Save-Privacy Blog - IT

Update: Windows Verschlüsselungstrojaner neue Version

nospam@example.com (Martin) — Sun, 03 Jun 2012 16:06:00 +0200

Update [03.04.2012]:
Ich gehe inzwischen davon aus, dass die Verschlüsselung des Trojaners als sicher angesehen werden kann und nicht zu knacken sein wird. Alle bisherigen Analysen gehen in diese Richtung, auch wenn es sich um keine klassische asymmetrische Verschlüsselung handelt. Siehe hierzu die Updates vom 03.04. ganz unten im Blogpost.

Seit etwa zwei Wochen ist ein besonders perfider Computervirus im Umlauf, der derzeit nur über E-Mails verteilt wird. In den entsprechenden E-Mails wird dem Empfänger mitgeteilt, es werde ein bestimmter Rechnungsbetrag von seinem Konto abgebucht und er möge die angehängte Rechnung überprüfen. Als Absender werden gefälschte E-Mail Adressen namenhafter Versandhäuser, Elektonikhändler und anderer Online-Shows verwendet.
Bei allen E-Mails ist ein zip Anhang (Rechnung.zip, Abmahnung.zip, Buchung.zip, u.ä.) zu finden. Wenn das Opfer diesen Anhang öffnet, so werden alle Dateien auf der Festplatte verschlüsselt, der Rechner gesperrt und eine Aufforderung zur Zahlung von 100 € per Ucash oder Paysafecard angezeigt:

Es gab vor etlichen Wochen schon eine andere Variante des Trojaners, der die verschlüsselten Dateien nach dem Schema "locked-[Alter Dateiname].[Alte Extension].[zufällige Zeichenfolge] umbenannt hat. Dieser Trojaner nutze eine relativ einfache Verschlüsselung (RC4), die relativ schnell geknackt wurde. So gab es bald Entschlüsselungsprogramme von verschiedenen Antivirus-Herstellern (Dr. Web, Avira, Kaspersky), sowie von verschiedenen unabhängigen IT-Experten (DecryptHelper, ScareUnencrypt).

Bei der neuen Variante des Virus sieht es hingegen bisher recht schlecht aus: Nach über zwei Wochen ist noch immer nicht klar, wie Betroffene wieder an ihre Dateien kommen. Und das, obwohl davon auszugehen ist, dass die AV-Hersteller, wie auch die IT-Experten diverser Foren (trojaner-board.de, botfrei.de, delphipraxis.net) und viele andere (z.B. Xylitol) an einer Lösung des Problems arbeiten.

Auch ich habe mir bereits die ein oder andere Nacht um die Ohren geschlagen, um dem Geheimnis des Trojaners auf die Schliche zu kommen. Meine bisherigen Ergebnisse trage ich hier nun unter Verweis auf weitere Erkenntnisse von anderer Seite zusammen und stelle zur Diskussion, dass es sich bei der neuen Variante um ein public-private Key Verfahren handelt, dass auf absehbare Zeit nicht zu knacken sein wird. Ich möchte in der Hoffnung mit meiner Vermutung unrecht zu haben mit diesem Post dazu aufrufen, mehr Informationen zu diesem Trojaner zu veröffentlichen, den bisher erreichten Wissensstand offener als bisher zu kommunizieren (Trojaner-board) und hoffe, dass sich so noch mehr Leute finden, die Willens und in der Lage sind, diesen Virus zu analysieren. Dieser Virus ist in meinen Augen einfach zu gefährlich, als dass man sich über seinen Wissensstand ausschweigen könnte: Wer also Kenntnisse, Ergänzungen und Anregungen hat, der möge diese bitte öffentlich machen.

Ich werde diesen Post in den nächsten Tagen noch um weitere Informationen ergänzen und diesen Beitrag weiter aktualisieren, wenn ich neue Informationen zu diesem Trojaner finde.

Tools used: OllyDbg, WinDbg, Hexeditor, PEiD, DeDe, IDA Free, Wireshark, Virtualbox, Ubuntu Linux

Grob-Analyse

1) Ablauf der Infektion

Mit Öffnen des Anhangs wird der Trojaner aktiviert. Es erscheint zunächst eine Fehlermeldung, dass es sich nicht um ein Word-Dokument handelt:

Der Trojaner installiert sich daraufhin im Windows Verzeichnis (C:\Windows\system32\[Zufällige Hex-Werte].exe) und im Benutzerverzeichnis (%temp%\[Zufällige Buchstaben]\[Zufällige Hex-Werte].exe). Die Ausgangsdatei wird gelöscht, der Trojaner hängt sich per Codeinjection in "ctfmon.exe" bei 0x7FF94D59 ein:

Weiterhin werden diverse Einträge für den Autostart in der Registry vorgenommen, so dass der Trojaner beim Starten von Windows aktiv ist.

2) Netzwerk-Kommunikation

Sobald der Trojaner aktiv ist, versucht er mehrmals über verschiedene Domains mit dem C&C-Server zu verbinden:

a)
hxxp://ogutors-free.com/a.php?id=8C20AF3F4B435546464F&cmd=img&win=Windows_XP_&loc=0x0407&ver=1.170.1
b)
hxxp://ogutors-free.com/a.php?id=8C20AF3F4B435546464F&cmd=msg&ver=1.170.1
c)hxxp://ogutors-free.com/a.php?id=8C20AF3F4B435546464F&cmd=lfk&ldn=35&stat=CRA&ver=1.170.1&data=MON1xEF944FhyhIF7GcaNYG29T6Zf lvjVTFc2zKPPP8VnTIA
d) Bei Eingabe Paysafe-Code:
hxxp://ogutors-free.com/a.php?id=8C20AF3F4B435546464F&cmd=key&ver=1.170.1&data=1:1:NTU1NTU1NTU1NTU1NTU1NTU1NTUA

Zu den Daten:
ID = vermutlich Installationskennung o.ä.
CMD = Kommando an den Server // CMD=IMG Anfordern der Bilder, die bei gesperrtem Computer angezeigt werden
win = Windows Version
loc = Länderkennung
ver = Version des Trojaners
ldn = ??
stat = Könnte ID des Affiliate (Vertriebspartners) sein
data = ???

