WEBVTT NOTE Podcast: Logbuch:Netzpolitik Episode: LNP242 Make §§§ fast Publishing Date: 2018-02-05T13:05:56+01:00 Podcast URL: https://logbuch-netzpolitik.de Episode URL: https://logbuch-netzpolitik.de/lnp242-make-ppp-fast 00:00:00.005 --> 00:00:07.475 Guten Morgen. Guten Morgen Tim. Willkommen in meinem besonderen synchronischen Verkauf. 00:00:28.819 --> 00:00:36.739 Lokbuchnetzpolitik Nummer zweihundertzweiundvierzig vom man mag's nicht glauben, vierten Februar zwanzig achtzehn. 00:00:36.445 --> 00:00:39.863 Sonntagsarbeit kriegt ja auch keiner bezahlt. 00:00:41.066 --> 00:00:44.256 Aber so ist es. Früher, früh am Morgen. 00:00:42.099 --> 00:00:48.685 So ist das, ne? Der wenn man so viel verdienen möchte wie Anwälte, muss man auch sieben Tage die Woche arbeiten. 00:00:48.385 --> 00:00:52.981 Genau, da gibt's keine Familie, da gibt's äh nichts, worauf man noch. 00:00:52.681 --> 00:00:57.338 Gibt's nur den, da gibt's nur den Porsche und die Klienten. Ähm. 00:00:55.355 --> 00:01:02.668 Tesla heißt das jetzt, Tesla. Tesla. Ja. Ein Porsche kannst du heute nicht mehr beeindrucken. 00:01:02.692 --> 00:01:10.612 Ne? Tesla. Ja, stimmt. Ähm ich wollte noch ganz kurz äh zwei, bevor wir uns dem Hauptthema widmen, 00:01:11.021 --> 00:01:17.192 ein bisschen Empfehlung äh abgeben. Und zwar hast du mich ja 00:01:17.084 --> 00:01:31.325 zum Kongress gefragt und da fiel mir, habe ich ja gesagt, ja, man kann ja ganz viel vierunddreißig C drei gucken, das stimmt ja auch, haben wir auch ein bisschen wieder drüber gesprochen. Man kann aber auch dreiunddreißig C drei gucken. Und das ist so ein bisschen, 00:01:31.374 --> 00:01:32.449 untergegangen, 00:01:32.936 --> 00:01:45.380 denn bei dem dreiunddreißig C drei hat Mark Zorko, der mir geschrieben hat, ich soll ihn bitte nicht als Dokumentarfilmer bezeichnen, weil er nur ab und zu mal ein bisschen Dokumentarfilme macht. Ähm, 00:01:45.711 --> 00:01:54.809 einen kleinen Film gedreht, der so ein Viertelstündchen geht und sehr ähm so das Drumherum von dem Kongress auf äh aufnimmt, also wie 00:01:54.641 --> 00:02:07.596 unterschiedliche Gruppen da arbeiten und redet so viel mit den Koordinatoren vom Himmel, redet ein bisschen mit mir und mit den äh mit dem Projekt Chaos, Patin und so und hat sich da mehr so ein bisschen 00:02:07.500 --> 00:02:12.583 auf das äh soziale Zusammensein des Kongresses, 00:02:12.782 --> 00:02:19.578 da fokussiert den Link findet ihr in den Shownotes, der Film heißt dreiunddreißig C drei Workshop, schöner Film. 00:02:20.185 --> 00:02:27.318 Kann man sich echt mal anschauen und ähm er weist auch gerne darauf hin, dass er noch einen anderen Film gemacht hat äh 00:02:27.264 --> 00:02:38.537 der den Sieg sichern heißt äh in dem es um die internationalen Brigaden zur Unterschützung des Kampfes für Demokratiefreiheit und Gleichberechtigung, 00:02:38.537 --> 00:02:44.245 in Royova und gegen die von Erdogan unterstützten Terrorbanden geht, 00:02:44.660 --> 00:02:54.280 und äh da kann man auch auf jeden Fall eine ganze äh eine ganze Menge lernen auf dem YouTube Kanal und diese Filme seien hiermit, 00:02:54.539 --> 00:02:56.612 auf jeden Fall euch empfohlen. 00:02:58.577 --> 00:03:10.859 Ja, aber eigentlich geht's ja heute um was anderes. Heute wollten wir, das haben wir in der letzten Sendung auch schon angekündigt, uns mal um das besondere elektronische Anwaltspostfach äh kümmern, was ja 00:03:10.752 --> 00:03:25.600 hier auch schon ein wenig Welle gemacht hat und bevor es hier schon Welle gemacht hat, hat's vor allem schon auf dem Kongress mächtig Welle gemacht. Ja und dazu begrüßen wir heute unseren Gesprächspartner, den Markus Markus Dränger aus Darmstadt. Hallo Markus. 00:03:25.846 --> 00:03:26.910 Ja hallo. 00:03:27.409 --> 00:03:33.670 Schön, dass du es äh zu uns geschafft hast. Ähm wir wollten dem Ganzen halt mal ein bisschen mehr Raum, 00:03:33.712 --> 00:03:46.764 einräumen, warum eigentlich? Wahrscheinlich, weil einerseits das natürlich so ein bisschen so in unserem Kulturkreis äh jetzt hier so ähm breit aufgerollt worden ist, andererseits, weil das unserer Meinung nach auch so ein Thema ist 00:03:46.710 --> 00:03:56.384 Woran man mal wieder eine ganze Menge festmachen kann, was nicht nur so für sich ähm eine Information und eine interessante Geschichte ist. 00:03:56.084 --> 00:04:00.440 Manche Cluster Fax sind so groß, dass sie eine ganze eigene Sendung be. 00:04:00.555 --> 00:04:04.220 Aber nicht nebenbei abhandeln. Genau. 00:04:01.907 --> 00:04:15.030 Kann man nicht nebenbei abhandeln da muss man sich mal zurücklehnen und das in Ruhe sitzieren. Und das wollen wir mit dir machen Markus, weil du auch das Bea so schön so sitziert hast, 00:04:15.499 --> 00:04:23.894 Vielleicht willst du ein bisschen was zu dir sagen, was ist denn so dein, dein Hintergrund? Wie bist du denn irgendwie an die Nummer gekommen, was was machst du so. 00:04:24.549 --> 00:04:34.379 Ich bin Informatiker und bin beim Chaos in Darmstadt äh aktiv, äh bin dort äh Mitglied im Vorstand und ich habe ein paar Juristen als Freunde, Anwälte, 00:04:34.410 --> 00:04:38.411 und die hatten sich äh im Sommer äh August, September, über, 00:04:38.442 --> 00:04:45.021 beschwert über das Bea und ihre Smartcards, die sich bestellen müssen, dass die Software so hässlich aussieht, 00:04:45.202 --> 00:04:52.004 Und das ist ja wieder so ein doofes, doofes Projekt ist. Und äh dann kam ich auf die Idee, mir das mal anzuschauen. 00:04:51.710 --> 00:04:55.495 So, so, du hast also Anwälte eins für als Freunde. 00:04:56.457 --> 00:04:59.377 Das kommt ja manchmal vor, ne. 00:04:58.500 --> 00:05:06.840 Ja. Aber was ist so dein dein also was ist so deine deine persönliche technische Expertise so, also inwiefern. 00:05:07.003 --> 00:05:17.909 Hab 'ne Ausbildung gemacht, hab 'n Studium gemacht und ja TUI Informatik noch nicht. 00:05:17.819 --> 00:05:18.995 Aha, noch ist es. 00:05:18.745 --> 00:05:19.826 Echter Hacker. 00:05:19.576 --> 00:05:24.116 Noch ist es nicht zu spät. 00:05:23.816 --> 00:05:26.118 Sehr schön, 00:05:26.683 --> 00:05:37.955 Und dann hast du dir dieses, dass du dieses Ding angeschaut und äh wahrscheinlich unsere äh Hörerschaft weiß schon grob, wo es hingeht, dass danach war nicht mehr viel übrig, 00:05:38.214 --> 00:05:44.379 Der Fallout war etwas größer, aber vielleicht wollen wir uns erstmal äh müssen wir, glaube ich, so ein bisschen erklären, 00:05:44.614 --> 00:05:53.597 Was ist denn dieses Bär? Warum gibt's das überhaupt? Welches welches Problem sollte hier gelöst werden, 00:05:54.427 --> 00:06:02.845 Also warum, was, was, was ist die Aufgabenstellung, die es hier gab für dieses, für diesen, für diese nicht vorhandene Lösung? 00:06:03.506 --> 00:06:15.512 Ja, also auch die Justiz wird ja digital und äh dort kommen jetzt auf die Idee, äh nicht nur äh Post für A nach B zu schicken, sondern auch die ganzen Dokumente, elektronisch von A nach B zu schicken, 00:06:15.789 --> 00:06:19.430 und dazu hat man halt vor einigen Jahren ähm, 00:06:20.121 --> 00:06:28.269 EGVP eingerichtet, ein elektronisches Gerichts- und Verwaltungspostfach und das läuft über so äh Government Protokolle, 00:06:28.799 --> 00:06:36.303 und jetzt sollten natürlich auch Anwälte und andere mit Gerichten elektronisch kommunizieren. 00:06:36.100 --> 00:06:38.226 Was meinst du mit Governman Protokolle. 00:06:38.569 --> 00:06:50.821 Es gibt so ein Protokoll, es nennt sich USCI eins Punkt zwei, das ist sozusagen so ein XF Standard ähm ein so ein so ein XML-Format in dem öffentliche äh, 00:06:51.056 --> 00:06:53.580 Nachrichtenmaschinen lesbar von A nach B gehen. 