Chat

SOCKS-Wrapper, Tor und Remailer

Seit Service Pack 3 für Windows XP funktionierten (bei mir – wie es bei anderen Usern ausschaut, weiß ich nicht) die verschiedenen SocksCap Versionen nicht mehr, die im Netz umlaufen. SocksCap stammt ursprünglich von NEC, bei denen das SOCKS 4 Protokoll auch entwickelt wurde, dann erfolgte der Verkauf an Permeo und der Weiterverkauf an Blue Coat, die es in ihre Proxyprodukte integrierten, die man kaufen muss.

SocksCap ist eine, eigentlich die originäre SOCKS-Wrapper Anwendung für Windows, um Verbindungen von Internetanwendungen, die keine Schnittstelle zur Nutzung von SOCKS-Proxys aufweisen, abzufangen und an einen SOCKS-Proxy bzw. Server umzuleiten. Braucht man fast nie für die Anonymisierung über Tor, der auf SOCKS basiert, da mittlerweile die meisten Internetanwendungen unter Windows SOCKS direkt unterstützen. Braucht man aber für Stunnel, um verschlüsselte SSL / TLS Tunnel durch Tor zu leiten. Das braucht man wiederum, wenn man als Remailer Programm Quicksiler nutzt und verschlüsselte Verbindungen zu Remailern aufnehmen will, da Quicksilver kein SSL / TLS eingebaut hat und Tor nur in Teilen unterstüzt.

Die übrigen SOCKS-Programme und -Wrapper unter Windows, die mir zum Test auf die Platte kamen, versagten alle ihren Dienst für den obigen Zweck. Dann habe ich es mit der SOCKS Anwendnung von Hummingbird versucht. Für den Download muss man sich anmelden. Wer damit Probleme hat, kann mit speziellen E-Mail Adressen und einer anderen Identität die gwünschten Daten liefern, was ja auch für andere Formulare gilt. Für die Anmeldung bekommt man einen kostenlosen SOCKS-Wrapper, der ohne Tricks wie bei SocksCap ohne Zeitlimit funktioniert und auch noch neben Stunnel mit Tor harmoniert.

Das Ding hat ein paar Haken: 1. Hummingbirds SOCKS 5 versteht Tor nicht, Tors SOCKS 4A hat es nicht, bleibt also nur SOCKS 4. Das damit einhergehende "Problem" direkter Namensauflösungen statt Namensauflösung über den SOCKS-Proxy (Tor) stellt aber kein Problem dar, wenn man sowieso die Namensauflösung über TorDNS -> Tor abwickelt. 2. Hummingbirds Socks gräbt sich so tief ein, dass automatisch alle Internetverbindungen "socksifiziert" werden. Also auch für Internetanwendungen, wo das nicht erwünscht oder unnötig ist. Wer aber immer alle Verbindungen automatisch über Tor laufen lassen will, braucht sich wohl bei keiner Internetanwendung mehr Gedanken machen, denn Hummingbird fängt's ab Wer das nicht will, kann oder muss das "Modul" (sprich ∗.exe, ∗.dll) der Internetanwendung, das "socksifiziert" werden soll, extra angeben und dafür alle anderen "Module", für die das nicht gelten soll, manuell in eine Liste eintragen oder Verbindungen als "direkt" ausschließen.

Das ist mal wieder alles unheimlich kompliziert und technisch, wird aber anders aufbereitet nochmals in der kommenden Remailer Anleitung auftauchen, die ich bis Ende 2008 fertig haben will. Unter Linux hat man es einfacher und mehr Möglichkeiten, alles zu realisieren, aber es geht darum, wie man's unter Windows machen kann. Bestes Beispiel ist der heutige Hinweis auf den Torsocks Socks-Wrapper für Linux auf der Tor Mailingliste, der alle Patches für tsocks und ein paar Verbesserungen integriert.

Jabber, Tor, OpenPGP, OTR und die VDS

Der Anonymisierung dient auch meine schrittweise Rückkehr zum jabber.ccc.de Jabber Server. Der swissjabber.ch Jabber Server, den ich ebenfalls nutzte, ist zwar auch ein guter Jabber Server, verbindet man sich aber über Tor, gab es bei diesem Jabber Server für mich zu viele Verbindungsunterbrechungen – auch während laufender Chats, die ich bei jabber.ccc.de nicht beobachten konnte. Jabber Verbindungen sind zwar nicht in der EU-Richtlinie und im Gesetz zur Vorratsdatenspeicherung aufgeführt und demnach Jabber Server von der Vorratsdatenspeicherung ausgeschlossen, aber ich will, dass die Nutzung eines Anonymisierungsdienstes funktioniert.

Mehr mit Verschlüsselung hat es auf sich, dass ich nun statt OpenPGP die OTR Verschlüsselung nutze, auch wenn ich kein Fan von OTR bin. Dafür gibt es zwei Gründe: 1. Immer weniger Kontakte nutzen – wenn überhaupt – Clients, die OpenPGP jabberkonform unterstützen oder OpenPGP an sich. Dafür setzt sich OTR immer mehr durch. 2. Jabber Server machen (u. U.) Probleme bei der OpenPGP Nutzung, dies umso mehr, je länger die eingesetzten GnuPG Schlüssel sind. Mit OTR gibt es keine Probleme.