Bei allen drei Aufrufen bekommt er Daten vom CC-Server zurück, deren Größe sich unterscheidet:
1. Aufruf: 243,8 kbyte (Bilder)
2. Aufruf: 704 bytes (Vermutung: public Key)
3. Aufruf: 4 bytes (ACK?)

Weitere mögliche Domains sind: SPATBE-WEB.COM, HORAD-FORUM.COM, QUA-A.COM, SPATBE-W.COM, polskamaskas.com, horad-fo.com

Erst nach dem Kontakt mit dem Server beginnt die Verschlüsselung. Die Domains weisen mehrere A-Record-Einträge (verschiedene IP-Adressen) auf. Bei den Servern handelt es sich um shared Server (auf denen viele Domains liegen) mit aktuellem Softwarestand (u.a. linux, nginx, php). Mit dabei sind auch Cluster. Abuse Mails werden nichts bringen (Server-Standorte: China, Russland, ...), zumal es sich bei den gehosteten PHP-Scripten vermutlich eher um Proxys handeln wird, die die Informationen nur weiterleiten, so dass man an dieser Stelle sicher nicht zum Ziel kommen wird.

3) Verschlüsselung:

Der Trojaner verschlüsselt immer nur die ersten 3000 Byte und benutzt dabei die Windows Crypto API (CAPI). Das Ding ist deshalb so schnell, weil es in jede Datei nur 3kb schreibt und er zusätzlich nach Dateitypen filtert. Das bedeutet, dass er bei z.B. angenommenen 30.000 Dateien gerade mal knapp 90 Megabyte (!) schreiben muss. Dass das schnell geht und zwar auch bei starker Verschlüsselung - ist klar.

Er legt dabei keine Sicherheitskopien an, sondern liest die Bytes aus der Datei und schreibt Sie direkt verschlüsselt zurück.

Fein-Analyse / Debugging

Vorweg: Ich denke inzwischen, dass es schlecht aussieht, was die Möglichkeiten einer Entschlüsselung der Daten angeht. Es gibt meiner Ansicht nach einige Indizien, die dafür sprechen, dass es sich hier um ein Public-Key Verfahren mit ausreichend starker Verschlüsselung / Schlüssellänge handelt. Zu den theoretischen Indizien:

- Der Trojaner ist gegenüber einer Analyse nur schlecht geschützt: Kein Anti-Debugging, kein Exepacker (UPX = upx -d Trojaner *haha*), kein Crypter - der Entwickler ist sich seiner Sache scheinbar recht sicher
- Diesen Trojaner scheint es bisher nur in Deutschland zu geben, es könnte sich also um einen Versuchsballon für das Rollout von Drive-By-Downloads handeln.
- Der Programmierer grüßt den französischen Hacker Xylitol, der in letzter Zeit viele Malware-Samples analysiert hat und sich damit bei den Malware-Entwicklern unbeliebt gemacht hat:

Auch das spricht dafür, dass der Entwickler der Malware sich sicher fühlt.
- Es werden drei Verbindungen zum C&C-Server aufgemacht. Dabei finden wahrscheinlich folgende Schritte statt: a) Es wird eine Installationskennung/ID übermittelt. b) Es werden die Bilddateien heruntergeladen c) Es wird ein kleines Datenpaket heruntergeladen, das meiner Ansicht nach ein public Key sein könnte.
- Nicht zuletzt ist das Public-Key Verfahren das für diese "Geschäftsidee" einzig sinnvolle Verfahren, da es von Außen nicht angreifbar ist.
- Es wäre nicht erstaunlich, wenn das Public-Key Verfahren bei diesem Virus ohne Logik-Fehler eingesetzt wird, denn schließlich ist dieses Anfriffsszenario schon länger denkbar und ich habe ein in dieser Hinsicht sehr erhellendes Paper gefunden, bei dessen Lektüre mir bewußt wurde, mit was wir es hier sehr wahrscheinlich zu tun haben: Einer 1zu1-Implementation dieses Angriffes!
Die Autoren gehen nicht auf die Möglichkeit einer Entschlüsselung ein (da es diese nicht gibt!), die einzige Möglichkeit, sich zu schützen ist Vorbeugung:

A solid defense against a cryptoviral extortion attack is to have backups of the plaintext that could potentially be attacked. Regular backups that are periodically verified should be considered. Other countermeasures include having a strong defense against malicious software. This includes but is not limited to: a firewall, a resident antiviral program, and an intrusion detection service. Antivirus updates should be obtained regularly and full malware scans should be conducted routinely. Executable software should only be obtained from reliable sources. It should be noted that by storing user files in encrypted form, protection against cryptoviral extortion is not necessarily achieved. The encryption of an encryption will serve the user no good when the outer layer annot be deciphered.

Update [31.05.2012]: Ganz so schlecht sieht es doch nicht aus. Ich habe in den letzten Tagen einige Memory-Dumps angeschaut und da sind zumindest keine Public-Keys zu finden. Ich denke, das hier Marcu wohl mit seiner Aussage "Die Hoffnung nicht aufgeben" recht hat und es sich noch immer um eine symmetrische Verschlüsselung handelt. Wie und wo die Schlüssel berechnet werden, muss herausgefunden werden.

1) CTFMON will ins Internet (soso ...)

2) CAPI imports, also breakpoints auf ADVAPI32 setzen (CryptAcquireContext, CryptGenKey, CryptEncrypt, CryptDecrypt ...) vgl.: M$

3) Wenn man den Trojaner nun laufen läßt, versucht er wie oben beschrieben, eine Verbindung mit dem C&C-Server aufzubauen und sobald er von diesem Daten erhalten hat, fängt er mit der Verschlüsselungsroutine an.

Ich vermute dabei, dass er zunächst die "Bilddateien" entschlüsselt, eventuell mit diesem Schlüssel hier: "732jjdnbYYSUUW7kjksk***ndhhssh".

