dimis linkdump

Die ewige Speicherdauer der Lokationsdaten? Bug. Dass die Geräte auch im non-”Location-Services”-Modus Daten speichern?  Bug.

Eine besonders schlechte Ausrede ist ja vor allem die Erstere. Immerhin wurde aus dem Location-Cache (in iOS <4 noch einer xml-artigen Datei (property list))  erst in iOS 4 eine Datenbank. Apple schreibt in seiner OSX Developer Library  folgendes:

Many applications require a mechanism for storing information that will be needed at a later time. For situations where you need to store small amounts of persistent data—say less than a few hundred kilobytes—property lists offer a uniform and convenient means of organizing, storing, and accessing the data.

http://developer.apple.com/library/mac/#documentation/Cocoa/Conceptual/PropertyLists/AboutPropertyLists/AboutPropertyLists.html

Jetzt muss man nochmal kurz rekapitulieren: Vor iOS 4 war die angegebene Datei noch eine .plist-Datei. In diesen Dateien sollten, laut Apple, nicht allzuviele Daten gespeichert werden. Weniger als einige wenige hundert Kilobyte. Aus welchem Grund wurde dann in iOS 4 aus eben dieser Datei eine Datenbank gemacht? Für mich sieht das eher danach aus, dass da bewusst mehr Daten rein sollten.
//update
Gawker (via EFF)
Untermauert meine Vermutung…

Zurück vom 27c3 – es gab viele interessante Vorträge. Einer davon war die Podiumsdiskussion über Netzneutralität mit scusi, Andreas Bogk (CCC) und Falk Lüke (Bundesverband der Verbraucherzentralen).

Einführung

Dass noch niemand eine gültige Definition von Netzneutralität hat und die im Rahmen einer Gesetzgebung erst noch erarbeitet werden muss, ist allen Beteiligten klar. Trotzdem ist Bogks Position herauszugreifen. Der definiert die Netzneutralität nicht dahingehend, dass jedes Datenpaket immer gleich behandelt werden muss sondern, dass Pakete nicht aufgrund ihres Absenders oder Inhalts unterschiedlich behandelt werden dürfen – sehr wohl aber priorisiert werden dürfen, wenn sie eine “Expressbriefmarke” enthalten.

Aufgrund dieser Briefmarke soll der Sender dem Provider mitteilen können, dass ein vom Sender ausgewähltes Datenpaket priorisiert behandelt werden soll. Damit soll Echtzeitkommunikation im Internet gesichert werden. Heißt, dass Telefonate, Videos und jede andere zeitkritische Kommunikation vom Sender mit einer solchen Briefmarke ausgestattet werden müssen. Diese Briefmarken sollen Geld kosten – sonst könnte man ja jedes Datenpaket mit dieser Briefmarke bekleben.

Zusätzlich soll es eine Internet-Grundsicherung geben. Die Datenpakete im Grundsicherungs-Internet sollen weiterhin wie heute unter dem Best-Effort-Prinzip versendet und empfangen werden.

Diese Vorstellung von Netzneutralität mag ein Kompromiss sein, der zwischen Datenschützern und Unternehmen eine Einigung herbeiführen kann. Immerhin wird nicht der Inhalt jedes Pakets über Deep Paket Inspection untersucht sondern nur überprüft ob eine Briefmarke auf dem Paket klebt. Das freut Datenschützer und Unternehmen – die Daten scheinen geschützt und die Unternehmen können neue Geschäftsfelder erschließen.

Kritik

Einer der offensichtlichen, aber beim Kongress nicht angesprochenen, Kritikpunkte ist die Praxistauglichkeit (für die Masse). Es wird jedem Nutzer die Möglichkeit gegeben, bestimmten Traffic zu priorisieren. Selbst unter der Vorraussetzung, dass alle Menschen verstehen, was diese Expressbriefmarke bewirkt, wie soll das “bekleben” der Pakete mit diesen Briefmarken denn funktionieren?