GIMP, IrfanView, ImageMagick, Exif und CC

Unter Windows nutze ich für die Bild- und Fotobearbeitung gerne und oft GIMP und IrfanView. Demnächst will ich alle Fotos in der Galerie und die auf der Platte dümpelnde Fotos überarbeiten und anders abspeichern. Die Batchfunktionen sind dafür bei IrfanView ganz nett – die benutze ich zum Beispiel für Bilderfolgen wie hier. Mit GIMP kann man das wohl auch mit Skripten, aber die finde und schreibe man erst.

Mir kam wieder ImageMagick in den Sinn, das bei Serendipity zur Skalierung benutzt wird und dessen convert Anwendung auch in der Serendipity Konfiguration auftaucht. Außerdem kannte ich das noch unter Linux und prächtig ausprobieren, spielen kann man mit ImageMagick allemal. Eigentlich sollte oder kann man einem einzelnen Foto seine ganze Aufmerksamkeit widmen, aber für eine "Knips-Galerie" möchte ich es einfach haben und Vieles in einem Rutsch machen können. Aus dem Dickicht der ImageMagick Operatoren, Optionen, Tests mit ein paar Bildern und Seiten wie Sharpening using Image Magick habe ich mir ein erstes ImageMagick Kommando zusammengebastelt, besser gesagt zusammengereimt, das mir in einer Batchdatei alle JPEGs in einem Verzeichnis bearbeitet: mogrify -path LW:\output -monitor -compress jpeg -interlace line -comment "(CC) BY-SA Kai Raven" -quality 85 -density 72 -resample 100 -filter Sinc -resize 640x -sampling-factor 1x1,1x1,1x1 -unsharp 0.66x0.5+1.0+0.0.

Das ist und wird nicht der Weisheit letzter Schluß sein, ich will ja noch weiter spielen, aber vielleicht gibt es noch Ideen und Anregungen von ImageMagick Nutzern, was man sonst noch benötigt und machen kann. Zur Creative Commons Lizenzgeschichte gibt es noch die informative Seite Commons:Manipulation von Metadaten, die auf den Gebrauch von exiftool eingeht, das ich mir neben der ExifToolGui installiert habe, um Lizenzangaben nicht nur als JPEG Kommentar zu speichern. Für die Windowsversion von GIMP tauchte übrigens gestern in der GIMP Plugin Registry das Exif Viewer Plugin auf, das mit meiner GIMP 2.6.0 Version läuft.

Dies und Das

Tja – und wenn ich nicht am Rechner bin, um etwas zu bearbeiten oder auszuprobieren, auch nicht draußen in der Realwelt im Meatspace, dann lese ich u. a. gerade Hawthornes "Haus mit den sieben Giebeln". Deshalb gilt für mich in Zukunft an den Wochenenden Blog-Enthaltsamkeit, auch wenn ich mir heute selbst widerspreche

Bereits seit 2006 ist eigentlich bekannt, dass neben der eh existierenden Überwachungs- und Zensurmaschinerie der "Great Firewall" Ebays Skype über den chinesischen Diensteanbieter TOM online einen schmutzigen Deal mit dem chinesischen Regime eingegangen war, der darauf abzielt, für die Profite und Marktanteile in China die chinesichen "TOM-Skype" User und die mit ihnen kommunizierenden Skype User aus dem Ausland zu überwachen und zu zensieren. Siehe dazu die Beiträge In Kürze: Auch Ebays Skype hilft beim Filtern und Zensieren in China vom Januar 2006 und Skype gehorcht vom April 2006.

Hinzu kommen die anhaltenden Spekulationen und Untersuchungen zu Skype, die nahelegen, dass die Kommunikation über Skype nicht vertrauenswürdig sei, weil Skype möglicherweise Backdoors enthält. Wenn nicht generell in den Skypeversionen, die zum Beispiel in Europa und den USA eingesetzt werden, dann lassen sie sich zumindest für Überwachungszwecke auf Wunsch von Sicherheitsorganen nachrüsten, wie das Beispiel China und das von der Piratenpartei aufgedeckte Auftragsdokument bezüglich der Umsetzung der Quellen-Telekommunikationsüberwachung zur Überwachung der Skype-Kommunikation aufzeigen.

Nach den Vermutungen und Bestätigungen zur Überwachung von "TOM-Skype" in der Vergangenheit legte nun Nart Villeneuve vom Citizen Lab in Zusamenarbeit mit dem Gemeinschaftsprojekt Information Warfare Monitor mit dem Bericht BREACHING TRUST - An analysis of surveillance and security practices on China's TOM-Skype platform Beweise für die Überwachung und Zensur durch Skype in China vor, die sich nicht mehr wegdiskutieren oder ableugnen lassen.