Update: Den Schlüssel findet man auch im Memdump eines infizierten Rechners, der ab Infektion keine Internetverbindung hatte. Dieser Schlüssel oder was es auch sein mag, ist somit sicher statisch und hart im Trojaner eincodiert:

Update [31.05.2012]: Der statische Teilschlüssel wird offenbar mit einem weiteren dynamischen Teil kombiniert:

Dann legt er im %temp% Verzeichnis eine 2 KByte Datei an (Vermutung: Diese Datei ist auch im Bildpaket enthalten):

Später kommen hier noch mehrere weiter Dateien dazu, die unter Umständen die alten Dateinamen referenzieren. Was aber in der 2KByte-Datei steht, ist mir bisher unklar. Wenn es sich hierbei um einen Schlüssel für symmetrische Verschlüsselung handelt, hätten wir noch mal Glück gehabt. Denkbar wäre aber auch, dass hier nur ein Schlüssel für die Verschlüsselung der Referenzdateien (Dateinamen) handelt, der dann statisch wäre. Das würde dann für die Entschlüsselung beim PP-Key Verfahren nicht helfen. Diese Datei bedarf aber noch genauerer Analyse.

Dann gehts los und der Trojaner verbindet sich abermals mit dem CC-Server, z.B.:

hxxp://ogutors-free.com/a.php?id=8C20AF3F4B435546464F&cmd=lfk&ldn=35&stat=CRA&ver=1.170.1&data=MON1xEF944FhyhIF7GcaNYG29T6Zf lvjVTFc2zKPPP8VnTIA

Und bekommt hier meiner Ansicht nach einen public Key übergeben, wobei das Kommando "lfk" für "load full key" stehen könnte. Dann beginnt die eigentliche Verschlüsselung, 3000 Bytes in 3000 Bytes out.

Beim debuggen sind mir Referenzen zum Enhanced Cryptographic Provider ins Auge gefallen, auch das spricht leider für keine schnelle Lösung:

- Weitere Analysen / Screenshots usw folgen.

Updates [31.05.2012]:

Definition 3000byte / %temp%-Dateien / möglicher Beginn der Verschlüsselung

Verschlüsselte Daten in Datei schreiben:

Dateiliste für Verschlüsselung:

Loop durch die Datei / Schlüssel-Liste (wichtig: Vermutlich existieren alle dynamischen & statischen Schlüssel hier schon und sind im Memory-Dump zu finden):

Hier ein kleiner Ausschnitt eines Memdumps. Es läßt sich eine Zuordnung erkennen (vermute, es sind): Dateiname inkl. Pfad / neuer Dateiname inkl. Pfad / dynamischer Schlüssel:

Updates [03.04.2012]:

Wenn die bisherigen Analysen stimmen, sieht es so aus, als ob ich mit meiner Vermutung leider zum Teil Recht hatte und die Verschlüsselten Daten nicht ohne Weiteres entschlüsselt werden können. Der Trojaner nutzt demnach zwar keine asymmetrische Verschlüsselung, was prinzipiell die sicherste Variante wäre, aber er überträgt einen Teil des zur Verschlüsselung genutzten Keys (Basiskey) an den CC-Server. Wenn der Schlüssel nicht auf dem Computer des Opfers zwischengespeichert wird und der Schlüssel mit Zufallsdaten erzeugt wird (wovon sicherlich auszugehen ist), gibt es keine Möglichkeit mehr, den Schlüssel zu errechnen. Die Einzige Möglichkeit wäre somit, darauf zu hoffen, dass die Strafverfolgungsbehörden zugriff auf die Datenbank der CC-Server bekommen: Sehr unwahrscheinlich!

Hier wird der Basekey erzeugt:

Dieser wird dann an den CC-Server übermittelt:

Dann beginnt die Verschlüsselung auf Grundlage des Basekeys. McAfee hat das Vorgehen des Trojaners ebenfalls analysiert und in einer anschaulischen Grafik dargestellt:

Hier heißt es:

The random base key is encrypted using RC4 and the key used is an MD5 checksum of the data, consisting of the serial number of boot drive volume concatenated with the first six characters of the computer name and another hard-coded string. The ciphered data is passed to another encryption routine and the returned value of this routine along with the volume’s serial number followed by the computer name are passed in the query string of the HTTP request as “data” and “id,” respectively.

Quelle: Ransomware holds up victims

Nicht auf ein PP-Verfahren zu setzen hat in meinen Augen vor allem den Vorteil, dass bei den CC-Servern keine Rechnerressourcen "verschwendet" werden. Auch ist die Vorhaltung von PP-Key Kombinationen minimal aufwändiger als eine Datenbank mit der Installationskennung->Basekey. Man sieht also, die Malware-Programmierer sind keine Skript-Kiddies, das Konzept von diesem Trojaner ist gut durchdacht.

Das Einzige, was mir bisher noch nicht ganz klar ist, was in der 1kb-Datei im %temp%-Verzeichnis steht. Da diese aber vor Generierung des Basekeys erstellt wird, dürfte sich auch hier kein Schlüssel mehr finden.

Zusammenfassend läßt sich wohl sagen, dass wir es nun mit einer neuen Eskalationsstufe in Sachen Malware zu tun haben. Die einzige Möglichkeit sich hiergegen zu schützen heißt von nun an auch für Privatpersonen tägliche Backups aller wichtigen Datenbestände auf verschiedene Medien!

Referenzen/Links:

- Entschlüsselungsroutine, die Marcu gefunden hat, für den Fall, dass es doch symmetrisch ist
- Using Symmetric Encryption with Microsoft's CryptoAPI
- CryptoAPI Tracer script
- Cryptography Functions
- Microsoft Enhanced Cryptographic Provider
- Delphi-Praxis: Verschlüsselungs-Trojaner, Hilfe benötigt
- Trojaner-Board: Neue Verschlüsselungs-Trojaner Variante im Umlauf
- Asymmetrisches Kryptosystem
- Cryptovirology Labs
- An Implementation of Cryptoviral Extortion Using Microsoft’s Crypto API? Adam L. Young and Moti M. Yung
- Von kleinen, fiesen Windowsrechnerkrabbeltierchen
- Ransomware holds up victims

Auf dem Weg zu einer wegweisenden Entscheidung

nospam@example.com (Martin) — Tue, 02 Mar 2010 09:42:00 +0100

Heute ist es also so weit und das BVerG wird über die Klage gegen die Vorratsdatenspeicherung entscheiden. Dieses Urteil wird aber nicht nur wegweisend für die in den letzten Jahren geschundenen Bürgerrechte sein, wie etwa bei netzpolitik zu lesen ist:

Es gibt wohl kein anderes Gesetz, was wir seit Gründung dieses Blogs so intensiv begleitet haben, wie die Vorratsdatenspeicherung. Insofern ist natürlich die große Hoffnung da, dass das Bundesverfassungsgericht die Protokollierung unserer Verbindungsdaten Morgen beerdigt.