Im Netzpolitik-Podcast war einer der Vorschläge, dass die Homerouter und Betriebssysteme entsprechende Funktionalität implementieren sollen, die dem Nutzer eine einfache Priorisierung per Mausklick ermöglicht.  Trägt man sich jetzt YouTube im Router ein oder HTTP-Traffic allgemein? Wahrscheinlich YouTube selbst, denn hin und wieder kommt eben auch ein Linux-Download über HTTP rein, der definitiv nicht priosiert werden soll. Daraus folgt aber die Notwendigkeit eine Liste mit zu priorisierenden Diensten im Internet im Router zu führen. Allein die Vielfältigkeit  und Vielzahl von Echtzeitdiensten im Internet macht eine Liste aber unmöglich. Ein Popup im Firefox oder durch Windows vor jeder Verbindung ins Internet a la “Internet-Expressbriefmarke aufkleben? Ja / Nein” ist definitiv auch nicht Praxistauglich.

Alternativ könnte der Absender die Priorisierung für seine Angebote bezahlen – YouTube beispielsweise könnte dafür bezahlen, dass seine Videos mit der Briefmarke beklebt werden.  Damit wäre YouTube wahrscheinlich nie entstanden. Jedes finanziell knappe Startup das auf Echtzeitkommunikation angewiesen ist, würde damit im Keim erstickt. Damit hätte man wieder eine Selektion nach Absender – der Provider schaut zwar nicht in den header, sondern nur auf die Briefmarke, die Selektion findet dann aber anhand von finanziellen Mitteln statt.

An anderer Stelle in der Diskussion ging es um Kapazitätsengpässe und Aufteilung von endlichen Ressourcen. Hierbei wurde der Punkt angeführt, dass Provider keine finanziellen Mittel in den Netzaufbau pumpen, weil sich mit einem qualitativ schlechteren Netz das gleiche Geld verdienen lässt. Richtig erkannt wurde, dass wir uns als Gesellschaft ein qualitativ hochwertiges Netz wünschen.  Fraglich bleibt ob durch eine Trennung von priorisiertem Traffic und Grundsicherung die Provider wirklich mehr in den Netzausbau investieren. Dass mehr Geld in Unternehmen nicht zwangsläufig zu Investitionen führt, ist wohl kein Geheimnis. Viel eher sehe ich, dass solange die Netze die priorisierten Pakete problemlos transportieren auch weiterhin kein Netzausbau passiert und eine Folge dessen eine schlechte Qualität des Grundsicherungs-Internets ist. Irgendwann meutern dann vielleicht die Prio-Kunden, vielleicht ist das dann der Grund für neue Investitionen in den Netzausbau. Diesen Effekt erreicht man aber auch im Internet ohne Trennung – irgendwann meutern die Kunden, wenn die Bandbreite fehlt.

Als Fazit muss man festhalten, dass sich Andreas Bogk keinesfalls auf eine Seite mit den TelCos begeben hat – die wollen nämlich nach wie vor in die Pakete reinschauen und aufgrund von Inhalt, Absender und/oder Empfänger priorisieren. Definitiv der Worst-Case Fall. Ich halte Andreas Vorschlag eher für eine Lösung, die man noch aus der Schublade ziehen kann, wenn sich abzeichnet, dass eine 100%ige Gleichbehandlung der Pakete im Internet (ohne Priorisierung) nicht durchsetzen lässt.

Ganz kurz noch zum mobilen “Internet”: Im mobilen Internet könnte Andreas Vorschlag dann doch sehr wohl eine verbesserung der Situation herbeiführen. Da könnte der Vorschlag als erster Schritt hin zu einem echten Internet auf dem Handy genutzt werden. Auch wenn einige der oben genannten Probleme dort ebenfalls auftreten, wäre das besser als dieses kastrierte Internet was momentan verkauft wird.

• http://www.linux-magazin.de/NEWS/27C3-Video-Netzneutralitaet-und-QoS-ein-Widerspruch
• http://www.netzpolitik.org/2010/npp104-andreas-bogk-uber-netzneutralitat-und-netzwerkmanagement/

INDECT is a research project. The list of objectives DOES NOT include ANY kind of global monitoring of ANY society.

INDECT ist also ein Forschungsprogramm. Es hat sich zum Ziel gesetzt den europäischen Polizeibehörden mit technischen Innovationen zu helfen.

