Re: Birk, der Hannich der EDV

verfasst von Tassie Devil, 06.03.2007, 17:29

-->>Ganz so schwarz wie Herr Birk sehe ich die
>Verteidigungsmoeglichkeiten auf technischer Ebene allerdings nicht:
>die Zauberworte heissen in meinen Augen
>- Virtualisierung
>- Least Privileges
>- Keine Schreibbarkeit ausfuehrbarer Daten (und umgekehrt)
>- Protokollumbrueche
>- Formatumbrueche

Na also, da sind doch zwar nicht alle aber viele der Zutaten fuer das Konstrukt der adaequaten Schaeuble-Absicherung.

>All das ist zwar technisch nicht unkomplex und teilweise recht
>unbequem; aber wenn wir unsere"schoengeschminkte" Steuererklaerung
>(oder auch unsere Plaene zum Bau thermonuklearer Sylvesterraketen)
>vor der Analyse durch die Schnueffler schuetzen wollen, mussen wir
>wohl ein paar Unbequemlichkeiten in Kauf nehmen, die ueber die
>Installation von Nortons bunter Firewall hinausgehen.

Ach was, das ganze laesst sich so hinbuegeln, das selbst ein blutiger PC-Amateur kaum etwas von den sog."Unbequemlichkeiten" merkt.

>In der Praxis bedeutet das:
>Wir benutzen zum Zugriff auf das Internet virtuelle Maschinen. Diese
>lassen wir in einer kontrollierten Umgebung laufen, und stellen ihnen
>nur die Ressourcen zur Verfuegung die sie unbedingt brauchen. Dadurch
>schuetzen wir unsere IP-Stacks, und koennen leichter eine Permanenz
>des virulenten Staatscodes verhindern.
>Ein Beispiel waere ein FreeBSD-Jail, oder eine Solaris-Zone,
>innerhalb derer eine Windows oder Linux Installation unter VMWare
>laeuft. Die Zone bzw. der Jail schuetzt meine Ressourcen, auch dann
>wenn die Virtualisierungssoftware (vmware in dem Fall) selbst
>kompromittiert ist.
>Die ausfuehrbaren Programme der Zone/Jail werden readonly gemounted,
>oder kommen von einem nicht schreibbaren Datentraeger (DVD), die
>schreibbaren Bereiche (Datenbereiche) des virtuellen Surfsystems
>kommen ueber ein Netzwerkprotokoll, z.B. nfs, cifs oder
>loopback-mount. Hier ist auch die Einfuehrung von Kryptographie
>sinnvoll: Ist das Filesystem an dieser Stelle verschluesselt, so ist
>dies ein fuer die gehostete virtuelle Surfstation voellig
>transparenter Layer zwischen (deren) Filesystem und der
>Storage-Hardware (des Hosts). Der zum ver/entschluesseln der Daten
>notwendige Schluessel ist innerhalb der virtuellen Maschine weder
>noetig noch vorhanden. Das Programm/Projekt"cfs" kann derartiges
>leisten.
>Innerhalb dieser - geschuetzten und eingeschraenkten - Umgebung kann
>ich dann eine virtuelle Maschine wie vmware mit meinem Lieblings-OS
>starten lassen, um Daten ueber das Internet zu uebertragen.
>Wir benutzen unsere Systeme immer mit den wenigst-moeglichen
>Benutzerrechten. Unter Unix seit immer schon gaengige Praxis, sind
>die Moeglichkeiten dafuer auch auf moderneren Systemen aus dem Hause
>Microsoft vorhanden (den Ur- Unix Mechanismen sogar ueberlegen!).

Ja, so wird das was, auch wenn hier zuvor laengst nicht alle Moeglichkeiten und Aspekte aufgefuehrt wurden.

>Warum eine konsequente Benutzung derartiger Mechanismen in der
>Microsoft-Welt seit Jahren nicht vorangetrieben, sondern fast
>verhindert wird, ist mir ein Raetsel.

Wenn jemand die Antwort auf dieses Microsoft-Raetsel weiss und begruenden kann, dann bin ich das, weil ich aus vielen gleichen oder aehnlichen Gruenden fast die gesamten 80-er Jahre gegen gewisse Abteilungen der IBM Deutschland GmbH einen regelrechten Krieg ausgefochten habe, der letztendlich komplett zu Gunsten meiner Architekturen und Initiativen entschieden wurde.

Der Grund der Verhinderung solcher Architekturen und deren konsequente Benutzung ist allein darin zu suchen, dass sie die Benutzer in jeder Hinsicht, gerade auch in strategischem Hinblick, einerseits flexibilisiert und andererseits modularisiert, was ihnen letztendlich eine grosse Menge Zeit und Geld erspart, daran war jedoch zu frueheren Zeiten weder die IBM interessiert, noch ist Microsoft heute daran interessiert.