00:06:53.886 --> 00:06:57.870 Online Services, Computerinterface und das liegt ja sehr spezifisch. 00:06:57.570 --> 00:07:03.380 Das ist ein sehr geiles Protokoll, also ähm ihr könnt das ja ruhig mal angucken und fluchen. 00:07:03.345 --> 00:07:05.165 Service des Computer in der. 00:07:04.072 --> 00:07:14.677 Es wird auch ab und zu manchmal ist ein Transportprotokoll quasi äh ich hab auch Online die Bezeichnung gelesen ist es ist ein XML VPN ähm. 00:07:14.377 --> 00:07:17.532 Mit mit Blockchain oder ohne. 00:07:17.791 --> 00:07:28.336 Ohne also halt schon mit mit IS und RSA und ein paar Meter Daten dazu. Ähm, also ist ein größeres XML-Format. 00:07:28.258 --> 00:07:30.968 Das aber auch irgendwie Transport mit dabei hat oder was. 00:07:31.016 --> 00:07:44.134 Über dieses XML Format transportiert man dann andere Nachrichten, zum Beispiel über X Meld, Meldedaten oder über X-Wasch, das Waffenregister oder über X-Justiz die äh Akte für die Justiz, 00:07:44.699 --> 00:07:49.560 und über dieses Protokoll laufen halt auch EGVP Nachrichten, 00:07:50.240 --> 00:08:01.674 und EGVP Nachrichten sind sozusagen ist eine XML Datei und da werden dann halt ein Betreff äh ein Text und die Anhänger eingebettet und die Signaturen dazu, 00:08:02.198 --> 00:08:07.197 es ist also ein großes XML Dateiformat was dann übertragen wird. 00:08:07.113 --> 00:08:13.879 Aber immerhin schon so mit PKI, also mit so einer Publicue-Infrastruktur äh drin et cetera. Das ist hier alles mitgedacht. 00:08:13.867 --> 00:08:23.277 Ja, ja genau, das äh das kann auch Ende zu Ende quasi äh und äh war halt dafür gedacht, Nachrichten von Behörden von A nach B zu schicken, 00:08:23.734 --> 00:08:31.263 Anforderungen an das BA. Beim BA ging's darum, die Anwälte sollten mit den Gerichten sicher kommunizieren können, 00:08:31.882 --> 00:08:40.595 Das heißt, äh, es musste sichergestellt werden, dass die Anwälte, die Absender sind. Und es musste sichergestellt werden, dass der Transport verschlüsselt stattfindet. 00:08:41.779 --> 00:08:42.500 Also. 00:08:42.284 --> 00:08:51.970 Wofür wir in der Kryptographie ja zwei Lösungen haben. Signaturen und die Verschlüsselung an äh im Rahmen von Public Private Key 00:08:51.917 --> 00:09:04.415 Das sollte ja, ist ja jetzt informatisch, wenn du sagst, dass ich mit Informatik auseinandergesetzt, wie wir alle so ein bisschen, dann würde man jetzt erstmal schätzen, so grundsätzlich technisch ist das Problem ja eigentlich gelöst oder nicht. 00:09:04.512 --> 00:09:19.402 Ja, es ist eigentlich kein großes Problem. Äh es ist halt äh ein ständiger Usecase äh Nachrichten von A nach B zu übertragen und dabei sicherzustellen, dass sie ähm authentisch sind und dass sie äh nicht einsehbar sind beim Transport. 00:09:20.075 --> 00:09:22.028 Nicht veränderbar. Wer noch die. 00:09:21.728 --> 00:09:23.049 Und auch nicht veränderbar. 00:09:23.350 --> 00:09:37.158 Das heißt der der Empfänger kann wirklich quasi mit mathematisch sicher gehen, dass die Nachricht die äh er oder sie vor sich hat vom vorgeblichen Absender, 00:09:37.501 --> 00:09:41.094 stammt und auch nicht verändert wurde, also, 00:09:41.425 --> 00:09:54.753 Das Gericht hat mir das hier geschickt und wirklich das und zwar bittgenau das und auch wirklich dieses Gericht. Und es wäre einem dritten nicht möglich, diese Nachricht zu fälschen oder auch nur zu verändern. 00:09:55.180 --> 00:10:04.926 Genau und dann kommt man aber noch an und äh ändert die Anforderung ein paar Mal. Also das Gesetz, was dazu gemacht worden ist, ist während der Entwicklungsphase dreimal angepasst worden, 00:10:05.359 --> 00:10:08.454 und äh Bedarfsträger gibt's ja immer, 00:10:08.749 --> 00:10:21.986 äh es wurde dann auch äh vorgegeben, dass äh Mitarbeiter oder Partner von Anwälten, also in der Kanzlei arbeitet man ja auch nicht alleine meistens, äh dass die auch Zugriff auf das Postdach bekommen müssen, 00:10:22.491 --> 00:10:25.411 oder dass wir Anwaltignachrichten freigeben kann, 00:10:26.313 --> 00:10:33.536 Und dort ist die Regelung getroffen worden, dass man auf das Postfachzugriff bekommen muss und nicht etwa auf die eingehenden Nachrichten. 00:10:34.612 --> 00:10:45.848 Und das heißt da wo du die Anforderung ein bisschen schwieriger sicherzustellen, dass äh wenn man eine wenn man eine Person Zugriff gibt, dass die auch die Nachrichten von gestern lesen kann. 00:10:47.147 --> 00:10:50.084 Und da hat man sich dann halt auch Dinge einfallen lassen. 00:10:51.233 --> 00:10:53.498 Ach so und da wird dann ähm. 00:10:55.445 --> 00:11:02.121 Also der Anwalt kann quasi im Nachhinein, ach so, jeder Kunde hat quasi auch sein oder jeder Klient hat dann sein eigenes Postfach. 00:11:02.127 --> 00:11:08.274 Nein, also der der Anwalt hat sein persönliches Konto, sein höchstpersönliches und das wird ihm zugeordnet, 00:11:08.863 --> 00:11:12.156 aber jetzt arbeiten Anwälte ja meistens in Kanzleien, 00:11:12.427 --> 00:11:22.455 und das heißt sie arbeiten mit Sekretärinnen oder mit Mitarbeitern und mit Partnern und vielleicht arbeiten auch äh mehr als ein oder zwei Anwälte in einer Kanzlei, 00:11:23.087 --> 00:11:30.081 Und die müssen ja dann ihre höchstpersönlichen, abgesicherten Ende zu Ende äh konnten, mit ihren Mitarbeitern teilen. 00:11:31.181 --> 00:11:36.396 Das heißt, die kriegen dann Accounts und müssen dann Zugriff kriegen auf das Postfach, 00:11:37.226 --> 00:11:46.840 dafür hat man sich dann was einfallen lassen, äh ein HSM, was dann die verschlüsselten Nachrichten in der Mitte aufmacht und an die Mitarbeiter weiterleitet. 00:11:46.540 --> 00:11:47.844 Was ist ein HSM. 00:11:48.205 --> 00:11:59.772 Ein HSM ist ein Hardware Security Modul, ist also ein Server, der in der Mitte steht und ganz sicher sein soll, in dem die privaten Schlüssel für die für die Postbecher liegen. 00:12:02.350 --> 00:12:11.952 Und der der kommt dann die E-Mail ist an den an die Kanzlei formuliert und wird dann nochmal. 00:12:12.097 --> 00:12:18.436 Der Absender schreibt seine Nachricht, äh Betreff äh Body und dann die Anhänge, 00:12:19.031 --> 00:12:29.679 und äh verschlüsselt diese Nachricht an das Postfach. Dazu bekommt er aus dem öffentlichen Verzeichnisdienst ähm den RSA-Schlüssel, 00:12:30.292 --> 00:12:31.397 für das Postfach. 00:12:32.672 --> 00:12:40.513 Und verschlüsselt die Nachricht äh symmetrisch mit IS und den Key für das IS, das Passwort mit dem SA Schlüssel. 00:12:41.541 --> 00:12:50.188 Dann schickt ihr die Nachricht äh an den Server und der nach und der Server kennt zu dem RSA-Schlüssel auch den privaten Schlüssel. 00:12:51.432 --> 00:12:59.734 Dann entschlüsselt der das IS Passwort und verschlüsselt das dann an alle Empfänger die auf das Postfach zugreifen sollen. 00:12:59.707 --> 00:13:00.716 Oh Mann, ey das. 00:13:00.466 --> 00:13:01.473 Also an. 00:13:01.179 --> 00:13:06.833 Gleich, also es ist doch der gleiche Unsinn. Ich hab's gerade hier schon rausgesucht und in die Shownotes gelegt. Ähm 00:13:06.731 --> 00:13:11.370 Zweitausenddreizehn war ich, also ist jetzt auch schon ein paar Jahre her. 00:13:11.184 --> 00:13:30.965 War ich im Rechtsausschuss zum E-Justice Gesetz. Und da wollten sie, da ging es darum, da die D-Mail einzusetzen, ja? Haben sie gesagt, ja, wir wollen irgendwie D-Mail soll auch für den, für den Rechtsverkehr gelten. Er war ja auch wieder genau das gleiche Thema, dass sie da die große Geschichte von der Ende zu Ende Verschlüsselung erzählen und irgendwo in der Mitte steht irgendein 00:13:30.786 --> 00:13:38.639 Gerät, was zwischendurch aufmacht, äh, um allen das Leben irgendwie einfacher zu machen, ja? Und ähm, da 00:13:38.495 --> 00:13:44.077 dieses HSM gehört jetzt ja nicht dem Anwalt oder gehört das wenigstens steht das wenigstens beim Anwalt selber in der Kanzlei. 