Mystery Of Information

- Information-Wiederbeschaffung -

Gewagte Ankündigung Oktober 97

Wir basteln seit längerem an einer Website zum Thema Computersicherheit und Medienpolitik. Da der Zugang zum WWW (Internet) trotz allen Hypes auch heute noch relativ wenigen Menschen offen steht, wollen wir diese Website auch als Diskette für den Hausgebrauch verbreiten. Zusätzlich überlegen wir, Teile daraus auch auf Papier zu veröffentlichen (als Broschüre, Zeitungsbeilage o.ä.). Das wird vor allem eine Kostenfrage sein Da Computersicherheit oft nicht warten kann oder sollte und unser Projekt sich hinzieht, wollen wir hier ein paar Antworten auf häufig gestellte Fragen geben. Kaum etwas davon ist wirklich neu, das meiste schon irgendwo nachzulesen gewesen, aber besser einmal zu oft gesagt als einmal zu wenig. Wer am Computer"sensible" Daten bearbeitet und mit den folgenden Ausführungen nichts anzufangen weiß, sollte sich unbedingt persönlich beraten lassen vom lokalen Computer-Guru!

"Wie sorge ich dafür, daß ich mir keine Sorgen machen muß, wenn morgen früh die Tür eingetreten wird und Schönbohms Büttel meinen Computer mitnehmen?

Es ist praktisch unmöglich, an einem Computer so zu arbeiten, daß 100%ig keine unerwünschten Daten im Speicher (der Festplatte) verbleiben. Egal, mit welchem Betriebssystem (meist Windows und/oder MS-005) gearbeitet wird, welche Programme (z.B. Word, Exel...) benutzt werden, es ist immer damit zu rechnen, daß unkontrollierbar Daten im Speicher landen. Es gibt nur zwei sichere Mittel, um dem abzuhelfen: - Entweder die gründliche und regelmäßige Reinigung der Festplatte, oder die komplette Verschlüsselung der Festplatte. Beides soll hier kurz erläutert werden:

Reinigung der Festplatte bedeutet, daß - in dieser Reihenfolge -

1.) alle unerwünschten Dateien nach der Arbeit gelöscht werden (dazu gehören z.B. die Windows-3.1-Auslagerungsdatei namens "386spart.par" sowie "temporäre" Dateien, die u.a. beim Schreiben von Texten und beim Ausdrucken entstehen und oft mit dem Kürzel ".tmp" enden);

2.) bestimmte Dateien daraufhin überprüft werden, ob sie unerwünschte Einträge enthalten (vor allem Dateien, deren Namen auf".ini" enden), die ggf. geändert werden müssen;

3.) alle "freien Bereiche" des Speichers überschrieben werden, also alle Bereiche, die nicht durch eine Datei belegt sind;

4,) die "freien Bereiche" am Ende der Dateien überschrieben werden. Das Überschreiben kann z.B. mit dem Programm "Wipeinfo" von Norton gemacht werden, dessen Konfiguration so eingestellt werden sollte, daß es wenigstens 20fach überschreibt. Verschlüsselung der Festplatte bedeutet, daß ein möglichst großer Teil der Festplatte mit einem dafür geeigneten Programm verschlüsselt wird. Um den Rechner noch starten zu können, muß ein kleiner Teil der Festplatte unverschlüsselt bleiben. Die Installation eines Festplatten-Verschlüsselungs-Programmes und die vorher notwendige Bearbeitung der Festplatte erfordert einige Kenntnisse und sollte nur von Fachkundigen durchgeführt werden. Wenn die Installation einmal gelungen ist, sind damit nicht in jedem Fall alle Reinigungsmaßnahmen überflüssig, aber immerhin ein Teil davon, und das Reinigen des unverschlüsselten Teils der Festplatte geht schneller.

Was für Verschlüsselungsprogramme soll ich benutzen?

Das Verschlüsselungsprogramm PGP ist weit verbreitet und leicht zu bekommen: Bei Bekannten, im Netz, als Diskette samt Buch in Buchhand-lungen. PGP ist gut geeignet zum Verschlüsseln von einzelnen Dateien und von E-Mails. Es gibt PGP-"Oberflächen" für praktisch alle Betriebs-systeme. Zum Verschlüsseln von Festplatten gibt es die beiden Programme SFS Secure File System und Secure Drive. Beide Programme sind für MS-DOS geschrieben. Das heißt, daß beide mit den Betriebssystemen OS/2 und WindowsNT nicht funktionieren, mit Windows95 zumindest SFS nicht. Diese drei genannten Verschlüsselungsprogramme halten wir für gut. Programme, die auf der offiziellen US-Norm (DES) beruhen, sind hingegen Müll. Dazu gehören PC Secure, Norton Diskreet, sowie diverse Verschlüsselungs-Optionen von Text- oder Komprimierungsprogrammen. Die Sicherheit der Verschlüsselung steht und fällt darüberhinaus mit der Stärke des Paßwortes (Mantra). Ein Mantra muß mindestens 17 Zeichen lang sein, um ansatzweise bruchsicher zu sein, zu empfehlen ist eine Länge von über 40 Zeichen. Wir gehen davon aus - natürlich ohne Gewähr -, daß keine deutsche Behörde solcherart verschlüsselte Daten knacken kann.

