NSA spioniert Krypto-Nutzer aus
Ging heute durch viele Medien und war auch im Fernsehen: Die NSA ist hinter Leuten her, die sich mit Verschlüsselung zur Abwehr staatlicher Überwachung (hier: TOR – The Onion Router) befassen.
Wieder nicht so wirklich überraschend. Dass die TOR anbohren, ist bekannt, und schon länger geht die Information um, dass einige der TOR-Nodes von der NSA selbst betrieben werden.
Und schon wieder mal bestätigt sich die alte Weisheit, dass die vielen Crypto-Geeks, die glauben, sich gegen Überwachung effektiv wehren zu können, indem sie 1001 Tricks, Schliche und Programme verwenden, und die glauben, dass „Sicherheit” bedeutet, ganz schrecklich viele kleine Zaubertools einzusetzen, öfters mal falsch liegen und der Schuss zum Rohrkrepierer werden kann. Der beste Schutz gegen Überwachung besteht immer noch in organisatorischer Sicherheit und – in der Menge nicht aufzufallen. Algorithmisch und statistisch nicht greifbar zu sein, Otto Normalverbraucher zu werden. Noch besser wäre es, nicht zu existieren, schafft man aber heute nicht mehr.
Erstaunlich eher, dass heute alle Medien mal wieder synchron hochpumpen, was eigentlich nicht überrascht. Mal wieder so ein Aufwecker?
Die viel interessanteren Fragen sind meines Erachtens:
- Bisher geht die NSA-Affäre immer nur um Abhören und Überwachen. Also zunächst mal passive Angriffe, von Manipulationen der IT mal abgesehen. Ich warte drauf, dass aktive Eingriffe bekannt werden. Das wird lustig.
- Die Verstrickung des BND in die Angelegenheit.
- Ich hatte ja schon öfters darüber geschrieben, dass ich den starken Verdacht habe, dass die NSA hier in Deutschland auch die Besetzung von Professuren im Bereich Kryptographie beeinflusst und dafür sorgt, dass da nur „harmlose” Leute hinkommen. Und ebenfalls, dass man die Piraten gezielt sabotiert hat. Bin mal gespannt, ob dazu noch was ans Licht kommt.
Aber dass die NSA Informatiker angreift, die sich mit Kryptographie und Abwehr von Überwachung beschäftigen – hab ich ja schon die ganze Zeit gesagt.
23 Kommentare (RSS-Feed)
Deswegen habe ich dieses Jahr aufgehört, Linux auf dem Desktop zu nutzen, denn solche Leute werden ebenfalls als Terroristen markiert. Betroffen sind prinzipiell alle, die irgendwas Exotisches machen. DynDNS, Server zu Hause, VPN-Spielwiese (einfach aus Spaß an der Technik) usw.
Ich möchte nicht das Risiko eingehen, eines Tages mit einer Hellfire im Gesicht aufzuwachen.
Deshalb baue jetzt ein Internet-Profil eines videospielehamsternden YouTube-Süchtigen (schön mit Steam- und Google-Profil) auf und was ich sonst privat mache, halte ich mittlerweile komplett aus dem Internet raus.
@Hadmut
> der Schuss zum Rohrkrepierer werden kann. Der beste Schutz gegen Überwachung besteht immer noch in organisatorischer Sicherheit und – in der Menge nicht aufzufallen.
Deshalb sollen ja auch ALLE verschlüsseln.
> Ich warte drauf, dass aktive Eingriffe bekannt werden. Das wird lustig.
Es sind doch schon mehrere Strategiepapiere über das Unterwandern und sabotieren von Oppositionsgruppen geleakt worden, zudem sind immer mal wieder solche Saboteure aufgefallen.
Ich frage mich oft:
Was braucht die Bevölkerung noch alles, um aufzuwachen?
> Erstaunlich eher, dass heute alle Medien mal wieder synchron hochpumpen, was eigentlich nicht überrascht. Mal wieder so ein Aufwecker?
