Hanno's blog

Having used my PGP key 3DBD3B20 for almost eight years, it's finally time for a new one: 4F9F43A9. The old primary key was a 1024 bit DSA key, which had two drawbacks:
1. 1024 bit keys for DLP or factoring based algorithms are considered insecure.
2. It's impossible to set the used hash algorithm to anything beyond SHA-1.

My new key has 4096 bits key size (2048 bit is the default of GnuPG since 2.0.13 and should be fairly enough, but I wanted some extra security) and the default hash algorithm preference is SHA-256. I had to make a couple of decisions for my name in the key:
1. I'm usually called Hanno, but my real/official name is Johannes.
2. My surname has a special character (ö) in it, which can be represented as oe.

In my previous keys, I've mixed this. I decided against this for the new key, because both my inofficial prename Hanno and my umlaut-converted surname Boeck are part of my mail adress, so people should still be able to find my key if they're searching for that.

Another decision was the time I wanted my key to be valid. I've decided to give it an expiration date, but a fairly long one: 10 years from now.

I've signed my new key with my old key, so if you've signed my old one, you should be able to verify the new one. I leave it up to you if you decide to sign my new key or if you want to re-new the signing procedure. I'll start from scratch and won't sign any keys I've signed with the old key automatically with the new one. If you want to key-sign with me, you may find me on the 27C3 within the next days.

My old key will be valid for a while, at some time in the future I'll probably revoke it.

Update: I just found out that having a key without SHA-1 is trickier than I thought. The self-signatures were still SHA-1. I could re-do the self-signatures and revoke the old ones, but that'd clutter the key with a lot of useless cruft and as the new key wasn't around long and didn't get any signatures I couldn't get easily again, I decided to start over again: The new key is BBB51E42 and the other one will be revoked.
I'll write another blog entry to document how you can create your own SHA-256 only key.

Yesterday I was at a talk at the FSFE Berlin about free software and GSM. It was an interesting talk and discussion.
Probably most of you know that GSM is the protocol that keeps the large majority of mobile phones running. In the past, only a handful of companies worked with the protocol and according to the talk, even most mobile phone companies don't know much of the internal details, as they usually buy ready-made chips.
Three free software projects work on GSM, OpenBTS and OpenBSC on the server side and OsmocomBB on the client side. What I didn't know yet and think is really remarkable: The Island State of Niue installed a GSM-network based on OpenBTS. The island found no commercial operator, so they installed a free software based and community supported GSM network.

Afterwards, we had a longer discussion about security and privacy implications of GSM. To sum it up, GSM is horribly broken on the security side. It offers no authentication between phones and cells. Also, it's encryption has been broken in the early 90s. There is not much progress in protocol improvements although this is known for a very long time. It's also well known that so-called IMSI-cachers are sold illegally for a few thousand dollars. The only reason GSM is still working at all is basically that those possibilities still cost a few thousands. But cheaper hardware and improvement in free GSM software makes it more likely that those possibilities will have a greater impact in the future (this is only a brief summary and I'm not really in that topic, see Wikipedia for some starting points for more info).

There was a bit of discussion about the question how realistic it is that some "normal user" is threatened by this due to the price of a few thousand dollars for the equipment. I didn't bring this up in the discussion any more, but I remember having seen a talk by a guy from Intel that the tendency is to design generic chips for various protocols that can be GSM, Bluetooth or WLAN purely by software control. Thinking about that, this raises the question of protocol security even more, as it might already be possible to use mainstream computer hardware to do mobile phone wiretapping by just replacing the firmware of a wireless lan card. It almost certainly will be possible within some years.

Another topic that was raised was frequency regulation. Even with free software you wouldn't be able to operate your own GSM network, because you couldn't afford buying a frequency (although it seems to be possible to get a testing license for a limited space, e. g. for technical workshops - the 27C3 will have a GSM test network). I mentioned that there's a chapter in the book "Code" from Lawrence Lessig (available in an updated version here, chapter is "The Regulators of Speech: Distribution" and starts on page 270 in the PDF). The thoughts from Lessing are that frequency regulation was neccessary in the beginning of radio technology, but today, it would be easily possible to design protocols that don't need regulation - they could be auto-regulating, e. g. with a prefix in front of every data package (the way wireless lan works). But the problem with that is that today, frequency usage generates large income for the state - that's completely against the original idea of it, as it's primarily purpose was to keep technology usable.