Für die Untersuchung hatten sich die Forscher vom Information Warfare Monitor eine chinesische TOM-Skype Version installiert. Die enthält – wie bereits seit 2006 bekannt – eine verschlüsselte Blacklist mit politischen und nach Meinung der chinesischen Zensoren die Moral des Volkes unterminierende Schlüsselbegriffe, die bei Skypes Textchat-Funktionen zuschlägt und die Übermittlung von Nachrichten mit entsprechenden Schlüsselbegriffen unterdrückt. Ein herzhaftes "Fuck" oder "Falun Gong" reicht da schon.

Mit der Überwachung des Netzwerkverkehrs mit dem Analysetool für Datenpakete Wireshark (das oder ähnliche "Hacktertools" sollte jeder in seinem Werzeugkasten haben) stellten die Forscher fest, dass die Nachrichten nicht immer unterdrückt wurden, sondern auch mal durchgingen. Dann aber wurde zugleich eine HTTP Verbindung zu einem der acht "TOM-Skype" Server in China aufgebaut, denn die chinesische Skype-Version braucht keinen per Online-Durchsuchung und heimlicher Wohnungsbetretung applizierten "Bundestrojaner" für die Quellen-Telekommunikationsüberwachung, sie hat ihn schon eingebaut.

Über das Wireshark Log stießen die Forscher auf die Adressen aller "TOM-Skype" Server und konnten danach in den Verzeichnissen herumhangeln, weil die Server die Auflistung der Verzeichnisinhalte und den Erhalt bestimmter Dateien nicht verboten – sprich die Webserver von "TOM-Skype" lassen das Mindeste an Absicherung vermissen und sind schlampig konfiguriert. Wie der Bericht feststellt, gibt es unter den acht Servern einen speziellen Server für die "TOM-Skype" Version, die in Internetcafes eingesetzt wird und einen speziellen Server für "TOM-Skype" Versionen, die auf Mobilfunkgeräten zum Einsatz kommt.

In den richtigen Verzeichnissen angekommen, offenbarten sich den Forschern verschiedenste verschlüsselte Protokolldateien nebst der Schlüsseldateien zur Entschlüsselung der Protokolle. Da sich unter den Protokolldateien auch eine "contentfilter*.log" Datei mit den Nachrichteninhalten der Skype Chats fand, bedeutet das wohl, dass die Verschlüsselung durch die "TOM-Skype" User selbst mit einem zusätzlichen Entschlüsselungsschlüssel (wie damals mit den erzwingbaren "Additional Decryption Keys" in alten PGP Versionen) oder Hinterlegung und Übermittlung des Entschlüsselungssschlüssels verbunden ist. Oder einfacher: Sie ist nur vorgegaukelt und in Wirklichkeit nicht effektiv.

Insgesamt fanden die Forscher auf den "TOM-Skype" Servern folgende Protokolldateien mit Millionen von Einträgen persönlicher Daten neben weiteren Protokolldateien für die technischen Interaktionen zwischen der Skype Anwendung und den Servern, über die sich eben auch neue Versionen der Zensurdatei oder neue Backdoorfunktionalitäten "nachrüsten" lassen:

• contentfilter*.log - IP-Adresse, Benutzernme, Nachrichteninhalt, Datum, Zeitangaben (+ unbekannte Parameter)
• skypecallinfo*.log - IP-Adresse, Benutzername, Skype-Version, Name/Telefonnummer, Datum, Zeit (+ unbekannte Parameter)
• skypelogininfo*.log – IP-Adresse, Skype-Version, Benutzername, Datum, Zeitangaben
• skypenewuser*.log – IP-Adresse, Skype-Version, Benutzername, Datum, Zeitangaben
• skypenewusersendmoneytest*.log - nicht möglich zu entschlüsseln
• skypeonlineinfo*.log – IP-Adresse, Benutzername, Skype-Version, Datum (+ unbekannte Parameter)
• skypeversion.log – Skype-Version, IP-Adresse, Datum, Zeitangaben (unverschlüsselt)

Man beachte, dass nur für die Textchats Nachrichteninhalte mitgespeichert wurden, nicht aber die VoIP-Anrufe, jedenfalls haben die Forscher nichts deratiges gefunden. Bei der Untersuchung der abgefangenen und abgespeicherten Nachrichteninhalte nach der Entschlüsselung und Übersetzung stellten die Forscher fest, dass zahlreiche Einträge die Wörter und Wortkombinationen der Blacklist Zensurdatei enthielten, also Wörter und Wortkombinationen wie Voice of America, Falun, Olympic Games, Taiwan independence, was ja nicht überrascht. Es gab aber auch mitprotokollierte Einträge ohne zu zensierende Inhalte, was darauf schließen lässt, dass die Schlüsselwort- und Kontextanalyse in "TOM-Skype" genauso ungenau und fehlerbehaftet ist, wie jedes Filtersystem, das auf dem Markt ist oder aber für die Überwachung auch einzelne Personen gezielt überwacht werden und deshalb erst einmal alles mitprotokolliert wird. Kennt man ja auch in Deutschland – hier nennt sich das "Richterband" und "Kontrolle durch zum Richteramt befähigte BKA-Beamte".

