Erpan
Literotica Guru
- Joined
- Nov 17, 2006
- Posts
- 1,342
Chaos-Computer-Club hat die ersten Versionen des sogenannten Bundestrojaners entdeckt und analysiert. Demnach enthält diese Software auch die vom Bundesverfassungsgericht verbotenen Funktionen – Zitat:
„Die in den Trojaner eingebauten Funktionen sind das Anfertigen von Screenshots und das Abhören von Skype- und anderen VoIP-Gesprächen, allerdings können auch beliebige Schad-Module nachgeladen und ausgeführt werden.
[…]
Es ist daher ein Leichtes, ein einmal identifiziertes, mit diesem Trojaner infiziertes System zu übernehmen und beispielsweise mit anderer Schadsoftware zu befüllen.
[…]
Die fehlende Authentisierung ermöglicht die folgenden Angriffsszenarien:
1.) Ein Dritter versucht, die Zielperson mit falschen Beweisen zu belasten. Dafür meldet er sich am C+C-Server als das Zielsystem an und liefert gefälschte Beweise an die Ermittlungsbehörden. Dieses Szenario ist sehr einfach zu implementieren.
2.) Ein Dritter manipuliert den Netzwerkverkehr zwischen Zielperson und C+CServer und gibt sich dem Trojaner gegenüber als der C+C-Server aus. Solche Möglichkeiten ergeben sich teilweise in öffentlichen (WLAN) oder anderweitig kompromittierbaren Netzwerken. Es wäre auch denkbar, daß ein Standort vorsorglich an der Firewall einen solchen Service installiert, um Teilnehmer im eigenen Netz vor Abhörversuchen zu schützen. In beiden Fällen besitzen Dritte die Möglichkeit, beliebige Programme auf dem System der Zielperson auszuführen, der Person gefälschte Beweise unterzuschieben oder ihre Daten zu löschen oder zu manipulieren.
3.) Da es auch zwischen den beiden Software-Komponenten des Trojaners keine Authentisierung gibt, gelten ähnliche Angriffsmöglichkeiten auch innerhalb des Rechners. Eine Schadsoftware kann sich mit Hilfe des Kernel-Moduls erhöhte Zugriffsrechte auf dem Zielsystem verschaffen, einfach indem sie das Kernel-Modul darum „bittet“. Ohne diese Hintertür bräuchte man Kenntnis einer aktuellen „local privilege escalation“-Sicherheitslücke, für die auf dem Schwarzmarkt vier- bis fünfstellige Euro-Beträge verlangt werden.
[…]
Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze keine fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.
[…]
Wir möchten darauf hinweisen, daß für die Zielpersonen die Unschuldsvermutung und für ihre Rechner das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme gilt. Es ist für uns unbegreiflich, wie ein solcher Trojaner die vertraulichen und möglicherweise aus dem zu schützenden Kernbereich der privaten Lebensgestaltung stammenden Daten durch ein Drittland leiten kann, zumal noch ein in Fragen der Menschenrechte schlecht beleumundetes. Durch die Umleitung der Daten durch ein Land außerhalb der Jurisdiktion der EU wird dem betroffenen Bürger möglicherweise auch ein wirksamer Rechtsbehelf verwehrt.
[…]
Angesichts der katastrophal gescheiterten Mechanismen zur Einhaltung von Mindeststandards bezüglich der kryptographischen Absicherung sensibler Daten stellt sich auch die folgende Frage: Wie stehen die Verantwortlichen zu der Tatsache, daß die möglicherweise sensiblen Daten ausgespähter deutscher Bürger und Firmen durch die Netzwerke eines Landes geleitet werden, welches aktiv Wirtschaftsspionage in Deutschland betreibt? Wieso werden die Daten nicht über einen virtuellen Server etwa bei 1&1 oder Strato unter deutscher Jurisdiktion geleitet?
[…]
Letztlich erfaßt die Schadsoftware Gedankengänge des Computerbenutzers. Sein digitales Tagebuch, erstellt mit einer browserbasierten Textverarbeitung, enthält Überlegungen, die vielleicht nie seine Festplatte verlassen sollten, aber durch den Einsatz der Computerwanze als belastendes Indiz herangezogen werden können. Wenn das kein Eingriff in die digitale Intimsphäre ist, was
dann?“
Wer immer noch glaubt, dass dieser Staat Grundgesetz und das Bundesverfassungsgericht achtet, wird hier (hoffentlich) eines Besseren belehrt. Die Bundesjustizministerin Sabine Leutheusser-Schnarrenberger hat zwar das Ganze kritisch kommentiert, aber das für den Bundestrojaner zuständige Innenministerium bestätigte nur, dass es diese Software gibt.