00:13:44.264 --> 00:13:58.883 Nein, das HSM ist ein zentraler Dienst, äh der wird äh durch die Bundesrechtsanwaltskammer äh die Brack äh betrieben und die Brack hat äh dafür äh die Firma Atos beauftragt, äh das durchzuführen. 00:13:58.650 --> 00:14:06.533 Das heißt, wir wir reden jetzt schon mal sowieso von der Architektur davon, dass irgendwo auf dieser Welt ähm ein, 00:14:07.002 --> 00:14:15.312 Surver, eine Recheneinheit steht, die alle diese Nachrichten zu Entschlüsseln in der Lage ist. 00:14:15.908 --> 00:14:22.006 Ja, da gehen die die Quellen, Daten gehen da ein bisschen auseinander, das können ja auch zwei oder drei oder vier sein, 00:14:22.470 --> 00:14:34.553 verschiedenen Orten, das ist glaube ich auch Ausfallsicht ausgelegt. Äh aber ja, es gibt halt quasi sozusagen im Prinzip eine Stelle im Netz irgendwo, die auf die Nachrichten zugreifen könnte. 00:14:36.002 --> 00:14:42.846 Ich will mal an der Stelle kurz äh uns mal wieder dran erinnern, welchen äh Schlachtplan wir uns hier für die Sendung äh ausgedacht hatten, 00:14:43.045 --> 00:14:51.829 um nicht zu sehr schon gleich hier im Abkürzungswortspiel uns zu verheddern. Vielleicht könntest du nochmal, 00:14:51.902 --> 00:15:05.987 Also wir haben jetzt erstmal grob ausgerollt, okay? Es gibt elektronischen E-Mail-Verkehr, es gibt da auch schon etablierte Standards, es gibt auch schon einige etablierte Infrastrukturen, insbesondere bei den Gerichten. Nun ging's darum, die, 00:15:06.047 --> 00:15:10.968 Anwälte mit anzuschließen. Dazu wurde eben diese neue Softwarelösung 00:15:10.837 --> 00:15:24.549 vorgeschlagen, die so ein wenig schwäche, da sie eben überkommende Vorstellungen von Security ein wenig wieder mit ins Spiel bringt. Das können wir uns ja gleich im Detail auch nochmal anschauen 00:15:25.619 --> 00:15:38.123 Nur, damit wir jetzt hier äh nicht zu viel Begriffsverklärung haben, würde ich ganz gerne mal die Player, die jetzt hier in diesem ganzen Spiel eine Rolle spielen, nochmal kurz äh aufzählen, 00:15:38.268 --> 00:15:42.943 damit wir das nicht alles für Protokoll äh Abkürzungen halten, 00:15:43.135 --> 00:15:49.643 Also, ganz normal die die wichtigsten Player, die wir jetzt hier auch erwähnen werden, mal kurz aufzählen. 00:15:50.208 --> 00:15:55.135 Ja, also ich fange mal an mit der äh Bundesrechtsortskammer. Abgekürzt Brack, 00:15:55.857 --> 00:16:05.092 die ist zuständig, dass Bea umzusetzen. Im Gesetz steht, dass die praktischen Dienst anbieten und betreiben muss, 00:16:05.747 --> 00:16:11.924 die Aufträge vergeben an die Unternehmen. Äh dieses Projekt durchzuführen. 00:16:12.201 --> 00:16:16.359 Was ist denn das für ein für eine Organisation diese Brack. 00:16:16.606 --> 00:16:30.841 Dibrack ist sozusagen die Kammer, äh die IHK der Anwälte. Äh ist also eine eine öffentliche Einrichtung, äh die per Gesetz vorgeschrieben werden ist und ähm die Anwälte müssen da Mitglied sein. Wenn sie zugelassen hatten sein wollen. 00:16:31.917 --> 00:16:40.642 Ähm das heißt, es ist eine so eine Semi-öffentliche Einrichtung äh die kann man per IFG nach nach Dingen fragen. Also fragt den Staat funktioniert. 00:16:41.694 --> 00:16:45.641 Vieles andere nicht, aber ähm da sind sie. 00:16:45.341 --> 00:16:49.409 G-Informationsfreiheitsgesetz. Muss mal hier kurz diese Begriff. 00:16:49.938 --> 00:17:00.886 Sind also äh ein wenig in der Öffentlichkeit. Äh dann hatten sie ein Unternehmen Cup Gamingy beauftragt, sie bei der Durchführung des Projektes zu unterstützen und zu beraten, 00:17:01.626 --> 00:17:11.011 Also äh die haben sowas äh das ist ein großer IT-Dienstleister äh und Unternehmensberatung. Die haben also zu sagen äh das Verfahren beraten äh, 00:17:11.613 --> 00:17:17.964 Ausschreibung, Auswahl, äh Feature Requess et cetera. Ähm. 00:17:18.613 --> 00:17:24.574 Haben den also bei der Ausschreibung des Projektes die bei der Ausschreibung des Projektes beraten oder. 00:17:24.610 --> 00:17:31.154 Genau, also die haben sozusagen äh die Brack äh bei der gesamten Durchführung des Projektes beraten von Anfang bis Ende. 00:17:31.172 --> 00:17:39.224 Was auch verständlich ist, weil die Brack ist ja nun mal eine Rechtsanwaltskammer und äh haben jetzt per Gesetz auf einmal die Hausaufgabe bekommen 00:17:39.062 --> 00:17:58.465 baut mal hier ein mit dem mit unserem System kompatibles, sicheres Kommunikationssystem für Anwälte, ähm das ist eine eine Aufgabe, die auf jeden Fall es in sich hat, vor allem wenn man äh erstmal fachfremd ist. Insofern ist ja verständlich, dass sie nach jemandem suchen 00:17:58.303 --> 00:18:05.436 der ihnen kompetenter zur Seite stehen kann. Unverständlich ist, warum sie dann am Ende niemanden gefunden haben, aber dazu kommen wir später. 00:18:06.121 --> 00:18:09.432 Genau, dann hatten sie äh gefunden äh die Atos, 00:18:09.883 --> 00:18:19.701 ist auch ein sehr, sehr großer IT-Dienstleister und der hat dann quasi ähm sowohl eine Kleinsoftware erstellt, 00:18:20.086 --> 00:18:26.407 als auch ein Vertrag bekommen für den Betrieb der Serverdienste, für den für das BA. 00:18:27.531 --> 00:18:37.037 Ähm und die Arthurs äh hat dann auch noch äh die Firma Secon Side beauftragt. Ähm ein Security-Out durchzuführen. 00:18:38.264 --> 00:18:44.116 Ähm allerdings wissen wir bis heute nicht, äh was getestet worden ist und was dabei rausgekommen ist, 00:18:44.910 --> 00:18:51.579 Also können wir nicht sagen, ob der Test umfangreich war oder was da sozusagen Gegenstand der Prüfung war. 00:18:51.466 --> 00:18:55.551 Ich würde jetzt mal vorsichtig ähm okay, was, 00:18:56.273 --> 00:19:04.397 Was, wenn wir den Test nicht kennen, ist äh können wir über seinen Inhalt wenig Aussagen treffen, aber ähm wenn, 00:19:04.788 --> 00:19:14.240 Wie wir es ja gesehen haben, die Brack und Atos nah bis zum bitteren Ende der Überzeugung waren, dass sie mit diesem Dienst ernsthaft, 00:19:14.258 --> 00:19:22.256 an den Start gehen könnten, dann äh ist davon auszugehen, dass entweder Seconds Halt hier ähm seine, 00:19:22.310 --> 00:19:32.976 Probleme nicht gefunden hat oder äh nicht ausreichend Gehör gefunden hat, ne? Die der Umgang mit dem Ergebnis eines Security-Outlets liegt ja immer im 00:19:32.964 --> 00:19:39.411 des Empfängers, ja? Und man kann natürlich, wenn man sagt, hier sind folgende Risiken und äh, 00:19:39.772 --> 00:19:45.763 Die Bundesrechtsanwaltskammer sagt, ja, das hört sich aber nicht so schlimm an oder Arthur sagt, äh gehen sie bitte weiter ähm, 00:19:46.052 --> 00:19:50.907 Hier gibt es nix zu sehen, kann es natürlich sein, dass die hier trotz Warnung, 00:19:51.160 --> 00:20:03.189 so gehandelt haben, es kann aber auch sein, dass sie nicht gewarnt wurden und im besten Wissen und Gewissen an die Sache rangegangen sind. Insofern sollte man doch mal äh versuchen, 00:20:03.472 --> 00:20:09.204 daran zu kommen an dieses Ergebnis, aber wenn ich dich richtig verstanden habe, müsste man 00:20:09.133 --> 00:20:18.555 diese EIFG-Anfrage könnte man vielleicht an die Bundesrechtsanwaltskammer schicken, aber dann würde Arthos im Zweifelsfall sagen, nee, diesen Outlet hätten wir ganz gerne geheim gehalten. 