SIGINT ’09 – Tag Zwei

sigint-logo-new3Der zweite Tag der SIGINT fing ähnlich wie der Erste an, ein wenig zu spät dran, vorher noch Geld holen. Dann aber ging’s gleich in die Vollen, ab der Keynote von Fx volles Infofeuer. Zwischendurch mal ein wenig essen bei Pizza Hut und dann weiter. Von 18-20:00 Uhr dann mal eine Pause gemacht, wegen Informationsüberladung. Tiefpunkt des Tages. Danach weiter zum „Ubunut Privacy Remix“ und dann GSM-Workshop. Das Highlight des Tages: der GSM-Workshop. Echt beeindruckend was die Jungs da schon erreicht haben. Nun aber noch ein paar Infos zu den einzelnen Events wo ich heute war:

Keynote Tag 2: Pranks, Bugs, and Insecurities: Das man sicher Programmieren sollte. Nicht auf Grund von Performance die Sicherheit vernachlässigen oder sogar bewusst ausbauen. Codingstyle. Authentifizierung. Allheilmittel Crypto, was es aber mitnichten ist! Wie wir uns auf den einzelnen Protokollschichten immer wieder Features ein und dann wieder ausbauen. Wie sollte eine gute Schnittstelle aussehen, wie sind Schnittstellen meist Implementiert. Schlecht! Schnittstellen == Sollbruchstellen. Statement von Fx: „Du bist Security!“

Das neue Grundrecht – …auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme: Frank und Constanze führten vor wie es der Staat mit Vertraulichkeit und Integrität von informationstechnischen Systemen hält. Wie oft und wie schnell Hausdurchsuchungen angeordnet werden und das dann meist immer alles technische mitgenommen wird. Dies kommt dann in Lager und wartet Ewigkeiten auf die Auswertung. Auch erklärten sie wie man sich bei solchen Eingriffen der Polizei am besten verhalten sollte. Großoperationen der Polizei seien genauso wirkungslos wie bei einzeln Aktionen. Meist resultieren daraus keine Verurteilungen. Dann gingen sie noch auf die 2 Arten von Richtern ein, welche es wohl geben soll. Einmal die Durchwinker, welche alles ohne grosses Prüfen durchgehen lassen und dann gibt es noch die Ernstnehmer, welche ihre Fälle auch mal prüfen. Dann noch ein paar Statements zum Verhältnismäßigkeitsgrundsatz. „Durchschnittlich 25 Durchsuchungen am Tag“ Anwälte verklagen sich auch mal untereinander, wegen nicht gegebener Verhältnismässigkeit werden die Verfahren aber immer eingestellt. Aufruf: Festplatte verschlüsseln, Passwort nicht angeben, Anwalt verlangen. Festplattenshredder als Schutz ;-)

Bloggen gegen Überwachung: Es ging um den Prozess gegen Andrej Holm welcher als Terrorist verdächtigt wurde und wohl auch noch wird. Im weiteren eben auch um die teilweise sehr absurde Überwachung von seiner Freundin und seinem gesamten Umfeld. Chronologie über den Verlauf. Anna erzählte auch, was in diesem Staat mittlerweile nicht schon so alles als Verdächtig gilt. Das Handy ausschalten oder nicht mitzunehmen wenn man sich mit Freunden treffe, zum Beispiel. Oder auch wenn man keine eindeutigen Email benutzt (vorname.nachname@domain.tld). Es läst sich auch erkennen das wohl schon allgemein gebildetes Verhalten sehr verdächtig wirkt. Wer lesen kann ist schon verdächtig. Allgemein sei die Terrorfahndung in ihren Methoden sehr sehr „mystiriös“. Weitreichend Umkreisüberwachung, aller Kontakte und deren Kontakte, evtl. Auffälligkeiten. Alles ist verdächtig und wird gegen einen verwendet. Man kann eigentlich nichts machen, egal was man tut, es scheint verdächtig. Man komme sogar in Beugehaft wenn man nicht gegen seine Freunde aussage. Gefühl: „Du bist nicht mal mehr auf dem Klo alleine.“. Daraus ergebe sich eine ungeheure Angst vor den Behörden und eine ungeheure Unsicherheit. Wie geht man dagegen vor? Alles veröfffentlichen oder doch lieber nicht. Bloggen oder nicht. Überwachungsgemäß Telefonieren: Wer, Wann, Wo (mit Adresse) trifft man sich, immer Nennung aller genauen Daten. Auch herrsche wohl massive Fluchtgefahr wenn man bereit wäre mehre Monate im Ausland zu arbeiten ohne seine Familie. Wenn man unter Verdacht steht: Dein Leben wird nie wieder so wie vorher. Das BKA versteht keinen Spaß. Ständige Kontrolle des eigenen Alltagsleben. „Sich umgucken auf der Strasse ist schon hoch konspirativ.“ – annalist.noblogs.org

