27C3 – Tag 2 – it’s rocket science!

Am zweiten Tag wurde es etwas technischer, deshalb möchte ich auf den Vortrag “Recent advances in IPv6 insecurities” von van Hauser von The Hackers Choice vom 1. Kongresstag zurückkommen. Da voraussichtlich alle rund 4 Milliarden IPv4-Adressen im Februar 2011 vergeben sein werden, wird IPv6 2011 eine wichtige Rolle spielen. Mit IPv6 werden insgesamt rund 340 Sextillionen Adressen verfügbar sein, was für einen längeren Zeitraum reichen sollte. Die neue Protokollversion wartet noch mit einigen anderen Neuerungen auf. Für die meisten Anwendungen wird der Einsatz eines DHCP-Servers nicht mehr notwendig sein, da die “Autoconfiguration” die Verteilung der IP-Adressen übernehmen wird. “Mobility” wird dafür sorgen, dass Mobilgeräte an jedem Punkt der Erde die selbe IP besitzen werden. IPSec soll die Verschlüsselung und die Überprüfung der Authentizität von IP-Paketen ermöglichen (IPSec verhindert jedoch keine Attacken auf der Anwendungebene). Was diese Neuerungen dem Benutzer in der Praxis tatsächlich bringen werden, muss noch gezeigt werden. Van Hauser ist beispielsweise überzeugt, dass IPSec nur im Hochsicherheitsbereich eingesetzt werden wird, da das Anwenden von IPSec mühsam sei. Diese Neuerungen könnten jedoch auch unvorhergesehene Seiteneffekte beinhalten: beispielsweise muss die Firewall neu konfiguriert werden. Auch das 15-jährige Bestehen des IPv6-Protokolls könnte einige Probleme aufwerfen. Vor 15 Jahren wurde das lokale Netz noch als sicher betrachtet, was einige Angriffe innerhalb lokaler Netze ermöglicht. Mit ND-Spoofing – die IPv6-Variante des ARP-Spoofings, lässt sich beispielsweise eine Man-in-the-middle Attack bewerkstelligen. Auch ein Denial of Service (DOS) ist relativ einfach zu erreichen: beispielsweise durch einen Duplicate Address Detection DOS, der auch schon bei IPv4 funktionierte oder mit einem Router Advertising Flooding (funktioniert bei Cisco ASA/PIX, Windows 2008/7/Vista und alten Linux-Systemen). Die Mechanismen des “Autoconfiguration” können von einem Angreifer ausgenutzt werden, um beispielsweise seinem Netzwerkinterface eine höhere Priorität zuzuweisen als demjenigen des lokalen Routers um damit den Datenfluss durch seinen Rechner laufen zu lassen. Für Experimentierfreudige hat Van Hauser ein Tool-Set ins Internet gestellt, womit einige Schwachpunkte des IPv6 ausprobiert werden können. Eine gute Zusammenfassung möglicher Angriffe findet der Interessierte in der Präsentation (leider noch die alte Version von 2005) oder im Videomitschnitt.

Die Lightning Talks waren mit einer Dauer von 4 Minuten pro Präsentation erfrischend kurz. Ulrich Greveler, Benjamin Justus und Dennis Löhr haben die immer wieder auftretenden Datenpannen satt und starteten an der FH Münster das Projekt DaPriM, was soviel heisst wie Data Privacy Management. In diesem Projekt überlegen sie sich, wie der Datenschutz in Firmen verbessert werden könnte. Ein irreversiblen Datenverschluss, bei dem sensible Rohdaten innerhalb des Systems verschlüsselt gespeichert werden, könnte beispielsweise sicherstellen, dass keine entschlüsselte Rohdaten aus dem System extrahiert werden könnten (auch nicht durch den Administrator). Die Rohdaten könnten so ausschliesslich auf dem System genutzt werden, auf dem sich auch der Schlüssel befindet. Eine andere Idee besteht darin, dass ein Benutzer nur eine bestimmte Anzahl Datenbankabfrage durchführen könnte. Momentan befindet sich das Projekt noch am Anfang und das Team sucht noch nach weiteren Ideen.
