linksunten Archiv

"Für die meisten Gelegenheiten stellt TOR den besten verfügbaren Schutz vor einem gutausgerüsteten Angreifer dar. Es ist jedoch ungeklärt, wie stark TOR (oder irgendein anderes existierendes anonymes Kommunikationswerkzeug) Schutz vor der flächendeckenden Überwachung der NSA bietet."[1]

Wie sicher sind Anonymisierungsdienste, was ist Verschlüsselung noch wert und wie allmächtig ist die NSA. Die Enthüllung der faschistoiden Überwachungspraktiken als kapitalistischem Normalzustand durch den Ex-NSA/CIA-Agenten Edward Snowden haben eine Menge Annahmen und Konzeptionen über Privatsphäre, Anonymität und Sicherheit im Internet ins Wanken gebracht, bzw. sogar zerstört.[2]
Und mittlerweile kann wohl davon ausgegangen werden, dass jede nicht verschlüsselte Mail und unser gesamter nicht über spezielle Proxserver geleiteter Internetverkehr für die Repressionsbehörden zumindest potentiell einsehbar ist. Doch wie sieht es mit den Technologien aus, die uns genau vor einem solchen Szenario bewahren sollten?
Die Zerschlagung des TOR-Webhosters "Freedom Hosting" und die Festnahme des mutmasslichen "Silk Road"-Betreibers haben gezeigt, dass auch das von vielen als sicher geglaubte TOR-Netzwerk keine hundertprozentige Anonymität bieten kann.
Abgesehen von einzelnen, die das schon immer gewusst haben wollten, war die weite Mehrheit der IT-Sicherheitsexperten von Ausmaß und Effektivität der Internetüberwachung durch die westlichen Spitzel- und Repressionsbehörden absolut überrascht und es stellt sich nicht nur für Aktivisten die Frage, wie mit der neuen Sachlage umgegangen werden muss.[3] Am Anfang einer solchen Bewertung, die wir hier jedoch niemanden abnehmen können oder wollen, sollte eine Bestandsaufnahme dessen stehen, was von der Flut an Informationen überhaupt als gesichert anzunehmen ist.

Die unseres Erachtens aktuellsten, seriösesten und anschaulichsten Informationen hierzu bietet die britische Zeitung The Guardian, wo der mit Snowden kooperierende Enthüllungsjournalist Glenn Greenwald regelmäßig über Sicherheit und Freiheit schreibt. Weitere sehr empfehlenswerte und vergleichsweise allgemein verständliche Quellen sind das TOR-Blog selbst, wo der Hauptentwickler Roger Dingledine (unter dem Pseudonym "arma") schreibt und die Webseite von Bruce Schneier, der ein Mitglied der US-amerikanischen Privatsphäreorrganisation Electronic Frontier Foundation ist.

Wir fanden im Hinblick auf die Enthüllungen über TOR und Verschlüsselung zwei Artikel besonders gut als Startpunkt geeignet (und bis jetzt leider ohne qualitative und deutschsprachige Entsprechung), weshalb wir sie hier so gut wie möglich übersetzt haben. Wir haben sie allerdings etwas verschlankt und mit ergänzenden Links versehen. Wer Englisch spricht, sollte sich unbedingt das jeweilige Original anschauen.

Der erste Artikel mit dem Titel "NSA and GCHQ target Tor network that protects anonymity of web users" ist vom oben erwähnten Glenn Greenwald, während der auch von den TOR-Entwicklern empfohlene zweite Artikel "How to Remain Secure Against the NSA" von Bruce Schneier stammt.

Artikel 1: Benutzer des TOR-Netzwerkes im Visier von NSA und GCHQ
(NSA and GCHQ target Tor network that protects anonymity of web users) gekürzt/frei nach/von Glenn Greenwald (4.10.2013)

Die NSA hat wiederholt versucht, Angriffsmethoden zu entwickeln, mit denen die Nutzer des TOR-Anonymisierungsnetzwerkes getroffen werden können [...]. Geheime Dokumente haben enthüllt, dass die derzeitigen Erfolge der NSA auf dem Identifizieren von Anwendern und dem anschließenden Angreifen von Schwachstellen in deren Software beruhen. Eine Methode zielte auf die TOR-Variante des Firefox-Browsers, wobei die NSA volle Kontrolle über den Zielcomputer erlangte, inklusive des Zugriffs auf alle Dateien, Speicherung der Tastenschläge und die Onlineaktivität.[4]

Die bekanntgewordenen Dokumente deuten jedoch auch darauf hin, dass die grundsätzliche Arbeitsweise von TOR nicht kompromittiert ist. Eine interne NSA-Präsentationsfolie trägt dann auch die Überschrift "TOR stinkt". Weiter ist dort aufgeführt, dass man "mit manueller Analyse in der Lage ist, eine sehr kleine Anzahl von TOR-Nutzern zu identifizieren", aber dass die Behörde "keinen Erfolg dabei hatte, einen Nutzer mittels einer spezifischen Anfrage zu de-anonymisieren."

Eine weitere Folie bezeichnet TOR als "den König hoch-sicherer Internetanonymität mit geringer Latenz".

[...]

Privatsphäre- und Menschenrechtsgruppen sind nach den Enthüllungen im Guardian, der New York Times und ProPublica, welche die großangelegten Bemühungen beim Einbauen von Schwachstellen in Sicherheitssoftware durch die NSA thematisieren, jedoch besorgt über die Sicherheit des TOR-Netzwerkes. Ein Bericht der brasilianischen Zeitung Globo enthält ebenfalls Hinweise, dass die Spitzelbehörde über entsprechende Fähigkeiten verfügt.

Doch auch wenn es so aussieht, als wenn die NSA die TOR-Software selbst nicht hat kompromittieren können, enthalten Dokumente Details über theoretische Angriffskonzepte, von denen mehrere auf einer großflächigen Überwachung des Internets beruhen, wie sie durch das Anzapfen der Internetkabel durch die NSA und das britische GCHQ gegeben ist.