Unsere Qualitätsmedien schreiben eben voneinander ab.
> Deshalb sollen ja auch ALLE verschlüsseln.
ALLE im Sinne von möglichst viele.
Ich bin auch der Meinung das der Datenschutz selber organisiert werden muss. Dazu zählt das mein Browser nicht wiedererkannt werden darf. Je mehr Add Ons um so leichter für die NSA. Jahrelang wurden alle möglichen Add Ons und Anonymisierungsdienste angepriesen und wie wir jetzt wissen sind sie eher schädigend außer TOR.
Wenn die eigene IP Adresse der Zwangstrennung unterliegt ist das schon mal gut. Was hindert einem daran vor und nach der TOR Nutzung den Netzstecker vom Router zu ziehen um eine neue IP Adresse zu bekommen. Die Wiedererkennung vom Browser kann durch die Installation von mehreren portablen verhindert werden. Firefox Versionen von 20 – 30.
Mehrere Rechner, vielleicht in einer virtuellen Box, viele Mailadressen bei verschiedene Anbieter und abrufen durch mehrere installierten portablen Thunderbirds, zu verschiedenen Zeiten abgerufen und nicht ständig online.
Alle US Dienste immer von einem Rechner und Browser aus, um einen auf dicke Hose zu machen. Googeln vom nächsten aus usw.
Bei jedem neuen Dienst oder Forum mit einer neuen E-Mailadresse und Namen registrieren.
Und immer daran denken das bestimmte Futures einem verraten. Java, Flash und Ipv6 sind die schlimmsten und dann kommt Javascript.
Wer Anonym sein will sollte sich Fachwissen aneignen.
>den starken Verdacht [..] die NSA [..] Besetzung von Professuren im Bereich Kryptographie beeinflusst
Welche Anhaltspunkte gibt es dafür? Ich war mit meinem Kryptoprof ganz zufrieden.
Eher denke ich, wenn man fähigen Leuten das forschen verbieten würde, dann gehen die zur Privatwirtschaft oder zu den Geheimdiensten (und nicht immer zu den eigenen).
Alles was man sonst macht aus dem Internet raushalten. Sich ein unauffälliges Profil zulegen. Ja sehr schön. Das speichert die NSA genauso weg und alles andere auch. Smartphone anyone? Damit sind deine Aufenthaltsorte Minutengenau erfasst (ob jetzt bei google, apple oder nokia ist für die NSA zweitrangig).
Die ganzen profile helfen dir auch nicht, wenn Sie im hadoop cluster der NSA liegen…
FAZIT: Stimme Hadmut voll zu. JEDER muss ALLES verschlüsseln. Darüber hinaus müssen wir darüber nachdenken, Systeme zu bauen, die keine/uneindeutigere Metadaten produzieren.
@Joe
Du warst auf Hadmust Webseite. Du bist also schon in den Beobahtungslisten.
Die Bevölkerung macht alles richtig.
Alle spielen Normalos, fallen nicht auf, tun so als ob nix wäre und dann machen wir spontan Leipzig 2.0. 😉
@Sammler
Du machst den Fehler, den NSA Blödheit zu uinterstellen. Wer alles abschnorchelt, kann auch korrelatione zwichen völlig verschiedenen maschinen feststellen, z.B. daß bestimtme Maschinen nie zur gleichen zeit am Netz sind. Wie Hadmut schon sagte, Sicherheit ist nicht von Gimmicks abhängig.
Die Schweinerei ist, dass man Arbeit reinstecken muss, nur um gegenüber dem Staat diejenigen Rechte zu wahren, die einem eigentlich grundgesetzlich zugesichert wurden.
Verschlüsseln würde ich ja gerne (nur meine Freunde nicht). Aber regelrecht bewusst “unauffällig” agieren ist mir eigentlich zuwider. Soll ich etwa meine Handy- und Notebookkameras nicht abkleben? Nur damit “die” denken, ich wäre jemand, dem Überwachung egal ist?