00:20:19.883 --> 00:20:27.484 Oder Secondsit sagst, das finde ich dann nämlich interessant, daraus würde ich Schlüsse ziehen. Wer von beiden den geheim halten möchte. 00:20:27.184 --> 00:20:36.119 Genau, also ich äh habe da auch angefragt sozusagen äh per IFG und äh bekam die Antwort, dass das Geschäftsgeheimnissesein von Athos, 00:20:36.715 --> 00:20:49.982 und von der Brack. Äh und deswegen könnte man mir das nicht rausgeben. Ähm, ich weiß aber auch nicht sozusagen, was beauftragt worden ist, es kann ja durchaus sein, dass die Seconds halt äh Module oder Funktionen geprüft hat, die sicher sind, 00:20:50.613 --> 00:21:00.979 die Kryptografie als solche macht hier einen guten Eindruck quasi. Also so die von Punkt zu Punkt oder die Authentifizierung mit Smart Cards oder sowas, 00:21:01.502 --> 00:21:10.335 aber ähm wir wissen einfach nicht, was da geprüft worden ist. Von daher können wir dazu wenig sagen und wir können auch nicht sozusagen, ob da jetzt gut oder schlechte Arbeit gemacht worden ist. 00:21:10.377 --> 00:21:17.389 Also um das nochmal in den Hintergrund in den Zusammenhang zu setzen, wenn ich jetzt also eine Überprüfung eine Sicherheit 00:21:17.342 --> 00:21:26.866 Überprüfung in Auftrag gebe, ähm nenne ich normalerweise einen sogenannten Scope und sage, ich möchte folgende Teile meines Programmes oder folgende, 00:21:26.902 --> 00:21:28.710 Angriffsszenarien, 00:21:28.873 --> 00:21:40.001 geprüft wissen und an diesen Skope ist natürlich dann hält sich der Dienstleister natürlich auch und prüft dann nur das, insofern ist die Information irgendjemand hat hier, 00:21:40.146 --> 00:21:47.062 etwas geprüft, dann doch äh relativ relativ wertlos, wenn man nicht den Skope und nicht die Ergebnisse kennt. 00:21:47.501 --> 00:21:50.259 Genau und dann gab's noch die Firma Guvernikus, 00:21:50.836 --> 00:22:04.873 die hat Module beigesteuert sozusagen die in dem Kleine benutzt worden sind. So 'ne Softwarefirma die macht regelmäßig so Government Projekte und hat da ja auch die Librarys für die entsprechenden Protokolle. 00:22:06.328 --> 00:22:16.260 Mhm. Und die Architektur selber, ne. Äh also die Softwarearchitektur, die hat sich aber schon irgendwie Cup Gemine ausgedacht oder 00:22:16.213 --> 00:22:25.310 hat die sich Arthurs dann ausgedacht und die empfohlen und Kap Gamini hat der Bundesrechtsanwaltskammer dann empfohlen das doch so zu nehmen. 00:22:25.695 --> 00:22:35.471 Das weiß ich auch nicht. Ich hatte zwar angefragt, ob ich die Anforderungs- und Pflichtenhefte bekomme, aber auch die waren Geschäftsgeheimnisse, 00:22:35.928 --> 00:22:44.136 Das heißt, ich weiß nicht, wer sozusagen dieses äh Ding gemacht hat. Ich weiß bloß, dass die Atos ein Erstellungsvertrag hatte, 00:22:44.407 --> 00:22:52.916 für die Software. Ähm, also gehe ich davon aus, dass auch das Konzept entwickelt hat wie die Software aussehen soll. 00:22:52.970 --> 00:22:59.802 Mhm. Jetzt haben wir gerade gesagt die Probleme die die grundsätzliche. 00:23:00.944 --> 00:23:13.310 Anforderung, eine Nachricht, Verschlüsse zu versenden, dass sie nur der Empfänger empfangen kann und dass man nachher als Empfänger prüfen kann, wer die Absenderin ist. Äh darüber haben wir uns schon unterhalten, dass die 00:23:13.299 --> 00:23:16.645 kryptografisch ist das, sind diese Probleme gelöst, 00:23:16.730 --> 00:23:25.292 Bilden wir uns zum heutigen Zeitpunkt ein. Wer weiß, äh vielleicht war das doch alles auch nur Unsinn mit dem RSA, aber im Moment sieht's eigentlich noch ganz gut aus. Ähm. 00:23:25.323 --> 00:23:27.089 Sind wir mit den Playern eigentlich durch? 00:23:31.296 --> 00:23:37.833 Ich würde nur gerne vorher nochmal einmal den den Zusammenhang herstellen. 00:23:39.727 --> 00:23:46.583 Wir wissen, wie man sowas ordentlich machen kann und es gibt auch nur einen Weg, das ordentlich zu machen. Und es gibt auch Leute, die kriegen das hin, 00:23:47.424 --> 00:24:00.289 Der Scorp ist hier aber natürlich mit dieser gerichtlichen Kommunikation und so, dass die die Sache wird so ein bisschen komplex und es gibt ein paar Anforderungen, die das Problem erschweren und es gibt ein paar 00:24:00.151 --> 00:24:05.439 Lösungen, die man dann halt direkt als ein Schuss in den eigenen Fuß 00:24:05.301 --> 00:24:15.090 sehen kann und wo man einfach von vornherein sagen kann, das ist falsch, das geht nicht, das kann man so einfach nicht machen. Und darauf werden wir, glaube ich, jetzt in der, in der Darstellung der Probleme 00:24:15.012 --> 00:24:18.004 dann äh nochmal kommen, oder? 00:24:20.907 --> 00:24:29.475 Also ähm das Grundsätzliche Designprinzip äh war ja man möchte Nachrichten vor A nach B schicken, 00:24:30.131 --> 00:24:37.287 und äh für die Kryptographie wollte man dann äh ja Chipkarten, Smartcards benutzen, 00:24:37.877 --> 00:24:45.141 Das heißt, man gebrauchte äh Software auf dem Kleinrechnern, auf dem Anwaltsrechner, um den Kartenleser zu steuern, 00:24:45.965 --> 00:24:56.047 Dazu hat man eine eine Java-Software geschrieben, die die Kryptofunktion enthielt und die Steuerungssoftware für den Kartenleser. 00:24:57.027 --> 00:25:06.089 Und noch so ein paar kleinere andere Funktionen und äh ansonsten hat man einen Webmailer gebaut. 00:25:06.666 --> 00:25:11.863 Bleiben wir mal ganz kurz bei diesen bei dieser Idee mit den Karten. Die finde ich ja erstmal sehr schön. 00:25:13.210 --> 00:25:17.103 Den zweitausenddreizehn auch mal empfohlen, habe ich gesagt, nehmt doch bitte 00:25:16.923 --> 00:25:24.446 die Krypto schön sicher auf Smart Carls und dann habt ihr das Problem nicht, dass die Leute ihre 00:25:24.260 --> 00:25:38.093 ihre Schlüssel irgendwie voll versehentlich löschen oder oder sonstiges, dann habt ihr meine sichere Aufbewahrung, könnt sichergehen, dass eure kleinen Software nicht die privaten Schlüsse klauen kann oder eine 00:25:37.961 --> 00:25:41.939 oder eine Malware, dass es doch eigentlich erstmal eine schöne Idee, oder? 00:25:42.173 --> 00:25:50.574 Das ist erstmal eine schöne Idee. Ja genau. Also jeder äh Anwalt konnte sich bei der Bundesnotarkammer, der B-Not K, 00:25:51.055 --> 00:26:03.271 die Karten bestellen und dann dauerst du das ein paar Monate und dann hat man sie bekommen und da hat jeder Anwalt quasi einen eigenen privaten Schlüssel, 00:26:03.782 --> 00:26:06.888 äh der halt nur ihm zugänglich ist. 00:26:06.877 --> 00:26:18.029 Mhm. Und das war das, wo deine Freunde drüber abgekotzt haben und gesagt haben, gefällt mir nicht. Kann ich auch verstehen? Natürlich halten sie wahrscheinlich keine Lust, zu war was Neues äh und hat erstmal genervt. 00:26:18.624 --> 00:26:31.796 Ja, genau. Und äh äh gut natürlich so ein Kartenleser kann man ja auch nicht nicht am Handy anschließen. Ja, oder wenn man den Mobil am Laptop haben möchte, muss man immer mitschleppen. Äh das ist natürlich auch nicht gerade so User freundlich, 00:26:32.518 --> 00:26:40.990 ähm und äh weil halt die Brack äh oder Athos ähm das BR als Webmailer gebaut hat, 00:26:41.591 --> 00:26:50.670 hatte man Webinterface. Das heißt, man ging auf die Webseite BA Minus Brack Punkt DE und hat dort auf den Button gedrückt, um sich einzuloggen. 00:26:51.795 --> 00:26:58.434 Und die klein Software, die ich vorhin angesprochen habe, die für die Steuerung des Kartendesers äh zuständig ist, 00:26:59.036 --> 00:27:05.441 die betreibt auf dem lokalen Rechner einen Webserver mit einer API. 00:27:05.177 --> 00:27:19.887 Damit der Browser nämlich gleichzeitig mit dem Kartenleser reden kann und mit dem Web-Login, der da stattfindet. Okay, wie kriegen wir das jetzt nochmal ein bisschen einfacher runtergebrochen. 