Screenshot eines Interviews mit Chris Roberts auf CNBC am 21. April.
Einige werden es letzte Woche gelesen haben: Dem Hacker und IT-Sicherheitsberater Chris Roberts wurden bei einem inneramerikanischen Flug all seine Rechner und Datenträger beschlagnahmt, da er sich weigerte, die Passwörter für die Verschlüsselung rauszurücken.
Das Pikante an der Geschichte ist zum einen, dass sich Roberts schon länger mit der IT-Sicherheit an Bord von Flugzeugen beschäftigt und daher in den Medien dazu als Experte mehrfach interviewt wurde, zum anderen, dass ein unmittelbar vor dem Abflug von ihm abgesetzter Tweet möglicherweise die Ursache für den stundenlangen Ärger und die Beschlagnahme waren.
Doch war tatsächlich der als Scherz gemeinte Tweet der Auslöser? Wir haben Chris Roberts um ein Interview gebeten, um ihn zu dem Vorfall zu befragen. Trotz einer verständlicherweise stressigen Woche hat er sich die Zeit genommen, auf unsere Fragen zu antworten.
(This interview is also available in English, thanks to Kathrin for the translation!)
netzpolitik.org: Hast Du Deine Hardware zurückbekommen? Falls nicht, hast Du eine Ahnung, wann Du sie zurückbekommen wirst?
Chris Robert: Nein, keine Ahnung. Ich weiß nur, dass das FBI-Büro in Denver die Hardware von den Leuten aus Syracuse angefordert hat. Ich habe keine Ahnung, was als nächstes passiert.
netzpolitik.org: Hattest Du vor dem Zwischenfall am 16. April irgendwelche Probleme an Grenzen oder Flughäfen?
Chris Robert: Nichts Nennenswertes. Ich habe den Status „Global Entry“, durch den ich viele Problembereiche umgehen kann.
netzpolitik.org: Hast Du bereits andere Vorfälle nach dem Motto „Tötet den Boten“ erlebt?
Chris Robert: Ja, mehrmals, mit der Automobilindustrie, die aber irgendwann eingelenkt und seitdem mit uns zusammengearbeitet haben. Wenn es um SCADA geht, geben sie sich noch störrisch, und beim Gesundheitswesen ist es noch immer ein völliges Schlamassel.
netzpolitik.org: Wirst Du rechtliche Schritte unternehmen und falls ja, wird Dich die EFF dabei unterstützen?
Chris Robert: Die EFF hat den Fall übernommen, sie helfen mir. Sie beraten sich darüber, was die nächsten Schritte sein werden.
netzpolitik.org: Glaubst Du an einen Zusammenhang zwischen dem Tweet, den Du vor dem Einsteigen gesendet hast, und dem Vorfall oder an eine Verbindung zu Deinen Interviews zur Flugsicherheit bei „Fox News“ im März und April?
Chris Robert: Ja, der Tweet war die direkte Ursache für den Vorfall. Es sieht so aus, als ob United Airlines einen Blick darauf hatte und das FBI darüber informiert hat, dass ich eine Bedrohung darstelle.
netzpolitik.org: Haben sie Dir direkt gesagt, was den Vorfall ausgelöst hat?
Chris Robert: Nein, das habe ich mir aus den Dokumenten, die ich bisher gesehen habe, zusammengereimt.
netzpolitik.org: Stimmt es, dass auf keine Deiner Festplatteninhalte zugegriffen werden konnte, weil Du alle Deine Daten verschlüsselt hast?
Chris Robert: Ja, die Systeme UND die Platten sind alle verschlüsselt, manche haben getrennte (zusätzliche) Schutzebenen eingebaut, also über die in den Systemen verwendete Standardverschlüsselung hinaus.
netzpolitik.org: Gibt es bei Computern, auf denen sensible Kundendaten gespeichert sind, ein Standardprozedere hinsichtlich Verschlüsselung und Back-ups, das Du routinemäßig vor Flugreisen durchführst?
Chris Robert: JA, die ganze Firma arbeitet mit verschlüsselten Systemen, alle Computer und tragbaren Datenräger müssen das haben. Wir haben eine Null-Toleranz-Politik bei unverschlüsselten Geräten.
netzpolitik.org: Bist Du aus Deiner Sicht korrekt behandelt worden?
Chris Robert: Alle waren höflich und gesittet, aber ich fand die ganze Reaktion nicht gerechtfertigt, ganz zu schweigen von der anschließenden Reaktion von United Airlines.
netzpolitik.org: Wurde irgendwas in Deinem Gepäck gefunden, das gegen Dich verwendet werden wird?
Chris Robert: Ne, das Gepäck war sauber.
netzpolitik.org: Wirst Du in Zukunft irgendwie gebrandmarkt sein, wenn Du wieder fliegen willst?
Chris Robert: Gute Frage, wer weiß das schon. Man sollte wohl logischerweise davon ausgehen, dass ich unter verstärkter „Beobachtung“ stehe.
netzpolitik.org: Bezüglich der Angriffsmöglichkeiten, die Du in den Interviews bei „Fox News“ beschrieben hast: Welche Reaktionen gab es von Anbietern oder den Verantwortlichen für die Flugsicherheit?