(Da fällt mir was ein: man könnte – mit entsprechenden Fähigkeiten, die ich leider nicht habe – vielleicht einen Hack programmieren, mit die Handykamera ständig eine Bildnachricht wiedergibt, eine Nachricht an die Überwacher “Hört auf mir reinzuschnüffeln” oder so, am besten mit einem Verweis auf Grundgesetz/Bill of Rights. Wenn Millionen User das einsetzen würden, könnten solche Aktionen die Arbeitsmoral der Überwacher drücken und sie mal zum Nachdenken bringen…)
Ich frage mich, welchen Mangel an Selbstrespekt man haben muss, um für GCHQ/BND/NSA/BfV… zu arbeiten.
Zugesicherte Grundrechte auch zu bekommen sollte kein Luxus der Informatiker sein.
Hadmu, nicht auffallen bringt doch nur wenig bei der vollständigen Überwachung. Vor allem, wenn noch archiviert wird. Sobald man dann relevant wird, lässt sich dann schon was finden.
Sorry für das fehlende t ..
@ Was braucht die Bevölkerung noch alles, um aufzuwachen?
Es braucht den eigenen Tod um zu erwachen. Also ein Erwachen nach dem Tod.
Ich erinnere immer wieder gerne an die Szene in “The Day After” wo die nette Ehefrau noch die Betten macht und die Hochzeitsvorbereitungen unbedingt abschließen wollte, nachdem die Atomraketen schon alle aus ihren Silos in den Himmel gestartet waren. Als ihr Mann sie dann mit körperlicher Gewalt aus diesem Verdängungsmuster in den sicheren Luftschutzkeller zwang, brach diese kognitive dissonanz Welt schreiend in sich zusammen.
Wäre er nicht da gewesen, sie hätte die Betten und die Kuchen, noch bis zu den nukelaren Einschlägen und ihrer direkten Verdampfung weiter gemacht.
Im Jenseits wäre es ihr frühestens Bewusst geworden. Aber keine Sekunde früher!
Die NSAist nicht hinter Leuten her, die sich mit Krypto beschäftigen, sondern hinter allen. Manche Leutebekommen wie hier gesehen ein besonderes Merkmal in ihre Akte.
Als der TOR-Hype ausbrach, haben wir einen – eigentlich zwei – Exit-Nodes in unserem Rechenzentrum installiert und einen der beiden in ein Honey-Pot-Umfeld gestellt, dessen Timing wir mit einem durchaus auch in Rechenzentren vorkommenden “Putzfrauen”-Fehler tarnten (Simulation eines Loops in einem Switch). Nach einigen Tagen bereits hatten wir etliche der einige Jahre später als Dienste-Nummern enttarnten Verbindungen lokalisiert und nach etwa einem halben Jahr kriegten die/einer von denen halt doch spitz, dass sie einen Honeypot belieferten und stellten sämtliche Attackierversuche ein.
Natürlich haben wir einige mehr oder minder kleinere Änderungen an der TOR-Software selbst gemacht, etwas schwierig war die Simulation eines Stack-Overflows, Simulation, nicht Emulation 🙂
Die Platten(Spiegel) haben wir heute noch. Achja, besagtes RZ stand in Pressburg 😉
Jedenfalls ist bei uns seither das Gelächter über TOR und diverse Schlangenölvarianten ein fundiertes, d. h.: aus dem Bauch heraus…
@sammler
Sie haben noch einiges vergessen, wie zb. bei Urlaubsfahrten mehrere Fahrzeuge auf der Strecke zu wechseln, die Kleidung inkl., Bart aufkleben usw. Im Urlaub nicht die eigene Identität verraten am besten mit gefälschtem Pass verreisen uvm. So ein Spielchen macht viel mehr Spaß als an der Konsole.
Hm. Ich finds komisch, wenn sich ein Informatiker darüber lustig macht, daß die Leute in ihrer Verzweiflung blöde Dinge machen aufgrund von purer Unkenntnis, wie man es richtig macht.
