Discussion:
Die Mittel des BSI für die Online Durchsuchung und der Kampf dagegen
(zu alt für eine Antwort)
andreas
2007-03-10 19:38:57 UTC
Permalink
Ich habe heute mit jemandem telefoniert, der mir bezüglich der von
Volker erwähnten SINA Boxen (im Telepolis Artikel), erzählen sollte.
Dabei ging es mir speziell um die Mittel die der Staat einsetzt um seine
Pläne durchzusetzen.
Dabei sind für mich einige interessante Dinge dabei herausgekommen, die
ich zum einen hier zu Diskussion stelle und darum bitte mir bei weiteren
Fragen an ihn zu helfen, da ich evtl. nächste Woche zu einer staatlichen
Einrichtung darf um mir bestimmte Methoden zeigen zu lassen, die sogar
öffentlich sein dürfen. Da möchte ich dann weitere Informationen erhalten.

Folgende Infos sind dabei rausgekommen:

- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern zusammenarbeiten.
Diese haben angeblich sowieso fast immer ein Hintertür eingebaut, allein
schon für sich selbst, falls sie ran müssen oder eben auf Verlangen des
Staates. Selbst wenn das nicht der Fall ist, wird es immer Lücken geben
in einem System, diese wird der Staat anzapfen wollen und dann auch
ausnutzen. Sprich nichts neues wie einen Trojaner implementieren sondern
gleich gegebene Lücken nutzen. Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren. Ich frage mich nur, ob nicht
gerade die Implementierung von Lücken nicht bei OpenSource Software
auffallen wird.

- Was ich mich immer fragte: Wieso braucht das LKA Monate um zu merken,
dass sie eine Festplatte nicht entschlüsseln kann, aber das BSI schafft
es angeblich. Naja die Grundlage ist die, das die 2 ihre Datensätze
nicht tauschen dürfen. Ich wusste zwar, dass viele staatliche Bereiche
nicht miteinander alle Datensätze tasuchen dürfen, aber das es so krass
ist, hat mich doch etwas gewundert. Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat. Ich frag
mich nur wie das genau gehen soll, werde da aber bei dem Treffen mit dem
Herren noch genauer nachfragen

- "Es gibt mehr Viren für Linux als für Windows" nur seien sie nicht so
im Umlauf da es sich nicht lohnt...Naja ob man das so pauschal sagen
kann, zumindest meine ich doch, dass es für aktuelle Systeme oder
"hardened" nicht so leicht sein sollte. Aber sobald eine graphische
Oberfläche da ist und der Nutzer oder Administator Fehler macht ist
klar, dass dann Viren wieder eine Chance haben, wie immer.

- Er meinte auch, dass NSA könnte in der Theorie so ziemlich alles, nur
ist ihr Problem die Menge der Daten zu kontrollieren. Wäre das nicht ein
Ansatz, sollte es denn wirklich so sein, gezielt eine große Menge an
Daten zu erzeugen oder den Staat in andere Netze zu leiten um ihm auch
Probleme zu bereiten bei der "Online Durchsuchung"?

- GPG ansich mit sicherem Schlüssel etc. ist wirklich effektiv. Nur
wieder war die Rede vom BSI, das da auch was machen kann. Wieder frage
ich mich wie?

- https ist auch nicht so ganz das nonplusultra um eine Alternative zu
http zu sein. Muss ich aber auch noch genauer eingehen.

Ich bin jedenfalls gespannt was ich zu sehen kriege und wieviel
Informationen ich herauslocken kann. Es wird hier für viele nicht
unbedingt was großartig neues sein, aber evtl. hat der ein oder andere
doch eine Idee für eine Frage auf die ich genauer eingehen kann dann um
doch Informatioen rauszukriegen die nicht ganz so offensichtlich sind
aber evtl. brauchbar. Wie kompetent der Herr ist kann ich nicht
beurteilen, nur anhand seiner Position dort meine ich zu behaupten, es
ist zumindest mehr als ausreichend.
Es zeigt mir jedenfalls nur, dass es wohl auf technischer Seite ein
harter und ewiger Kampf wird sich vorm Staat zu schützen, dass es
wirklich weiterhin effektiver und wichtiger ist, ihm erst garnicht per
Gesetz zu erlauben das durchzusetzen.
Volker Birk
2007-03-10 20:12:47 UTC
Permalink
Post by andreas
Ich habe heute mit jemandem telefoniert, der mir bezüglich der von
Volker erwähnten SINA Boxen (im Telepolis Artikel), erzählen sollte.
[Ein Haufen Unfug]

Ich hoffe mal für Deinen Kontakt, dass Du seine Antworten alle falsch
verstanden hast.

Falls nicht, ist er ein Dummschwätzer.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-10 20:24:22 UTC
Permalink
Post by Volker Birk
Ich hoffe mal für Deinen Kontakt, dass Du seine Antworten alle falsch
verstanden hast.
Könntest du es etwas weiter ausführen? So kann ich etwas schlecht
feststellen ob es Missverständnisse sind oder ob es wirklich so nicht
stimmt. Aber zumindest die Vorgehensweise eher bestehende
Sicherheitslücken zu nutzen, find ich zumindest nicht mal so falsch gedacht!
Florian 'rephlex' Panzer
2007-03-10 20:52:59 UTC
Permalink
Post by andreas
[...]
- "Es gibt mehr Viren für Linux als für Windows" nur seien sie nicht so
im Umlauf da es sich nicht lohnt...Naja ob man das so pauschal sagen
kann, [...]
Damit ist dein "jemand" schon mindestens fragwürdig, wenn nicht
unglaubwürdig. Nix für ungut. Aber das ist einfach nur LOL.
andreas
2007-03-10 20:58:47 UTC
Permalink
Post by Florian 'rephlex' Panzer
Post by andreas
[...]
- "Es gibt mehr Viren für Linux als für Windows" nur seien sie nicht so
im Umlauf da es sich nicht lohnt...Naja ob man das so pauschal sagen
kann, [...]
Damit ist dein "jemand" schon mindestens fragwürdig, wenn nicht
unglaubwürdig. Nix für ungut. Aber das ist einfach nur LOL.
Da mich das vorerst nicht weiter intressierte hatte ich da auch noch
nicht um eine Quelle gebeten, werde ich aber nachholen. Das ist denke
ich sowieso Definitionssache. Gerade Linux kannst du nicht so
pauschalisieren, da gibts nicht einfach ein Home/Pro und gut ist. Dann
gehts weiter obs wirklich System oder eher Software bezogen ist etc.
Sollte nur am Rande erwähnt sein. Mir geht es mehr um die anderen Punkte.

Wie ich auch gerade in den Texten zu Volkers Artikel gelesen habe, wurde
dort auch erwähnt, dass das mit den SINA Boxen scheinbar doch nicht
überall so ist, und das wurde mir eben gesagt. Und ich denke jemand der
mit den Geräten dauernd arbeitet, sollte sich doch zumindest etwas damit
auskennen.

Wie gesagt, es kanna uch sein, dass ich da was falsch verstanden habe
und durcheinander gebracht habe. Wenn ihr mir konkret nennt wo das ist,
kann ich ja gezielt nochmal nachfragen, dann stellt es sich ja heraus!
Ralf Bader
2007-03-11 07:26:02 UTC
Permalink
Post by andreas
Post by Florian 'rephlex' Panzer
Post by andreas
[...]
- "Es gibt mehr Viren für Linux als für Windows" nur seien sie nicht so
im Umlauf da es sich nicht lohnt...Naja ob man das so pauschal sagen
kann, [...]
Damit ist dein "jemand" schon mindestens fragwürdig, wenn nicht
unglaubwürdig. Nix für ungut. Aber das ist einfach nur LOL.
Da mich das vorerst nicht weiter intressierte hatte ich da auch noch
nicht um eine Quelle gebeten, werde ich aber nachholen. Das ist denke
ich sowieso Definitionssache. Gerade Linux kannst du nicht so
pauschalisieren, da gibts nicht einfach ein Home/Pro und gut ist. Dann
gehts weiter obs wirklich System oder eher Software bezogen ist etc.
Sollte nur am Rande erwähnt sein. Mir geht es mehr um die anderen Punkte.
Die Behauptung ist also, es gäbe jede Menge Viren für Linux, die also als
Programmcode existieren, nur "lohne" es sich nicht, sie in Umlauf zu
bringen, oder wie? Weshalb lohnte es sich dann, das Zeug zu programmieren,
statt es bei der konzeptionellen Idee zu belassen? Und woher will das BSI
von der Existenz dieser Viren wissen? Ich verrate Dir ein großes Geheimnis:
In meiner linken Schreibtischschublade liegt eine CD, auf die ich meine 123
selbergebastelten Linuxviren gebrannt habe! Näheres kann ich natürlich
nicht mitteilen, da das alles brandgefährlich ist! Und Dein Gewährsmann vom
BSI kann, wenn er hier mitliest, seine Statistik existierender Linx-Viren
um 123 erhöhen.

Eine andere Frage, die mir nicht ganz klar ist: Wenn der Staat solch
geballte Kompetenz in seinen Reihen hat, die schier alles kann, warum geht
dann bei diesem Staat derart viel schief, wie man laufend in den
Nachrichten hört? Sei es hinsichtlich IT-Projekten generell, sei es
hinsichtlich solcher Geschichten wie der Mikado-Aktion, wo, wie man
inzwischen erfahren konnte (www.lawblog.de brachte viel zu dem Thema), eben
doch nicht alle der ausgeschnüffelten Kreditkarteninhaber Kipokonsumenten
waren? Zunächst einmal wurde man ja dauernd belehrt, daß diese Aktion doch
ausschließlich die Richtigen getroffen hätte.

Ich könnte mir aber vorstellen, daß staatlicherseits auch beobachtet wird,
wie in der einschlägigen Expertenszene die technischen Möglichkeiten und
Aspekte des "Bundestrojaners" diskutiert werden. Fragt sich, wer hier wen
aushorchen möchte.


Ralf
andreas
2007-03-11 09:00:00 UTC
Permalink
Post by Ralf Bader
Und Dein Gewährsmann vom
BSI kann, wenn er hier mitliest, seine Statistik existierender
Linx-Viren um 123 erhöhen.
Nein er ist nicht vom BSI. Wieso dort die Leute so "extrem" fähig sind,
nach seiner Aussagen kann ich dir auch nicht beantworten. Werde da aber
nochmal nachfragen.
Post by Ralf Bader
Eine andere Frage, die mir nicht ganz klar ist: Wenn der Staat solch
geballte Kompetenz in seinen Reihen hat, die schier alles kann, warum
geht dann bei diesem Staat derart viel schief, wie man laufend in den
Nachrichten hört?
Kommt ja scheinbar drauf an, welche Stelle dafür zuständig ist. Wenn
"nur" das BKA zuständig ist, scheint es wohl eher mäßige Effizienz zu
geben. Da ja das BSI dem BKA da sozusagen nicht helfen darf, fehlt die
Kompetenz dann. Was ich mir zumindest vorstellen kann, dass beim BND,
MAD, AMK und Konsorten, sicher einige sehr fähige Leute sitzen. Nur was
bringen die dort, wenn das was du ansprichst garnicht von ihnen
bearbeitet wird. Man müsste also mal nachsehen wofür das BSI denn
hergenommen werden darf und wofür nicht.
Post by Ralf Bader
Ich könnte mir aber vorstellen, daß staatlicherseits auch beobachtet
wird, wie in der einschlägigen Expertenszene die technischen
Möglichkeiten und Aspekte des "Bundestrojaners" diskutiert werden.
Fragt sich, wer hier wen aushorchen möchte.
Naja sie können das hier mitlesen bzw. die Diskussionen sost irgendwo
über die technische Machbarkeit, aber inwiefern das ein Nachteil für uns
ist, ist fraglich.
Ralf Bader
2007-03-11 13:15:48 UTC
Permalink
Post by andreas
Post by Ralf Bader
Und Dein Gewährsmann vom
BSI kann, wenn er hier mitliest, seine Statistik existierender
Linx-Viren um 123 erhöhen.
Nein er ist nicht vom BSI. Wieso dort die Leute so "extrem" fähig sind,
nach seiner Aussagen kann ich dir auch nicht beantworten. Werde da aber
nochmal nachfragen.
Post by Ralf Bader
Eine andere Frage, die mir nicht ganz klar ist: Wenn der Staat solch
geballte Kompetenz in seinen Reihen hat, die schier alles kann, warum
geht dann bei diesem Staat derart viel schief, wie man laufend in den
Nachrichten hört?
Kommt ja scheinbar drauf an, welche Stelle dafür zuständig ist. Wenn
"nur" das BKA zuständig ist, scheint es wohl eher mäßige Effizienz zu
geben. Da ja das BSI dem BKA da sozusagen nicht helfen darf, fehlt die
Kompetenz dann. Was ich mir zumindest vorstellen kann, dass beim BND,
MAD, AMK und Konsorten, sicher einige sehr fähige Leute sitzen. Nur was
bringen die dort, wenn das was du ansprichst garnicht von ihnen
bearbeitet wird. Man müsste also mal nachsehen wofür das BSI denn
hergenommen werden darf und wofür nicht.
Ich kenne mich da nicht wirklich aus, aber ich habe die Vermutung, daß Dein
Gewährsmann hier großen Stuß verzapft hat. Gründe:
1. könnte das BSI dem BKA ja auch beibringen, wie es geht, ohne daß ein
Datenfluß BKA oder LKA -> BSI stattfindet
2. erinnere ich mich grade an die seinerzeit spektakulär verschwundene
Festplatte eines gewissen Max Strauß. Die wurde von den Ermittlern zu einer
(privaten) Datenrettungsfirma geschickt, und auf dem Hin- oder Rückweg ist
die Nachtigall mit dem Teil davongetrapst. Das heißt insbesondere, daß die
Ermittlungsbehörden sogar mit Privatfirmen in einer Weise zusammenarbeiten
können, wie sie es mit dem BSI nicht können? Erscheint mir doch sehr
merkwürdig.
(Die Strauß-Geschichte ist noch viel abenteuerlicher, wie man durch Googeln
nach Max Strauß Festplatte erfährt, und nebenbei ein Beispiel für offenbar
planmäßige Inkompetenz.)


Ralf
Carsten Thumulla
2007-03-11 13:26:45 UTC
Permalink
Post by Ralf Bader
(Die Strauß-Geschichte ist noch viel abenteuerlicher, wie man durch
Googeln nach Max Strauß Festplatte erfährt, und nebenbei ein Beispiel
für offenbar planmäßige Inkompetenz.)
Wer hätte daran ernstliche Zweifel?

ct
--
An Deutschlands Wesen
soll Europa genesen.
Stefan Engler
2007-03-11 18:39:57 UTC
Permalink
Post by andreas
Post by Ralf Bader
Und Dein Gewährsmann vom
BSI kann, wenn er hier mitliest, seine Statistik existierender
Linx-Viren um 123 erhöhen.
Nein er ist nicht vom BSI. Wieso dort die Leute so "extrem" fähig sind,
nach seiner Aussagen kann ich dir auch nicht beantworten. Werde da aber
Die Leute sollen wirklich gut sein (habe leider die Vorlesung des BSI-
Chefs verschlafen ;-). Das Bett war nach einer 5-Stunden-Klausur so
kuschelig.
Der Vortrag soll gut gewesen sein.
Warum sie so gut sind:
Die haben EDV und Kryptoanalytik und Elektrotechnik (je nach
Abteilung) wirklich gelernt und arbeiten dann für einen
vergleichsweisen Hungerlohn (wenn man sich die Gehälter der freien EDV-
Wirtschaft mit diesen Qualifikationen ansieht).

Wenn ich richtig informiert bin gibt es für Gruppen Führungen und etc.
beim BSI.