11 Millionen Euro sind aus dem 7. EU-Forschungsrahmenprogram an das Projekt INDECT geflossen. Beteiligt sind 17 Forschungseinrichtungen und Universitäten aus verschiedenen Ländern. Bis vor kurzem wurden Ziele,… relativ offen über die Projekthomepage kommuniziert. Die Kritik an dem Projekt wurde trotzdem immer lauter, bis dann schließlich der “Ethikrat” des Projekts beschlossen hat nicht mehr alle Informationen der Öffentlichkeit zur Verfügung zu stellen. Zwei Dokumente wurden deswegen von der Homepage entfernt. Dank der Piratenpartei und Futurezone landeten die Dokumente aber wieder im Internet – und dank dem Streisand-Effekt in einigen Medien.

Ich will hier einen Überblick über die Entwicklungen im Rahmen vom Projekt INDECT geben. Dabei halte ich mich relativ genau an die PDF INDECT_Deliverable_D9.4_v20100127.pdf,  in der alle Ziele, Teilziele schön aufgelistet und zusammgefasst sind (das ist eine der PDFs, die von der Homepage gelöscht wurden).
Work-Package wurde als Unterteilung des Projekts gewählt und wird von mit hier einfach übernommen.

Work-Package 1

Work-Package 2

Work-Package 3

Work-Package 4

Work-Package 5 & 6

Work-Package 7

Von der Opposition vernachlässigt, von den Medien totgeschwiegen und den Betroffenen unbekannt – Zensus 2011.

Kaum jemand weiß von der europaweiten Volkszählung im nächsten Jahr. Grund dafür ist vor allem, dass kaum ein Nachrichtenmagazin in der letzten Zeit davon berichtet hat. Beim Spiegel sind die aktuellsten Meldungen aus dem Jahr 11/2008. Ähnlich sieht es bei zeit.de aus. Bei der sueddeutschen ist der letzte von zwei Artikeln immerhin auf 04/2009 datiert.

Das wird daran liegen, dass keine politische Partei, auch nicht die Bündnis 90 – “1987: nur Schafe lassen sich zählen”- Grünen, den Zensus auf die politische Tagesordnung oder ins Mediengeschehen eingebracht hat.

Doch wann erfährt die deutsche Bevölkerung von der Volkszählung? Am 09.05.2011 um 20.00 Uhr in der tagesschau – da heisst es dann: “Stichtag! Heute war Volkszählung in Deutschland”. Ob dann der Aufschrei kommt?  Erstaunt werden sicher einige sein, denn einen Fragebogen wie 1987 müssen nur ganz wenige ausfüllen.

Das ganze nennt sich registerbasierte Volkszählung. Dabei geht es eigentlich nur um die Zusammenführung von einigen großen Bundes- und Landesdatenbanken in denen die gefragten Informationen zu finden sind.

Aus folgenden Datenbanken kommen folgende Datensätze in die Zensusdatenbank:

Aus den Meldebehörden-Datenbanken kommt:

1. Ordnungsnummer im Melderegister,
2. Familienname, frühere Namen und Vornamen,
3. Straße, Straßenschlüssel, Hausnummer und Anschriftenzusätze,
4. Wohnort, Postleitzahl und amtlicher Gemeindeschlüssel,
5. Tag der Geburt,
6. Standesamt und Nummer des Geburtseintrags,
7. Geburtsort einschließlich erläuternder Zugehörigkeitsbezeichnungen,
8. bei im Ausland Geborenen: Geburtsstaat,
9. Geschlecht,
10. Staatsangehörigkeiten,
11. Familienstand,
12. Wohnungsstatus (alleinige Wohnung, Haupt- oder Nebenwohnung),
13. Anschrift und Wohnungsstatus in der Gemeinde, aus der die Person zugezogen ist,
14. Anschrift der zuletzt bewohnten Wohnung in der Gemeinde,
15. Tag des Beziehens der Wohnung,
16. Tag des Zuzugs in die Gemeinde,
17. Herkunftsstaat bei Zuzug aus dem Ausland,
18. Tag der Anmeldung bei der Meldebehörde,
19. Tag des Wohnungsstatuswechsels,
20. Familienname, frühere Namen, Vornamen, Tag der Geburt und Ordnungsnummer des Ehegatten oder des eingetragenen Lebenspartners oder der eingetragenen Lebenspartnerin,
21. Familienname, frühere Namen, Vornamen, Tag der Geburt und Ordnungsnummer der minderjährigen Kinder sowie Familienname, Vornamen, Tag der Geburt, Schlüssel und Ordnungsnummer der gesetzlichen Vertreter,
22. Tag der letzten Eheschließung oder Begründung der letzten eingetragenen Lebenspartnerschaft,
23. Tag der Auflösung der letzten Ehe oder letzten eingetragenen Lebenspartnerschaft,
24. Anschrift des Wohnungsgebers,
25. Information über freiwillige Anmeldung im Melderegister,
26. Übermittlungssperre nebst Grund der Übermittlungssperre,
27. rechtliche Zugehörigkeit zu einer öffentlich-rechtlichen Religionsgesellschaft.