Einige Projekte, die mit einem Lightning Talk vorgestellt wurden, widmen sich dem Einsatz von verteilten Daten. Raffael Kéménczy will mit dem Projekt Starfisch langfristig die zentralen Stellen im Internet (beispielsweise Domain Name System, Google, Facebook, Wikipedia und viele andere) dezentralisieren. Wie er das erreichen will, ist momentan noch ziemlich offen (weshalb ich bezüglich der Realisierung sehr skeptisch bin). Das Projekt befindet sich momentan in der Konzeptphase und sucht noch nach Mitarbeitern. Jonatan Walck ist mit seinem Projekt Telecomix DNS zur Dezentralisierung des Domain Name System bereits einen Schritt weiter und bietet einen funktionierenden Service an. Die Idee eines alternativen DNS-Systems ist jedoch nicht neu und keiner der Anbieter konnte sich bis jetzt durchsetzen. Das Hauptproblem liegt darin, dass Webseiten, die über eine alternatives Domain Name System laufen, standardmässig nicht aufgelöst werden. Dazu sind erst Änderungen beim Internet Provider oder im eigenen System notwendig. Beim Telecomix DNS sind die notwendigen Programme erst in der Entstehung. Seeks von Loic Dachary will Suchabfragen dezentralisieren und ein “Social Search” ermöglichen. Beim “Social Search” stellt ein Benutzer die Resultate seiner Suchabfrage anderen Suchenden zur Verfügung. Natürlich kann der Benutzer darüber entscheiden, welche Suchabfragen anderen Leuten zur Verfügung gestellt werden und welche nicht. Zusätzlich sollen eigene Suchabfragen mit den betreffenden Resultaten gespeichert werden können. Eine erste experimentelle Softwareimplementation für Linux und Freebsd ist bereits vorhanden und über Public Nodes können Interessierte anonyme Suchabfragen tätigen. Was mir an der Suchengine gut gefällt, ist die Bereitstellung der Suchresultate verschiedener Suchmaschinen (wobei die Suchmaschine angegeben wird), die Möglichkeit die Suchresultate zu clustern und zu gruppieren. Nicht unbedingt einen dezentralisierten aber trotzdem einen alternativen Ansatz verfolgt “Libre Projects” von Jan-Christoph Borchardt. Ähnlich wie ein Internet-Store von Apple, Google usw. will “Libre Projects” eine Internetplattform für freie Projekte / Software anbieten. Auch dieses Projekt steht erst am Anfang, es ist jedoch eines der acht Projekte, die von Wikimedia Deutschland für ein Jahr finanziert wird.
Mitch Altman ist der Erfinder von TV-B-Gone. Er liebt es Workshops zur Programmierung von Mikrocontrollern durchzuführen und nutzt dazu Adruino, eine open-source Electronics Prototyping Platform. Adruino kann entweder von Hand zusammengebaut oder gekauft werden, um anschliessend anhand von Beispielen seine erste Schritte in der Programmierung eines Mikrocontrollers zu machen. Damit lässt sich sogar TV-B-Gone nachbauen.

Sai ärgert sich über den Einsatz der Nacktscanner an Flughäfen. Er bemüht sich deshalb die Arbeit der Angestellten der Transportation Security Administration (TSA) so schwer wie möglich zu gestalten und hat dazu einen Flyer zusammengestellt, welcher die Rechte der Passagiere auflistet. Beispielsweise wissen die wenigsten Fluggäste, dass sie das Scannen durch einen Nacktscanner verweigern können. Die Konsequenz davon ist eine von Hand durchgeführte Durchsuchung. Die Durchsuchung darf nur im Einverständnis des Betroffenen durchgeführt werden und nur so weit gehen, dass der Transport von Waffen oder Sprengstoff festgestellt und verhindert werden kann. Sollte jemand sehr enge Leggings tragen, gibt es keinen Grund für eine intime Durchsuchung. Der Durchsuchte hat übrigens das Recht einen Zeugen seiner Wahl beizuziehen. Diese Regelungen sind jedoch nur in den USA gültig, in Europa sieht die gesetzliche Lage womöglich anders aus. Tara Bahrampour, “Scanners, pat-downs trouble religious travelers“, The Salt Lake Tribune, 31.12.2010 beschreibt, wie das Scannen und/oder das von Hand durchgeführte Durchsuchen die Gefühle religiös eingestellter Personen verletzen kann (lesenswert!).