Eigenltich könnte man sich doch einmal gemeinsam anmelden und eine
Tour durch das Gebäude machen?
andreas
2007-03-11 19:01:34 UTC
Permalink
Post by Stefan Engler
Der Vortrag soll gut gewesen sein.
Quelle?
Post by Stefan Engler
Die haben EDV und Kryptoanalytik und Elektrotechnik (je nach
Abteilung) wirklich gelernt und arbeiten dann für einen
vergleichsweisen Hungerlohn (wenn man sich die Gehälter der freien EDV-
Wirtschaft mit diesen Qualifikationen ansieht).
Es soll leute geben die nicht nur aufs Gehalt schaun.
Sebastian Gottschalk
2007-03-10 20:55:34 UTC
Permalink
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern zusammenarbeiten.
Diese haben angeblich sowieso fast immer ein Hintertür eingebaut, allein
schon für sich selbst, falls sie ran müssen oder eben auf Verlangen des
Staates.
Schon mal daran gedacht, daß das illegal wäre?
Post by andreas
Selbst wenn das nicht der Fall ist, wird es immer Lücken geben
in einem System, diese wird der Staat anzapfen wollen und dann auch
ausnutzen.
Dummgeschwätz. (Ja, ich weiß, richtige Dummgeschwätz wäre das:
Blabluhazabazalalalalawakkawakka)
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Arg, OK, jetzt hast du's mit dem Dummgeschwätz doch noch überboten.
Post by andreas
- Was ich mich immer fragte: Wieso braucht das LKA Monate um zu merken,
dass sie eine Festplatte nicht entschlüsseln kann, aber das BSI schafft
es angeblich. Naja die Grundlage ist die, das die 2 ihre Datensätze
nicht tauschen dürfen.
Entschlüsselung geht nur, wenn du den Schlüssel findest. Scheinbar stellt
sich das LKA auch in den wenigen Fällen, wo das tatsächlich geht, noch zu
blöde an. Ansonsten: (ach, eigentlich weißt du schon, als was ich dein
Dummgeschwätz jetzt titulieren werde)
Post by andreas
Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat.
while(TRUE) wputs(L"Dummgeschwätz!");
andreas
2007-03-10 21:32:38 UTC
Permalink
Post by Sebastian Gottschalk
Schon mal daran gedacht, daß das illegal wäre?
Ob etwas legal oder illegal ist, steht doch nicht zur Debatte hier. Wenn
es sein muss, legt der Staat sich das zurecht. Mir geht es nur um die
technische Umsetzung und da wäre bekannte Lücken doch einfacher und sie
würden keine neuen Lücken aufbaun die andere mißbrauchen könnten.
Post by Sebastian Gottschalk
Post by andreas
Selbst wenn das nicht der Fall ist, wird es immer Lücken geben
in einem System, diese wird der Staat anzapfen wollen und dann auch
ausnutzen.
Dummgeschwätz.
Weil der Staat es tun wird/will oder weil es doch sichere Systeme gibt?
Post by Sebastian Gottschalk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Arg, OK, jetzt hast du's mit dem Dummgeschwätz doch noch überboten.
ICH hab das nicht behauptet. Mir wurde das so gesagt, zumindest hab ich
es so aufgefasst und würde da gerne andere Meinung zu hören. Zum einen
werde ich auf den Punkt auch genauer eingehen, aber ist nur eine einzige
kleine Lücke in einem OpenBSD System die noch nicht public ist, dann
könnte sie der Staat nutzen soweit er sie doch kennt? Das dies eher ein
unwahrscheinliches Szenario ist, ist mir auch klar. Ich weiss auch nicht
was das BSI soviel besser kann als das LKA/BKA.
Post by Sebastian Gottschalk
Entschlüsselung geht nur, wenn du den Schlüssel findest. Scheinbar stellt
sich das LKA auch in den wenigen Fällen, wo das tatsächlich geht, noch zu
blöde an. Ansonsten: (ach, eigentlich weißt du schon, als was ich dein
Dummgeschwätz jetzt titulieren werde)
Wenn sie den kompletten Verkehr über längere Zeit hinweg mitsniffen
können, ist denn da keine relevante Möglichkeit da was zu
rekonstruieren? Und bitte unterstell mir kein Dummgeschwätz, ich hab das
nicht behauptet und stimme dem nicht zu oder sonst etwas. Und der Vortag
beim 23c3 zum Thema Schweigerecht hat ja auch ein Beispiel gebracht,
dass sie nicht fähig sind dies zu entschlüsseln. Wieso das BSI das doch
kann, würde mich nur intressieren. Sprich ob es da überhaupt auch nur im
entferntesten eine Möglichkeit gibt. Das es geht wenn sie Zusatzinfos
kriegen von einer der Seiten, Teile vom Schlüssel ist ja klar.
Post by Sebastian Gottschalk
Post by andreas
Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat.
while(TRUE) wputs(L"Dummgeschwätz!");
Mitlitär und Geheimdienste werden doch nicht so einfach da offene
Verschlüsselungsstandard einfach so sich verbreiten lassen, damit jeder
alles verschlüsselt und sie nicht mehr rankommen oder? Und für sich
selbst werden sie sicher eigene Verfahren verwenden. Statt dauernd vom
Dummgeschwätz zu reden, könntest du zumindest etwas mehr produktives
beitragen, wie ja teilweise getan.
Wene snur Dummgeschwätz ist ok, aber dann bitte mehr Infos damit ich da
weiter drauf eingehen kann. Evtl. kommt am Ende doch was sinnvolleres
bei raus!
Sebastian Gottschalk
2007-03-10 22:38:05 UTC
Permalink
Post by andreas
Post by Sebastian Gottschalk
Schon mal daran gedacht, daß das illegal wäre?
Ob etwas legal oder illegal ist, steht doch nicht zur Debatte hier. Wenn
es sein muss, legt der Staat sich das zurecht.
Du behauptest, daß es bereits so wäre. Nach derzeitiger Regelung wäre das
illegal, deshalb ist dein Argument extrem unglaubwürdig.
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Selbst wenn das nicht der Fall ist, wird es immer Lücken geben
in einem System, diese wird der Staat anzapfen wollen und dann auch
ausnutzen.
Dummgeschwätz.
Weil der Staat es tun wird/will oder weil es doch sichere Systeme gibt?
Weil unsere Systeme einfach nicht so anfällig sind wie du oder die
staatswidrig agierende Regierung es gerne hätte?
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Arg, OK, jetzt hast du's mit dem Dummgeschwätz doch noch überboten.
ICH hab das nicht behauptet. Mir wurde das so gesagt, zumindest hab ich
es so aufgefasst und würde da gerne andere Meinung zu hören.
Selbst wenn du absolut keinen Plan hättest, würdest du nicht solchen
Schwachsinn unreflektiert oder überhaupt irgendwie wiedergeben.
Post by andreas
Zum einen
werde ich auf den Punkt auch genauer eingehen, aber ist nur eine einzige
kleine Lücke in einem OpenBSD System die noch nicht public ist, dann
könnte sie der Staat nutzen soweit er sie doch kennt?
Bitte nicht Konjunktiv II mit Präsens verwechseln...
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat.
while(TRUE) wputs(L"Dummgeschwätz!");
Mitlitär und Geheimdienste werden doch nicht so einfach da offene
Verschlüsselungsstandard einfach so sich verbreiten lassen, damit jeder
alles verschlüsselt und sie nicht mehr rankommen oder?
Hm... ist also nur Zufall, daß das US-amerikanische Verteidungsministerium
da beim NIST angefragt hat und dies einen internationalen Wettbewerb namens
"AES" ausgerufen hat?
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
andreas
2007-03-10 22:56:54 UTC
Permalink
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Schon mal daran gedacht, daß das illegal wäre?
Ob etwas legal oder illegal ist, steht doch nicht zur Debatte hier. Wenn
es sein muss, legt der Staat sich das zurecht.
Du behauptest, daß es bereits so wäre. Nach derzeitiger Regelung wäre das
illegal, deshalb ist dein Argument extrem unglaubwürdig.
Ich habe nicht behauptet es wäre so. Ich habe die Behauptung es _würde_
so gemacht werden weitergegeben.
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Selbst wenn das nicht der Fall ist, wird es immer Lücken geben
in einem System, diese wird der Staat anzapfen wollen und dann auch
ausnutzen.
Dummgeschwätz.
Weil der Staat es tun wird/will oder weil es doch sichere Systeme gibt?
Weil unsere Systeme einfach nicht so anfällig sind wie du oder die
staatswidrig agierende Regierung es gerne hätte?
1. Hätte ich es gerne nicht so, da ich selbst diese ganzen Bemühungen
des Staates nicht begrüße
2. Klar gibt es Systeme die sehr sicher sind, nur 100% Sicherheit gibt
es nicht. "nicht so" klingt ja so als wären sie es doch. Du kannst dein
System bestimmt in einem gewissen Rahmen absichern, aber ob du wirklich
zu 100% ausschließen kannst, dass es keine einzige Lücke gibt wage ich
anzuzweifeln, zumindest ist es nicht einfach. Ich unterstelle dir kein
unsicheres System oder anfälliges, im Gegenteil. Kannst du also jegliche
Gefahr ausschließen für deine Systeme?
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Arg, OK, jetzt hast du's mit dem Dummgeschwätz doch noch überboten.
ICH hab das nicht behauptet. Mir wurde das so gesagt, zumindest hab ich
es so aufgefasst und würde da gerne andere Meinung zu hören.
Selbst wenn du absolut keinen Plan hättest, würdest du nicht solchen
Schwachsinn unreflektiert oder überhaupt irgendwie wiedergeben.
Ich habe es aber, weil mich genau zu diesen Aussagen eine andere Meinung
interessiert. Ich hab das nicht umsonst betont. Ich zweifel die Aussagen
ja auch größtenteils an...
Post by Sebastian Gottschalk
Post by andreas
Zum einen
werde ich auf den Punkt auch genauer eingehen, aber ist nur eine einzige
kleine Lücke in einem OpenBSD System die noch nicht public ist, dann
könnte sie der Staat nutzen soweit er sie doch kennt?
Bitte nicht Konjunktiv II mit Präsens verwechseln...
Verzeihung. Aber auf die Frage bist du trotzdem nicht eingegangen.
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat.
while(TRUE) wputs(L"Dummgeschwätz!");
Mitlitär und Geheimdienste werden doch nicht so einfach da offene
Verschlüsselungsstandard einfach so sich verbreiten lassen, damit jeder
alles verschlüsselt und sie nicht mehr rankommen oder?
Hm... ist also nur Zufall, daß das US-amerikanische Verteidungsministerium
da beim NIST angefragt hat und dies einen internationalen Wettbewerb namens
"AES" ausgerufen hat?
Wusste ich nicht, danke für die Info!
Post by Sebastian Gottschalk
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
Um das zu beurteilen müsste man die geheimen Schlüsselverfahren auch
kennen. So ist es nur eine Vermutung. Ich würde _persönlich_ da keinem
von beiden eine bessere Funktion zu schreiben. Jedoch sprechen die
offenen Verfahren für sich und sind ja größtenteils Mathematik und somit
ihre Effizienz nachvollziehbar. Insofern halte ich selbst die offenen
Verfahren, zumindest die aktuell verwendeten für effektiv.
Sebastian Gottschalk
2007-03-11 00:23:13 UTC
Permalink
Post by andreas
2. Klar gibt es Systeme die sehr sicher sind, nur 100% Sicherheit gibt
es nicht. "nicht so" klingt ja so als wären sie es doch. Du kannst dein
System bestimmt in einem gewissen Rahmen absichern, aber ob du wirklich
zu 100% ausschließen kannst, dass es keine einzige Lücke gibt wage ich
anzuzweifeln, zumindest ist es nicht einfach. Ich unterstelle dir kein
unsicheres System oder anfälliges, im Gegenteil. Kannst du also jegliche
Gefahr ausschließen für deine Systeme?
*seufz* Ja, ich habe zum Beispiel eine Lücke in meiner
Windows-Installation. Dazu muss ich mich als Admin anmelden, auf
irgendeinen verruchte Art und Weise zwei Instanzen des NVidia Shell Control
laden, mich ohne Abmeldung des Admin-Accounts als Benutzer anmelden, dort
dann abermals das Control laden und mit einem böswilligen Programm in den
passenden Speicherbereich schreiben, damit die Admin-Session abstürzt
(nicht aber der Computer ingesamt).

So, und jetzt denken wir mal nach, warum sich das nicht wesentlichen von
Voodoo unterscheidet.
Post by andreas
Ich habe es aber, weil mich genau zu diesen Aussagen eine andere Meinung
interessiert. Ich hab das nicht umsonst betont. Ich zweifel die Aussagen
ja auch größtenteils an...
Dann unterlasse es bitte, diesen Schwachsinn hier zu posten und bezeichne
den Inhaber dieser Meinung als den inkompetenten Volldeppen der er ist.
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Zum einen
werde ich auf den Punkt auch genauer eingehen, aber ist nur eine einzige
kleine Lücke in einem OpenBSD System die noch nicht public ist, dann
könnte sie der Staat nutzen soweit er sie doch kennt?
Bitte nicht Konjunktiv II mit Präsens verwechseln...
Verzeihung. Aber auf die Frage bist du trotzdem nicht eingegangen.
Dann mal eine ähnliche Frage: Wenn ich den Mond sprengen könnte (was
zweifelsohne möglich ist), könnte man doch für ziemlich viel Ärger sorgen?
Na, welche konkreten Pläne hast du dagegen?

(Das erinnert mich an eine kürzlich gelaufende Fernsehsendung, die sich mit
einem Trroanschlag durch Bildung einer riesigen Flutwelle durch forcierten
Hangabglitt beschäftigte...)
Post by andreas
Post by Sebastian Gottschalk
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
Um das zu beurteilen müsste man die geheimen Schlüsselverfahren auch
kennen. So ist es nur eine Vermutung. Ich würde _persönlich_ da keinem
von beiden eine bessere Funktion zu schreiben. Jedoch sprechen die
offenen Verfahren für sich und sind ja größtenteils Mathematik und somit
ihre Effizienz nachvollziehbar. Insofern halte ich selbst die offenen
Verfahren, zumindest die aktuell verwendeten für effektiv.
Erfahrungsgemäß verwenden Militärs bekannt sichere, aber mit
geheimgehaltenen Schlüsseln abgeleitete Varianten von sicheren öffentlichen
Verfahren. Siehe z.B. der deutsche Chiffre "Libelle", welcher offenbar
3DES-EEE mit Whitening und irgendeinem Preprocessing ist.
andreas
2007-03-11 00:41:15 UTC
Permalink
Post by Sebastian Gottschalk
*seufz* Ja, ich habe zum Beispiel eine Lücke in meiner
Windows-Installation.
Und sonst kannst du jegliche Lücke in deinem Windowssystem ausschließen
obwohl du den Source nicht kennst, was ich einfach mal annehme. Das ohne
Mitarbeit vom User oder Admin sich ein Angriff sehr schwer gestaltet,
wenn das System ordentlich eingerichtet wurde stelle ich ja garnicht in
Frage.
Post by Sebastian Gottschalk
Dann unterlasse es bitte, diesen Schwachsinn hier zu posten und bezeichne
den Inhaber dieser Meinung als den inkompetenten Volldeppen der er ist.
Bevor ich das mache möcht ich aber 1. ein Missverständiss ausschließen
2. Arguemente zu seinen Thesen ihm gegenüberstellen um entweder die
Vermutung die ihr habt zu festigen oder eben zu widerlegen.
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Post by andreas
Zum einen
werde ich auf den Punkt auch genauer eingehen, aber ist nur eine einzige
kleine Lücke in einem OpenBSD System die noch nicht public ist, dann
könnte sie der Staat nutzen soweit er sie doch kennt?
Bitte nicht Konjunktiv II mit Präsens verwechseln...
Verzeihung. Aber auf die Frage bist du trotzdem nicht eingegangen.
Dann mal eine ähnliche Frage: Wenn ich den Mond sprengen könnte (was
zweifelsohne möglich ist), könnte man doch für ziemlich viel Ärger sorgen?
Na, welche konkreten Pläne hast du dagegen?
Im Groben sind wir ja dann einer Meinung, es ist theoretisch möglich,
von mir aus auch praktisch nur ist die Durchführung in der Praxis nahezu
unmöglich oder sehr schwer. Ich habe ja gesagt, ein grundlegend sicheres
System z.b OpenBSD und dazu der Administator der auch noch fähig ist,
werden die Möglichkeit einer Sicherheitslücke extrem minimieren. Nur
wirklich sagen, mein System ist zu 100% sicher vor Angriffen, solang ich
nicht einen Fehler mache oder etwas in der Art, ist dennoch gewagt.
Post by Sebastian Gottschalk
Post by andreas
Post by Sebastian Gottschalk
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
Um das zu beurteilen müsste man die geheimen Schlüsselverfahren auch
kennen. So ist es nur eine Vermutung. Ich würde _persönlich_ da keinem
von beiden eine bessere Funktion zu schreiben. Jedoch sprechen die
offenen Verfahren für sich und sind ja größtenteils Mathematik und somit
ihre Effizienz nachvollziehbar. Insofern halte ich selbst die offenen
Verfahren, zumindest die aktuell verwendeten für effektiv.
Erfahrungsgemäß verwenden Militärs bekannt sichere, aber mit
geheimgehaltenen Schlüsseln abgeleitete Varianten von sicheren öffentlichen
Verfahren. Siehe z.B. der deutsche Chiffre "Libelle", welcher offenbar
3DES-EEE mit Whitening und irgendeinem Preprocessing ist.
Danke, mit solchen Informationen kann ich doch wesentlich mehr anfangen
und ihm etwas entgegnen.
Sebastian Gottschalk
2007-03-11 01:31:58 UTC
Permalink
Post by andreas
Post by Sebastian Gottschalk
*seufz* Ja, ich habe zum Beispiel eine Lücke in meiner
Windows-Installation.
Und sonst kannst du jegliche Lücke in deinem Windowssystem ausschließen
obwohl du den Source nicht kennst, was ich einfach mal annehme.
Nein, du hingegen verdrehst hier die Nullhypothese. Die ist nämlich
Post by andreas
Das ohne Mitarbeit vom User oder Admin sich ein Angriff sehr schwer gestaltet,
wenn das System ordentlich eingerichtet wurde stelle ich ja garnicht in
Frage.
Bevor ich das mache möcht ich aber 1. ein Missverständiss ausschließen
2. Arguemente zu seinen Thesen ihm gegenüberstellen um entweder die
Vermutung die ihr habt zu festigen oder eben zu widerlegen.
Du weißt aber schon wohin wir kämen, wenn wir jeden Unsinn, den irgenjemand
unreflektiert hinausposaunt, diskutieren würden?
Post by andreas
Nur wirklich sagen, mein System ist zu 100% sicher vor Angriffen, solang ich
nicht einen Fehler mache oder etwas in der Art, ist dennoch gewagt.
Nur daß es gar nicht um 100%ige Sicherheit geht. Das geht ja sowieso nicht.
Es geht um verlässliche und ihrer Sicherheit abschätzbare Systeme.
andreas
2007-03-11 01:44:44 UTC
Permalink
Post by Sebastian Gottschalk
Post by andreas
Bevor ich das mache möcht ich aber 1. ein Missverständiss ausschließen
2. Arguemente zu seinen Thesen ihm gegenüberstellen um entweder die
Vermutung die ihr habt zu festigen oder eben zu widerlegen.
Du weißt aber schon wohin wir kämen, wenn wir jeden Unsinn, den irgenjemand
unreflektiert hinausposaunt, diskutieren würden?
Es steht dir ja frei etwas dazu beizutragen oder nicht. Scheinbar geht
es ja doch. Eventuell kommen ja doch noch bessere Argumente die man
diskutieren kann, ohne sie gleich als Unsinn zu klassifizieren.
Post by Sebastian Gottschalk
Post by andreas
Nur wirklich sagen, mein System ist zu 100% sicher vor Angriffen, solang ich
nicht einen Fehler mache oder etwas in der Art, ist dennoch gewagt.
Nur daß es gar nicht um 100%ige Sicherheit geht. Das geht ja sowieso nicht.
Es geht um verlässliche und ihrer Sicherheit abschätzbare Systeme.
Das streit ich auch nicht ab, dem stimme ich auch zu. Es bleiben somit
doch Möglichkeiten, nur wie bereits besprochen, werden diese wohleher
nicht relevant sein, dass es wohl ein zu großer Aufwand für den Staat
oder sonst jemand wäre. Immernoch von dem Fall ausgehend, der Admin oder
User macht keine Fehler.
Christian Hofmann
2007-03-11 00:30:10 UTC
Permalink
Post by Sebastian Gottschalk
Hm... ist also nur Zufall, daß das US-amerikanische Verteidungsministerium
da beim NIST angefragt hat und dies einen internationalen Wettbewerb namens
"AES" ausgerufen hat?
DAS ist mal wirklich Dummgeschwätz.
Erstens kam die Initiative von NIST, das bei der NSA nachgefragt hat:
geht sowas ueberhaupt?, und nicht andersherum,
zweitens war der -ES, den du meinst DES - die NSA war am AES ueberhaupt
nicht beteiligt.
Post by Sebastian Gottschalk
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
Nicht wirklich: Offene Vven haben den Nachteil, dass sie sich nur über
den Schlüssel schützen, geheime Vven sind zusätzlich dadurch gesichert,
dass auch die Chiffre selbst unbekannt ist, und damit also zunächst
erstmal sicherer. Sobald die Chiffre bekannt wird, sieht das natürlich
wieder anders aus...
--
Christian Hofmann
Sebastian Gottschalk
2007-03-11 01:28:47 UTC
Permalink
Post by Christian Hofmann
Post by Sebastian Gottschalk
Hm... ist also nur Zufall, daß das US-amerikanische Verteidungsministerium
da beim NIST angefragt hat und dies einen internationalen Wettbewerb namens
"AES" ausgerufen hat?
DAS ist mal wirklich Dummgeschwätz.
^
Post by Christian Hofmann
geht sowas ueberhaupt?, und nicht andersherum,
zweitens war der -ES, den du meinst DES - die NSA war am AES ueberhaupt
nicht beteiligt.
Dort sollte wohl ein Doppelpunkt stehen. :-)
Post by Christian Hofmann
Post by Sebastian Gottschalk
Ach, und warum sollte offengelegte Verschlüsselungsverfahren der
geheimgehaltenen in irgendeinen Hinsicht nachstehen? Das Gegenteil ist
wahrscheinlicher.
Nicht wirklich: Offene Vven haben den Nachteil, dass sie sich nur über
den Schlüssel schützen, geheime Vven sind zusätzlich dadurch gesichert,
dass auch die Chiffre selbst unbekannt ist, und damit also zunächst
erstmal sicherer. Sobald die Chiffre bekannt wird, sieht das natürlich
wieder anders aus...
In Verwendung befindliche Chiffren sollten als bekannt angesehen werden.
Aber auch sonst ist die Argumentation unsinnig, denn öffentliche Chiffren
genießen weitaus mehr Skrunität...
Juergen Nieveler
2007-03-10 21:47:27 UTC
Permalink
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.