Aus der Datenbank Bundesagentur für Arbeit kommt:

• von allen sozialversicherungspflicht Beschäftigten und geringfügig Entlohnten:

1. Arbeitsort (amtlicher Gemeindeschlüssel),
2. Wirtschaftszweig,
3. Betriebsnummer der Arbeitsstätte,
4. Ausbildung,
5. ausgeübter Beruf,
6. Status der Beschäftigten (beschäftigt oder geringfügig beschäftigt),

• von allen arbeitslos gemeldeten:

1. Status (arbeitslos, nicht arbeitslos aber Arbeit suchend, nicht zu aktivieren),
2. höchster erreichter Schulabschluss,
3. letzte abgeschlossene Berufsausbildung,

• von allen Teilnehmern von Maßnahmen der Arbeitsförderung:

1. Art der Maßnahme (soweit von Bedeutung für die Erfassung der Erwerbstätigkeit),
2. höchster erreichter Schulabschluss,
3. letzte abgeschlossene Berufsausbildung,

Und damit man die Leute auch den Daten aus der Meldebehörden-Datenbank zuordnen kann, für jeden aus den oben genannten 3 Gruppen (s.g. Hilfsmerkmale):

1. Wohnort, Postleitzahl und amtlicher Gemeindeschlüssel,
2. Straße, Hausnummer und Anschriftenzusätze,
3. Familienname und Vornamen,
4. Geschlecht,
5. Tag der Geburt.

Achtung: Bisher hat keiner von uns auch nur eine Zeile auf dem Fragebogen ausgefüllt!

Bei den Wohnungs- und Hauseigentümern werden dann folgende Daten erfragt:

• für Gebäude:

1. Gemeinde, Postleitzahl und amtlicher Gemeindeschlüssel,
2. Art des Gebäudes,
3. Eigentumsverhältnisse,
4. Gebäudetyp,
5. Baujahr,
6. Heizungsart,
7. Zahl der Wohnungen,

• für Wohnungen:

1. Art der Nutzung,
2. Eigentumsverhältnisse,
3. Wohnung nicht meldepflichtiger Personen, soweit bekannt,
4. Fläche der Wohnung,
5. WC,
6. Badewanne oder Dusche,
7. Zahl der Räume.

Hilfsmerkmale sind wieder:

1. Familienname, frühere Namen, Vornamen und Anschrift der Auskunftspflichtigen,
2. Telekommunikationsnummern der Auskunftspflichtigen oder einer anderen Person, die für Rückfragen zur Verfügung steht,
3. Namen und Vornamen von bis zu zwei Wohnungsnutzern je Wohnung,
4. soweit bekannt: Zahl der Bewohner je Wohnung,
5. Straße, Hausnummer und Anschriftenzusätze der Wohnung.

Außerdem gibt es dann noch einige Stichproben, die per Fragebogen oder per Befragung durchgeführt werden.

Die oben genannten Punkte stammen aus Quelle [1].

