Krypto e.V.

Psiphon startet am 1. Dezember 2006 – Ein Entwicklerteam der University of Toronto hat ein neues Anti-Zensur-Tool entwickelt, das Anwendern betroffener Länder wie China oder dem Iran den uneingeschränkten Zugang zu den Informationen des Internets ermöglichen soll. Die auf den Namen Psiphon getaufte Applikation ist insofern einzigartig, da sie nicht auf dem Computer des Anwenders installiert werden muss, sondern webbasiert über eine Log-in-Funktion aufgerufen werden kann. Als unzensurierte Proxyportale fungieren dabei die Computer von Anwendern unproblematischer Länder, die ihre Geräte als Tore zum World Wide Web zur Verfügung stellen.

“Psiphon ist ein einfacher und sicherer Weg, um Staatsbürgern ihr Menschenrecht auf Information zu gewährleisten”, meint Projektinitiator Ronald Deibert, Direktor und Mitgründer der Organisation Citizen Lab, die sich seit mehreren Jahren dem Thema annimmt. Das neue Tool, das ab dem ersten Dezember dieses Jahres erhältlich ist, soll auch Anwendern mit bescheidenen Computerkenntnissen den Weg zur uneingeschränkten Information freimachen. Durch die Nicht-Installation einer Software kann das Umgehen der Zensur weitaus schwerer auf dem Computer des betroffenen Users nachgewiesen werden. Herkömmliche Lösungen waren zudem meist nur mit hohem technischen Aufwand und entsprechender Expertise einsetzbar.

Bei der Verbreitung der Applikation inklusive der Log-in-Daten setzt die Organisation auf ein soziales Netzwerk und vertrauenswürdige Kontakte. Die Entwickler hoffen möglichst viele User in unbedenklichen Ländern für ihr Projekt gewinnen zu können. Je höher die Zahl der zur Verfügung stehenden Proxyportalen in diesen Ländern steigt, desto schwieriger wird es für zensurwütige Regierungen, diese im Auge zu behalten und gegebenenfalls zu blockieren. Im Gegensatz zu öffentlich erreichbaren IP-Adressen, die auf Großservern zur Verfügung gestellt werden und leicht mit Gegenmaßnahmen torpediert werden können, fungieren die Psiphon-Computer als unabhängige Access Points, deren IP-Adresse immer nur einem kleinen Kreis von Usern bekannt ist. Weitere Information finden sich unter:  http://psiphon.civisec.org/how.html

Israelische Forscher haben eigenen Angaben zufolge eine schwere Lücke im globalen Finanznetzwerk entdeckt und schlagen Alarm. Omer Berkman und Odelia Moshe Ostrovsky, beide Wissenschaftler an der School of Computer Science in Tel Aviv, beschreiben in ihrem Papier “The unbearable lightness of PIN cracking” die Anfälligkeit von Finanzsystemen, die bei Geldbehebungen zum Einsatz kommen. Korrupte Bankmitarbeiter könnten auf einfache Weise PIN-Codes von Kartenbesitzern ausspionieren und für betrügerische Zwecke missbrauchen.

Die Schwachstelle liegt im Verfahren, wie die PIN-Codes verschlüsselt und quer durch das internationale Finanzsystem geschickt werden. Das Problem ist noch um ein Vielfaches größer, als bislang angenommen, so die Verfasser. Bei bisherigen Attacken führten etwa 15 Versuche, den Code herauszufinden, zum Erfolg. Nun würden ein bis zwei Versuche ausreichen, um in den Besitz des korrekten PINs zu kommen, warnen die Forscher. Die theoretische Auslegung des vierstelligen Codes erfordert im Schnitt 5.000 Versuche.

Knackpunkt dabei sind die so genannten “Switches”. Sobald der Kartenbesitzer seinen PIN bei einem Geldautomaten eingibt, wird dieser samt Kontonummer zwecks Überprüfung zur Hausbank oder zu einem anderen autorisierten Institut geschickt. Da jedoch normalerweise keine direkte Verbindung zur Hausbank besteht, werden die PINs über eine große Anzahl von Switches geschickt, schreiben die Autoren. Um den Code zu schützen wird er in ein PIN-Block-Format umgewandelt und verschlüsselt. Jeder Switch entschlüsselt den EPB (Encrypted PIN Block), verifiziert das PIN-Block-Format und schreibt es wenn notwendig um. Anschließend wird der PIN-Block wieder verschlüsselt und gemeinsam mit einem Transport-Key an den nächsten Switch gesendet, wo sich das Prozedere wiederholt.