Die Piratenpartei ruft für den 17. September zum OptOutDay auf.

Damit soll ein Sachverhalt thematisiert werden, der vielen vermutlich nicht bekannt ist: Die Einwohnermeldeämter geben Daten unter bestimmten Umständen an Firmen oder Parteien weiter. Aber: Man kann dem Widersprechen. Deshalb sollen am 17.9. möglichst viele Menschen von dieser Möglichkeit gebrauch machen und auf ihren Meldeämtern der Weitergabe der eigenen Daten widersprechen.

Außerdem bei dieser Gelegenheit: Am 12. September ist wieder eine Großdemonstration unter dem Motto Freiheit statt Angst in Berlin gegen Vorratsdatenspeicherung, Internetzensur und zunehmende Überwachung.

Ich hatte vor kurzem per eMail Kontakt mit der AOK Berlin.

Durchaus gross war meine Überraschung, als ich von dieser eine Mail bekam, die PGP-Verschlüsselt war. Wohlgemerkt, ich hatte nicht mit irgendeiner Security- oder Computerabteilung, sondern mit der gewöhnlichen Kundenbetreuung zu tun. Da mein Initialkontakt via Webformular stattfand, war auch keine Mailsignatur von mir dort angekommen, insofern kann ich nur annehmen, dass deren Mailsystem automatisiert auf einem Keyserver meinen Key gesucht hat und diesen verwendet. Oder ein motivierter Mitarbeiter hat diesen hier von der Webseite.

Dass sämtliche Mails an Mailadressen, für die Schlüssel existieren, automatisiert verschlüsselt werden, kann ich mir kaum vorstellen, weil hier erstens vermutlich ein erheblicher Supportaufwand entsteht (passiert mir selber ja oft genug dass ich Nachrichten der Form »bitte nicht verschlüsseln, ich hab meinen Key verlegt / grad nicht da«) und zweitens ja die Mailadressen in den Keys in keinster Weise verifiziert werden. Allerdings existiert beispielsweise das PGP Global Directory, in dem nur Keys mit regelmäßig verifizierten Mailadressen landen. Das erscheint mir im Moment die plausibelste Erklärung.

Auch wenn ich nicht genau weiss, wie die AOK an den passenden Key kam, lobenswert finde ich es allemal, dass sich zur Abwechslung mal jemand in einem aus Datenschutzgründen sehr sensiblen Bereich von selbst um verschlüsselte Kommunikation bemüht.

Ein paar Bilder der heutigen Demonstration in Berlin gegen Überwachung. Leider sind einige davon überbelichtet, weil ich zunächst noch, ohne es zu merken, mit einer Nachteinstellung fotografiert habe.

Tatsächlich waren es wohl noch ein paar mehr Menschen als im Vorjahr (wenngleich die teilweise verbreiteten Zahlen wohl etwas übertrieben waren), was ich schon als ziemlichen Erfolg empfinde und mich auch überrascht hat. Im Gegensatz zu letztem Jahr sind wir diesmal auch in der 20 Uhr Tagesschau. Da hat sich wohl der ein oder andere Redakteur der Peinlichkeit, letztes Mal die Demo komplett ignoriert zu haben, erinnert (was ihnen sicher auch einige böse Mails einbrachte).

International lief wohl auch einiges, wobei ich bislang kaum Berichte gefunden habe, aber es wurde von mehreren tausend Menschen in Den Haag, sowie auch mittelgroßen Demonstrationen in Prag, Paris und an einigen Orten mehr, die ich jetzt vergessen habe, berichtet. Links mit Berichten und Bildern dürfen gerne in den Kommentaren gepostet werden.

In a few days, on 11th October, there will be an international day of action against the growing surveillance.

Starting with 2009, the data retention law will become duty for everyone, also for internet providers (eMail, Dialup). The german constitutional court still has a big complaint running. It's important to set a sign now.

The main demonstration will be in Berlin, 14:00 at the Alexanderplatz.

freedom-not-fear.eu

Seit August trudeln sie ein, die Mitteilungsschreiben vom Bundeszentralamt für Steuern, die uns unsere lebenslang gültige Steuernummer zuteilen.

Die Steuernummer ist im Vergleich zu Vorratsdatenspeicherung und Co. sicher nicht das schlimmste Überwachungsvorhaben, aber eines mit hoher Symbolkraft.

