WEBVTT NOTE Podcast: Logbuch:Netzpolitik Episode: LNP325 Besser der Hund bellt einmal zu viel Publishing Date: 2020-01-09T21:54:09+01:00 Podcast URL: https://logbuch-netzpolitik.de Episode URL: https://logbuch-netzpolitik.de/lnp325-besser-der-hund-bellt-einmal-zu-viel 00:00:00.005 --> 00:00:02.974 Guten morgen guten morgen tim. 00:00:09.236 --> 00:00:11.164 Oft bei one kann jedem mal passieren. 00:00:32.455 --> 00:00:40.038 Logbuch netzpolitik nummer dreihundertfünfundzwanzig vom neunten januar zwanzig zwanzig. 00:00:40.351 --> 00:00:41.420 Zwanzig zwanzig. 00:00:41.120 --> 00:00:51.833 Zwanzig zwanzig da sind sie die goldenen zwanziger heiß ersehnt endlich sind sie da aber die diskussion wie das mit den jahrzehnten ist ist ein nerd kreisen generell schwierig zu. 00:00:51.996 --> 00:01:00.949 Die dauerhaft jetzt auch gerade wieder in unserem podcast gehört ich weiß das ding ist einfach das jahrzehnt, 00:01:01.148 --> 00:01:15.726 ist das was wir definieren und es ist jetzt halt ein jahrzehnt her dass wir dass es zweitausend war zweitausendzehn war also ich meine wir können auch sagen der logbuch netzpolitik ist noch nicht ganz ein jahrzehnt alt so relevant welche zeitrechnung. 00:01:15.756 --> 00:01:19.870 Ja dass man und dieses fehlende jahr null da kann ich einfach nur zu sagen. 00:01:19.980 --> 00:01:21.038 Kommt drauf an. 00:01:20.830 --> 00:01:25.386 Das erste jahrzehnt war halt eine peter version das hat halt nur neun jahre. 00:01:25.136 --> 00:01:28.555 Es war noch nicht ganz fertig. 00:01:26.268 --> 00:01:30.706 Ja da musste man nochmal dran arbeiten. 00:01:30.406 --> 00:01:41.042 Ich weiß gar nicht ob das ja null gefehlt hat wer weiß ob ob irgendwie die familie christus nicht irgendwie auch so eher aus dem coding style kommt wo man halt einfach mal mit null anfängt zu zählen ja. 00:01:40.784 --> 00:01:52.405 Die gastronomen haben ja auch das gefixt indem sie einfach sagen naja das jahr minus eins ist unser jahr null also die korrigieren sozusagen nach hinten raus und von daher alles gut. 00:01:52.411 --> 00:01:57.715 Ja also können sich andere darüber streiten wir machen das nicht. 00:01:56.179 --> 00:01:58.522 Wir machen das nicht ist jetzt hier ein neues. 00:02:00.079 --> 00:02:11.532 Was es herrscht einigkeit sehr schön. 00:02:11.232 --> 00:02:15.334 Feedback haben wir bekommen. 00:02:15.919 --> 00:02:17.992 Feedback achso da willst du darauf eingehen. 00:02:17.044 --> 00:02:19.608 Oder bitte witze achso kongress war auch ja. 00:02:19.308 --> 00:02:27.318 Na ich wollte nur noch kurz genau wir haben ja jetzt eine kleine pause gehabt wie lange war jetzt unsere pause zwei wochen oder sowas drei. 00:02:27.048 --> 00:02:28.307 Drei. 00:02:28.057 --> 00:02:30.701 Genau warum. 00:02:29.730 --> 00:02:31.476 Fühlte sich nicht wie eine pause an. 00:02:31.176 --> 00:02:38.813 Es war nur eine sendung pause keine wirklichen pause pause und es war natürlich wie ihr wahrscheinlich alle, 00:02:38.886 --> 00:02:51.071 wisst der sechsunddreißigste chaos comunication kongress in leipzig und der ist jetzt vorbei und das zieht natürlich jede nur erdenkliche ressource und dementsprechend, 00:02:51.258 --> 00:02:52.562 bleibt uns jetzt hier nur noch, 00:02:52.923 --> 00:03:04.400 einen kurzen rückblick zu machen aber bevor wir das tun wollen picknick machen oder willst du noch was zum kongress sagen weil wir haben ja sonst hier überhaupt gar kein kapitel für den kongress vorgesehen in unserem tollen sendung plan doch. 00:03:02.862 --> 00:03:05.637 Doch das hier das ist alles. 00:03:05.337 --> 00:03:08.600 Ah ganz am ende ja okay alles klar dann machen wir das am ende. 00:03:08.522 --> 00:03:14.964 Ja also wir können ich würde sagen lass uns das mal ans ende machen dann haben die leute was so außer sich freuen können. 00:03:14.664 --> 00:03:18.154 Jetzt kommen wir erstmal die schlechten. 00:03:17.854 --> 00:03:21.039 Ich glaube ich glaube wir haben ganz gute nachrichten. 00:03:20.751 --> 00:03:22.517 Okay das ist doch mal was. 00:03:22.217 --> 00:03:24.284 Feedback. 00:03:25.360 --> 00:03:35.424 Kleine amy schreibt uns eine kleine korrektur zu dem beitrag über den angriff auf die uni gießen es sind nicht achtunddreißigtausend rechner betroffen sondern achtunddreißig, 00:03:35.821 --> 00:03:42.569 studierende der universität ich habe selber freunde die an der uni studieren und für die es 00:03:42.522 --> 00:03:52.700 momentan der pure stress ist da viele jetzt nicht mehr an die vorlesungs- unterlagen kommen hausarbeiten hausarbeiten et cetera deswegen nicht richtig bearbeiten können jo, 00:03:52.797 --> 00:04:02.652 stimmt als ich das sagte achtunddreißigtausend habe ich auch selber gedacht boah jetzt schon groß so weil man ja nicht mit so vielen computern und da hat amy, 00:04:02.802 --> 00:04:04.280 gut korrigiert. 00:04:05.152 --> 00:04:15.210 Und dann haben wir in einer früheren sendung über ich weiß gar nicht was die letzte war oder die vorletzte über diesen crypt audit 00:04:15.103 --> 00:04:23.737 des gesprochen wo der artikel veröffentlicht wurde mit den mit den ergebnissen, 00:04:23.864 --> 00:04:32.252 die hanno bock über ich glaube frag den staat bekommen hatte wo es irgendwo das thema war okay warum hat das ps das nicht veröffentlicht. 00:04:32.932 --> 00:04:37.114 Hat uns eine e-mail erreicht. 00:04:37.691 --> 00:04:49.781 Das bsi suchte nach einer software um v f d daten zu verschlüsseln verschlussache nur für den dienst mitgebraucht dazu sollte true grip evaluiert werden. 00:04:50.598 --> 00:05:00.915 Es gab dazu eine öffentliche ausschreibung teil der analyse war es zu ermitteln ob es auch möglich wäre druck rückt um eigene krypto algorithmen zu erweitern. 00:05:01.547 --> 00:05:07.652 Dazu gab es parallel auch ein gutachten von juristen inwiefern es lizenz probleme gibt. 00:05:09.395 --> 00:05:14.754 Als wir die schwachstellen gefunden haben die meiner meinung nach alle nicht relevant sind. 00:05:15.446 --> 00:05:21.545 Wurde eine meldung an trug crypt abgesendet also sie haben diese ergebnisse gemeldet, 00:05:22.026 --> 00:05:34.572 die antwort kam schnell und überraschend schaut mal in unser security target das sind keine ziele von zum beispiel ist das meer benutzer szenario nicht abgedeckt. 00:05:35.660 --> 00:05:43.165 So die haben also im prinzip gesagt diese schwachstellen sind out of scope und jetzt war guter rat teuer. 00:05:43.971 --> 00:05:52.023 Wir hätten die fundings natürlich veröffentlichen können aber dagegen sprach erstens sie sind kaum relevant, 00:05:52.462 --> 00:05:58.224 zweitens sie sind nicht im security target der ziel software erfasst. 