Aus politikwissenschaftlicher Sicht ist vor allem interessant, wie sich die Entscheidung auf die "digitale Bürgerrechtsbewegung", also all jene Gruppierungen, die sich im Kampf um Datenschutz und das Recht auf informationelle Selbstbestimmung in den letzten Jahren gebildet haben, auswirken wird. Das Urteil wird den Bestand, die Zielsetzung und die Vernetzung dieser Gruppierungen für die Zukunft maßgeblich bestimmen.

Welche Optionen ergeben sich also aus den vier möglichen Entscheidungen:

1. Das Bundesverfassungsgericht erklärt die Beschwerde gegen die Vorratsdatenspeicherung selbst für unzulässig (”nur die Instanzgerichte können den Europäischen Gerichtshof befassen”) und beschränkt lediglich die Datennutzung auf schwere Straftaten, stellt höhere Datensicherheitsanforderungen usw.
2. Das Bundesverfassungsgericht erklärt die Beschwerde gegen die Vorratsdatenspeicherung selbst als unbegründet (”die Vorratsdatenspeicherung ist unter hohen Voraussetzungen verhältnismäßig”) und beschränkt nur die Datennutzung auf schwere Straftaten, stellt höhere Datensicherheitsanforderungen usw.
3. Das Bundesverfassungsgericht legt die Frage, ob die Vorratsdatenspeicherung zulässig ist, dem Europäischen Gerichtshof zur Entscheidung vor und beschränkt bis zur Entscheidung die Datennutzung auf schwere Straftaten, stellt höhere Datensicherheitsanforderungen usw.
4. Das Bundesverfassungsgericht erklärt die Vorratsdatenspeicherung selbst für verfassungswidrig.

Fangen wir beim mit Blick auf die Bürgerrechte wünschenswertesten Punkt 4 an. Sollte das BVerfG die Vorratsdatenspeicherung kippen, was bedeutet dies für die digitale Bewegung? In diesem Fall ist davon auszugehen, dass die digitale Bürgerrechtsbewegung ideell gestärkt aus dem Verfahren herausgeht. Es erscheint jedoch in meinen Augen fraglich, ob dies auch strukturell der Fall sein wird und dies aus einem einfachen Grund: Die Bestandsvoraussetzung, namentlich die Vorratsdatenspeicherung hätte ihre identitätsstiftende Wirkung verloren. Zwar gibt es eine Vielzahl ähnlicher gesetzgeberischer Initiativen - man denke nur an das Elena-Verfahren. Dennoch ist in meinen Augen bei einer Entscheidung gegen die VDS mit einer Identitätskrise der Bewegung und in der Folge mit Zerfallserscheinungen zu rechnen.

Geht man von einer Entscheidung im Sinne von Punkt 3 aus, so hätte dies in meinen Augen vor allem eine die digitale Bewegung lähmende Wirkung. Die Aktionsbereitschaft in Bezug auf die Vorratsdatenspeicherung, sowie das Mobilisierungspotential dürften sinken. Nachdem das Gesetz nun schon zwei Jahre in Kraft ist, würde eine weitere Aufschiebung einer Entscheidung somit auf die Bewegung in zweifacher Hinsicht negative Wirkung entfalten: Einerseits läßt das Mobilisierungspotential der VDS und damit verbunden die Bindungskraft auf Aktivisten nach, andererseits bleiben viele Ressourcen der Bewegung weiterhin gebunden, so dass auf neuere Entwicklungen (Elena, Gesundheitskarte, ...) erst spät und vergleichsweise schwach reagiert werden kann.

Bei einer Entscheidung nach Punkt 1 Treffen sind ähnliche Wirkungen wie bei einer etwaigen Entscheidung nach Punkt 3 zu erwarten. Allerdings mit noch stärker lähmender Wirkung, da hierbei noch eine weitere Instanz bis zur Entscheidung eingeführt wird.

Bei einer Entscheidung nach Punkt zwei gingen die Gruppierungen ideell geschwächt aus dem Verfahren, was sich nachhaltig negativ auf die Durchsetzungsfähigkeit ihrer Argumente, die Mobilisierungsfähigkeit der Bewegung als solche und die Bindungsfähigkeit gegenüber Aktivisten auswirken dürfte. In einem solchen Fall wäre sicher mit Zerfallstendenzen der Bewegung zu rechnen, nach dem Motto "bringt doch nichts".

In meinen Augen birgt somit die heutige Entscheidung des Bundesverfassungsgerichts zur Vorratsdatenspeicherung für die digitale Bürgerrechtsbewegungen neben bürgerrechtlichen Chancen auch eine Vielzahl von Risiken in sich. Es wird spannend sein, wie sich die Gruppierungen nach dieser wichtigen Entscheidung entwickeln werden.

DNS-Filter reloaded: Das ZugErschwG beim Deutschen Forschungsnetz

nospam@example.com (Martin) — Thu, 15 Oct 2009 12:25:00 +0200

Das nun auch in Deutschland das Internet gefiltert werden soll, sollte mittlerweile bekannt sein. Was ich jedoch nicht gedacht hätte ist, dass wohl davon auszugehen ist,dass die Internet-Service Provider von der technik-neutralen Formulierung des Zugangserschwerungsgesetzes auch tatsächlich Gebrauch machen werden. Ich war eher davon ausgegangen, dass es die ISP's bei der Manipulation ihrer Nameserver belassen, da dies den geringsten Aufwand bedeutet. Die gestern vom DFN-Verein online gestellten Dokumente zur Betriebstagung lassen aber für die Informationsfreiheit in Deutschland nichts gutes erahnen.