Einer dieser Angriffe basiert auf dem Versuch, identische Muster bei den ein und aus dem Netzwerk gehenden Signalen zu entdecken, wobei der Anwender de-anonymisiert werden kann. Es handelt sich hierbei um eine bereits relativ lange diskutierte theoretische Schwäche des Netzwerkes: Dass ein großer Teil des Datenverkehrs identifiziert werden könnte, wenn eine Behörde nur eine genügend große Anzahl von TOR-Exitnoden kontrollieren würde.

Das in dem Dokument beschriebene theoretische Angriffskonzept wäre dabei einerseits abhängig von der umfassenden Überwachung des Datenverkehrs und andererseits von einer Anzahl von der NSA selbst betriebener TOR-Knotenpunkte (eng. Nodes). Auf einer anderen NSA-Präsentationsfolie steht jedoch, dass der Erfolg dieser Methode "vernachlässigbar" sei, da die NSA "nur zu wenigen Knotenpunkten Zugang habe", und dass "es schwierig sei, die Daten sinnvoll mit passiver Sigint zu verbinden."[5]

Andere von den Behörden genutzte Methoden sind der Versuch, Datenanfragen auf von der NSA betriebene Server umzuleiten oder andere Software auf dem Rechner der Zielperson anzugreifen.[6] Eine Folie mit dem Titel "TOR: Übersicht über verschiedene Techniken" verweist außerdem auf Versuche, in Kooperation mit dem GCHQ, die weitere Entwicklung von TOR zu beeinflussen.

Eine weitere Methode, um Nutzer zu identifizieren ist das Messen der Zeitpunkte, an denen eine Nachricht in das TOR-Netzwerk geht und wann sie hinausgeht (Korrelationsangriff). Eine andere Methode ist das Schwächen oder Lähmen der Knotenpunkte (z.B. DDoS-Attacke, Botnetz??) des Netzwerkes, um Benutzer dazu zu bringen, ihre Anonymität zu verlassen.

[...]

Viele Angriffe führen auch dazu, dass Schadsoftware auf den Computern von TOR-Nutzern, die bestimmte Webseiten besuchen, installiert wird. Die Behauptung der Behörden ist hier stets, dass sie Terroristen oder Schwerkriminelle treffen wollen, doch es kann natürlich auch immer Journalisten, Forscher oder zufällig und unfreiwillig dort hingelinkte Besucher treffen.

[...]

Eine Methode, welche die NSA entwickelt hat, um TOR-Nutzer durch verwundbare Software auf ihrem Rechner zu enttarnen, trägt den Namen "EgotisticalGiraffe". Es geht dabei um das Ausnutzen einer Schwachstelle im Tor Browser Bundle, einer Gruppe von Programmen, die es Anwendern leichter machen sollen, TOR zu installieren. Eines dieser Programme ist eine TOR-Variante des Firefox-Browsers.

Diese Technik, welche in einer streng geheimen Präsentation mit dem Titel "Die Schichten von TOR mit EgotisticalGiraffe abziehen" beschrieben wurde, identifizierte die Besucher von Webseiten, welche den Anonymisierungsdienst nutzten, und attackierte auch nur diese, unter Ausnutzung einer Schwachstelle in einer alten Firefox-Version. Bei diesem Ansatz wird TOR also nicht direkt attackiert. Es geht eher darum die TOR-Nutzer zu identifizieren und dann ihre Browser zu infizieren.

Anhand der Dokumente von Edward Snowden ist bekannt, dass diese spezielle Firefox-Schwachstelle von dem Browserentwickler Mozilla ab der Firefox-Version 17 vom November 2012 behoben wurde. Zum Zeitpunkt als die NSA-Folie geschrieben wurde (Januar 2013), war es der NSA noch nicht gelungen, diese Hintertür wieder zu öffnen.

Alle TOR-Nutzer, die ihre Software nicht regelmäßig mit Updates auf den neuesten Stand gebracht hatten, waren jedoch noch angreifbar.

Eine ähnliche, wenn auch weniger komplexe Ausnutzung einer Schwachstelle im Firefox-Browser wurde von Sicherheitsexperten im Juli 2013 bekannt gemacht. Details dieses Angriffs, die Vorgehensweise und zu welchen Servern die bei den Opfern gestohlenen Daten gesendet wurden, führten zu Spekulationen, dass er vom FBI oder einer anderen US-Behörde ausging.[7]

Zum damaligen Zeitpunkt gab das FBI keinen Kommentar ab, ob es hinter der Attacke stecken würde, doch später während einer Anhörung vor einem irischen Gericht gab die Behörde zu, die Schadsoftware betrieben zu haben, um einen mutmaßlichen Hoster (d.h. Freedom Hosting) von u.a. Kinderpornographie zu enttarnen. Durch die Attacke wurden jedoch viele nicht in Verbindung stehende Seiten und deren Nutzer betroffen.[8]

Roger Dingledine, der Präsident des TOR-Projekts, sagte dazu, dass die Anstrengungen der NSA zeigten, dass TOR alleine keinen ausreichenden Schutz vor der De-Anonymisierung durch Geheimdienste bieten könnte. Die Ereignisse würden aber auch zeigen, dass TOR eine große Hilfe sei, um Massenüberwachung zu bekämpfen.

"Die gute Nachricht ist, dass sie eine Browserschwachstelle nutzten, was bedeutet, dass nicht erkennbar ist, dass sie das TOR-Protokoll brechen können oder eine Datenanalyse des TOR-Datenverkehrs möglich ist," sagte Dingledine. "Es ist immer noch das einfachste, den Laptop, das Telefon, oder den Rechner zu infizieren, um mehr über die Person hinter dem Keyboard herauszukriegen."

"TOR hilft hier immer noch: Du kannst Einzelpersonen über Browserschwachstellen attackieren, aber wenn du zu viele Nutzer angreifst, wird es jemand merken. Also selbst, wenn die NSA darauf abzielt, jeden überall zu überwachen, so muss sie immer noch viel genauer überlegen, welche TOR-Nutzer sie auswählt."