00:05:59.108 --> 00:06:07.394 Aber diskutiert doch gerne was ein besseres verhalten gewesen wäre wenn man kenntnis von einer schwachstelle hat. 00:06:08.254 --> 00:06:16.762 Das projekt so groß ist wie und die entwickler die fehler nicht beheben wollen, 00:06:17.009 --> 00:06:25.938 und das projekt und einer komischen lizenz steht zukunft hatte eine relativ komische lizenz das weiß ich irgendwie eine der klassischen ich weiß nur dass sie 00:06:25.782 --> 00:06:38.082 bestimmt also die entwickler haben sich ja irgendwie im dunkeln gehalten und es wurde nicht so wirklich gesagt was man mit druck drauf davon was nicht es war nicht irgendwie so eine standard lizenz wurde jetzt hätte sagen können okay wir folgen oder sowas. 00:06:38.894 --> 00:06:51.717 Tja ganz ehrlich ich hätte also mein urteil ist da relativ einfach ich hätte empfohlen die fittings oder so zu veröffentlichen wenn nichts dagegen spricht, 00:06:52.084 --> 00:06:57.413 um so einfach auch für die historie die, 00:06:57.919 --> 00:07:07.773 die möglichkeit zu schaffen also dieses typische schwachstellen aus dem scope rausdiskutieren kenne ich ja das ist so ein klassiker ich habe, 00:07:08.182 --> 00:07:18.127 gestern noch mich sehr sehr geärgert weil ich zu einem spezifischen server system, 00:07:18.506 --> 00:07:22.423 gelesen habe diese server system, 00:07:22.580 --> 00:07:34.519 ist dafür designt in einem sicheren netz betrieben zu werden wenn du nicht für die sicherheit deines netzes sorge tragen kannst solltest du diese server system dort nicht betreiben wurde diese sache alter dessen server, 00:07:34.610 --> 00:07:43.154 der muss sicher sein es geht nicht darum dass du sagst es gibt ein sicheres netz und da finde ich natürlich auch mit dieser, 00:07:43.726 --> 00:07:56.795 mit einer solchen mit einem solchen postulate kannst du letztendlich jede schwachstelle wegdiskutieren ja und das deswegen sollten schwachstellen nicht aus dem scope raus diskutiert werden weil. 00:07:57.553 --> 00:08:10.111 Es kann ja immer noch sein dass dein software produkt von anderen leuten in einem anderen scott mit anderen schutz bedürfnissen betrieben wird und die kann das ja trotzdem interessieren insbesondere wenn die schwachstelle dann nicht 00:08:10.045 --> 00:08:16.523 so relevant ist dass sie jetzt unmittelbare gefahr durch eine veröffentlichung birgt für 00:08:16.451 --> 00:08:23.956 betroffene personen dann hätte ich im zweifelsfall gesagt okay wir veröffentlichen jetzt halt, 00:08:24.281 --> 00:08:26.768 in der e-mail steht weiter dass es dann auch, 00:08:27.159 --> 00:08:36.070 bei denen leuten nicht die höchste priorität hatte aus den genannten gründen sie war nicht wirklich relevant. 00:08:37.098 --> 00:08:50.210 Und so wurde sie halt dann ist sie halt im nächsten projekt und halbes jahr später halt einfach auch in vergessenheit geraten so die person die uns das jetzt hier geschildert hat ich denke ja. 00:08:51.178 --> 00:08:54.524 Also vielen dank für das feedback und ich denke, 00:08:54.843 --> 00:09:07.335 unter den bedingungen wenn wir es jetzt hier diskutieren sollen dann hätte ich es tatsächlich veröffentlicht über sowas kann man blogpost schreiben oder sonst was und dann sowas macht man ja primär um sich dann eben auch den, 00:09:07.726 --> 00:09:09.541 den druck. 00:09:10.389 --> 00:09:23.686 Den druck aufzubauen oder eben auch zu offenbaren wie die programmierer oder hersteller eben dagegen arbeiten dass so etwas anzuerkennen und das klang jetzt für mich nicht nach einer einer schwachstelle die man nicht, 00:09:25.315 --> 00:09:37.633 also wo ich mich manchmal halt frage ist so ey der ding einfach zu fixen ist manchmal einfacher als die e-mail antwort zu zu formulieren kann ich jetzt bei dieser bei dieser schwachstelle nicht sagen aber ja. 00:09:40.770 --> 00:09:47.963 Gut auch wenn wir uns in gewisser hinsicht ein kurzes kongress review hier fürs ende aufgehoben haben ist ja 00:09:47.915 --> 00:09:56.051 trotz alledem eine ganze menge rund um den kongress passiert was nochmal separate medienaufmerksamkeit erzeugt hat. 00:09:56.568 --> 00:09:58.028 Und auch für uns relevant ist. 00:09:57.740 --> 00:10:05.197 Und uns auch für uns relevant ist unter anderem gab es ja auch ein preis release des c. 00:10:06.585 --> 00:10:11.993 Und ich habe so die vermutung weiß da ein bisschen mehr darüber als ich. 00:10:10.786 --> 00:10:25.441 Ja also das war ich habe das hier in der sendung wer ganz genau hingehört hat habe ich das sogar zweimal in der sendung angemerkt dass ich vermute dass da noch was kommen könnte, 00:10:25.965 --> 00:10:32.616 leider kann ich auch glaube ich zugeben dieses projekt hat sich um, 00:10:32.953 --> 00:10:37.568 ja doch wochen und monate verzögert. 00:10:38.572 --> 00:10:45.554 Aus vielen unterschiedlichen gründen der kongress selber ist einer davon und ja 00:10:45.458 --> 00:10:52.999 das ist aber auch egal entscheidend ist es gibt eine veröffentlichung des c durchgeführt von 00:10:52.897 --> 00:11:00.576 thorsten schröder und mia mit dem c analysiert münchner staatstrojaner finns bei. 00:11:01.376 --> 00:11:06.495 Und die vorgeschichte ist natürlich, 00:11:06.814 --> 00:11:16.897 elf war das glaube ich als der c zum ersten mal ein staatstrojaner analysiert hat das war der staat zu einer aus dem hause, 00:11:16.940 --> 00:11:26.668 digitale hieß damals als unternehmen es war ein staatstrojaner der auf desktop rechnern eingesetzt wurde und, 00:11:27.185 --> 00:11:35.189 der war auf irgendeinem komischen brauner umschlag irgendwie mal im c gelandet dort wurde er von einigen leuten analysiert, 00:11:35.508 --> 00:11:42.436 die analyse ergebnisse veröffentlicht schwachstellen in dem staatstrojaner nachgewiesen nicht, 00:11:42.911 --> 00:11:53.420 den gesetzlichen regularien entsprechendes verhalten des staatstrojanern nachgewiesen und der staatstrojaner veröffentlicht sodass er in wien scanner mit aufgenommen werden konnte, 00:11:53.565 --> 00:12:01.887 das hatte zur folge dass die deutschen strafverfolgungsbehörden ich will jetzt mal übertrieben sagen entwaffnet waren. 00:12:02.614 --> 00:12:15.311 Die konnten das ding nicht mehr einsetzen und insbesondere das halt auch unser schon vor diesem vor dieser analyse immer wieder gebracht das argument das ist nicht möglich ist, 00:12:15.546 --> 00:12:23.622 einen staatstrojaner zu bauen der diesen gesetzmäßigen anforderungen die eben im gesetz stehen entspricht. 00:12:24.536 --> 00:12:29.661 Das wurde dadurch eben gezeigt so das war. 00:12:29.391 --> 00:12:39.390 Hatte ja auch eine interessante kulturelle auswirkung die veröffentlichung des source kurz auf so 'ner riesigen doppelseite seite im feuilleton. 00:12:39.144 --> 00:12:46.100 Titelseite seite der fatz war ausschnitte also es händler code das war's. 00:12:45.850 --> 00:12:46.985 Auf der titelseite auch noch. 00:12:46.735 --> 00:12:48.978 Allgemeine sonntagszeitung zeile. 