Genau hier liege der große Schwachpunkt, an dem betrügerische Bankmitarbeiter ansetzen können, monieren die Forscher. Sie könnten sich am Switch der eigenen Bank zu schaffen machen und sich auf diese Weise Kontonummern inklusive passender PIN-Codes aneignen. Die Angriffe können in enormem Ausmaß ausfallen, denn manche Switches bearbeiten 18 Mio. Datensätze pro Stunde, so die Autoren. “Der beunruhigendste Aspekt dieses Angriffes ist, dass das gesamte System nur so sicher ist, wie die unsicherste Bank”, meint Security-Guru Bruce Schneier. Man könnte annehmen, dass es reiche, wenn die eigene Bank strenge Sicherheitsrichtlinien umgesetzt hat. Allerdings muss der Kunde nun dem weltweiten System vertrauen, denn ein Mitarbeiter eines Instituts, mit dem man noch nie etwas zu tun hatte, kann den PIN-Code ebenso stehlen und Geld beheben, so Schneier.

“So einfach ist es nicht, denn praktisch ist ein solcher Diebstahl unmöglich”, widerspricht Susanne Stöger, Sprecherin von First Data Austria. Das Unternehmen ist für die Abwicklung des bargeldlosen, kartengestützten Zahlungsverkehrs zuständig . “Das Umschlüsseln der PIN-Blocks ist notwendig, da die nationalen Betreiber verschiedene Schlüssel verwenden, um ihre Sicherheit zu gewährleisten. Dies geschieht jedoch unter absolut hohen Sicherheitsvorkehrungen. Die Geräte, die diese Umschlüsselung vornehmen, stehen in aller Regel in einem Hochsicherheitstrakt und unterliegen der FIPS-Norm. Diese schreibt vor, wie im Fall eines versuchten Missbrauchs vorzugehen ist”, führt Stöger aus. Dabei kämen Selbstzerstörungsmechanismen zum Einsatz, die sofort alle Daten löschen, sobald der Versuch eines Einbruchs festgestellt wird. “Nicht einmal unser Sicherheitschef kann sich Zugriff zu diesem System verschaffen, noch viel weniger gelingt das einem ‘normalen’ Bankangestellten.”

Dass Betrug jedoch auch mit etwas technischem Wissen geht, bewiesen Gauner aus Großbritannien. Sie fingen die Bankdaten ohne aufwendige Hacking-Aktivitäten ab. Die dreisten Diebe gingen mit Hilfe eines MP3-Players ans Werk und ergaunerten umgerechnet rund 300.000 Euro. Die Bande habe laut Times of London die Telefonleitungen der Geldautomaten angezapft. Über einen Adapter für die Telefonbuchse leiteten die Betrüger die Signale des Geldautomaten an den MP3-Rekorder. Der Geldautomat erzeugt, ähnlich wie ein Analog-Modem, Audiosignale, die über die Telefonleitung geleitet werden und von einem Modem wieder in Daten umgewandelt werden. Diese Geräusche zeichneten die Ganoven auf und fütterten damit ein Programm, das diese Signale wieder in digitale Daten umwandeln konnte. Damit erstellten sie mehrere Kopien von Kreditkarten und gingen auf Shopping-Tour.

Der Arbeitskreis Vorratsdatenspeicherung will mit einer “Sammel-Verfassungsbeschwerde” gegen die von der Bundesregierung geplante Protokollierung der Nutzung von Telefon, Handy, E-Mail und Internet mobil machen. Wenn die Kommunikationsdaten “unzähliger Menschen” aufgezeichnet werden sollen, dann sollen sich auch “unzählige Menschen” beschweren.
Der Aufruf zur Erhebung einer Massenverfassungsbeschwerde sei in der deutschen Geschichte einmalig. Die von der Bundesregierung geplante Totalprotokollierung der Telekommunikation der gesamten Bevölkerung sei aber ebenfalls einzigartig, sagt der Politikwissenschaftler Ralf Bendrath vom Arbeitskreis Vorratsdatenspeicherung: “Frau Zypries will vorsorglich Informationen über unsere Telefonate, Bewegungen und Internetnutzung sammeln lassen für den Fall, dass wir zu Verbrechern werden. Wir sammeln vorsorglich Beschwerdeführer für den Fall, dass SPD und Union dieses verfassungswidrige Vorhaben tatsächlich umsetzen sollten. Wenn die Koalition unzählige Menschen bespitzeln lassen will, dann werden sich auch unzählige Menschen in Karlsruhe dagegen zur Wehr setzen.”

