Nachdem die ganze Dimension des Schadens für die Zivilgesellschaft durch den NSA und andere Geheimdienste nach den Snowden-Enthüllungen langsam sichtbar wird, sind vielerorts Leute mit den Aufräumarbeiten beschäftigt.
Nicht nur, dass sehr viel offener über die Vorgänge in der Vergangenheit bei der technischen Standardisierung geredet wird, es wird mit Hochdruck an vielen Stellen mit viel Aufwand nach Schwachstellen in kritischen Softwarekomponenten gesucht. Zudem wird grade untersucht, was überhaupt noch an Software für den kritischen Einsatz in Frage kommt und was an kryptographischen Algorithmen als gebrochen und welche Zufallszahlengeneratoren als kaputt gelten müssen.
Auch wenn die politische Aufarbeitung momentan, außer im EU-Parlament durch den LIBE-Ausschuss, so ziemlich gegen Null tendiert, so zeigen sich zumindest auf technischer Ebene durchaus einige positive Auswirkungen, denn durch den erhöhten Aufwand werden auch Fehler gefunden, die gar nichts mit den Hintertüren von Geheimdiensten zu tun haben.
Aber auch sonst sorgen die Lehren aus der Affäre dafür, sich grundsätzliche Gedanken um die Infrastruktur des Internets zu machen. Die Internet Engineering Task Force (kurz IETF), die zuletzt einen lesenswerten Entwurf dazu veröffentlicht hat, welche von den SSL/TLS-Versionen überhaupt noch einigermaßen sicher zu verwenden ist (sie kommen zu dem Ergebnis, dass eigentlich nur TLS in Version 1.2 übrig bleibt), hat nun ein Papier mit dem Namen PRISM-Proof Security Considerations veröffentlicht, in dem noch einmal aufgezählt wird, was wir technisch wissen und worauf wir uns einstellen müssen.
Mir gefällt z.B. dabei der Begriff Kleptography gut, mit dem der einleitenden Absatz zu Problemen mit aktueller Kryptographie beginnt:
Kleptography is persuading the party to be intercepted to use a form of cryptography that the attacker knows they can break. Real life examples of kleptography include the British government encouraging the continued use of Enigma type cryptography machines by British colonies after World War II and the requirement that early export versions of Netscape Navigator and Internet Explorer use 40 bit symmetric keys.
Aber auch sonst finde ich dieses Papier lesenswert, denn es ist vergleichsweise leicht verständlich geschrieben (auch wenn es im Detail natürlich etwas im Ungefähren bleibt). So behandelt es die Angriffsmöglichkeiten und -fähigkeiten genauso wie die praktisch verblieben Möglichkeiten der technischen Kontrolle bzw. des Schutzes.
Auch wenn immer noch viele der genauen technischen Details gar nicht öffentlich bekannt sind, ist es doch ein guter Ansatz darüber nachzudenken, was zu tun ist, um das Internet besser gegen jede Art von Angreifer resistent zu machen – egal ob nun gegen Geheimdienste oder Kriminelle. Ich würde mir zudem wünschen, dass wir genau so etwas auch auf deutsch haben und damit die Detaildiskussionen verbessern können.
Disaster-Recovery, auch bekannt als Aufräumarbeiten
Draft, auch bekannt als Entwurf. Sagmal gehts noch? Als selbsternannter Journalist sollte man auch in der Lage sein Begriffe einzuordnen. Wohin solche derbe Sprachfaulheit führt, sieht man am sog. Juristendeutsch. Dort gehts hauptsächlich darum, fachfremden Personen ein Verstehen des Textes so schwer wie möglich zu machen. Ihr seid auf einem guten Weg dorthin.
Wegen eines nicht übersetzten Wortes so einen Ton anzuschlagen. Sagmal gehts noch? Als Kommentator sollte man in der Lage sein, konstruktive Kritik sachlich zu formulieren.
Vielen Dank für die Hinweise! Und nein, ich möchte kein Journalist sein :)
ein lesenswerten Draft -> einen lesenswerten Draft
dass es eigentlich nur -> dass eigentlich nur
praktisch verblieben -> praktisch verbliebenen (?)
Auch wenn wir immer noch -> Auch wenn immer noch
Wie schön, dass wir keine anderen Probleme außer Wortklaubereien haben …