00:12:49.077 --> 00:13:02.897 Ja aber es gab dann im faktor nochmal so richtig dicke fette also wo ich finde halt absolut zurecht security analyse im prinzip auch als kunstform ein ausdruck fand. 00:13:01.263 --> 00:13:13.022 Das waren das waren die das waren die guten alten zeiten schirmacher lebte noch willy brandt der bundeskanzler so kam alles zusammen und. 00:13:13.017 --> 00:13:14.939 Letzte jahrzehnt von dem immer alle reden. 00:13:14.886 --> 00:13:19.782 Das war dieses frühjahr und. 00:13:20.474 --> 00:13:27.961 Die genau das war ich denke nach wie vor wohl die, 00:13:28.334 --> 00:13:35.526 ja doch die die referenz veröffentlichung des c an die so. 00:13:36.176 --> 00:13:39.534 In der liga spielen halt vielleicht noch der x und, 00:13:40.015 --> 00:13:49.455 zwei drei andere sachen aber das staatstrojaner hektisch c war schon einfach mal das das ei und ziemlich geile sache. 00:13:50.297 --> 00:13:51.871 Ja 00:13:51.919 --> 00:14:03.438 situation zweitausendelf war also deutschland deutsche strafverfolgungsbehörden wurde ihre auch nach nachweislich und auch unbestrittene weise nicht verfassungsgemäß, 00:14:03.517 --> 00:14:11.250 staatstrojaner nummer weggenommen wir haben seitdem viel gerudert es hat sich gesetzlich viel getan ich habe ja 00:14:11.215 --> 00:14:19.447 hier auch immer wieder darüber berichtet dass dann eben der staatsräson einer trojaner einsatz wieder auf irgendeine weise legitimiert wurde dann wurden. 00:14:20.060 --> 00:14:22.403 Die hürden abgebaut das war, 00:14:22.428 --> 00:14:34.764 ich glaube dazu war ich zwanzigsiebzehn im bundestag wo es darum ging okay jetzt machen wir es mehr oder weniger bei alltags kriminalität und nicht mehr nur bei terroristen und und schweren straftaten und, 00:14:34.860 --> 00:14:45.718 die situation in deutschland war jetzt folgende es gibt ein unternehmen mit dem namen finden fischer und die haben ein produkt mit dem namen finden bei und dieses produkt wird an die 00:14:45.689 --> 00:14:50.513 wird anders verkauft und auch an 00:14:50.490 --> 00:14:59.743 landeskriminalämter dass beim bestätigt bei den landeskriminalämter ist es berichtet und nicht widersprochen worden und, 00:15:02.298 --> 00:15:10.896 das wäre jetzt so die situation in deutschland zwanzig neunzehn sehr kurz gefasst dann kam diese sache, 00:15:11.167 --> 00:15:18.588 die wir auch hier berichtet haben nämlich die strafanzeige gegen dieses unternehmen weil. 00:15:19.532 --> 00:15:29.608 Ein produkt ein staatstrojaner der dehnen zugeordnet wird in der türkei gegen oppositionelle eingesetzt wird da beginnt jetzt quasi, 00:15:29.951 --> 00:15:37.967 meine geschichte und die beginnt irgendwie im juni zwanzig neunzehn klingelt telefon. 00:15:38.737 --> 00:15:46.987 Und ulf buchmeier ist dran kam kam erstmal werbung und dann haben wir, 00:15:47.071 --> 00:15:49.619 dann haben wir gequatscht nein, 00:15:49.739 --> 00:16:00.591 alles gut ich sehe alles klar wie ist es und was kann ich gegen dich tun und dann haben wir im gequatscht sagt er ja ich habe hier so so software könnt ihr die mal euch angucken 00:16:00.478 --> 00:16:05.074 sag aha software was hast du denn da ja 00:16:05.032 --> 00:16:11.738 könnte staatsdiener sein ich sage ach je hast du jetzt irgendwie auch inzwischen so ein aluhut auf 00:16:11.600 --> 00:16:22.572 nee weiter wer nicht von ihm sondern weil also hintergrund ist es passiert jetzt nicht selten dass leute zu uns kommen und sagen sie haben den staatstrojaner auf ihren telefon, 00:16:22.873 --> 00:16:26.580 das ist eine sehr sehr regelmäßig und wir versuchen die dann auch, 00:16:26.996 --> 00:16:35.167 also wenn wir versuchen den dann halt zu helfen indem wir ihnen sagen hier kaufst dein neues telefon als er nicht drauf und. 00:16:36.099 --> 00:16:44.043 Oder wir helfen denen dann auch in der weiteren behandlung und ja genau jetzt kommt er. 00:16:45.551 --> 00:16:54.817 Kam also an und sagte ja hier so und so sag aha was hast du denn da ja könnte finns bei sein ich sag okay, 00:16:55.304 --> 00:17:03.813 habe ich auch noch hast du noch mehr dazu zu sagen ja sagt er wurde in der türkei eingesetzt und es gibt halt diese exporte restriktionen 00:17:03.681 --> 00:17:09.786 das heißt dass wenn das ding irgendwie aus münchen wo das unternehmen finn fischer sitzt 00:17:09.588 --> 00:17:17.802 seinen weg gefunden hat gegen türkische oppositionelle eingesetzt zu werden dann gibt's entweder eine export genehmigung. 00:17:19.280 --> 00:17:27.789 Die haben aber nachgefragt es gibt keine oder ein verstoß gegen das gesetz oder einen. 00:17:28.607 --> 00:17:34.549 Ein schlupfloch dass dieses unternehmen genutzt hat sagt pass auf das super weil wenn, 00:17:34.561 --> 00:17:44.037 hersteller von staatstrojaner gegen die gesetze verstoßen da ist es ja meine bürgerpflicht dass wir uns sowas angucken na da bin ich ja ganz interessiert dran habe dann eben, 00:17:44.134 --> 00:17:47.553 thorsten gefragt sagt thorsten hier, 00:17:47.968 --> 00:18:01.271 ich weiß was viel zu tun aber es tut mir leid wir müssen die band nochmal zusammenbringen und haben dann ja zwei samples bekommen die. 00:18:02.167 --> 00:18:05.273 Von der gesellschaft für freiheitsrechte in der rolle hat ja ulf, 00:18:05.430 --> 00:18:12.791 mich da angerufen und haben wir jetzt zwei samples bekommen paar analyse fragen dazu, 00:18:12.971 --> 00:18:23.811 was so könnt ihr sagen ob die von unterschiedlichen oder gleichen hersteller kommen wann wurde die hergestellt und diese frage der herstellung ist halt sehr entscheidend weil. 00:18:24.509 --> 00:18:36.358 Diese exportkontrolle sind irgendwann in kraft getreten und wenn jetzt quasi das datum das festlicht wann diese schadsoftware erstellt wurde dahinter liegt, 00:18:36.605 --> 00:18:42.650 dann ist das eben ein starkes indiz dafür dass eben hier eine exportkontrolle verstoß vorliegen könnte. 00:18:43.528 --> 00:18:51.886 Ja und dann haben wir uns irgendwie hingesetzt haben angefangen uns die dinge anzuschauen und jetzt gibt's halt das problem dass der thorsten so, 00:18:52.319 --> 00:18:59.806 ja wie soll ich das sagen wenn man sagt wir analysieren jetzt was denn da gibt es ja nicht eher ruhe als derzeit analysiert ist und, 00:18:59.914 --> 00:19:07.371 dummerweise hat er dann immer mehr sachen und eigenschaften von diesen samples gefunden die ist ihm ermöglicht haben wiederum weitere zu finden, 00:19:07.678 --> 00:19:12.046 so dass wir am ende mit einem haufen von achtundzwanzig staatstrojaner varianten da saßen, 00:19:12.335 --> 00:19:24.467 und du hast irgendwie durchgewühlt hat muss mehr finden und ich so nein wir müssen eigentlich nur zwei fragen beantworten lass uns doch jetzt mal hier bericht schreiben und ja ja dadurch hat sich dieses. 00:19:24.173 --> 00:19:27.321 Hatte die den gefunden also wo findet man denn sowas. 00:19:27.550 --> 00:19:29.611 Internet. 00:19:29.443 --> 00:19:32.976 Internet da das stimmt im internet. 