Vielleicht will man das Mitschneiden von Skype VoIP-Gesprächen zu einem späteren Zeitpunkt nachrüsten, ist noch nicht dazu in der Lage oder schaltet das Abhören nur in bestimmten Fällen zu. Zum selektiven Mitschneiden bestimmter Skype VoIP-Gespräche würde es ausgereifter Komponenten zur Sprecher-, Sprach- und Worterkennung in der Skype Software selbst bedürfen, die zum Beispiel die verschiedenen Dialekte berücksichtigt, die in China gesprochen werden und zugleich die Systeme nicht übermässig bei der Verarbeitung der Sprachdaten belastet, vom größeren Bandbreiten- und Speicherbedarf ganz abgesehen.

Aber ausgeschlossen ist dennoch das Mitschneiden von Gesprächen mit und zwischen "TOM-Skype" Usern prinzipiell nicht. Zur Funktion von Skype, direkte Peer-to-Peer Verbindungen zwischen zwei Skype Usern aufzubauen, sagt der Bericht nichts aus. Aber das ist auch egal, wenn trotzdem parallele Verbindungen über weitere Kanäle zu Servern einer Überwachungsinfrastruktur aufgebaut werden, die Verschlüsselungsfunktionen einfach aufgehoben werden können und die closed source Software ihren Dienst einstellt, wenn der Anwender es wagen sollte, die zusätzlichen Überwachungsverbindungen zu blockieren.

Nur, wie in China oder anderswo, benutzen wir alle immer bessere Rechner mit schnelleren Mehrkernprozessoren und größerem Arbeitsspeicher, die immer mehr an Leitungen hängen, die wachsende Bandbreiten bieten und zu Rechenzentren führen, in denen ebenfalls leistungsstärkere Maschinen mit immer billiger werdenden Speichermedien stehen. Die Interessen- und Personenkreise, die Internetnutzer vollständig überwachen und kontrollieren wollen, brauchen nur darauf zu warten, was Moore's Law, der Konkurrenz- und Preiskampf der IT-Hersteller, die nächsten großen Terrorangriffe oder "Cyberwar" Attacken und der Fortschritt der Überwachungstechnik bringt, um dann einzusteigen oder einen weiteren Schritt zu unternehmen, denn sie haben die Zeit, die uns schon lange davonrennt.

Abgesehen von den Nachrichteninhalten der Skype Textchats bieten die Inhalte der Abhörprotokolldateien auf den "TOM-Skype" Servern analog zu den Daten und Informationen der deutsch-europaweiten Vorratsdatenspeicherung selbstverständlich alle Informationen und Daten, die Sicherheitsbehörden benötigen, um das anzustellen, was man mit allen persönlichen Daten und den Verkehrsdaten per Data Mining, Analysis und Fusion macht: Herausfinden, zu welchen Personen eine Person Kontakt pflegt, wie oft und intensiv die Kontaktaufnahmen passieren, wer als "Sprachführer" im Zentrum eines sozialen Netzwerks steht und deshalb primär zu verfolgen ist, worüber eine Person am meisten spricht und welche Themen im Mittelpunkt der Beziehungs-Netzwerke stehen. "Connecting the dots" eben, wie es die Geheimdienstler ausdrücken. Für chinesische Skype User kann es zu Observationen, Folter, Verschleppung, Hausarrest, Inhaftierung und Ermordung führen, wenn sie sich in China mit zu Unpersonen erklärten Dissidenten über "verbotene" Themen austauschen oder aber Kontakte zu Verwandten, Freunden und Dissidenten im Ausland über TOM-Skype pflegen und dabei die "verbotenen" Wörter fallen.

Wer Skype – oder andere geschlossene und propietäre Kommunikationsdienste – trotzdem nutzt, weil es so toll und einfach funktioniert, den kann man nur als ignoranten Dummkopf einstufen und das trifft besonders auf Leute zu, wenn sie sich als Datenschützer und Bürgerrechtler bezeichnen und gleichzeitig überall ihre skype: Adresse feilbieten. Das war übrigens schon immer meine Meinung und sie wird es auch bleiben. Für diejenigen, die deshalb wieder losgreinen, habe ich zum Abschluss noch ein Zitat aus dem Fazit des Berichts: Siehe auch:

Nart Villeneuve - Breaching Trust: An analysis of surveillance and security practices on China's TOM-Skype platform
Nart Villeneuve - TOM-Skype Q & A
Michael Zimmer - Surveillance of Skype Messages Found in China
Infothought - Breaching Trust: surveillance and security on China's TOM-Skype
AP / msnbc - Chinese snoop on Skype, but are they alone? - Privacy advocates concerned that 'Skypetapping' occurs in U.S., Europe
futureZone - Skype überwacht in China und Skype 4.0 Beta 2 für Windows veröffentlicht
Techdirt - Yes, China Is Spying On Skype Conversations

Ich habe gerade den Beitrag Hausdurchsuchung bei Piratenpartei auf netzpolitik, den Artikel Razzia um fünf Uhr früh der FR und die Pressemitteilung der Piratenpartei Piratenpartei im Fokus - Existenz des Bayerntrojaners bestätigt gelesen und bitte Euch, das auch zu tun.

