Linus Neumann 0:46:09
Also danke, dass ihr uns den Geburtstag verhagelt habt. Nein, seid ja nicht nur ihr Schuld, aber äh doch, eigentlich schon. Dann äh kommen wir mal wieder zu unseren Kernthemen, nämlich der Netzpolitik.Ja, zwar haben wir hier ja vor in den letzten Sendungen immer wieder auch über NSO,Pegasus gesprochen, also ein für seine Fähigkeiten der breitflächigen Infektion bekannter,Staatstrojaner für Mobiltelefone, der vor einigen Wochen.Analysiert wurde, äh mal wieder, wo es jetzt ein Detection Tool gibt, was das äh was äh Indicateres of Compromis aus,den iPhone Backups erkennen kann und der ähm ja über eine iMessage Schwachstelle offenbar auf die Geräte gelangte und dort keine dauerhafte Persistenz hatte,also wenn das Gerät neu gestartet wurde wieder verschwand. Was eben eine relativ gute Möglichkeit ist, eine einer Detektion auch zu entkommen, wenngleich die das mit Sicherheit nicht absichtlich gemacht haben, sondern,ihre Fähigkeit neben die spezifischen Gegebenheiten ihnen keine Persistenz erlaubten, sondern durch ein.Ähm spezifische Speicher Miss Handling im Zweifelsfall eben eine,temporärer, aber keine dauerhafte Kompromitierung des Gerätes ermöglichte. So.In dieser Angelegenheit gibt es äh zwei Neuigkeiten. Also auffällig geworden war dieses Unternehmen, das muss man vielleicht noch sagen, weil es eine Liste potenzieller Ziele mit mehr als 50.000 Telefonnummern gabähm darunter Menschenrechtsaktivistin, Journalistinnen, Rechtsanwältinnen, ähm,und auch Staats- und Regierungschefs,Ministerinnen und hochrangige Diplomatinnen. Also man sieht hier spezifisch bei der Nutzung dieser Software,dass sie eben nicht in der beworben in dem beworbenen Bereich der Strafverfolgung eingesetzt wird, sondern eben im Bereich der,geheim Spionage und Machtpolitik und im Kampf gegen Freiheitskämpferinnen im eigenen LandeSo und dieses Unternehmen.NSO rühmt sich natürlich nur äh nach strengen äh Exportrestriktionen zu handeln und ne, irgendwieim Zweifelsfall dann der eigene moralische Wächter über die Kundinnen zu sein, alles natürlich Unsinn, wissen wir auch und das,das Einzige, was man halt machen kann, ist zu versuchen, diese Unternehmen mit allen Methoden zu bekämpfen und zu ächten,dachte sich natürlich auch, die Bundesrepublik Deutschland, die ja bisher so weit man weiß, nur mit dem ebenso zu verachtenden Unternehmen Gamma,Finn Fischer unter oder dem Unternehmenskonglumerat, Kammer, Finn Fischer,zusammengearbeitet hat. Das, ja, Ziel von Ermittlungen ist,im Rahmen der Export dem des Umgehens von Exportrestriktionen und deren Androidstaatstrojaner äh in vielen Versionen, Torsten Schröder und ich ja.Zwanzig neunzehn, glaube ich, analysiert hatten. Dachten wir, jetzt stellt sich raus,im Jahr 2017 hat das PKA erstmals mit NSO verhandelt und sich die Fähigkeiten von Pegasus vorführen lassenhaben sich dafür extra eine Delegation äh aus Israel einreisen lassen und äh mussten dannmusste dann aber einsehen, dass Juristen gesagt haben, pass mal auf, denn das äh bei diesen Fähigkeiten dieser Software äh ist es relativ unwahrscheinlich, dass das verfassungsgemäß ist, ja? Weilman übernimmt das komplette Telefon, die Sachen werden bei werden,äh im Zweifelsfall durch NS O Pegasus vorgenommen. Ja, man hat hier also so ein Intermediär noch mit drin. Und das ist äh kommt eben dem juristischen Konstrukt der Onlinedurchsuchung äh gleich, die nur in besonders schwer gelagerten Fällen,ähm.Ja zulässig ist, was das BKA ja sucht, ist eine oder primär sucht ist eine Lösung zur Quellen, Telekommunikationsüberwachung, ein juristisches Konstrukt, bei dem davon ausgegangen wird, dass eben nur,die Echtzeit-Kommunikation des äh Telefones übernommen wird. So, dann hat