Sehr wichtig bitte lesen
Hallo Forum,
nachfolgend stelle ich hier die Antwortmail des Datenschutzzentrums Niedersachsen
https://www.datenschutzzentrum.de/presse/20070402-online-durchsuchung.htm
auf meine diesbezüglichen Fragen zur technischen Umsetzung als Diskussionsbeitrag in das Forum zur öffentlichen Diskussion....
Natürlich habe ich mir die Erlaubniss geben lassen dieses auch hier im Forum zu veröffentlichen..
Aus dieser Mail könnt Ihr entnehmen wie die technische Umsetzung funktionieren soll, wie schwierig es auch dann ist sich davor zu schützen, und das die Wahl des Betriebssystems eigentlich
leider keine Rolle dabei spielt...
Es tut mir leid euch vielleicht den Tag zu vermiesen, aber was soll mann/frau es schön reden wenn es nichts zum schön reden mehr gibt!
Unsere Befürchtungen sind eingetreten
leider
------------------------------------------------------------------------------------------------------------------------------
Die Antwortmail
-------------------------------------------------------------------
Delivered-To:
rudolf.fehren@gmail.com
Received: by 10.114.203.5 with SMTP id a5cs140335wag;
Wed, 4 Apr 2007 06:26:20 -0700 (PDT)
Received: by 10.67.116.3 with SMTP id t3mr1432461ugm.1175693180096;
Wed, 04 Apr 2007 06:26:20 -0700 (PDT)
Return-Path: <ld10@datenschutzzentrum.de>
Received: from mail2.privacyservice.org (mail2.privacyservice.org [213.178.78.86])
by mx.google.com with ESMTP id z33si1235559ikz.2007.04.04.06.26.19;
Wed, 04 Apr 2007 06:26:20 -0700 (PDT)
Received-SPF: neutral (google.com: 213.178.78.86 is neither permitted nor denied by best guess record for domain of
ld10@datenschutzzentrum.de)
Received: from mail1.privacyservice.org (unknown [192.168.200.140])
by mail2.privacyservice.org (Postfix) with SMTP id 34D1ED3D11
for <rudolf.fehren@googlemail.com>; Wed, 4 Apr 2007 15:24:17 +0200 (CEST)
Received: (qmail 13349 invoked from network); 4 Apr 2007 13:20:25 -0000
Received: from unknown (HELO Postman.ULD.local) (192.168.200.148)
by mail1.privacyservice.org with SMTP; 4 Apr 2007 13:20:25 -0000
Received: from [192.168.30.115] ([192.168.30.115])
(authenticated user
marit.hansen@postman.uld.local)
by Postman.ULD.local (Kerio MailServer 6.1.4)
(using TLSv1/SSLv3 with cipher AES256-SHA (256 bits));
Wed, 4 Apr 2007 15:28:17 +0200
Message-ID: <4613A7E7.501@datenschutzzentrum.de>
Date: Wed, 04 Apr 2007 15:28:07 +0200
From: Marit Hansen <ld10@datenschutzzentrum.de>
User-Agent: Thunderbird 1.5.0.8 (Windows/20061025)
MIME-Version: 1.0
To: Rudolf Fehren <rudolf.fehren@googlemail.com>
CC:
mail@datenschutzzentrum.de
Subject: Re: =?ISO-8859-1?Q?H=E4nde_weg_von_heimlichen_Online-Dur?=
=?ISO-8859-1?Q?chsuchungen_vom_02=2E_April_2007?=
References: <5054c62b0704031313s29ae94dcp4842f275b6dbad4d@mail.gmail.com>
In-Reply-To: <5054c62b0704031313s29ae94dcp4842f275b6dbad4d@mail.gmail.com>
Content-Type: text/plain; charset=ISO-8859-1
Content-Transfer-Encoding: 8bit
Sehr geehrter Herr Fehren,
vielen Dank für Ihre E-Mail!
> mit Interesse habe ich das Statement, zu den heimlichen
> Online-Durchsuchungen gelesen, und teile Ihre Sicht der Dinge.
> Als besorgter Bürger der um seine demokratischen Rechte bangt und
> gleichzeitig technisch interesierter Nutzer und von Beruf
> ############# frage ich mich ernsthaft wie das technisch
> umgesetzt werden soll !