Außerdem: Open Source existiert...
Post by andreas
- Was ich mich immer fragte: Wieso braucht das LKA Monate um zu
merken, dass sie eine Festplatte nicht entschlüsseln kann, aber das
BSI schafft es angeblich.
Weil das BSI fähigere Leute hat?

Bei Behörden fragt man nicht nach Logik und Verstand - schau Dir mal
die Stellenanzeigen des Verfassungsschutzes für IT-Leute an und schlag
die Gehaltssätze nach. Bei DEM Angebot werden die nie jemanden finden
:-)
Post by andreas
Angeblich könne das BSI alle öffentlichen Schlüssel und
Verschlüsselungen knacken auch die der Banken, da nur das Militär die
wirklich geheimen sicheren hat.
Ja, nee, is klar... wenn das so wäre müßten die deinen Bekannten jetzt
erschießen, er hat ein Staatsgeheimnis verraten ;-)
Post by andreas
- "Es gibt mehr Viren für Linux als für Windows" nur seien sie nicht
so im Umlauf da es sich nicht lohnt...Naja ob man das so pauschal
sagen kann, zumindest meine ich doch, dass es für aktuelle Systeme
oder "hardened" nicht so leicht sein sollte. Aber sobald eine
graphische Oberfläche da ist und der Nutzer oder Administator Fehler
macht ist klar, dass dann Viren wieder eine Chance haben, wie immer.
Das hat mit der graphischen Oberfläche nichts zu tun, für DOS gab es
auch Viren. Selbst zu Host-Zeiten gab es den XMAS-Wurm - und
3270-Sessions sind nun wirklich nicht "graphisch" :-)
Post by andreas
- Er meinte auch, dass NSA könnte in der Theorie so ziemlich alles,
nur ist ihr Problem die Menge der Daten zu kontrollieren.
Selbst wenn die NSA alles könnte, könnte sie es niemandem erzählen -
und damit wäre das ganze sinnfrei.

Ein Beispiel: Die NSA kann PGP knacken, und erfährt so von einem
geplanten Terroanschlag. Dummerweise ist der einzige Beweis dafür
PGP-verschlüsselt - wenn man handelt, erfährt die Welt, das PGP
geknackt ist. Ab wieviel zu erwartenden Toten wird die NSA wohl ihr
schweigen brechen?
Post by andreas
- GPG ansich mit sicherem Schlüssel etc. ist wirklich effektiv. Nur
wieder war die Rede vom BSI, das da auch was machen kann. Wieder frage
ich mich wie?
Keylogger. Rubberhose. Kronzeugenregelung.
Post by andreas
Es zeigt mir jedenfalls nur, dass es wohl auf technischer Seite ein
harter und ewiger Kampf wird sich vorm Staat zu schützen, dass es
wirklich weiterhin effektiver und wichtiger ist, ihm erst garnicht per
Gesetz zu erlauben das durchzusetzen.
Geheimdienste interessieren sich nur marginal für Gesetze.

Juergen Nieveler
--
If two wrongs don't make a right, try three
andreas
2007-03-10 22:00:57 UTC
Permalink
Post by Juergen Nieveler
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Wenn diese Hintertür aber nicht allzu offensichtlich ist und gut als Bug
verkauft werden kann?
Post by Juergen Nieveler
Außerdem: Open Source existiert...
Nicht jeder liest den Source auch, ich denke die Menge derer die sich
diesen Ansehen variiert auch. Gerade als Privatperson wirst du sicher
nicht über jeden SourceCode komplett lesen, zumal teils evtl. das Wissen
fehlt oder die Zeit. Aber klar OpenSource ist da aufjedenfall ein
wichter Punkt.
Post by Juergen Nieveler
Post by andreas
- Was ich mich immer fragte: Wieso braucht das LKA Monate um zu
merken, dass sie eine Festplatte nicht entschlüsseln kann, aber das
BSI schafft es angeblich.
Weil das BSI fähigere Leute hat?
Das mag ja sein, nur so extreme Unterschiede? Und was macht sie zu
fähigeren Leuten als Leute die nicht dort arbeiten und ihnen
unterstellen sie sind bei bestimmten Szenarien machtlos
Post by Juergen Nieveler
Post by andreas
Angeblich könne das BSI alle öffentlichen Schlüssel und
Verschlüsselungen knacken auch die der Banken, da nur das Militär die
wirklich geheimen sicheren hat.
Ja, nee, is klar... wenn das so wäre müßten die deinen Bekannten jetzt
erschießen, er hat ein Staatsgeheimnis verraten ;-)
Naja das klingt mir auch nicht sehr wahrscheinlich, daher würde mich die
Informationsgrundlage auch interessieren. Ob das ein großes Geheimnis
wäre find ich aber nicht.
Post by Juergen Nieveler
Das hat mit der graphischen Oberfläche nichts zu tun, für DOS gab es
auch Viren. Selbst zu Host-Zeiten gab es den XMAS-Wurm - und
3270-Sessions sind nun wirklich nicht "graphisch" :-)
Naja das muss ich etwas besser erklären. Es ging darum, arbeitet jemand
in der Shell dann weiss er auch wirklich was er tut da er es ja eintippt
und seine Befehle kennt. Wenn da jetzt eine GUI drüber liegt und er nur
klickt, kann es ja sein, dass sie doch nebenbei was anderes macht. Das
war mehr die Grundlage der Argumentation. Und ja da gibts OpenSource und
man könnte es kontrollieren.
Post by Juergen Nieveler
Ein Beispiel: Die NSA kann PGP knacken, und erfährt so von einem
geplanten Terroanschlag. Dummerweise ist der einzige Beweis dafür
PGP-verschlüsselt - wenn man handelt, erfährt die Welt, das PGP
geknackt ist. Ab wieviel zu erwartenden Toten wird die NSA wohl ihr
schweigen brechen?
Naja soweit schon klar, ist im Endeffekt das gleiche mit SELinux oder
der Mitarbeit bei Vista. Nur ob sie die Beweise kriegen ist eine Sache,
sie dann öffentlich machen eine andere. Mir geht es mehr um das was sie
technisch können, nicht was sie sich erlauben können öffentlich bekannt
zu geben.
Post by Juergen Nieveler
Geheimdienste interessieren sich nur marginal für Gesetze.
Und der Staat macht sie sich passend, zumindest scheint es so. Ich sehe
bereits eine Gefahr darin, wenn es gemacht wird obwohl die gesetzliche
Grundlage fehlt.

Aber danke, dass du immerhin gesehen hast, dass dies nicht ICH behauptet
habe :)
Wenn ich ihn als Dummschwätzer entlarven kann ist das genauso in meinem
Sinne, entweder hat er mit bestimmten Dingen Recht oder eben nicht,
deswegen hab ich mich diesbezüglich ja hier herbegeben um eure Meinung
zu den Aussagen zu kriegen.
Juergen Nieveler
2007-03-11 19:37:41 UTC
Permalink
Post by andreas
Post by Juergen Nieveler
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Wenn diese Hintertür aber nicht allzu offensichtlich ist und gut als Bug
verkauft werden kann?
Dann mindert das die Chancen verurteilt zu werden, ändert aber nichts
an der Strafbarkeit.
Post by andreas
Post by Juergen Nieveler
Post by andreas
- Was ich mich immer fragte: Wieso braucht das LKA Monate um zu
merken, dass sie eine Festplatte nicht entschlüsseln kann, aber das
BSI schafft es angeblich.
Weil das BSI fähigere Leute hat?
Das mag ja sein, nur so extreme Unterschiede?
Zum BSI gehen primär Leute, die sich für Computersicherheit
interessieren, das LKA hingegen hat auch noch andere Aufgabengebiete.
Post by andreas
Naja das muss ich etwas besser erklären. Es ging darum, arbeitet jemand
in der Shell dann weiss er auch wirklich was er tut da er es ja eintippt
und seine Befehle kennt.
Ich habe schon zu DOS-Zeiten Usersupport gemacht... auch in der Shell
bleibt ein DAU ein DAU.
Post by andreas
Wenn da jetzt eine GUI drüber liegt und er nur
klickt, kann es ja sein, dass sie doch nebenbei was anderes macht.
Kann in der Shell auch schnell passieren. Einfach ein Script
unterschieben das den gleichen Namen wie ein Befehl hat UND zum Schluss
den Befehl auch ausführt, aber nebenbei noch was anderes macht....

Von den vielen Fällen von versehentlich gelöschten Root-Filesystemen
mal ganz zu schweigen.

Juergen Nieveler
--
If at first you don't succeed, lower your standards
Jan Luehr
2007-03-10 22:04:55 UTC
Permalink
ja hallo erstmal,...
Post by Juergen Nieveler
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Außerdem: Open Source existiert...
Wenn es realistisch wäre, alle remote-holes in moderater Zeit zu finden -
auch welche, die geschickt versteckt sind (und z.B. mit den NSA Patches in
den Linux-Kernel kamen)- , dann hätten Linux, OpenSSH, etc. seit Jahren
keine Probleme in dem Bereich.

Keep smiling
yanosz
andreas
2007-03-10 22:12:59 UTC
Permalink
Post by Jan Luehr
ja hallo erstmal,...
Post by Juergen Nieveler
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Außerdem: Open Source existiert...
Wenn es realistisch wäre, alle remote-holes in moderater Zeit zu finden -
auch welche, die geschickt versteckt sind (und z.B. mit den NSA Patches in
den Linux-Kernel kamen)- , dann hätten Linux, OpenSSH, etc. seit Jahren
keine Probleme in dem Bereich.
Keep smiling
yanosz
Welche NSA Patches meinst du konkret?
Ralph Angenendt
2007-03-10 22:24:44 UTC
Permalink
Post by andreas
Welche NSA Patches meinst du konkret?
<http://www.nsa.gov/selinux/>

Ralph
--
'Cause I need to watch things die, from a distance ...


Nicht schreiben können: http://lestighaniker.de/
andreas
2007-03-10 22:32:50 UTC
Permalink
Post by Ralph Angenendt
Post by andreas
Welche NSA Patches meinst du konkret?
<http://www.nsa.gov/selinux/>
Ralph
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt ja
afaik offen und wurde relativ positiv bewertet.
Jan Luehr
2007-03-11 09:12:43 UTC
Permalink
ja hallo erstmal,..
Post by andreas
Post by Ralph Angenendt
Post by andreas
Welche NSA Patches meinst du konkret?
<http://www.nsa.gov/selinux/>
Ralph
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt ja
afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.

Keep smiling
yanosz
Ralph Angenendt
2007-03-11 12:00:12 UTC
Permalink
Post by Jan Luehr
Post by andreas
Post by Ralph Angenendt
<http://www.nsa.gov/selinux/>
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt ja
afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.
Aber warum nur? Auch vor dem Hintergrund, dass momentan wohl Red Hat die
treibende Kraft hinter der Weiterentwicklung ist.

Ralph
--
'Cause I need to watch things die, from a distance ...


Nicht schreiben können: http://lestighaniker.de/
Jan Luehr
2007-03-11 19:47:27 UTC
Permalink
ja hallo erstmal,..
Post by Ralph Angenendt
Post by Jan Luehr
Post by andreas
Post by Ralph Angenendt
<http://www.nsa.gov/selinux/>
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt ja
afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.
Aber warum nur? Auch vor dem Hintergrund, dass momentan wohl Red Hat die
treibende Kraft hinter der Weiterentwicklung ist.
Naja, ich bewerte es nicht positiv, damit da mir das Patchset eher egal ist.
Ich brauche es einfach nicht.

Keep smiling
yanosz
andreas
2007-03-11 19:56:14 UTC
Permalink
Post by Jan Luehr
ja hallo erstmal,..
Post by Ralph Angenendt
Post by Jan Luehr
Post by andreas
Post by Ralph Angenendt
<http://www.nsa.gov/selinux/>
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt ja
afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.
Aber warum nur? Auch vor dem Hintergrund, dass momentan wohl Red Hat die
treibende Kraft hinter der Weiterentwicklung ist.
Naja, ich bewerte es nicht positiv, damit da mir das Patchset eher egal ist.
Ich brauche es einfach nicht.
Warum gibt es aber dann doch einige positive Stimmen zu selinux? Von was
hältst du dann mehr? Eher ein Hardened Gentoo?
Jan Luehr
2007-03-11 20:25:26 UTC
Permalink
ja hallo erstmal,..
Post by andreas
Post by Jan Luehr
ja hallo erstmal,..
Post by Ralph Angenendt
Post by Jan Luehr
Post by andreas
Post by Ralph Angenendt
<http://www.nsa.gov/selinux/>
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt
ja afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.
Aber warum nur? Auch vor dem Hintergrund, dass momentan wohl Red Hat die
treibende Kraft hinter der Weiterentwicklung ist.
Naja, ich bewerte es nicht positiv, damit da mir das Patchset eher egal
ist. Ich brauche es einfach nicht.
Warum gibt es aber dann doch einige positive Stimmen zu selinux? Von was
hältst du dann mehr? Eher ein Hardened Gentoo?
Du kennst selinux, nicht oder?
Sonst würdest du evtl. verstehen, warum ich es nicht brauche.

