Skip to content

Wir hätten da gern eine Backdoor in Ihrem Kryptosystem

Schönen guten Tag, die von Ihnen entwickelte Verschlüsselung ist zu sicher. Bauen Sie bitte eine Hintertür ein. Sie bekommen von uns steuerfrei n Millionen US-Dollar. Solche Gespräche kennt man üblicherweise aus diversen Agentthrillern. Der Chef der tschechischen Firma CircleTech hat das nun am eigenen Leib erlebt.

Die Firma stellt Verschlüsselungslösungen her. Im Jahr 2006 meldeten Heise, Golem und andere, dass die Firma mit SMS007 eine Java-Anwendung hat. Diese verschlüsselt Kurznachrichten. Die Webseite der Firma listet weitere Produkte.

Nun bekam CircleNet Besuch vom Bezpe?nostní informa?ní služba oder kurz BIS. Das ist der Inlandsgeheimdienst von Tschechien. Die Geheimdienstleute wollten eine Hintertür im Programm haben. Damit soll der BIS dann alle Nachrichten entschlüsseln können. Einer der Firmengründer zeichnete das Gespräch auf und dort ist unter anderem zu hören, dass der Firma steuerfreie Einnahmen versprochen wurden. Nachdem sie nicht darauf einging, gab es weitere Erpressungsversuche.

Der Prague Monitor meldet, dass der Vorfall vom BIS untersucht wird. Angeblich liegen derartige Deals außerhalb der Kompetenzen des Dienstes.

Es wäre gut, wenn ich tschechisch könnte. Denn die meisten Nachrichten zu CircleTech sind in der Landessprache und die automatischen Übersetzer sind nicht ausgereift. Falls also jemand weitere Details zu dem Vorfall kennt, die Kommentare sind offen. ;-)

Suchmaschine mit eingebautem Tor-Server

Risiken von Suchanfragen sind in der Vergangenheit vielfältig diskutiert worden. Die Freigabe der Suchanfragen durch AOL hat vielen Menschen gezeigt, wie schnell sie durch ihre Suchanfragen identifizierbar sind. Doch was kann man dagegen tun?

Die Wahl der richtigen Suchmaschine ist ein probates Mittel. Auf der einen Seite gibt es welche, die am liebsten jeden Nutzer identifizieren möchten. Sei es durch Logins, lebenslange Cookies oder andere invasive Techniken. Auf der anderen Seite gibt es Anbieter, die eben keine Cookies setzen oder sie schnell löschen. Manche bieten verschlüsselte Suchanfragen an. Ganz neu ist nun das Angebot, einen Tor-Server zu betreiben.

Logo der Suchmaschine

Duckduckgo (DDG) ist ein Anbieter mit einigen vielversprechenden Ansätzen. Unter anderem machen sich die Betreiber Gedanken zum Schutz der Privatsphäre ihrer Nutzer:

Keine Speicherung von IP-Adresse und Browserversion
Üblicherweise speichert fast jeder Anbieter die IP-Adresse und andere Daten der Besucher. DDG hat sich entschlossen, weder IP-Adresse noch die Identifikation des Browsers zu speichern.
Keine Cookie
Standardmäßig verwendet die Seite keine Cookies. Erst wenn jemand seine Einstellungen anpasst, wird ein Cookie gespeichert. Allerdings ist es auch möglich, die Einstellungen als Parameter in der URL zu übergeben. Dann entfällt die Speicherung eines Cookies.
Verschlüsselung
Seit langem gibt es eine verschlüsselte Seite für Suchanfragen.
Keine Referer
Wer auf das Suchergebnis bei den Suchmaschinen klickt, überträgt ungewollt Informationen über seine Suchanfrage mittels des so genannten Referer. Das ist nicht immer gewollt. DDG ist so eingestellt, dass diese Daten nicht mehr an die Ergebnisseite übertragen werden
Seiten über Proxy besuchen
DDG bietet eine so genannte Bang-Syntax. Mit einem Ausrufezeichen und einem Befehl kann die Suche eingeschränkt oder Zusatzfunktionen aufgerufen werden. Die Eingabe von !proxy kubieziel.de führt direkt zu einem Aufruf meiner Webseite. Ihr solltet dabei jedoch aufpassen. Denn bestimmte Elemente der Webseite (Bilder, CSS) werden über eure normale Internetverbindung geladen. Damit verschwindet der Effekt des Proxys.

Seit heute bietet Duckduckgo ein spezielles Feature, einen Tor-Server. Der Entwickler schrieb in seinem Blog, dass er sich entschieden hat, einen Server aufzusetzen. Dieser leitet Verkehr innerhalb des Tor-Netzwerks weiter und stellt für DDG einen Endpunkt dar. Das heißt, wenn ihr bei DDG suchen wollt, kann dieser Server der Ausgang sein. Das hat den Vorteil, dass die Abrufe unter Umständen schneller funktionieren. Zusammen mit der verschlüsselten Seite bietet sich guter Schutz für den Suchenden.