Datenschutz für Administratoren – Was darf ich rechtlich machen?: Ab wann brauche ich einen Datenschutzbeauftragten: ab 4 Personen, welche ständig mit personenbezogenen Daten zu tun haben. Wen gibt es ausserhalb der Firma, den man befragen könnte – Bundes/Landesdatenschutzbeauftragten. Was sind personenbezogene Daten – persönlich oder sachliche Verhältnisse einer realen Person (zB. Größe, Name). Es gibt verschiedene arten von personenbezogenen Daten: 1.) Allgemeine: Name, Grösse und so; 2.) Persöhnlichkeitsdaten: Familienverhältnisse oder finanzielle Situation; 3.) Sensible Daten: medizinische Daten, Religion und pol. Meinung. Daten im Arbeitsalltag – Maillogs, Webserverlog (Uneinigkeit darüber in der Rechtssprechung), Zugriffslogs allgemein. Man sollte Datensparsam sein, schon das Aufkommen am Besten unterbinden/vermeiden, wenn man sie eh nicht braucht. Prinzipielle gilt eh ein Verbot zur Datensammlung – außer es ist gesetzlich genehmigt. Oder es kann der nutzen Abgewogen werden. Unter diesen Umständen kann man persönliche Daten eh nur mit Einwilligung der betreffenden Person aufnehmen. Daten sollten/müssen für Statistiken anonymiesiert oder pseudonymisiert werden. Forderungen des Marketings nicht nachkommen ihnen alle Daten zugeben, da diese schon mal schnell mit dieser Forderung kommen … das Marketing muss nicht alles wissen. Jeder Admin sollte mal überlegen: Wieviele Logfiles hat man… Wie lange liegen sie schon vor.

Addressing the Future of Internet: Da das Internet nicht nur sehr alt sondern auch groß ist, tut Größe doch was zu Sache. In diesem Fall die Größe des Adressraums. Im Moment läuft noch alles über IPv4. Da laufen nun aber langsam die Adressen aus, und wir brauchen immer mehr und mehr. Wir sollten also bald zu IPv6 wechseln, da dies einem immens großen Adressraum bietet. Im IPv4-Adressraum sind momentan nur noch 32 /8s Netze übrig. Und wir müssen uns techniken wie NAT bedienen, da sonst schon sehr lange alles ausgebucht wäre. NAT sei im eigentlich nicht notwendig. Im mom bekommt man von seinem Provider meist nur eine IP, was NAT dann erfordert. Bei IPv6 bekomme man aber gleich ein /64 Subnet. Isn’t That GREAT?! Global gesehen sei die Ripe NCC (Europa) vorreiter in der Vergabe von IPv6-Adressen. Und dort dann wiederum auch Deutschland. Bei der Verabschiedung von Standards gäbe es einen endlosen Kreis von Abläufen von Diskussion und Implementierung und wieder Diskussion. Dabei werde dann kaum was voran getrieben. Auch sei es allgemein zu Komplex um Fortschritte zu machen. Aber theoretisch ist es ein gute Konzept, besser als so manch anderes. Denn jeder, auch ausserhalb der Ripe NCC könne daran teilnehmen. Beim Rollout von IPv6 gäbe es das klassische Henne-Ei-Problem. Die Hersteller von Netzwerkhardware sagen, es seien diese nicht gefordert und die Kunden, also die ISPs z.B. sagen es gäbe kein Angebot an Hardware. Ein aufruf an die Hacker sich mit IPv6 zu beschäftigen um es zu verbessern, nach dem Motto: „first you have to break it and then fix it…“ … „ipv6 act now“.

Videospiel-Comedy – und was sie uns über die Games-Kultur erzählt: Spiele entstanden aus der Langeweile und Tristesse der frühen Jahre der IT heraus. Und da Gamer einen seltsamen Humor haben, entwickelte sich eine sehr krude Comedy-Szene. Erste Gamer-Comedy war in Form von kleinen Comicstrips in Computermagazinen aufgetaucht. Um diese Magazine bildeten sich auch die ersten Communities. Mit der zeit wuchsen diese und auch die Comedy entwickelte sich weiter. 1994 bekam diese Bewegung einen grossen Schub, da nun die CD-ROM auf dem Markt kam und man nun viel mehr Daten transportieren kann. Auch multimediale Daten. Damit kamen dann auch selbstgedrehte Video auf, zuerst wieder in den Computermagazinen z.B. in form von MultimediaLeserBriefen. Darin wurde auf „lustige“ Art Fragen beantwortet oder der Lebensalltag in der Redaktion gezeigt. Dies konnte man als ausbrechen aus der üblichen Wahrnehmung des Mediums sehen. Es wurde damit auch die Gamerszene kulturell verankert. Es wurde aber auch Selbstreflexion dadurch betrieben und die Besonderheiten der Gamer hervorgehoben. Dies trug wiederum zur Stärkung der Community bei. 2004 waren die Gamer in der allgemeinen Kultur angekommen und anerkannt. Es gab sehr viele Videos im Web, CamCorder wurden immer billiger und Youtube startet. Dies gab wieder einen weiteren Schub für die GamerComedy.