Keep smiling
yanosz
andreas
2007-03-11 20:31:44 UTC
Permalink
Post by Jan Luehr
ja hallo erstmal,..
Post by andreas
Post by Jan Luehr
ja hallo erstmal,..
Post by Ralph Angenendt
Post by Jan Luehr
Post by andreas
Post by Ralph Angenendt
<http://www.nsa.gov/selinux/>
Naja ok das kenn ich ja, dachte er meinte was anderes. Nur das liegt
ja afaik offen und wurde relativ positiv bewertet.
natürlich liegt es offen; und nein, ich bewerte es nicht positiv.
Aber warum nur? Auch vor dem Hintergrund, dass momentan wohl Red Hat die
treibende Kraft hinter der Weiterentwicklung ist.
Naja, ich bewerte es nicht positiv, damit da mir das Patchset eher egal
ist. Ich brauche es einfach nicht.
Warum gibt es aber dann doch einige positive Stimmen zu selinux? Von was
hältst du dann mehr? Eher ein Hardened Gentoo?
Du kennst selinux, nicht oder?
Sonst würdest du evtl. verstehen, warum ich es nicht brauche.
Ich habe mich nur grob darüber bisher informiert, plane mich aber
genauer damit zu befassen. Ich kenn einige die es testweise einsetzen
unter Gentoo und Archlinux und eben verschiedene Ansichten dazu haben.
Dietz Proepper
2007-03-10 22:10:47 UTC
Permalink
Post by Juergen Nieveler
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Kann man so nicht sagen. Die Hintertür wurde selbstverständlich versehentlich
eingebaut. Zudem, wollen wir nach Fällen der letzten 10 Jahre suchen, in denen
Hersteller Hintertüren eingebaut hatten und *nicht* belangt wurden?

Last not least - Du kannst sicher die Norm nennen durch welche eine Schaffung
einer "Hintertür" zur Straftat würde.
Post by Juergen Nieveler
Außerdem: Open Source existiert...
Du kennst den Klassiker? Thompson, Reflections on trusting trust
(http://www.acm.org/classics/sep95/)? Nix für ungut, open source alleine
bringt exakt garnix^W^Werstmal wenig.
Post by Juergen Nieveler
Post by andreas
- Er meinte auch, dass NSA könnte in der Theorie so ziemlich alles,
nur ist ihr Problem die Menge der Daten zu kontrollieren.
Selbst wenn die NSA alles könnte, könnte sie es niemandem erzählen -
und damit wäre das ganze sinnfrei.
Ähem, *das* ist klassische Dienstearbeit - wie vermeidet man, eine Quelle zu
verschleißen. Und dafür gibt es etliche Optionen.
Post by Juergen Nieveler
Ab wieviel zu erwartenden Toten wird die NSA wohl ihr
schweigen brechen?
Die Frage ist eher, kann aufgrund der Aufdeckung des Anschlags deduziert
werden, daß die NSA pgp brechen kann. Das kann für einen Einzelfall fast mit
Sicherheit verneint werden.

Abgesehen davon - ja, ich halte andreas' Rede auch für tendenziell paranoid.
andreas
2007-03-10 22:24:02 UTC
Permalink
Post by Dietz Proepper
Abgesehen davon - ja, ich halte andreas' Rede auch für tendenziell paranoid.
Lies meinen Post doch bitte noch einmal. Ich habe nachgefragt, ich habe
_diese_ Behauptungen erhalten und wollte zu diesen, nicht von mit
getätigten Behauptungen eine Meinung hören. So undeutlich war es nun
wirklich nicht formuliert!
Holger Marzen
2007-03-11 10:06:50 UTC
Permalink
Post by Dietz Proepper
Du kennst den Klassiker? Thompson, Reflections on trusting trust
(http://www.acm.org/classics/sep95/)? Nix für ungut, open source alleine
bringt exakt garnix^W^Werstmal wenig.
Behauptet ja auch kaum einer. Umgekehrt wird ein Schuh draus: Closed
Source ist nur so vertrauenswürdig wie sein Hersteller. Open Source ist
so vertrauenswürdig wie sein Hersteller und alle, die in den Code
reinschauen möchten. Das ist eigentlich eine Binsenweisheit, nur denkt
niemand drüber nach, wieso er eigentlich Microsoft, Sun, IBM, Oracle
usw. vertrauen könnte.
Sebastian Gottschalk
2007-03-11 18:07:22 UTC
Permalink
Post by Holger Marzen
Post by Dietz Proepper
Du kennst den Klassiker? Thompson, Reflections on trusting trust
(http://www.acm.org/classics/sep95/)? Nix für ungut, open source alleine
bringt exakt garnix^W^Werstmal wenig.
Behauptet ja auch kaum einer. Umgekehrt wird ein Schuh draus: Closed
Source ist nur so vertrauenswürdig wie sein Hersteller. Open Source ist
so vertrauenswürdig wie sein Hersteller und alle, die in den Code
reinschauen möchten.
IBTD. Open Source ist so vertrauenswürdig wie der dahinterstehende
Entwicklungsprozess. Je offener desto prüfbarer desto vertrauenswürdiger.
Post by Holger Marzen
Das ist eigentlich eine Binsenweisheit, nur denkt
niemand drüber nach, wieso er eigentlich Microsoft, Sun, IBM, Oracle
usw. vertrauen könnte.
IdR weil deren Geschäftsmodell darauf basiert, möglichst ordentliche
Software zu schreiben.
Holger Marzen
2007-03-11 18:21:27 UTC
Permalink
Post by Sebastian Gottschalk
Post by Holger Marzen
Post by Dietz Proepper
Du kennst den Klassiker? Thompson, Reflections on trusting trust
(http://www.acm.org/classics/sep95/)? Nix für ungut, open source alleine
bringt exakt garnix^W^Werstmal wenig.
Behauptet ja auch kaum einer. Umgekehrt wird ein Schuh draus: Closed
Source ist nur so vertrauenswürdig wie sein Hersteller. Open Source ist
so vertrauenswürdig wie sein Hersteller und alle, die in den Code
reinschauen möchten.
IBTD. Open Source ist so vertrauenswürdig wie der dahinterstehende
Entwicklungsprozess. Je offener desto prüfbarer desto vertrauenswürdiger.
Der Entwicklungsprozess? Vielleicht für Fragen der Qualitätssicherung,
obwohl die übliche Qualitätssicherung nicht auf möglichst hohe sondern
auf gleichbleibende Qualität achtet. Das heißt alles und nichts.

Für Fragen des Vertrauens (hinsichtlich "Servicezugänge" und
unerwünschter Datenübertragung) ist der Entwicklungsprozess
unwesentlich. Da zählt nur, was nachher im Code steht. Die Hintertür ist
ja nicht deshalb gutartig, weil sie von Anfang an konzipiert und
qualitätsgesichert ist.
Sebastian Gottschalk
2007-03-11 18:56:40 UTC
Permalink
Post by Holger Marzen
Post by Sebastian Gottschalk
Post by Holger Marzen
Post by Dietz Proepper
Du kennst den Klassiker? Thompson, Reflections on trusting trust
(http://www.acm.org/classics/sep95/)? Nix für ungut, open source alleine
bringt exakt garnix^W^Werstmal wenig.
Behauptet ja auch kaum einer. Umgekehrt wird ein Schuh draus: Closed
Source ist nur so vertrauenswürdig wie sein Hersteller. Open Source ist
so vertrauenswürdig wie sein Hersteller und alle, die in den Code
reinschauen möchten.
IBTD. Open Source ist so vertrauenswürdig wie der dahinterstehende
Entwicklungsprozess. Je offener desto prüfbarer desto vertrauenswürdiger.
Der Entwicklungsprozess? Vielleicht für Fragen der Qualitätssicherung,
obwohl die übliche Qualitätssicherung nicht auf möglichst hohe sondern
auf gleichbleibende Qualität achtet. Das heißt alles und nichts.
Für Fragen des Vertrauens (hinsichtlich "Servicezugänge" und
unerwünschter Datenübertragung) ist der Entwicklungsprozess
unwesentlich. Da zählt nur, was nachher im Code steht. Die Hintertür ist
ja nicht deshalb gutartig, weil sie von Anfang an konzipiert und
qualitätsgesichert ist.
Bei jeder hinreichend komplizierten Programmiersprache wie z.B. Crypt^W
C/C++ ist es ohne Probleme möglich, eine Hintertür in öffentlichem Code zu
verstecken, daß nur der Schreiber des Codes sie kennt bzw. erkennen kann.

Und selbst wenn, kann der Compiler ja die Hintertür einbauen. Oder
irgendein anderen Entwicklungswerkzeug.

Wichtig ist daher, wie gut der Entwicklungsprozess des Codes und der
Werkzeuge dokumentiert ist, d.h. wie offen er erfolgt.
Volker Birk
2007-03-11 19:08:53 UTC
Permalink
Post by Sebastian Gottschalk
Bei jeder hinreichend komplizierten Programmiersprache wie z.B. Crypt^W
C/C++ ist es ohne Probleme möglich, eine Hintertür in öffentlichem Code zu
verstecken, daß nur der Schreiber des Codes sie kennt bzw. erkennen kann.
Das bezweifle ich.
Post by Sebastian Gottschalk
Und selbst wenn, kann der Compiler ja die Hintertür einbauen. Oder
irgendein anderen Entwicklungswerkzeug.
Das nicht ;-)

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-11 20:59:18 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
Bei jeder hinreichend komplizierten Programmiersprache wie z.B. Crypt^W
C/C++ ist es ohne Probleme möglich, eine Hintertür in öffentlichem Code zu
verstecken, daß nur der Schreiber des Codes sie kennt bzw. erkennen kann.
Das bezweifle ich.
Sicher? Du hast schein keine Ahnung, hinter welch komplizierten Rechnungen
man Integer Overflows oder anderwaltige Formen von Falschberechnungen
verbergen kann. Es ist sogar trivial möglich, mittels unlösbarer Probleme
automatisierte Prüfungen durch Durchpropagieren von Bereichgrenzenprüfungen
zu verunmöglichen.
Volker Birk
2007-03-11 21:36:38 UTC
Permalink
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Bei jeder hinreichend komplizierten Programmiersprache wie z.B. Crypt^W
C/C++ ist es ohne Probleme möglich, eine Hintertür in öffentlichem Code zu
verstecken, daß nur der Schreiber des Codes sie kennt bzw. erkennen kann.
Das bezweifle ich.
Sicher? Du hast schein keine Ahnung, hinter welch komplizierten Rechnungen
man Integer Overflows oder anderwaltige Formen von Falschberechnungen
verbergen kann. Es ist sogar trivial möglich, mittels unlösbarer Probleme
automatisierte Prüfungen durch Durchpropagieren von Bereichgrenzenprüfungen
zu verunmöglichen.
Mir scheint eher, Du hast Dich in diesem Punkt etwas vergallopiert,
Sebastian. Sonst argumentierst Du wohl eher nicht pro "security by
obscurity".

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-12 00:09:07 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Bei jeder hinreichend komplizierten Programmiersprache wie z.B. Crypt^W
C/C++ ist es ohne Probleme möglich, eine Hintertür in öffentlichem Code zu
verstecken, daß nur der Schreiber des Codes sie kennt bzw. erkennen kann.
Das bezweifle ich.
Sicher? Du hast schein keine Ahnung, hinter welch komplizierten Rechnungen
man Integer Overflows oder anderwaltige Formen von Falschberechnungen
verbergen kann. Es ist sogar trivial möglich, mittels unlösbarer Probleme
automatisierte Prüfungen durch Durchpropagieren von Bereichgrenzenprüfungen
zu verunmöglichen.
Mir scheint eher, Du hast Dich in diesem Punkt etwas vergallopiert,
Sebastian. Sonst argumentierst Du wohl eher nicht pro "security by
obscurity".
Ganz im Gegenteil, es ist sogar beweisbar, daß man sowas perfekt verbergen
kann.

Sagen wir mal:

int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}

Für die Nullstellen dieses Polynoms kriegst du einen Integer Overflow.
Seltsamerweise kennt die aber nur derjenige, der das Polynom generiert
hast, du hingegen kannst beliebig lange probieren, sie zu finden...

Wenn du rausfinden möchtest, für welche Eingaben 'foo' nicht innerhalb von
[0,0x3FFFFFFF] liegt, hast du ein Problem. Nicht nur in diesem Beispiel,
sondern im Allgemeinen. Sowas lässt sich nur für statistische oder stark
beschränkte Eingaben prüfen.
Stefan Reuther
2007-03-12 17:15:54 UTC
Permalink
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
Für die Nullstellen dieses Polynoms kriegst du einen Integer Overflow.
Seltsamerweise kennt die aber nur derjenige, der das Polynom generiert
hast, du hingegen kannst beliebig lange probieren, sie zu finden...
Wenn ich solchen Code in einem Programm finde, das nun rein gar nichts
mit Mathematik zu tun hat (z.B. 'cat', 'bash', 'ld'), würde mich die
reine Anwesenheit des Codes schon stutzig machen, nicht die Tatsache,
dass ich das Polynom nicht gelöst bekomme. Anders ausgedrückt: jeder
Code, den ich beim Audit nicht verstehe, ist erstmal verdächtig bis zum
Beweis des Gegenteils.


Stefan
Sebastian Gottschalk
2007-03-12 18:34:49 UTC
Permalink
Post by Stefan Reuther
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
Für die Nullstellen dieses Polynoms kriegst du einen Integer Overflow.
Seltsamerweise kennt die aber nur derjenige, der das Polynom generiert
hast, du hingegen kannst beliebig lange probieren, sie zu finden...
Wenn ich solchen Code in einem Programm finde, das nun rein gar nichts
mit Mathematik zu tun hat (z.B. 'cat', 'bash', 'ld'), würde mich die
reine Anwesenheit des Codes schon stutzig machen, nicht die Tatsache,
dass ich das Polynom nicht gelöst bekomme.
Polynome lassen sich wunderbar aus einzelnen, unauffälligen
Größenberechnungen zusammensetzen.
Post by Stefan Reuther
Anders ausgedrückt: jeder
Code, den ich beim Audit nicht verstehe, ist erstmal verdächtig bis zum
Beweis des Gegenteils.
Ach, plötzlich ist Sourcecode doch nicht mehr die reine Wahrheit?
Stefan Reuther
2007-03-12 20:00:30 UTC
Permalink
Post by Sebastian Gottschalk
Post by Stefan Reuther
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Wenn ich solchen Code in einem Programm finde, das nun rein gar nichts
mit Mathematik zu tun hat (z.B. 'cat', 'bash', 'ld'), würde mich die
reine Anwesenheit des Codes schon stutzig machen, nicht die Tatsache,
dass ich das Polynom nicht gelöst bekomme.
Polynome lassen sich wunderbar aus einzelnen, unauffälligen
Größenberechnungen zusammensetzen.
Die sollten dann aber alle einzeln irgend einen Sinn ergeben, und damit
mit Weltwissen irgendwie auf Konsistenz prüfen lassen. Ergeben sie
keinen solchen Sinn ("...warum geht in die Größe des Puffers für die
Benutzereingabe die erwartete Länge derselben kubisch ein?"), sind sie
erstmal verdächtig.
Post by Sebastian Gottschalk
Post by Stefan Reuther
Anders ausgedrückt: jeder
Code, den ich beim Audit nicht verstehe, ist erstmal verdächtig bis zum
Beweis des Gegenteils.
Ach, plötzlich ist Sourcecode doch nicht mehr die reine Wahrheit?
Doch. Aber wenn mich Quellcode mit unnützen aufgeblähten Berechnungen
vollquatscht, die keinen Sinn ergeben, fliegt irgendwann das Programm
als "hässlich" oder "aufgeblasen" auf die Halde. Von da ist es bis zu
"nicht vertrauenswürdig" nicht mehr weit.

Letztenendes ist's das gleiche wie wenn der Herr Boning Rentner in der
Fußgängerzone mit allerlei irrelevantem Firlefanz vollquasselt, die dann
den Faden verlieren, und auf die Frage im Anschluss "ja" antworten.
Genau das gilt es zu vermeiden.

(Teil meines Jobs ist momentan unter anderem, alten aufgeblasenen Code
so einzudampfen, dass er erstens halbwegs in Echtzeit performt und
zweitens nicht durch defekte Nutzereingaben zum Absturz zu bringen ist.
Da sind mehr hässliche Berechnungen drin als in einen Webserver gehören
würden.)


Stefan
Volker Birk
2007-03-12 18:25:41 UTC
Permalink
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Post by Sebastian Gottschalk
Für die Nullstellen dieses Polynoms kriegst du einen Integer Overflow.
Na, und?

