Starting in mid-december several Twitter users received a mail from the company telling them that they were target of state-sponsored hacking. I blogged in German about it. Today it is still unclear why Twitter sent out this mail.
Did you ask Twitter and received an answer? Do you have an explanation? Let’s meet at 32C3! Come at 20:00 to Hall 13. We’ll sit down and try to find some answers or develop strategies to find answers. 
Nachdem ich von der Mail von Twitter schrieb, gab es einige Reaktionen. Unter anderem behauptete Alvar Freude, dass wir nur gehackt wurden, weil wir Tor benutzen. Constanze Kurz und ich verfassten bei Netzpolitik.org eine Antwort darauf.
Alvar schreibt in seinem Originalbeitrag:
Besonders unsinnig ist die Benutzung von Tor in der Regel dann, wenn man gleichzeitig mit Realname auf Twitter oder Facebook oder sonstwas unterwegs ist.
Diese Kritik hörte ich auch in anderen Kanälen. Viele fanden es merkwürdig bis sinnlos einen Dienst zu nutzen, bei dem man sich letztlich mit seinem richtigen Namen anmeldet. Bei Netzpolitik war dazu unter anderem zu lesen:
Doch selbst wenn jemand dort einen Namen angegeben hat, woher soll Twitter oder Facebook wissen, dass es sich tatsächlich um diese Person handelt? Es gibt keine Pflicht, sich mittels Personalausweis oder anderen Dokumenten anzumelden, und dies soll auch weiterhin so bleiben. Gerade Menschen, die Wert auf eine freiheitliche Nutzung der Netze legen, geben nicht immer ihren Realnamen an.
Nun ist es bei mir aber so, dass ich bei Twitter durchaus unter meinem wirklichen Namen schreibe und trotzdem Tor nutze. Warum mache ich das?
Zwischen mir und Twitter, Facebook oder anderen Webseiten liegt auch der Provider. Dieser kann auch erkennen und mitschneiden, welche Seiten ich besuche. Ich bin der Meinung, dass ihn das auch nichts angeht.
Wenn man davon ausgeht, dass man das Internet immer von zu Hause benutzt, so ist es sicher unwahrscheinlich, dass euer Provider eure Internetnutzung protokolliert. Sollte sich aber der Verdacht des staatlichen Hackings bestätigen, könnte es eben auch sein, dass jemand an den Provider herangetreten ist und alles mitschneiden lässt.
Aber selbst wenn das nicht der Fall ist, so benutzen viele das Internet eben nicht nur von zu Hause. Gerade in der IT-Branche wie auch bei anderen Arbeitgebern ist die private Nutzung des Internets erlaubt. Daneben gibt es Cafés, Hotels, Bahnhöfe und andere öffentliche Orte mit Internetzugang. Gerade mit Hotels habe ich einige merkwürdige Erfahrungen gemacht. Aus meiner Sicht benötigt man spätestens beim Verlassen des Hauses Schutzmaßnahmen. Das kann ein VPN, Tor oder anderes sein. Jedes Werkzeug hat seine Vor- und Nachteile.
Gerade wenn man unterwegs ist und daher verschiedene Netze benutzt, gibt man diese Informationen auch an Seiten, wie Twitter und Facebook weiter, da diese meist sehr lange, über mehrere Verbindungen genutzt werden.
Bei all diesen Szenarien bietet mir Tor Schutz vor Beobachtung von außen. Dies ist unabhängig von der Tatsache, ob ich mich irgendwo mit Realnamen anmelde oder nicht.
In meiner Inbox fand ich heute dieses nette Stück Spam:
<html> <head><title>401 Authorization Required</title></head> <body bgcolor=“white”> <center><h1>401 Authorization Required</h1></center> <hr><center>nginx/1.2.1</center> </body> </html>
Wenn man das HTML interpretiert, kommt dann sowas raus:
Ich verstehe nicht, warum man sowas als Spam in die Welt hinaus schickt. Die Nachricht wurde von einer IP-Adresse aus Südafrika eingeliefert. Neben der From:-Adresse hat der Spammer keine weiteren Header-Zeilen übermittelt. Vielleicht wollte derjenige einfach, dass ich das blogge. 
Gestern war ich auf dem IT-Sicherheitstag bei der IHK Gera eingeladen. Dort hielten verschiedene Fachleute Vorträge oder Workshop. Die einleitenden Vorträge kamen von einem Experten für Spionageabwehr beim Bundesamt für Verfassungsschutz und von mir.
Der Referent des Verfassungsschutzes erklärte, woher die Bedrohungen für die Wirtschaft kommen, wie die aussehen können und was die Firmen dagegen tun können.