Er fügte jedoch weiter hinzu: "Einfach nur TOR zu benutzen ist nicht genug, um jemanden in allen Situationen sicher zu halten. Browser-Schwachstellen, Massenüberwachung und allgemeine Anwendersicherheit sind Herausforderungen für den durchschnittlichen Internetsurfer. Diese Angriffe machen klar, dass wir, die gesamte Internetcommunity, an besserer Sicherheit für Browser und andere Internetanwendungen arbeiten müssen."

[...]

 

Artikel 2: Wie man sicher vor der NSA bleibt
(How to Remain Secure Against the NSA / auf Linksunten) frei nach/von Bruce Schneiers (15.9.2013)

Jetzt, wo wir genug Details über die Abhörmaßnahmen der NSA haben, die heutigen Enthüllungen über das bewusste Schwächen von kryptographischen Systemen eingeschlossen, ist es an der Zeit, zu überlegen, wie wir uns schützen können.

Die letzten zwei Wochen habe ich mit dem Guardian an Geschichten über die NSA zusammengearbeitet und ich habe hunderte von streng geheimen NSA-Dokumenten gelesen, die der NSA-Enthüller Edward Snowden zur Verfügung gestellt hatte. Ich war nicht an der heutigen Story beteiligt - sie begann lange, bevor ich beteiligt wurde - aber alles was ich lese bestätigt, was der Guardian schreibt.

Ich habe jetzt das Gefühl, dass ich einige Hinweise geben kann, wie man sich gegen einen solchen Feind schützen kann.

Die Hauptmethode der NSA beim Abhören des Internetdatenverkehrs geht über das Netzwerk. Hier kann sie ihre Fähigkeiten am besten zum Einsatz bringen. Die Behörde setzt auf enorme Programme, die Datenverkehr sammeln und analysieren können. Alles, was dagegen notwendig ist, um individuelle Computer von Einzelpersonen anzugreifen ist kostenintensiver und risikoreicher für die NSA, weshalb individuelle Angriffe selten und auf sorgfältig ausgewählte Ziele durchgeführt werden.

Unter Ausnutzung ihrer Geheimabkommen mit den Telekommunikationsunternehmen in den USA und Grobritannien, und vielen anderen "Partnern" weltweit, erhält die NSA Zugang zu den Knotenpunkten, an denen der Datenverkehr des Internets gebündelt wird. Wo der Zugriff nicht so einfach gewährt wird, tut die NSA ihr bestes, um die Kommunikationskanäle zu überwachen: durch das Anzapfen der Unterseekabel, das Abfangen der Satellitenkommunikation, und so weiter ...

Es handelt sich hierbei um riesige Datenmengen, doch die NSA hat entsprechend starke Fähigkeiten, diese auf interessanten Datenverkehr hin schnell zu durchsurchen. "Interessant" kann auf verschiedene Arten bestimmt sein: aufgrund der Quelle, des Ziels, des Inhalts, der beteiligten Personen, und so weiter. Diese Daten werden anschließend in das große Datensystem der NSA eingeleitet, wo sie weiter analysiert werden können.[9]

Die NSA sammelt mehrheitlich Metadaten des Datenverkehrs: wer spricht mit wem, wann, wie oft und mittels welcher Kommunikationsmethoden. Metadaten sind wesentlich einfacher zu speichern und zu analysieren als Inhalte. Metadaten können dabei sehr persönlich sein und sind enorm wichtige Informationen für die Geheimdienste.

Verantwortlich für die verblüffend ressourcenintensive Datengewinnung ist das Systems (Signals?) Intelligence Directorate. Ich habe einen Statusbericht nach dem anderen über diese Programme gelesen. Darin werden Fähigkeiten diskutiert, operative Details, geplante Upgrades und so weiter. Jedes individuelle Problem - die Gewinnung elektronischer Signale aus Glasfaserkabeln, das Schritthalten mit den Terabyte-großen Datenströmen, während sie entstehen, das Herausfiltern der interessanten Sachen - hat eine eigene Arbeitsgruppe, die sich mit seiner Lösung beschäftigt. Das Ausmaß ist global.

Die NSA attackiert auch direkt die Netzwerkgeräte: Router, Switches, Firewalls, usw. Die meisten dieser Geräte haben herstellerseitig bereits Überwachungskapazitäten eingebaut und der Trick ist nur, sie heimlich anzuschalten. Es handelt sich hier um eine besonders vielversprechende Methode; Router werden viel seltener mit Updates versehen oder durch Sicherheitssoftware geschützt, und sind eine allgemein ignorierte Schwachstelle.

Die NSA wendet bei speziellem Interesse außerdem beträchtliche Ressourcen für das Angreifen von individuellen Computern auf. Diese Angriffe werden von der "Tailored Access Operations"-Gruppe (TAO) durchgeführt.[10] Die TAO kennt eine Anzahl von Schwachstellen, über die sie gegen eure Computer vorgehen kann - völlig egal, ob ihr Windows, Mac OS, Linux, iOS oder irgendetwas anderes benutzt.[11] Eure Anti-Virenprogramme werden nicht anschlagen und ihr hättet Probleme, diese Schwachstellen zu entdecken, selbst wenn ihr wüsstet, wonach ihr suchen müsst. Die NSA nutzt Hackertools, welche von Hackern entwickelt wurden und das mit einem im Grunde unbegrenzten Budget. Was ich vom Lesen der Snowdendokumente mitbekommen habe ist, dass wenn die NSA in eure Computer will, dann schafft sie das. Punkt.

Wenn die NSA auf verschlüsselte Daten trifft, versucht sie eher die zugrundeliegende Kryptographie zu unterminieren, als die "Hebelwirkung" nur ihr bekannter geheimer mathematischer Durchbrüche auszunutzen.[12] Dazu kommt, dass eine Menge schlechter Verschlüsselungssysteme da draußen sind. Wenn die NSA z.B. eine mit MS-CHAP verschlüsselte Verbindung findet, kann sie die Verschlüsselung leicht brechen und den Schlüssel finden. Die Behörde nutzt schlecht gewählte Benutzerpasswörter aus, in dem sie die gleichen Wörterbuchattacken durchführt, die Hacker auch sonst durchführen.