Chris Robert: Auf Probleme sind sie nicht eingegangen, da ist nichts auf fruchtbaren Boden gefallen, seit wir um das Jahr 2010 herum darauf aufmerksam gemacht haben.
netzpolitik.org: 2014 hatte Ruben Santamarta einen Angriff beschrieben, der das bordeigene Unterhaltungssystem ausnutzt. Gibt es heute andere Reaktionen zu Deinen Interviews als vor einem Jahr?
Chris Robert: Ne, das ist ziemlich ähnlich: „Oh, das ist super/schlecht“, und dann läuft alles so wie vorher.
netzpolitik.org: Möchtest Du noch etwas hinzufügen?
Chris Robert: Ne, ich denke, es wurde alles angesprochen. Verzeihung, dass die Antworten so kurz geraten sind. Es war eine lange Woche! :)
Kurz nach dem Interview hat Roberts folgendes in einem Tweet berichtet:
Die Kommentarspalte bei Schneier on Security dazu ist interessant. Neulich waren da sehr viele Leute der Meinung, Roberts sei selber Schuld das die Behörden ihn in die Mangel genommen haben – und ich konnte sogar einen Teil des Arguments nachvollziehen.
Das ist es ja. „Ich kann die Argumente nachvollziehen,“ ist zunächst eine neutrale Aussage. Bei genauerer Betrachtung aber auch eine gefährliche. Roberts hat in seiner Eigenschaft als IT-Spezialist über die Möglichkeit von Sicherheitslücken spekuliert. Mehr nicht. Juristisch gesprochen, er hat von seinem Grundrecht auf freie Meinungsäußerung Gebrauch gemacht. Wer nun sagt, er könne die Reaktionen bzw. Folgen nachvollziehen, der sagt indirekt auch, dass er die Freiheit der Meinungsäußerung nur für bestimmte Meinungen und Formulierungen zulässt. Das ist aber gerade das Gegenteil dessen, was in der Verfassung der USA steht. Und hier wird dieser Fall dann interessant.
Die nationale Sicherheit der USA steht höher als die Verfassung und erst recht höher als irgendwelche Menschenrechte.
wobei „nationale sicherheit“ als „sicherheit des imperiums“ zu verstehen ist
nicht „sicherheit irgendwelcher menschen _im_ imperium“, die sind aus sicht des apparats alls expendable. sondern blanker machterhalt. sonst hätte man ja auch inhaltlich reagiert
Beachte mein „pro parte“.
Ich konnt den Teil nachvollziehen, in dem jemand darauf hinwies dass Roberts öffentliches Spekulieren über einen Angriffsvektor ähnlich aufgefasst werden könnte öffentliche Äußerungen zu anderen Sicherheitsrelevanten Punkten. Ich habe das nie selbst erlebt, aber wenn jemand in einem Flugzeug laut spekulieren würde, wie man z.B. eine Bombe an Bord schmuggeln könnte, dann würden die US-Behörden da wahrscheinlich auch etwas gereizt reagieren. Die Argumentation „he had it coming“ kann ich in diesem einen Punkt nachvollziehen.
Dass ich die Reaktion in beiden Fällen für bescheuert halte, brauche ich hoffentlich nicht dazu zu sagen.
Juristisch sagen wir dazu mal besser nichts, weil US-Recht doch sehr anders ist und anders gesprochen wird als das in der BRD, welches uns auch nicht richtig vertraut ist. Hm?
Der Ausdruck dafür nennt sich „Sippenhaftung“, welche nicht zwangläufig auch zur „Sippenhaft“ führen muss :)
Ansonsten interessanter Artikel!
*s
Ja, und ich hab auch schon von Deutschen „Kill the messenger“ gehört ;)
Egal ob oder wann er seine Hardware zurückbekommt – sie ist unbrauchbar. Ein Computer, auf den das FBI (oder sonstige Sicherheitsbehörden) physischen Zugriff hatte ist als kompromittiert zu betrachten. Wenn die ein Bootkit raufspielen, nützt die beste Verschlüsselung nichts mehr.
Viellicht bin ich ja einfach blind oder unfähig mit den neuen Medien umzugehen, aber was hat er den nun wann genau getweeted. Nicht dass das eine gute Rechtfertigung wäre aber das die Amis bei tweets keinen Spass verstehen sollte einer in seiner Branche trotzdem wissen und einkalkulieren.
wüsste ich auch gern genau.
um „spaß“ ging es ihm jedenfalls nicht. was die Amis nicht abkönnen, ist offenbar (konstruktive) Kritik. woanders hab ich gelesen, er sagte, der internetzugang an bord wäre von der Bordelektronik nur durch eine firewall getrennt.
Ne diese Info stammt meines Wissens direkt von der FAA die das beim neuen Dreamliner kritisiert haben. Soviel ich weiss. ICh meine zu wiederholen was die FAA sagt kann man ja schelcht verbieten :D
Steht so halbseiden im verlinkten Artikel, aber hier ist der Originaltweet:
„Find myself on a 737/800, lets see Box-IFE-ICE-SATCOM, ? Shall we start playing with EICAS messages? „PASS OXYGEN ON“ Anyone ? :)“
https://twitter.com/Sidragon1/status/588433855184375808