Die beiden Betroffenen der Piratenpartei haben meine volle Solidarität und wie ich hoffe auch die der Leser. Das, was aus dem Bayerischen Justizministerium oder der Staatskanzlei und den Polizeibehörden heraus gegen die Piratenpartei gestartet wurde, ist die lupenreine Aktion eines Polizeitstaats und sonst nichts, die – wie die Betroffenen richtig feststellen – der Einschüchterung politisch aktiver Menschen und NGOs dient, der Einschüchterung von aktiven Whistle Blowern oder Menschen, die zu Informanten der Presse oder politischen Zusammenhängen werden könnten, die wie die BND Beschnüffelungsaktionen gegen Journalisten und Wissenschaftler wie Schmidt-Eenboom und Durchsuchungsaktionen von Redaktionsräumen die eigene Macht instrumentalisert und missbraucht, um indirekt diese Whistle Blower aufzuspüren.

Das erinnert u. a. an die Beschlagnahmungen bei LabourNet, die Überfallkommandos bei Tor Betreibern, die Durchsuchung der Cicero-Redaktionsräume und Beschuldigungen gegen Cicero-Journalisten, die Abhöraktionen gegen el-Masris Anwalt Gnjidic und am Fall interessierte Journalisten, die Vorfeld-Verfolgungen gegen die Gegener des G8-Gipfels, die immer wieder stattfindenen Übergriffe von Polizeieinheiten, über die z. B. Kurokasaei ab und zu berichtet oder die Repressionsaktionen gegen angebliche Verdächtige, "Kontakt-" und "Begleitpersonen" der "militanten gruppe", über die annalist uns aufklärte.

Und das ist es auch: Den Drahtziehern, Verantwortlichen und auf Betroffenheit machenden Politikern wird es nachträglich wieder nicht schwerfallen, von einem "bedauerlichen Einzelfall" zu sprechen, aber das sind sie eben in ihrer Kontinuität nicht mehr, sondern Leuchtfeuer einer Entwicklung, die in den immer repressiv handelnden Polizeistaat führt. Die weitere Ausdehnung und Aufweichung des Terrorismusbegriffes über Gefährder, Störer, Schläfer, Kontakt- und Begleitpersonen, Angehörige gewisser ideologischer Strömungen wartet schon, das politische Koordinatensystem hat sich bereits seit einiger Zeit in diese Richtung verschoben und sie erhält mit dem BKA-Gesetz als einer von vielen Manifestationen Auftrieb. Auf die Sache mit dem "Bayern-Landestrojaner für Skype" zu verlinken und einzugehen, ist ein Furz, aber wann ist es so weit, dass man in Deutschland auch wegen eines Furzes zur verdächtigen "Kontaktperson" und möglichen "Mitterroristen" wird? Das hatten wir schon mal mit den Kriminalisierungen wegen Radikal-Verlinkungen.

Aber deshalb muss ich auch das Folgende loswerden: Genau das müssen viele Leute in ihre Schädel bekommen, die in Gang gesetzten Auswirkungen und Konsequenzen begreifen. Man muss auch begreifen, dass man zum Beispiel nicht mehr so unbeschwert wie vielleicht vor ein paar Jahzehnten Informationen und Dokumente austauschen und auch anbieten kann, ob das nun Jounalisten, Einzelkämpfer, politische Zusammenhänge oder Parteien sind. Es gibt genug Wege – noch, im Zweifelsfall Informationen sicher vor Verfolgung zu verteilen, an vielen Stellen zu veröffentlichen und auszutauschen – u. a. anonym, denn das ist einer der eigentlichen Zwecke der Anonymisierung und Anonymität. Man muss sich der eigenen Ziele und Zwecke genauso bewußt sein, wie über die Gefahren und Risiken und leider immer mehr die negativsten Konsequenzen bereits im Ansatz des eigenen Handelns mit einkalkulieren und abwägen. Daraus erwachsen dann wieder verschiedene Handlungsoptionen: Ist es besser offensiv und offen zu handeln, vielleicht sogar, weil eine negative Reaktion nutzt oder weil man sich einer solidarischen Gegenöffentlichkeit gewiss sein kann, die nötigen finanziellen und rechtlichen Ressourcen bereitstehen und auch eingesetzt werden sollen, wiegt der persönliche oder gruppengebundene Einsatz und das zu erreichende Ziel alle Konsequenzen auf oder gibt es Alternativen, um das gleiche Ziel zu erreichen, ist man bereit einen Preis oder alle Preise zu zahlen, gibt man eine Information selbst weiter, anonym oder über jemanden mit höherem Schutzfaktor. Nur so politisch denken und handeln, als würden wir immer noch in der Prä-2001 Zeit leben, kann man – denke ich – nicht.