Wie heute enthüllt wurde, arbeitet die NSA auch mit IT-Sicherheitsfirmen zusammen, um sicherzustellen, dass kommerzielle Produkte heimlich mit Hintertüren versehen werden, die dann nur der NSA bekannt sind. Wir wissen, dass das bereits früher passierte. CryptoAG und Lotus Notes sind die bekanntesten Beispiele, aber es gibt auch Beweise, dass Windows eine Hintertür eingebaut hat. Einige Leute haben mir über ihre Erfahrungen berichtet und ich habe vor, bald darüber zu schreiben. Einfach gesagt funktioniert es so; die NSA bittet die Unternehmen, ihre Softwareprodukte unauffällig zu ändern, so dass es nicht bemerkbar ist: so arbeitet der Zufallszahlengenerator plötzlich weniger zufällig, irgendwie wird der Schlüssel bekannt, ein gemeinsamer Exponent wird zu einem "Public Key"-Austauschprotokoll hinzugefügt, usw. Wird die Hintertür entdeckt, wird das ganze als Fehler abgetan. Doch wie wir wissen, hatte die NSA enormen Erfolg mit dieser Methode.

Die TAO hackt sich auch in Computer, um Langzeitschlüssel zu finden. Falls ihr z.B. einen VPN-Client benutzt, bei dem eure Daten durch ein gemeinsames kompexes Geheimnis geschützt sind, und die NSA interessiert sich für euch, wird sie versuchen, dieses Geheimnis zu stehlen.[13] Diese Art Angriff wird jedoch nur gegen sehr wichtige Ziele genutzt.

Wie kann man seine Kommunikation nun sicher gegen einen solchen Gegner machen? Snowden gab die Antwort darauf während einer Onlinefragestunde, kurz nachdem er die ersten Dokumente enthüllt hatte.
"Veschlüsselung funktioniert. Richtig implementierte, starke Kryptosysteme sind eines der wenigen Dinge, auf die man sich verlassen kann."

Ich glaube, dies ist trotz der heutigen Enthüllungen und quälenden Hinweisen auf "bahnbrechende kryptoanalytische Fähigkeiten" durch Geheimdienst-General James Clapper in einem anderen Dokument zutreffend. Die besagten Fähigkeiten beziehen sich auf das oben angesprochene bewusste Schwächen der Kryptographie.

Snowdens nachfolgende Aussage ist gleichsam bedeutend: "Unglücklicherweise ist die Sicherheit am Endpunkt so erschreckend schwach, dass die NSA regelmäßig Wege darum herum findet."

Der Endpunkt bezeichnet die Software, die ihr benutzt, den Computer, auf dem ihr sie benutzt und das lokale Netzwerk, in dem ihr das tut. Wenn die NSA den Verschlüsselungsalgorithmus verändern kann oder einen Trojaner auf eurem Rechner installiert, ist die beste Kryptographie nichts mehr wert. Wenn ihr sicher vor der NSA sein wollt, müsst ihr euer Bestes geben, damit die Verschlüsselungsprogramme auf eurem Rechner unbeeinflusst arbeiten können.

Im Hinblick auf all dieses, habe ich fünf Ratschläge:

Versteckt euch im Netzwerk. Benutzt versteckte Dienste. Benutzt TOR für eure Anonymität. Ja, die NSA versucht TOR-Nutzer zu identifzieren, aber es bedeutet Arbeit für sie. Je weniger offensichtlich ihr agiert, desto sicherer seid ihr.

Verschlüsselt eure Kommunikation. Benutzt TLS (d.h. https/SSL). Benutzt IPSec. Nochmals: Obwohl es stimmt, dass die NSA-Überwachung auf verschlüsselte Verbindungen abzielt - und sie vielleicht auch Kenntnis über spezifische Schwachstellen in diesen Protokollen hat - ihr seid so viel besser geschützt, als wenn ihr offen kommuniziert.

Geht immer davon aus, dass euer Rechner von der NSA kompromittiert werden kann, aber dies aufgrund des Aufwandes und des Risikos vermutlich nicht der Fall ist. Wenn ihr etwas wirklich wichtiges habt, nutzt ein "Luftloch". Seit ich angefangen habe mit den Snowdendokumenten zu arbeiten habe ich einen neuen PC gekauft, der niemals Zugang zum Internet hatte. Wenn ich eine Datei versenden will, verschlüssele ich sie auf dem sicheren Computer und laufe dann mit einem USB-Stick zu meinem internetfähigen Rechner. Will ich etwas entschlüsseln, drehe ich diese Prozess um. Das ist nicht todsicher, aber es ist ziemlich gut.

Seid vorsichtig mit kommerzieller Verschlüsselungssoftware, besonders von großen Anbietern. Meine Vermutung ist, dass die meisten Verschlüsselungsprograme von großen US-Firmen NSA-freundliche Hintertüren haben und ebenso wohl viele ausländische. Es ist ratsam, davon auszugehen, dass ausländische Produkte Hintertüren ausländischer Geheimdienste haben. Software, deren Quellcode nicht offen zugänglich ist, kann leichter von der NSA mit Hintertüren versehen werden, als Opensource-Software. Systeme, die auf ein Masterpasswort/-geheimnis vertrauen, sind anfällig für die NSA, entweder durch legale oder auch geheimdienstliche Methoden.