00:19:32.676 --> 00:19:40.259 Gibt es gibt unterschiedliche quellen es gibt sagen wir mal eine reihe an 00:19:40.247 --> 00:19:46.670 schadsoftware datenbanken analyse möglichkeiten 00:19:46.497 --> 00:19:55.792 man kennt ja auch den einen oder anderen der sich mit dem thema auch auseinandersetzt und gerade wenn du dann weiß wonach du suchen musst. 00:19:55.655 --> 00:19:57.415 Dann wird's einfacher diese müllhalden. 00:19:57.487 --> 00:20:11.145 Wird's einfacher mal durch müllhalden zu wühlen und dann nicht alle davon übrigens muss ich auch sagen sind jetzt irgendwie neu na also viele davon du findest, 00:20:11.711 --> 00:20:19.065 in den meisten berichten findest du halt die die zweihundertsechsundfünfzig prüft summe. 00:20:20.256 --> 00:20:34.485 Aber nicht das sample selber das ist also die die prüfung haben wir überprüfung sprechen wir ja relativ häufig also quasi die eindeutige kennung eines stückes daten und sehr häufig finden werden halt die, 00:20:34.996 --> 00:20:38.883 die prüfungen veröffentlicht nicht aber das sample selber, 00:20:39.395 --> 00:20:48.137 wenn du aber die prüft summe weißt dann ist es wenn du jetzt irgendwie weiß wie du suchen muss und wenn du fragen muss halt relativ einfach, 00:20:48.276 --> 00:20:59.482 du hast wenigstens einen anhaltspunkt wo du weißt okay jetzt habe ich es und wenn ich mich nicht täusche stamm von den achtundzwanzig samples allein, 00:20:59.579 --> 00:21:07.234 zwölf oder vierzehn ich glaube zwölf aus dem leag von chinas fischer ja fitness fischer hat. 00:21:07.920 --> 00:21:11.236 Bei uns ja auch viel besonnener hält, 00:21:11.795 --> 00:21:19.841 zwanzig vierzehn glaube ich find fischer gehackt und. 00:21:20.929 --> 00:21:24.402 Die dort gefundenen daten. 00:21:25.051 --> 00:21:35.453 Veröffentlicht in einem großen torrent vierzig gigabyte torrent und allein dort findest du halt eine reihe dieser samples drin ja das heißt, 00:21:36.000 --> 00:21:46.774 nicht also viele von diesen samples sind von anderen vorher auch schon veröffentlicht worden oder analysiert worden ja sind nicht alle neu aber. 00:21:47.417 --> 00:21:55.583 Na das ist so ein bisschen wie bei slowing der koffer ja wenn du halt irgendwie anfängst dir eine ordentliche staatstrojaner 00:21:55.409 --> 00:22:05.606 sammlung anzulegen dann legst du irgendwann wert auf vollständigkeit ja und dass dieses das hat uns da da halt auch befallen 00:22:05.456 --> 00:22:13.063 ich gucke gerade mal hier sind eins zwei drei vier fünf sechs sieben acht neun zehn, 00:22:13.082 --> 00:22:16.116 zwölf zwölf waren in dem lied von, 00:22:16.627 --> 00:22:30.718 fitness fischer dran so dann haben wir die uns alle angeschaut und haben halt gemeinsamkeiten dadrin entdeckt und unterschiedlichkeiten und haben diese ergebnisse alle so ein bisschen, 00:22:30.893 --> 00:22:38.139 zusammengetragen jetzt ist das entscheidende wir hatten quasi zwei fragen die die eine frage war. 00:22:38.801 --> 00:22:42.466 Herstellungs zeitraum wann ist das sample produziert worden, 00:22:42.875 --> 00:22:51.023 und eingesetzt worden aber produzieren ist das entscheidende weil es hätte ja theoretisch sein können dass die alle vor in kraft treten der, 00:22:51.594 --> 00:22:58.318 exportkontrolle aus europa raus exportiert worden ohne eine notwendigkeit einer genehmigung und alles ist gut. 00:22:59.039 --> 00:23:06.406 Oder sie wurden danach hergestellt achtzehnte juli war das relevante datum. 00:23:07.116 --> 00:23:11.838 So jetzt mussten wir also gucken finden wir in diesen samples etwas das, 00:23:12.331 --> 00:23:20.798 daraufhin deutet dass sie nach diesem datum hergestellt wurden und das also da gab es indizien, 00:23:20.810 --> 00:23:35.388 die hatte auch die gesellschaft für freiheitsrechte in ihrer strafanzeige eingebracht die gesellschaft für freiheitsrechte hat nämlich dann ihre staats ihre strafanzeige aus sorge vor verjährung quasi eingebracht bevor wir fertig waren mit der analyse. 00:23:36.097 --> 00:23:40.832 Und die hatten halt in indizien, 00:23:40.971 --> 00:23:48.049 sehr viele konsistente indizien dass es nach zwanzig fünfzehn erstellt wurde aber, 00:23:48.193 --> 00:24:02.711 muss ich jetzt so sagen diese indizien hatten keine beweiskraft das waren alles auch dinge die man hätte ändern können es hätte es wäre nicht unmöglich gewesen auch wenn keine motivation da ist oder so diese dinge in, 00:24:02.922 --> 00:24:09.790 quasi in die zukunft zu debattieren auch wenn überhaupt gar keinen sinn dafür kein anlass dafür bestehen würde aber sie hatten keine beweiskraft. 00:24:10.421 --> 00:24:17.703 Aber eben sehr starke indizien kraft und was wir dann halt herausgefunden haben ist dass, 00:24:18.119 --> 00:24:30.581 in den objekt falls von von dem fraglichen sample was in der türkei oder gegen die türkische opposition eingesetzt wurde dass sich dort quasi libraries drin befinden, 00:24:31.098 --> 00:24:41.806 die auch erst zwanzig sechzehn existiert haben ja also die wo quasi drin steht so diese version von. 00:24:42.401 --> 00:24:43.627 Light, 00:24:44.108 --> 00:24:55.891 gibt es erst seit diesem und jenem datum und sie hat einen hash wert ja und dieser hashtag wiederum den hatte halt diese library sodass wir sagen konnten ok es ist einfach nicht möglich, 00:24:55.940 --> 00:25:02.850 dass jemand die software aus der zukunft verwendet hat beim bau seiner schadsoftware und deswegen ist diese sample, 00:25:03.006 --> 00:25:08.006 frühestens zwanzigsechzehn entstanden im zweifelsfall noch sehr viel später. 00:25:08.667 --> 00:25:15.138 So das war die frage nach dem herstellungs traum und dann ist eben die frage nach dem, 00:25:15.571 --> 00:25:25.660 nach der herkunft also wer hat's denn produziert so da kannst du natürlich auf viele wege vergleiche machen wir haben. 00:25:26.610 --> 00:25:37.498 In unserer sammlung noch drei weitere samples gefunden die zum beispiel signiert waren mit dem gleichen zertifikat wie samples die in dem fingers fischer league waren, 00:25:37.883 --> 00:25:51.030 signatur zertifikate immer nur einer hat und diese signatur zertifikate nicht geliebt sind war klar dass diese anderen drei samples die wir auch hatten aus der gleichen quelle stammen nämlich von finn fischer, 00:25:51.548 --> 00:26:04.028 weil die zertifikate war nicht gelegt mit anderen worten wir konnten jetzt noch drei weitere samples auch über die zertifikate eindeutig fischer zuordnen es hat aber nicht. 00:26:05.134 --> 00:26:12.789 Es war jetzt quasi bei dem fraglichen sample was eben gegen die türkischen leute eingesetzt wurde nicht, 00:26:13.144 --> 00:26:27.391 möglich diesen also weil das quasi dieser einsatz war ja zwanzig siebzehn wurde das erstmalig an gesendet und. 00:26:29.729 --> 00:26:37.240 Das war ja quasi nach dem großen heck von veneers fischer und danach haben die angefangen nie mehr, 00:26:37.259 --> 00:26:46.837 als einmal das gleiche zertifikat zu verwenden ja klar ne wenn du weißt das zertifikat ist ein beweis gegen dich dann fängst du halt an und nimmst einfach jedes mal ein anderes. 