An der vom Arbeitskreis Vorratsdatenspeicherung vorbereiteten Verfassungsbeschwerde soll sich jedermann beteiligen können. Unter vorratsdatenspeicherung.de befindet sich ein Meldeformular. Die Vertretung der Beschwerdeführer vor dem Bundesverfassungsgericht wird der Berliner Rechtsanwalt Meinhard Starostik übernehmen, der Mitglied in dem Verein “RAV – Anwält/innen für Menschenrechte” ist.

Mit Dr. Rolf Gössner und Prof. Dr. Christoph Gusy unterstützen prominente Erstkläger die Verfassungsbeschwerde. Der Bremer Rechtsanwalt und Bürgerrechtler Rolf Gössner ist Präsident der Internationalen Liga für Menschenrechte (ILMR). Christoph Gusy ist Professor der Rechtswissenschaft an der Universität Bielefeld und der Meinung, das “geplante Gesetz begründet eine allgemeine, anlassunabhängige Duldungspflicht der Bürger im Hinblick auf mögliche polizeiliche Maßnahmen, welche ohne Wissen des Betroffenen und damit gleichfalls ohne Kontroll- oder Rechtsschutzmöglichkeit durchgeführt werden können. Eine derart allgemeine, breit angelegte Datenerhebung ist mit dem Grundrechtsschutz aus Artikel 10 des Grundgesetzes, dem Fernmeldegeheimnis, unvereinbar.”

Der Arbeitskreis Vorratsdatenspeicherung fordert, das deutsche Gesetzesvorhaben zumindest solange auszusetzen, bis der Europäische Gerichtshof über die von Irland im Juli eingereichte Nichtigkeitsklage gegen die EG-Richtlinie zur Vorratsdatenspeicherung entschieden hat.

Der GNU Privacy Guard, kurz GnuPG, ist in der Version 2.0 erschienen. Mit der OpenPGP- und S/MIME-konformen Software lassen sich Daten verschlüsseln und digitale Signaturen erzeugen. Zudem stellt GnuPG ein Framework zur Public-Key-Kryptographie dar – samt Schlüsselverwaltung – und kann den SSH-Agent auf Wunsch komplett ersetzen. Dabei bringt die neue Version eine modulare Architektur mit.

Anders als GnuPG-1 sind in der Version 2 die einzelnen Funktionen in verschiedene Module aufgeteilt. Beide Versionen können gleichzeitig auf einem System eingesetzt werden und GnuPG-1 kann sogar den neuen gpg-agent nutzen, wobei GnuPG-1 kleiner ist und weniger Abhängigkeiten aufweist. Daher soll GnuPG-1 auch weiterhin gepflegt werden, ist die alte Variante doch die bessere Wahl für kleine Systeme sowie Server, die nur Unterstützung für OpenPGP benötigen.

Der schon erwähnte “gpg-agent” dient in GnuPG 2 als zentrale Ablage für private Schlüssel und arbeitet als Daemon. Mit “gpgsm” gibt es zudem eine Implementierung des X.509-Standards, zugleich der Kern der S/MIME-Umsetzung. Die Kommandozeilen-Schnittstelle unterscheidet sich kaum von gpg.

Über “scdaemon” kann der gpg-agent zudem über eine einheitliche Schnittstelle auf verschiedene SmartCards zugreifen und der “gpg-connect-agent” stellt Skripten eine direkten Zugang zum gpg-agent sowie dem scdaemon zur Verfügung. Die Konfiguration wird in GnuPG über “gpgconf” verwaltet und über das Zusatzpaket Dirmngr können Zertifikate und Rückruf-Listen verwaltet sowie OCSP- und LDAP-Anfragen abgewickelt werden.

Dank der Unterstützung des “Secure-Shell-Agent-Protokolls” kann gpg-agent auch als Ersatz für den Daemon ssh-agent eingesetzt werden, samt SmartCard-Unterstützung.

