nahezu denselben Wortlaut und verwiesen darauf, dass der Beschluss eine Aufforderung an die Regierung enthält. Erst wenn diese eine Entscheidung getroffen hat, so werden die Abgeordneten diese umsetzen. Aus den Antworten wurde klar, dass vorher nichts zu erwarten ist.

Von der SPD antworteten einige wenige Abgeordnete. Allerdings treten diese nicht mehr zur Wahl an oder sind unsicher, ob sie wiedergewählt werden. Daher hatte das Thema keine Priorität.

Von den grünen Abgeordneten erhielt ich zwei Antworten. In einem Fall ist eine neue Webseite in Arbeit. Die neue Seite soll dann auch Verschlüsselung unterstützen. Im anderen Fall war die Meinung, dass Verschlüsselung nicht notwendig ist, da alle auf der Seite angebotenen Daten öffentlich sind.

Bei der Linken konnte ich einen interessanten Effekt beobachten. Anfangs erhielt ich von den Abgeordneten individuelle Antworten. Ab einem Zeitpunkt kamen eine Art Standardantworten mit ähnlichem Wortlaut. Ich vermute, dass sie sich intern auf eine Sprachregelung geeinigt haben. Bei den individuellen Antworten gab es Abgeordnete, die klar schrieben, dass sie sich mit dem Thema bisher noch nicht auseinandergesetzt haben und noch nicht wissen, wie sie damit umgehen. In einem Fall erhielt ich eine verschlüsselte E-Mail mit Schlüssel und hätte künftig verschlüsselt kommunizieren können.

Insgesamt gibt es bei den Abgeordneten noch viel zu tun. Natürlich verwiesen viele auf die bevorstehenden Sommerferien und Wahlen. Daher werde ich die Wahlen abwarten und später nochmal bei den Abgeordneten nachfragen. Vielleicht wird Thüringen der Verschlüsselungs-Standort Nr.1.

Der Titel des Buches klingt spektakulär: »Die Maschine, die Geheimnisse vernichtet«. Der Journalist Andy Greenberg berichtet im gleichnamigen Buch von dieser Maschine und hat an vielen Stellen spektakuläres zu berichten. Greenberg kam durch die Gitarre von Woody Guthrie auf den Titel. Die Gitarre trug den Aufkleber: »This machine kills fascists« (siehe Bild).

Die Maschine, die Geheimnisse vernichtet, beginnt mit den Pentagon-Papers ihr Werk. Daniel Ellsberg veröffentlichte die geheimen Dokumente damals mit Hilfe der NY Times. Julian Assange und neuere Entwicklungen sind noch lange nicht das Ende der Maschine. Vielmehr wird sie wohl lange weiterleben. Das Buch zeichnet den Weg der Maschine nach.

Im Prolog wird ein Treffen mit Julian Assange beschrieben. Julian kündigt dort die MegaLeaks an und verspricht einen Leak über eine US-Bank. Der erste Teil startet mit einer Gegenüberstellung von Ellsberg und Bradley Manning. Greenberg vergleicht im Kapitel »The Whistleblowers« ihre Herkunft und ihr Vorgehen. Ellsberg hatte seinerzeit die Berechtigung sehr geheime Dokumente zu lesen. Ein Privileg, was nur wenige mit ihm teilten. Manning auf der anderen Seite war einer von 2,5 Millionen Amerikanern, die aufgrund lascher Voreinstellungen auf viele geheime Dokumente Zugriff hatten. Beide waren der Meinung, dass »ihre« Dokumente an die Öffentlickeit müssen. Ellsberg war sich sicher, dass er für die Veröffentlichung der Pentagon-Papiere für den Rest seines Lebens im Gefängnis landen würde. Manning, auf der anderen Seite, schien Hoffnung zu hegen, dass er unerkannt davon kommt. Zumindest arbeitet Greenberg diesen Punkt im Buch heraus. Die realen Entwicklungen waren jedoch genau gegenteilig. Ellsberg wurde nicht bestraft und Manning wird aller Voraussicht nach lange Zeit im Gefängnis bleiben.

Das erste Kapitel ist sehr schön geschrieben. Man merkt hier schon, wie gut Greenberg seine Geschichte recherchiert hat. Mit der Gegenüberstellung der beiden Protagonisten gelingt ihm ein schöner Spannungsaufbau.

Die folgenden drei Kapitel widmen sich der »Evolution of Leaking«. Greenberg erzählt die Geschichte der Cypherpunks detailliert nach. Den Startpunkt bilden dabei die Lebensläufe von Tim May und Phil Zimmerman, der Erfinder von PGP. Mit Geschichten zu Julian Assange und John Young, dem Gründer von Cryptome geht es weiter. Schließlich spielen die Diskussionen auf der Mailingliste und der Artikel »Assassination Politics« von Jim Bell eine Rolle. Der Keynote-Sprecher des 29C3, Jacob Appelbaum, mit dem Tor-Projekt bilden den Abschluss.

