LNP322 Deluxe Hacktivism

Feedback — Jimmy Schulz — Phineas Fisher — Julian Assange — Recht auf Vergessen — Stephan Brandner — Rainer Wendt — Peter Steudtner — TikTok — Twitter — Retro auf Insta — Iran

Nach einer kleinen Pause gehen wir uns Backlog an und interessanterweise stehen heute viele einzelne Personen im Mittelpunkt der Nachrichten und Diskussion. Nach dem Feedback sprechen wir über den jüngst verstorbenen Jimmy Schulz, die Aktivitäten des Hackerphänomens Phineas Fischer, der bedrohlichen Situation von Julian Assange, den Streisand-Effekt beim Recht auf Vergessen, den Rauswurf des Macheten-Brandner aus dem Rechtsausschuss, der Nichteinstellung des Nicht-Polizisten Rainer Wendt und der Freisprechung von Peter Steudtner in der Türkei. Dazu ein wenig Reflektion über allerlei Social Media Shenanigans.

Dauer: 2:01:23

On Air
avatar Linus Neumann Paypal Icon Bitcoin Icon Amazon Wishlist Icon
avatar Tim Pritlove Paypal Icon Bitcoin Icon Liberapay Icon Amazon Wishlist Icon

Prolog

Feedback: Instagram

Feedback: Morbidität vs. Mortalität

Feedback: Phishing

Stadt nach Acht

Feedback: XR

Jimmy Schulz

Phineas Fisher strikes again

Datenleck in Arztpraxis

Julian Assange in Lebensgefahr

BVerfG zu Recht auf Vergessenwerden

Stellt sich raus: Das Internet in Deutschland ist langsam

Stephan Brandner

Rainer Wendt

Peter Steudtner

TikTok

Twitter will Accounts löschen

Bundeswehr macht auf Retro auf Insta

Internet Blackout im Iran

41 Gedanken zu „LNP322 Deluxe Hacktivism

    • Hypothese
      Weboberfläche liefert „80“
      Char *port = „80“
      Port[strlen] = ‚\0‘;
      N = atoi(port);

      Firewall gibt port 8 frei, Test für port 80 schlägt fehl.
      Quickfix:
      for( i=0; i < 10; i++)
      {
      sprintf(buffer, %d%d, n, i);
      OpenPort(atoi(buffer));
      }

      Test auf port 80 schlägt nicht mehr fehl. Negativtest für port 81 fehlt

      • Dann müsste bei 80 allerdings auch nur 80 freigegeben werden sonst funktionierts bei 443 nicht. Und bei Ports > 1000 müsste der Range 100er Blöcke sein. War das so?

    • Klingt recht plausibel. Hier noch eine alternative Hypothese:
      Es handelt sich um ein “Entwicklungsartefakt” (aka “ich rotz den Code hier erstmal so hin, damit ich schon mal bauen / woanders weitermachen kann und bring’ das später i.O.”), das einfach eine kleine Portrange frei nach dem Motto “einer wird schon funktionieren und weiß der Deibel, ob der Dienst bzw. das Protokoll nicht noch ein paar mehr gebrauchen kann” aufgemacht hat. Später in der QA hat sich das dann aus reinem Zeitmangel bzw. als monumentale Fehlinterpretation eines Best Effort-Prinzips / Kompatibilitätsrequirements gehalten.

    • Würde eher sagen das man hier auf “Alternativports” abzielt.
      Entwickler nutzen für einen weiteren Webserver z.b. 80, 81, 82 oder 8080,8081.
      Die Oberfläche vom Router wird dann wohl in den Portfreigaben auch so convenience-Features haben, wie HTTP-Port freigeben. Das ist ja auch bei der FritzBox der Fall.
      Die werden dann wohl unter HTTP-Port freigeben dann die alternativ-ports mit eingebaut haben.
      Das wäre die einzig logische Erklärung die ich dafür finden kann.

    • Ich schätze nicht, dass das ein Bug war, sondern by design. “Kunden die port 80 kauften, kauften auch :81, :82,…”. Entweder es hat dann wirklich keiner die Implikationen gesehen (wer denkt schon an 445) oder Business hat halt gesagt, das soll so. Und wenns im Design ist, dann schauen Testing und QA weg und in den Pen-Test reports wird das als “invalid” wegdiskutiert.