00:27:19.611 --> 00:27:29.381 Na ja, ich meine, sie wollen halt hier irgendwie ihre Vorstellung von Authentifizierung äh durchsetzen so. Und ich meine, was man diesen ganzen Government Anstrengungen 00:27:29.327 --> 00:27:35.300 Immerhin mal zugute halten, äh kann über die letzten Jahre irgendwie wollten sie das 00:27:35.294 --> 00:27:44.007 halbwegs ordentlich machen mit diesen Smartcards und sozusagen so diese ganzen Geheimnisse weg vom Rechner auf so portable 00:27:43.929 --> 00:27:52.233 Ne, austauschbare sichere Elemente bringen, wie man das von den Zahlungskarten her auch kann und das ist ja an sich 00:27:52.144 --> 00:27:59.180 'ne schöne Sache. Das Problem ist nur, dass bis zum heutigen Tag die Integration solcher Lesegeräte in die Betriebssysteme irgendwie immer noch, 00:27:59.373 --> 00:28:13.175 merkwürdig ist, dann das ist alles nicht out of the Box, das das ist nicht so wie ich, ich schließe mal einen Drucker, eine Maus an, so müsste es ja eigentlich laufen und müsste dementsprechend halt auch in, in, in, in Browser, zum Beispiel, als Authentifizierungsdevice, 00:28:13.266 --> 00:28:15.248 müsste sowas eigentlich definiert sein. 00:28:14.948 --> 00:28:26.064 Genau, in dem Brows, im Browser fehlt es und ich würde ehrlich gesagt Markus widerspricht mir, äh wenn du das anders siehst, ich würde sagen, der Fehler ist hier, 00:28:26.251 --> 00:28:38.966 Allein in der Idee einen Webmailer machen zu wollen. Das war schon immer eine scheiß Idee und ist auch in diesem Fall eine, denn wenn du eine, wenn du ohnehin eine Standalone Applikation brauchst auf deinem Client, 00:28:39.195 --> 00:28:51.116 In diesem Falle um irgendwie an den Restriktionen des Browsers vorbei doch ein Kartenleser verfügbar zu machen. Kannst du doch um Himmels Willen auch einfach eine schöne Applikation machen, 00:28:51.495 --> 00:29:03.675 in der du auch die Nachrichten liest und die dann mit Hilfe eines von was weiß ich PCS CD einfach mit einem mit dem Smart Card Laser redet, so wie es jeder macht, also ganz normal. 00:29:03.375 --> 00:29:04.535 S CD. 00:29:04.415 --> 00:29:10.904 PC, Smart Card Deamen, so Standard irgendwie unter Denux, wenn du als wenn Kartenlesegerät ansprechen möchtest, was nämlich, 00:29:11.241 --> 00:29:17.196 wenn du tatsächlich im, im Kontext einer Applikation läufst, überhaupt gar kein Problem ist. Also, 00:29:17.364 --> 00:29:22.982 keine Ahnung, kannst an jedes Linox einen Kartenleser dranstecken und damit arbeiten. 00:29:22.724 --> 00:29:26.858 Ja, Lino, so, ich denke mal, dass man hier im Wesentlichen Windows getargetet hat, oder? 00:29:27.069 --> 00:29:28.943 Da wird das ja auch eine Möglichkeit, 00:29:29.881 --> 00:29:42.434 Aber in dem Browser kriegst du das nicht so einfach rein. Weil weil es gibt zu viele Browser ähm und die sind möglichst so konzipiert, dass sie, 00:29:42.458 --> 00:29:49.074 nicht viele, dass sie möglichst keine Rechte auf dem Betriebssystem haben und äh natürlich nicht, 00:29:49.339 --> 00:30:00.311 Natürlich möchte man nicht, dass der Browser überhaupt in der Lage ist ohne Weiteres an den Computer angeschlossene Geräte erkennen oder ansprechen zu können, da, 00:30:00.636 --> 00:30:10.514 gibt es ja auch wieder Security-Überlegungen, dass man äh bemüht ist, diesen Browser, dieses Fenster zum großen, bösen Internet so weit wie möglich vom, 00:30:10.773 --> 00:30:17.773 Betriebssystem wegzukapseln und dem nicht Zugriff auf ein Kartenlesegerät einfach zu geben über ein, 00:30:17.828 --> 00:30:27.928 Betriebssystem treiber, insofern, äh, da haben sich mal welche was bei gedacht und dieses Problem mussten Sie umgehen und haben gesagt, naja gut, dann bauen wir unseren eigenen Service, 00:30:27.977 --> 00:30:39.171 der mit dem Smartcut Leser redet und eine Webseite gleichzeitig wieder äh bereitstellt, weil das ist der einzige Weg, wie wir wieder in den Kontext des Browsers kommen. Oder habe ich das jetzt falsch verstanden, Markus. 00:30:39.430 --> 00:30:42.176 Nee, das ist äh ziemlich genau so dargelegt, ja. 00:30:42.200 --> 00:30:53.617 Und das wäre der Moment gewesen, in dem man sagen müsste, Entschuldigung, hat sich vielleicht irgendjemand was dabei gedacht, dass wir mit vom Browser nicht an den an die USB-Geräte kommen? Und machen wir gerade vielleicht etwas, was man nicht tun sollte? 00:30:54.970 --> 00:30:56.814 Könnte man sich so überlegen, ja. 00:30:56.670 --> 00:30:59.855 Hast du dir wahrscheinlich auch. 00:30:59.591 --> 00:31:07.138 Also ähm die Webseite, die sie ja haben, ihren Webmailer äh der wird ja per hart DPS ausgeliefert. 00:31:08.178 --> 00:31:22.256 Und wenn man jetzt äh auf diesen lokalen Webservice zugreifen möchte, dann macht man das mit Websockets. Das heißt, das Java Skript verbindet sich mit einer Domain, die man sich geholt hat. Die heißt Bea Local Host Punkt DE, 00:31:22.840 --> 00:31:32.207 die löst nach hundertsiebenundzwanzig null und eins auf. Es ist also quasi das, was wir als DNS Attacke kennen, also eine. 00:31:31.907 --> 00:31:34.611 Jetzt müssen wir kurz mal wieder ein bisschen übersetzen. Also, 00:31:34.816 --> 00:31:46.479 Weil das ist irgendwie das ist so so ein Nerdhumor, ne? Das versteht äh die Eingeweihten sofort und fangen an zu kichern und der Rest äh weiß überhaupt nicht mehr, wo oben und unten ist. Also, wir haben quasi, 00:31:46.654 --> 00:31:54.651 müssen wir mal aufzurollen. Um diese ganze Smartcard Geschichte zu integrieren, die sich aber eigentlich in so Browsergeschichten 00:31:54.616 --> 00:32:07.324 nicht so ohne Weiteres und das auch aus gutem Grund, nicht so ohne Weiteres integrieren lässt. Ja, auch wenn es wünschenswert wäre, wenn alle Betriebssysteme heutzutage out of the Box dafür eine Integration bringen würden, was sie aber nicht. 00:32:07.024 --> 00:32:09.824 Das aber erst standedisiert werden für alle Browser und so weiter. Gibt. 00:32:09.825 --> 00:32:18.946 Ist ja auch vorstellbar, dass dauert aber alles noch, ist aber nicht da. So, anstatt dann einfach einzusehen, dass quasi Webmail keine Option ist 00:32:18.880 --> 00:32:23.309 Schafft man sich sozusagen so eine eigene Hintertür, indem man sowas Absurdes macht, wie 00:32:23.261 --> 00:32:35.928 einen eigenen Webserver auf dem eigenen Computer, sodass der Browser eigentlich gar nicht mit diesen Mailsystem redet, mit dem man jetzt eigentlich kommunizieren möchte, sondern erstmal quasi in seinen eigenen Keller eintaucht und von dort, 00:32:36.024 --> 00:32:41.444 sozusagen was rüberschickt. Das ist aber das bricht sozusagen eigentlich das, 00:32:41.456 --> 00:32:55.037 Das eigentliche Modell, weil man erwartet ja, ich gebe die Adresse von meinem Mailserver in die Webseite ein, so wie ich das mit G-Mail auch mache und dann verbinde ich mich dahin. Man möchte es aber gerne lokal haben. Da das aber sozusagen 00:32:54.953 --> 00:33:04.879 umgeleitet werden muss, gibt's diesen Trick, dass man halt eine Adresse nimmt, die auf den eigenen Rechner umleitet und das dann auch noch, 00:33:04.988 --> 00:33:08.978 zu nennen, 00:33:09.080 --> 00:33:20.815 ich weiß gar nicht, ob ich das, ob das jetzt schon wieder auch intelligent ist irgendwie, also ob das schon wieder Anerkennungspunkte bekommt für für diese Frechheit äh oder ob's nochmal doppelt bekloppt ist, da bin ich mir jetzt grade selber nicht so sicher. 