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-12 18:33:24 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug? Höchstens ein potentieller. Das muss nix heißen.
Post by Volker Birk
Post by Sebastian Gottschalk
Für die Nullstellen dieses Polynoms kriegst du einen Integer Overflow.
Na, und?
Das ist schlecht...
Volker Birk
2007-03-12 18:46:21 UTC
Permalink
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-12 18:50:57 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).
Die Bereichsgrenzen werden doch berechnet.
Volker Birk
2007-03-12 19:02:50 UTC
Permalink
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).
Die Bereichsgrenzen werden doch berechnet.
Da das Ergebnis von poly() an dieser Stelle unklar ist: nein.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-12 20:20:10 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).
Die Bereichsgrenzen werden doch berechnet.
Da das Ergebnis von poly() an dieser Stelle unklar ist: nein.
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Dietz Proepper
2007-03-13 15:22:11 UTC
Permalink
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).
Die Bereichsgrenzen werden doch berechnet.
Da das Ergebnis von poly() an dieser Stelle unklar ist: nein.
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Deswegen fällt der Code bei einem Audit auch durch. Klappe zu, Affe tot.
Sebastian Gottschalk
2007-03-13 16:38:52 UTC
Permalink
Post by Dietz Proepper
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
Post by Volker Birk
Post by Sebastian Gottschalk
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
Den Bug sieht man.
Welcher Bug?
Die fehlende Bereichsprüfung im malloc(3).
Die Bereichsgrenzen werden doch berechnet.
Da das Ergebnis von poly() an dieser Stelle unklar ist: nein.
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Deswegen fällt der Code bei einem Audit auch durch. Klappe zu, Affe tot.
Du tust gerade so, als wenn auch dieses Kriterium überhaupt entscheidbar
wäre...
Dietz Proepper
2007-03-14 08:28:32 UTC
Permalink
Post by Sebastian Gottschalk
Post by Dietz Proepper
Post by Sebastian Gottschalk
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Deswegen fällt der Code bei einem Audit auch durch. Klappe zu, Affe tot.
Du tust gerade so, als wenn auch dieses Kriterium überhaupt entscheidbar
wäre...
Das Kriterium "ist durchgefallen"? Ja, das ist entscheidbar.
Das Kriterium "unverständlicher Code mit u.U. lustigen Nebenwirkungen" ist btw.
fast genauso entscheidbar.
Sebastian Gottschalk
2007-03-14 09:10:47 UTC
Permalink
Post by Dietz Proepper
Post by Sebastian Gottschalk
Post by Dietz Proepper
Post by Sebastian Gottschalk
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Deswegen fällt der Code bei einem Audit auch durch. Klappe zu, Affe tot.
Du tust gerade so, als wenn auch dieses Kriterium überhaupt entscheidbar
wäre...
Das Kriterium "ist durchgefallen"? Ja, das ist entscheidbar.
Das Kriterium "unverständlicher Code mit u.U. lustigen Nebenwirkungen" ist btw.
fast genauso entscheidbar.
Fein, dann ist dein Linux, BSD, Gnu Utilities etc. alles durchgefallen.
Viel Spass noch! :-)
Volker Birk
2007-03-14 07:20:42 UTC
Permalink
Post by Sebastian Gottschalk
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Du widersprichst Dir selber. Das Ergebnis von poly() ist so für jede
Eingabe wohldefiniert, aber alles andere als klar.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Sebastian Gottschalk
2007-03-14 09:10:05 UTC
Permalink
Post by Volker Birk
Post by Sebastian Gottschalk
Das Ergebnis von poly() ist für jede Eingabe klar. Es ist dir lediglich
nicht möglich, die Eingaben von poly() zu finden, für die die Ausgabe
ungünstig wird bzw. zu zeigen, daß überhaupt solche Eingaben existieren.
Du widersprichst Dir selber. Das Ergebnis von poly() ist so für jede
Eingabe wohldefiniert, aber alles andere als klar.
Ich seh da keinen Widerspruch. Die Menge der Eingaben ist zu groß, als daß
du sie praktikabel durchprobieren könntest.
Sebastian Biallas
2007-03-12 20:50:04 UTC
Permalink
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
a[foo] ist hier in jedem Fall nicht definiert :->
--
Gruß,
Sebastian
Sebastian Gottschalk
2007-03-12 21:13:26 UTC
Permalink
Post by Sebastian Biallas
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
a[foo] ist hier in jedem Fall nicht definiert :->
Huh? a[foo] ist wohldefiniert als *(a+foo). Daher resultiert ja auch der
Spass, daß man sogar foo[a] schreiben kann und auf die gleiche
Speicheradresse kommt.
Sebastian Biallas
2007-03-12 22:25:44 UTC
Permalink
Post by Sebastian Gottschalk
Post by Sebastian Biallas
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
a[foo] ist hier in jedem Fall nicht definiert :->
Huh? a[foo] ist wohldefiniert als *(a+foo).
Ja, aber (a+foo) kannst Du nicht dereferenzieren, wenn Du nur #foo ints
reserviert hast.
--
Gruß,
Sebastian
Sebastian Gottschalk
2007-03-12 22:32:31 UTC
Permalink
Post by Sebastian Biallas
Post by Sebastian Gottschalk
Post by Sebastian Biallas
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
a[foo] ist hier in jedem Fall nicht definiert :->
Huh? a[foo] ist wohldefiniert als *(a+foo).
Ja, aber (a+foo) kannst Du nicht dereferenzieren, wenn Du nur #foo ints
reserviert hast.
Argh, jetzt hab ich sogar in den verstecken Buffer Overflow noch einen
offensichtlichen eingebaut. Nehmen wir halt a[foo-1].
Michael Lawnick
2007-03-13 06:38:29 UTC
Permalink
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
Dieser Code ist Schrott und fliegt beim Audit raus.
Jedes malloc() wird auf NULL Rückgabe geprüft, nicht nur wegen der
Parametrierung, sondern weil aufgrund der Systemdynamik möglicherweise
der angeforderte Speicher nicht zur Verfügung steht.

Gruß,
Michael
Sebastian Gottschalk
2007-03-13 07:35:20 UTC
Permalink
Post by Michael Lawnick
Post by Sebastian Gottschalk
int[] blah(int x, int y) {
static int coeffs[]={7,1,3,.....,-2};
int foo=poly(coeffs,p_GF2_8,x)-1;
int a[]=malloc(sizeof(int)*foo);
a[foo]=y;
return a;
}
Dieser Code ist Schrott und fliegt beim Audit raus.
Jedes malloc() wird auf NULL Rückgabe geprüft, nicht nur wegen der
Parametrierung, sondern weil aufgrund der Systemdynamik möglicherweise
der angeforderte Speicher nicht zur Verfügung steht.
*seufz* Auch das kann man einbauen. Dann genügt der Code deinen
Anforderungen, ist aber trotzdem nicht besser.

Denn, um jetzt mal wieder zum Problem zurückzukommen:

poly() kann den Wert 0 zurückgeben, dann kann 'foo' -1 werden, also
0xFFFFFFFF. malloc reserviert aber nur 4*0xFFFFFFFF = 0xFFFFFFFC Bytes an
Speicher (ja, ich weiß 0x4000000+x wäre eleganter gewesen). Damit schreibt
a[foo-1] (korrigierterweise) außerhalb des Speichers.

Aus diesem Grunde prüft man ja die Berechnung der Bereichsgrenzen. Aber,
und das ist der Witz, das geht dank poly() nicht mehr. Denn um
festzustellen, ob poly() einen ungünstigen Wert zurückgeben kann, müsstest
du die Nullstellen des Polynoms berechnen können. Da das i.A. für Polynome
ab 5ten Grad nicht geht, sitzt du auf dem Trockenen. Und Durchprobieren
aller Werte ist für 32bittige Integers vielleicht noch minimal praktikabel,
bei 64bittigen Integers nicht mehr.

Und das Polynom muss ja nicht explizit sein. Die Berechnung kann sich ganz
einfach aus vielen, über den ganzen Code hinweg verstreuten und für sich
genommen absolut legitimen und sinnvollen Einzelberechnungen bestehen.

Kurzum: Es nützt dir absolut gar nichts, den Code zu kennen. Es kann darin
eine absichtlich eingebaute Sicherheitslücke verborgen sein, die nur der
Ersteller der Codes kennt und die du weder automatisch noch manuell
erkennen kannst.


Ach, und da wir gerade mal dabei sind, hier ein Schmankerl aus
Produktivcode, das zeigt, wie auch klare Spezifikationen von externen
Funktionen recht grausam agieren können:


wchar_t szPath[MAX_PATH],
szDrive[_MAX_DRIVE],
szDir[_MAX_DIR],
szFName[_MAX_FNAME],
szExt[_MAX_EXT],
szVolName[MAX_PATH],
szFSName[MAX_PATH];

LPWSTR pszName;

if (! ::GetFullPathName( argv[1],
MAX_PATH,
szPath,
&pszName)
)
PrintError();

_wsplitpath_s( szPath,
szDrive, _MAX_DRIVE,
szDir, _MAX_DIR,
szFName, _MAX_FNAME,
szExt, _MAX_EXT);


wcscat_s(szDrive, _MAX_DRIVE, L"\\");



frq -r f/ jpfpng_f(fmQevir, _ZNK_QEVIR, Y"\\");/
fvmr_g fmQevirYra = jpfayra_f(fmQevir,_ZNK_QEVIR);\a
vs ( (fmQevirYra > 0) && (fmQevirYra < _ZNK_QEVIR) )\a
jpfpng_f(fmQevir, _ZNK_QEVIR+1, Y"\\");/
Juergen Nieveler
2007-03-11 19:37:38 UTC
Permalink
Post by Dietz Proepper
Last not least - Du kannst sicher die Norm nennen durch welche eine
Schaffung einer "Hintertür" zur Straftat würde.
Computersabotage und Ausspähen von Daten.
Post by Dietz Proepper
Post by Juergen Nieveler
Selbst wenn die NSA alles könnte, könnte sie es niemandem erzählen -
und damit wäre das ganze sinnfrei.
Ähem, *das* ist klassische Dienstearbeit - wie vermeidet man, eine
Quelle zu verschleißen. Und dafür gibt es etliche Optionen.
ACK. Wird in Cryptonomicon recht unterhaltsam beschrieben - ist aber in
der heutigen Zeit wesentlich schwieriger, denn man bricht ja nicht das
Kryptosystem einer anderen Regierung, sondern eins das weltweit genutzt
wird.

Wenn Du beispielsweise Kinderpornos mit jemandem tauschst, und ihr
beide sicher wisst das es keine andere Spur zu euch gibt, UND ihr allen
Datenverkehr per Remailer und PGP-Verschlüsselung abwickelt - dann ist
die Hausdurchsuchung der Beweis dafür, das jemand eure Verschlüsselung
geknackt hat.
Post by Dietz Proepper
Post by Juergen Nieveler
Ab wieviel zu erwartenden Toten wird die NSA wohl ihr
schweigen brechen?
Die Frage ist eher, kann aufgrund der Aufdeckung des Anschlags
deduziert werden, daß die NSA pgp brechen kann. Das kann für einen
Einzelfall fast mit Sicherheit verneint werden.
Nicht für die Beteiligten. Wenn die genau wissen das alle Daten
verschlüsselt übertragen wurden...


Juergen Nieveler
--
Nothing good ever comes of violence.
Martin Luther
Jan Luehr
2007-03-11 09:13:55 UTC
Permalink
ja hallo erstmal,...
Post by Juergen Nieveler
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern
zusammenarbeiten. Diese haben angeblich sowieso fast immer ein
Hintertür eingebaut, allein schon für sich selbst, falls sie ran
müssen oder eben auf Verlangen des Staates.
Schwachfug - wenn der Softwarehersteller eine Hintertür für den
"Eigengebrauch" einbauen würde würde er sich strafbar machen.
Außerdem: Open Source existiert...
Wenn es realistisch wäre, alle remote-holes in moderater Zeit zu finden -
auch welche, die geschickt versteckt sind (und z.B. mit den NSA Patches in
den Linux-Kernel gekommen sein könnten)- , dann hätten Linux, OpenSSH, etc.
seit Jahren
keine Probleme in dem Bereich.

Keep smiling
yanosz
Volker Birk
2007-03-10 21:48:52 UTC
Permalink
Hallo,
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern zusammenarbeiten.
Diese haben angeblich sowieso fast immer ein Hintertür eingebaut, allein
schon für sich selbst, falls sie ran müssen oder eben auf Verlangen des
Staates.
Das ist nicht nur eine unbewiesene Behauptung, sondern
höchstwahrscheinlich Blödsinn.
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Und das ist sicher Blödsinn.
Post by andreas
Angeblich könne das BSI alle
öffentlichen Schlüssel und Verschlüsselungen knacken auch die der
Banken, da nur das Militär die wirklich geheimen sicheren hat.
Das ist ebenfalls Blödsinn.
Post by andreas
- "Es gibt mehr Viren für Linux als für Windows"
Völliger Unsinn.
Post by andreas
- Er meinte auch, dass NSA könnte in der Theorie so ziemlich alles, nur
ist ihr Problem die Menge der Daten zu kontrollieren.
Das ist inhaltsleeres Geblubber.
Post by andreas
Wäre das nicht ein
Ansatz, sollte es denn wirklich so sein, gezielt eine große Menge an
Daten zu erzeugen oder den Staat in andere Netze zu leiten um ihm auch
Probleme zu bereiten bei der "Online Durchsuchung"?
Nein.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-10 22:07:24 UTC
Permalink
Post by Volker Birk
Hallo,
Danke!
Post by Volker Birk
Post by andreas
- Der Staat wird sich erst garnicht diese Mühe machen den Traffic
abzufangen. Er wird zum einen mit Softwareherstellern zusammenarbeiten.
Diese haben angeblich sowieso fast immer ein Hintertür eingebaut, allein
schon für sich selbst, falls sie ran müssen oder eben auf Verlangen des
Staates.
Das ist nicht nur eine unbewiesene Behauptung, sondern
höchstwahrscheinlich Blödsinn.
Wäre aber doch einfacher als erst welche künstlich zu schaffen oder etwa
nicht? Abgesehen davon ob es legal ist oder nicht.
Post by Volker Birk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Und das ist sicher Blödsinn.
Gibt es denn Hinweise darauf, dass so sicher geglaubte Systeme mal
Probleme damit hatten? Dürfte es ja dann nicht geben wenn es Blödsinn ist.
Post by Volker Birk
Post by andreas
- "Es gibt mehr Viren für Linux als für Windows"
Völliger Unsinn.
Wie gesagt, das is eine Pauschalisierung, das kommt ganz darauf an
worauf man sich konkret bezieht. Dann ergitb die Rechnung immer ein
anderes Ergebnis.
Post by Volker Birk
Post by andreas
- Er meinte auch, dass NSA könnte in der Theorie so ziemlich alles, nur
ist ihr Problem die Menge der Daten zu kontrollieren.
Das ist inhaltsleeres Geblubber.
So und was soll ich ihm entgegnen? Außer Quellen zu verlangen.
Post by Volker Birk
Post by andreas
Wäre das nicht ein
Ansatz, sollte es denn wirklich so sein, gezielt eine große Menge an
Daten zu erzeugen oder den Staat in andere Netze zu leiten um ihm auch
Probleme zu bereiten bei der "Online Durchsuchung"?
Nein.
Weil die Datenbanken das alles einwandfrei schaffen? Oder warum wäre es
nicht sinnvoll möglichst viele unsinnige Daten zu produzieren um die
Arbeit zu erschweren? Wobei das auch eine Methode gegen den Data Mining
Schwachsinn wäre, wobei man dem besser damit entgegen wirkt über sich
keine Daten in Umlauf zu bringen.
Volker Birk
2007-03-10 23:50:23 UTC
Permalink
Post by andreas
So und was soll ich ihm entgegnen?
Lach ihn aus.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Christian Hofmann
2007-03-11 00:47:04 UTC
Permalink
Post by andreas
Wäre aber doch einfacher als erst welche künstlich zu schaffen oder etwa
nicht? Abgesehen davon ob es legal ist oder nicht.
Ich muss mir hier unweigerlich einen dieser "Hacker" vorstellen, die
Zahlenkolonnen am Bildschirm betrachten und daraufhin zwei drei
Buchstaben eingeben, und im System sind.

