StartseiteCipherbrain

NSA-Skandal: Schau unwichtig aus, vielleicht ist beim Feind die Munition knapp

Von / 9. September 2013 / 19 Kommentare
Mehr

Alle reden vom NSA-Skandal, ich auch. Neben einem Kommentar gibt es heute ein Video-Interview zum Thema.

Wenn ich vor einigen Jahren die NSA erwähnte (Kryptologen erwähnen die NSA ziemlich oft), dann musste ich meistens erklären, wer das überhaupt ist. Das ist heute anders – Edward Snowden und PRISM sei Dank. In Klausis Krypto Kolumne habe bisher so gut wie nichts zu diesem Thema veröffentlicht, denn schließlich geht es hier um historische Kryptologie, und zum aktuellen Skandal haben schon genug andere Ihren Senf gegeben. Außerdem verbringe ich dieses Jahr meinen Urlaub bei der NSA, und wer will schon gerne seinen Gastgeber verprellen 😉

Trotz allem will ich jetzt etwas zur NSA sagen. Dazu muss ich erst einmal nichts schreiben, denn ich habe am Freitag ein Video Interview zu diesem Thema gegeben. Es ist bei Klappe und Action erschienen und auch bei YouTube abrufbar (die schlechte Bild- und Tonqualität meines Smartphones bitte ich zu entschuldigen):

Und hier noch einmal das Wichtigste zum Skandal in Kürze:

  • Die Schnüffelaktivitäten der NSA sind Fachleuten seit langem bekannt. Schon in meinem ersten Buch, das 1998 erschienen ist, bin ich darauf eingegangen.
  • Auch wenn es in der Presse teilweise anders dargestellt wurde: Ich glaube nicht, dass die NSA das SSL-Protokoll generell knacken kann. Das Protokoll und die eingesetzten Verfahren sind sicher. Es könnte aber durchaus Programme geben, deren SSL-Teil mit absichtlichen Schwachstellen ausgestattet ist – und dies könnte die NSA nutzen.
  • Trotz aller möglicher Schwächen: Verschlüsseln ist immer noch besser als nicht Verschlüsseln.
  • Die gute Nachricht: Verschlüsselungstechnik aus Deutschland steht nicht im Verdacht, mit absichtlichen Schwachstellen ausgestattet zu sein. Hier muss ich ausnahmsweise einmal Werbung für meinen Arbeitgeber cryptovision machen. Ich bin mir ziemlich sicher, dass bei uns (z. B. bei unserer E-Mail-Verschlüsselungslösung cv act s/mail) die NSA die Finger nicht im Spiel hat.
  • Eine von Murphys Regeln für den Nahkampf lautet: „Schau unwichtig aus, vielleicht ist beim Feind die Munition knapp.“ Dies gilt auch für die Überwachung durch Geheimdienste. Selbst die allmächtige NSA kann nur einen sehr kleinen Teil der abgefangenen Daten genauer betrachten. Die meisten von uns müssen also nicht befürchten, dass unsere Mails wirklich mitgelesen werden. Erst wenn irgendwelche Suchalgorithmen Alarm schlagen, wird das der Fall sein.

Stichworte:
Mehr

Kommentare (19)

  1. #1 tom
    9. September 2013

    Der letzte Punkt klingt sehr nach einer Kapitulation vor den “chilling effects” (kenne leider keine gute deutsche Übersetzung) von Überwachung. D.h. dem unbewussten oder (hier) bewussten Ändern von Verhaltensweisen, die eigentlich legal sind, aus Angst vor Repressalien…

  2. #2 Ben
    10. September 2013

    Man weiß eben nicht, ob die eigenen Daten mitgelesen werden. Wenn ich irgendwas bei Google eingebn bin ich immer häufiger am überlegen, ob das nicht vielleicht missverstanden werden kann. Und egal ob die NSA meine Emails mitliest, allein schon die Möglichkeit, dass sie es bei unschuldigen Personen tuen kann ist schlimm genug. Da steckt ein riesiges Missbrauchspotenzial drin.

  3. #3 Stefan W.
    https://demystifikation.wordpress.com
    10. September 2013

    Erst wenn irgendwelche Suchalgorithmen Alarm schlagen, wird das der Fall sein.

    Die Suchalgorithmen können nur Alarm schlagen, wenn sie die Mails (oder was immer) auch lesen.

    Ich finde die Ansicht komisch, dass Überwachung unproblematisch ist, wenn sie ein Automat macht.

    Gestern habe ich einen Blog gelesen, da ging es um die NSA-Filiale in Wien. Zwischendurch war irgendein Kirchenfoto drin, entschuldigend kommentiert mit “Nur eine Kirche” oder so ähnlich. Ich wollte schon kommentieren “kann man trotzdem sprengen” – habe es mir dann anders überlegt. Maschinen die Humor verstehen?