Die Funktionsweise der heimlichen Online-Durchsuchung ist zurzeit nicht
offengelegt. Wir haben aber Hinweise ausgewertet, wonach sich die Ideen
zur Realisierung erschließen lassen (siehe beispielsweise die
Berichterstattung unter
http://blog.koehntopp.de).
> Nutzt mir die Verwendung eines Unix vorwiegend FreeBSD oder Open BSD
> um mich gegen solch ein Vorgehen zu schützen, oder ist es in der
> Endkonsequenz eigentlich völlig egal welches OS ich einsetze um mich
> zu schützen..
Die Wahl des OS soll nach der Planung unerheblich sein.
> Wie kann ich mir das vorstellen, werden die HeaderDateien beim
> Handshake ausgetauscht/manipuliert und oder verändert, dann gebe es
> doch faktisch keine Möglichkeit mich zu schützen und es wäre wirklich
> egal welches OS ich einsetze da ich schutzlos in der Endkonsequenz
> bin!
>
> Würde das über die Internetknoten gehen, selbst mein Provider könnte
> mich dann nicht mehr schützen !
Der Staat (mit der Funktionalität des Einbaus einer Hintertür zur
Online-Durchsuchung) würde als Man-in-the-Middle fungieren.
Bei einem Download einer beliebigen Datei könnte zusätzlich eine
manipulierte Fassung untergeschoben werden.
Solange man nur auf der Basis von im Web veröffentlichten Informationen
die Prüfsumme oder Signatur einer solchen Datei prüfen wollte, könnten
auch die entsprechenden Informationen über Prüfsumme bzw. öffentlichen
Schlüssel manipuliert sein.
Ein Schutz wäre möglich, wenn man Prüfinformationen über gesonderte
Kanäle austauschen würde, die nicht der Manipulation im Zuge der
Online-Durchsuchung unterliegen.
Ein nachträgliches Übernehmen einer SSL-Kommunikation durch einen
(staatlichen oder nicht-staatlichen) Angreifer wäre aber vermutlich
schwierig. (Ein Etablieren von zwei SSL-Kommunikationen beidseitig des
Man-in-the-Middles aber wohl wiederum nicht.)
> Oder würde das über Exploits gehen, oder Shellcodes oder Payloads die
> müssten aber speziell für das jeweilige OS angepasst werden..
Nach den uns vorliegenden Informationen würde man sich nicht auf
Exploits verlassen.
Der implantierte Code wäre betriebssystemspezifisch vorzusehen.
> In diesem Kontext hätte ich ein sehr grosses Anliegen, könnten sie mir
> vielleicht Informationen zu technischen Fachlitereaturen -
> Dokumentationen - Büchern zugänglich machen die es mir ermöglichen,
> mein Wissenstand zu verbessern und gegebenfalls da ich der
> Programmiersprache Java mächtig bin, Software zu programmieren um
> meine Verfassungsmässigen Rechte zu schützen..
Leider gibt es nicht _den_ Pointer auf Literatur zur
Online-Durchsuchung. Oben habe ich aber ja einen Link genannt, von dem
aus weitere Informationen verlinkt sind.
> Gerne bin ich bereit diese dann als OpenSource Lösung unter die GPL zu
> stellen und sie meinen Mitbürgern zur Verfügung zu stellen..
Da die Infrastruktur des Internets betroffen sein kann, ist es recht
schwierig, sich clientseitig abzusichern.
Man denke nur an die regelmäßigen Online-Updates der Virenscanner, bei
denen man zusätzliche Checks der Integrität (z.B. durch Anrufe oder
Papierveröffentlichungen oder individuell verschlüsselt durch eine
nicht-manipulierte Stelle) machen müsste. Bestimmt kann man sich mit
Hilfe von Verschlüsselung besser schützen als bisher, aber es wird nicht
trivial sein.
Herzliche Grüße
Marit Hansen
--
Marit Hansen, ULD SH, Kiel, Germany,
LD10@datenschutzzentrum.de
Tel +49 431/988-1214, Fax -1223,
http://www.datenschutzzentrum.de
Unabhaengiges Landeszentrum fuer Datenschutz Schleswig-Holstein
Independent Centre for Privacy Protection Schleswig-Holstein
----------------------------------------------------------------------------------------------------------------------------
diesmal ohne Gruss der rudy