Woher kommen die Bedrohungen? Anfangs wurden insbesondere Russland und China mit ihren diversen Einheiten genannt. Die im weiteren Vortrag folgenden Beispiele wurden immer von chinesischen Bürgern ausgeführt. Zum Abschluss stellte der Redner fest, dass der Verfassungsschutz ja einen 360°-Blick hat und es keine Bedrohungen von westlichen Diensten gibt. Hauptgrund war die Tatsache, dass es keine Anzeigen aus der Wirtschaft gibt. Bedeutet das, dass Spionageabwehr nur aus dem Warten auf Anzeigen besteht?
Ich griff den Ball dann in meinem Vortrag nochmal auf und verwies auf den Fall Enercon, wo die NSA spionierte. Daneben verwies ich auf den DGSE und andere Dienste, deren Ziel Wirtschaftsspionage ist und in deren Fokus auch westliche Unternehmen stehen.
Der Vortrag des BfV-Referenten hatte viele Filme zur Illustration dabei. Wenn es dabei um Wirtschaftsspionage ging, kamen die Beispiele aus der Schweiz oder Österreich. Ich fragte mich, warum es keine Beispiele deutscher Unternehmen gibt und was das BfV mit schweizer oder österreicher Unternehmen zu tun hat. Eigentlich soll die Behörde Informationen sammeln, die sich gegen die FDGO richten oder deutsche Unternehmen gefährden.
Den Abschluss des Vortrages bildete ein wenig Werbung für die Behörde. Den schließlich würde diese diskret mit Informationen umgehen und, was dem Vortragenden wichtig zu sein schien, sie unterliegt nicht dem Legalitätsprinzip. Das heißt, bei Kenntnis von Straftaten müssen diese nicht angezeigt werden.
Insgesamt hinterließ der Vortrag bei mir einen recht faden Beigeschmack und bestätigte mein Bild von den »Verfassungsschützern«.
Wie gut schätzt ihr euch in der Gesichtserkennung ein? Würdet ihr beliebige fremde Personen wieder erkennen? Ich vermute die meisten denken, dass sie gut in der Erkennung von Gesichtern sind.
Bruce Schneier verweist auf eine Studie über Grenzbeamte. Diese sollten ein Foto mit einer Person abgleichen. In etwa 15 % der Fälle dachten die Grenzer, dass die Person vor ihnen dem Foto entspricht, obwohl beide verschieden waren.
Das entspricht der Diskussion aus dem Datenkanal zur Gesichtserkennung. Unser Gesprächspartner Jürgen Kaufmann erklärte uns, dass wir gut im Erkennen bekannter Gesichter und sehr schlecht im Erkennen fremder Gesichter sind. Das geht so weit, dass sogar gleiche Gesichter auf demselben Blatt aufgenommen mit unterschiedlichen Kameras als verschieden wahrgenommen werden.
Jetzt ist der Zeitpunkt gekommen, an dem ich meine Anleitung zu sicheren SSL-Einstellungen löschen kann. Der aktuelle Firefox ist in der Version 27 erschienen. Wie angekündigt, unterstützt der Browser nun standardmäßig TLS 1.1 und 1.2. Damit werden die TLS-Einstellungen über about:config hinfällig. Die Seite How’s my SSL zeigt den Firefox mit Standardeinstellungen als Probably OK an. Sogar Seiten mit AES im GCM-Modus werden korrekt verschlüsselt.
Da ich vorhin über die TED-Konferenz schrieb, schiebe ich hier noch ein Video nach. Kakenya Ntaiya erzählt ihre Geschichte. Sie besuchte auf den Willen ihrer Mutter die Schule und erkannte den Wert der Bildung für sich. Heute errichtet sie Schulen und versucht ihre Idee weiterzutragen. Es ist schon erschreckend zu hören, was ihr bzw. ihrer Mutter wiederfahren ist.
Ich schaue mir gern diverse TED-Vorträge an. Die TED steht für Technology, Entertainment und Design. Die Konferenz will hochklassige Vorträge bieten. Viele davon sind inspirierend, bringen neue Ideen mit oder sind einfach unterhaltsam. Bisher sind mir noch keine schlechten Vorträge untergekommen, höchstens welche, die mich nicht interessieren. Kürzlich lief mir der Artikel »When TED Lost Control of Its Crowd« vom Harvard Business Review über den Weg. Der Autor schrieb von zwei Lokal-Konferenzen, wo höchst fragwürdige Vorträge geboten wurden. Allerdings beschreibt der Artikel sehr gut, wie die Organisatoren der TED darauf reagierten und wie es weiterging. Anstatt nämlich den Kopf in den Sand zu stecken, haben Sie über verschiedene Plattformen mit den Hörern diskutieret und Lehren gezogen.
Der Artikel ist zwar recht lang, aber eine lohnenswerte Lektüre.