Versucht nur Public-domain Verschlüsselung zu benutzen, die mit anderen Anwendungen kompatibel sein muss. So ist es z.B. viel schwerer für die NSA, TLS mit einer Hintertür zu versehen, da die TLS-Komponente eines Anbieters mit allen TLS-Komponenten eines jeden anderen Anbieters kompatibel sein muss. BitLocker dagegen muss nur mit sich selbst kompatibel sein, was der NSA einen viel größeren Gestaltungsspielraum lässt. BitLocker ist zusätzlich proprietär, was bedeutet, dass die Chance der Entdeckung einer Hintertür viel geringer ist, als bei Opensource-Software. Symmetrische Kryptographie (z.B. AES, DES) ist asymmetrischer Kryptographie (z.B. RSA), die mit einem öffentlichen Schlüssel funktioniert, vorzuziehen.[14] Systeme, die mit konventionellen diskreten Logarithmen arbeiten, sind besser als elliptische Kurvenkryptographie. Letztere wird von der NSA beeinflusst, wann immer sie kann.

Seit ich begann, mit Snowdens Dokumenten zu arbeiten, habe ich GPG benutzt, Silent Circle, Tails, OTR, Truecrypt, BleachBit und einige andere Sachen, über die ich nicht schreiben werde. Es gibt auch noch ein undokumentiertes kommandozeilenbasiertes Verschlüsselungsfeature in meinem Password Safe Programm; das habe ich auch benutzt.

Mir ist klar, dass das meiste davon unmöglich ist für den typischen Internetnutzer. Nicht mal ich benutze all diese Tool für das meiste, an dem ich arbeite. Und ich arbeite auch noch hauptsächlich mit Windows. Linux wäre sicherer.

Die NSA hat die Substanz des Internets in eine gigantische Überwachungsplattform verwandelt, aber sie können nicht zaubern. Sie sind durch die gleichen ökonomischen Realitäten eingeengt wie der Rest von uns, und unsere beste Verteidigung ist, Überwachung so teuer wie möglich zu machen.

Vertraut der Mathematik. Verschlüsselung ist euer Freund. Benutzt sie richtig und gebt euer Bestes, damit sie nicht kompromittiert wird. So könnt ihr es schaffen, selbst im Angesicht der NSA, anonym zu bleiben.

Wie man sieht, sind die technischen Dimensionen des Themas sehr komplex und nicht einfach zu verstehen. Ein wirksamer Schutz erfordert daher leider, sich intensiver und immer wieder aufs Neue mit den technischen Grundlagen zu beschäftigen. Es wird nicht ausreichen, einfach nur passiv die empfohlenen Programme zu benutzen, ohne wirklich zu verstehen, wie sie arbeiten und wogegen, bzw. wann sie helfen. Im schlimmsten Fall gefährdet man sich bei ihrer Benutzung durch ein falsches Sicherheitsgefühl sogar noch mehr als ohne sie. Das heißt nicht, dass man Anonymisierungs- und Privatsphäresoftware nicht benutzen soll - im Gegenteil, doch jeder sollte sich vor ihrer Verwendung zumindest so weit mit der Materie auseinandersetzen, dass die eigenen Fähigkeiten realistisch eingeschätzt werden können.

Und auch wenn es jetzt nicht so klingt, es liegt uns fern, Paranoia zu schüren. Wir selbst nutzen TOR weiterhin und vertrauen auf die Worte von Snowden und anderen, dass Verschlüsselung funktioniert. Für wie lange und unter welchen Umständen, ist jedoch eine andere Frage, die halbwegs seriös immer nur für den Moment beantwortet werden kann. So kann schon ein 24 Stunden zu spät installiertes Sicherheitsupdate darüber entscheiden, ob eure IP-Adresse auf einem NSA-Rechner landet oder nicht. Wir können euch daher nur raten, euch regelmäßig mit den technischen Grundlagen sowie der Entwicklung von Kryptographie und Anonymisierungssoftware zu beschäftigen. Und ja, das ist oft langweilig, anstrengend und zeitraubend, aber alles andere heißt mit dem Feuer zu spielen und sich oder andere zu gefährden.

Die jüngsten Nachrichten sind jedoch nicht nur düster. Die TOR-Entwickler waren sogar ermutigt, von den nach ihrer Ansicht relativ einfachen und veralteten Angriffskonzepten der NSA gegen TOR.[15] TOR-Chefentwickler Roger Dingledine schrieb hierzu, dass "wir immer noch eine Menge Arbeit vor uns haben, um TOR sicher und benutzerfreundlich zu machen, aber wir haben keine neue Arbeit nach diesen Folien."[16]

Doch trotzdem sollte allen klar sein, dass die Büchse der Pandora geöffnet wurde und es kein Zurück mehr zu einem Zustand vor Prism gibt. Die Geheimdienste werden - Gesetz hin oder her - ihre Spielzeuge nicht mehr hergeben und jeder wird es mit Terrorismus, Verbrechen und den Aktivitäten der jeweils anderen begründen. Ebenso wird die technische Entwicklung der Überwachung weitergehen (z.B. Gebäudeüberwachung, Dronen) und es ist vielleicht angebracht auf gewisse liebgewonnene aber unsichere Anwendungen, Soft- und Hardware zu verzichten, anstatt mit dem doch beträchtlichen Risiko zu leben. Das wird gerade für die jüngere netz-begeistertere und stärker von Kommerz und Konsum geprägte Generation schwer werden, aber es ist letztlich unsere einzige Chance, einem immer totaleren Zugriff der herrschenden Eliten auf unsere intimsten Daten und Lebensgewohnheiten zu entgehen.

Das bei der Einfachheit des Abhörens und Infizierens eurer Rechner, Smartphones, Handys, etc. also ein wenig Technikskepsis und -zurückhaltung keine schlechte Idee ist, sieht man dann auch daran, dass die Profis des russischen Geheimdienstes FSO sofort nach Bekanntwerden des Ausmaßes der NSA-Überwachung durch Snowden ein dutzend Schreibmaschinen anschafften.

Passt auf euch auf.