Der zweigeteilte TOP zum neuen Gesetz enthält eine rechtliche Einschätzung von Hannes Obex, in der die Motivation, die Anforderungen und mögliche Ausnahmetatbestände behandelt. So werden als „geeignete und zumutbare technische Maßnahmen“ die Sperrung von vollqualifizierten Domainnamen (DNS-Sperre), von Internetprotokoll-Adressen (IP-Sperre) und von Zieladressen (URL-Sperre) angesehen, als Mindestanforderung wird die DNS-Sperre angesehen.

Verpflichtet zur Umsetzung der Sperren sind TK-Anbieter i.S.d. § 8 TMG mit mindestens 10.000 Nutzern. Die Anbieter sind weiterhin dazu verpflichtet, für eine unverzügliche Umsetzung der vom BKA bereitgestellte Sperrliste innerhalb von 6 Stunden zu sorgen, die Kunden auf eine vom Provider gehostete Stoppmeldung umzuleiten, die Sperrliste geheim zu halten, sowie eine anonyme Zugriffstatistik zu erstellen und weiterzuleiten. Bei schuldhaftem Verstoß gegen Sperr- oder
Geheimhaltungspflicht droht ein Bußgeld wegen Ordnungswidrigkeit von 50.000€. Soweit enthält der erste Teil nichts wesentlich neues und gibt den aktuellen Stand der Dinge wieder.

Interessanter, vor allem mit Bezug auf den zukünftigen Charakter der zu erwartenden Netzsperren und die Wirkung auf die Informationsfreiheit sind die Folien zur technischen Umsetzung von Holger Wirtz. Wie nicht anders zu erwarten, wird das Deutsche Forschungsnetz die Sperren vermutlich auf DNS-Ebene betreiben, und damit die Mindestanforderungen des Gesetzes erfüllen. Dabei wird ein DNS-Proxy fragliche Internetseiten blockieren, für die Umleitung auf die Sperrseite sorgen und die Statistik mit Daten beliefern:

In meinen Augen bemerkenswert und überaus bedenklich ist jedoch die Seite neun:

Mit dem Sperren oder der Weiterleitung ausgehenden Traffics auf Port 53 kann die Websperre vom "Durchschnittsuser" nicht mehr sol leicht umgangen werden, wie es in zahlreichen Anleitungen im Netz beschrieben ist. Das Einrichten von frei zugänglichen Nameservern wie etwa OpenDNS wäre dann nicht mehr möglich, da jegliche Namensauflösung auf die Server des DFN umgeleitet werden. Dies stellt einen weitaus tieferen Eingriff in die Kommunikations- und Informationsfreiheit dar, als es reine DNS-Manipulationen tun würden und ist in meinen Augen nicht als "Umsetzung von Mindestanforderungen" anzusehen. Es ist in meinen Augen auch fraglich, ob eine solche Manipulation rechtlich zulässig wäre. Die Überlegungen seitens des Deutschen Forschungsnetzes, ob diese Erweiterung der Sperren auf DNS-Ebene sinnvoll wären offenbart jedenfalls, dass diese oder ähnliche Optionen auch bei anderen großen ISP's diskutiert werden. Dieser Umstand läßt somit erwarten, dass wir eine sehr viel stärkere Internetzensur bekommen werden, als einige sich das bisher vorstellen konnten. Wer also weiterhin auf der "sicheren" Seite surfen möchte, wird nicht um die Installation eines lokalen DNS-Servers herumkommen, der sich mit freien DNS-Servern verbindet, die auf anderen Ports als 53 lauschen.

Erschreckend ist weiterhin, wie wenig diese Maßnahmen die Internetprivider vermutlich kosten wird. So geht der DFN davon aus, dass ein Server mit Intel i7 Quad Server CPU, 12 GB RAM und
1 GigE Netzwerk-Anbindung ausreichend ist, um die Arbeit zu verrichten. Auch wenn man für die Ausfallsicherheit mehrere Server braucht, sind die Kosten doch durchaus überschaubar und sollten für keinen ISP ein Hindernis zur Umsetzung des Zugangserschwerungsgesetzes darstellen.

Das DFN ist für Forschung und Lehre von Zentraler Bedeutung: "Das Deutsche Forschungsnetz (DFN) ist das von der Wissenschaft selbst organisierte Kommunikationsnetz für Wissenschaft und Forschung in Deutschland. Es verbindet Hochschulen und Forschungseinrichtungen miteinander und ist nahtlos in den europäischen und weltweiten Verbund der Forschungs- und Wissenschaftsnetze integriert. Über mehrere leistungsstarke Austauschpunkte ist das DFN ebenfalls mit dem allgemeinen Internet verbunden.". Mit der angenommenen Verpflichtung der Umsetzung des Zugangserschwerungsgestzes auch für Universitäten und ihre Infrastrukturanbieter ist nicht nur die Freiheit von Forschung und Lehre in Gefahr. Es muß auch die Frage gestellt werden, wer noch unabhängig die Auswirkungen das Zugangserschwerungsgesetzes, die proklamierte "Internetszene", die mutmaßliche Milliardenindustrie oder aber - mit Blick auf zukünftige Sperrwünsche - etwa extremistische Organisationen im Netz erforschen kann? Wie soll dieses folgenschwere Gesetz unabhängig evaluiert werden können, wenn es selbst für die Wissenschaft keine Informationsfreiheit mehr gibt?

CDU-Wahlprogramm: ... und Du bist raus ...

nospam@example.com (Martin) — Tue, 23 Jun 2009 13:40:11 +0200

Und wieder einmal ist es wikileaks, die Unsagbares veröffentlichen:

Das PDF enthaelt das aktuelle Programm der CDU zur Bundestagswahl 2009.Es enthaelt unter anderem den Vorschlag einer "3-Strike-Out" regelung, aehnlich wie sie gerade in Frankreich eingefueht wurde. Diese sieht eine Sperrung des Internetanschlusses vor, sollte ein Teilnehmer drei mal fuer Verletzungen von Urheberrechtsinteressen bekannt werden. Im franzoesischen Modell wird hier der Vertrag nicht gekuendigt, ein Nutzer zahlt weiter fuer seinen Anschluss, bekommt aber keinen Zugriff auf das Internet mehr.
Dieses Vorhaben stellt einen weiteren Aspekt des Internet-Crackdowns durch die CDU dar, ist im Kontext von Zensurgesetz und Vorratsdatenspeicherung zu verstehen und beweisst das Interesse der CDU zur Durchsetzung von Lobbyinteressen im Internet.