00:26:48.105 --> 00:26:56.271 Was ihr aber herausgefunden haben ist dass diese ganzen samples von, 00:26:56.650 --> 00:27:02.496 zweitausendzwölf bis zweitausendneunzehn. 00:27:03.434 --> 00:27:12.123 Die wir dort hatten einen sehr spezifischen sehr findigen mechanismus nutzen um ihre, 00:27:12.556 --> 00:27:16.431 konfiguration zu verstecken also, 00:27:16.985 --> 00:27:28.954 ja wir haben es mit einem ganz normalen trojaner zu tun trojaner führt irgendwelche für irgendwelche überwachungsaufnahmen auf dem system durch und, 00:27:29.333 --> 00:27:37.625 extrahiert dort informationen die dann weg schickt ja der braucht also ein sogenannten command and control server da geht der quartal schickte die daten hin. 00:27:38.317 --> 00:27:39.614 Und. 00:27:40.246 --> 00:27:50.677 Die herausforderungen für diese für diese hersteller ist oder für finn fischer ist jetzt so wir müssen diesen trojaner eine konfiguration mitgeben, 00:27:51.206 --> 00:28:04.173 so und zwar an folgende ip-adresse sendest du die ergebnisse und du machst keine ahnung du löscht dich selber nach so und so viel einsetzen oder du machst ne oder du du hast dieses modul aktiv und dieses modul nicht und so weiter. 00:28:04.366 --> 00:28:05.862 Quasi der auftrag. 00:28:05.634 --> 00:28:16.522 Ich würde es ich nenne es halt im bericht habe ich provisioniert als so ne das ist also quasi du hast dieses gerät das ist irgendwie fertig und jetzt muss das irgendwie noch konfiguriert werden. 00:28:16.943 --> 00:28:29.610 Ja klar aber wenn man's mal zum james bond movie style vergleich zu und kommt dann halt rein sagt schön guten tag bist moneypenny und dann so hier macht dies berichtet nach da. 00:28:28.408 --> 00:28:36.352 So und diese es gibt natürlich verschiedene gründe warum man diese daten möglichst gut verstecken möchte. 00:28:37.170 --> 00:28:45.714 Weil wenn jetzt irgendwie jeder diese schadsoftware aufmacht und da steht sofort die ip-adresse von dem kommando control drin und so ne schlecht. 00:28:46.316 --> 00:28:52.739 Also haben die so und das andere problem ist wenn du den. 00:28:53.604 --> 00:28:57.930 Als produkt auslieferst ich gebe dir jetzt meinen start zu hören. 00:28:58.917 --> 00:29:08.200 Dann musst du den ja unter umständen noch konfigurieren der ist aber von mir signiert, 00:29:08.615 --> 00:29:18.668 mit anderen worten du kannst an dem eigentlich nichts nennenswertes mehr ändern ohne ihn fundamental quasi zu ändern und damit die signatur zu stören. 00:29:19.251 --> 00:29:23.090 Es ist halt die frage für den entwickler gewesen. 00:29:23.830 --> 00:29:34.742 Wo in diesem android-app ich rede die ganze zeit nur von android software kann ich die konfiguration verstecken so dass sie nicht gefunden wird. 00:29:36.125 --> 00:29:43.431 B auf eine weise teil der software wird die nicht die signatur der software selber verletzt. 00:29:45.397 --> 00:29:56.267 Und die signatur bei android funktioniert primär darüber dass du ein manifest pfeil hast also ein eine datei in der alle dateien drin stehen die in diesem applikator sind. 00:29:56.009 --> 00:29:58.045 Also quasi so ein inhaltsverzeichnis. 00:29:57.775 --> 00:30:02.173 Genau du hast ein inhaltsverzeichnis neben jeder datei hast du die summe stehen. 00:30:03.123 --> 00:30:12.978 Und du signiert am ende einfach nur dieses manifest fall also du hast eine signatur auf eine datei diese datei ist eine inhaltsangabe aller anderen mit ihren prüf summen. 00:30:13.621 --> 00:30:27.568 Und jetzt gehst du quasi bei der prüfung gehst du hin gucks dir das manifest pfeil an prüft die signatur prüft dann die integrität aller dateien die dem manifest fall stehen und weißt okay dieses afrika ist integer. 00:30:28.680 --> 00:30:35.313 Ein appel ist aber ein silberpfeil. 00:30:36.209 --> 00:30:40.091 Also eine ein komprimiertes archiv von diesen dateien, 00:30:40.193 --> 00:30:51.869 so kriegt man das ganze ding in ein in eine datei also eine afrika ist ein fall von dateien die ein insgesamt ein programm ausmachen die dann dieses android-telefon ausführt. 00:30:53.125 --> 00:30:56.033 Leuchtet noch ein so jetzt. 00:30:53.960 --> 00:30:56.904 So jetzt. 00:30:56.616 --> 00:31:03.532 Gibt es eine und ich muss sagen hut ab das ist eine sehr kluge idee gewesen in zip dateien. 00:31:04.170 --> 00:31:09.457 Gibt es also in dem format gibt es quasi, 00:31:09.878 --> 00:31:21.042 optionale felder für metadaten zu dateien die internen und externen tribut die. 00:31:20.899 --> 00:31:23.062 Nicht bestandteil des ausgepackten. 00:31:23.146 --> 00:31:26.036 Genau die sind nicht bestandteil des ausgepackten. 00:31:26.193 --> 00:31:28.999 Sind aber trotzdem dabei und man kann sie wieder auslesen. 00:31:29.101 --> 00:31:36.582 Genau und jetzt haben die halt die sind einfach hingegangen und du kannst irgendwie ich glaube pro pfeil hast du sechs beide, 00:31:36.967 --> 00:31:40.626 und da kannst du prinzipiell erst mal reinschreiben was du willst. 00:31:41.282 --> 00:31:49.147 Du musst das nämlich nicht berücksichtigen ist einfach nur ein attribut so da wird das betriebssystem oder wer auch immer schon was mitmachen oder eben nicht. 00:31:49.610 --> 00:32:03.437 Was heißt das betriebssystem überprüft nicht alle daten dieses applikator falls sondern nur die von denen dieses applikator sagt das ist mein inhalt trotzdem hat denn der ausgeführte code später zugriff auf das volle afrika. 00:32:03.617 --> 00:32:18.117 Der nicht ganz der ausgeführte code sagt einfach nur kann ich mich mal kann ich mal ganz kurz mein sitzball sehen und natürlich kann er sich selber sehen der muss sich ja auch selber lesen können also der code kann ja nur die rechte haben sich selber zu sehen sonst würde er ja nicht sie sein können. 00:32:17.817 --> 00:32:21.828 Ja gut aber ich würde ja erwarten dass er dann auch nur auf den signierten teil zugreifen kann also. 00:32:21.578 --> 00:32:23.759 Kann er ja auch ist ja also. 00:32:23.509 --> 00:32:24.853 Auch noch auf die metadaten. 00:32:24.757 --> 00:32:27.539 Die ja in dem fall stehen. 00:32:28.176 --> 00:32:31.150 Dir aber nicht teil der überprüfung sind sozusagen. 00:32:30.850 --> 00:32:41.264 Südpfalz spielt in der ganzen kette keine rolle es völlig in ordnung in diesem fall irgendwas reinzuschreiben weil thema scope die signatur gilt ja für die inhalte, 00:32:41.601 --> 00:32:51.924 und solange die inhalte in ordnung sind völlig ist es sehr gut ja inhalte sind in ordnung das ist das ziel dieser integritätsprojekts des android, 00:32:53.402 --> 00:33:02.878 der der signatur prüfung der integrität der android software wenn du aber sagst meine android software hat noch fünfundachtzig lehre dateien die mit in dem fall sind, 00:33:03.161 --> 00:33:09.723 für dich pro beiden paar meter daten mitschreiben kann und jetzt kommt am ende meine android software und sagt jo, 00:33:10.252 --> 00:33:15.299 ich gucke mir mal kurz die südpfalz an und lese quasi durch die metadaten dieser dateien. 