Wäre in etwa so, als machte sich eine Krankenschwester darüber lustig, daß ein Patient gestorben ist, weil sie nicht wusste, wie man das richtige Medikament mit der richtigen Spritze richtig verabreicht. Anders gesagt: da lacht man doch viel über sich selbst und nur wenig über die (ohnehin viel inkompetenteren) Anderen. Ich meinesteils werfe den Informatikern der westlichen Welt vor, offenbar von vielem zu wissen, aber zu nahezu allem die Klappe zu halten und ebenso duckmäuserisch zu sein wie der Rest, d.h. keinen Deut besser, nur zufällig in einer günstigeren Position. Den einzigen Informatiker, den ich da ausnehmen kann, ist Edward Snowden. Der Rest macht meins Empfindes nach auf die ein oder andere Weise schön mit, wofür es sicherlich viele gute Gründe geben mag, aber das zerstört unsere Gesellschaft.
> Ich finds komisch, wenn sich ein Informatiker darüber lustig macht, daß die Leute in ihrer Verzweiflung blöde Dinge machen aufgrund von purer Unkenntnis, wie man es richtig macht.
Das tue ich hier (Bereich Wissenschaft, Bereich Feminismus, Bereich Internet-Politik,…) andauernd, mich darüber lustig zu machen, dass Leute in purer Unkenntnis blöde Dinge tun. Und bisher hat’s auch keinen gestört. Warum sollte ich gerade hier eine Ausnahme machen?
Ich halte den Vorwurf aber auch deshalb für verfehlt, weil es ganz sicher keine Leute sind, die aus Unwissenheit und Verzweiflung nutzen. Da ist halt auch viel Snake Oil und Gimmick-Glauben dabei. Gerade in dieser ideologisch orientierten Pseudo-Krypto-Szene herrscht ein Irrglauben, dass man mit möglichst viel Klimbim bösen Überwachern ein Schnippchen schlagen könnte. Das ist nicht Verzweiflung, das ist Techno-Aberglauben.
Du warst auf Hadmust Webseite. Du bist also schon in den Beobahtungslisten.
Ich habe vor Windows 95 Computer benutzt und schon war vor Windows XP im Internet (so richtig mit IRC und Usenet und so). Natürlich wird man damit zum Extremist. Genau wie jeder mit Linux auf dem Desktop oder wer noch E-Mail für private Kommunikation verwendet (und nicht SMS/Whatsapp/Facebook). Totalitäre Gleichschaltung eben.
Jetzt kommen sie alle aus den Löchern gekrochen.
Macht es doch bitte besser statt auslachen. Es gibt andere Ansätze.
Alle schreiben über TOR, niemand über I2P, tahoe-lafs, freenet (warum wohl überhaupt nirgendwo etwas über freenet zu lesen ist?), djb-ns und und und. gnunet gibt es auch noch.
Also. TOR ist das Windows der kryptotools. Früher war es JAP und öffentlich zugängliche Proxy. Man muss sich halt ein wenig bemühen. Nur schon I2P und Freenet sind grundsätzlich besser, da kein Mensch genau abschätzen kann, was da drin passiert. Bei TOR stehen alle in einer grossen Tabelle. Wuuu—huuu.
Die NSA schützt uns wenigstens vor Spionen ausländischer Firmen (=dem Kollegen 2 Büros weiter) und anderen Terroristen!!! Und um diese Aufgabe erfüllen zu können brauchen sie halt genug Informationen!!! Ihr wisst ja gar nicht was alles passieren würde, wenn es die nicht gäbe*!!!
http://www.zeit.de/karriere/beruf/2014-07/risiko-frustrierte-mitarbeiter
___
*Lösung: genau das gleiche wie jetzt auch schon, bloß dass es einen weniger gäbe, der im Nachhinein behauptet “Das hätten wir verhindern können, wenn (mehr Geld/mehr Infos/mehr Rechte…)”
mal wieder: http://www.youtube.com/watch?v=VSJjlaggbK0