Einige wichtige Facts:
2004 – Mega64 – eine Art Jackass der Gameskultur. Es wurde Gameplay real nachgestellt.
2006 – 08 The Gamejew – Eine Mischung aus Journalismus und Comedy.
2004 – Game Over – GameShow. Was passiert wenn das Spiel vorbei ist. Soap-mäßig.
2004 – pure pwnage – Das Pro-Gamertum wird dargestllt. Sehr übersteuerte Charaktere.
2004 – 09 Consolvenia – videoGaiden : Eine Sendung mit hohen Anspruch; Durchweg sehr kluge Parodien.
2007/8 – zero punctuation.

„Ubuntu Privacy Remix“ – Hausverbot für „Bundestrojaner“ & Co. – Möglichkeiten und Grenzen des Schutzes vor Bespitzelungsangriffen auf unsere Daten:Bei „Ubuntu Privacy Remix“ handelt es sich um eine spezielle Live-CD auf Ubuntu 9.04 Basis mit einigen Anpassungen. Die UPR-Distribution soll Schutz vor Fremdeingriffen schützen und den Abtransport erschnüffelter Daten durch das Netzwerk. Sie soll zum Beispiel auch von dem Bundestrojaner und ähnlichen Aktionen schützen. Falls man doch mal hochsensible Daten hat und seine Verschwiegenheit durchsetzen will und/oder muss. Es wurde im Vortrag kurz darauf hingewiesen was im Moment nach geltendem Recht schon als terroristisch wirkt: Generalstreik == Terror , laut Prargraph der EU. Man distanziere sich aber von Terroristen. UPR soll nur eine sichere abgeschottete Umgebung bieten und den ungewollten Zugang zu vertraulichen Daten unterbinden. Netzspionage, von welcher Seite auch immer, sei nicht möglich da UPR keinerlei Netzwerkunterstüzung biete. Das Kabel zu ziehen sei immer noch die wirkungsvollste Firewall. Aber auch eine Zwischenlagerung von Daten auf der Festplatte sei nicht möglich, da auch jedwede HDD-Treiber aus dem Linux-Kernel entfernt wurden. UPR baut seine Sicherheit über 2 Schichten auf. Einmal durch das readonly-Dateisystem bedingt durch die CD. Diese kann nun also nicht mehr unterminiert werden. Veränderliche Daten wie Einstellungen und GPG-Keys z.B. lassen sich aber dennoch auf einen USB-Stick in einem TrueCrypt-Container speichern. Weiterhin werden auch noch verschärfte regeln für den „root“-User implementiert. Extra eingebunden Datenträger (USB) werden nur mit „noexec“ gemountet. Mit diesen Änderungen sind fast alle gängigen Angriffe nicht mehr möglich, wie z.B. Angriffe aus dem Netz über Email-Anhänge, Downloads, gehackte Websites und Exploits. Aber auch physische Angriffe funktionieren nicht mehr, wie z.B. präparierte Datenträger, Durchsuchungen und KeyLogger.

OpenGSM-Workshop: Es wurden ersteinmal generelle Info zum GSM-Netz gegeben, dann das Projekt vorgestellt. Was es macht und was schon erreicht wurde. Man will ein offenes low-cost GSM-Netz ermöglichen, z.B. für Drittweltländer. Dann wurde genauer auf die BTS eingegangen, Dreh- und Angelpunkt des Projektes. Am Anfang des Projektes musste man eben erst noch rausfinden, wie man mit der BTS sprechen kann und was sie überhaupt kann und nicht kann. Wie steuert man sie, ohne sie zu zerstören oder andere Netze zu stören. Da wurde dann auch auf die Software zu OpenBTS eingegangen. Der Name ist eigentlich etwas irreführend, da die software mehr kann als nur mit der BTS zu reden. OpenBTS ist viel mehr BSC/MSC/VLR/HLR in einem. Als das dann alles besprochen war, ging es daran, einmal das Innenleben, einer bei eBay gekauften BTS zu erforschen und zu Dokumentieren. Dabei wurden viele neue Erkenntnisse für das Team gewonnen. Es wurde aber auch ein wenig mehr auf die Software eingegangen, was diese schon könne und wie, was, worauf aufbaut. Zum Beispiel auch wie die Datenbank (HLR) aufgebaut ist. Ist im eigentlichen sehr simple gehalten. Dann würden die Calls über LCR gehen und eine Anbindung an die Aussenwelt sei über Asterisk möglich. Was den Betrieb anbegeht ist alles rein theoretisch, da man kein lizensiertes Frequenzband hat, und somit der Betrieb ohne Sondererlaubnis nicht genehmigt sei. Alte BTS’n sind auf eBay für Preise um die 300€ erhältlich. Es waren auch sehr viele ambitionierte Leute dort, der Workshop hatte sehr viel Zulauf.