Die juristischen Details sind wohl etwas komplizierter, weshalb man als Privatmensch erstmal wenig Handlungsoptionen hat. Die Humanistische Union hat die wichtigsten Informationen zur Steuer-ID zusammengefasst und bietet auch ein vorgefertigtes Protestschreiben. Zumindest das habe ich heute abgeschickt. Darin beruft man sich auf eine Musterklage der HU, sollte diese erfolgreich sein, kann man sich später auf das Schreiben berufen.

Unter fachmännischer Anleitung durfte ich mir heute einen eigenen RFID Zapper basteln.

Video vom 22C3 (RFID-Zapper-Teil startet ab 19:00)

It's the second day on the GPN7 (a local hacker event from the Chaos Computer Club Karlsruhe / Entropia).

Yesterday evening I hacked together a map based on openstreetmap showing surveillance cameras:
http://osm-cctv.hboeck.de/

As a basis, we could use some data provided by the chaos computer club cologne. I'm working on an importer to get that into the openstreetmap database. Will probably happen within the next days.

All cameras tagged with man_made=surveillance in germany.osm are already imported into the overlay. I'll keep a wiki-page up-to-date at:
http://wiki.openstreetmap.org/index.php/User:Hanno/CCTV

Normalerweise versuche ich aus Datenschutzgründen, nach Möglichkeit mit Bargeld und nicht mit EC-Karte zu bezahlen. Gestern jedoch merkte ich erst im Laden, dass ich viel zu wenig Bargeld bei mir hatte. Also doch mit Karte.

Beim rausgehen warf ich ein Stück überflüssige Verpackung gleich in den Müll und wollte schon mit dem Kassenzettel ebenso verfahren, hielt jedoch kurz inne. Steht da was möglicherweise sensibles drauf? Geschaut, tatsächlich, BLZ, Kontonummer (kein Name, sonst wär's noch problematischer). Ich weiss nicht ob das üblich ist, werde aber in Zukunft darauf achten.

Welche möglicherweise spannenden Datensätze man generieren könnte, durch schlichtes Wühlen in den Papierkörben vor großen Geschäften, das überlasse ich der Phantasie meiner Leser.

Auf telepolis findet man heute einen lesenswerten Artikel zum Thema »Richtervorbehalt«. Aufgegriffen wird darin unter anderem ein Fall, über den gulli vor einiger Zeit schon berichtete, der aber sonst trotz seiner Brisanz kaum Medienpräsenz erhielt: Ein Mensch wurde mit einer Hausdurchsuchung bedacht, weil unter Angabe seiner eMail-Adresse Leistungen genutzt und nicht bezahlt wurden. Es lag nicht der geringste technische Hinweis vor, dass der Inhaber der Mailadresse auch tatsächlich der Schuldige sei. Trotzdem unterschrieb ein Richter den Hausdurchsuchungsbefehl, der Begriff »Rechtsbeugung«, den telepolis hier verwendet, ist wohl treffend.

Das Problem ist nun, dass man in solchen Fällen zwar eigentlich Recht hat, aber dies einem eigentlich nichts nützt. Denn weder der Richter, noch die durchführenden Organe haben in solchen Fällen irgendetwas zu befürchten (»Eine Krähe hackt der anderen kein Auge aus«). Ähnlich ja auch geschehen bei den Massenhausdurchsuchungen im Vorfeld des G8-Gipfels, die zwar anschließend für rechtswidrig erklärt wurden, was jedoch für niemanden Konsequenzen hatte.

Desweiteren macht der oben genannte Fall auf eine Problematik aufmerksam, die sich in Zukunft noch verschärfen dürfte (Stichwort »Urheberrechtsnovelle«): Ein Richter wird mit einem Fall betraut, der eigentlich eines gewissen technischen Sachverstandes bedarf, um überhaupt eine adäquate Einschätzung zu geben. Es ist vermutlich zu erwarten, dass die Sensibilität hierfür nicht gerade steigt, wenn es »nur« um den massenhaften Abruf von Verkehrsdaten beim Provider geht, der ja durch die kürzlich verabschiedete Urheberrechtsnovelle ermöglicht werden soll.

Bei der Debatte um die diversen Verschärfungen von Sicherheitsgesetzen wird der Richtervorbehalt oft genug als Allheilmittel gegen Mißbrauch angesehen - warum eigentlich?