    Dann auf Google+, heute: Meldung das Prinz Andrew im eigenen Palast von den Sicherheitsleuten gestoppt worden sei. Habe mir ebenfalls einen schwarzen Kommentar verkniffen.

    Wird alles gespeichert für immer. Ich will keine dummen Fragen beantworten. Ich will auch keinem medizinischen Gutachten unterworfen werden. Ja, sind alles nur Maschinen, unbestechlich, fehlerfrei und erbarmungslos.

  4. #4 Jan
    10. September 2013

    Genau das ist das Problem. Man muss sich jetzt Gedanken machen, welche Begriffe man googlet und auf welche Links man besser nicht klickt, damit nicht irgendwelche Suchalgorithmen Alarm schlagen.

  5. #5 swift
    10. September 2013

    Tom hat mir die Worte aus dem Mund genommen.
    Der letzte Absatz ist ziemlich verharmlosend, dafür, dass wir uns im Internet sozusagen im Krieg befinden (und bei dieser Formulierung schlagen wahrscheinlich direkt ein paar NSA-Suchalgorithmen an… )

    Erinnern wir uns doch z.B. mal an diese Liste:
    https://netzpolitik.org/2012/377-schlusselbegriffe-des-us-heimatschutzministeriums-veroffentlicht/

    Ich habe ja auch noch nie jemanden geschrieben “ich lande um 5 Uhr am Flughafen Frankfurt”. Damit hätte ich schon 2x Alarm ausgelöst (Landing, airport).

  6. #6 the-grue
    10. September 2013

    ” Ich bin mir ziemlich sicher, dass bei uns (z. B. bei unserer E-Mail-Verschlüsselungslösung cv act s/mail) die NSA die Finger nicht im Spiel hat.”

    Das ist ja schön, nur leider ist diese Aussage wertlos: Wenn ich Ihre Software kaufe muss ich Ihnen/Ihrem Arbeitgeber vertrauen, daß dem so ist. Selbst wenn ich Ihnen jetzt abähme, daß Ihre Software jetzt frei von Hintertüren ist − woher weiss ich das bei der nächsten Version?

    Fazit: Crypto-Software kann mann nur verwenden, wenn man den Sourcecode sehen kann. Den zu verstehen ist natürlich nicht leicht, ich traue mir das nicht zu obwohl ich Informatiker bin. Allerdings traue ich einer Horde Open Source Enthusiasten eher zu Hintertüren in openpgp zu finden, als den Vorständen einer Closed Source Firma hier die Wahrheit zu sagen.

    Der Link nach cryptovision führt übrigends in’s Leere…

    https://scienceblogs.de/klausis-krypto-kolumne/2013/09/09/nsa-skandal-schau-unwichtig-aus-vielleicht-ist-beim-feind-die-munition-knapp/www.cryptovision.com

    statt http://www.cryptovision.com

    • #7 Klaus Schmeh
      10. September 2013

      >Crypto-Software kann mann nur verwenden, wenn man den Sourcecode sehen kann.
      Das würde ich so nicht sagen. Wenn man den Sourcecode einsehen kann und wenn viele diese Möglichkeit wahrnehmen, dann ist das natürlich der Idealfall. Aber wie viele Open-Source-Krypto-Programme gibt es schon, die wirklich gut untersucht sind?

      >Selbst wenn ich Ihnen jetzt abähme, daß Ihre Software jetzt frei von Hintertüren ist − woher weiss ich das bei der nächsten Version?
      Dafür gibt es natürlich keine Garantie. Allerdings hat unser Produkt eine NATO-Zulassung und eine BSI-Empfehlung – es ist schon recht unwahrscheinlich, dass man so etwas trotz einer Hintertür bekommt. Generell habe ich in deutsche Krypto-Produkte ein größeres Vertrauen als in US-Produkte.

  7. #8 the-grue
    10. September 2013

    s/Open Source Enthusiasten/Open-Source-Enthusiasten/

    Elende Deppenleerzeichen 😉

  8. #9 Chemiker
    10. September 2013

    Dem Kommentar von the-grue kann ich mich nur an­schließen. Eine closed-source Krypto­lösung zu ver­wenden ist so wie einen Gärtner an­zustel­len, ohne dabei zu prüfen, ob er ein Mensch oder ein Ziegen­bock ist.

    Das Problem ist dabei ein mehrfaches: Die Pro­grammierer können schludern, von „Feind“ bezahlt sein, Opfer einer Er­pres­sung werden oder ganz „legal“ vom Staats­anwalt zur Mit­hilfe ver­gattert werden. All diese Un­wägbar­keiten fallen weg, wenn mich die Mathe­mathik direkt schützt.