00:33:20.515 --> 00:33:29.793 Was wir noch kurz erklären müssen ist, dass Markus gerade hundertsiebenundzwanzig null null eins gesagt hat und ähm ich glaube, was man da einfach wissen muss, ist das Internet hat IP-Adressen 00:33:29.703 --> 00:33:39.918 und ähm es gibt eine IP-Adresse, die wir alle haben und das ist die hundertsiebenundzwanzig null null eins und das ist immer der eigene Rechner, 00:33:40.351 --> 00:33:41.949 per Konvention. 00:33:41.703 --> 00:33:49.509 Dass man immer selbst, genau, das sind da, wenn so Nerds mit so T-Shirts rumlaufen, mit der ist No Place, Like, hundertsiebenundzwanzig null null eins, dann meint es das. 00:33:49.311 --> 00:33:55.227 Einer der seltenen Momente, wo Tim ein Nerdwitz erklärt. 00:33:54.328 --> 00:33:56.431 Ja, sofort würde ich ja niemals. 00:33:56.744 --> 00:34:07.902 Also streng genommen kann man ja eigentlich auch gar nicht per Javaskript auf lokale Ports zugreifen. Das verhindern die Browser ja in der Regel aus Sicherheitsgründen, 00:34:08.618 --> 00:34:11.171 Und deswegen hat man jetzt hier diese Domain genommen, 00:34:11.647 --> 00:34:22.625 Um dann trotzdem an den Browser vorbei äh die Sicherheitsrichtlinie zu umgehen und trotzdem auf den lokalen Port zugreifen zu können. Also eine. 00:34:22.992 --> 00:34:35.550 Das finde ich jetzt auch wirklich so geil, ne? Also man hat sich jetzt so festgebissen an diesem Modell, das was nicht passt, wird dann passend gemacht. Man umgeht sozusagen jetzt hier mit solchen Tricks sinnvolle Sicherheits, 00:34:35.869 --> 00:34:44.215 Maßnahmen und quasi vor allem auch frech finde an der Stelle ist man weiß ja nicht ob nicht mit dem nächsten Browser Update 00:34:44.126 --> 00:34:55.939 diese Nummer, diese Tür auch gleich wieder geschlossen wird. Was ist, wenn die Browser dann nächstes Mal sich wirklich die IP-Adresse anschauen und sagen, ja, nee, hier hundertsiebenundzwanzig null null eins, äh da mache ich jetzt einfach mal zu, 00:34:55.951 --> 00:35:09.844 den Laden, weil lokalen Server, das riecht so dermaßen nach Mywear, das wäre würde mich überhaupt nicht wundern, wenn Firefox einfach mal von heute auf morgen mit dem nächsten Release die Tür zumacht und das würde dann bedeuten, dass sowas wie dieses, 00:35:09.857 --> 00:35:16.045 Postfach. Von heute auf morgen nicht mehr funktioniert. Und das finde ich irgendwie auch schon wirklich gewagt. 00:35:15.883 --> 00:35:27.138 Okay, also der heißtest, wenn du jetzt, wenn du NS Looka, Bea Local House machst, dann kriegst ist die Antwort vom vom DNS-Server hundertsiebenundzwanzig null null eins. 00:35:27.169 --> 00:35:28.737 Ja, das ist korrekt. 00:35:29.061 --> 00:35:31.074 Ich probiere das mal Chaos aus hier. 00:35:33.208 --> 00:35:39.559 Ja, hundertsiebenundzwanzig null null eins gibt's das auch in V sechs? Nö. Natürlich nicht. 00:35:37.804 --> 00:35:40.905 Nein, natürlich nicht. Also vor sechs, Entschuldigung, vor. 00:35:40.605 --> 00:35:47.948 Brauchst du jetzt aber auch es wäre jetzt auch nicht so schlimm, ne? Denn so die hundertsiebenundzwanzig null eins, die wirst du in deinem Betriebssystem dauerhaft haben so, ne, dann. 00:35:47.683 --> 00:35:50.591 Ich wollte nur was zum draufhauen haben. 00:35:50.381 --> 00:35:53.350 Da geht's jetzt auch so schnell nicht aus, ja? 00:35:53.061 --> 00:35:56.985 Also bei das hätte ich dann wenigstens elegant gefunden, weißt du? Aber noch nicht mal. 00:35:55.453 --> 00:36:00.867 Also IP V4 wird knapp, aber hundertsiebenundzwanzig null null eins haben wir noch ein paar über. 00:36:00.567 --> 00:36:03.517 Was sagst du? 00:36:03.409 --> 00:36:14.766 Okay, also jetzt kommt der und ich kriege quasi von Bea Minus Brack DE, dann ein Java Skript, was auf Ressourcen von Bea Local Host äh DE zugreift. 00:36:14.899 --> 00:36:29.031 Ja genau und äh weil du ja über die Seite BA Minus Brack Punkt DE gehst und die PHte TPS ausgeliefert wird, möchtest du auch keine Mixed Content Warnung, wenn du Dinge aus dem lokalen Port nachlässt. 00:36:28.870 --> 00:36:31.783 Auch das müssen wir wieder kurz erklären, 00:36:31.808 --> 00:36:44.956 der Browser weiß, ich bin jetzt auf Bea Minus Brack DE und ich habe eine verschlüsselte, ich habe eine sichere Verbindung über HTPS. Und wenn jetzt eine Webseite, die über Hart-ETPS aufgerufen wird, 00:36:45.557 --> 00:36:52.803 etwas anderes benutzt, sagen wir einen blinden Bild eingebunden hat und dieses Bild wird über HTTP geladen, 00:36:53.284 --> 00:36:57.610 Dann sagt der Browser, wir haben zwar hier HTTPS, 00:36:57.900 --> 00:37:09.641 Aber wir liegen gerade auf einem unverschüsselten Kanal. Wir wollen wir holen hier unverschlüsselte Inhalte in unseren ja eigentlich verschlüsselten Kontext. Und das wollen wir nicht, 00:37:10.086 --> 00:37:18.216 Das heißt, der Browser äh warnt davor oder ich weiß gar nicht, neue Browser machen die das überhaupt noch? Die ignorieren det dann einfach, oder? 00:37:17.928 --> 00:37:19.261 Wann, wovor. 00:37:19.815 --> 00:37:25.619 Wenn du jetzt also erste ATPS-Seite und das HTP Inhalt drin, dann kam früher. 00:37:25.319 --> 00:37:29.597 Content Meldung, ja kann sein, dass die jetzt mittlerweile generell, also. 00:37:29.309 --> 00:37:34.380 Hast dann oben so ein gelbes Schlösschen? Oder Markus, du wirst es gesehen haben, was, was kriegt man dann? Gibt's das heute überhaupt noch. 00:37:34.549 --> 00:37:45.707 Äh ich glaube äh sowohl Chrome als auch äh Firefox äh Blocken, dass ja inzwischen vollständig diese Warnung. Kriegst du eine große Fehlermeldung, äh dass das jetzt nicht geht. 00:37:46.315 --> 00:37:58.080 Und spätestens jetzt hatten die ein größeres Problemchen, weil sie brauchten SSL auf einer nichtöffentlichen IP-Adresse und das geht halt nicht. 00:37:59.078 --> 00:38:07.604 Genau, deswegen hatten sie ja diese ähm Domain, diese Punkte I Domain, weil dafür kann man sich ja wieder ein SSL Zertifikat holen. 00:38:07.376 --> 00:38:17.886 Man. Äh wie können wir das jetzt, wie können wir das am besten erklären? Also diese hundertsiebenundzwanzig null null eins die hat eben jeder Rechner, 00:38:18.481 --> 00:38:24.406 Und aus diesem Grunde kann sich auch kann man jetzt auf in dem Kryptografischen Kontext, 00:38:24.923 --> 00:38:36.190 Erstmal kein Schlüsselpaar generieren, womit ein Rechner sich selber beweist, dass er hundertsiebenundzwanzig null null eins ist, weil hundertsiebenundzwanzig null null eins gibt es ja überall. 00:38:37.872 --> 00:38:43.112 Und die sie brauchten aber jetzt SSL auf den lokalen Host, 00:38:43.863 --> 00:38:54.000 Und deswegen haben sie sich eine erst wahrscheinlich eine öffentliche, eine öffentliche Domain äh das Ding auf eine öffentliche Domain gestellt, auf eine öffentliche IP gestellt, haben sich ein Zertifikat geholt, 00:38:54.596 --> 00:38:59.529 Und haben dann nachher den DNS-Eintrag geändert und das Zertifikat in die Kleinsoftware gekippt, oder? 00:39:00.412 --> 00:39:12.160 Ja, so könnte man das sagen oder vielleicht haben sie auch einen Mailserver eingerichtet und alles darüber gemacht. Ich meine, spätestens beim Erneuern, Zertifikat bräuchten sie ja dann wieder den passenden IP ähm, 00:39:12.959 --> 00:39:18.211 aber man kann sich ja auch also man kann sich zwar ein Zertifikat ausstellen lassen für die IP. 00:39:20.657 --> 00:39:35.373 Genau, das wäre aber nicht signiert, das wäre ein selbsterstelltes Zert und der würde sozusagen auch der Browser sagen, das ist ein komisches Zertifikat, das kenne ich nicht. Das kommt von keiner Stelle, die ich kenne, kenne und ich vertraue und würde deswegen auch wieder Fehlermeldungen anzeigen. 