Die “Part-Time Scientists” haben seit dem 24. Juni 2009 Grosses vor: sie wollen mit einem Rover den Mond erreichen, damit mindestens in 500m Entfernung von der Landestelle die Mondoberfläche erkunden und Daten sowie Bilder auf die Erde zurückfunken. Die Part-Time Scientists nehmen als deutsches Team am Google Lunar X Prize teil, wobei Karsten Becker und Robert Boehme während ihres Vortrags glaubhaft versichern konnten, dass der Wettkampf um die 20 Millionen US-Dollar Preisgeld nicht ihre Hauptmotivation ausmacht. Die Zielerreichung stellt eine überaus interessante Herausforderung dar, anhand derer viele Erfahrungen gesammelt werden kann. Anlässlich des 27C3 gaben sie die Partnerschaft mit dem Deutschen Zentrum für Luft- und Raumfahrt (DLR) und Altium bekannt. Während des vergangenen Jahres entwickleten sie einen neuen Rover (Asimov Jr R2 – siehe Bild links), den sie anfangs Juni an der Internationalen Luft- und Raumfahrtausstellung (ILA) zeigten. Der Rover beinhaltet zwei Kameras und ein Teleobjektiv auf einem Periskop um die Erstellung von 3D-Bildern von der Mondoberfläche zu ermöglichen. Damit wird das Team in der Lage sein Löcher sowie Spalten auf der Mondoberfläche festzustellen und sie mit dem Rover zu umfahren. Da Spalten ein nicht zu unterschätzendes Risiko für den Rover darstellen, entschied sich das Team mit Hilfe der TU Berlin den Lander an der Apollo-Landestelle aufsetzen zu lassen und den Rover von dort aus einzusetzen. Im Gegensatz zum restlichen Gebiet auf dem Mond existieren von der Umgebung der Apollo-Landestelle sehr gute und viele Fotos. Ein erstes Modell des Landers wurde anfangs Dezember fertiggestellt. Im Verlauf des nächsten Jahres sollen Elektronik, Software und Rover umfangreich getestet werden. Vom Lander sollen zusätzliche Prototypen und eine Vollversion gebaut werden. Bereits 2010 wurde die Medienpräsenz ausgebaut – 2011 soll die Öffentlichkeitsarbeit noch verstärkt werden (Facebookseite – Hell yeah, it’s rocket science!, Audiomitschnitt).

Mark Fonseca Rendeiro aka Bicyclemark ist ein Citizen Reporter und stellte in den letzten Jahren interessante Reportagen und Projekte am Chaos Communication Congress vor (23C3: Podjournalism, 24C3: The Arctic Cold War, 25C3: Not Soy Fast; 26C3). In diesem Jahr handelt der Vortrag über seine Aufgabe afghanischen Wahlbeobachter über den Einsatz der Software Ushahidi während der afghanischen Parlamentswahl im September 2010 zu unterrichten und die Visualisierung der eingehenden Berichte auf einer Karte sicherzustellen. Ushahidi ist eine open-source Software, die eingehende Nachrichten (beispielsweise via SMS) auf einer Karte abbilden kann. Sie wurde erstmalig nach den Präsidentschaftswahlen in Kenia Ende 2007 eingesetzt, um gemeldete Gewaltübergriffe zu visualisieren. Auch in Haiti wurde Ushahidi zur Visualisierung der Verfügbarkeit von Nahrung, Wasser, medizinischer Versorgung und der Lokalisierung von Gewaltausbrüchen eingesetzt. Dies sind nur zwei von vielen Einsatzgebieten (vgl.: Ushahidi-Homepage). Bicyclemark wurde ein Monat vor den Wahlen für diese Aufgabe angefragt, was ihm nur wenig Vorbereitungszeit liess. In Afghanistan war er mit einigen Problemen in Zusammenhang mit den afghanischen Wahlbeobachtern und den Handy-Netz-Anbietern konfrontiert. Beispielsweise waren die afghanischen Wahlbeobachter der Ansicht, dass mit der Übermittlung ihrer Beobachtungen