Kategorien
Blog

Zwei Wochen mit einem Platten, einer Konferenz und einer Smartwatch

Jetzt pendeln sich die Wochenrückblicke auf den zweiwöchigen Rhythmus ein. Eigentlich hätte ich inzwischen sogar drei Wochen, aber ich trenne das jetzt mal künstlich.

Woche 24

Die Arbeitswoche erwähne ich wieder nicht weiter, denn es gab so einiges aus der Freizeit zu berichten:

Am Montag wollte ich mich gerade auf den Weg zum Freifunktreffen machen, als das Auto sagte: Reifendruck: Reifen überprüfen.

Reifendruck: Reifen überprüfen

Ich stieg aus und sah nach. Und tatsächlich: so sollte das nicht aussehen.

platt

Früher hätte man in diesem Fall einfach das Ersatzrad montiert, aber das gibt es bei aktuellen Autos ja gar nicht mehr. So rief ich mit dem eingebauten Pannentelefon den Pannendienst (der dadurch auch sofort meine genaue Position kannte), und der schickte mir einen Abschleppwagen. Huckepack fuhr ich dann zum Hallschlag, wo ich fast gleichzeitig mit dem Mechaniker ankam. Noch einmal etwa eine halbe Stunde später war der Reifen dann ausgetauscht, und ich konnte weiter zum shackspace fahren — insgesamt 30 Minuten verspätet. Das ganze ging so flott, dass ich am Schluss zu fragen vergessen habe, warum denn der Reifen überhaupt platt gewesen war.

Das ganzen Wochenende war dann mit unserer dritten Konferenz gegen Überwachung gefüllt, diesmal unter dem neuen Namen No-Spy-Konferenz.

Ortwin Renn im LieraturhausDas ging am Freitag mit einem sehr interessanten Vortrag von Professor Ortwin Renn von der Universität Stuttgart mit dem Thema „Wie smart ist smart genug? Vom Glanz und Elend der Digitalisierung“ los. Er brachte debei die akademischere Herangehensweise mit, die wir sonst vielleicht ein wenig verloren haben. Die anschließende Diskussion musste aber nochmal kurz unterbrochen werden, weil Till im Bayerischen Fernsehen live im rundschau Magazin zu sehen war. Durch seinen Auftritt auf dem Kirchentag scheint er jetzt Experte für das Thema Vorratsdatenspeicherung geworden zu sein. Das ist gut.

Am Samstag hatten wir wieder die bewährte Mischung aus vorher organisierten Vorträgen/Workshops und Barcamp-Sessions. Leider fiel dabei die geplante Session zum Thema Darknet wegen eines Notfalls in der Familie des Vortragenden aus. Eine Ersatzsession dazu haben dann Till und ich am Sonntag improvisiert, aber das war sicher nicht so gut.

Weitere nennenswerte Aktionen waren, gemeinsam Texte für Briefe an Bundestagsabgeordnete wegen der Vorratsdatenspeicherung zu schreiben. Dazu weiter unten mehr.

Und dann war da noch der Besuch von der Demo zum International Day of Privacy. Die war allerdings arg schlecht besucht (oder hatte bis zum Literaturhaus schon alle Teilnehmer unterwegs verloren).

IDP Demo

Hoffentlich wird das bei der Freiheit statt Angst etwas beeindruckender. Ich meine: wir wissen ja, dass sich niemand für digitale Bürgerrechte interessiert, aber muss man das immer gleich so deutlich sehen?

Als Abendprogramm konnten wir wieder einen Film zeigen: diesmal Citizenfour. Den hatte ich tatsächlich noch nicht gesehen, und finde ihn unbedingt empfehlenswert.

Am Sonntag kamen wir nochmal auf die Briefe zurück: Michael hatte je einen Stapel der am Tag zuvor geschriebenen Texte in Briefform vorgedruckt, so dass nur noch Anschrift, Absender, Begrüßung und Unterschrift ausgefüllt werden musste.

Briefe an Bundestagsabgeordnete

(62 Briefe wurden am Ende verschickt)

Wenn man zum „Orga-Team“ gehört, kriegt man natürlich zeitweise etwas weniger von der Konferenz mit als die anderen Teilnehmer (ich habe allein schon 300 Tassen Kaffee gekocht), für jede/n von denen scheint aber wieder was interessantes dabei gewesen zu sein.

Und der Termin für die nächste No-Spy-Konferenz steht auch schon fest: die findet ab dem 13. November statt.