[1] TOR-Blog-Mitteilung vom 21.09.2013
[2] Nur mal als Denkanstoß hierzu: Die Gestapo hatte die Autorität, in Fällen von Verrat, Spionage, Sabotage und kriminellen Attacken auf die Nazipartei und Deutschland zu ermitteln. Die gesetzliche Grundlage der Gestapo von 1936 gab ihr einen Blankoscheck, um ohne gerichtliche Kontrolle zu operieren, was sie praktisch über das Gesetz stellte. Die Gestapo war extra von der Verantwortung vor Verwaltungsgerichten ausgenommen, wo Bürger normalerweise den Staat verklagen konnten, sich an die Gesetze zu halten. Bereits 1935 hatte ein Preußisches Verwaltungsgericht geurteilt, dass die Handlungen der Gestapo nicht Gegenstand gerichtlicher Kontrolle wären. SS-Offizier Werner Best, zeitweise Vorsitzender der juristischen Abteilung der Gestapo, fasste diese Politik so zusammen: "So lange die Polizei den Willen der Führung ausübt, agiert sie legal."
[3] Auch wenn im Fokus der Öffentlichkeit zur Zeit die NSA und ihre Partnerdienste des "Five eyes"-Netzwerkes stehen, mischen der französische Auslandsgeheimdienst (DGSE) und der deutsche BND als treuer Lakai des US-Imperialismus genauso mit, wobei die letzteren beiden anscheinend über wesentlich geringere technische Kapazitäten verfügen. Weitere freiheitsbedrohende Datenkraken sind z.B. der russische FSB (System SORM) oder die zionistische Einheit 8200, deren jetzige und ehemalige Mitglieder (z.B. Kobi Alexander) in dubiosen IT-Unternehmen wie Verint (Abhörzentrale für Vericom) oder Narus (Abhörzentrale für AT&T) eine heimliche Schlüsselrolle bei der Spionageaffäre einnehmen.
[...] Textauslassungen
[4] Wir glauben, dass Greenwald hier mehrere aufeinander folgende Arbeitsschritte vermengt.
[5] Passiv Sigint: Kurz für passiv signal intelligence. Hier sinngemäß durch Abhören/Anzapfen gewonnene Daten.
[6] Siehe Bild 2. Liste auch hier. Weitere NSA-Adressen.
[7] Diskussion über die wahrscheinlich benutzte Schadsoftware CIPAV des FBI/SAIC/NSA
[8] Beim Angriff auf "Freedom Hosting" als "Kollateralschaden" im Kampf gegen Kinderpronographie betroffene TOR-Hidden Services (siehe "Anhang")
[9] ältere und sicher unvollständige Liste von NSA-Suchbegriffen (siehe "Anhang")
[10] tailored access: hier sinngemäß etwa maßgeschneiderter Zugriff
[11] Auch Linux-User sollten sich nicht all zu sicher fühlen
[12] Hebelwirkung / (im Original: Leverage): Bezeichnet hier das Ausnutzen einer der Allgemeinheit unbekannten mathematischen Schwäche in der Verschlüsselung - sei sie grundsätzlich vorhanden oder heimlich eingebaut. So gilt z.B. eine AES-128Bit-Verschlüsselung auf absehbare Zeit (über etwa hundert Jahre) als sicher, da eine Bruteforce-Attacke auf euer Passwort - d.h. alle möglichen Kombinationen werden mit einem Hochleistungsrechner durchprobiert - zum jetzigen Zeitpunkt (d.h. Pre-Quantentechnik) nur bis zu einer etwa 80 Bit-Verschlüsselung noch halbwegs pragmatisch und erfolgversprechend ist. Wenn ihr jedoch zum Verschlüsseln ein von der NSA kompromittieres Verschlüsselungsprogramm (z.B. BitLocker) benutzt habt, kann es sein, dass beim Verschlüsselungsvorgang heimlich eine mathematische Gesetzmäßigkeit eingeschleust wurde, die aus einer AES-128 Verschlüsselung eine effektive AES-75 macht. Und die könnte man dann durch Bruteforce knacken.
[13] Bsp.: Spähangriff auf Belgacom: Operation „Sozialist“
[14] Asymmetrische Systeme beruhen auf dem Konzept, dass der künftige Mail-Adressat einen von seinem privaten Schlüssel verschiedenen öffentlichen Schlüssel vorher an den Absender einer verschlüsselten Nachricht versendet; z.B. bei PGP
[15] Tor Weekly News, 9.10.2013; Hier ist der Link zur entsprechenden Mailing-Liste
[16] Roger Dingledine bezieht sich hier auf die von Snowden geleakten NSA-Präsentationsfolien über TOR.

"Anhänge"

Einige Opensource-Softwareempfehlungen für Windowsnutzer

GPG, Programm zur asymmetrischen Verschlüsselung eurer Mails und Dateien, (siehe Hinweis unten)
gpg4usb, Programm zur asymmetrischen Verschlüsselung eurer Mails, Dateien, (siehe Hinweis unten)
Eraser 5er-Serie (alt, aber USB-fähig), 6er-Serie (neu), Löschprogramm. (Vorsicht bei Wiederherstellungspunkten / hiberfil.sys)
TAILs-CD, Linuxbetriebssystem mit Fokus auf Sicherheit. Funktioniert von einer CD
TOR, Anonymsierungsdienst
TrueCrypt, Programm zur Echtzeitverschlüsselung von ausgewählten Daten oder der kompletten Festplatte

P.S. GPG hat die unangenehme Angewohnheit, die Schlüssel - die praktisch einem Fingerabdruck gleichkommen - in einem Verzeichnis auf der Festplatte zu speichern, was in manchen Fällen unerwünscht sein kann. Das USB-fähige gpg4usb ist daher vorzuziehen, außer wenn es um das extrem wichtige Verifizieren von heruntergeladenen Dateien - speziell der gerade genannten Software - geht. gpg4usb kann dies leider nicht.