00:39:36.821 --> 00:39:38.323 Also von Anfang an, 00:39:38.816 --> 00:39:48.755 Schon bevor hier überhaupt irgendjemand mit irgendetwas in Verbindung ist, müssen an jeder Ecke, nur weil das Design so gewählt wurde, wie es gewählt wurde, 00:39:48.768 --> 00:39:56.585 Alle möglichen sinnvollen Sicherheitsvorkehrungen des Netzes in irgendeiner Form umgangen werden. 00:39:56.627 --> 00:40:00.220 Bis zu dem Punkt, wo du's halt einfach nicht mehr darfst, 00:40:00.545 --> 00:40:13.296 Also was äh in dem Moment, wo du dir ein, wo du ein Zertifikat ausstellst für eine Domain und dieses Zertifikat hier verloren geht, dann äh bist du ja, das geht halt nicht. Geht halt nicht. 00:40:13.404 --> 00:40:27.285 Also es ist halt sozusagen verboten äh Zertifikate die signiert worden sind und die zu echten Domains gehören äh die zu verteilen. Also man bekommt da ja einen öffentlichen und einen privaten Schlüssel, 00:40:27.814 --> 00:40:34.123 und den privaten Schlüssel muss man geheim halten, wenn der abhanden kommt oder in der dritten bekannt wird, 00:40:34.683 --> 00:40:42.933 dann haben die Zertifizierungsstellen vierundzwanzig Stunden Zeit dieses Zertifikat zu sperren und zurückzurufen. 00:40:43.864 --> 00:40:45.997 Und das das kommt dann in eine in. 00:40:44.598 --> 00:40:53.022 Man halt ganz bewusst den privaten Schlüssel in die Software eingebaut und dann zum Downloadangeboten. 00:40:53.089 --> 00:40:59.476 Das heißt, jeder einzelne ähm Nutzer der Software, 00:41:00.119 --> 00:41:03.772 Ist im Besitz des Zertifikates für Bea Local Horse DE, 00:41:04.512 --> 00:41:19.053 könnte jetzt irgendwie im lokalen Netzwerk äh ein oder was weiß ich, könnte irgendwie einen anderen DNS-Eintrag rausgeben und wäre, weil er das Zertifikat hat in der Lage, diesen diese vertrauenswürdige Komponente, 00:41:19.516 --> 00:41:24.996 zu äh zu fälschen irgendwie eine atmenden Mittelangriff oder sonstiges darauf zu machen. 00:41:26.355 --> 00:41:35.368 Und da sind die, was ist, was erlaube Kapgamini, was erlaube Secondsit, was erlaube äh Arthos? Das äh das weiß man doch. 00:41:37.159 --> 00:41:39.424 Oder wussten die das nicht? Hast du da mal nachgefragt. 00:41:40.230 --> 00:41:50.367 Ähm ich äh habe bis dann keine Info bekommen von denen. Äh ich gehe aber davon aus, dass jeder Entwickler weiß, dass man keinen privaten Schlüssel in die Software einbauen sollte. 00:41:50.217 --> 00:41:53.425 Das ist der Grund, warum er privat heißt. 00:41:55.919 --> 00:42:05.491 Zumindest bietet man ihn dann auch nicht zum Donald an, ja? Also spätestens mit dem Upload auf die Webseite sollte einem noch klar gewesen sein, was man da tut. 00:42:07.517 --> 00:42:21.145 Ja ähm gut, dann hat man sozusagen das Zertifikat verteilt und dann war ja die Verbindung zwischen der Webseite und äh das Websockets zum äh lokalen Webdienst äh dann da. 00:42:22.299 --> 00:42:32.358 Und ähm dann hatte man da eine Schnittstelle, einen Webservice quasi und äh mit dem hat dann die Webseite per Javastrieb gesprochen, 00:42:33.206 --> 00:42:42.249 das ist ja alles öffentlich dokumentiert, dass Java Skript der Webseite ist ja auch einsehbar. Es ist ja quasi Open Source, 00:42:43.084 --> 00:42:46.690 Da kann man sich anschauen, wie das funktioniert. Ähm. 00:42:48.078 --> 00:43:01.820 Man da hat man jetzt so einen lokalen Port offen und ähm den gleichen Weg kann halt auch jede andere Webseite gehen. Also ich kann auf meiner eigenen Webseite prüfen, ob ich jetzt einen Besucher habe, der das BH benutzt. 00:43:03.022 --> 00:43:06.333 Weil ich ja sehen kann, ob der Port da ist und äh was der so sagt. 00:43:07.337 --> 00:43:14.872 Ähm und gleichzeitig kann man jetzt über das JavaScript Befehle schicken. Befehle an die kleinen Software. 00:43:16.549 --> 00:43:22.996 Und einer dieser Befehle war zum Beispiel Unique Tokiloself in Leadspeak. 00:43:24.703 --> 00:43:28.344 Also mit Buchstaben äh in mit Zahlen ausgedrückt. 00:43:28.579 --> 00:43:33.614 Genau und dieser Befehl äh sorgt dafür, dass sich die Kleinanwendung beendet. 00:43:33.849 --> 00:43:46.173 Oh nein, das heißt, jeder kann sich irgendwie in in seine auf jeder Webseite kann so ein kleines Java-Skript schreiben, was die äh was die äh was jedem Anwalt erstmal seinen Bea kaputt macht. 00:43:46.588 --> 00:43:49.082 Ja genau. Oder was zumindest die Anwendung beendet, ja? 00:43:52.327 --> 00:43:54.610 Mann, Mann, Mann, Mann, Mann. 00:43:59.159 --> 00:44:07.974 Natürlich auch sagen, okay, du hast äh deine normale Webseite und du hast dann eine Webseite für Anwälte, ja, wo du sagst, okay, hallo Anwalt. Schön, dass du deinen Bär offen hast. 00:44:09.159 --> 00:44:15.678 Äh das kann man ja auch, was ich nicht bei Abmahnanwälten auf Webseiten machen, um dann ihn anderen Conten. 00:44:17.217 --> 00:44:18.695 Ein anderes Impressum. 00:44:18.791 --> 00:44:30.334 Ja, das sind also einfach durch die Existenz, dass man ein kleines Java Skript schreibt, was eine Verbindung dorthin aufbaut und sagt, jo, erreiche ich und dann weiß man, mein Besucher ist ein Anwalt. 00:44:31.680 --> 00:44:36.746 Also ne, auch äh Datenweitergabe an dieser Stelle. Ähm. 00:44:39.138 --> 00:44:47.141 Wir hatten ja noch andere schöne Dinge gefunden. Also die äh BA Anwendung ist ja äh zweitausendvierzehn beauftragt worden, 00:44:48.055 --> 00:44:55.236 Und diese kleinen Software ist dann geschrieben worden und glaube ich dann vor ein oder zwei Jahren ist sie dann online gegangen, 00:44:56.119 --> 00:45:02.410 ähm und was man da eingebaut hat, das waren halt so uralt Pakete, 00:45:03.030 --> 00:45:07.837 Das war eine Jamai-Anwendung und die hat verschiedene äh Librarys benutzt, 00:45:08.504 --> 00:45:16.309 Und da gab's halt auch Librarys, die waren älter. Sagen wir aus zweitausendelf oder aus zweitausenddreizehn. 00:45:17.277 --> 00:45:26.194 Man hat dort nicht die neusten Versionen eingefügt, äh, die sagen Sicherheitsupdates gesehen haben, sondern sie haben die alten Dinge eingefügt, 00:45:26.910 --> 00:45:37.017 und äh bei diesen alten Software, bei diesen alten Paketen gibt's halt Backtracker, äh die man zum Teil schon gelöscht, weil die schon so alt waren, 00:45:37.852 --> 00:45:50.122 aber andere, wo es die noch gab, da waren halt zahlreiche Sicherheitslücken dokumentiert, ja? Also jeder Buckfix, der da reingegangen ist, äh, zeigt ja eigentlich auf 'ne Lücke, die man hätte ausnutzen können. 00:45:51.691 --> 00:45:55.326 Das heißt, da musstest du nur so ein bisschen googeln. 00:45:55.970 --> 00:46:07.410 Nur ein bisschen googeln und dann hat man das gemacht und gegoogelt und dann gab es halt zweitausendsechzehn, zweitausendsiebzehn einen etwas größeren äh Javaback. 00:46:08.522 --> 00:46:16.304 Äh da geht's um die diese Realisierung äh von Java Objekten. Ähm. 00:46:16.004 --> 00:46:18.329 Diese Realisierung nochmal erklären. 00:46:18.119 --> 00:46:31.946 Genau, also man kann ja sozusagen, wenn man ein Java Speicherobjekt hat, dann kann man das in einem String umwandeln, also in eine Zeichenkette, um das dann abzuspeichern, in eine Datei zum Beispiel, 00:46:32.595 --> 00:46:35.076 Kann man das verschicken übers Internet, 00:46:35.942 --> 00:46:42.792 Und ein anderer kann dann aus dieser Zeichenkette wieder ein solches Javo-Objekt erstellen, 00:46:43.591 --> 00:46:54.041 und äh das ist halt eine häufige Technik, die dann benutzt wird, um äh Daten zwischen äh Webdiensten und Webservices auszutauschen. 00:46:55.369 --> 00:46:59.082 Und da gab's halt einen einen größeren Back, der da gefunden. 