Seit einigen Wochen veröffentlicht der britische Guardian Informationen des NSA-Whistleblowsers Edward Snowden und widersetzt sich dabei Einschüchterungsversuchen. Ich habe großen Respekt vor dieser journalistischen Arbeit. Und doch habe ich mich schon länger gefragt, warum die Veröffentlichung in kleinen Schritten erfolgt. Dem Guardian liegen wohl alle Dokumente von Snowden vor und man zerlegt den Leak in kleinere Themen. Das macht journalistisch wahrscheinlich Sinn. Nicht einmal, um Aufmerksamkeit maximal zu steigern, sondern um jedes Thema einzeln in der Öffentlichkeit verhandeln zu können.
Und doch gibt es eine Frage, die mich immer wieder beschäftigt: Ist die Vorgehensweise des Guardian nicht grob fahrlässig? Es handelt sich nicht um einen Leak, der Ereignisse der Vergangenheit in die Öffentlichkeit zieht (wie zum Beispiel die US-Depechen bei Wikileaks). Statt dessen wird nach und nach wird publik gemacht, welche Unsicherheiten aktuell durch bereits implementierte Überwachungsmaßnahmen bestehen. Es gibt damit zwei Probleme: 1. weiß die leakende Instanz bereits seit längerem, welche Kanäle unsicher sind – lässt aber Außenstehende darüber im Unklaren und 2. schürt man die Nutzung und das Vertrauen in Methoden, die bereits als unsicher einzustufen sind.
Die Leaks steigern sich in ihrer technischen Tragweite. Zunächst waren es Kabel, die angezapft wurden. Das ist technisch keine Neuigkeit, in der Größe und Rücksichtslosigkeit der Umsetzung erreicht es aber eine neue Qualität. Als Reflex wurde der Ruf nach Verschlüsselung laut. Man kann wohl von einer kleinen Krypto-Welle sprechen: Neue Messenger wie Threema (dessen Vorschuss-Lorbeeren in punkto Vertrauen nicht ganz nachvollziehbar ist), Krypto-Parties (auch für Politiker), usw. Es gab also eine soziale und technische Gegenbewegung, die das Vertrauen und die Bedeutung von Verschlüsselungsverfahren stärkte. Auch Snowden selbst trug dazu bei. In einem Interview gibt Snowden auf Nachfrage bekannt:
Encryption works. Properly implemented strong crypto systems are one of the few things that you can rely on. Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it.
… und lässt die Beteiligten im Unklaren, was das ist: “Properly implemented strong crypto systems”. Seit einigen Stunden wissen wir, dass die NSA mit Bullrun tatsächlich über ein mächtiges Kryptologie-Werkzeug verfügt, um zum Beispiel SSL/HTTPS-Verschlüsselungen zu brechen:
Der Geheimdienst verfüge zum Beispiel über Möglichkeiten, um viel genutzte Online-Protokolle wie HTTPS, Voice-over-IP und SSL zu knacken. Steht also oben in der Adresszeile des Browsers das Kürzel HTTPS – beispielsweise beim Eingeben eines Passwortes – ist das, anders als bisher weitgehend angenommen, kein Garant für eine sichere Datenübermittlung.
Was das im Einzelnen bedeutet, ist unklar. Klar ist jedoch, dass wochenlang im Guardian bekannt war, welche Verschlüsselungsverfahren als unsicher einzustufen sind, während sich Millionen Menschen darauf verlassen – und zugleich durch vorhergehende Leaks eventuell noch in deren Nutzung bestärkt wurden. In den letzten Wochen verging kein Tag, an dem Artikel erschienen, die Tipps zur sicheren Kommunikation im Netz erschienen. Menschen verlassen sich darauf. Und auch jetzt gibt Krypto-Experte Bruce Schneier im Guardian im Artikel “How to remain secure against NSA surveillance” immerhin paradoxe Tipps wie:
Encrypt your communications. Use TLS. Use IPsec. Again, while it’s true that the NSA targets encrypted connections – and it may have explicit exploits against these protocols – you’re much better protected than if you communicate in the clear.
Übersetzt: “Benutzt Verschlüsselung. Wir wissen zwar nicht, ob es was bringt, aber es ist besser als ohne”. Ist es das? Und ist es richtig vom Guardian, brisante Informationen, die aktuelle Verhaltensweisen beinflussen, wochenlang zurückzuhalten? Ich halte es für grob fahrlässig. Man sollte nicht wider besseren Wissens Erwartungen an Verschlüsselung schüren, um sie dann mit einem Zapfenstreich zu zerschlagen. Das ist unethisch und riskant.
Wieviele Dokumente hat Snowden an den Guardian geleakt? Wieviele Personen arbeiten daran? Wie technisch versiert sind diese? Versuchen die Journalisten vor einer Veröffentlichung im Guardian die geleakten Informationen zu verifizieren? Hat Snowden Einschränkungen zur Veröffentlichung als Bedingung der Bereitstellung der Daten geknüpft?
Ich würde behaupten die tun ihr bestes, wir alle könnten es natürlich anders und besser machen, aber das ist immerhin auch nur ne Zeitung.
Don’t shoot the messenger!
bisschen spät, aber: Hast du bewusst falsch (oder zumindest bewusst unklar) übersetzt oder ist das ein Zufall?
Das Ganze muss ja auch erst einmal gesichtet werden, und für eine journalistische Veröffentlichung entsprechend aufbereitet. Es gibt ja teilweise auch Rücksprachen mit den Geheimdiensten soweit ich das richtig verstanden habe.
Ist Krypto noch sinnvoll?
Natürlich ist sie das.
Ein imho guter Vergleich: Nur weil es Menschen gibt, die jedes handelsübliche Schloss knacken können, verzichtet doch kaum jemand darauf, seine Haustür abzuschließen.
Auch knackbare Krypto macht ihnen eine Menge Rechenaufwand. Und letztendlich hängt es doch wesentlich von den Zufallszahlen ab, die für den Schlüssel genutzt wurden. Und genau das ist der Punkt, wie die NSA Verschlüsselte Verbindungen knackt. Indem die meisten, closed-source, Zufallszahlengeneratoren nicht hundertprozentigen Zufall liefern. Und indem sie die privaten SSL-Schlüssel von großen Anbietern erpressen.
Und genau das meint Snowden, wenn er sagt:
Encryption works. Properly implemented strong crypto systems are one of the few things that you can rely on. Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it.
Das ist Endpoint Security, die nichts mit der Verschlüsselung selbst zu tun hat, sondern mit dem Diebstahl und der präventiven Entschärfung von Schlüsseln (mittels schwacher “Zufalls”zahlen)