    • #10 Klaus Schmeh
      10. September 2013

      Wie gesagt, eine gut untersuchte Open-Source-Lösung ist der Idealfall. Aber gibt es beispielsweise eine Open-Source-Lösung für die E-Mail-Verschlüsselung mit Smartcard-Unterstützung? Ohne Smartcard ist der private Schlüssel nur schlecht geschützt.

  9. #11 Hobbes
    10. September 2013

    @Tom:
    Gerade mit samt Wikilink habe ich das eher nicht als verharmlosend gesehen, sondern als (humorvollen Tipp) das wenn man Dreck am Stecken hat man trotzdem noch ganz problemlos seine Machenschaften online planen kann.

    Denn “vielleicht ist beim Feind die Munition knapp” halte ich ja kaum für eine ernst gemeinte Verhaltensweise im Nahkampf.

  10. #12 Randifan
    10. September 2013

    Ich vertrauen keinem Experten, solange nicht mein Leben davon abhängt, was über die NSA geschrieben wird, dürfte wahrscheinlich nur die Spitze des Eisberges sein. Die Wahrheit wird niemand wirklich glauben und in ein paar Wochen ist alles genauso vergessen, wie Wikileaks. Es ist nicht anzunehmen, die ganzen Spionageprogramme seien sinnlos, bloss weil sie enthült wurde.

  11. #13 Gerald Höffl
    10. September 2013

    Wer sagt denn, dass die Cryptolösung deines Arbeitgebers über keinerlei Schwachstellen verfügt, die sehr leicht für Angriffe verwendet werden können?
    Das ist immerhin der häufigste Angriffspunkt, der sogar bei open source Software funktioniert.
    Und zu letzten Punkt kann ich eigentlich nur fragen, ob das dein Ernst ist? Ich soll also mein Verhalten anpassen, weil die anderen sich kriminell verhalten? Was soll das?

    • #14 Klaus Schmeh
      10. September 2013

      >Wer sagt denn, dass die Cryptolösung deines Arbeitgebers über keinerlei Schwachstellen verfügt
      Dafür gibt es natürlich keine Garantie. Aber die NATO und das BSI haben sich cv act s/mail schon genau angesehen – immerhin nutzen die das Produkt ja selbst bzw. empfehlen es für deutsche Behörden. Was gibt es Besseres? Eine Open-Source-PGP-Implementierung, die auch nicht fehlerfrei sein muss und keine Smartcards unterstützt?

      >Ich soll also mein Verhalten anpassen, weil die anderen sich kriminell verhalten?
      Das meine ich nicht. Ich meine: Die meisten von uns werden von der NSA nie genauer unter die Lupe genommen werden. Auch die NSA hat keine unbegrenzten Ressourcen (die Munition ist knapp, um im Bild zu bleiben) und muss sich daher auf die wichtigsten Fälle konzentrieren.

  12. #15 haarigertroll
    10. September 2013

    Mir gefiele ja der entgegengesetzte Ansatz zu „Schau unwichtig aus, vielleicht ist beim Feind die Munition knapp.“ auch ganz gut: “Stelle viele Scheinziele auf und lass den Gegner seine Munition verballern”

    Zum Beispiel lassen sich mit https://gugu.de/home/webtipps/361-schlapphut-helfer Blödsinns-Kryptogramme generieren 😉
    Ich mach dann mal den Anfang:
    —-BEGIN PGP MESSAGE—–
    Version: GnuPG v1.4.11 (GNU/Linux)

    hQPyAzhmYmQ1MzE3OGY2ZjQ3ZTQQLqWeYaxH6VICKr+ZVSUagJAQFFJf+2uk
    —–END PGP MESSAGE—–

    • #16 Klaus Schmeh
      10. September 2013

      Die Blödsinnskryptogramme gefallen mir.

  13. #17 the-grue
    11. September 2013

    #10:
    Der Standard (=gnupg) kann das doch ?!?

    https://en.wikipedia.org/wiki/OpenPGP_card
    https://shop.kernelconcepts.de/product_info.php?cPath=1_26&products_id=42

    gnupg würde ich mit zu den am besten geprüften Programmen zählen.

    • #18 Klaus Schmeh
      14. September 2013

      Das wusste ich noch nicht, kenne niemanden, der das einsetzt. Falls die Kartenunterstützung von PGP auch wirklich funktioniert, wäre das natürlich ein klarer Pluspunkt.

  14. #19 me
    23. März 2020

    Cryptovision ist Mist.
    Von denen sind hier die UniCards, aber das einzige was funktioniert ist die Geldkartenfunktion.
    Verschlüsselung? Theoretisch ja, aber Cryptovision ist ja zu fein um opensource-Treiber für ihre Karten zur Verfügung zu stellen.