00:33:16.177 --> 00:33:22.612 Hol mir da jeweils meine bits raus packt die alle hintereinander und da steht meine konfiguration drin. 00:33:23.280 --> 00:33:31.061 Dann hast du einen relativ geilen mechanismus um ohne signatur verletzungen dein trojaner um programmieren zu können. 00:33:31.855 --> 00:33:46.438 Gehst ja kein ausfahrbaren code denn der liest ja nur aus sich selber aus den metadaten in dem fall diese sachen und sagt okay meine konfiguration ist folgendes schreibt sich die speicher und schickt dann den den kram schön rüber ziemlich geniale idee. 00:33:47.184 --> 00:33:49.004 Muss ich wirklich neidlos anerkennen. 00:33:51.618 --> 00:33:57.224 Und die idee ist sogar so gut dass sie niemand anders hatte auf diesem planeten. 00:33:57.946 --> 00:34:10.354 Und das ist natürlich scheiße für finn fischer weil die machen das seit zweitausendzwölf auf diese weise und wir haben quasi über jetzt von zweitausendzwölf bis zweitausendneunzehn, 00:34:10.553 --> 00:34:19.656 durchgängig durch unsere samples genau diesen mechanismus gefunden und da niemand anderes das macht, 00:34:20.089 --> 00:34:26.639 ist das natürlich ein sehr guter marker dass alle diese samples, 00:34:27.204 --> 00:34:33.375 von diesem unternehmen stamm es müsste zumindest erklärt werden wie samples mit 00:34:33.243 --> 00:34:41.691 in großen teilen gleichen coach strukturen der code entwickelt sich halt über die jahre auch weiter da siehst du halt mal okay, 00:34:41.692 --> 00:34:49.395 da wurde mal eine normale check eingebaut hier wurde meine funktion anders gebaut aber wenn du dir diese flowcharts anschaust siehst du 00:34:49.179 --> 00:34:58.060 ja gut der code ist halt gleich geblieben das kannst du mir zu flowchart indikatoren schön sehen die firmen die das ein damit du als du siehst die stelle dir im prinzip den code da als so ein, 00:34:58.631 --> 00:35:00.085 entscheidungsbasis, 00:35:00.518 --> 00:35:14.393 und wenn du halt siehst na ja okay der baum ist ist halt der gleiche baum ja der hat halt jetzt noch einen gast hier oder so aber letztendlich sind die veränderungen die wir dort sehen über die jahre quasi so dass du das hier hat jemand. 00:35:15.264 --> 00:35:22.974 Auch weitergearbeitet hier findet eine kontinuierliche weiterentwicklung statt während andere sachen gleichbleibend. 00:35:23.581 --> 00:35:31.014 Und diese kontinuität ist halt über die achtundzwanzig samples die wir hier untersuchen konnten. 00:35:32.931 --> 00:35:39.559 Auf der einen seite einige sachen bleiben immer gleich andere entwickeln sich über die zeit weiter und wenn du die samples halt 00:35:39.475 --> 00:35:49.492 nach ihrem herstellungsdatum beziehungsweise ersten entdecken sortierst dann siehst du dass du quasi in einer reihe ist so dass du hier einer einer schadsoftware variante eben 00:35:49.354 --> 00:35:58.523 über die jahre beim entwickeln zu siehst was du nicht siehst oder was wir nicht gefunden haben sind irgendwelche sachen wie dass es auf einmal sich in zwei familien, 00:35:58.686 --> 00:36:04.382 splittet na dass du siehst ach okay es gibt den einen baum der geht in die richtung weiter, 00:36:04.485 --> 00:36:11.485 und jetzt hast du auf einmal zwei entwickler familien das hat sich gefolgt oder sowas wie man vermuten würde wenn jemand. 00:36:12.357 --> 00:36:22.433 Beispielsweise ich meine alle samples aus dem fitness fischer liegt muss ja annehmen die stehe theoretisch auch allen anderen zur verfügung das heißt, 00:36:22.740 --> 00:36:37.612 ich würde jetzt quasi irgendwas was in diesem lied war in freier wildbahn gegen irgendjemand eingesetzt werden hast du gar keine beweiskraft weil das ist frei aus dem internet herunterladbaren du kannst nur sagen naja das provisioniert zu können mit diesem spezifischen geheimcode. 00:36:38.779 --> 00:36:43.916 Und die kommando control server dafür zu bauen die du ja vorher nicht hattest, 00:36:44.139 --> 00:36:52.551 sind alles sehr hohe einstiegshürden die im prinzip bedeuten dass jemand das ist sehr unwahrscheinlich ist dass jemand sich den aufwand macht den, 00:36:52.864 --> 00:36:58.446 trojaner aus dem zwanzig vierzehner league. 00:37:00.453 --> 00:37:12.946 Zu für sich selber einzusetzen weil du hast nur eine hälfte was gelegt wurde sind nur die trojaner also die implantate nicht aber die ganze kommando controlling struktur dahinter nämlich wenn der jetzt, 00:37:13.024 --> 00:37:17.693 nach hause funkt wie punkt der mir die sachen wie kommen die an 00:37:17.657 --> 00:37:31.424 was sagt er was muss ich am anderen ende hinbauen um mit dem reden zu können um den befehle geben zu können um die inhalte zu sortieren so den ganzen kram musst du ja auch nochmal bauen das heißt jemand der sich dort bedient würde im zweifelsfall teile dieser routinen nehmen. 00:37:32.290 --> 00:37:42.582 Aber sich zum beispiel eine andere kommando control dingens dahinter bauen weil es viel einfacher ist sich eine eigene zu bauen als die existente nach zu implementieren die du nicht hast, 00:37:42.793 --> 00:37:52.792 ja also ende vom lied wir haben eine lange kette über die entwicklung dieser software über in dem fall jetzt sieben jahre. 00:37:53.538 --> 00:37:55.682 Und können dann quasi nicht aus, 00:37:55.965 --> 00:38:09.761 schließen nicht aus einzelverkauf gleichen sondern aus einer ungebrochenes kontinuität von veränderungen die eben auch jeweils sinnvoll sind dazu dass es sich hier um ein entwicklerteam handelt, 00:38:09.846 --> 00:38:21.533 und nicht irgendwie um alternative prothese jemand anders hatte die gleiche idee oder so oder nach dem diebstahl splittet sich das in zwei familien die eine ist illegal die anderes legal oder so all das haben wir nicht gefunden. 00:38:22.297 --> 00:38:32.241 Der thorsten der primär den kram analysiert hat und vor allem diese, 00:38:32.446 --> 00:38:46.921 diesen teil mit den versteckten metadaten sich angeschaut hat hat jetzt noch eine das hat er glaube ich gestern abend gemacht oder vorgestern eine jara regel geschrieben also im prinzip eine deduktionen regel die genau bei, 00:38:46.970 --> 00:38:56.410 die bei bei samples sucht nach gibt es hier base vierundsechzig kollidierte inhalte in den pfeil review von, 00:38:56.615 --> 00:38:57.576 diesen daten, 00:38:58.141 --> 00:39:09.756 und die hatte auch veröffentlicht wir haben das ja alles eher auf github veröffentlicht sodass man jetzt quasi sehr gezielt und besser mit dieser regel nach finns bei suchen kann. 00:39:10.658 --> 00:39:14.822 Wir haben die regel auch schon angewendet die funktioniert relativ gut, 00:39:15.321 --> 00:39:20.669 hat aber relativ also sie hat noch einige positives aber. 00:39:21.270 --> 00:39:29.424 Das entscheidende ist obwohl sie positives hat haben wir keine einzige andere schadsoftware gefunden die, 00:39:29.797 --> 00:39:36.262 diese spezifische art des verstecken anwendet und, 00:39:36.647 --> 00:39:45.666 um das zu verstecken brauchst du eben auch auf der anderen seite wieder ein tool was nicht gelegt wurde und es deutet halt alles sehr darauf hin dass es alles aus diesem. 