>Damit schraenken wir den Berechtigungshorizont des Virus weiter ein.
>Allerdings beruht die Sicherheit eines derartigen Systems nicht auf
>der strikten Einhaltung von Least-Privileges auf der virtuellen
>Maschine; verdaechtige Dokumente wie die Steuererklaerung oder die
>thermonuklearen Knallkoerper schaffe ich sowieso so schnell wie
>moeglich aus dem Bereich den die virtuellen Surfstation"sieht" in
>einen anderen Bereich des Host-Dateisystems - und zwar von ausserhalb
>der virtuellen Maschine, um dann - entweder auf dem Hostsystem
>selbst, oder einer weiteren virtuellen Maschine (ohne
>Netzwerkressourcen) die Information zu extrahieren / zu betrachten.
>Klar sollte natuerlich auch sein, dass sowohl die Dateisysteme der
>virtuellen Maschine, aber auch schon die Dateisysteme des
>uebergeordneten Jail/Zone Read-Only ins System eingebunden sind,
>sofern es sich um ausfuehrbare Dateien handelt. Unter unix kann man
>die entsprechenden noexec bzw. ro Flags von mount benutzen, fuer die
>VM hat man zumindest ueber die Schreibbarkeit der Systembereiche des
>gehosteten Systems volle Kontrolle.
>Nun haben wir noch Protokoll- und Formatumbrueche im Aermel:
>Das bedeutet zum Beispiel, dass ich ein ueber die virtuelle
>Surfstation erhaltene Anleitung zum Bau von Wasserstoff-Handgranaten
>(warning, strong! Throw for a minimum distance of 72 miles after
>pulling the ring!) im.doc Format noch auf der virtuellen Maschine
>als HTML, XML, OpenOffice oder sonstwas speichere.
>Die neuformatierte Kopie transferiere ich in einen anderen Bereich
>meines Systems, ausserhalb des Horizontes der virtuellen Maschine,
>bevor ich sie dort (z.B. mit Staroffice) bearbeite.
>Auch eine Umkodierung von Bildformaten waere hier denkbar.
>Ausserdem kann man natuerlich die Vorstellung von"Internet", die die
>virtuelle Maschine hat, bequem vom hostenden System aus steuern.
>So ist es leicht zu erreichen, dass eine derartige virtuelle
>Surfstation ausschliesslich ueber Proxies Internetservices benutzen
>kann.
>Ebenfalls auf Ebene des Hostsystems kann man ein VPN zu einem
>(vertrauenswuerdigen / auslaendischen) Host, oder verschluesselte
>Verbindungen zu einem System wie TOR aufbauen. Hier ist noch einige
>Entwicklungsarbeit zu leisten, aber wenn ein Hostsystem
>verschluesselte Verbindungen zu einem derartigen verteilten System
>aufbaut, und diese der virtuellen Surfmaschine transparent zur
>Verfuegung stellt, hat kein StaSi/BND/Staatsvirus eine Chance
>dagegen, und das gesamte Angriffszenario von Herrn Birk verpufft in
>einer Wolke aus verschwendeten Steuergeldern.

Das hat der Schreiber aber jetzt sehr schoen dargestellt!

So isses exakt, wenn die Architektur stimmt.

>Wie man sieht, ist der Paranoia hier keine Grenze gesetzt, dem
>Staatsvirus hingegen schon. Und ich gebe zu, dass die Sicherheit von
>Computersystemen umgekehrt proportional zu ihrer
>Benutzerfreundlichkeit ist.

Das ist aber entschieden zu schwarz gesehen, so schlimm isses nun nicht.

>Wie gross der Rechenfehler in der
>Steuererklaerung ist, und welche technischen Massnahmen deshalb
>notwendig sind, muss jeder fuer sich selber ausmachen.
>Was meine Einlassungen noch ueberhaupt nicht betrachten, ist der
>Schutz der beteiligten Host- und Serversysteme. Was nuetzt eine
>kryptografisch verpackte VM in einem Jail, wenn der Staat schon im
>Kernel des Hostsystems sitzt? Nix mehr.

Das ist richtig.

>Und hier bin ich wieder mit Herrn Birk d'accord: Keine downgeloadeten
>Binaries auf das System lassen. Im Falle von BSD sehr einfach - ich
>kompiliere meine BSD Systeme seit Jahren komplett aus dem Source - im
>Falle anderer Systeme komplizierter und nicht so vollautomatisch,
>aber nicht unmoeglich.

Das adressiert letztendlich nicht das Problem Staat im Kernel des Hostsystems, das"man" sich so etwas nicht einfach durch einen download einfaengt, das versteht sich wohl von selbst.

Nein, das Problem bei diesem Thema ist, wenn der Staat von Anfang an wie ein Wurm in den wie auch immer distributierten OSsen drinhaengt.