Das Bundesverfassungsgericht hat zur Vorratsdatenspeicherung gesprochen. Leider alles andere als positiv. Was ich befürchtet habe, ist eingetreten, wie schon bei der Onlinedurchsuchung oder der Kennzeichenerfassung sprach das höchste Gericht einen faulen Formelkompromiss. Allerdings ist dieser noch deutlich fauler als die bisherigen.

Auch wenn der AK Vorrat selbst dies als Sieg verkaufen will, ich sehe das deutlich anders und versuche darzulegen wieso.

Kurz gesprochen lautet die Entscheidung: Gespeichert wird weiterhin, einzig der Abruf bleibt auf schwere Straftaten beschränkt. Eine endgültige Entscheidung gab es noch nicht, diese wird erstmal auf die lange Bank geschoben, insofern ist natürlich jede Einschätzung nicht endgültig und ich widerrufe alles hier gesagte, sollte das BVerfG. in absehbarer Zeit weiteres entscheiden.

Das Kern des Problems: Das BVerfG. sieht einen schwerwiegenden Grundrechtseingriff erst beim Abrufen der Daten, insofern beschränkt es diese auf schwere Verbrechen. So interpretiert etwa ein ARD-Rechtsexperte:

»Dass die Verbindungsdaten bis auf weiteres sechs Monate lang gespeichert - allerdings nicht ausgewertet - werden. Es sei denn, der Bürger gerät in Verdacht, eine schwere Straftat begangen zu haben. Dann muss ein Richter anordnen, dass die Verbindungsdaten den Ermittlern zugänglich gemacht werden.«

Das ist nun aber, gelinge gesagt, völliger Blödsinn. Es macht nur dann Sinn, wenn man davon ausgeht, dass ein Mißbrauch der Daten prinzipiell auszuschließen ist. Angesichts der Häufigkeit, in der gehackte Foren, größere Kundendaten von Unternehmen etc. immer mal wieder auftauchen, kann das nur glauben, wer die Realität vollkommen ausblendet.

Genau aus diesem Grund spricht man bei sinnvollem Datenschutz vom Konzept der Datensparsamkeit: Daten, die nicht erhoben werden, können auch nicht mißbraucht werden. Wenn sensible Daten erhoben werden, werden sie genutzt, mit hoher Warscheinlichkeit auch außerhalb ihrer ursprünglichen Zweckbestimmung. Dass das BVerfG. den Grundsatz der Datensparsamkeit mit seiner Entscheidung offensichtlich nicht beachtet, das ist das traurige an der heutigen Entscheidung.

Für die »Datenschutzbewegung«, den AK Vorrat und andere, stellt sich hier natürlich eine nicht unkritische Strategiefrage. Bislang galt das BVerfG. immer als letzte Hoffnung für den Datenschutz (was ja in mehreren Fällen der Vergangenheit durchaus berechtigt war). Meiner Ansicht nach täte nach dieser Entscheidung eine kritischere Haltung dem höchsten Gericht gegenüber Not. Das dies nicht einfach ist, als gesellschaftlich zwar wachsende aber immer noch schwache Strömung, die die große Mehrheit beider Volksparteien gegen sich hat, versteht sich.

(Hier stand noch ein Satz mit Link zu dieser Meldung, wo ich aber zugegebenermaßen unsauber recherchiert habe: Die Meldung ist zwei Jahre alt und wurde längst dementiert.)

Update: Bei den Piraten sieht man das Urteil ähnlich kritisch, lesenswert.

Unter dem Motto Für ein Morgen in Freiheit gingen gestern circa 2000 Menschen für Datenschutz und gegen Überwachung in Köln auf die Straße.

Ich könnte nun über die übliche Promifixierung rumnörgeln (ein »Ordner« wies mich an, ich solle doch bitte nicht vor den Promis laufen, damit die Presse die besser ablichten kann), die Tatsache, dass Volker Beck zwar die Doppelzüngigkeit der FDP anprangerte (deren Innenminister in NRW für das kürzlich gekippte Gesetz verantwortlich war, was ich bislang auch nicht wusste), aber wohl die Historie rot-grüner Bürgerrechtspolitik vergaß (Biometriepass, Anti-Terror-Pakete). Aber das nur am Rande.