Die Piratenpartei teilte am 19. September mit, dass die Repressionen gegen Piratenpartei fortgesetzt werden. In der Mitteilung heißt es: Ich hoffe mal, ein Backup der Daten und die verschlüsselte Ablage der Dokumente ist vorhanden.

Da aufgrund der Serverbeschlagnahmung und Sperrung des Uni-Accounts die bisherigen E-Mail Adressen nicht mehr nutzbar sind, musste Huwald, der sich zur Zeit im Ausland aufhält, auf Freemailer ausweichen, wie er in der Mitteilung erläutert: "Durch meinen aktuellen Auslandsaufenthalt kann ich mich mit meinem Anwalt nur elektronisch in Verbindung setzen. Nachdem all meine privaten E-Mail-Adressen gesperrt wurden, musste ich auf einen Freemailer ausweichen. Nur sind die in Deutschland zur Vorhaltung aller E-Mails an die Polizei verpflichtet. Ein vertrauliches Gespräch mit einem Anwalt ist damit unmöglich, und mir bleibt die Möglichkeit zur Verteidigung verwehrt."

Diese Umstände und der Fakt, dass Sicherheitsbehörden bald neben der bereits bestehenden Zugriffsmöglichkeiten auf E-Mail Konten auch die Kontaktbeziehungen per Vorratsdatenspeicherung ermitteln können, nmacht die Angelegenheit sicherlich nicht einfacher, wie ich mir denken kann, böte aber auch die Gelegenheit, darauf hinzuweisen, dass es deshalb umso wichtiger ist, über OpenPGP oder S/MIME Verschlüsselung für E-Mails und ggf. verschlüsseltes Instant Messaging und VoIP (Nein, nicht Skype, sondern z. B. Zfone, Jabber mit OTR) zu verfügen und diese auch – egal an welchem Ort – aktiv zu praktizieren und das es politisch Aktiven angeraten ist, diese Möglichkeit der sicheren Kommunikation mit Freunden, Mitstreitern und Anwälten zu jedem Zeitpunkt der politischen Arbeit sicherzustellen.

Peter Saint-Andre, einer der Direktoren bei der XMPP Standards Foundation berichtet in Got Encryption? in seinem Weblog "one small voice" über neue Ansätze und Spezifikation für die Verschlüsselung von Jabber Chats.

Zusammengefasst würden deren Resultate bei Umsetzung so aussehen, dass Jabber Clients zu Servern (c2s, client-to-server) und Jabber Server untereinander (s2s, server-to-server) wie bisher per SSL/TLS verschlüsselte Verbindungen aufbauen – jedenfalls solange noch nicht jeder Internetnutzer über feste IPs und Domains verfügt.

Danach wird aber Verbindung und Kommunikation zwischen zwei oder mehreren Jabber Nutzern immer direkt über XML Streams durchgeführt, basierend auf Google Talks Jingle. Jeder Jabber Nutzer bekommt ein Zertifikat, zum Beispiel von der XMPP Zertifizierungsinstanz oder CAcert. Als Alternative denkt man auch an OpenPGP Schlüssel, die man ja bereits mit Jabber zur Verschlüsselung nutzen kann, um sie nach RFC 5081 für verschlüsselte TLS Sitzungen, Zertifikate und Schlüsselaushandelungen zu verwenden. Zwei Jabber Nutzer bauen also direkt zueinander (e2e, end-to-end) verschlüsselte Jingle bzw. XML Streams über TLS und eigene Zertifikate auf, die sie natürlich vorher überprüfen müssen. In Zukunft könnten also die Jabber Server nur noch als Vermittlungsstellen dienen, wenn sich daraus nicht ein vollständig serverloses Jabber Messaging entwickelt oder die Nutzer können wahlweise entscheiden, ob sie direkt oder über die verschlüsselten Transportkanäle der Jabber Server miteinander kommunizieren möchten, was wiederum der Anonymisierung förderlich wäre.

Alles noch Zukunftmusik, da gerade mal die XMPP Erweiterungen 0247 - Jingle XML Streams und 0246 - End-to-End XML Streams spezifiziert wurden, aber wie Saint-Andre schreibt, möchte man so schnell wie möglich die darauf basierenden "encrypted e2e streams" testweise in eine Reihe von Jabber Clients einpflanzen. Nur zu, bei all den Überwachungs-Zwangsstörungen, die Regierungen und Unternehmensführungen seit Jahren plagen, kann man jedes Heil- und Abwehrmittel gebrauchen.

Ich habe mal die Jabber / Psi Anleitung aktualisiert. Seit Version 1.2 (und Psi 0.10) haben sich doch ein paar Dinge bei Jabber und Psi geändert. Das fängt schon bei der Umbenennung der "Jabber Software Foundation (JSF)" in die "XMPP Standards Foundation (XSF)" und der "Jabber Enhancement Protocols (JEP)" in die "XMPP Extension Protocols (XEP)" an. Die ganzen Protokollgeschichten laufen ja jetzt über xmpp.org, während jabber.org eher zum Jabber Portal wird und gerade überarbeitet wird. Den Umbau kann man derzeit auf new.jabber.org sehen. Vieles davon sollte zunächst über die XMPP Federation laufen, aber das ist jetzt das Webinterface der Zwischen-Zertifizierungsstelle der XFS, bei der sich Jabber Server zertifizieren lassen können anstatt direkt bei StartCom oder CAcert.