Kritisch wird es jetzt:

1) Bei der Erhebung erfolgt keine Anonymisierung. Die Daten werden zunächst vollständig in der großen Zensus-Datenbank gespeichert, inklusive aller Hilfsmerkmale. (siehe oben). So schnell wie möglich,  spätestens aber nach 4 Jahren erfolgt eine Anonymisierung der Daten (Also die Löschung der Hilfsmerkmale) – §19 Absatz (1), ZensG 2011.

2) Übermittlungssperre (aus der Datenbank der Meldebehörden) inklusive Grund wird in der Zensusdatenbank gespeichert.

Besonders hervorzuheben ist hierbei, aus welchem Grund diese sensiblen Daten übertragen werden:

Das Merkmal „Übermittlungssperre nebst Grund der Übermittlungssperre“ ist erforderlich, um Personen mit Auskunftssperre nach § 21 Absatz 5 MRRG (wie bei Personen, denen Gefahren für Leben, Gesundheit, Freiheit oder ähnlich hochrangige Rechtsgüter drohen) einerseits zu zählen, andererseits aber auch dem Schutzbedürfnis der Betroffenen bei den Erhebungen des Zensus Rechnung tragen zu können.

Quelle [1]

Bleibt zu hoffen, dass die Bevölkerung frühzeitig informiert und nicht am Mai 2011 vor vollendete Tatsachen gestellt wird.

Immerhin kann eine Totalerhebung durchaus auch Vorteile bieten – ohne Diskussion darüber können aber Vor- und Nachteile nicht gegeneinander abgewogen werden.

Weitere Informationen

[1] Text des Zensusgesetz 2011 einschließlich Begründung

SIGINT 2010 – Unter dem Radar: Das Zensusgesetz 2010

Zensus 2011 – Zusammenfassung von Tobias Kalder

Inzwischen gehören Berichte über Datenschutzskandale zur täglichen Berichterstattung der Blogosphäre und der anderen Medien … und die besonders krassen und dummen kommentiere ich dann auch gerne mal.

Heute wurde ich auf einen solchen Datenschutzskandal hingewiesen. Es geht um eine iPhone-App (Quip) die es erlaubt Photos einfach zu verschicken. Im Grunde wie eine MMS nur, dass keinerklei Kosten (außer die für eine Internetverbindung) anfallen.

Um ein Photo zu verschicken hat die App das ausgewählte Photo einfach auf die Server der Betreiber hochgeladen und dann an den angegebenen Empfänger einen Link zugestellt.

Kommen wir zu den Sicherheitsmaßnahmen die dafür sorgen sollten, dass keine Unberechtigten Leute die Photos sehen. Immerhin wirbt der Betreiber damit, dass man mit dem App kostengünstig MMS ersetzen kann … und die können schließlich auch nur Sender & Empfänger lesen.

Die Sicherheitsmaßnahme bestand aus einer 5-stelligen alphanumerischen (0-9, a-z) Kombination, die an die URL

http://pic.quiptxt.com/*****

angehängt wurde. 36^5 = 60.466.179 Möglichkeiten. Damit hätten wir die Sicherheitsmaßnahmen schon besprochen.

Was passiert wohl bei solchen miserablen Sicherungsmaßnahmen? Es entstehen Skripte, die die Bilder automatisch abfragen und so die Daten der Nutzer systematisch verbreiten.(siehe Quelle unten)

Kommentar des Gründers von Addy Mobile (Programmierer vom Quip App) (Übrigens ein 3-Mann-Betrieb)

Hello, this is Ish, the founder of Addy Mobile, makers of the Quip app.

As soon as this post came to our attention, we immediately shut down our servers. We have also now disabled all S3 access and have started to systematically secure all files in the system. We will not bring the system back up until we have adequate security around all files shared over Quip.

I apologize to our users for this security breach and promise we will do everything in our power to make sure none of their information is exposed once we bring the service back up.

The vision for Quip has always been to provide users a quick, simple, and affordable way for iPhone users to send picture messages without paying exorbitant carrier fees. We are a small company (3 people) but we will work as quickly as possible to bring back the service up in a safe and secure manner.

-Ish

Liebr Ish, um eine Sicherheitspanne zu haben, sollte man erst einen gewissen Grad an Sicherheit in seiner Webanwendung haben. Das war alles aber keine Panne.