" Worauf basiert diese Einschätzung?

Es gibt praktisch kein 100% sicheres Verschlüsselungsprogramm, und nur der US-Geheimdienst NSA kann letztlich sagen, welches der bekannten Programme das sicherste ist. Es gibt aber Orientierungshilfen zur Beurteilung der Sicherheit eines Programmes. Dazu gehört, ob der Quellcode des Programmes öffentlich zugänglich ist und so von anderen Expertlnnen überprüft werden kann; ob das Programm über eine glaubwürdige "Geschichte" verfügt und über einen längeren Zeitraum von vielen Menschen getestet wurde; ob die mathematischen Grundlagen des Programmes in der öffentlichen Diskussion als seriös eingeschätzt werden; ob mit den öffentlich bekannten Methoden das Knacken des Programmes aufwendiger ist als bei anderen vergleichbaren Programmen.

(Siehe dazu auch das Standard-Werk von B. Schneier "Angewandte Kryptographie") Darüberhinaus gibt es praktische Erfahrungen in den letzten paar Jahren (u.a. im radikal-Verfahren), die die Vermutung nahelegen, daß deutsche Polizeibehörden noch nicht in der Lage sind, gewöhnliche Verschlüsselungsmethoden zu brechen, und deutsche Geheimdienste zwar DES-Verschlüsselung, nicht aber PGP knacken können.

Was ist Steganographie, und soll ich sie benutzen?

Steganographie bedeutet das Verstecken von Daten in anderen, scheinbar harmlosen Daten, etwa Bildern, Klangdateien etc. Inzwischen gibt es dazu sogar ein paar leicht zu bedienende Stegano-Programme im Netz. Hierbei ist große Vorsicht angeraten! Solche Programme werden meist von Computer-Freaks entworfen, und niemand hat bisher genau überprüft, wie sicher sie wirklich sind. Die meisten sind nur solange sicher, solange die bearbeiteten Dateien nicht genauer untersucht werden. Manche sind schon durch einfache Mittel zu erkennen, einige am Bildschirm gar mit bloßem Auge.

Es kann durchaus sinnvoll sein, verschlüsselte Texte steganographisch zu verbergen, so daß sie z.B. bei der Untersuchung einer Diskette übersehen werden. Die Sicherheit beruht also im wesentlichen auf guter Tarnung, d.h. dem Anschein der Harmlosigkeit und einer dazu passenden Legende. Es wäre dagegen äußerst unklug, im Internet über einen Remailer (s.u.) steganographisch getarnte Nachrichten auszutauschen, da die Benutzung des Remailers die Nachrichten gerade verdächtig macht!(Siehe dazu auch in der Computer-Zeitschrift c't 6/97 Seite 330-336 mit einer Beurteilung diverser Stegano-Programme)

Was ist ein Stealth-Programm? Wie sicher ist Kommunikation im WWW (=Internet)?

"Stealth" ist keine Steganographie, versteckt also keine Daten, sondern entfernt die "Header" von PGP-verschlüsselten Dateien; das sind die Daten, aus denen hervorgeht, daß es sich um eine PGP-Datei handelt, wie groß sie ist und wann sie erstellt wurde. ' Wird mein Computer abgehört?

Wahrscheinlich nicht. Es ist zwar möglich, insbesondere das Monitor-Bild aufzufangen, aber das ist aufwendig und wird sicherlich nur in besonders schwerwiegenden Fällen (bzw. wenn es um viel Geld oder Macht geht) von Geheimdiensten eingesetzt. Auf polizeilicher Ebene ist so etwas höchstens dem BKA zuzutrauen.

Angeblich soll PGP längst geknackt worden sein oder gar vom US-Geheimdienst selbst stammen... ?

Es gibt immer wieder Gerüchte über die (Un-) Sicherheit von Verschlüsselungsprogrammen. Mal ist es ein Spinner, der im Internet behauptet, die NSA knacke Codes mit Hilfe von in UFOs gefundenen Zeitmaschinen, dann wieder gibt es eine Spekulation in einer Newsgroup der Krypto-Szene, der britische Geheimdienst habe IRA-Daten geknackt und dabei könne es sich doch eigentlich nur um PGP handeln; zuletzt war in einem windigen Buch über den deutschen BND zu lesen, der PGP-Autor P.Zimmermann werde vom BND als Agent der CIA und/oder NSA verdächtigt...