GnuPG 2.0.0 steht ab sofort auf diversen Mirrors zum Download zur Verfügung.

Die im Arbeitskreis Vorratsdatenspeicherung zusammengeschlossenen Bürgerrechtsorganisationen fordern in einer Videobotschaft an die Bundeskanzlerin Angela Merkel einen Stopp der geplanten Vorratsspeicherung von Kommunikationsdaten. Eine Totalspeicherung der Telekommunikation der gesamten Bevölkerung sei vollkommen unverhältnismäßig, so die Bürgerrechtler. Dieser Protestnote schlisst sich auch der Vorstand der Krypto e.V. – Verein zur Förderung der Kryptografie mit an!

Internet-Nutzer wählten Monopolschutz für Datenaustausch per Mobiltelefon zum Softwarepatent des Jahres 2006 – Kritik an Europäischem Patentamt wegen Genehmigung zigtausender Softwarepatente

“Sollte das von der Europäischen Kommission voran getriebene ‘Europäische Übereinkommen über Patentstreitigkeiten’ (EPLA) in der derzeitigen Fassung in Kraft treten, erhält Siemens die Möglichkeit, das Patent EP0836787 europaweit durchzusetzen. Davon wären ungezählte, europäische Mobilfunk-Anbieter und -Dienstleister bedroht”, sagt Kampagnenmanager Harald Talarczyk.

Nach einem Beschluss des Landgerichts Kiel sind Mitarbeiter der Gesellschaft zur Verfolgung von Urheberrechtsverletzungen (GVU) nicht als neutrale Sachverständige in strafrechtlichen Ermittlungsverfahren anzusehen. Sie dürfen daher nicht mit entscheidenden Aspekten der Ermittlungstätigkeit betraut werden.

Das Landgericht Kiel hatte sich mit einer Beschwerde zu befassen, in der umfangreiche “Hilfstätigkeiten” der GVU bei staatsanwaltschaftlichen Ermittlungsmaßnahmen gerügt wurden. Offensichtlich ging es bei der Untersuchung um Ermittlungen gegen einen Tauschbörsennutzer.

In dem konkreten Fall hatte die Polizei eine Durchsuchung bei einem Verdächtigen durchgeführt. Bei der Durchsuchung dabei war – mit Erlaubnis der Polizei – ein Mitarbeiter der GVU, der im Rahmen der Untersuchung und im weiteren Ermittlungsverfahren eigenständig umfangreiche Maßnahmen vorgenommen hatte.

Das Landgericht beschreibt die Aktion in seinem Beschluss (Aktenzeichen 37 Qs 54/06) wie folgt: “Er [der Mitarbeiter der GVU, Anm. d. Red.] hat wesentliche Teile des Ermittlungsverfahrens selbst übernommen. Vor Ort bei der Durchsuchung hat er selbstständig den Rechner überprüft, alle für die weitere Untersuchung erforderlichen Feststellungen getroffen und den weiteren Gang der Untersuchung de facto bestimmt, war mithin investigativ tätig. Er erhielt sogleich im Anschluss an die Durchsuchung sämtliche sichergestellten Gegenstände – für die weitere Bearbeitung/Auswertung. Dann fertigte er am 29. November 2005 einen Auswertungsbericht, behielt die sichergestellten Gegenstände aber weiterhin und überließ diese – nach Aktenlage ohne jede Rücksprache mit Polizei oder StA – der Rechtsabteilung der X [gemeint ist die GVU, Anm. d. Red.]. Diese fertigte in Vollmacht ‘der Rechteinhaber’ eine umfassende Strafanzeige einschließlich rechtlicher Würdigung und Hinweisen an die StA nach Richtlinien für das Strafverfahren und das Bußgeldverfahren und übersandte mit der Strafanzeige die beschlagnahmten Gegenstände zurück. Dabei enthält der Auswertungsbericht nur wenige, die Strafanzeige die wesentlich relevanteren Angaben, so dass sie – ob gewollt oder nicht – ohne viel Weiteres als Abschlussverfügung übernommen werden könnte.”

Mit anderen Worten hat der GVU-Mitarbeiter wesentliche Teile der Ermittlungsarbeit übernommen. (Quelle Golem.de) weiter…