und deren anonymisierten Veröffentlichung ihre Identität (inklusive Adresse, Telefonnummer usw.) ins Internet gelangt, so dass die Taliban sie finden und bestrafen könnten. Das ist natürlich nicht der Fall, doch in Afghanistan besteht die Meinung, dass das Einloggen ins Internet automatisch alle persönlichen Daten für andere verfügbar macht. Neben den Berichten der Wahlbeobachter waren auch die Erfassung von Antworten auf bestimmte Fragen geplant. Da die Berichte der Wahlbeobachter und die Antworten auf diese Fragen über das Handy-Netz zurück in die Zentrale zu Ushahidi geschickt wurden, bestanden die Handy-Netz-Anbieter, dass keine Antworten von “politisch kontroversen Fragen” (beispielsweise, ob jemand bei den letzten Wahlen teilgenommen hatte oder wie alt jemand ist) über ihr Handy-Netz gesendet werden. Schliesslich wurde auf die Fragen gänzlich verzichtet. Wie wir wissen, waren die Parlamentswahlen nicht sehr erfolgreich: von (geschätzten) 17 Millionen Wahlberechtigten partizipierten nur 5,6 Millionen, was einer Wahlbeteiligung von rund 33% entspricht, wobei jedoch 1,3 Millionen dieser Stimmen im Nachhinein als ungültig erklärt wurden (vgl.: “Was läuft eigentlich in Afghanistan 06?“, 16.11.2010). Trotzdem ist Bicyclemark überzeugt, dass – wenn die Situation in Afghanistan berücksichtigt wird – die Wahlen nicht so schlecht verliefen, wie es in den westlichen Medien zu lesen war. Er betrachtet die Tatsache, dass überhaupt 4,3 Millionen gültige Stimmen abgegeben wurden als Erfolg. Nach Einschätzung von Bicyclemark liegt die Stärke bei Ushahedi bei der Erfassung von Gewalt, Verbrechen, Ressourcen usw. in Krisenzonen, wenn die Bevölkerung ein Interesse am Absetzen solcher Meldungen hat. Ushahedi ist jedoch weniger geeignet bei Wahlbeobachtungen, in einem Kriegsgebiet, wenn die Daten nicht durch eine Vielzahl von Personen (Bevölkerung) übermittelt werden, wenn die Bevölkerung kein Interesse am Absetzen von Meldungen hat oder wenn dies aus Sicherheitsgründen nicht möglich ist (Audiomitschnitt).

Was Nicholas Merrill wiederfahren ist, grenzt an eine Story eines Agentenfilms. Er gründete 1994 den kleinen Internetprovider-Dienst Calyx Internet Access, auf dem auch Inhalte alternativer Medien mit teilweise kontroversen Themen gehostet wurden. Bis zu den Terroranschlägen am 11. September 2001 stellte dies kein Problem dar. Nach den Anschlägen veränderte sich die politische Lage in den USA und der Patriot Act wurde sechs Wochen nach den Anschlägen verabschiedet, welcher auch den Einsatz von National Security Letters (NSL) ausweitete. Merrill erhielt anfangs 2004 einen Telefonanruf des Federal Bureau of Investigation (FBI) mit der Mitteilung, dass ein FBI-Agent ihn im Büro aufsuchen werde. Dieser FBI-Agent übergab ihm einen NSL, welcher Daten und Aufzeichnungen eines Kunden von Calyx verlangte. Die schriftliche Anweisung war nicht begründet und nicht durch einen Richter unterzeichnet. Das FBI verbot ihm über den Erhalt des NSL und dessen Inhalt zu sprechen, was auch den Kontakt eines Anwalts oder eines Richters miteinbezog. Die angeforderten Daten und Aufzeichnungen durften nicht mittels Post, Email oder durch einen Telefonanruf sondern nur persönlich an einen FBI-Agenten übergeben werden. Da Merrill die Rechtmässigkeit der FBI-Anweisung anzweifelte und befürchtete, dass sein Kunde wegen politischen Aussagen ins Kreuzfeuer des