00:39:46.298 --> 00:39:48.707 Hause und aus diesem entwicklerteam stammt. 00:39:48.479 --> 00:39:53.202 Jara ist von research tool für malware. 00:39:52.902 --> 00:40:05.316 Sprache in der du quasi delegationsreise schreibst ich muss kurz gucken wofür die abkürzung steht das also darin schreibst du quasi. 00:40:05.821 --> 00:40:09.402 So regional express mit dem man halt irgendwie nach sachen sucht. 00:40:07.077 --> 00:40:14.383 Ja das genau also du das ist quasi eine die die typischen. 00:40:14.083 --> 00:40:17.020 Soll ich dir sagen was sie abkürzung ist von jara. 00:40:16.770 --> 00:40:17.803 Nee. 00:40:17.775 --> 00:40:21.496 Records. 00:40:19.834 --> 00:40:22.488 Ja 00:40:25.140 --> 00:40:35.031 Das ist wirklich gut oder auch jetzt mehr ja das ist wirklich gut. 00:40:34.767 --> 00:40:39.321 Aber es ist eine quasi eine formalisiert sprache in der man. 00:40:39.947 --> 00:40:44.783 Übliche prüfungen die man zur deduktion von. 00:40:45.746 --> 00:40:50.138 Von schadsoftware anwendet ausdrücken kann. 00:40:49.946 --> 00:40:51.856 Und. 00:40:51.568 --> 00:40:57.931 Da kannst du eben so etwas ausdrücken wie guck mal ob es ein fall ist guck mal ob es, 00:40:58.082 --> 00:41:06.807 externe attribut gibt guck mal ob der block dann auch wirklich so lange ist wie ich ihn erwarte und dann guck mal ob da wirklich nur hacks daten bei rauskommt wenn du den sohn so 00:41:06.741 --> 00:41:16.427 dekodieren ja und dann kannst du quasi eine sehr also ja was ja eigentlich eine sehr komplexe suchanfrage ist durchführen mit. 00:41:16.145 --> 00:41:18.705 Und automatisch durchführen lassen. 00:41:17.611 --> 00:41:25.291 Genau und da kannst du dann einen großen und mittelgroßen viren datenbanken oder datenbestände. 00:41:24.991 --> 00:41:31.510 Man muss nur wissen wonach man suchen soll und wenn man das dann halt einmal in so eine regel gepackt hat dann sucht sich das quasi von alleine. 00:41:31.595 --> 00:41:33.667 Also das was thorsten da gemacht hat ist. 00:41:33.409 --> 00:41:44.087 Das heißt ja dass er ja das heißt ja dass dann sozusagen finn fischer jetzt auch wirklich so ein echtes problem hat weil sie ja sozusagen ihre ganze coach. 00:41:42.796 --> 00:41:46.605 Ich würde ja nicht zugeben dass das unser ziel war den probleme zu machen. 00:41:47.615 --> 00:41:52.091 Tut uns natürlich sehr leid dass wir hier im rahmen der forschung das ist schon. 00:41:51.803 --> 00:41:53.774 Es ist wirklich also vieles. 00:41:53.594 --> 00:42:06.230 Also das das ding ist diese regel in der jetzigen form thorsten arbeitet da noch dran produziert er voll positiv das ist aber auch okay also du willst ja lieber vor wenn du wenn es darum geht ob du gerade von irgendwelchen, 00:42:06.273 --> 00:42:09.553 demokratie touren irgendwie. 00:42:09.253 --> 00:42:15.010 Es schlägt es schlägt schneller an als es angemessen wäre aber besser so als anders rum. 00:42:14.764 --> 00:42:16.650 Genau besser besser. 00:42:17.113 --> 00:42:18.765 Als. 00:42:18.465 --> 00:42:26.806 Bellt war einmal zu viel als einmal zu wenig und genau ansonsten haben wir alle samples die wir in dem rahmen, 00:42:27.220 --> 00:42:30.351 untersucht haben die achtundzwanzig stück haben wir alle veröffentlicht, 00:42:30.453 --> 00:42:43.012 auch das ermöglicht eben 'ne soll halt darum gehen dass halt zukünftige analysen nicht diese diese sammeln arbeit machen müssen die wir uns da irgendwie über längere zeit angetan haben, 00:42:43.475 --> 00:42:56.052 und hat vor allem würde ich mir sehr wünschen dass leute halt unsere ergebnisse sich halt anschauen das überprüfen weitere sachen finden ja das ist ich meine. 00:42:56.851 --> 00:43:02.896 Muss jetzt wir haben da jetzt irgendwie insgesamt ein paar monate, 00:43:03.143 --> 00:43:10.852 online dran gearbeitet wir haben beide irgendwie normale alltage und normale, 00:43:11.063 --> 00:43:18.448 jobs so diese freizeit muss man sich irgendwie freischaufeln insbesondere bei thorsten ist das noch schwieriger als bei mir, 00:43:18.622 --> 00:43:27.720 so das sind halt ein paar sehr harte nachtschichten die da rein geflossen sind und ganz ohne zweifel ist da noch mehr zu holen. 00:43:28.309 --> 00:43:37.496 Und deswegen haben wir in unserer analysen vollständig veröffentlicht die tools die dabei entstanden sind veröffentlicht und, 00:43:37.713 --> 00:43:47.568 auch die samples veröffentlicht und freuen uns jetzt halt wenn leute sagen ja geil guck ich mir jetzt auch mal an und. 00:43:48.187 --> 00:43:54.929 Ja hoffe ich dass das dass es irgendwie stattfindet ne also ich meine den antiviren herstellern, 00:43:55.091 --> 00:44:03.588 die sind natürlich angehalten sich die regeln anzuschauen und bei ihnen noch mal zu gucken ob sie das noch besser hinkriegen die ich meine die sind ja, 00:44:03.864 --> 00:44:08.076 profis darin wir sind am mateus eure es gibt. 00:44:08.930 --> 00:44:14.560 Samples zum analysieren für leute die es interessiert und natürlich auch ganz wichtig den, 00:44:14.603 --> 00:44:28.633 die bitte diese sachen halt auch zu überprüfen dass man das jetzt nicht alle sagen oh die hohen waisen vom tc sagen das so sondern es geht natürlich auch darum zu gucken gibt's da irgendwo löcher da haben wir was übersehen gibt das sind ja, 00:44:28.634 --> 00:44:33.074 viele megabyte die da angeschaut werden müssen. 