Die CDU setzt sich im Wahlprogrammentwurf für den Ausschluss von Internetnutzern ein, die mehrfach negativ aufgefallen sind:

Das Internet ist kein rechtsfreier Raum. Wo es angesichts der geringen Schwere von Straftaten vertretbar ist, soll eine Selbstregulierung greifen. Wir möchten nach britischem und französischem Vorbild Rechtsverletzungen effektiv unterbinden, indem die Vermittler von Internetzugängen Rechtsverletzer verwarnen und nötigenfalls ihre Zugänge sperren. Wir werden
auf den Ausbau der internationalen Zusammenarbeit gegen Internet-Kriminalität drängen. In Deutschland treten wir für eine stärkere Bündelung der Aktivitäten im Kampf gegen Internet-Kriminalität ein. Bundeskriminalamt, Bundesamt für Sicherheit in der Informationstechnik und die entsprechenden Einrichtungen der Länder sind hierfür personell und technisch weiter zu stärken.

In Frankreich wurde ein ähnliches Gesetz bereits vom dortigen Verfassungsgericht kassiert. Die Richter sahen durch das Gesetz sowohl das von der Verfassung garantierte Recht auf freie Meinungsäußerung als auch die Unschuldsvermutung gefährdet. Es spricht schon für die CDU, mit solchen Ideen, die den Grund- und Menschenrechte mit Bezug auf die Informations- und Meinungsfreiheit spotten, Wahlkampf machen zu wollen. Es kommen interessante Zeiten auf uns zu ...

Hier gibt es das Dokument zum Download / Mirror

Italienische Filterliste "geleakt"

nospam@example.com (Martin) — Sun, 21 Jun 2009 09:46:47 +0200

Nachtisch bei wikileaks:

This list presents 287 internet sites currently censored by Italy. This quasi-voluntary system, which was introduced under the banner of fighting "child pornography" relies on a secret, unaccountable list of site names. Because of this lack of transparency, and the power of the censorship system, the blacklist is of intense interest.

Secret "child pornography" censorship blacklists in other countries, such as China, Thailand, Australia, Finland and Denmark have all been shown by WikiLeaks to have been corrupted into censoring non-child pornographic content, including political content (all but Denmark). It seems to be a law of human affairs that when such powerful, unaccountable, systems are introduced, they soon stray from their stated purpose. [...]

http://bit.ly/ao7or

Eine Stichprobe von whois-Anfragen ergibt, dass es wohl zu fast jeder Domain auf dieser Liste einen Ansprechpartner geben dürfte, gegen den, sollte auf den Seiten illegale Inhalte verfügbar sein, vorgegangen werden könnte, wenn man es nur wollte:

Registrant Contact:

Alexander Trofimov ()

Fax:
rue Monge, 106
Paris, 75005
FR
"Italienische Filterliste "geleakt"" vollständig lesen

Unterstützt die iransiche Freiheitsbewegung: Tor-Bridges gegen die Internetzensur

nospam@example.com (Martin) — Sat, 20 Jun 2009 14:03:00 +0200

Was ist Tor?
Tor ist eine freie Software und ein offenes Netwerk, dass dir hilft, dich gegen eine Analyse der Verbindungsdaten, eine Form der Überwachung von Netzwerken, die die persönliche Freiheit und Privatsphäre wie auch vertrauliche Geschäftsbeziehungen und die allgemeine Sicherheit gefährden, zu schützen.
Verbindungen werden durch ein verteiltes Netzwerk von Servern geleitet. Diese Server, genannt Onion Router, werden von Privatpersonen betrieben und schützen den Nutzer vor Webseiten, die Profile seiner Interessen erstellen, und vor "Lauschern", die den Datenverkehr abhören und dadurch erfahren, welche Webseiten man besuchst. Tor funktioniert mit vielen Anwendungen. Dies schließt Webbrowser, Chatprogramme, Remote Login und andere Programme ein, die auf TCP basieren.
Hunderttausende von Anwendern in aller Welt setzen aus verschiedenen Gründen auf Tor: Journalisten und Blogger, Aktivisten für Menschenrechte, Strafverfolger, Soldaten, Firmen, Menschen, die in Unterdrückung leben und ganz gewöhnliche Menschen.
Mehr Informationen sind auf der Seite des Tor-Projektes zu finden.

Was sind Tor-Bridges?
Brücken-Server (Bridge-Relays oder Bridges) sind Tor-Server, die nicht im Verzeichnis von Tor aufgelistet sind. Da es auch keine sonstige komplette, öffentliche Liste gibt, besteht keine Möglichkeit, alle Bridges zu sperren. Falls der generelle Zugang zum TOR-Netzwerk gesperrt ist, bieten Bridge-Server eine weitere Möglichkeit, die Internetzensur zu umgehen.

Wie richtet man eine Bridge ein?

1) Tor herunterladen & installieren

Hier gibt es Tor für Windows, Mac OS und Linux inklusive Firefox und Konfigurationstool Vidalia.
Dieses muß heruntergeladen werden:

Dann startet man die Extraktion in ein Verzeichnis seiner Wahl:

Hier gibt es noch eine ausführliche, bebilderte Anleitung für Windows, bei der Tor als Anwendung installiert wird.