      Hinschauen tut da auch keiner so wirklich, das muss ja alles möglichst billig sein.

    • Das Problem war nicht, dass die Portfreigabe eines Portes einfach um neun Ports ergänzt wurde. Wäre man manuell vorgegangen, wäre einem das nicht auf die Füße gefallen.

      In den Kisten sind aber noch Aliase für Dienste hinterlegt. Und da hatten die Aliase “http” oder “https” eben nicht nur Port 80 bzw. 443 hinterlegt, sondern die besagten Portranges.

      • Ganz genau!
        Wenn ich mich nicht täusche war die Bezeichnung für dieses Alias sogar „https Dienste“. Was allerdings trotzdem nicht erklärt wieso darunter dann ein ganzer Bereich an Ports darunter fällt.
        Noch als Ergänzung zu Linus seiner Aussage „Scheiß Telekom Produkte“. Bintec-Elmeg vertreibt diese Geräte auch unter eigenem Namen. Als sogenannte be.IP anstelle von Digitalisierungsbox. Gerade im mittelständischen Unternehmen sind diese weit verbreitet.
        Diese sind ganz genauso betroffen, auch ohne Zutun der Telekom. ;-)

  1. Ich würde mich gar nicht darüber aufregen dass da ein Programmierer den Bug reingetan hat, sondern darüber dass die Firma nicht selbst ihre Firmware testet und das die Telekom nicht die Geräte mit der Firmware testet. Das ist ein Bug der so einfach zu finden ist wenn man darauf testen würde.

    • Falls sie testen, könnte ich mir sehr gut vorstellen, wie dieser Test aussah. ;-)

      1. Richte Port-Weiterleitung für Port 2323 ein
      2. Verbinde zu Port 2323
      3. Teste, dass die Verbindung zustande kommt
      4. Entferne Port-Weiterleitung
      5. Verbinde zu Port 2323
      6. Teste, dass Verbindung nicht zustande kommt

      Fertig!

      Das ist ein bisschen wie bei elektronischen Türschlössern: Wenn eine berechtigte Person davor steht, soll sie reinkommen. Der andere Fall … eher Nebensache.

  2. Ich fürchte, Vorkommnisse wie bei der orthopädischen Praxis Dr. Datenleck aus Celle werden in Zukunft öfter vorkommen. Durch die Telematik in der gesetzlichen Krankenversicherung sind die Praxen verpflichtet, sich an die Telematik anzuschließen. Neben einer Verletzung der gesetzlichen Vorgaben droht ein Honorarabzug von 1%, bald 2,5%. Der isolierte Rechnerbetrieb unabhängig vom Internet ist dann nicht mehr möglich.
    Bei den Technikern habe ich die Erfahrung machen dürfen, dass auch bei 120 Euro Stundenlohn, dieser bei der Einrichtung eines Outlook-Postfachs überfordert war.

  3. Ich würde gerne nochmal widersprechen was die Aussage “Spiegel Online kann das nicht wirklich gewährleisten, dass er nicht in irgend einer Suchmaschine wieder gefunden wird” – doch, wenn irgendjemand das gewährleisten kann, dann SPON und eben nicht Google.

    Google kann das zwar aus dem eigenen Index streichen, aber dann gibt es noch diverse andere Suchmaschinen – wenn jemand (bspw. ein Vermieter oder Arbeitgeber) sich schon die Mühe macht, eine Person zu suchen, wird sich auch nicht zwangsläufig auf Google beschränken; die Annahme ist hochgradig naiv.
    Dazu kommt noch, dass es diverse andere Möglichkeiten gibt, wie einem die Sachen vor die Nase gespült werden könnten; bspw. “Das könnte Sie auch interessieren”-Vorschläge etc. – bei einem SPON-Archivartikel noch nicht so wahrscheinlich, aber das Urteil wird ja auch übertragen werden. Das Internet besteht nicht nur aus Google und anderen Suchmaschinen besteht – so ein Artikel kann z.B. in der Nachbarschaft auch ganz schnell anders viral gehen, es muss nur irgendjemand online darauf stoßen.