Einige empfehlenswerte Seiten

Themenseite des Guardian (engl.)
PRISM-Break, Seite mit Softwareprodukten, die Überwachung erschweren, Wiki
Blog der TOR-Entwickler (engl.)
Das offizielle Frage- und Antwortforum der TOR-Entwickler (engl.)
Cybererrorism - information gathering for the revolt, Dort gibt es auch das sehr gute Privacy Handbuch der German Privacy Foundation
Digitale Selbstverteidigung: Datenschutz und Verschlüsseln in Eigenregie

www.wired.com (engl.)
www.heise.de

zu [8] Nur einige (also keine Pädophilenseiten) beim Angriff auf "Freedom Hosting" mitbetroffenen Hidden Services auf TOR ... nochmal, die Seiten sind weg, bzw. verbrannt, also klickt da nicht drauf.

jdcbespbl5j7v44x.onion    La Veuve Noire
jhiwjjlqpyawmpjx.onion    TorMail
l2zukdb5b2favsfc.onion    Caravana Brasil
l4tay4mx3vyjdn4i.onion    Reckless Madness
lh2gj4qukxbsuwc2.onion    Tor University (#2nd)
lq3d44brvxaqcpxb.onion    Pirax Web DdoS
n2qxamb4ujm53cas.onion    Krzysztof Brejza
naot2jryja6iyrp5.onion    Neutering NOT Org
nemlq3kd36frgvzp.onion    Torkazywarka
ont6bv4bg7rtgaos.onion    Polska ukryta strona w sieci Tor
p43g3uyr4dhneura.onion    Nekro's Onion #Dwelling#
p7d2k2xiioailnuu.onion    IMGuru
pdjcu4js2y4azvzt.onion    TM Comm
pdjfyv7v3pn34w4f.onion    House of Anonymous
pibn3ueheubjxv2z.onion    Polska Ukryta Wiki
pw5odgnkkhsuslol.onion    The KMs Bird (GreenBin)
qdsuildbdofkrhe3.onion    Safety101
shxdhomhggy3bjrn.onion    Magic Mirror
wuakd3inzzy5iz4w.onion    Anon Image
xfq5l5p4g3eyrct7.onion    Onion Image Uploader
xnujexyz4hdqsbux.onion    Image Uploaded
xqz3u5drneuzhaeo.onion/    Freedom Hosting
xqz3u5drneuzhaeo.onion/users/badtornodes    Bad TOR nodes
xqz3u5drneuzhaeo.onion/users/boi/    PasteOnion
xqz3u5drneuzhaeo.onion/users/mysteryfile/     Mystery File a Day
xqz3u5drneuzhaeo.onion/users/qicpic/    QicPic
xsin4xbme24aatvk.onion    tards library
yc7be7ylkpb75rwn.onion    Sciclays Image Hosting
zitanihpqsvi2lav.onion    Sipulilauta

ausführlichere Liste (leider nur die URLs) aller ehemaligen "Freedom Hosting"-Webseiten hier auf Onii-Chan: 3fyb44wdhnd2ghhl.onion/ib/news.html#56 (TOR-Adresse)