Der dritte Teil hat die Zukunft (»The Future of Leaking«) zum Gegenstand. Dort geht es um »Plumbers«, »Globalizers« und »Engineers«. Das Kapitel beginnt mit Peiter Zatko. Mudge, wie er sich nannte, war einer der Köpfe der Hacker-Gruppe Cult of the Dead Cow und hatte engere Kontakte zu Assange. Mittlerweile arbeitet er bei der DARPA und soll Gegentaktikten zum Leaking entwickeln. Das langfristige Ziel des Projektes ist, Leaking komplett zu unterbinden. Greenberg beschreibt im Kapitel HBGary und den Anonymous-Hack sehr lebendig. Der Autor nutzt IRC-Logs und persönliche Gespräche und kann dadurch eine sehr detaillierte Sicht auf die Dinge bieten. Die Isländische Initiative zu modernen Medien (IMMI) und BalkanLeaks sind die Vorboten der Zukunft. Schließlich traf Greenberg zufällig den Architekten. Derjenige, der nur unter dem Namen »Der Architekt« agiert, war für die sichere Neugestaltung von WikiLeaks zuständig und arbeitet jetzt bei OpenLeaks. Greenberg traf ihn zufälligerweise beim Chaos Communication Camp.

Am Ende des Buches steht ein kurzer Abschnitt zur »Machine«. Greenberg macht klar, dass heute jeder zum Leaker werden kann. Mobiltelefone und andere elektronische Gegenstände erlauben es, Reportagen von Ereignissen anzufertigen oder eine Vielzahl elektronischer Dokumente zu kopieren. GlobaLeaks wird kurz beleuchtet. Das Projekt baut an einer Lösung für eine Leakingplattform mit Freier Software. Greenberg schließt mit den Worten:

We don’t yet know the names of the architects who will build the next upgrade to the secret-killing machine. But we’ll know them by their work.

Ich habe es sehr genossen, das Buch zu lesen. Zum einen hat Greenberg einen schönen, lebendigen Schreibstil. Obwohl ich viele Aspekte der Geschichten kannte, hatte das Buch einiges Neues zu bieten. Faktisch auf jeder Seite ist die gute Recherchearbeit des Autors zu spüren. Es war spannend für mich den Handlungssträngen zu folgen. »This machine kills secrets« war eines der Bücher, was ich nur schwer aus der Hand legen konnte und am liebsten am Stück durchgelesen hätte. Leseempfehlung!

Wer von euch einen Verlag kennt, der das Buch ins Deutsche übersetzen will, kann sich gern an mich oder an Andy Greenberg wenden.

Andy Greenberg ist ein Reporter des Forbes Magazine. Er kümmert sich dort viel um die Hackszene und schrieb das Buch »This machine kills secrets«. Das ist sehr gut recherchiert und startet bei Daniel Ellsberg und den Pentagon-Papers. Es arbeitet sich dann über die Cypherpunks und WikiLeaks bis zu den aktuellesten Entwicklungen weiter. Ich fand das sehr gut geschrieben und werde später noch eine tiefergehende Rezension schreiben.

Ben Mezrich wohl bekanntestes Buch Bringing Down the House: The Inside Story of Six MIT Students Who Took Vegas for Millions erzählt die Geschichte von MIT-Studenten, die recht erfolgreich beim BlackJack waren. Mezrich schrieb in der Zwischenzeit noch weitere Bücher, unter anderem eines über Mark Zuckerberg.

Beide werden von Pharrell Williams interviewt:

Im März 2012 besuchte ich den Thüringer Landesdatenschutzbeauftragten. Er war damals gerade neu ins Amt gekommen und so wollte ich die Gelegenheit nutzen, ihn kennenzulernen und ihn zu seinen Aufgaben zu befragen. Das Interview wurde im Rahmen der vierten Datenkanalsendung ausgestrahlt.

Kurz vor dem Interview war ich auf der Leitstelle der Jenaer Feuerwehr. Dort fiel mir eine Videokamera auf. Ich vermutete eine Mobotix Dual Night M12D. Da die Kamera neben Bild- auch Tonaufnahmen anfertigen kann, beschloss ich den Datenschutzbeauftragten dazu zu befragen. Mittlerweile liegt mir eine Antwort vor.