„Die in den Trojaner eingebauten Funktionen sind das Anfertigen von Screenshots und das Abhören von Skype- und anderen VoIP-Gesprächen, allerdings können auch beliebige Schad-Module nachgeladen und ausgeführt werden.
[…]
Es ist daher ein Leichtes, ein einmal identifiziertes, mit diesem Trojaner infiziertes System zu übernehmen und beispielsweise mit anderer Schadsoftware zu befüllen.
[…]
Die fehlende Authentisierung ermöglicht die folgenden Angriffsszenarien:
1.) Ein Dritter versucht, die Zielperson mit falschen Beweisen zu belasten. Dafür meldet er sich am C+C-Server als das Zielsystem an und liefert gefälschte Beweise an die Ermittlungsbehörden. Dieses Szenario ist sehr einfach zu implementieren.
2.) Ein Dritter manipuliert den Netzwerkverkehr zwischen Zielperson und C+CServer und gibt sich dem Trojaner gegenüber als der C+C-Server aus. Solche Möglichkeiten ergeben sich teilweise in öffentlichen (WLAN) oder anderweitig kompromittierbaren Netzwerken. Es wäre auch denkbar, daß ein Standort vorsorglich an der Firewall einen solchen Service installiert, um Teilnehmer im eigenen Netz vor Abhörversuchen zu schützen. In beiden Fällen besitzen Dritte die Möglichkeit, beliebige Programme auf dem System der Zielperson auszuführen, der Person gefälschte Beweise unterzuschieben oder ihre Daten zu löschen oder zu manipulieren.
3.) Da es auch zwischen den beiden Software-Komponenten des Trojaners keine Authentisierung gibt, gelten ähnliche Angriffsmöglichkeiten auch innerhalb des Rechners. Eine Schadsoftware kann sich mit Hilfe des Kernel-Moduls erhöhte Zugriffsrechte auf dem Zielsystem verschaffen, einfach indem sie das Kernel-Modul darum „bittet“. Ohne diese Hintertür bräuchte man Kenntnis einer aktuellen „local privilege escalation“-Sicherheitslücke, für die auf dem Schwarzmarkt vier- bis fünfstellige Euro-Beträge verlangt werden.
[…]
Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze keine fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.
[…]
Wir möchten darauf hinweisen, daß für die Zielpersonen die Unschuldsvermutung und für ihre Rechner das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme gilt. Es ist für uns unbegreiflich, wie ein solcher Trojaner die vertraulichen und möglicherweise aus dem zu schützenden Kernbereich der privaten Lebensgestaltung stammenden Daten durch ein Drittland leiten kann, zumal noch ein in Fragen der Menschenrechte schlecht beleumundetes. Durch die Umleitung der Daten durch ein Land außerhalb der Jurisdiktion der EU wird dem betroffenen Bürger möglicherweise auch ein wirksamer Rechtsbehelf verwehrt.
[…]
Angesichts der katastrophal gescheiterten Mechanismen zur Einhaltung von Mindeststandards bezüglich der kryptographischen Absicherung sensibler Daten stellt sich auch die folgende Frage: Wie stehen die Verantwortlichen zu der Tatsache, daß die möglicherweise sensiblen Daten ausgespähter deutscher Bürger und Firmen durch die Netzwerke eines Landes geleitet werden, welches aktiv Wirtschaftsspionage in Deutschland betreibt? Wieso werden die Daten nicht über einen virtuellen Server etwa bei 1&1 oder Strato unter deutscher Jurisdiktion geleitet?
[…]
Letztlich erfaßt die Schadsoftware Gedankengänge des Computerbenutzers. Sein digitales Tagebuch, erstellt mit einer browserbasierten Textverarbeitung, enthält Überlegungen, die vielleicht nie seine Festplatte verlassen sollten, aber durch den Einsatz der Computerwanze als belastendes Indiz herangezogen werden können. Wenn das kein Eingriff in die digitale Intimsphäre ist, was
dann?“
Wer immer noch glaubt, dass dieser Staat Grundgesetz und das Bundesverfassungsgericht achtet, wird hier (hoffentlich) eines Besseren belehrt. Die Bundesjustizministerin Sabine Leutheusser-Schnarrenberger hat zwar das Ganze kritisch kommentiert, aber das für den Bundestrojaner zuständige Innenministerium bestätigte nur, dass es diese Software gibt.