Woche 25

Die darauffolgende Woche war eigentlich relativ ereignislos. Ich war aber so erledigt, dass ich irgendwie trotzdem nicht zu meinem Wochenrückblick gekommen bin. Das wirkt sich schlecht auf die Iron Blogger aus, bei denen ich jetzt ausgeschieden bin (!).

Aber ich habe für die Woche noch was anderes zu erzählen: auf der No-Spy-Konferenz waren nämlich einige Nerds mit Smartwatches, und so konnte ich mal eine Apple Watch und eine Pebble Time nebeneinander halten. Zu dem Vergleich komme ich später noch, aber am zweiten Tag habe ich von einem freundlichen Mitnerd eine (klassische) Pebble
geliehen bekommen.

Ich war mir vorher nicht sicher, ob ich überhaupt eine Smartwatch haben möchte, habe immer mal wieder über verschiedene Modelle gelesen, aber jetzt, wo ich seit etwas mehr als einer Woche eine trage, möchte ich unbedingt selbst sowas haben.

Der Ur-Pebble merkt man an, dass das Konzept schon einige Jahre alt ist: dabei ist der fehlende Farbbildschirm von geringerer Bedeutung, aber der Speicherplatz ist stark eingeschränkt: nur 8 Plätze für Zifferblätter und andere Programme sind eher wenig (in der neuen Pebble Time ist das nur durch den Speicherplatz begrenzt). Außerdem fehlt der klassischen Pebble in ihrer aktuellen Softwareversion der Zugriff auf den Kalender.

Lustig sind natürlich die „Watchfaces“, mit deren  unterschiedlicher Darstellungen der Uhrzeit und anderer Daten die Uhr individualisiert werden kann (ich mag „Illudere“, das vier große Ziffern als ein Art Labyrinth anzeigt und „N3v3rs Text One Deutsch“) …

Illudere N3v3rs Text One

… aber das eigentlich beste am Konzept Smartwatch ist es, die Benachrichtigungen vom Telefon auf das Handgelenk zu verlegen. Dadurch sind jetzt die Signaltöne an meinem Telefon vollständig abgeschaltet, und selbst Anrufe werden durch Vibration der Uhr angekündigt. Allein schon diese Verringerung der Belästigung meiner Mitmenschen ist das Gerät wert.

Haben wollen würde ich aber lieber die neuere Pebble Time: die nimmt das Pebble-Konzept mit zu (etwas) modernerer Hardware ohne dabei die Tugenden (Akkulaufzeit, Ablesbarkeit, Funktion mit Apple und Android) aufzugeben.

Die Apple Watch (zum Vergleich, weil ich sie direkt daneben gehalten habe) ist natürlich viel cooler, mir aber erheblich zu teuer. Und sie hat zwei entscheidende Nachteile:

  • All diese Körperüberwachungsfunktionen sind nur halb so lustig, wenn ich sie nicht auch zur Schlafbeobachtung benutzen kann (wie mein fitbit-Band) — das geht aber nicht, wenn die Uhr nachts immer geladen werden muss.
  • 3rd-Party-Apps laufen im Moment nicht wirklich auf der Apple Watch, weshalb sich die Bedienung, sobald die eingebauten Funktionen verlassen werden, zäher anfühlt als sogar bei der Ur-Pebble — trotz der um Größenordnungen überlegenen Hardware.

Über die Apple Watch reden wir deshalb bei der zweiten Version nochmal.

Kategorien
Blog

Gegen Überwachung sein (und das zeigen)

Wir hatten mal eine Vorratsdatenspeicherung. Die sah vor, dass Anbieter von Telekommunikationsdienstleistungen wie eMail, (Mobil-)Telefon, Internetzugang oder Verbindungsanonymisierung für ein halbes Jahr die Verbindungsdaten und Standortdaten (nicht aber die Inhalte) aller über sie getätigten Verbindungen speichern mussten, und dass sie diese den Strafverfolgungsbehörden unter bestimmten Bedingungen auszuhändigen hatten. Diese Variante hat das Bundesverfassungsgericht kassiert, weil die ständige Überwachung aller in keinem Verhältnis zum Nutzen steht.

Seitdem wird aus der Politik und Polizeikreisen ununterbrochen genölt, dass jetzt ja keine ordentliche Strafverfolgung mehr möglich sei. Den Beweis des Nutzens sind sie dabei bisher schuldig geblieben, aber man kann ja mal fordern (im Zweifel braucht man dazu nämlich auch einfach gar keinen erkennbaren Zusammenhang).