Erwähnenswert scheint mir noch, dass eine Gruppierung, die sich Anti-Genozid-Bewegung nennt, dort massiv aufschlug (Link erscheint mir der Nachvollziehbarkeit halber notwendig, auch wenn mir bewußt ist, dass ich deren PR dadurch erhöhe). Ich zitiere einfach mal eines ihrer in großer Anzahl vorhandenen Pamphlete:
Seit 2000 Jahren weiß alle Welt, dass es jedem Menschen, der an den Gott der Bibel glaubt, strikt untersagt ist, irgendein Kontrollsystem, ein Charagma oder ein Erkennungs-Merkmal an seinem Leib anzunehmen, weder in Form einer sicht- oder unsichtbaren Tätowierung, noch eines unter die Haut gestochenen Chips. Wider dieses Wissen wird dennoch zielstrebig an der Entwicklung eines RFID-Chip (Radio Frequenz Identifikation) bzw. RFID-Tintendrucks gearbeitet, der in absehbarer Zeit als Kontrollorgan auf den Körper bzw. auf die rechte Hand oder Stirn aller Erdenbürger angebracht werden soll.(1) Allen Protesten zum Trotz zeichnet sich klar ab, dass vor allem christlich Denkende schon im Vorfeld mit brachialer Gewalt öffentlich niedergemacht, als Rebellen, als Verschwörungstheoretiker oder Fundamentalisten gebrandmarkt und diskriminiert werden.(2) Ist es statthaft, im Zeitalter der Anti-Diskriminierungsgesetze, eine Gleichschaltung aller Erdbewohner mit Mitteln voranzutreiben, die die Glaubensfreiheit kreuzigen und voraussehbar zu Ausgrenzungen und Sanktionen auf allen Ebenen des Menschseins führen? Soll ein unausweichlicher Holocaust an Bibelgläubigen verhindert werden, müssen Gesellschaft und Politik rechtzeitig jede weitere Entwicklung des RFID- bzw. VeriChips oder Tintendrucks etc. entsprechend unterbinden.(3) Jede rücksichtslose Weiterentwicklung wider besseres Wissen um diesen Tatbestand aber muss dringend als potentiell terroristische Zurüstung und Zeugung eines vorsätzlichen Genozids erkannt und behandelt werden.
So weit, so durchgeknallt. Ich denke im Detail darauf einzugehen lohnt kaum, sämtliche Texte strotzen vor inhaltlichen Fehlern und grammatikalischen Unzulänglichkeiten (zumindest fand ich bisher Tindendruck eher wenig bedrohlich).

Selbige Gruppe tauchte übrigens schon auf der Demo am 6.11.2007 in Stuttgart, allerdings waren die dort irrelevant (1-2 flyerverteilende Menschen) und erschienen mir nicht weiter beachtenswert. Im Unterschied dazu tauchte selbige Gruppierung gestern massiv (geschätzt mehrere hundert Menschen, also durchaus ein relevanter Anteil der Demo) auf. Erschreckend, dass eine Gruppierung, die derart offensichtlich durchgeknallt ist, derartige Mobilisierungskraft entfaltet. Der durch Religiosität mobilisierbare Wahn kann einen jedesmal erneut erschrecken.

Spontan erfuhr man gestern, dass die gesamte Prominenz der Berliner Politik (das komplette Bundeskabinett) sich in Karlsruhe im Verfassungsgericht aufhält. Angesichts der Mobilisierungsdauer (eMail der Form »kommt alle JETZT SOFORT«) waren wir immerhin doch zu viert.

Bilder inklusive denen vom Dienstag und Kurzvideo.

Update: nh24.de hat ein Video.

Da ich dies mit anderen Angelegenheiten verbinden konnte, nahm ich heute an der Aktion gegen die Vorratsdatenspeicherung in Stuttgart teil. Die Organisation war etwas chaotisch, aber alles in allem doch ne nette Aktion. Etwas ärgerlich: Ich sagte einem Menschen von DPA 180 Menschen, was ich gerade tatsächlich gezählt hatte, am Ende waren's dann aber wohl doch noch ein gutes Stück mehr.

Da sich sonst niemand fand, erklärte ich mich gestern noch spontan zu einem Redebeitrag bereit. Text gibt's unten. Falls ihn jemand für andere Anlässe raubkopieren will, feel free.

Presseschau:
SWR: Stuttgart/Ulm Demonstrationen gegen Datenspeicherung (die haben die 180 prompt zitiert)