    SPON dagegen hat eine extrem einfache Möglichkeit, die Nichtauffindbarkeit zu gewährleisten: den Namen in der Online-Archivfassung schwärzen o.Ä. und mit einer Fußnote zu versehen; z.B. “Name aufgrund von Persönlichkeitsrechten geschwärzt. Bei Interesse stellen Sie bitte eine Anfrage an [Postadresse]”
    Das Problem ist bloß: dafür müsste man als Verlag bereit sein, Persönlichkeitsrechte zu respektieren und Arbeit investieren – und warum sollte man das tun, wenn man die Forderung einfach auf das zurecht unbeliebte Google abschieben kann?

    Meiner Ansicht nach ist es ein Fehler, die Nichtauffindbarkeit auf Suchmaschinen abzuwälzen. Das kann man vielleicht auch machen, nach dem Motto “Es wurde gerichtlich festgestellt, dass folgender Inhalt in Deutschland Illegal ist – deshalb dürft ihr den auch nicht mehr als Suchergebnis an deutsche IP-Adressen ausliefern”.
    Aber was ist das denn für eine Logik: “Der Artikel ist legal im Netz und darf auch gefunden werden – außer irgendjemand sucht nach der Person, deren Namen in dem Artikel steht. Dann muss das Ergebnis gefiltert werden.” Ich komme da nicht ganz mit.

    (Wichtig: der Kommentar ist unter der Prämisse geschrieben, dass hier eine Verletzung der Persönlichkeitsrechte festgestellt ist. Ob man das richtig/sinnvoll findet ist nochmal eine andere Frage.)

    • Ich finde auch Recht auf Vergessenwerden muss an der Quelle ansetzen.
      Zumindest auf Mailinglisten sollten öffentliche Archive dazu gezwungen werden die Mail-Adressen nicht anzuzeigen für nicht Mitglieder.

    • Den Fehler beschreibst du ab der Mitte:

      SPON darf sein Archiv mit dem Klarnamen online stellen, nur man darf den Klarnamen nicht finden.

      Diesen Widerspruch kann man nur auflösen, indem SPON den Namen freiwillig rausnimmt.

      • Ich glaube, dass das Problem ist, dass seit Zensursula sehr oft so getan wird, als könne man jeden Inhalt nie wieder auch nur ansatzweise aus dem Netz nehmen – Netzsperren bzw. das Nichtindizieren werden dadurch alternativlos als quasi einzige Möglichkeit, um das irgendwie einzudämmen. Und das ist Bullshit.
        Es gibt entsprechend resistente Inhalte, und in diesen Fällen kann man versuchen, wenigstens deren Auffindbarkeit in DE zu reduzieren – halte ich auch für legitim. Nur betrifft das halt nicht SPON.

        Und in dem Fall würde ich auch der Aussage “Diesen Widerspruch kann man nur auflösen, indem SPON den Namen freiwillig rausnimmt” widersprechen. Freiwillig wird das garantiert nicht passieren – und warum sollte auch freiwillig sein? Der Name der Person ist laut Urteil nicht mehr relevant und es ist auch keine Person des öffentlichen Lebens – und unter der Prämisse des Urteils gibt keinen Grund, warum der Name überhaupt einfach so im Internet frei indizierbar verfügbar sein sollte.

  4. Eine kleine Bitte:
    Könntet ihr in der nächsten Folge ein paar Worte über 5G verlieren? Hier in der Schweiz laufen überall Leute herum die Unterschriften gegen den Ausbau sammeln.
    Leider kann das bei uns bekanntlich fatale Folgen haben, wenn Sie dadurch Gesetze erstreiten die dann folglich auch umgesetzt werden müssen.

    Eure Argumente und Erklärungen zu e-Voting haben mir sehr geholfen um hier gute Diskussionen zu führen und den ein oder anderen von der Unsinnigkeit dieses Vorhabens zu überzeugen.