Probiert die Seite mit der Ente mal aus. Ich hoffe, sie gefällt euch!

EasyPG Assistent für Emacs

Kürzlich hatte ich mit jemanden eine Diskussion über NNTP und Gnus. Dabei fiel mir auf, dass er die Datei, welche unter anderem Passworte enthält, verschlüsselt aufbewahrt. Im Verlauf des Gespräches kamen wir daher auf den EasyPG Assistent zu sprechen. Das ist ein Modus für den Emacs, der gute Unterstützung für GnuPG innerhalb des Editors bietet. Meine ersten Versuche damit liefen recht erfolgversprechend.

Bei Debian, Ubuntu und Co. muss einfach das Paket easypg installiert werden. Debian installiert in /etc/emacs/site-start.d/50easypg.el eine Datei, die den Start des Modus’ übernimmt. Falls das bei dir nicht der Fall ist, kannst du in deiner .emacs die Zeile (require ’(epa-setup)) eintragen. Danach steht dir der Easypg Assistent zur Verfügung.

Das oben angesprochene Verhalten lässt sich erzeugen, in dem man die Endung .gpg an die Datei anhängt. Beim erstmaligen Speichern der Datei fragt der Modus nach dem korrekten Schlüssel:

Select recipents for encryption.
If no one is selected, symmetric encryption will be performed.  
- `m’ to mark a key on the line
- `u’ to unmark a key on the line
[Cancel][OK]

  - E8CBC9EE886DDD89 User 1 <user1@example.org>
  - 3B9D09F31B30974B User 2 <user2@example.com>
  u 547EBEB15774924D Jens Kubieziel <jens.kubieziel@example.org>

Standardmäßig ist der Schlüssel markiert, zu dem es auch einen privaten Schlüssel gibt. Falls du einen anderen wählen willst, gehst du in die entsprechende Zeile und wählst den mit der Taste m aus. Nachdem diese Auswahl mit Enter bestätigt wurde, befindet sich eine verschlüsselte Datei auf deiner Festplatte. Beim späteren Öffnen der Datei wird der Emacs nach dem Passwort fragen und dir den Inhalt anzeigen.

Daneben arbeitet EasyPG sehr gut mit dem Dired-Mode zusammen. Mit zwei Tastendrücken lassen sich Dateien ver-/entschlüsseln, signieren etc. Laut Handbuch ist die Unterstützung für E-Mail ebenfalls gut. Das habe ich nicht getestet und kann dazu nichts sagen.

Insgesamt hat mich EasyPG sofort begeistert und gehört ab sofort zu den Emacs-Modi meiner Wahl.

OpenSSL 1.0 ist fertig

Man höre und staune: Heute wurde OpenSSL 1.0 veröffentlicht. Aus der Meldung:

The OpenSSL project team is pleased to announce the release of version 1.0.0 of our open source toolkit for SSL/TLS. This new OpenSSL version is a major release and incorporates many new features as well as major fixes compared to 0.9.8n. For a complete list of changes, please see http://www.openssl.org/source/exp/CHANGES.

The most significant changes are:

  • RFC3280 path validation: sufficient to process PKITS tests.
  • Integrated support for PVK files and keyblobs.
  • Change default private key format to PKCS#8.
  • CMS support: able to process all examples in RFC4134
  • Streaming ASN1 encode support for PKCS#7 and CMS.
  • Multiple signer and signer add support for PKCS#7 and CMS.
  • ASN1 printing support.
  • Whirlpool hash algorithm added.
  • RFC3161 time stamp support.
  • New generalised public key API supporting ENGINE based algorithms.
  • New generalised public key API utilities.
  • New ENGINE supporting GOST algorithms.
  • SSL/TLS GOST ciphersuite support.
  • PKCS#7 and CMS GOST support.
  • RFC4279 PSK ciphersuite support.
  • Supported points format extension for ECC ciphersuites.
  • ecdsa-with-SHA224/256/384/512 signature types.
  • dsa-with-SHA224 and dsa-with-SHA256 signature types.
  • Opaque PRF Input TLS extension support.
  • Updated time routines to avoid OS limitations.

Vortrag zu git und Keysigning bei der LUG Jena

Nebenan im Ereignisblog ist es schon zu lesen. Die Linux User Group in Jena startet am Donnerstag mit einem Vortrag oder besser Workshop zu git. Wir wollen dort ein wenig über die Einführungsthemen hinaus schauen und diskutieren, wie man git effektiv einsetzt.