2) Einrichten der Bridge

Als erstes muß Vidalia gestartet werden. Dazu wechselt man in das gerade bei der Extraktion erstellte Verzeichnis und startet den "Tor Browser":

Zur Einrichtung der Bridge geht man nun in das Kontrolpanel des Konfigurationstools Vidalia und klickt dort auf Einstellungen:

"Unterstützt die iransiche Freiheitsbewegung: Tor-Bridges gegen die Internetzensur" vollständig lesen

cat Datenschutz > /dev/null

nospam@example.com (Martin) — Fri, 15 May 2009 18:17:41 +0200

Wie schlecht es um den Datenschutz im öffentlichen Bereich bestellt ist, mußte ich heute morgen feststellen. Da gab es nämlich ein paar winzige Probleme im OPAC der Freien Universität Berlin. Dort konnte man sich mit seinen Daten anmelden, war dann aber plötzlich jemand ganz anderes und konnte so wunderbar Daten einsehen, die einen rein gar nix angehen: Anschrift, e-mail, Kontostand, Ausleihen, Vorbestellungen. Wer kreativ war, konnte sicher auch ein wenig am Passwort der fremden Nutzer manipulieren (Hint: Postleitzahl plus erster Buchstabe der Anschrift).

Und um 8 Uhr ist natürlich kein kompetenter Ansprechpartner vorhanden, den man auf den Umstand hinweisen kann, da sich die Universitäten dem Lebensstil der Studenten anpassen. Somit blieb mir nur, mein Anliegen per mail vorzutragen oder bis 10 Uhr abzuwarten. Ich schrieb also:

ich hoffe, ich bin bei Ihnen beim richtigen Ansprechpartner. Der OPAC ist heute etwas durcheinander, wie ich feststellen mußte. Wenn ich mich anmelde, komme ich in verschiedene Benutzerkonten, aber nicht das Meine. So etwas sollte wohl besser nicht passieren, ich könnte wahrscheinlich sogar das Passwort des Nutzers ändern, da auch die Adressdaten einsehbar sind! Zur Veranschaulichung habe ich einige Scrennshots angehängt und bitte um Erklärung.

Das sah dann so aus:

Nein, ich heiße nicht Wiebke

Immerhin erreichte mich nach drei Stunden die wenig zufriedenstellende Antwort:
"cat Datenschutz > /dev/null" vollständig lesen

Deep Packet Inspection bald auch in Deutschland

nospam@example.com (Martin) — Fri, 15 May 2009 12:49:28 +0200

Es sieht nicht gut aus, was die Informationsfreiheit in Deutschland anbetrifft. Erst kürzlich wurden Internetzungangsanbieter dazu angehalten, bestimmte Internetinhalte zu zensieren. Nun hat das Landgericht (LG) Hamburg in einem Urteil entschieden, dass ein Zugangsanbieter nicht verpflichtet werden kann, den Zugriff auf Seiten mit rechtswidrigem Inhalt zu sperren.
So weit so gut. Doch das Urteil hat einen entscheidenden Knackpunkt, wie heise heute treffend anmerkt:

Das Gericht hat die sogenannte Störerhaftung nicht nur für Webhoster, sondern sogar für Zugangsanbieter angewandt, obwohl das für die Haftung im Internet einschlägige Telemediengesetz (TMG) in Paragraf 8 eindeutig vorsieht, dass Access-Provider für Handlungen ihrer Kunden nicht verantwortlich zu machen sind.

Wenn nun beispielsweise ein Kunde von Alice über seinen DSL-Anschluss urheberrechtswidrige Inhalte erreicht, könnte der Provider dem Gericht zufolge mithaften. Er müsste es dann grundsätzlich unterlassen, dem Kunden derartiges zu ermöglichen. Im konkreten Fall hatte das Gericht allerdings erklärt, dies sei dem Provider nicht zuzumuten, weil die in Frage kommende DNS-Sperrtechnik nur "beschränkt geeignet" sei.

Das heißt so viel als dass die kritisierte Rechtssprechung zur Störerhaftung von Host-Providern auf Access-Provider erweitert wird und in naher Zukunft auch letztere gezwungen sein könnten, die von ihren Kunden Abgerufenen Inhalte in einem ersten Schritt zu überwachen und in einem zweiten Schritt fragwürdige Abfragen zu verhindern. Wie weit die Selbstzensur bei Hosting-Anbietern bereits geht, konnte erst kürzlich bei der Sperrung einer BMI-Satire-Seite beobachtet werden. So führte der Hoster der betroffenen Seite aus:
"Deep Packet Inspection bald auch in Deutschland" vollständig lesen

Berliner Verwaltungsgericht kassiert die Vorratsdatenspeicherung

nospam@example.com (Martin) — Tue, 21 Oct 2008 17:54:28 +0200

Der britische TK-Anbieter Britisch Telecom hatte am 12. August 2008 einen Antrag auf einstweilige Verfügung beim Verwaltungsgericht Berlin eingereicht, welche nun erfolgreich war. BT Deutschland hat somit eine Aussetzung der umstrittenen Vorratsdatenspeicherung erwirkt, da diese entschädigungslose Indienstnahme Dritter durch den Staat verfassungswidrig sein könnte.

Das Verwaltungsgericht hat damit einen ersten Schritt in die richtige Richtung getan. Das Bundesverfassungsgericht in Karlsruhe wird nach dem Berliner Entscheid über die Entschädigungsansprüche von BT zu urteilen haben. Die Aussetzung der Vorratsdatenspeicherung gilt zunächst nur für BT, andere Unternehmen müssen selbst klagen,um eine Aussetzung zu erwirken. Hoffen wir, dass sich die großen TK-Anbieter in Deutschland hieran ein Beispiel nehmen.