00:44:34.300 --> 00:44:43.674 Ja darüber haben ulf und thorsten auch einen vortrag gehalten beim kongress der bericht der dabei rausgefallen ist, 00:44:43.969 --> 00:44:48.199 ist ich glaube um die dreißig seiten, 00:44:48.476 --> 00:44:56.654 ist der primär bericht und dann kommt noch der anhang sodass das ein pdf mit sechzig seiten ist 00:44:56.528 --> 00:45:06.809 sind sehr schön wir haben zum beispiel diese konfigurationen halt auch alle gedankt für die meisten samples die also das was wir extrahieren konnten war ja auch so bei den alten samples irgendwie noch so 00:45:06.677 --> 00:45:20.089 deutsche handynummern und münchner festnetz nummern drin stehen na wo dann wurde siehst ah ok demo minus eins punkt gamma international de gamma hieß damals noch das unternehmen also die haben natürlich relativ viele, 00:45:20.648 --> 00:45:27.438 ein firmengeflecht deswegen schreiben wir in einem artikel in dem bericht auch immer nur firmengruppe finn fischer weil, 00:45:27.763 --> 00:45:32.221 die so viele unterschiedliche unternehmensname haben das. 00:45:31.921 --> 00:45:33.784 Hi 00:45:33.484 --> 00:45:46.841 Einem schwindelig wird genau gibt's einen schönen vortrag darüber von ulf und thorsten beim sechsunddreißig ich freue mich wenn ihr unsere in unsere reports schaut da dran dass euch anschaut, 00:45:46.848 --> 00:45:52.364 was weiß ich schritte nachvollziehen und um selber was zu lernen oder, 00:45:52.448 --> 00:45:57.105 hoffentlich eben über unsere ergebnisse hinaus zu kommen, 00:45:57.496 --> 00:46:05.488 und ja habe ich auch schon in meinem blog geschrieben ist immer eine freude und ehre mit thorsten sowas zu machen weil. 00:46:06.311 --> 00:46:11.046 Das schon wirklich eine beeindruckende, 00:46:11.341 --> 00:46:24.362 hingabe ist wie der sich halt in so sachen festbeißen ich habe ja manchmal ist es ja so im nord leben so dass man denkt dass ich muss auch wieder loslassen können 00:46:24.320 --> 00:46:28.310 und halt mit in dem fall halt wo 00:46:28.304 --> 00:46:37.107 nee wir lassen dich los wir geben auch nicht eher ruhe als dass das hier verbrannte erde ist und guck mal da liegt auch noch was das ist sehr sehr, 00:46:37.432 --> 00:46:40.941 schön das, 00:46:41.464 --> 00:46:53.981 hat mich sehr freude erfüllt war aber auch muss ich echt sagen ein ein stress das jetzt ausgerechnet noch beim kongress zu veröffentlichen hat's jetzt nicht. 00:46:54.648 --> 00:46:56.517 Einfacher gemacht so. 00:46:58.001 --> 00:47:10.512 Ja wer sich ja auch schön an so etwas festbeißen kann ist noch ein anderer alter bekannter der auch schon bei logbuch netzpolitik zu gast war nämlich. 00:47:10.212 --> 00:47:13.649 Thorsten und martin waren beide hier als wir den wahlkampf gemacht haben. 00:47:13.349 --> 00:47:18.919 Richtig genau die assoziationen kette habe ich jetzt gerade gar nicht zu ende geführt. 00:47:18.619 --> 00:47:20.535 Es sind immer die gleichen schlimm finger. 00:47:20.235 --> 00:47:28.563 Genau max und moritz diese beiden nee thorsten und martin, 00:47:28.738 --> 00:47:34.374 cheers ich der auch auf dem kongress was präsentiert hat und hier ging es um, 00:47:34.428 --> 00:47:43.922 tja wie hieß es so schön dann später in den nachrichten c hakt digitale patientenakte wenn man sich den vortrag dann anschaut 00:47:43.736 --> 00:47:46.091 es ist eigentlich eher wieder mal so ein 00:47:45.888 --> 00:47:54.504 neues armutszeugnis von durch behörden geschaffene sicherheitsarchitekturen wo man eigentlich nur noch ein bisschen mit dem stock 00:47:54.372 --> 00:47:59.233 rein pieksen muss und schon fällt das gerüst komplett auseinander. 00:47:59.474 --> 00:48:09.515 Ja der martin genau der hat zwanzig siebzehn sich diese infrastruktur der bundestagswahl angeschaut zwanzig sechzehn, 00:48:09.828 --> 00:48:15.902 sitzen oder wenn wir diese wahl wahrscheinlich zwanzig siebzehn und, 00:48:16.233 --> 00:48:33.473 da dann erstmal in hessen alles aufgemacht dann ist das thema irgendwie mit zu thorsten und mir gekommen dann haben wir das da auseinander genommen noch den rest dieser software pc- wahl und das war die veröffentlichung die wir dann hatten vor zwei jahren beim kongress 00:48:33.305 --> 00:48:36.748 und seitdem hat der martin ja das nächste hobby, 00:48:37.283 --> 00:48:50.533 nämlich dass da wo es auch weh tut aber auch wichtige daten sind und das gesellschaftliche relevant ist wie es eben die manier des chaos computer clubs ist nämlich gesundheitsdaten er hat ja dann schon beim letzten kongress bei, 00:48:50.641 --> 00:48:55.737 fünfunddreißig drei hat er ja schon über diese ganzen apps, 00:48:55.755 --> 00:49:01.529 vorgetragen wie wie und mad live und wie die ganzen dinge alle hießen. 00:49:02.095 --> 00:49:08.950 Und hat da bergeweise schwachstellen drin gefunden und daten rausgeholt und jetzt geht's eben um die, 00:49:08.999 --> 00:49:22.873 thematik so die thematik ist das mamutprojekt deutschlands in dem bereich wir vernetzen die deutsche gesundheit sicher ist so deren claim und im prinzip, 00:49:23.210 --> 00:49:34.417 so wie das so ist so riesensport dinger aber sie haben zumindest eine sache sehr richtig gemacht nämlich darauf zu achten dass kein krypto schlüssel irgendwo. 00:49:35.012 --> 00:49:46.399 In form einer datei hängt sondern alle krypto schlüssel immer hardware gesichert sind hardware gesichert ist ein großes wort heißt am ende einfach nur der schlüssel ist auf einem gerät aufbewahrt, 00:49:46.423 --> 00:49:57.281 welches die funktion hat den schlüssel anwenden zu können nicht aber die funktion hat den schlüssel verraten zu können also eine smartcar am ende das ist das was wir zum beispiel 00:49:57.210 --> 00:49:58.580 als 00:49:58.514 --> 00:50:07.990 als gesundheitskarte haben ja wenn wir jetzt irgendwie so eine von der krankenkasse so eine karte kriegen ist ein chip drauf ist eine smartcar und das ist quasi schon die vorbereitung darauf. 00:50:09.084 --> 00:50:23.000 Dass wir damit zukünftig auf unsere digitalen patientendaten zugreifen können beziehungsweise anderen in zukunft auf gestatten können verschlüsselt diese daten hin und her schicken so zu diesen karten gibt es ein äquivalent. 00:50:24.058 --> 00:50:31.323 Und das ist die die arzt karte oder die praxis karte und mit diesem, 00:50:31.510 --> 00:50:34.802 karten ist dann eben der zugriff auf diese daten, 00:50:34.965 --> 00:50:44.603 möglich also wenn du quasi das okay ich teile folgende daten mit folgender praxis dann kann mit dieser praxis karte mit dem praxis ausweis können diese daten dann entschlüsselt werden und 00:50:44.381 --> 00:50:48.407 mit einem bestimmten arzt dann eben mit diesem arzt und so weiter ja das heißt du hast 00:50:48.389 --> 00:50:56.693 diese vertrauensankers sind auf diesen hardware karten das ist eine sehr gute idee weil dadurch sichergestellt wird dass du nur an diese person, 00:50:57.084 --> 00:51:02.077 oder institutionen mit der du teilen möchtest gezielt verschlüsselt. 00:51:02.703 --> 00:51:07.942 Stellt sich aber raus es ist sehr einfach diese karten zu bekommen. 00:51:09.030 --> 00:51:17.737 Ohne tatsächlich die richtige person zu sein also die haben dann mehrere angriffe demonstriert wie du. 00:51:18.422 --> 00:51:27.009 Sagst ich bin übrigens arzt so und so und schickt mir mal bitte eine neue karte. 00:51:28.115 --> 00:51:29.653 Aber, 00:51:30.212 --> 00:51:45.174 nicht schick die mal an die käsetheke nebenan weil am montag hat meine praxis immer zu ja so so so ungefähr auf dem niveau ist dann leider und das haben diese prozesse alles zugelassen ja so dass der so dass es den gelungen ist. 00:51:46.088 --> 00:51:57.030 So ein connector zu bekommen also den den das im prinzip der vpn router ja von der praxis so ungefähr diese karten zu bekommen und dann quasi als arzt, 00:51:57.211 --> 00:52:00.900