Mein Podcast-Player lädt unter anderem die neuesten Beiträge der TED-Konferenzen herunter. Amanda Palmer startete ihren Vortrag mit einem Blick in die Vergangenheit. Die Künstlerin arbeitete anfangs als lebendige Säule, d.h. eine der Personen, die im Fußgängerbereich oft anzutreffen sind. Die Lehren, die sie daraus zog, begleiteten sie ihr weiteres Leben.
Amanda Palmer ist eine recht bekannte Künstlerin, der der persönliche Kontakt zu ihren Fans recht wichtig ist. Sie betreibt Couchsurfing und lernt dabei regelmäßig interessante Leute kennen. Dieser Kontakt half ihr, das neue Album über Kickstarter zu finanzieren. Die Künstlerin stellt ihre Alben unter eine CC-Lizenz und bei YouTube findet ihr sehr viel Material.
Bei TED hielt sie einen Vortrag, zur Kunst des Fragens. Dabei stellt sie die Frage: »How can we let people pay for music?«. Der Vortrag ist sehr unterhaltsam. Schaut ihn euch mal an.
Google hilft den Piraten! Der Internetkonzern schwächt unsere Sicherheitsarchitektur! So oder so ähnlich könnten demnächst Klagen lauten. Mit Piraten sind dabei durchaus die Seeräuber und nicht die gleichnamige Partei gemeint. Doch warum handelt sich Google derartige Klagelieder ein?
Das U.S. Naval Institute organisierte kürtlich die 2012 Joint Warfighting Conference and Exposition. Neben namhaften US-Generälen und Admirälen sprach dort Michael Jones, der Chief Technology Advocate von Google Ventures. Jones stellte zwei neue Projekte vor. Beide konzentrieren sich auf Informationen zur See.
Ein Angebot will alle Schiffe, die sich auf den Flüssen und Meeren bewegen, verfolgen. Bereits jetzt gibt es Seiten wie Vesselfinder, MarineTraffic und andere. Diese Seiten zeigen die Schiffe meist in der Nähe des Ufers an. Google will den Dienst auch auf die Weltmeere ausweiten. Dazu bedient es sich des Automatic Identification Systems (AIS) . Das System besteht aus einer GPS-Einheit sowie aus einem Sender. Die Sender auf den Schiffen reichen bis ca. 20 nautische Meilen. Wenn die Antennen auf dem Land höher montiert werden, so steigt die Reichweite auf etwa 60 nautische Meilen. AIS soll zm einen Schiffe vor Kollisionen schützen und zum anderen sollen die Häfen den Verkehr besser steuern können.
Google nutzt Satelliten, um die Position der Schiffe zu ermitteln. Nach Jones’ Worten gibt Google drei Millionen Dollar für das Programm aus. Er wird mit den Worten zitiert: »I watch them and they can’t see themselves. It angers me as a citizen that I can do this and the entire DoD can’t.« Doch was wir dann sehen können, kann eben auch ein Pirat in Somalia sehen. Das heißt, eventuell wird es denen erleichtert, die Schiffe auszuwählen. Auf der anderen Seite fahren in der Region die meisten Schiffe schon in dem Bereich der von AIS und den betreffenden Webseiten eh erfasst wird. Insofern fördert das Projekt aus meiner Sicht nicht die Piraterie. Eventuell wird durch die öffentliche Diskussion der eine oder andere Pirat mit der Nase auf die Möglichkeiten gestossen. Militäraktionen werden wohl ebenso nicht gestört. Denn jedes Schiff kann die AIS-Anlage ausschalten. Damit ist das Schiff quasi unsichtbar.
Das zweite Projekt kartografiert den Meeresboden. Google hat
Testläufe mit einem unbemannten Sensor gemacht. Dieser macht Bilder
vom Untergrund und setzt diese dann zusammen. Am Ende hat der Nutzer
eine Art Google Streetview für das Meer, also Google Sea View.
Das könnte auf der einen Seite natürlich Schatzsucher aktivieren. Endlich könnte Atlantis oder das Bernsteinzimmer gefunden werden. Gleichzeitig besteht seitens der Militärs die Angst, dass auch Leute abgestürzte Spionagesatelliten oder ähnliches suchen. Jones meint darauf ganz richtig, dass andere Länder das ganz genau wie Google machen könnten. Während Google die US-Regierung informiert, halten sich andere Länder sicher nicht daran.
Ich denke, hier sind zwei spannende Angebote unterwegs und bin sehr gespannt, wann die online gehen.
via: AOL Defense: Google Can Track Ships At Sea -- Including US Navy; Detailed Maps Planned of Sea Bottom und AFCEA: Deep Blue Sea to Give Up Its Secrets to Google
Update: Klar gemacht, dass man abgestürzte Satelliten finden könnte.