Die Server von Quip und das Backend (gehostet von Amazon S3) sind beide zum Glück nicht erreichbar. Offensichtlich haben die “Programmierer” wenigens das richtig gemacht.

Übrigens gehen die ersten Meldungen über die Lücke auf den 05. November 2009 zurück:

http://digg.com/security/Quip_TXT_for_iPhone_FAIL_WIN_NSFW

Bekannter wurde die Lücke jetzt durch Reddit

http://www.reddit.com/r/pics/comments/bjezp/massive_privacy_fail_quiptxtcom_is_a_site_that/

Dieser Artikel basiert auf einer Veröffentlichung von Sid Stamm und Christopher Soghoian. S. Quelle (unten).

Nur kurz ein Überblick über den grundlegenden Aufbau von SSL:

SSL chain of trust

In der SSL pki gibt es drei Arten von Zertifikaten:

root CA:  Diese sind meist in Browsern hinterlegt. Das ist die s.g. Wurzelinstanz. Davon gibt es viele verschiedene.

intermediate CA: Die vorher genannte Wurzelinstanz vertraut diesen Zwischeninstanzen. Mit diesen Zwischeninstanzen können SSL-Zertifikate für alle Websites erstellt werden.  Kann der Browser die Vertrauenskette (chain of trust) bis zur in seiner Datenbank hinterlegten Wurzelinstanz (root CA) zurückverfolgen, wird dem SSL-Zertifikat vertraut und die bekannten blauen, grünen Balken und Vorhängeschlösser werden angezeigt um dem Nutzer eine verschlüsselte Verbindung anzuzeigen.

untrusted CA: CAs denen werder eine intermediate CA noch eine root CA vertraut, nennt sich untrusted CA. Hat eine Webseite ein solches Zertifikat hinterlegt, kommt die bekannte Meldung, dass “dieser Verbindung nicht getraut” wird.

Für den Endnutzer gibt es keinerlei Unterschied zwischen root CA und intermediate CA. Beide veranlassen den Browser eine “sichere” Verbindung anzuzeigen.

Dadurch könnte TÜRKTRUST ein Zertifikat für banking.postbank.de, obwohl das echte Zertifikat eigentlich von Verisign kommt. Bei beiden Zertifikaten würde der Browser eine sichere Verbindung zu banking.postbank.de anzeigen.

Staatliche SSL MITM-Angriffe

Sid Stamm und Christopher Soghoian haben in einem Paper einen neuen “Angriff” auf SSL vorgestellt den sie “compelled certificate creation attack” nennen.  Dieser kann vor allem von Geheimdiensten eingesetzt werden um mit SSL verschlüsselte Verbindungen zu überwachen.

Es gibt diverse interessante Punkte in dem Paper:

Chrome, Safari und der Internet Explorer setzen alle auf die im Windows  Trusted Root Store hinterlegten Zertifikate. Besonders pikant an dieser Tatsache ist, dass folgende staatliche root CAs standardmäßig hinterlegt sind:

Österreich, Brasilien, Finnland, Frankreich, Hong Kong, Indien, Japan, Korea, Lettland, Macao, Mexico, Portugal, Serbien, Slowenien, Spanien, Schweiz, Taiwan, Niederlande, Tunesien, Türkei, USA, Uruguay

Firefox hat eine eigene Datenbank für root CAs.

Im Paper wird auch ein Beispiel angegeben, was durch die Integration von staatlichen root CAs  möglich wäre:

As an example of what is currently possible,should it do so, the Korean Information SecurityAgency can create a valid SSL certificate for the Industrial and Commercial Bank of China (whose actual certificate is issued by VeriSign, USA), that can be used to perform an effective man-in-the-middle attack against users of Internet Explorer.

s. Quelle

Dieses Szenario halten die Forscher aber für eher unwahrscheinlich, da durch die Nutzung des eigenen staatlichen Zertifikats zu viele Spuren auf den abgehörten Rechnern bleiben würden.