FBI’s geraten war, kontaktierte er – entgegen der Anweisung – seinen Anwalt. Da der Anwalt das Vorgehen des FBI’s als unrechtmässig einstufte, wurde die American Civil Liberties Union (ACLU) beigezogen. Bis zu diesem Zeitpunkt hatte die ACLU noch nie einen NSL zu Gesicht bekommen und bot Merrill an, ihn vor Gericht zu vertreten. Auf Grund des in der Anweisung festgehaltenen Redeverbots wurde Merrill im Gerichtsverfahren als “John Doe” bezeichnet (Doe v. Ashcroft, Doe v. Gonzales, Doe v. Mukasey und Doe v. Holder). Der US District Richter Victor Marrero sah in der Anwendung des NSL durch das FBI ein Verstoss der Verfassung, weil damit gegen das 1st Amendment (Redefreiheit), das 4th Amendment (Schutz vor unangemessen Durchsuchung und Beschlagnahmung) verstossen wird und weil dem Betroffenen das Recht verweigert wird, gegen den NSL juristisch vorzugehen. Der US Kongress griff die Sache jedoch auf, passte das dem NSL zugrunde liegende Gesetz der Verfassung an und setzte die Schweigepflicht gegenüber Anwalt und Richter aus. Dafür setzte der Kongress auch das Strafmass fest: sollte das Redeverbot nicht eingehalten werden, drohen dem Betroffenen 10 Jahre Gefängnis. Da die Regierung den erstinstanzlichen Richterspruch vor dem Appellationsgericht anfocht, gab das Appellationsgericht den Fall wegen der geänderten Gesetzgebung zur erneuten Überprüfung an die Erstinstanz zurück. Im September 2007 stellte der US District Richter Marrero noch einmal den Verstoss gegen die Verfassung fest (vgl.: Dan Eggen, “Judge Invalidates Patriot Act Provisions“, Washington Post, 07.09.2007). Nach dem Urteil hatte das FBI kein Interesse an den Daten mehr und zog den NSL zurück. Dies bedeutete, dass nicht mehr gegen den NSL gerichtlich vorgegangen werden konnte – nur noch die Aufhebung des Redeverbotes konnte verlangt werden (diese Taktik wendete das FBI auch bei zwei weiteren Fällen an). Mit der Drohung Merrills gegen das Redeverbot vor Gericht anzukämpfen, gab das FBI schliesslich nach und liess das Redeverbot im August 2010 fallen, jedoch mit der Auflage, dass Merrill nur über diejenigen Dinge sprechen darf, welche in den überarbeiteten FBI-Dokumenten nicht geschwärzt sind (als Beispiel: der überarbeitete NSL von Merrill). Zwischen 2003 und 2008 stellte das FBI 234’047 NSL aus – nur drei davon wurden gerichtlich angefochten (Quelle: Office of the Inspector General, U.S. Department of Justice, “A Review of the FBI’s Use of NSL: Assessment of Corrective Actions and Examination of NSL Usage in 2006“, March 2008, p. 110 und Kim Zetter, “FBI Use of Patriot Act Authority Increased Dramatically in 2008“, Wired, Threat Level, 19.05.2009). Merrill findet es enttäuschend, dass sich nicht mehr Leute und Firmen (insbesondere Internet Service Provider) gegen die erhaltenen NSL’s gewehrt hätten. Er unterstreicht, wie wichtig es sei, gegen exzessive staatliche Überwachung anzukämpfen und ist der Meinung, dass Internet Service Provider eine ethische Verpflichtung hätten, ihre Kunden zu schützen.

Pressereviews

• Detlef Borchers, “27C3: Von Angriffen und Ausweisen“, Heise, 28.12.2010.
• Stefan Krempl, “27C3: Abhören von GSM-Handys weiter erleichtert”, Heise,
• 28.12.2010 (englisch version).
• Stefan Krempl, “27C3: “Kein Datenpaket ist illegal“, Heise, 29.12.2010.
• Stefan Krempl, “27C3: Vorschlag zur Rundum-Verschlüsselung des Datenverkehrs“, Heise, 29.12.2010.