Es ist deutlich einfacher, eine neue Sicherheitsluecke zu schaffen, die
das macht, was man will, als eine existierende zu *finden*. Die meisten
Sicherheitsluecken sind allerdings nicht so geartet, dass man einfach so
reinspazieren kann, und tun kann was man will, sondern sind einfach ein
Schwachpunkt der genau eine bestimmte Operation ermoeglicht.
Post by andreas
Post by Volker Birk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Und das ist sicher Blödsinn.
Gibt es denn Hinweise darauf, dass so sicher geglaubte Systeme mal
Probleme damit hatten? Dürfte es ja dann nicht geben wenn es Blödsinn ist.
Sicher gab es schon erfolgreiche Attacken auf BSD. Das waren aber zum
groessten Teil "selbstverschuldete" Eingriffe, d.h. der Admin hat sein
System einfach zu wenig abgesichert. Ein Win-Admin, der sein OS so gut
kennt, wie ein durchschnittlicher Linux/BSD-Admin (ich sag jetzt bewusst
nicht root, weil ich meine: Systembetreuer, der einen Großrechner
absichert), kriegt auch Windows so dicht, dass man mit den "normalen"
Mitteln nicht mehr ins System kommt.
--
Christian Hofmann
andreas
2007-03-11 00:56:28 UTC
Permalink
Post by Christian Hofmann
Post by andreas
Post by Volker Birk
Post by andreas
Angeblich habe das BSI (komm ich später
noch etwas genauer zu) die Mittel auch sehr sicher geglaubte Systeme wie
OpenBSD und Konsorten zu kontrollieren.
Und das ist sicher Blödsinn.
Gibt es denn Hinweise darauf, dass so sicher geglaubte Systeme mal
Probleme damit hatten? Dürfte es ja dann nicht geben wenn es Blödsinn ist.
Sicher gab es schon erfolgreiche Attacken auf BSD. Das waren aber zum
groessten Teil "selbstverschuldete" Eingriffe, d.h. der Admin hat sein
System einfach zu wenig abgesichert.
Naja aber haben wir das Szenario das Volker konstruiert mit veränderten
Paketen oder ähnlichem. Zeichnet einen guten Admin, was Sicherheit
betrifft, aus, dass er den ganzen Code kontrolliert? Ich kann mir
persönlich nur schwer vorstellen, dass dies jeder Admin bei jedem Paket,
dass er installieren will/muss tun will bzw. kann. Wenn das doch so ist,
mein Respekt. Das einzige was ich mir eben noch vorstellen kann, dass er
es sehr schnell bemerken wird, falls der Staat da doch etwas geändert
hat oder jetzt jemand "schnüffelt". Wie gesagt, ich zweifel die hohe
Sicherheit einiger Systeme nicht an, nur ob sie wirklich zu 100% vor dem
was geplant ist schützen, kann ich zumindest nicht uneingeschränkt
glauben. Lasse mich aber gerne eines besseren belehren.
Volker Birk
2007-03-11 08:42:09 UTC
Permalink
Post by andreas
Zeichnet einen guten Admin, was Sicherheit
betrifft, aus, dass er den ganzen Code kontrolliert?
Ja. Und zwar automatisiert. Das Problem sind die Ausnahmen, Code, für
den man nicht oder nur schwer eine sichere Quelle erhält, den man aber
trotzdem haben möchte.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 08:53:54 UTC
Permalink
Post by Volker Birk
Post by andreas
Zeichnet einen guten Admin, was Sicherheit
betrifft, aus, dass er den ganzen Code kontrolliert?
Ja. Und zwar automatisiert. Das Problem sind die Ausnahmen, Code, für
den man nicht oder nur schwer eine sichere Quelle erhält, den man aber
trotzdem haben möchte.
Was verstehst du unter automatisiert? Die Überprüfung durch Checksummen
bzw. Signierungen oder etwas anderes?
Volker Birk
2007-03-11 08:56:23 UTC
Permalink
Post by andreas
Post by Volker Birk
Post by andreas
Zeichnet einen guten Admin, was Sicherheit
betrifft, aus, dass er den ganzen Code kontrolliert?
Ja. Und zwar automatisiert. Das Problem sind die Ausnahmen, Code, für
den man nicht oder nur schwer eine sichere Quelle erhält, den man aber
trotzdem haben möchte.
Was verstehst du unter automatisiert? Die Überprüfung durch Checksummen
bzw. Signierungen oder etwas anderes?
Die Prüfung durch digitale Signaturverfahren.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 09:03:19 UTC
Permalink
Post by Volker Birk
Post by andreas
Post by Volker Birk
Post by andreas
Zeichnet einen guten Admin, was Sicherheit
betrifft, aus, dass er den ganzen Code kontrolliert?
Ja. Und zwar automatisiert. Das Problem sind die Ausnahmen, Code, für
den man nicht oder nur schwer eine sichere Quelle erhält, den man aber
trotzdem haben möchte.
Was verstehst du unter automatisiert? Die Überprüfung durch Checksummen
bzw. Signierungen oder etwas anderes?
Die Prüfung durch digitale Signaturverfahren.
Soweit vorhanden klar, da klappt das Szenario dann eigentlich nicht.
Aber was macht z.b ein Admin für Windows? Oder gibt es die dort auch,
habe mich konkret mit Windows nicht weiter beschäftigt. Oder anderen
Systemen wo dies fehlt. Ich nutze Gentoo und hab nur die md5 Files die
ich überprüfen kann, afaik können diese ja auch auf dem Weg manipuliert
werden. Soweit ich weiss haben eben nicht alle Systeme diese
Möglichkeit, falls doch darfst du mich gern belehren.
Volker Birk
2007-03-11 09:56:18 UTC
Permalink
Post by andreas
Aber was macht z.b ein Admin für Windows?
Windowsupdate verwendet sichere kryptographische Signaturverfahren
AFAICS. Das Problem sind alle anderen Programme, die nicht bei Windows
dabei sind.
Post by andreas
Ich nutze Gentoo und hab nur die md5 Files die
ich überprüfen kann, afaik können diese ja auch auf dem Weg manipuliert
werden.
Ja. Gibt's für Gentoo/Portage eigentlich digitale Signaturen? Weiss das
jemand? Nutze kein Gentoo.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Jens Kubieziel
2007-03-11 12:09:09 UTC
Permalink
Post by Volker Birk
Ja. Gibt's für Gentoo/Portage eigentlich digitale Signaturen? Weiss das
jemand? Nutze kein Gentoo.
Theoretisch ja, praktisch nein.
--
Jens Kubieziel http://www.kubieziel.de
Ein Lächeln ist die kürzeste Entfernung zwischen Menschen. Victor Borge
andreas
2007-03-11 15:26:57 UTC
Permalink
Post by Volker Birk
Post by andreas
Aber was macht z.b ein Admin für Windows?
Windowsupdate verwendet sichere kryptographische Signaturverfahren
AFAICS. Das Problem sind alle anderen Programme, die nicht bei Windows
dabei sind.
Schön und gut, nur wie kann da ein Admin die Vertraulichkeit
sicherstellen bei ClosedSource? Ich selbst nutze es nicht, daher keine
Ahnung. Aber im Vergleich zu anderen Systemen wird das bei Windows doch
nicht so einfach sein oder?
Wie ist das denn bei den Mac Systemen? Da dürftest du dich doch besser
auskennen.
Post by Volker Birk
Post by andreas
Ich nutze Gentoo und hab nur die md5 Files die
ich überprüfen kann, afaik können diese ja auch auf dem Weg manipuliert
werden.
Ja. Gibt's für Gentoo/Portage eigentlich digitale Signaturen? Weiss das
jemand? Nutze kein Gentoo.
Zumindest nicht default afaik.
Volker Birk
2007-03-11 15:28:30 UTC
Permalink
Post by andreas
Post by Volker Birk
Post by andreas
Aber was macht z.b ein Admin für Windows?
Windowsupdate verwendet sichere kryptographische Signaturverfahren
AFAICS. Das Problem sind alle anderen Programme, die nicht bei Windows
dabei sind.
Schön und gut, nur wie kann da ein Admin die Vertraulichkeit
sicherstellen bei ClosedSource?
Was möchtest Du hier mit "Vertraulichkeit" sagen, bitte?
Post by andreas
Aber im Vergleich zu anderen Systemen wird das bei Windows doch
nicht so einfach sein oder?
Was?
Post by andreas
Wie ist das denn bei den Mac Systemen?
Was?
Post by andreas
Da dürftest du dich doch besser
auskennen.
?

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 15:42:41 UTC
Permalink
Post by Volker Birk
Post by andreas
Post by Volker Birk
Post by andreas
Aber was macht z.b ein Admin für Windows?
Windowsupdate verwendet sichere kryptographische Signaturverfahren
AFAICS. Das Problem sind alle anderen Programme, die nicht bei Windows
dabei sind.
Schön und gut, nur wie kann da ein Admin die Vertraulichkeit
sicherstellen bei ClosedSource?
Was möchtest Du hier mit "Vertraulichkeit" sagen, bitte?
Wenn nur Windows selbst intern diese Verfahren nutzt ohne dem Admin
Einblick zu gewähren ist das imo problematisch. Das meinte ich damit. Du
musst ja im Endeffekt MS bei ihrer Arbeit vertrauen.
Post by Volker Birk
Post by andreas
Aber im Vergleich zu anderen Systemen wird das bei Windows doch
nicht so einfach sein oder?
Was?
Geht das nicht aus dem Kontext heraus? Ich rede hier immernoch von den
erwähnten Verfahren der digitalen Signatur. Bei OpenSource Systemen
kannst du diese Verfahren ja einsehen wie sie funktionierne und was sie
machen, normalerweise. Hoffe habe mich damit klarer ausgedrückt.
Post by Volker Birk
Post by andreas
Wie ist das denn bei den Mac Systemen?
Was?
s.o
Wie bei Mac Systemen gewährleistet wird, dass die Pakete die sind die
man auch haben wollte und keine veränderten.
Post by Volker Birk
Post by andreas
Da dürftest du dich doch besser
auskennen.
?
Nachdem du sehr gerne in Diskussionen zur PC Sicherheit, sei es zu
deinen Vorträgen oder Diskussionen hier, gerne einen Mac empfiehlst für
den ONU, bin ich davona usgegangen, dass du dich da auskennst.

Hoffe das war jetzt klar genug.
Volker Birk
2007-03-11 17:01:38 UTC
Permalink
Post by andreas
Post by Volker Birk
Post by andreas
Schön und gut, nur wie kann da ein Admin die Vertraulichkeit
sicherstellen bei ClosedSource?
Was möchtest Du hier mit "Vertraulichkeit" sagen, bitte?
Wenn nur Windows selbst intern diese Verfahren nutzt ohne dem Admin
Einblick zu gewähren ist das imo problematisch. Das meinte ich damit. Du
musst ja im Endeffekt MS bei ihrer Arbeit vertrauen.
Nicht böse sein: ist Deutsch Deine Muttersprache? Ich vermute nämlich,
dass Du nicht "Vertraulichkeit" sondern "Vertrauen" meinst.

Ich verstehe Deine Frage so: "wie kann ein Admin Microsoft vertrauen?"
Nun, ein Windows-Admin muss das. Denn er hat ja, wie Du schon richtig
bemerkt hast, keinen Quellcode. Wenn Microsoft also ein
Signaturverfahren für Windows-Update dokumentiert, und die Dokumentation
stimmig ist, dann wird der Windows-Admin vertrauen müssen.

Ist auch nicht so schlimm, denn nutzt man Windows, vertraut man
Microsoft sowieso.
Post by andreas
Post by Volker Birk
Post by andreas
Aber im Vergleich zu anderen Systemen wird das bei Windows doch
nicht so einfach sein oder?
Was?
Geht das nicht aus dem Kontext heraus?
Leider nein. ;-)
Post by andreas
Ich rede hier immernoch von den
erwähnten Verfahren der digitalen Signatur. Bei OpenSource Systemen
kannst du diese Verfahren ja einsehen wie sie funktionierne und was sie
machen, normalerweise. Hoffe habe mich damit klarer ausgedrückt.
Suchst Du sowas? http://msdn2.microsoft.com/en-us/library/aa906251.aspx
Post by andreas
Post by Volker Birk
Post by andreas
Wie ist das denn bei den Mac Systemen?
Was?
s.o
Wie bei Mac Systemen gewährleistet wird, dass die Pakete die sind die
man auch haben wollte und keine veränderten.
Der CDSA Code von MacOS X ist Open Source:

http://developer.apple.com/opensource/security/index.html

Allerdings dokumentiert Apple für seine Softwarepakete keinerlei
Signaturverfahren.

Was Apple beim systemeigenen Online-Softwareupdate derzeit macht, weiss
ich nicht.

Bei 10.1 hatten die das Problem, dass sie sich komplett auf's DNS
verlassen hatten. Dann haben sie nachgebessert - ich kann aber keinerlei
Dokumentation bei Apple finden, was sie wirklich gemacht haben.

Scheint (wie so oft bei Apple) eine Glaubensfrage zu sein ;-)

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 17:15:55 UTC
Permalink
Post by Volker Birk
Post by andreas
Post by Volker Birk
Post by andreas
Schön und gut, nur wie kann da ein Admin die Vertraulichkeit
sicherstellen bei ClosedSource?
Was möchtest Du hier mit "Vertraulichkeit" sagen, bitte?
Wenn nur Windows selbst intern diese Verfahren nutzt ohne dem Admin
Einblick zu gewähren ist das imo problematisch. Das meinte ich damit. Du
musst ja im Endeffekt MS bei ihrer Arbeit vertrauen.
Nicht böse sein: ist Deutsch Deine Muttersprache? Ich vermute nämlich,
dass Du nicht "Vertraulichkeit" sondern "Vertrauen" meinst.
Ja. Mein Fehler, sorry.
Post by Volker Birk
Ich verstehe Deine Frage so: "wie kann ein Admin Microsoft vertrauen?"
Nun, ein Windows-Admin muss das. Denn er hat ja, wie Du schon richtig
bemerkt hast, keinen Quellcode. Wenn Microsoft also ein
Signaturverfahren für Windows-Update dokumentiert, und die Dokumentation
stimmig ist, dann wird der Windows-Admin vertrauen müssen.
Richtig, so meinte ich das. Ich wusste nur nicht wie das
Signaturverfahren aussieht und die Dokumentation dazu.
Post by Volker Birk
Ist auch nicht so schlimm, denn nutzt man Windows, vertraut man
Microsoft sowieso.
Schon klar, nur ist nun die Frage, wie ein Admin nun dem weiter
vertrauen kann, dass MS nicht den Interessen des Staates nachgeht.
Post by Volker Birk
Post by andreas
Ich rede hier immernoch von den
erwähnten Verfahren der digitalen Signatur. Bei OpenSource Systemen
kannst du diese Verfahren ja einsehen wie sie funktionierne und was sie
machen, normalerweise. Hoffe habe mich damit klarer ausgedrückt.
Suchst Du sowas? http://msdn2.microsoft.com/en-us/library/aa906251.aspx
Ja genau sowas suche ich, damit kann ich wesentlich mehr anfangen. Danke.
Post by Volker Birk
Scheint (wie so oft bei Apple) eine Glaubensfrage zu sein ;-)
Zum einen Danke für die Erläuterung, zum anderen muss wohl so eine Frage
immer unter vielen Punkten betrachtet werden. Der eine vertraut MS mehr
als Apple und ein anderer genau umgekehrt. Die Frage ist inwiefern nun
dort die Gefahr besteht, dass sich ein Staat mit einmischt oder nicht.

Immerhin sind wir nun da gelandet wo ich hinwollte, von "Unsinn" und
"Dummgeschwätz" weg, wieder zu mehr Sachlichkeit. Danke.
Carsten Thumulla
2007-03-11 14:56:58 UTC
Permalink
Vielleicht soll das ganze Theater auch nur dazu dienen, den Teich mal
richtig durchzuwirbeln. Besser bedeckt halten?

ct
--
Wenn der BND meine Laufwerke mountet beiße ich die Strippe durch.
andreas
2007-03-11 18:59:54 UTC
Permalink
Habe nun erneut nachgefragt bei ihm um einiges klarstellen zukönnen.

Was die Behauptung mit den Viren für Linux betrifft bekomme ich noch
Quellen. Als erste Anlaufstelle nannte er mir die Seiten des BSI und ein
"trustcenter", mal schaun was sich da finden lässt. Auf die andere
Quelle hoff ich bald. Hinzugefügt hat er noch die Erklärung, dass er
sich auf die Codebasis bezog, ob es Code ist der für Windowssysteme
gedacht ist oder Unixsysteme etc. Ich denke das es wohl doch in die
Richtung geht, dass es Definitionssache ist und was ich alles ein
welchen Haufen reinwerfe um die Menge an Viren zu vergleichen.

Was die Angriffe auf graphische Oberflächen betrifft: Er meinte eher,
dass es dort einfacher ist, da ein Desktop wie KDE doch mehr Dienste
erstmal startet (mal von einem Suse im default Zustand ausgegangen) und
bereithält als eine reine Shell. Dazu kommt, dass der Benutzer evtl. aus
Bequemlichkeit einem möglichen Angreifer unter einer graphischen
Oberfläche eher entgegenkommt mit Unachtsamkeit als unter einer Shell.
Es zielt also mehr auf den Nutzer der dort arbeitet, was ja so nicht
verkehrt ist, der Faktor Mensch bleibt mit das größte Sicherheitsrisiko.
Hoffe somit ist das nun relativiert.

Das von Sebastian erwähnte, dass dieser Vorgang des Ausnutzens von
Lücken illegal ist, bestätigte er mir. Er meinte die Möglichkeiten die
der Staat versucht gesetzlich als legitim zu erklären für sich zu
nutzen. Das man technisch Lücken nutzen kann ist ja so nicht falsch, ob
es legal ist oder nicht ist ja wieder ein anderes Thema.

Was die geheimen Verschlüsselungsverfahren betrifft war das wirklich ein
(größtenteils) Missverständniss. Es gibt jedoch einige Algorithmen die
(noch) nicht veröffentlicht sind, die verwendet werden. Generell werden
aber oft offene verwendet wie hier erwähnt wurde.