Für viel wahrscheinlicher halten es die Forscher, dass Zertifizierungsstellen durch gesetzliche Regelungen und Geheimdienste dazu aufgefordert werden ihnen bei der Überwachung behilflich zu sein. Die Forscher nennen Beispiele aus den USA, bei denen diese Hilfestellung durch Telekommunikationsanbieter schoneinmal geschehen ist:

Examples of compelled assistance using these statutes include a secure email provider that was required to place a covert back door in its product in order to steal users’ encryption keys, and a consumer electronics company that was forced to remotely enable the microphones in a suspect’s auto-mobile dashboard GPS navigation unit in order to covertly record their conversations.

s. Quelle

Dass diese Szenarien durchaus real sein können,  wollen die Forscher auch beweisen. Im Oktober 2009 war einer der Autoren auf einer Konferenz in Washington, D.C., die die gesetzmäßige TK-Überwachung zum Thema hatte.

Eine der Firmen, die auch auf dieser Konferenz waren (Packet Forensics), hat dort die s.g. LI-5 Serie vorgestellt. Ein kleines Gerät, welches das “Internet Cafe Problem” ideal lösen soll:

The 5-Series is an ideal solution to the “Internet Cafe Problem”. Quick deplyment and remote control minimize personnel risk and maximize collection capabilities.

(Zitat aus dem Werbeprospekt,s. Quelle)

Interessant an dem Gerät sind die Features:

• Es kann ein- und ausgebaut werden, ohne dass der Netzwerkverkehr merklich gestört wird. (Auch bei Ausfall der Hardware)
• “Supports stealth upstream reporting (practically undetectable)”
• Es kann, um TLS / SSL-Verbindungen zu entschlüsseln und zu protokollieren,  ein valides Zertifikat hinterlegt werden. Da wurde quasi SSLStrip auf dem Gerät implementiert:

“Packet Forensics’ devices are designed to be inserted-into and removed-from busy networks without causing any noticeable interruption [...] This allows you to conditionally intercept web, e-mail, VoIP and other traffic at-will, even while it remains protected inside an encrypted tunnel on the wire. Using ‘man-in-the-middle’ to intercept TLS or SSL is essentially an attack against the underlying Diffie-Hellman cryptographic key agreement protocol [. . . ]To use our product in this scenario, [government] users have the ability to import a copy of any legitimate key they obtain (potentially by court order) or they can generate ‘look-alike’ keys designed to give the subject a false sense of confidence in its authenticity.”

(Zitat aus dem Werbeprospekt, s. Quelle)

Auf der Webseite von Packet Forensics ist die LI-5 Serie nur mit Username und Passwort zu erreichen:

http://www.packetforensics.com/products.safe

In dem Paper (Quelle) sind allerdings Scans von Werbeprospekten dabei, von denen auch die oben zitierten Texte stammen.

Weiter geht es in dem Paper auch um VeriSign und Etisalat und deren eventuelle Kooperation mit staatlichen Behören. Da bringen die Autoren allerdings keine echten Beweise sondern eher Vermutungen ins Spiel.

Wie die Situation in Deutschland ist, bleibt leider noch offen. Eine Bundes – CA ist scheinbar nicht in den Browsern integriert. Ob root CA-Anbieter in Deutschland dazu gezwungen werden können für bestimmte Domains  Zertifikate (oder gar komplette intermediate CAs) auszustellen, wird hoffentlich bald untersucht und veröffentlicht.

Quelle

http://files.cloudprivacy.net/ssl-mitm.pdf

Da momentan viele über Google “Vorgeschlagene Sites deaktivieren” hier reinkommen, hier kurz die Anleitung zum deaktivieren:

http://news.magnus.de/software/QQartikelZ92719/bild/43/internet-explorer-8.html

Der ursprüngliche Artikel:

Der IE8 bringt ein neues Feature mit: Vorgeschlagene Sites. Da werden die besuchten Seiten (vollständige URL mit Parametern), IP-Adresse, dem Browsertyp sowie den Gebietsschema- und Spracheinstellungen an Microsoft übertragen. Dort werden die Informationen gespeichert und ausgewertet und man bekommt dann Vorschläge für Seiten, die den besuchten ähneln.

Ansich eigentlich nett…wäre da nicht…

(weiterlesen…)