>Ein Problem ist hier die Vertrauenswuerdigkeit der
>Quellcodedistribution: Wenn"Vater" (!) Staat schon auf den Routern /
>Leitungen hockt, kann ich weder meinen DNS Anfragen, noch sonstgem IP
>Verkehr mehr trauen. Allein kryptographisch abgesicherte Verbindungen
>sind dann noch vertrauenswuerdig. Die Schnueffler koennten durchaus
>ftp.freebsd.org oder www.debian.org komplett faelschen (inclusive
>aller denkbaren Checksums) - und den IP-Verkehr dorthin auf mehreren
>Ebenen verbiegen: sei es durch das Faelschen von DNS Information, sei
>es auf Ebene der Routingprotokolle.
>Auch in diesem Falle ist ein kryptografisch abgesicherter Tunnel in
>einen vertrauenswuerdigen und bekannten Netzwerkbereich die Antwort;
>Wenn mein System nicht mehr den DNS meines Providers fraegt, sondern
>einen SSL Tunnel zu meinem in Brasilien gemieteten Rootserver
>benutzt, wo ich selber einen Nameserver betreibe, dann ist es -
>zumindest auf der Ebene - fuer die Schnueffler vorbei.
>Gleiches gilt sinngemaess fuer alle anderen Protokolle, die ich
>benoetige um mein Hostendes System zu bootstrappen.
>Selbstverstaendlich kann ich mir die Quellen oder Binaerpakete meiner
>Distributionen auch per Post schicken lassen - wieder eine frage der
>Paranoia.

Darum geht es bei dem Problem, wenn naemlich selbst im postversandlichen Quellcode einer Distribution der Staat ggf. per Gesetz eingebaut ist.

>Wie man sieht: technisch haben wir ein paar Moeglichkeiten.
>Eigentlich haben wir das auch politisch, das ist aber ein Gebiet auf
>dem ich mich wesentlich weniger kompetent fuehle.
>Dennoch: Wir muessen diesen Ueberwachungswahnsinn stoppen! Demokratie
>kommt von"daemos" (das Volk) und"kratein" (herrschen), und
>bezeichnet eine Staatsform, in der die Gewalt vom Volke ausgeht.
>Das"der Staat" und"die Regierung" nicht unbedingt die selben sind,
>sehen wir deutlich an dem derzeit herrschenden Unrechtsregime in den
>USA, und dass verbrecherische Regierungsformen auch in Deutschland
>nicht undenkbar sind, hat die Vergangenheit bereits mehrfach gezeigt.
>Die allgemeine Bildungslage der Bevoelkerung stuetzt auch nicht
>gerade meinen Optimismus, und ich meine dass jetzt schon an viel zu
>vielen Stellen nicht im Sinne des Volkes regiert wird, mit schlimmer
>werdender Tendenz.
>Deshalb fordere ich jeden auf, mitzuhelfen, dass derartige
>Schnueffelmassnahmen gegen die Gesamtbevoelkerung politisch,
>juristisch, ethisch und gesellschaftlich Tabu bleiben.
>Jeder ist gefragt: Juristen, Techies, Politiker, Lehrer, Professoren,
>und jeder Waehler an der Urne.
>Noch haben wir die Wahl.

Die Stasi tobt und Tassie kichert,
denn er ist Schaeuble abgesichert!

Um das an dieser Stelle nochmals klar zu stellen, Schutzmassnahmen, wie sie oben beschrieben sind, kosten maschinelle Resourcenleistung, mit einem Eurotz 500.-- PC von Aldi sind da heute keine Lorbeeren zu holen, jedoch Maschinen so etwa ab 900.-- bis 1 Mille bei den heutigen Preisskalen sind dazu geeignet.

>
>Gruss

Gruss!
TD

Thread gesperrt

 

gesamter Thread:

• Der Staat als Einbrecher - Link zur Techn. Realisierung des Bundestrojaners - Panzerknacker, 05.03.2007, 14:26
  • Re: Der Staat als Einbrecher - Link zur Techn. Realisierung des Bundestrojaners - ManfredF, 05.03.2007, 15:03
    • Re: Sygate....hab ich drauf. Ist enorm komfortabel zu konfigur. owT. - ottoasta, 05.03.2007, 17:42
  • Re: Der Staat als Einbrecher - Link zur Techn. Realisierung des Bundestrojaners - Kasi, 05.03.2007, 16:37
    • Re: Der Staat als Einbrecher - Link zur Techn. Realisierung des Bundestrojaners - Panzerknacker, 05.03.2007, 19:05
  • Und wie koennen wir uns nun wehren? (Ausgeschnippelt aus TP-Forum) - FOX-NEWS, 05.03.2007, 19:02
    • Re: Ausgeschnippelt aus TP-Forum - Demokrattiebegriff - völlig falsch - Baldur der Ketzer, 05.03.2007, 21:28
      • Lieber Baldur - FOX-NEWS, 05.03.2007, 22:13
    • Re: Birk, der Hannich der EDV - Tassie Devil, 06.03.2007, 17:29