Auch wenn es  in den letzten Wochen einige Unruhe in den Reihen der Netzaktivisten darüber gab, was jetzt Teil der abzulehnenden Speicherung ist und was nicht, so sollte man doch unbedingt heute noch die Petition mitzeichnen, die sich für ein Verbot der Wiedereinführung der Vorratsdatenspeicherung ausspricht.  Klar muss die Regierung sich daran nicht halten, sie bekommt dadurch aber mal wieder die Existenz der Gegenmeinung ins Gedächtnis gerufen.

Mehr Informationen gibt’s beim Arbeitskreis Vorratsdatenspeicherung.

Kategorien
Microblog

Ihre Stimme wurde vom System u…

Ihre Stimme wurde vom System unter der Mitzeichnungsnummer 12518 erfasst. http://t.co/cL7n4gW #

Kategorien
Blog

Die heimliche Regierung sitzt in Karlsruhe

Und das liegt nicht etwa daran, dass die Verfassungsrichter machtgierig wären. Es ist nur schon seit mehreren Legislaturperioden so, dass neue Gesetze so chaotisch und handwerklich schlecht ausgeführt sind, dass sie eigentlich alle umgehend in Karlsruhe vorgelegt werden (müssen).

Heute:

Der Erste Senat des Bundesverfassungsgerichts hat entschieden, dass die Regelungen des TKG und der StPO über die Vorratsdatenspeicherung mit Art. 10 Abs. 1 GG nicht vereinbar sind.

Auf das Bundesverfassungsgericht ist eben noch Verlass.

Kategorien
Microblog

Aus gegebenem Anlass: DER Krak…

Aus gegebenem Anlass: DER Krake, DER! DER!! *DER* #vds #

Kategorien
Microblog

RT @bov Bundesverfassungsgeric…

RT @bov Bundesverfassungsgericht erklärt sehr lange und ziemlich diplomatisch: Schäuble ist doof #vds #

Kategorien
Microblog

RT @giardino Jetzt fände ich …

RT @giardino Jetzt fände ich einen Autokorso angemessen. #urteil #vds #

Kategorien
Microblog

@netzpolitik … und ZDF disku…

@netzpolitik … und ZDF diskutiert auch intern weiter 🙁 #

Kategorien
Microblog

Gut, dass wir das #BVerfG habe…

Gut, dass wir das #BVerfG haben. Deutschland wäre sonst schon in Polizeistaat oder Chaos (oder beides) versunken. #vds #

Kategorien
Microblog

Oh, Server bei @netzpolitik we…

Oh, Server bei @netzpolitik weg. #vds #

Kategorien
Blog

Juhuu, der Staat soll’s richten

Wie schon vorhergesagt melden sich jetzt Befürworter einer zentralen Vorratsdatenspeicherung. Die Begründung ist aber interessant — ich hatte ja technische Gründe und die Schwierigkeit der Verheimlichung des Zugriffs gegenüber dem Telekommunikationsanbieter (der ja mit den bösen Jungs unter einer Decke stecken könnte) angeführt. Klaus Jansen, Vorsitzender des Bunds Deutscher Kriminalbeamter sagt aber (vie heise und die Neue Osnabrücker Zeitung):

Es ist doch offensichtlich, dass sensible Kundendaten bei privaten Unternehmen mehr als schlecht aufgehoben sind.

und

Die heutige Praxis einer sechsmonatigen Speicherung direkt beim Telefonanbieter öffnet Missbrauch Tür und Tor.

Man traut also den Unternehmen den Umgang mit ihren eigenen Kundendaten nicht zu (die erwähnte „heutige Praxis“ wurde doch gerade erst neu vorgeschrieben, das war vorher kürzer). Ob die Daten da beim Staat besser liegen? Ich glaub das ja eher nicht.

Kategorien
Blog

Das Fernmeldegeheimnis ist unverletztlich (noch)

Ich hatte mich ja vor kurzem mit der technischen Durchführbarkeit der Vorratsdatenspeicherung beschäftigt. Die Probleme, die ich dort kurz beleuchtet habe stellen natürlich nicht den einzigen (und nicht einmal den wichtigsten) Grund dar, um gegen das ganze Ansinnen zu sein. Hier kommen all die juristischen Bedenken und dystopischen Schreckensszenarien ins Spiel, die ich in dem oben erwähnten Artikel absichtlich ausgeklammert habe.

Bevor das neue Gesetz morgen im Bundestag (vermutlich) durchgewunken wird sollten daher möglichst viele Bürger nochmal klarstellen, daß sie damit nicht einverstanden sind (Demokratie!), und wenn ich schon nicht an der physischen Demonstration teilnehmen konnte (hey Leute, Stuttgart 17:00-19:00? Da bin ich noch im Büro) , so kann ich wenigstens diese Seite „Trauer tragen“ lassen:

Stoppt die Vorratsdatenspeicherung!