BT klagt erfolgreich gegen Vorratsdatenspeicherung
BT stellt Vorratsdatenspeicherung infrage

Google Filter II

nospam@example.com (Martin) — Sat, 24 May 2008 16:09:00 +0200

Dass Google Deutschland schon lange nicht mehr Garant für den freien Zugang zum Internet darstellt, ist ja hinlänglich bekannt. Welches Ausmaß die Internet-Filterung aufgrund von so großartigen Organisationen wie der Freiwilligen Selbstkontrolle Multimedia, INHOPE und jugendschutz.net mittlerweile annimmt, kann kaum mehr abgeschätzt werden. Nahezu alle namenhaften Suchmaschinenanbieter sind Mitglieder der FSM:

AOL Deutschland mit seinen Online-Diensten AOL und Compuserve sowie der Browser-Technologie Netscape
Google
IAC Search & Media mit ask.de
Lycos Europe mit seinem entsprechenden Online-Dienst Lycos.de, den Suchen Fireball und Hot Bot sowie der Newssuche Paperball
MSN Deutschland
t-info mit seinem Online-Dienst Suchen.de
T-Online
Yahoo! Deutschland mit seinem gleichnamigen Online-Dienst Yahoo.de

Und was sagt der Verhaltenssubkodex der Suchmaschinenanbieter der FSM zur Ausgestaltung der Selbstzensur? Die Suchmaschinen-Betreiber verpflichten sich zur:

Aufklärung und Information über die Funktionsweise der Suchmaschinen
Transparente Gestaltung der Suchergebnisse (u.a. Kennzeichnung von Werbung)
Einsatz technischer Vorrichtungen zum Schutz von Kindern und Jugendlichen vor jugendgefährdenden Inhalten
Grundsatz der Datensparsamkeit mit Nutzerdaten
Verbesserung des Jugendmedienschutzes (insbesondere Schutz vor jugendgefährdenden Inhalten)
Nicht-Anzeige von Internetadressen, die auf dem Index jugendgefährdender Medien der Bundesprüfstelle für jugendgefährdende Medien (BPJM) stehen

Wer schon einmal bei Google Deutschland nach Hinweisen gesucht hat, die den mündigen Bürger auf die Filterung der Suchergebnisse transparent hinweisen, wird einräumen müssen, dass diese äußerst schwer auffindbar sind. Alles was über gefilterte Inhalte zu erfahren ist, ist die Anzahl der Seiten, die nicht angezeigt werden und mit ganz viel Glück noch ein Verweis zu chillingeffects.org. Dort kann dann nachgelesen werden, welcher Straftatbestand der Sperrung zugrunde liegen soll und allzu oft noch nicht mal das. Aber woher weiß Google Deutschland, dass man weder berechtigt ist, die betreffenden Inhalte zur Kenntnis zu nehmen (in D strafbare Inhalte) oder der Betrachter nicht die Altersgrenze erreicht hat, um entsprechende Inhalte legal abrufen zu dürfen? Und wo wird auf diesen Umstand hingewiesen? Keine Lust zum Suchen? Dann werde ich mal einen kleinen Beitrag zum Verhaltenskodex beitragen, und die Filterung etwas transparenter machen
"Google Filter II" vollständig lesen

Menschenrechte in der Informationsgesellschaft - Die „Great Firewall of China“

nospam@example.com (Martin) — Tue, 22 Jan 2008 22:07:00 +0100

Betrachtet man die aktuellen sicherheitspolitischen Debatten des Westens, könnte man beinahe auf die Idee eines besonderen Technologietransfers in Sicherheitsfragen zwischen China und dem Westen kommen: So beliefern die Marktwirtschaften China mit Sicherheitstechnologie und importieren im Gegenzug nach und nach deren gesetzliche Regelungen. Die politischen Argumente zur Einführung von Kontrollen der Information und Kommunikation unterscheiden sich: Im Osten Kämpft man für die „Ideale der Partei“, im Westen soll der „Kampf gegen den Terror“ repressives und präventives Vorgehen rechtfertigen. Die angewandten legislativen und technischen Mittel unterscheiden sich jedoch nicht und sind in ihren Wirkungen ähnlich verheerend: Sie schränken die Garantien der Allgemeinen Menschenrechte – maßgeblich die Meinungsfreiheit, die Informationsfreiheit und die Privatsphäre – ein.
Es scheint an der Zeit, den Allgemeinen Menschenrechten wieder Öffentlichkeit und Geltung zu verschaffen, wie der in dieser Arbeit konstatierte Verlust an Glaubwürdigkeit der freiheitlichen Demokratien zeigt.
"Menschenrechte in der Informationsgesellschaft - Die „Great Firewall of China“" vollständig lesen

Google Deutschland = Webnanny?

nospam@example.com (Martin) — Thu, 17 Jan 2008 20:41:41 +0100

Wie berichtet konnte ich kürzlich völlig neue Erfahrungen mit der Suchmaschine google machen,die mich schon etwas geschockt haben. Dass google wie andere Internet-Suchmaschinen seine Suchergebnisse in Ländern wie China filtert,ist ja weithin bekannt. Auch war mir durchaus bewusst, dass in Deutschland verfassungsfeindliche und volksverhetzende Inhalte zum Teil gefiltert werden.

Leider scheint die Säuberung des Webs in Deutschland aber langsam ein Ausmaß anzunehmen, von dem ich nicht erwartet hätte, dass es bereits der Fall wäre. So musste ich bei einer völlig unverfänglichen Internetrecherche feststellen, dass mir bestimmte Inhalte vorenthalten werden. So heißt es dann so schön: "Aus Rechtsgründen hat Google 1 Ergebnis (se) von dieser Seite entfernt". Geht man Googles Verweis nach, so ist weiterhin zu erfahren:

...
A URL that otherwise would have appeared in response to your search,
was not displayed because that URL was reported as illegal by a German
regulatory body.

Ihre Suche hätte in den Suchergebnissen einen Treffer generiert, den
wir Ihnen nicht anzeigen, da uns von einer zuständigen Stelle in
Deutschland mitgeteilt wurde, dass die entsprechende URL unrechtmäßig
ist.

Weder gibt es hier einen Hinweis, gegen welche Gesetze denn hier verstoßen worden sein soll, noch wer sich hier beschwert hat, noch um welchen Anbieter es sich denn handelt. Intransparenz pur - hoch lebe die Mediendemokratie a la google! Es wäre doch mal sehr interessant, wie viele Seiten mittlerweile durch google und andere Suchmaschinen in Deutschland deindexiert, gesperrt und ausgefiltert werden. Dass es hierzu meines Wissens nach keine Zahlen oder gar Studien zu geben scheint, ist skandalös.

Und so sieht es aus, wenn man es mit zensierten Inhalten zu tun hat:

Ein Vergleich einer Suche auf google.de und google.com:

Und die Moral von der Geschicht: Vertraue google niemals nicht!