Thema BSI:
- Das BSI erteilt ja Zertifikate für Software, inwiefern diese als
sicher eingestuft werden kann. So gilt Windows 2000 SP4 als sicher und
daher darf es die Bundeswehr einsetzen, bei XP ist diese Zertifizerung
noch nicht erteilt worden. Warum konnte er mir nicht sagen, sollte nur
ein Beispiel sein, dass dort doch ziemlich intensiv geprüft wird.

- Wenn man erfahren will, wie gut/effektiv das BSI ist bzw. arbeitet,
müsse man bei der NSA nachfragen, bzw. auch umgekehrt. Ob es sonstige
Referenzen zum BSI gibt, konnte er mir nicht sagen. Jedoch seien dort
durchaus fähige Leute und auch die finanziellen Mittel stärker. Die
Frage ob sie etwas knacken können oder nicht hängt jedoch weiterhin
davon ab wieviel Zeit und Geld zur Verfügung steht. Grundsätzlich sei so
gut wie alles knackbar, nur eben meist nicht in einem abschaubaren
Rahmen oder der Aufwand ist zu groß.

- Zu der hier aufgekommenen Frage warum denn dann soviel schief geht: Da
in der BRD viele Behörden einfach ihren eigenen Kuchen backen, ist das
BSI nicht als der Schuldige für Fehler zu erklären. Das BSI stellt
Richtlinen und Empfehlungen etc. zur Verfügung, wenn aber eine
Stadtverwaltung meint, bzw. ihr IT Sicherheitsbeauftragter, er müsse
sich daran nicht halten, kann das BSI auch nichts dafür. Nur bei der
Bundeswehr oder beim BND wird sich wohl strikt an die Zertifizierung des
BSI gehalten.

Jetzt bleibt für mich die Frage, wie gut sind die Leute beim BSI oder
bei secunet etc.
Oder die Frage, was macht manche Leute hier zu fähigeren Leuten als
dort, dass sie keine Angst vor den Mitteln des BSI haben müssen.
Jedenfalls geht es wohl mehr um Angriffe die danke inem Nutzer
ermöglicht werden. Die Thematik was technisch gemacht wird und was
überhaupt legal ist, ist auch eine Diskussion für sich. Bestimmte Ebenen
werden bestimmte Methoden ungeachtet von Gesetzen einsetzen. Die
Verwertbarkeit vor Gericht oder ähnlichem ist wieder was anderes.

Hoffe habe damit das ganze etwas klarstellen können. Falls ich auf einen
Kritikpunkt nicht eingegangen bin, tut es mir leid. Ich versuchte alle
durchzugehen und ihn direkt damit zu konfrontieren. Es kam wohl bei den
meisten Behauptungen falsch rüber und konnte jetzt hoffentlich geklärt
werden.

Wenn jemand mehr Infos zum BSI hat, bitte her damit :)
Volker Birk
2007-03-11 19:12:08 UTC
Permalink
Post by andreas
Was die Behauptung mit den Viren für Linux betrifft bekomme ich noch
Quellen. Als erste Anlaufstelle nannte er mir die Seiten des BSI und ein
"trustcenter", mal schaun was sich da finden lässt. Auf die andere
Quelle hoff ich bald. Hinzugefügt hat er noch die Erklärung, dass er
sich auf die Codebasis bezog, ob es Code ist der für Windowssysteme
gedacht ist oder Unixsysteme etc. Ich denke das es wohl doch in die
Richtung geht, dass es Definitionssache ist und was ich alles ein
welchen Haufen reinwerfe um die Menge an Viren zu vergleichen.
Hört sich nach Ausreden an.
Post by andreas
- Das BSI erteilt ja Zertifikate für Software, inwiefern diese als
sicher eingestuft werden kann. So gilt Windows 2000 SP4 als sicher und
daher darf es die Bundeswehr einsetzen, bei XP ist diese Zertifizerung
noch nicht erteilt worden. Warum konnte er mir nicht sagen, sollte nur
ein Beispiel sein, dass dort doch ziemlich intensiv geprüft wird.
Aha. Ich hoffe doch mal, das ist ein Scherz.
Post by andreas
Nur bei der
Bundeswehr oder beim BND wird sich wohl strikt an die Zertifizierung des
BSI gehalten.
Da habe ich von Leuten, die bei der Bundeswehr arbyten, ganz anderes
gehört.
Post by andreas
Hoffe habe damit das ganze etwas klarstellen können.
Ehrlich gesagt nicht. Aber warum diskutiert Dein Freund hier nicht
direkt mit?

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 19:25:42 UTC
Permalink
Post by Volker Birk
Post by andreas
Was die Behauptung mit den Viren für Linux betrifft bekomme ich noch
Quellen. Als erste Anlaufstelle nannte er mir die Seiten des BSI und ein
"trustcenter", mal schaun was sich da finden lässt. Auf die andere
Quelle hoff ich bald. Hinzugefügt hat er noch die Erklärung, dass er
sich auf die Codebasis bezog, ob es Code ist der für Windowssysteme
gedacht ist oder Unixsysteme etc. Ich denke das es wohl doch in die
Richtung geht, dass es Definitionssache ist und was ich alles ein
welchen Haufen reinwerfe um die Menge an Viren zu vergleichen.
Hört sich nach Ausreden an.
Wird sich zeigen wenn man den Informationen nachgeht und ich die
ausstehende Quelle erhalte. Der Mann hat auch einen Job und nicht mehr
so einen Kopf dafür, sozusagen belästige ich ihn mit den Fragen. Ich
kann auch jemanden beim BSI befragen nur ob das viel effektiver ist naja.
Post by Volker Birk
Post by andreas
- Das BSI erteilt ja Zertifikate für Software, inwiefern diese als
sicher eingestuft werden kann. So gilt Windows 2000 SP4 als sicher und
daher darf es die Bundeswehr einsetzen, bei XP ist diese Zertifizerung
noch nicht erteilt worden. Warum konnte er mir nicht sagen, sollte nur
ein Beispiel sein, dass dort doch ziemlich intensiv geprüft wird.
Aha. Ich hoffe doch mal, das ist ein Scherz.
Es ist das Windowssystem das am meisten dort verwendet wird und das mit
der Erlaubnis von Oben. Und ja sogar auf Rechnern die mit Kryptotechnik
arbeiten. Die werden sicher Windows 2000 nicht einfach so nutzen sondern
auch an ihre Bedürfnisse anpassen. Aber das Windows 2000 dort auch
eingesetzt wird können dir sicher einige bestätigen.
Post by Volker Birk
Post by andreas
Nur bei der
Bundeswehr oder beim BND wird sich wohl strikt an die Zertifizierung des
BSI gehalten.
Da habe ich von Leuten, die bei der Bundeswehr arbyten, ganz anderes
gehört.
In welcher Weise? Dass sie sich nicht dranhalten und "sicherere" Systeme
einsetzen oder eher darauf pfeiffen?
Dazu kommt es sicher auch auf den Bereich an. Ich rede hier um es zu
konkretisieren von der technischen Schule der Luftwaffe.
Post by Volker Birk
Post by andreas
Hoffe habe damit das ganze etwas klarstellen können.
Ehrlich gesagt nicht. Aber warum diskutiert Dein Freund hier nicht
direkt mit?
Weil er das Usenet selbst nicht nutzt und nicht die Zeit hat momentan.
Ich hab ihn ja von mir aus befragt und aufgrund der Kritik hier heute
nochmal angerufen habe. Ich kann es ihm aber nochmal vorstellen. Es ist
nicht irgendein Freund sondern ein Bekannter hat mich an ihn
weitervermittelt.
Du hast dir aber auch grad nur Kritikpunkte rausgesucht, darf ich daraus
schließen, die anderen Ergänzungen kann man so stehen lassen oder nicht?
Werde aber ihn nochmal hier her verweisen, evtl. nimmt er sich doch
nochmal die Zeit dafür.
Um es nochmal klar zu sagen:
ICH wollte zu meinen persönlichen Fragen von einer Person in diesem
Bereich Informationen. Diese Informationen wollte ich hier posten, um
weitere Meinungen von einer anderen Seite zu erhalten. Es war nie mein
Ziel das in diese Richtung zu lenken. Es ist doch besser hier
"aufgeklärt" zu werden über die Situation als in dem Glauben zu bleiben,
diese eine Quelle hätte recht oder?
Volker Birk
2007-03-11 19:29:25 UTC
Permalink
Post by andreas
Post by Volker Birk
Post by andreas
Nur bei der
Bundeswehr oder beim BND wird sich wohl strikt an die Zertifizierung des
BSI gehalten.
Da habe ich von Leuten, die bei der Bundeswehr arbyten, ganz anderes
gehört.
In welcher Weise?
Dass das mit dem "strikt dran halten" wohl eher ein Märchen ist.
Post by andreas
Du hast dir aber auch grad nur Kritikpunkte rausgesucht, darf ich daraus
schließen, die anderen Ergänzungen kann man so stehen lassen oder nicht?
Ehrlich gesagt, kommt mir Dein ganzer Vortrag hier etwas wischi-waschi
vor. Man kann den Rest irgendwie kaum kommentieren oder gar diskutieren,
weil er herzlich wenig klare Aussagen enthält.
Post by andreas
ICH wollte zu meinen persönlichen Fragen von einer Person in diesem
Bereich Informationen. Diese Informationen wollte ich hier posten, um
weitere Meinungen von einer anderen Seite zu erhalten. Es war nie mein
Ziel das in diese Richtung zu lenken. Es ist doch besser hier
"aufgeklärt" zu werden über die Situation als in dem Glauben zu bleiben,
diese eine Quelle hätte recht oder?
Das ist ja OK, dass Du hier diskutieren willst. Nur wäre etwas mehr
"Fleisch" schon angebracht.

Über was möchtest Du denn eigentlich diskutieren? Was genau ist Dir
wichtig? Welche Aussagen möchtest Du genau zur Diskussion stellen?

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 19:53:50 UTC
Permalink
Post by Volker Birk
Post by andreas
Post by Volker Birk
Post by andreas
Nur bei der
Bundeswehr oder beim BND wird sich wohl strikt an die Zertifizierung des
BSI gehalten.
Da habe ich von Leuten, die bei der Bundeswehr arbyten, ganz anderes
gehört.
In welcher Weise?
Dass das mit dem "strikt dran halten" wohl eher ein Märchen ist.
Ok sagen wir es so, so sollte es gemacht werden und steht es evtl. in
der Dienstvorschrift. Wenn ein einzelner dann doch sagt ihn intressiert
das nicht, oder eine Abteilung ist das sicher in der Realität der Fall,
ist aber so nicht vorgesehen.
Post by Volker Birk
Post by andreas
Du hast dir aber auch grad nur Kritikpunkte rausgesucht, darf ich daraus
schließen, die anderen Ergänzungen kann man so stehen lassen oder nicht?
Ehrlich gesagt, kommt mir Dein ganzer Vortrag hier etwas wischi-waschi
vor. Man kann den Rest irgendwie kaum kommentieren oder gar diskutieren,
weil er herzlich wenig klare Aussagen enthält.
Weil bei einigen Dingen mir bestimmte Informationen fehlen die ich
einfach auf irgendeine Art und Weise bekommen möchte. Wenn aber
irgendetwas unklar oder eben "wischi-waschi" ist, dann bin ich gern
bereit das besser zu erklären oder sonst etwas in diese Richtung zu
verbessern. Wenn du mir, wie bereits ja getan, sagst wo dir was fehlt,
kann ich da auch schaun das ich da etwas greifbarere Infos biete.
Post by Volker Birk
Post by andreas
ICH wollte zu meinen persönlichen Fragen von einer Person in diesem
Bereich Informationen. Diese Informationen wollte ich hier posten, um
weitere Meinungen von einer anderen Seite zu erhalten. Es war nie mein
Ziel das in diese Richtung zu lenken. Es ist doch besser hier
"aufgeklärt" zu werden über die Situation als in dem Glauben zu bleiben,
diese eine Quelle hätte recht oder?
Das ist ja OK, dass Du hier diskutieren willst. Nur wäre etwas mehr
"Fleisch" schon angebracht.
Soweit mir das möglich ist, versuche ich das ja auch. Das es wohl nicht
so klappt wie ich mir das vorstelle oder es wünschenswert wäre, sehe ich
ja. Aber ich bemühe mich zumindest.
Post by Volker Birk
Über was möchtest Du denn eigentlich diskutieren? Was genau ist Dir
wichtig? Welche Aussagen möchtest Du genau zur Diskussion stellen?
Dein Artikel war für mich ein Grund nun doch mal direkt bei Leuten
nachzufragen im direkten Umfeld die sich mit der Materie auskennen, oder
ich sag mal besser, es wird behauptet sie könnten es.
Was mir also wichtig ist, ist eine anhaltende Diskussion zu der
Problematik der Online Durchsuchung aber auch der Problematik mit IT
Sicherheit im Ganzen. Mich interessieren generell die technischen
Möglichkeiten der verschiedenen Seiten, sei es nun Staat, freie
Entwickler oder sonst wer. Es geht mir mehr um die Theorie, die Praxis
lern ich nur wenn ich mir das Wissen aneigne, sei es durchs Studium
(auch wenn da nicht sooo viel behandelt wird wie ich es gerne hätte)
oder durch sosntige Quellen.
Welche Aussagen ich zur Diskussion stellen will? Genau die, die ich
erwähnt habe. Es geht um Aussagen die ich persönlich nur beschränkt
beurteilen kann und daher zur Diskussion stelle um weitere Meinungen zu
hören.
Mal zusammengefasst:
- Betriebssysteme und ihre Sicherheit
- Möglichkeiten und Kompetenzen von BSI und Konsorten
- Effektivität von Verschlüsselung bei Privatpersonen

nur um es eben grobz u beschreiben. Wenn das jetzt auch nicht mehr
Klarheit bringt über das was ich will, verzweifel ich langsam. Entweder
grad nicht mein Tag oder sonst etwas. Eventuell kommt das was ich meine
und denke auch nicht so an wie es sollte bei dir/euch.

Danke trotzdem für die Mühe!
Volker Birk
2007-03-11 19:54:44 UTC
Permalink
Post by andreas
Dein Artikel war für mich ein Grund nun doch mal direkt bei Leuten
nachzufragen im direkten Umfeld die sich mit der Materie auskennen, oder
ich sag mal besser, es wird behauptet sie könnten es.
Was mir also wichtig ist, ist eine anhaltende Diskussion zu der
Problematik der Online Durchsuchung aber auch der Problematik mit IT
Sicherheit im Ganzen. Mich interessieren generell die technischen
Möglichkeiten der verschiedenen Seiten, sei es nun Staat, freie
Entwickler oder sonst wer. Es geht mir mehr um die Theorie, die Praxis
lern ich nur wenn ich mir das Wissen aneigne, sei es durchs Studium
(auch wenn da nicht sooo viel behandelt wird wie ich es gerne hätte)
oder durch sosntige Quellen.
Welche Aussagen ich zur Diskussion stellen will? Genau die, die ich
erwähnt habe. Es geht um Aussagen die ich persönlich nur beschränkt
beurteilen kann und daher zur Diskussion stelle um weitere Meinungen zu
hören.
- Betriebssysteme und ihre Sicherheit
- Möglichkeiten und Kompetenzen von BSI und Konsorten
- Effektivität von Verschlüsselung bei Privatpersonen
Eine holistische Diskussion also ;-)

Vielleicht versuchst Du mal, konkrete Fragen zu stellen. Ich vermute,
dann ergibt sich eher eine Diskussion.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 20:29:37 UTC
Permalink
Post by Volker Birk
Eine holistische Diskussion also ;-)
[ot]
Wieso verwendest du hier "holistisch"?
[/ot]
Post by Volker Birk
Vielleicht versuchst Du mal, konkrete Fragen zu stellen. Ich vermute,
dann ergibt sich eher eine Diskussion.
Gerne.

- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher. Als
Grundannahme, der Admin weiss was er tut und ist kompetent. Wieso können
solche Leute sich so sicher sein, dass ihre Systeme auch von staatlichen
Bestrebungen verschont bleiben werden? Wieso sind sie sich so sicher,
dass es keine effektiv ausnutzbare Lücke gibt?

- Welche Möglichkeiten hat der Staat bzw. eine Institution auch sicher
geglaubte Systeme zu knacken, sei es jetzt Betriebssysteme oder
Verschlüsselung. Abgesehen von deinem erwähnten Szenario im Artikel. Was
ja schon in gewisser Weise iim ersten Punkt steht.

- Welche Kompetenz ist einer Institution wie dem BSI wirklich zuzutrauen
und welche Quellen und Beweise gibt es dafür

- Im Endeffekt eine Wiederholung aber: Wie sicher ist meine
Kommunikation wenn ich bestimmte als sicher geltende Verfahren einsetze,
beispielswiese GnuPG. Ich schließe da jetzt mal Anwender und
Softwarefehler aus, da diese ja einleuchten als Fehlerquelle.

- Wie sicher oder effektiv ist https? Ich höre da auch verschiedene
Meinungen.

- Wie schaffe ich es ohne digitale Signatur, z.b bei meinem Gentoo,
dennoch ein System zu haben/kriegen, dem ich weiterhin vertrauen kann.
Sprich kann ich irgendwie beurteilen ob die Prüfsumme doch passt oder nicht.