(Todesanzeige vom Arbeitskreis Vorratsdatenspeicherung)

Ich les‘ jetzt nochmal 1984…

Kategorien
Blog

Vorratsdatenspeicherung. Wie geht das eigentlich?

Über die juristischen Aspekte der Vorratsdatenspeicherung wurde ja schon regelmäßig an verschiedenen Stellen geschrieben. Wer da noch irgendwelche Informationen braucht, der soll mal da nachlesen.

Ich bin aber nun einmal kein Jurist sondern Techniker, und ich mache mir deshalb ganz andere Gedanken. Deshalb blende ich mal die Frage des Sinns und der Rechtmäßigkeit aus und beschäftige mich nur mit der technischen Machbarkeit.

Welche Daten sollen wir Sammeln:

Nachdem erst Horrormeldungen über die Protokollierung jeder TCP/IP-Verbindung (oder sogar jedes Pakets) kursierten, hat man sich inzwischen auf eine Interpretation geeinigt, in der die gesammelten Daten sehr den ohnehin vorhandenen Logfiles ähneln. Von den Protokollpflichtigen Diensten betreibe ich auf meinem Server nur eMail. Da entstehen bei Versand und Empfang etwa diese Daten (die Mail geht von diesem WordPress-Blog an mich selbst):

Nov  2 17:00:52 charon postfix/pickup[12229]: DEDF9FC443A: uid=33 from=<www-data>
Nov  2 17:00:52 charon postfix/cleanup[14398]: DEDF9FC443A:
   message-id=<1e8ccd8056aded93f095b735e2d1373f@wazong.de>
Nov  2 17:00:52 charon postfix/qmgr[30704]: DEDF9FC443A:
   from=<www-data@wazong.de>, size=1154, nrcpt=1 (queue active)
Nov  2 17:00:52 charon postfix/local[14502]: DEDF9FC443A:
   to=<dentaku@wazong.de>, relay=local, delay=0,
   status=sent (delivered to command: procmail -a "$EXTENSION")
Nov  2 17:00:52 charon postfix/qmgr[30704]: DEDF9FC443A: removed

Beim Abruf diese:

Nov  2 16:08:54 charon imaplogin: LOGIN, user=dentaku, 
   ip=[::ffff:90.186.88.15], protocol=IMAP
[...]
Nov  2 16:45:17 charon imaplogin: LOGOUT, user=dentaku, 
   ip=[::ffff:90.186.88.15], headers=20200, body=2439620

Vergleichen wir das mal mit dem Gesetzesentwurf, wie er auf vorratsdatenspeicherung.de steht:

Anbieter von Diensten der elektronischen Post (E-Mail) speichern

  1. bei Versendung einer Nachricht die Kennung des elektronischen Postfachs und die Internetprotokoll-Adresse des Absenders sowie die Kennung des elektronischen Postfachs jedes Empfängers der Nachricht,
  2. bei Eingang einer Nachricht in einem elektronischen Postfach die Kennung des elektronischen Postfachs des Absenders und des Empfängers der Nachricht sowie die Internetprotokoll-Adresse der absendenden Telekommunikationsanlage,
  3. bei Zugriff auf das elektronische Postfach dessen Kennung und die Internetprotokoll-Adresse des Abrufenden,
  4. die Zeitpunkte der in den Nummern 1 bis 3 genannten Nutzungen des Dienstes nach Datum und Uhrzeit unter Angabe der zugrunde liegenden Zeitzone.

Ja, alles da.

Die Schwierigkeit wäre also eher entweder ein einheitliches Logformat einzuführen (lustig in diesem Zusammenhang, daß ausgerechnet der Webtraffic, für den es mit CLF einen Quasistandard gäbe, nicht bevorratsspeichert werden soll) oder für jedes Logformat einen Parser zu schreiben, der die gewünschten Daten extrahiert.

Platz:

Diverse Artikel haben ja schon größere Bedenken über die Menge der gespeicherten Daten geäußert. Diese Bedenken teile ich nur bedingt: natürlich kostet das alles Geld, die Preise für Speichermedien fallen aber so schnell, daß das keinen Provider in die Pleite treiben wird (kommt schon Leute, wohin speichert denn flickr die ganzen Bilder, selbst für unbezahlte Accounts?). Außerdem speichern die meisten Dienste die Daten ohnehin schon durch die ganz normalen Logfiles (siehe oben). Problematisch wird die Datenmenge erst bei der Auswertung (immer wieder lesenswert dazu: dieses Interview).