Für Psi (und Jabber Clients, die ähnliche Funktionen bieten) bin ich näher auf die Nutzung der TLS-Verschlüsselung im Vergleich zur SSL-Nutzung eingegangen und den Zertifikatsgeschichten, die sich damit verbinden. Dann habe ich u. a. die "Privatsphäre-Listen" erläutert, mit denen sich sehr fein und abhängig von der JID, der Gruppe oder des Präsenbezugs steuern lässt, für wen man "unsichtbar" sein will, wem es erlaubt ist, Nachrichten zu senden oder Chats zu starten oder weitere Infos abzufragen. Wie lange die Listen noch Bestandteil der XEPs bzw. der Jabber Clients bleiben, ist die Frage, weil sich das Management (für alle Nutzertypen) kompliziert gestalten kann und mit dem Simple Communications Blocking schon eine vereinfachte Form der Kommunikationsregulierung in den Startlöchern steht. Dann haben aktuelle Psi Versionen (ich benutzte eine 0.12 Nightly) endlich größere Konfigurationsmöglichkeiten für MUC – wer es braucht.

Was die Frage nach VoIP und Videochat angeht – bei Jabber und Psi, die ja immer aufkommt: Dazu verweise ich auf die beiden Beiträge Jingle Last Call und Jingle Update des Extended Conversation Weblogs der XSF. Kurz gesagt sind eine Reihe von XEPs und Abstimmungsprozesse in der Pipeline, die der Spezifizierung von Jingle, SIP und weiteren Multimediatechniken für XMPP/Jabber dienen. Bei Psi ist es wohl nach zwei Postings auf der Psi Mailingliste so, dass man Psi für Jingle mit --enable- und --configure-jingle kompilieren kann, was aber noch nicht zu brauchbaren Ergebnissen führt. Die Arbeiten zur Jingle-Bibliothek bei Psi sind noch nicht komplett und wohl auf Eis gelegt. In einem Posting heißt es auch, für VoIP in Psi wolle man eine eigene Jingle Implemenation basierend GStreamer, Phonon und/oder Farsight entwickeln, was aber wohl genauso im Fluß ist wie die Standardisierungsprozesse bei der XSF. XMPP/Jabber bleibt also wie immer wild, lebendig und offen für alles

Eigentlich müsste ich mal wieder die Anteile zum Jabber Client Psi in meiner Jabber Anleitung überarbeiten, denn mittlerweile ist Psi beim dritten Release Candidate der 0.11 Version angelangt, für die eine Veröffentlichung als Endversion kurz bevorsteht. Sowohl bei den Änderungen an der GUI, als auch bei der Implementierung von Jabber Funktionen hat sich viel getan, was u. a. Psi für mich immer noch zum besten grafischen Jabber Client macht, den es gibt.

Aber Psi fehlt immer noch eine Funktionalität für die Ende-zu-Ende Verschlüsselung in Gestalt der OTR ("Off-the-record") Verschlüsselung für alle Plattformen. Und wenn ich mir die Psi Roadmap anschaue, wird es daraus auch nichts werden, denn in der taucht OTR nicht auf. Dabei beobachte ich, dass immer mehr Leute zur OTR Verschlüsselung und damit zu Instant Messaging Clients wechseln, die OTR schon lange anbieten.

Deshalb habe ich den Psi Anteil brachliegen gelassen und stattdessen die Kurzanleitung Jabber mit OTR ("Off-the-record") Verschlüsselung und Tor Anonymisierung in die Jabber Anleitung aufgenommen, in der die OTR Nutzung mit Jabber vorgestellt wird. Als Beispiel-Anwendung wird darin der IM Client Pidgin verwendet, den ich wegen OTR ebenfalls bis auf Weiteres benutze – nicht, weil ich ihn als Jabber Client schätze.

Die OTR Verschlüsselung sehe ich dabei immer noch mit gemischten Gefühlen. Sie besticht durch die scheinbar einfache Anwendung: Bei Pidgin OTR Plug-in installieren, auf einen Button zur Erzeugung des OTR Schlüssels klicken, fertig. Im Chat Fenster auf den OTR Button klicken, fertig. Das wird auch immer als Argument gegen die jabberkonforme OpenPGP Verschlüsselung ins Feld geführt, da hier die Installation von GnuPG, das Erzeugen eines Schlüsselpaares und das Verständnis der Public Key Kryptografie und des OpenPGP Web of Trust Voraussetzung ist.

Aber in der Einfachheit der Anwendung der OTR Verschlüsselung liegt auch ihr Pferdefuß. Denn bei OTR ist wie bei OpenPGP die Bestätigung der Echtheit des Schlüssels Voraussetzung einer Verschlüsselung, in die man vertrauen kann.