Danach ist ab ca. 21:00 Uhr Stammtisch. Thomas hat angeregt, ein Keysigning zu machen. Bringt also Ausdrucke eurer PGP-Schlüssel mit und vergleicht. :-)

Sie vermieten IP-Adressen

Durch den Remailer, den ich unter der Domain Anonymitaet-im-inter.net betreibe, habe ich hin und wieder Kontakt zu Polizeibehörden. In der Regel erfolgt die Kontaktaufnahme telefonisch und dem Gesprächspartner ist schnell klar, worum es hier geht. Vor kurzem erhielt ich nun eine Einladung zu einer Zeugenaussage. Nach dem unten stehenden Video von Udo Vetter weiß ich ja, dass man auch als Zeuge den Mund halten sollte. Nichtsdestotrotz rief ich bei der Polizei an. Auf die Frage nach dem Hintergrund meinte derjenige, dass ich IP-Adressen vermiete. Ich mache vieles, aber die Vermietung von IP-Adressen gehört definitiv nicht dazu. Aber, so erklärte mir mein Gegenüber, ich betreibe doch den Server anonymitaet-im-internet.de mit der IP-Adresse A.B.C.D und unter der vermiete ich IP-Adressen. Zunächst versuchte ich klar zu machen, dass die Top-Level-Domain nicht .de, sondern .net ist. Hierbei schien es sich um einen Übermittlungsfehler zu handeln. Schließlich erklärte ich noch, dass ich keine IP-Adressen vermiete, sondern lediglich Dritten erlaube, E-Mails über den Dienst Mixmaster zu versenden. Der Polizist hörte sich die Ausführungen an, aber ich hatte nicht das Gefühl, dass meine Erklärungen zum Verständnis beitrugen. :-)

Continue reading "Sie vermieten IP-Adressen"

Erkennungsdienstlich behandelt

Fingerabdruck

Ich komme gerade von der Kriminalpolizei, wo ich erkennungsdienstlich behandelt wurde. Wenn das so weitergeht, muss ich bald meine DNA abgeben und am Ende atme ich selbst gesiebte Luft. :-) Was war passiert?

Es ist schon etwas länger her, da fragte mich eine Firma an, ob ich nicht eine Analyse ihrer IT-Infrastruktur vornehmen könne. Sie hatten den Verdacht, dass da etwas “nicht stimmt”. Es war anzunehmen, dass jemand aus der Mitarbeiterschaft Daten entwendet. Ich untersuchte also das Netzwerk und einige Rechner. Dabei stach ein Rechner besonders hervor. Dort baute ich mit dem Sysadmin die Festplatte aus und kopierte diese zur weiteren Untersuchung. Es stellte sich heraus, dass der Mitarbeiter in massivem Umfang Daten aus der Firma geschleust hatte. Im weiteren Verlauf schaltete die Firma die Staatsanwaltschaft ein. Diese hat mittlerweile die (Ermittlungs)fäden in der Hand. Im Rahmen dessen werden diverse Gegenstände untersucht und geschaut, wer diese angefasst hat. Als Tatortberechtigter durfte ich somit meine Fingerabdrücke abgeben.

Im Vorfeld habe ich lange gerätselt, ob das machen soll oder nicht. Denn es gibt nicht wenige Fälle, in denen die einmal erhobenen Daten irgendwo landen, so nach dem Motto: Könnte man vielleicht noch einmal gebauchen.. Meinen Anwalt konnte ich für einen fundierten Rat nicht erreichen also verließ ich mich auf meinen guten Glauben und Fragen. Ich hatte mir vorgenommen, den Beamten vorher über die befürchteten Konsequenzen auszuquetschen und, falls es unglaubwürdig wäre, die Abgabe zunächst zu verweigern. Aber dazu kam es gar nicht. Denn kaum war ich in seinem Büro angekommen, setzte er zu einer längeren Belehrung an. Demnach werden die Spuren nicht gespeichert, sondern nur mit den am Tatort vorgefundenen verglichen. Die Fingerabdrücke werden nach den Worten des Beamten nicht in Datenbanken gespeichert, sondern nach Abschluss des Falles (oder sagte er, nach Beendigung des Vergleichs?) gelöscht. Wahrscheinlich schaute ich immer noch skeptisch und er meinte zum Schluss, dass sie, selbst wenn sie die Abdrücke aufheben und später auswerten würden, dürften die nicht gegen mich verwendet werden. War da nicht was mit den Früchten des vergifteten Baumes? In der Tat scheint dies nicht so zu sein, wie ich dachte. Die Wikipedia weiß mehr im Artikel zum Beweisverbot. Schließlich bekam ich einmal einen Satz schwarze Hände. Dank eines Spezialwaschmittels sind die aber schon wieder sauber.

Ich fand den Besuch letztlich recht interessant. Denn der Beamte war sehr offen und wir unterhielten uns über einige Themen, u.a. natürlich auch über das Abnehmen von Abdrücken. Interessanterweise nutzt die Polizei dieselbe Methode wie der CCC. Der Unterschied besteht letztlich nur darin, dass es das Ganze für die Polizei als fertige Einheit gibt.

Spätestens wenn der Fall abgeschlossen ist, werde ich mal eine Auskunftsanfrage bei verschiedenen Behörden starten und hoffentlich herausfinden, dass keine Informationen über mich gespeichert sind. :-)

Foto von TheRealGrudge

cronjob