- Gibt es Methoden und die Rechenleistung beim Abhören einer
Kommunikation die verschlüsselt ist, durch das Abhören doch Teile eines
Schlüssels zu rekonstruieren?

Es war garnicht so einfach das alles so in konkrete Fragen zu packen, da
es doch umfangreicher ist und erst konkreter wird, wenn erst mal das
grobe für mich klar ist. Aber es sollte zumindest etwas weiterbringen.
Volker Birk
2007-03-11 21:42:58 UTC
Permalink
Post by andreas
- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher.
Gegenüber welchen Angriffen?
Post by andreas
Als
Grundannahme, der Admin weiss was er tut und ist kompetent. Wieso können
solche Leute sich so sicher sein, dass ihre Systeme auch von staatlichen
Bestrebungen verschont bleiben werden? Wieso sind sie sich so sicher,
dass es keine effektiv ausnutzbare Lücke gibt?
Sind viele gar nicht.
Post by andreas
- Welche Möglichkeiten hat der Staat bzw. eine Institution auch sicher
geglaubte Systeme zu knacken, sei es jetzt Betriebssysteme oder
Verschlüsselung.
Wenn Systeme gegen einen bestimmten Angriff nur sicher geglaubt sind,
können sie ja unsicher sein.
Post by andreas
- Welche Kompetenz ist einer Institution wie dem BSI wirklich zuzutrauen
und welche Quellen und Beweise gibt es dafür
Je nach Abteilung Kompetenz auf sehr unterschiedlichem Niveau. Das ist
halt so bei Läden ab einer bestimmten Größe. Beim BSI wird das Niveau
auch mal sehr hoch - erfreulicherweise. Hin und wieder ist's
erschreckend gering (wie beispielsweise bei der "Internet-CD").
Post by andreas
- Im Endeffekt eine Wiederholung aber: Wie sicher ist meine
Kommunikation wenn ich bestimmte als sicher geltende Verfahren einsetze,
beispielswiese GnuPG. Ich schließe da jetzt mal Anwender und
Softwarefehler aus, da diese ja einleuchten als Fehlerquelle.
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
Post by andreas
- Wie sicher oder effektiv ist https? Ich höre da auch verschiedene
Meinungen.
Das Problem bei TLS ist nicht, dass das Protokoll nicht in Ordnung wäre,
oder dass es keine brauchbaren Implementierungen davon gäbe, sondern
dass die Leute nicht mit Zertifikaten umgehen können und da einen Haufen
Fehler machen.
Post by andreas
- Wie schaffe ich es ohne digitale Signatur, z.b bei meinem Gentoo,
dennoch ein System zu haben/kriegen, dem ich weiterhin vertrauen kann.
Sprich kann ich irgendwie beurteilen ob die Prüfsumme doch passt oder nicht.
Bei Gentoo scheint's gar nicht, falls die Aussage hier stimmt, dass es
keine sicheren Quellen dafür gibt.
Post by andreas
- Gibt es Methoden und die Rechenleistung beim Abhören einer
Kommunikation die verschlüsselt ist, durch das Abhören doch Teile eines
Schlüssels zu rekonstruieren?
Ja. Und zwar immer dann, wenn ein Verschlüsselungsverfahren angewandt
wird, das bekannte Probleme hat.
Post by andreas
Es war garnicht so einfach das alles so in konkrete Fragen zu packen, da
es doch umfangreicher ist und erst konkreter wird, wenn erst mal das
grobe für mich klar ist. Aber es sollte zumindest etwas weiterbringen.
;-)

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
andreas
2007-03-11 22:11:46 UTC
Permalink
Post by Volker Birk
Post by andreas
- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher.
Gegenüber welchen Angriffen?
Externe Angriffe die gezielt auf ein System gerichtet sind. Also es wird
konkret versucht an diesem System eine Lücke zu finden über die man
entweder Zugriff kriegt oder erstmal etwas einschleußen kann. Also im
Grunde das Szenario, der Staat will da rein, primitiv gesagt.
Post by Volker Birk
Post by andreas
Als
Grundannahme, der Admin weiss was er tut und ist kompetent. Wieso können
solche Leute sich so sicher sein, dass ihre Systeme auch von staatlichen
Bestrebungen verschont bleiben werden? Wieso sind sie sich so sicher,
dass es keine effektiv ausnutzbare Lücke gibt?
Sind viele gar nicht.
Naja warum sind es dann die wenigen und warum die anderen nicht, die es
aber sollten.
Post by Volker Birk
Post by andreas
- Welche Möglichkeiten hat der Staat bzw. eine Institution auch sicher
geglaubte Systeme zu knacken, sei es jetzt Betriebssysteme oder
Verschlüsselung.
Wenn Systeme gegen einen bestimmten Angriff nur sicher geglaubt sind,
können sie ja unsicher sein.
Wenn der Staat bzw. die Institution nun alle möglichen Angriffsgebiete
durchgeht, sollte es ja jedem standhalten. (Wie realistisch dieses
Szenario ist mal außer Acht lassen).
Post by Volker Birk
Post by andreas
- Welche Kompetenz ist einer Institution wie dem BSI wirklich zuzutrauen
und welche Quellen und Beweise gibt es dafür
Je nach Abteilung Kompetenz auf sehr unterschiedlichem Niveau. Das ist
halt so bei Läden ab einer bestimmten Größe. Beim BSI wird das Niveau
auch mal sehr hoch - erfreulicherweise. Hin und wieder ist's
erschreckend gering (wie beispielsweise bei der "Internet-CD").
Wenn ich aber schon den Anspruch erhebe kompetent zu sein, sollte ich
dafür sorge tragen, dieses Bild auch nach außen zu tragen. Wenn ich da
den Bereich "für Bürger" sehe und wieder Personal Firewalls lese, denk
ich mir meinen Teil. Wobei die wenigstens weiter drauf eingehen und auch
dranstehen haben "richtig konfiguriert". Ist also nicht ganz so
dramatisch wie sonst wo. Stellen aber auch Infos zu GnuPG vor, was
wiederum ja positiv zu bewerten ist.
Post by Volker Birk
Post by andreas
- Im Endeffekt eine Wiederholung aber: Wie sicher ist meine
Kommunikation wenn ich bestimmte als sicher geltende Verfahren einsetze,
beispielswiese GnuPG. Ich schließe da jetzt mal Anwender und
Softwarefehler aus, da diese ja einleuchten als Fehlerquelle.
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
Komponente Mensch ist immer die Fehlerquelle schlechthin, darüber
braucht man sich sowieso nicht mehr streiten. Bei GnuPG gibt es aber
eben nur verschiedene Software die sich um die Schlüsselverwaltung oder
die Implementierung kümmert. Von GPA angefangen bis hinzu Enigmail oder
Jabberclients die es nutzen.
Post by Volker Birk
Post by andreas
- Wie sicher oder effektiv ist https? Ich höre da auch verschiedene
Meinungen.
Das Problem bei TLS ist nicht, dass das Protokoll nicht in Ordnung wäre,
oder dass es keine brauchbaren Implementierungen davon gäbe, sondern
dass die Leute nicht mit Zertifikaten umgehen können und da einen Haufen
Fehler machen.
Ist es wirklich nur der Faktor Mensch der nicht mit den Zertifikaten
umgehen kann? Im Studium wurde uns zwar auch weiß gemacht https sei so
prinzipiell sicher, nur ein gewisses Misstrauen ist da bei mir schon da.
Es klingt zu plausibel. Wobei die genauere Betrachtung erst noch kommt
und ich bisher nebenzu noch nicht dazugekommen bin es genauer zu betrachten.
Post by Volker Birk
Post by andreas
- Wie schaffe ich es ohne digitale Signatur, z.b bei meinem Gentoo,
dennoch ein System zu haben/kriegen, dem ich weiterhin vertrauen kann.
Sprich kann ich irgendwie beurteilen ob die Prüfsumme doch passt oder nicht.
Bei Gentoo scheint's gar nicht, falls die Aussage hier stimmt, dass es
keine sicheren Quellen dafür gibt.
Sorry aber der Satz verwirrt mich jetzt. Gibt es für Gentoo keine
sicheren Quellen? Kann ich das so deiner Aussage entnehmen oder genau
umgekehrt?
Post by Volker Birk
Post by andreas
- Gibt es Methoden und die Rechenleistung beim Abhören einer
Kommunikation die verschlüsselt ist, durch das Abhören doch Teile eines
Schlüssels zu rekonstruieren?
Ja. Und zwar immer dann, wenn ein Verschlüsselungsverfahren angewandt
wird, das bekannte Probleme hat.
Hättest du da ein Beispiel für?
Post by Volker Birk
Post by andreas
Es war garnicht so einfach das alles so in konkrete Fragen zu packen, da
es doch umfangreicher ist und erst konkreter wird, wenn erst mal das
grobe für mich klar ist. Aber es sollte zumindest etwas weiterbringen.
;-)
Geht ja nun doch, hätte mich auch ehrlich gesagt gewundert wenn nicht,
war in früheren Diskussionen bisher auch immer so.
Volker Birk
2007-03-12 18:37:44 UTC
Permalink
Post by andreas
Post by Volker Birk
Post by andreas
Als
Grundannahme, der Admin weiss was er tut und ist kompetent. Wieso können
solche Leute sich so sicher sein, dass ihre Systeme auch von staatlichen
Bestrebungen verschont bleiben werden? Wieso sind sie sich so sicher,
dass es keine effektiv ausnutzbare Lücke gibt?
Sind viele gar nicht.
Naja warum sind es dann die wenigen und warum die anderen nicht, die es
aber sollten.
Wie willst Du da in jedem Falle sicher sein? Zerodays existieren.
Post by andreas
Post by Volker Birk
Das Problem bei TLS ist nicht, dass das Protokoll nicht in Ordnung wäre,
oder dass es keine brauchbaren Implementierungen davon gäbe, sondern
dass die Leute nicht mit Zertifikaten umgehen können und da einen Haufen
Fehler machen.
Ist es wirklich nur der Faktor Mensch der nicht mit den Zertifikaten
umgehen kann?
Nur? Nein.

Aber hauptsächlich bei dem Einsatzzweck.
Post by andreas
Post by Volker Birk
Post by andreas
- Wie schaffe ich es ohne digitale Signatur, z.b bei meinem Gentoo,
dennoch ein System zu haben/kriegen, dem ich weiterhin vertrauen kann.
Sprich kann ich irgendwie beurteilen ob die Prüfsumme doch passt oder nicht.
Bei Gentoo scheint's gar nicht, falls die Aussage hier stimmt, dass es
keine sicheren Quellen dafür gibt.
Sorry aber der Satz verwirrt mich jetzt. Gibt es für Gentoo keine
sicheren Quellen? Kann ich das so deiner Aussage entnehmen oder genau
umgekehrt?
Du liest doch hier auch die anderen Postings mit, oder? Es wurde
behauptet, für Gentoo gäbe es keine sicheren Updatequellen.
Post by andreas
Post by Volker Birk
Post by andreas
- Gibt es Methoden und die Rechenleistung beim Abhören einer
Kommunikation die verschlüsselt ist, durch das Abhören doch Teile eines
Schlüssels zu rekonstruieren?
Ja. Und zwar immer dann, wenn ein Verschlüsselungsverfahren angewandt
wird, das bekannte Probleme hat.
Hättest du da ein Beispiel für?
Na, jedes Verfahren, das nicht sicher gegen Kryptoanalyse bei Mithören
ist. Nehmen wir als Beispiel mal Magenta ;-)

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Jan Luehr
2007-03-13 16:21:44 UTC
Permalink
ja hallo erstmal,..
Post by Volker Birk
Post by andreas
- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher.
[..]
Post by Volker Birk
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
args. Manchmal bin ich echt erstaunt, was du so schreibst.
1) Sicherheit ist immer Relativ. Du kannst nicht schreiben, etwas ist
sicher, sondern nur ist sicher relativ zu einem bestimmten Aufwand.

2) GnuPG ist auch bei korrekter Anwendung nicht immer sicher, vgl.:
http://www.heise.de/newsticker/meldung/43233
http://www.heise.de/newsticker/meldung/82161

Das sind meine pers. Highlights. Probleme hatte GnuPG noch wonaders.

Keep smiling
yanosz
Volker Birk
2007-03-14 07:25:55 UTC
Permalink
Post by Jan Luehr
Post by Volker Birk
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
args. Manchmal bin ich echt erstaunt, was du so schreibst.
1) Sicherheit ist immer Relativ. Du kannst nicht schreiben, etwas ist
sicher, sondern nur ist sicher relativ zu einem bestimmten Aufwand.
Quatsch.
Post by Jan Luehr
http://www.heise.de/newsticker/meldung/43233
http://www.heise.de/newsticker/meldung/82161
Die aktuelle Fassung von GNUPG hat AFAIK keine bekannten Probleme.
Wie alle nicht bewiesene Software ist auch GNUPG immer mit dem Vorbehalt
zu benutzen, es mindestens bei einem 0day updaten zu müssen.

Das gilt für ALLE nicht bewiesene Software, wohlgemerkt.

Viele Grüsse,
VB.
--
"Pornography is an abstract phenomenon. It cannot exist without a medium
to propagate it, and it has very little (if anything at all) to do with sex."
Tina Lorenz
<https://events.congress.ccc.de/congress/2006/Fahrplan/events/1422.en.html>
Jan Luehr
2007-03-14 10:03:44 UTC
Permalink
ja hallo erstmal,..
Post by Volker Birk
Post by Jan Luehr
Post by Volker Birk
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
args. Manchmal bin ich echt erstaunt, was du so schreibst.
1) Sicherheit ist immer Relativ. Du kannst nicht schreiben, etwas ist
sicher, sondern nur ist sicher relativ zu einem bestimmten Aufwand.
Quatsch.
Dann definiere bitte »sicher« im IT-Kontext.
Post by Volker Birk
Post by Jan Luehr
http://www.heise.de/newsticker/meldung/43233
http://www.heise.de/newsticker/meldung/82161
Die aktuelle Fassung von GNUPG hat AFAIK keine bekannten Probleme.
Wie alle nicht bewiesene Software ist auch GNUPG immer mit dem Vorbehalt
zu benutzen, es mindestens bei einem 0day updaten zu müssen.
Ja. Daher schrieb ich auch »bei korrekter Anwendung nicht _immer_ _sicher_«,
das ist kein Widespruch dazu, das die aktuelle Fassung derzeit keine
bekannten Probleme hat.

Keep smiling
yanosz

Jan Luehr
2007-03-13 16:22:28 UTC
Permalink
ja hallo erstmal,..
Post by Volker Birk
Post by andreas
- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher.
[..]
Post by Volker Birk
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
args. Manchmal bin ich echt erstaunt, was du so schreibst.
1) Sicherheit ist immer Relativ. Du kannst nicht schreiben, etwas ist
sicher, sondern nur ist sicher relativ zu einem bestimmten Aufwand.

2) GnuPG ist auch bei korrekter Anwendung nicht immer »sicher« (d.h. mit
wenig Aufwand knackbar), vgl.:
http://www.heise.de/newsticker/meldung/43233
http://www.heise.de/newsticker/meldung/82161

Das sind meine pers. Highlights. Probleme hatte GnuPG noch wonaders.

Keep smiling
yanosz
Jan Luehr
2007-03-13 16:23:50 UTC
Permalink
ja hallo erstmal,..
Post by Volker Birk
Post by andreas
- Systeme wie OpenBSD oder "hardened" Linux Distributionen gelten,
zumindest wie ich es mitbekommen habe, als sehr sicher.
[..]
Post by Volker Birk
GNUPG darf als gute Implementierung von OpenPGP gelten. Benutzt Du
es, ist Deine Kommunikation so sicher wie Du keine Fehler bei der
Anwendung machst und das Web of Trust, das Du benutzt, glaubwürdig.
args. Manchmal bin ich echt erstaunt, was du so schreibst.
1) Sicherheit ist immer relativ. Du kannst nicht schreiben, etwas ist
sicher, sondern nur ist sicher relativ zu einem bestimmten Aufwand.

2) GnuPG ist auch bei korrekter Anwendung nicht immer »sicher« (d.h. mit
wenig Aufwand knackbar), vgl.:
http://www.heise.de/newsticker/meldung/43233
http://www.heise.de/newsticker/meldung/82161

Das sind meine pers. Highlights. Probleme hatte GnuPG noch wonaders.

Keep smiling
yanosz
Wolfgang Ewert
2007-03-14 08:32:13 UTC
Permalink
Post by Jan Luehr
2) GnuPG ist auch bei korrekter Anwendung nicht immer »sicher« (d.h. mit
http://www.heise.de/newsticker/meldung/43233
Hmm, Signierung mit ElGamal-generierten Schlüsseln. War auch ziemlich breit
diskutiert worden, damals, 2003.
Post by Jan Luehr
http://www.heise.de/newsticker/meldung/82161
Und? Ungepatcht?

Kürzer:
http://www.heise.de/security/suche.shtml?T=gnupg&Suchen=suchen
Post by Jan Luehr
Das sind meine pers. Highlights. Probleme hatte GnuPG noch wonaders.
Sicherheit ist auch immer ein Zustand, d.h. zeitabhängig. Hätte das Volker
auch noch mit hinzufügen müssen?

Wolfgang
Loading...