Dazu musste bei OTR zuerst nur der Schlüssel-Fingerprint des Gegenüber überprüft und authentifiziert werden, was dazu einlädt (und wie ich vermute auch praktiziert wird), den Authentifikations-Dialog einfach wegzuklicken, um ein schöner aussehendes Icon auf dem OTR Button zu erhalten. Also günstige Voraussetzungen für Man-in-the-middle Angriffe, für die es dann bald auch das passende MITM Modul für den ejabberd gab.

Daraufhin kamen Verbesserungen der Authentifikationsprozesse, die man im Dokument Improved User Authentication in Off-The-Record Messaging nachlesen kann, wozu auch die Einführung der Abfrage eines gemeinsamen, d. h. beiden Gesprächspartnern bekanntes "Geheimnis" gehört. Doch was macht man bei der Fingerprint- und Geheimnisfrage-Methode, wenn es sich um einen neuen Gesprächspartner handelt, der meilenweit entfernt sitzt? Gemeinsame Geheimnisse gibt es nicht, ein persönliches Treffen ausgeschlossen und ein Telefonat ist auch nicht immer möglich.

Man ist, wie es auch in kleinen Hilfetexten im Pidgin Client heißt, auf einen zusätzlichen sicheren Kanal angewiesen, über den man vor dem ersten Kontakt die Fingerprints austauscht – zum Beispiel per S/MIME oder OpenPGP signierter und verschlüsselter E-Mail, womit man wieder bei der "komplizierten" Public Key Kryptografie oder einer Zertifizierungs-Infrastruktur bzw. eines "Web of Trust" für OTR Schlüssel angelangt ist, die OTR fehlen, für die es aber anscheinend Bedarf gibt.

Nun könnte man sagen, dass man dann auch bei der OpenPGP Verschlüsselung für Jabber bleiben könnte. Dem steht die Attraktivität der einfachen Anwendung der OTR Verschlüsselung und ihre fortschreitende Verbreitung entgegen. Aber nicht nur das, sondern auch die Bestreitbarkeit stattgefundener Kommunikation und die perfekt fortgesetzte Geheimhaltung vorangegagngener verschlüsselter Kommunikationsdaten, wenn man den OTR Schlüssel "verliert" bzw. sicher versteckt, was in Staaten von Vorteil ist, in denen mittlerweile das Rechtssystem auf den Krieg gegen die Verschlüsselung und die Belauschung internetbasierter Kommunikation ausgelegt ist.

Wie es auch sei, die OTR Verschlüsselung ist nach meiner Meinung die Zukunft verschlüsselter Jabber Kommunikation. Meinen OTR Fingerprint gibt es (auch GnuPG signiert) auf der Kontaktseite.

Zum Thema OTR (Off-the-record) Verschlüsselung mit dem Jabber Client Psi, das angesichts der Vorratsdatenspeicherungspläne, dem ausgemachten Ziel, auch Instant Messaging im Rahmen staatlicher Internetüberwachung für den "Krieg gegen den Terror" zu erfassen und der Notwendigkeit für Journalisten, sichere Kommunikationswege für Whistleblower zu finden, immer noch dringlich ist, zeichnen sich "Hoffnungsschimmer" ab.

Seit 2005 ziehen sich die Wünsche und Forderungen seitens der Psi Nutzer nach einer Implementierung von OTR in Psi hin. Genauso lange haben die Psi Entwickler sich mit Anstrengungen zurückgehalten und damit den Zug verpennt, dass OTR als benutzerfreundliche und sichere Alternative zur OpenPGP Verschlüsselung von Instant Messages mittlerweile gut von Anwendern, denen die Privatsphäre ihrer Chats wichtig ist, angenommen und für etliche IM-Clients adaptiert wurde.

Zwischendurch wurde die Encrypted Sessions (Esessions) Erweiterung für die Jabberprotokolle formuliert, die auch als Grundlage zur Integration (kompatibler) OTR Mechanismen dienen sollte. Aber auch deren Umsetzung für Psi versandete genauso wie die Esessions selbst: Wie nun aus der Entwickler-Mailingliste hervorgeht, wurde es anscheinend den beiden Psi Anwendern specThor und Timo Engel zu bunt, denn sie sind dabei, selbst OTR für Psi zu programmieren, wobei es wohl noch Probleme mit der Plugin API von Psi gibt. Timo Engel hat jedenfalls angekündigt, ein OTR Plugin für Psi in ein paar Wochen veröffentlichen zu können: Dem Ausspruch "Oooh, competing encryption plugins! I love it!" des Psi Projekt Webmasters Hal Rottenberg kann man sich deshalb nur anschließen.

Warum fehlt in jeder verdammten Forensoftware die Möglichkeit Jabber-IDs (JIDs) als Kontaktadressen anzugeben? Instant Messaging ist nicht nur ICQ, AIM, Yahoo, MSN oder Skype. Jabber ist dies auch und noch viel mehr, also höchste Zeit, dass die Forenprogrammierer ihren Kenntnisstand auffrischen.