Leider ist hier seriöse Information oft nicht von gezielter Desinformation oder Spinnerei zu trennen. Da ein Programm wie PGP angeblich inzwischen weltweit von wichtigen staatlichen und wirtschaftlichen Organisationen benutzt wird, ist es auch Gegenstand geheimdienstlicher Intrigen und Machtkämpfe. Sollte PGP aber tatsächlich von der NSA zu knacken sein, so ist es sehr wahrscheinlich, daß dieses Wissen nicht an andere Dienste weitergegeben wird, um sich das Monopol zu erhalten; außerdem wird diese Trumpfkarte wohl kaum gegen wenig bedeutende Gegner wie etwa deutsche Linksradikale eingesetzt werden.

Wie sicher ist Kommunikation im WWW (=Internet)? Elektronische Kommunikationswege können vollständig und unbemerkt überwacht werden, es ist nur eine Frage der technischen Kapazitäten. Niemand weiß, wie viele E-Mails von den Geheimdiensten und Polizeibehörden heute schon unterwegs aufgefangen, gespeichert und bearbeitet werden. Wenn sie schon nicht die Nachricht selbst lesen können, können sie doch ermitteln, wer an wen etwas schickt, wann, in welchem Umfang, ob verschlüsselt oder nicht... diese sog. "Verbindungsdaten" können sehr informativ sein für die Schnüffler. Und einiges werden sie aufheben für den Tag, an dem sie das Verschlüsselungsprogramm brechen können.

Die gesetzlichen Grundlagen dafür sind in Deutschland als Fernmelde-Überwachungs-Verordnung, Telekommunikationsgesetz und Multimedia-Gesetz in den letzten zwei Jahren von einer großen Koalition im Bundestag durchgepeitscht worden. In anderen Ländern sieht es meist nicht besser aus. Sicher wird nicht jede E-Mail abgefangen, genausowenig wie jedes Handy-Gespräch abgehört wird. Doch das systematische und automatisierte Auswerten der Internet-Kommunikation ist im Verhältnis weniger aufwendig als das herkömmliche Telefon-Abhören und der "Markt der Zukunft" für Geheimdienste und Sicherheitsbehörden.

Was ist ein Internet-Remailer?

Als Gegenmittel gegen die eben beschriebenen Überwachungen wurden in der Netz-Szene sog. Remailer erfunden. Das sind Rechner an Netz-Knotenpunkten, die E-Mails weiterleiten und anonymisieren, indem sie die Absender-Angaben löschen. Diesem System sollte mit großer Vorsicht begegnet werden. Es gibt Hinweise, nach denen Geheimdienste einige der Remailer direkt selbst betreiben. Bei anderen werden sie sich an die Ein-und Ausgänge heften und können so die Anonymisierung wirkungslos machen. Zudem sind BetreiberInnen von Remailern auch nur Menschen, das heißt, sie sind mglw. erpreßbar oder unzuverlässig, können Opfer von offiziellen Beschlagnahmen und Durchsuchungen werden, sind in Deutschland gesetzlich verpflichtet, die Sicherheitsbehörden zu unterstützen, und schließlich neigen alle Computer und ihre Benutzerlnnen dazu, viel mehr Daten aufzuheben als erwünscht ist. Remailer bieten einen guten Schutz im E-Mail-Verkehr untereinander, jedoch nicht gegen staatliche Überwachung. Für wirklich brisante Nachrichten sollte lieber eine gute Tarnung verwendet werden als ein Remailer. Was kommt als nächstes?

Die staatliche Reglementierung der Verschlüsselung wird irgendwann in den nächsten Jahren kommen. Aber keine Sorge, es wird weiter möglich sein, zu verschlüsseln. Allerdings wird über entsprechende Verordnungen oder Gesetze die Gefahr bestehen, daß Durchsuchungen und Beobachtungen über den "Verdacht des Verstoßes gegen das Kryptogesetz" legalisiert werden und der Verstoß auch bestraft wird, was neue Einfallstore für Polizei und Justiz in Sachen Repression bedeutet. Das Internet wird durch Gesetze und den "freien Markt" befriedet und geregelt werden. Es werden höchstens Nischen übrigbleiben für linke Opposition, und die sind besser überwachbar als sonst ein Medium.

Neue Betriebssysteme für Computer (wie WindowsNT) und neue Vertriebsformen (Software-Vermietung per Internet) werden die Kontrollmöglichkeiten für Behörden und Konzerne verbessern und das sichere Arbeiten an Computern erschweren.

Über den Zwang zum Netz-Anschluß, z.B. indem NetPCs nur noch online (Mietung von Textprogrammen) benutzt werden können, bieten sich weitere Einfallstore für Überwachungsmaßnahmen.

Zur Übersicht der aktuellen Nummer