00:47:00.182 --> 00:47:06.984 Worden ist und dann gab es halt Updates in äh Dutzenden, hunderten von von Paketen, 00:47:07.898 --> 00:47:16.322 und hier hat man halt das Update nicht gemacht. Und das hieß, dass man mit einer präparierten Nachricht, 00:47:16.822 --> 00:47:28.160 ähm Code ausfüllen konnte auf dem kleinen Rechner. Also auf dem AnwaltspC. Das heißt, wenn der Anwalt eine Webseite angesurft hat, 00:47:28.900 --> 00:47:34.253 Und die Webseite hatte ein Java Skript, was äh den Anwalt angegriffen hat, 00:47:35.071 --> 00:47:39.440 dann konnte man auf dem Kleinrechner äh Dinge ausführen. 00:47:40.618 --> 00:47:50.656 Aufmachen oder den Rechner, Taschenrechner oder Dateien löschen oder einen Trojaner installieren. Da ist wir sagen mal die Tür offen, 00:47:51.322 --> 00:47:52.713 da ging halt viel. 00:47:54.246 --> 00:48:05.561 Oh je. Das heißt, du hast jetzt Code Execution auf jedem Anwaltsrechner. What coot possible go rong. Wunderschön. 00:48:05.766 --> 00:48:17.164 Ja. Es war natürlich dann immer die Frage, ja ist das BA unsicher, äh konnten die Nachrichten mitgelesen werden und et cetera. Es wurde immer gesagt, dass Bea ist ja sicher, die Nachrichten äh konnten ja nicht mitgelesen werden, 00:48:17.820 --> 00:48:25.913 Aber die Frage war ja immer, ist der Anweis PC sicher, auf dem das BH läuft? Ja, also durch die Art und Weise der Fragen, 00:48:26.846 --> 00:48:31.784 konnte man da immer schöne Dementis hören, anschließend. 00:48:33.353 --> 00:48:38.310 Das war sozusagen ein nicht so der der größere Back in der kleinen Software. 00:48:38.629 --> 00:48:48.153 Den dann nämlich niemand äh den dann nämlich niemand ernst nimmt, ne? Oder den der dann wieder zu schwer zu erklären war, ne? Das wäre eine, weil jetzt hättest du nicht nur du kannst die 00:48:47.979 --> 00:48:57.653 Du kannst die App abknallen und du kannst Anwälte erkennen, sondern du kannst einfach alle Anwälte auf einmal on, solange sie eine Seite von dir besuchen. 00:48:58.868 --> 00:49:10.681 Zum Beispiel die auf der du die Ergebnisse deiner Forschung zum BA veröffentlichst, kleines hat doch noch keinem geschadet. 00:49:10.381 --> 00:49:22.237 Ja. Ich denke, es wäre auch möglich, dass einfach per per Message zu machen. Also äh man hat ja das Verzeichnis, dass äh oder ein Verzeichnisdienst, der alle Adressen von allen Anwälten kennt, 00:49:23.006 --> 00:49:31.034 man hätte auch einfach jedem Anwalt eine Nachricht schicken können. Ähm, das konnte ich aber nicht mehr testen, weil der Dienst ja offline war. 00:49:30.836 --> 00:49:40.720 Aber das ist doch schön, ne? Äh bessere, bessere Prozessgewinnaussichten dank Java Deserialisierung. 00:49:40.841 --> 00:49:50.461 Ja genau, also äh Anwälte und Kanzleien sind ja durchaus auch, ich sage mal, Ziel von von Angriffen. Da gibt's halt echt was zu holen, ja? Es äh ist also schon ein valides Ziel, 00:49:51.092 --> 00:50:00.575 da Dinge zu machen. Das heißt, das Tradmodel, was die halt fahren müssen, ist halt schon ein bisschen höher als sozusagen der Standardrechner von zu Hause. 00:50:00.310 --> 00:50:10.742 Klar, deswegen sind ja überhaupt auf die Idee gekommen, sich eine eigene sichere Software äh zu versuchen zu bauen. Ne, dass weil es sich eben hier um äh, 00:50:11.025 --> 00:50:19.227 Per Definition hochsensible ähm Inhalte und Hochsensible Kommunikationspartner handelt. 00:50:19.756 --> 00:50:26.491 Genau. Ansonsten äh die kleinen Software äh läuft auch auf ganz sicheren, modernen Betriebssystemen, 00:50:27.201 --> 00:50:34.093 Zum Beispiel ist laut Dokumentation immer noch Linux, Open Suse dreizehn Punkt zwei unterstützt. 00:50:35.458 --> 00:50:45.288 Dreizehn Punkt zwei ist für die, die es nicht kennen, das ist ein Vinox-System. Das ist seit seit Januar zweitausendsiebzehn. 00:50:46.274 --> 00:50:55.570 Also außerhalb des Supportes mit Sicherheitsupdates und eigentlich ist ja vorgeschrieben, dass Anwälte ihre Systeme nach dem Stand der Technik updaten, 00:50:56.183 --> 00:51:03.591 und äh eine Firewall benutzen und ein Antivierenprogramm und äh immer alle Sicherheitsupdates einspielen sollen, 00:51:04.373 --> 00:51:14.131 Also schon oft haben den Papier können Anwälte gar nicht dieses Bär sicher betreiben. Ja, zumindest nicht, wenn sie ein freies Betriebssystem nutzen möchten. 00:51:13.831 --> 00:51:19.227 Das heißt, ach so, es wird nur dieses alte Suse unterstützt oder noch. 00:51:19.870 --> 00:51:28.625 Es wird nur dieses Open Suse unterstützt. Es wird auch ein US unterstützt, das ist die Version zehn Punkt elf. 00:51:30.152 --> 00:51:35.308 Da endet ja Extened Support im Herbst zweitausendachtzehn. 00:51:36.522 --> 00:51:50.054 Also zumindest die Dokumentation und die Unterstützung von Softwarevarianten, die halt supported werden. Für die, für die es ja auch Support gibt. Ähm die sind halt alle veraltet. 00:51:50.204 --> 00:52:02.354 Und an der Stelle merkt man mal wieder eine weitere Auswirkung dieser komplexen Softwarekonstellation, die man sich hier gewählt hat. Man schafft sich auf einmal so viele Abhängigkeiten, dass sozusagen, ich meine, 00:52:02.415 --> 00:52:08.508 eine Webmail Anwendung lebt ja nun wirklich primär davon, dass man da eigentlich ein, 00:52:08.652 --> 00:52:21.740 Betriebssystem oder Browserhersteller kümmert sich um Browser, man selber kümmert sich um seinen Server, davon gibt's äh im Wesentlichen nur einen, den hat man vollständig unter Kontrolle. Beides kann permanent durchgepatcht und aktualisiert werden und ist eigentlich vollkommen egal 00:52:21.734 --> 00:52:29.569 auf welchem Betriebssystem das läuft, aber durch diese zusätzliche Komponente auf dem kleinen Rechner schafft man sich alle möglichen Dependence, 00:52:29.606 --> 00:52:35.176 womit dann eben diese ganze Kompatibilität schnell aus dem Ruder läuft und die man auch alle gar nicht testen kann. 00:52:35.350 --> 00:52:36.798 Oh Man. 00:52:36.787 --> 00:52:45.199 Was ist denn, wenn wenn diese, wenn diese Rechner von den Anwälten aus irgendwelchen anderen Gründen eine andere Version fahren müssen, weil die da einfach ihre, 00:52:45.482 --> 00:52:58.954 Eigenentwicklung, Software drauf haben, die vielleicht immer nur das allerneuste erfordert. Äh ja, was ja sinnvoll wäre, wahrscheinlich auch nicht mal der Fall. Schon geht es irgendwie alles nicht zusammen. Also auch das ist so ein No-Go. 00:52:58.654 --> 00:53:11.056 Es wäre der eine der eine Grund, der eine vorsichtige Grund, der für eine Webapp spricht, ist, dass du minimalste äh Dependenz, die es hast bei auf dem Kleinsystem 00:53:11.002 --> 00:53:18.856 Ja, das ist das eine, das eine Argument eine Webapp zu bauen. Äh andere gibt es in meinen Augen auch ehrlich gesagt nicht, aber ähm 00:53:18.778 --> 00:53:21.957 Dass wir das eine Argument gewesen, das haben sie dann auch noch kaputt gemacht. 00:53:22.113 --> 00:53:32.881 Ja ähm was natürlich auch schön ist, wenn man so einen Dienst betreibt auf einem lokalen Port ähm viele Kanzleien nutzen äh Terminalserver. 00:53:34.246 --> 00:53:36.589 Das funktioniert damit natürlich auch nicht. 00:53:37.629 --> 00:53:51.407 Wenn jemand auf einem Terminal ist, aber ein Kartenlesegerät angeschlossen hat, an dem Server und dort seine Karte eingelegt hat, dann können alle anderen Terminal Server-Benutzer in das Postfach von dieser Person reinschauen. 00:53:51.419 --> 00:53:54.886 Könnte es quasi nur einen Anwalt pro Terminalserver haben. 00:53:55.596 --> 00:54:04.777 Genau, weil du das halt nicht mehr äh zu sagen Nutzer zentriert machen kannst, sondern weil ja das Kartenlease-Gerät und der eine Port. 00:54:05.931 --> 00:54:07.673 Ein Nutzer funktioniert. 00:54:06.456 --> 00:54:09.224