Die Datenschützer holten einige Informationen bei der Stadtverwaltung Jena ein. Unter anderem erhielten sie Screenshots vom Aufnahmebild. Entgegen meiner Vermutung nimmt die Kamera nicht den angrenzenden Fußgängerweg auf. Die Aufnahme beschränkt sich auf das Betriebsgelände der Feuerwehr. Damit gibt es diesbezüglich nichts zu beanstanden. Allerdings ist das Mikrofon bedenklich. Hier versuchen die Datenschützer zusammen mit der Stadt Jena eine Lösung zu erarbeiten. Sobald ich mehr weiß, gebe ich Bescheid. Mittlerweile bin ich zwei Verstößen gegen den Datenschutz in Thüringen auf der Spur. Ich hoffe, auch dazu bald mehr berichten zu können.

In der Zwischenzeit empfiehlt es sich, die anderen Sendungen des Datenkanals anzuhören.

Der Verlag Open Source Press twitterte soeben: »Neuauflage mit #JonDo-Live-CD für anonymes surfen, mailen, chatten! “Anonym im Netz” (J.Kubieziel) jetzt lieferbar.« Damit ist nun die dritte Auflage meines Buches »Anonym im Netz« draußen. Ich habe die Inhalte wieder aufpoliert, die Struktur einiger Kapitel angepasst. Aber die größte Neuerung ist eine beigelegte CD. Die JonDo Live-CD hat alle wichtigen Anonymisierungsdienste vorinstalliert. Der Leser legt die einfach in das CD-Fach und kann sofort ausprobieren. Ich hoffe, das Buch findet wieder großen Anklang. Solltet ihr Fehler finden, schreibt mir eine E-Mail oder hinterlasst hier einen Kommentar. Die Fehler werden dann in der folgenden Ausgabe ausgebessert.

Da die Rezension etwas länger wurde, gibt es in der Artikelübersicht eine Zusammenfassung und in der erweiterten Ansicht alle Details.

Ich wurde kürzlich auf das Buch „Web-Sicherheit – Wie Sie Ihre Webanwendungen sicher vor Angriffen schützen“ von Sebastian Kübeck aufmerksam. Das Thema Web-Sicherheit spielt im Rahmen meiner Vorlesung zu IT-Sicherheit eine Rolle und daher war ich sehr daran interessiert, das Buch kennen zu lernen.

Der Aufbau des Buches gefiel mir sehr gut. Der Leser kann sich zuerst theoretisches Wissen erarbeiten, steigt dann in praktische Aspekte ein und lernt schließlich, wie er die Probleme umgeht.

Beim Lesen fiel mir dann auf, dass einige Teile meinen Erwartungen nicht gerecht werden. So wäre es bei einem Buch über Webanwendungen wünschenswert, dass es zumindest stichpunktartig auf die Techniken des Internet und des Web eingeht. Dieser Teil fehlt hier fast vollständig. Auch werden relevante Aspekte wie beispielsweise SSL zu kurz behandelt. Demgegenüber halte ich die Erwähnung des BTX-Hacks und anderer im Rahmen des Buches vernachlässigenswert.

Im ersten und zweiten Teil des Buches findet sich ein ausführliches Literaturverzeichnis. Das sollte dem Leser helfen, tiefer in die Thematik einzusteigen. Es wäre besser, dass die Zitierschlüssel geändert werden und mehr auf Fachliteratur statt auf Zeitschriftenartikel verwiesen wird.

Ich kann mich schlecht mit Java als Sprache für das Buch anfreunden. Aus verschiedenen Aspekten halte ich diese für weniger gut geeignet und Sprachen wie PHP, Python oder Ruby wären für mich eine bessere Wahl gewesen.

Im Buch selbst ist nach meiner Meinung zu viel Quellcode zu finden. Mindestens ein Fünftel besteht aus abgedrucktem Quellcode. Dabei ist zu viel Irrelevantes mit gedruckt. Für die Beispiele im Buch reichen oft wenige Zeilen. Code über viele Seiten finde ich zu unübersichtlich. Insbesondere auf Grund der Tatsache, dass sich der Autor auch die Arbeit gemacht hat und eine Demoanwendung mitliefert. Hier wäre es empfehlenswert, einfach die zur Erklärung des Beispiels relevanten Zeilen zu drucken und dann auf die betreffende Datei in der Demoanwendung zu verweisen.

Insgesamt bietet das Buch Licht und Schatten. Es hat viele gute Ansätze, die aber noch ausgearbeitet werden sollten. Wenn der Autor dies in einer nächsten Auflage schafft, so ist das Buch dann zu empfehlen. Derzeit bin ich unsicher, ob das Buch dem Publikum wirklich den erhofften Mehrwert bringt.

Continue reading "Rezension des Buches „Web-Sicherheit“ von Sebastian Kübeck"