Wie kommen die Daten jetzt zu den Strafverfolgern:

Jetzt sind die Daten also vorgehalten, wie kommen die berechtigten Behörden denn jetzt dran? Dafür muß eine neue Serversoftware erstellt werden, an die auf alle Fälle hohe Sicherheitsanforderungen bestehen:

Einerseits darf natürlich nicht irgendein unberechtigter die Daten abrufen, es wird also eine X509/TLS-artige Schlüsselinfrastruktur benötigt. Damit kann sich die Behörde gegenüber dem Logfilesammler (auf Wunsch auch umgekehrt) ausweisen, und die Möglichkeit zur verschlüsselten Übertragung gibt’s bei vielen Implementationen auch gleich noch dazu.

Andererseits soll der Serverbetreiber natürlich möglichst auch nicht merken, daß die Daten eingesehen werden (denn er steckt ja vielleicht mit den bösen Buben unter einer Decke). An dieser Stelle wird es kompliziert, denn wenn auf der Vorratsdatenspeicherungsschnittstelle sonst nie was passiert, dann sieht der Administrator den Zugriff allein schon an den Datenvolumenauswertungen (insbesondere dann, wenn diese auf IP-Port-Basis aufgebrochen sind):

MRTG

Da hilft es nur, die Daten ganz langsam herunterzuladen — aber was ist „langsam“ genau?

Besser ist es, ständig (oder unregelmäßig) auf allen (oder zufälligen) angebundenen Servern Datenverkehr erzeugen, so wie es z.B. TOR macht, das ist aber durch hohe Übertragungskosten recht teuer.

Software:

Was wäre sonst noch zu wünschen?

Da die Logfiles doch eine beträchtliche Datenmenge beinhalten, die in dieser Form nur aufwendig durchsucht werden kann sollten die gewonnenen Daten in einer relationalen Datenbank mit guter Indexmöglichkeit abgelegt werden (sonst sieht der Betreiber die Abfrage an der Prozessorlast statt am Datenverkehr). Das erleichtert auch die Löschunggenau der Daten, deren Aufbewahrungspflicht abgelaufen ist.

Damit die neue Schnittstelle zur Abfrage nicht mit anderen Diensten kollidiert, sollte ihr am besten von der IANA offiziell einen Port zugewiesen werden (vgl. OpenVPN, die früher einfach Port 5000 benutzt haben — jetzt gehört ihnen „hochoffiziell“ Port 1194).

Aus den Problemen mit ELSTER sollte unser Land gelernt haben, daß es nicht gut ist, (Pflicht-)Software nur für ein Betriebssystem bereitzustellen. Wo man einer (achtung, Klischee) Werbeagentur mit reiner Maclandschaft vielleicht noch zumuten kann, sich für die elektronische Umsatzsteuervoranmeldung halt doch einen Windows-PC anzuschaffen, da ist die gesetzliche Zwangsumstellung aller Mail-, RADIUS-, VoIP- und …-Server auf eine einheitliche Plattform (z.B. Windows Server 2008, nur 64bit?) schlicht nicht durchführbar (wobei ich keine Prognosen darüber wage, ob es nicht trotzdem versucht wird). Anderenfalls würden sich die Provider der bösen Buben vielleicht durch möglichst exotische Betriebssysteme aus der Vorratsdatenspeicherungspflicht herausstehlen (z.B. MPE/iX?).

Abhilfe schafft hier nur der Vertrieb im Sourcecode (die Unterstützung von POSIX- und win32-API sollte hier fas alles abdecken) oder ein offengelegtes Protokoll, so daß verschiedene Implementationen von dritten erstellt werden können. In diesen beiden Fällen läßt es sich aber kaum zu verhindern, daß der behördliche Zugriff in der einen oder anderen Version aufgezeichnet wird — ein Dilemma, für das es keinen Ausweg gibt…

Die technisch saubere Lösung:

Es sei denn man dreht die Zugriffsrichtung um und überträgt die Daten ständig sobald sie anfallen. Dieser Trick löst elegant sowohl die Probleme des Speicherplatzes als auch des Mitlesens bei Zugriffen durch die Strafverfolgungsbehörden. Diese Variante fordert allerding uneingeschränktes Vertrauen in die Behörde, die sich dann im Besitz der Daten befindet (wobei der Unterschied zwischen Daten, die sich schon dort befinden und Daten, die bei Bedarf jederzeit abgerufen werden können eigentlich in der Praxis kaum ins Gewicht fällt).

Wir verlassen an dieser Stelle allerdings auch wieder die technischen Aspekte, drum höre ich hier auf.