    Es muss absolut nicht laienmässig erklärt sein. Ich bin schon in der Lage das dann auf das jeweilige Niveau herunter zu brechen :)

  5. Bitte weniger die Affen für Deutschland zitieren. Deren intellektuellen Raubbau zu verbreiten finde ich mehr als schwierig.

    Eine Bitte eines Langzeithörers, ich werd versuchen das nächste mal einfach die Stelle im Podcast zu skippen. Man soll ja seine eigenen Probleme nicht zu denen anderer machen.

  6. Die sogenannte “AfD” ist das Letzte. Brandner und Konsorten sind eine Schande für den Bundestag.

    Nach dem die Selbstverständlichkeiten geklärt sind, folgt Klugscheißerei:

    Die “Machete” ist ein Schweizer Gertel. Oder auch Hippe. Siehe:
    https://de.wikipedia.org/wiki/Hippe_(Werkzeug)

    Als Forstwerkzeug sehr gut brauchbar. Im Gegensatz zur Machete als Werkzeug brauchbar und verbreitet.

    Das Säbel, das wohl einen Hintergrund im Nahen/Mittleren Osten hat, ist die Hippe auf der Innenseite scharf.

    Im praktischen Alltag ist allem die Astschere vorzuziehen. Kann man nur nicht so martialisch mit twittern…

  7. Nach den Aussagen von Roger Hallam glaube ich nicht mehr, dass XR noch zu retten ist. Das Problem ist, dass er nicht irgendeine Person ist, für die XR “offen” ist, sondern zur Gründerriege mit hoher medialer Präsenz gehört. Dort vertreten auch andere noch immer Offenheit für xenophobe Positionen und esoterische Lehren. Zweifelhafte Aktionen, wie die U-Bahn-Blockade in Londen sind auch nicht gerade förderlich. Klingt wie Jutta Ditfurth? Sie hat den Fehler gemacht, die Positionen Einzelpersonen, wie Hallam auf die gesamte Bewegung zu übertragen. Auch wenn das unzulässig ist, gibt es bei XR eben zweifelhafte Gestalten in medialen und organisatorischen Machtpositionen. Wenn XR nicht die Kurve kriegt werden sie sich zerfleischen wie seinerzeit die Piraten.

  8. Wir hatten bei einer alten Arbeitsstelle einen schönen Speerangriff, der mich damals echt beeindruckt hat:
    Wir hatten eine Stellenausschreibung bei der Agentur für Arbeit veröffentlicht und haben eine Bewerbung mit korrekter Anrede der Kollegin, die die Bewerbungen bearbeitet hat, und korrekter Ausschreibungsnummer der Agentur für Arbeit. Eine der angehängten Bewerbungsunterlagen hat uns dann alle Dateien auf dem Server verschlüsselt. Der Kollegin war das äußerst unangenehm, aber ich weiß nicht, was sie hätte anders machen sollen.

    Wir hatten zum Glück täglich über Nacht Backups auf externen Festplatten gemacht. Die betreffende Kollegin war die erste in Büro und hat als erstes die Backupfestplatte von Server genommen und dann ihre E-Mails bearbeitet, sodass wir keinerlei Datenverlust hatten.

    • “aber ich weiß nicht, was sie hätte anders machen sollen.”
      Keine Executables oder Dokumente mit (aktivierten) Macros als Bewerbung annehmen?

    • Ich bin technisch nicht fit genug um zu verstehen wie das passieren kann. Bewerbungsunterlagen werden doch per PDF abgegeben. Können die ausführbaren Schadcode enthalten? Wenn ja, warum kann denn der gesamte Server verschlüsselt werden? Kann ich so einfach Firmen und Behörden in Deutschland lahmlegen? Man stelle sich vor es gäbe einen gezielten großflächigen Angriff eines Staates oder Geheimdienstes mit den entsprechenden finanzielle Mitteln.