das BKA,sich gesagt naja OK da müssen wir versuchen selber hinkriegen oder so haben aber nicht wirklich was hinbekommen und haben dann ab Ende 219 sie sich dann Handels einig geworden mit NSO.Ja? Äh und haben gesagt, ja, schaltetirgendwie schränkt man den Funktionsumfang ein, damit sich äh damit Viecher mit den juristischen Vorgaben des Bundesverfassungsgerichts irgendwie sagen können, dass wir uns bemühen, damitarbeiten.Die Bundesregierung wurde explizit gefragt, ob Bundesbehörden NSA-Software einsetzen, 20019 von Martina Renner, dem hat sie gerade schon erwähnt, vom deutschen Journalistenverband ähm und in diesem Jahr,in einer kleinen Anfrage der Bundestagsfraktion der Grünen. In allen Fällen hat das Inministerium geantwortet, dass man auf diese Frage keinerlei Auskunft erteile.Und es wird jetzt irgendwie kolportiert, dass BKA habe eventuell diese,Sache gekauft oder diesen Vertrag unterzeichnet.Ohne dass äh das Innenministerium, also Horst Seehofer, davon wusste, ja äh das lese ich noch nicht mal zu Ende, weil ich ist absolut nicht vorstellbar, dass das äh,Also so ein Vertrag, der wird teuer genug sein und dass irgendjemand hingeht und das macht ohne äh eben im im Innenministerium Leuten Bescheid zu sagen, halte ich für absolut unglaubwürdig?Absolut unglaubwürdig, aber auch eine äh eine wahrscheinlich übliche Strategie quasi, dass man eben zu so etwas nicht,offiziell sagt, äh mach das, sonst haben wir hier einen Paper, den nachher irgendjemand anfragen kann und dann müssen wir nachher auf Anfragen, die wir erhalten, ehrlich antworten. Also äh,Schaffen wir euch mal irgendwie grundsätzlich die Möglichkeit, dass ihr selbstständig darüber entscheiden dürft, damit ihr uns nicht äh informieren,dürft, ja? Ist aber in meinen Augen absoluter Wahnsinn, wenn man äh dem BKA diese dieses Recht ein einräumt, potenziell hier ähich sage mal, ganz bewusst äh Unrechts- und Terrorsoftware einzukaufen.Und damit äh die Entwicklung solcher Software zu unterstützen, die ja spezifisch nur deshalb so gut ist und aus nur nur deshalb so gut ist,weil sie Sicherheitslücken auf iPhones und Android-Geräten geheim halten, ja? Es ist überhaupt nicht schwierig, einen äh einen Staatstrojaner zu schreiben, überhaupt,ja? Es ist nur schwierig, die Zielgeräte zu infizieren, noch dazu,auf eine Weise, dass es die Zielperson vielleicht noch nicht mal merken, also durch technische,Remote Code Execution Explod. Das ist der schwierige Teil und der schwierige, dieser schwierige Teil funktioniert nur dann, wenn die Schwachstellen auf allen Systemen sind. Und das ist etwas, was wir auchimmer gepredigt haben. Meine letzte war es meine letzte Auskunft im im,im Innenausschuss zu Staatstrojane. Es spezifisch das nochmal alles erklärt, wer infizieren will, braucht Schwachstellen. Wir haben es immer wieder geleugnet, ja? Und jetzt merkt man, auf welche lustigen Ebene dir das leugnen, ne, dass man irgendwie sagt so, ihr braucht Schwachstellen, dann sagen die, nein, brauchen wir nicht.Ihr nicht, die Jacke,jemand anders kennt ihr, die geben euch die noch nicht mal, sondern lassen euch die Mieten, ja? Was äh ohne ohne sie euch zu verraten. Also es ist wirklich.Eine Katastrophe und da kannst du dir auch jetzt schon vorstellen, wie das dann weitergeht, ne? Dass du dann nämlich demnächst sagen.Wir können ja nur noch Staatstrianer äh ähm von Drittanbietern nehmen, wo die, wo die, wo wir die Schwachstellen, wie sie auf die Geräte lang nicht nicht selber kennen, sonst müssten wir diese Schwachstellen ja melden, weil's ein äh,prozess gibt oder sowas, ne? Also das ist.Wie wie ekelig sind diese Leute, ja? Und wie berat und und wie offensichtlich verstoßen die.Und gezielt verstoßen die gegen den guten