zu [9] Liste der NSA zugeschriebener Suchbegriffe, ... Hi Keith

Waihopai, INFOSEC, Information Security, Information Warfare, IW, IS, Priavacy, Information Terrorism, Terrorism Defensive Information, Defense Information Warfare, Offensive Information, Offensive Information Warfare, National Information Infrastructure, InfoSec, Reno, Compsec, Computer Terrorism, Firewalls, Secure Internet Connections, ISS, Passwords, DefCon V, Hackers, Encryption, Espionage, USDOJ, NSA, CIA, S/Key, SSL, FBI, Secert Service, USSS, Defcon, Military, White House, Undercover, NCCS, Mayfly, PGP, PEM, RSA, Perl-RSA, MSNBC, bet, AOL, AOL TOS, CIS, CBOT, AIMSX, STARLAN, 3B2, BITNET, COSMOS, DATTA, E911, FCIC, HTCIA, IACIS, UT/RUS, JANET, JICC, ReMOB, LEETAC, UTU, VNET, BRLO, BZ, CANSLO, CBNRC, CIDA, JAVA, Active X, Compsec 97, LLC, DERA, Mavricks, Meta-hackers, ^?, Steve Case, Tools, Telex, Military Intelligence, Scully, Flame, Infowar, Bubba, Freeh, Archives, Sundevil, jack, Investigation, ISACA, NCSA, spook words, Verisign, Secure, ASIO, Lebed, ICE, NRO, Lexis-Nexis, NSCT, SCIF, FLiR, Lacrosse, Flashbangs, HRT, DIA, USCOI, CID, BOP, FINCEN, FLETC, NIJ, ACC, AFSPC, BMDO, NAVWAN, NRL, RL, NAVWCWPNS, NSWC, USAFA, AHPCRC, ARPA, LABLINK, USACIL, USCG, NRC, ~, CDC, DOE, FMS, HPCC, NTIS, SEL, USCODE, CISE, SIRC, CIM, ISN, DJC, SGC, UNCPCJ, CFC, DREO, CDA, DRA, SHAPE, SACLANT, BECCA, DCJFTF, HALO, HAHO, FKS, 868, GCHQ, DITSA, SORT, AMEMB, NSG, HIC, EDI, SAS, SBS, UDT, GOE, DOE, GEO, Masuda, Forte, AT, GIGN, Exon Shell, CQB, CONUS, CTU, RCMP, GRU, SASR, GSG-9, 22nd SAS, GEOS, EADA, BBE, STEP, Echelon, Dictionary, MD2, MD4, MDA, MYK, 747,777, 767, MI5, 737, MI6, 757, Kh-11, Shayet-13, SADMS, Spetznaz, Recce, 707, CIO, NOCS, Halcon, Duress, RAID, Psyops, grom, D-11, SERT, VIP, ARC, S.E.T. Team, MP5k, DREC, DEVGRP, DF, DSD, FDM, GRU, LRTS, SIGDEV, NACSI, PSAC, PTT, RFI, SIGDASYS, TDM. SUKLO, SUSLO, TELINT, TEXTA. ELF, LF, MF, VHF, UHF, SHF, SASP, WANK, Colonel, domestic disruption, smuggle, 15kg, nitrate, Pretoria, M-14, enigma, Bletchley Park, Clandestine, nkvd, argus, afsatcom, CQB, NVD, Counter Terrorism Security, Rapid Reaction, Corporate Security, Police, sniper, PPS, ASIS, ASLET, TSCM, Security Consulting, High Security, Security Evaluation, Electronic Surveillance, MI-17, Counterterrorism, spies, eavesdropping, debugging, interception, COCOT, rhost, rhosts, SETA, Amherst, Broadside, Capricorn, Gamma, Gorizont, Guppy, Ionosphere, Mole, Keyhole, Kilderkin, Artichoke, Badger, Cornflower, Daisy, Egret, Iris, Hollyhock, Jasmine, Juile, Vinnell, B.D.M.,Sphinx, Stephanie, Reflection, Spoke, Talent, Trump, FX, FXR, IMF, POCSAG, Covert Video, Intiso, r00t, lock picking, Beyond Hope, csystems, passwd, 2600 Magazine, Competitor, EO, Chan, Alouette,executive, Event Security, Mace, Cap-Stun, stakeout, ninja, ASIS, ISA, EOD, Oscor, Merlin, NTT, SL-1, Rolm, TIE, Tie-fighter, PBX, SLI, NTT, MSCJ, MIT, 69, RIT, Time, MSEE, Cable & Wireless, CSE, Embassy, ETA, Porno, Fax, finks, Fax encryption, white noise, pink noise, CRA, M.P.R.I., top secret, Mossberg, 50BMG, Macintosh Security, Macintosh Internet Security, Macintosh Firewalls, Unix Security, VIP Protection, SIG, sweep, Medco, TRD, TDR, sweeping, TELINT, Audiotel, Harvard, 1080H, SWS, Asset, Satellite imagery, force, Cypherpunks, Coderpunks, TRW, remailers, replay, redheads, RX-7, explicit, FLAME, Pornstars, AVN, Playboy, Anonymous, Sex, chaining, codes, Nuclear, 20, subversives, SLIP, toad, fish, data havens, unix, c, a, b, d, the, Elvis, quiche, DES, 1*, NATIA, NATOA, sneakers, counterintelligence, industrial espionage, PI, TSCI, industrial intelligence, H.N.P., Juiliett Class Submarine, Locks, loch, Ingram Mac-10, sigvoice, ssa, E.O.D., SEMTEX, penrep, racal, OTP, OSS, Blowpipe, CCS, GSA, Kilo Class, squib, primacord, RSP, Becker, Nerd, fangs, Austin, Comirex, GPMG, Speakeasy, humint, GEODSS, SORO, M5, ANC, zone, SBI, DSS, S.A.I.C., Minox, Keyhole, SAR, Rand Corporation, Wackenhutt, EO, Wackendude, mol, Hillal, GGL, CTU, botux, Virii, CCC, Blacklisted 411, Internet Underground, XS4ALL, Retinal Fetish, Fetish, Yobie, CTP, CATO, Phon-e, Chicago Posse, l0ck, spook keywords, PLA, TDYC, W3, CUD, CdC, Weekly World News, Zen, World Domination, Dead, GRU, M72750, Salsa, 7, Blowfish, Gorelick, Glock, Ft. Meade, press-release, Indigo, wire transfer, e-cash, Bubba the Love Sponge, Digicash, zip, SWAT, Ortega, PPP, crypto-anarchy, AT&T, SGI, SUN, MCI, Blacknet, Middleman, KLM, Blackbird, plutonium, Texas, jihad, SDI, Uzi, Fort Meade, supercomputer, bullion, 3, Blackmednet, Propaganda, ABC, Satellite phones, Planet-1, cryptanalysis, nuclear, FBI, Panama, fissionable, Sears Tower, NORAD, Delta Force, SEAL, virtual, Dolch, secure shell, screws, Black-Ops, Area51, SABC, basement, data-haven, black-bag, TEMPSET, Goodwin, rebels, ID, MD5, IDEA, garbage, market, beef, Stego, unclassified, utopia, orthodox, Alica, SHA, Global, gorilla, Bob, Pseudonyms, MITM, Gray Data, VLSI, mega, Leitrim, Yakima, Sugar Grove, Cowboy, Gist, 8182, Gatt, Platform, 1911, Geraldton, UKUSA, veggie, 3848, Morwenstow, Consul, Oratory, Pine Gap, Menwith, Mantis, DSD, BVD, 1984, Flintlock, cybercash, government, hate, speedbump, illuminati, president, freedom, cocaine, $, Roswell, ESN, COS, E.T., credit card, b9, fraud, assasinate, virus, anarchy, rogue, mailbomb, 888, Chelsea, 1997, Whitewater, MOD, York, plutonium, William Gates, clone, BATF, SGDN, Nike, Atlas, Delta, TWA, Kiwi, PGP 2.6.2., PGP 5.0i, PGP 5.1, siliconpimp, Lynch, 414, Face, Pixar, IRIDF, eternity server, Skytel, Yukon, Templeton, LUK, Cohiba, Soros, Standford, niche, 51, H&K, USP, ^, sardine, bank, EUB, USP, PCS, NRO, Red Cell, Glock 26, snuffle, Patel, package, ISI, INR, INS, IRS, GRU, RUOP, GSS, NSP, SRI, Ronco, Armani, BOSS, Chobetsu, FBIS, BND, SISDE, FSB, BfV, IB, froglegs, JITEM, SADF, advise, TUSA, HoHoCon, SISMI, FIS, MSW, Spyderco, UOP, SSCI, NIMA, MOIS, SVR, SIN, advisors, SAP, OAU, PFS, Aladdin, chameleon man, Hutsul, CESID, Bess, rail gun, Peering, 17, 312, NB, CBM, CTP, Sardine, SBIRS, SGDN, ADIU, DEADBEEF, IDP, IDF, Halibut, SONANGOL, Flu, &, Loin, PGP 5.53, EG&G, AIEWS, AMW, WORM, MP5K-SD, 1071, WINGS, cdi, DynCorp, UXO, Ti, THAAD, package, chosen, PRIME, SURVIAC