  9. “Die Telekom schaltet ISDN-Kunden auf IP um”… oder einfach auf einen Analog-Anschluss, wenn es sonst keine Alternative gibt.. aber das sind dann ja auch die 56k…

    • Eigentlich schaltet die Telekom nicht um, sondern ab. Sie kündigt die ISDN-Anschlüsse und bietet als einzige Alternative den analogen Telefonanschluss an. Der wird heute auf einer IP-Plattform produziert, ist aber trotzdem ein analoger Anschluss. So wie die analogen Anschlüsse davor auf einer digitalen Vermittlungsstelle produziert wurden, aber trotzdem analoge Anschlüsse waren. Die Telekom könnte übrigens auch auf der IP-Plattform ISDN-Anschlüsse anbieten, weil es dafür Ports gibt. Sie will halt nicht.

      Wobei: Du könntest schon 2 Mbit und ein mehrfaches davon bekommen. Dazu müsstest du nur einen SHDSL-Anschluss bestellen. Der wird über die bestehende Kupferleitung bereit gestellt, wobei dazu in den Leitungsweg Zwischenregeneratoren eingebaut werden, um die Länge zu überbrücken. Den Aufwand macht man für ADSL nur nicht, weil einem das keiner refinanziert.

  10. Hm, in der Medienberichterstattung über den Fall wurde der Name des Mannes nicht genannt. Daher wundert mich, dass ihr das hier macht. Warum habt ihr euch dafür entschieden den Namen hier zu nennen? Doch sicher nicht damit Logbuch Netzpolitik bei der Google-Suche nach dem Namen ganz oben steht. :-D

    • Dir ist schon klar, dass die sogenannte „Google-Suche“ ein personalisiertes Ergebnis liefert? Wenn bei Dir Logbuch Netzpolitik ganz oben steht, bist Du selber schuld.

  11. Mit dem Intro habt Ihr mich voll erwischt! Habe wie ein Depp auf meinen Kopfhörern rumgeklopft und immer wieder die ersten Sekunden gehört, weil ich wissen wollte, was Tims gute Nachricht ist.

  12. Guten Tag,
    Netzpolitischer influencer von Instagram hier: die Bundeswehr brauchte um da “Retro” drauf zu Pappen keinen Grafiker/Grafikprogramm – diese Funktion ist mit vielen weiteren Filtern in Instagram integriert. Die Klohypothese steht also weiterhin.

    Klasse Programm, weitermachen!
    Ihr netzpolitischer Influencer

  13. Halli-Hallo & Danke für die prompte zuneigung und stillung meiner emotet wissbegier! Julia hier, habe noch viele fragen dazu, dass aber mal an anderer stelle, sind ja schon endlich bei der 322, freue mich auf neue themen aber zugegeben ich hänge noch in der dauerlooping-paranoia mit der ransomeware-geschichte aus Folge 321, bin wirklich erstaunt darüber, wie lustik ihr damit umgehen könnt!

  14. @Tim: 56 kb/s-Modems gab es damals schon; und das ging auch über POTS, wenn man ’ne gute Leitung erwischte. Zumindest waren die Verbindungen meistens schneller als 33,6 kb/s, die Geschwindigkeitsstufe vorher. ISDN war dann 64 kb/s, mit Kanalbündelung das Doppelte (wie Du irgendwann auch richtig anmerkst).

    Ich habe übrigens mit einem 300/300er (Download/Upload) Akustikkoppler angefangen, das war für mehr als reine Mailboxtipperei völlig unbrauchbar. Dann hatte ich einen 1200/1200er Koppler, der als Besonderheit auch 1200/75 für BTX konnte. Danach wurde ich dann kriminell und schloss ein nicht zugelassenes Modem an die Telefonleitung an. ;-)

  15. Theorie zur Portfreigabe: Überbleibsel aus historischen Zeiten mit FTP als Protokoll. Damals wurde gern mal Blöcke an Ports freigegeben, um für FTP zu funkionieren?

  16. Das Löschen von Twitter Accounts finde ich eine ganz schlechte Idee. Ich wollte mir eigentlich mal einen Twitter Account mit meinem richtigen Namen zulegen. Nicht dass ich da aktiv werden will, aber ich gehe davon aus, dass mein Name einmalig ist und bevor sich jemand anderes diesen Account sicher und dann im m einem Namen Unfug macht, habe ich doch lieber so eine Karteileiche im Keller.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.