Geschmack und gegen demokratische Prinzipien und gegen äh die Schutzziele unserer,eigenen inneren Sicherheit, die wir immer wieder anmahnen. Das ist wirklich äh sehr, sehr, sehr frustrierend und gleichzeitig überhaupt keine Überraschung.So, dann.War allerdings immer wieder ein Rätsel. Wie kommt denn eigentlich also es es war irgendwie ungefähr klar, dass der dass dieser Angriff.Funktioniert durch ähm.Messages. Also zumindest wenn er sich gegen iPhones richtet. Also eine geht an äh bei einem Telefon ein,wird dort verarbeitet. Das ist eine relativ.Also man man vermutet erstmal eine relativ geringe Angriffsfläche, weil vielleicht ja nur ein Text äh gerändert werden muss. Jetzt können aber natürlich auch äh Grafiken darstellen und,PDFs darstellen. Und ähm.Jetzt ist heute, am 13. September, iOS vierzehn Punkt acht und iPad US vierzehn Punkt acht erschienen, in dem eine,Schwachstelle in Chor Graphics und in Webkit gefixt wird, dem Browser, Ränderer, ja, wo sie sagen.Okay, ein bösartig verändertes PDF konnte zur Record Execution führen. Apple weiß,dass äh wer weiß von einem Bericht, dass diese Schwachstelle aktiv ausgenutzt.Geworden, Gesang gekonnt gehabt hätte würden. Ähm sagen also ein wurde adressiert,ähm durch äh verbesserte Input Velidation. Und dieses CWE zwanzig einundzwanzig dreißig,achtsechzig, also die dreißigtausendachthundertsechzigstes CWI von zwanzig einundzwanzig, CVEs sind die und.Quasi so der der Jahreskatalog der Schwachstellen, wurde gemeldet von äh The Citizon Lab, unseren Freunden in,Kanada, die tatsächlich diesen nennen,und sagen, dass er mindestens seit Februar 21 im Einsatz war. Ähm.Auch hier wieder, ne, eine universitäre Forschungsgruppe, eine ural Algisa,also,ist der Prof, der diese äh Gruppe, das das Citizen.An der University seit vielen Jahren,leitet, ja? Das sind so, ich meine, das ist das Level von Leuten, die.Oder mit diesen Ressourcen sehr eingeschränkten Ressourcen und guten.Müssen dann diese Schwachstellen irgendwie erforschen.Äh melden an an Apple, weil irgendwo Unternehmen viele Millionen macht damit diese Schwachstellen geheim zu halten und somit einem die die Sicherheit von,hundert äh von von hunderten Millionen Geräten äh ähm schwächt,von einem Konzern, der, glaube ich, immer noch der weltweit wertvollste Konzern ist ähm hergestellt werden, ja? Und da müssen irgendwie ein paar äh IT Security Forscher mit einem,zu diesem Thema und zu gesellschaftlicher Verantwortung, die müssen diese Schwachstellen am Ende fixen und melden, ja? Äh erforschen,und melden, damit sie gefixt werden können.Es ist wirklich äh krass, ne? Und jetzt willst du also iPhones aufm iPhone willst du iOS vierzehn acht haben? Ähm.Mac willst du aus XXR elf Punkt sechs äh oder Security-Update zwanzig einundzwanzig null fünf Katarina haben und äh auf der Apple Watch willst du, willst du Apple Watch, US7,sechs zwei haben. Ja, weil Apple diese ähm Schwachstelle direkt.In all diesen Geräten hat in dieser,Datenbank. In dem gleichen Update wird noch eine andere Schwachstelle äh gefixt, die äh wie ich gerade schon sagte, äh Webkit berührt, also Webkit ist der Ränderer für,Websites, also da wird einfach nur gesagt also irgendeine Art von.Webseite oder Webinar. Sie haben nicht spezifisch gesagt, welcher kann eben zur Code Execution führen und auch da gehen sie davon aus, dass das äh aktiv ausgenutzt wurde. Das ist also eine Schwachstelle ähm,in der äh die die äh getriggert werden kann beim Besuchen einer Webseite und das war in äh Use after free.Und da haben sie jetzt im Proof Memory Management. Sehr schön, offenbar benutzen die.Immer noch nicht überall speichersichere Sprachen für ihren komischen Webketbrowser, aber gut, wer wer macht das schon?