CCC knackt Staatstrojaner

[Lemmy]

Hi,

die Aussage "ein schlechtes Stück Software" trifft es nicht wirklich...

[zitat]
"Wir waren überrascht und vor allem entsetzt, daß diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt. Es ist für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen", kommentierte ein CCC-Sprecher. "Das Sicherheitsniveau dieses Trojaners ist nicht besser, als würde er auf allen infizierten Rechnern die Paßwörter auf '1234' setzen."[/zitat]

eine tolle Leistung für unser ach so fortschrittliches Land. Oder was für Typen programmieren für den Staat? Schlimm...

ach so der Link...


[edit]

der Satz hier gefällt mir auch sehr gut:
[zitat]Es ist sogar ein Angriff auf die behördliche Infrastruktur denkbar. Von einem entsprechenden Penetrationstest hat der CCC bisher abgesehen.[/zitat]

[Namenloser]

Mal im ernst: Hast du was anderes erwartet? :roll:

[Luckie]

Eine Mischung aus Rechtsbruch und Unfähigkeit, was habt ihr anders erwartet? ;)

[Lemmy]

naja... dass der CCC danach lechzt das Ding zu zerlegen war ja schon immer klar - aber dass man sich dann solche Fehler erlaubt... nein war mir so nicht klar... Ich habe gehofft, dass die ansatzweise wissen was sie tun (die Entwickler).

Ach ja... scheint wohl auch noch ne Lizenz-Verletzung im Trojaner zu stecken:
http://blog.fefe.de/?ts=b06e60e0

Schade dass von den Verantwortlichen keiner bluten muss...

[himitsu]

Zitat:

Zitat von Lemmy (Beitrag 1129381)

Schade dass von den Verantwortlichen keiner bluten muss...

Ich würde das Ding bei jedem installieren, der dafür verantwortlich ist. :angle:

Zitat:

Zitat von Lemmy (Beitrag 1129381)

Ich habe gehofft, dass die ansatzweise wissen was sie tun (die Entwickler).

Soviel zu unserer super Cyberfroce ... ich fühl mich plötzlich nicht mehr so sicher, also wenn das das Beste sein soll, was Deutschland zu bieten hat.

[Namenloser]

Zitat:

Zitat von Lemmy (Beitrag 1129381)

Ich habe gehofft, dass die ansatzweise wissen was sie tun (die Entwickler).

Das Problem ist, dass die Leute in unseren Behörden, die sowas in Auftrag geben, von IT keinen blassen Schimmer haben, und deshalb nicht in der Lage sind, fähige Entwickler zu erkennen...

[cookie22]

Solche Aufträge werden ausgeschrieben, wer am billigsten ist bekommt den Zuschlag. Da passiert halt schnell so was. :lol::stupid::lol:

[Mithrandir]

Zitat:

Zitat von cookie22 (Beitrag 1129385)

Solche Aufträge werden ausgeschrieben, wer am billigsten ist bekommt den Zuschlag. Da passiert halt schnell so was. :lol::stupid::lol:

Wobei ich da nichtmal den Entwicklern die Schuld zuschieben wollen würde, eher dem entsprechenden Vorgesetzten, ganz im Sinne von: "Der Kunde ist der Staat, der bekommt das Programm pünktlich!"

So is doch die Realität...

[cookie22]

Die aufgezählten Fehler sprechen eher für die Inkompetenz der Entwickler. Das würde hier im Forum jeder besser machen, glaub ich.

[BUG]

Das Echo in den News bis jetzt (ungeordnet):

• Zeit
• Heise
• lawblog
• Gulli
• Piraten
• FAZ: # # #
• Golem
• Tagesschau

Interessant finde ich, dass die FAZ anscheinend kommentierten Assemblercode abdrucken will :mrgreen:

[himitsu]

So sichert man Arbeitsplätze.

Wenn alle Antivirenfirmen die Signaturen bekommen, ist das Teil ja quasi nutzlos ... also muß man wieder was Neues schreiben.

[Mithrandir]

Sehr lustig finde ich, dass die Antiviren-Hersteller den Bundestrojaner jetzt in ihre Heuristik mit aufgenommen haben. :mrgreen:

[Luckie]

Und dass sich die Polizei selbst ins Knie geschossen hat. Jeder dessen Computer beschlagnahmend wurden kann jetzt behaupten, dass der Bundestrojaner sie auf seinen Rechner kopiert und sich dann selbst gelöscht hätte. Womit der Computer und dessen Daten als Beweismittel hinfällig wären.

[haentschman]

Moin...

ich bin entsetzt... :shock: Hut ab vor den Personen, die aus einem Bitkauderwelsch herauszaubern was das Ding eigentlich treibt. So tief in die Materie werde ich wohl nie einsteigen...

PS: Habt ihr auch gleich nach der DLL gesucht ? :stupid:

[Daniel]

Mal von jeglicher - berechtigen - fachlichen Kritik abgesehen: Interessant wäre natürlich mal eine Statistik über die Erfolgsquote dieser Software. Mir ist mittlerweile weitaus mehr als nur ein Kundenprojekt unter die Tastatur gekommen, wo ebenfalls teils gravierende handwerkliche Mängel zu diagnostizieren waren und die Software trotzdem funktionierte. Die juristischen Rahmenbedingungen einzuhalten ist natürlich ein Muss - gerade auch vor dem von Michael angesprochenen Hintergrund der Zulässigkeit als Beweismittel. Aber das Erreichen technischer Perfektion mag manchmal einfach nicht wirtschaftlich sein.

[implementation]

Ich finde es echt erschreckend schlimm, dass der Trojaner tatsächlich Sachen auf die Festplatte bringen kann.

Beweismittel fälschen leicht gemacht.

[Daniel]

Schauen wir mal, ob sich der Verdacht bestätigt, dass es sich bei dem Programm tatsächlich um das der Behörden handelt. So wie ich das sehe, ist dies wenigstens bisher noch eine Vermutung - keine gesicherte Erkenntnis.

[BUG]

Zitat:

Zitat von Daniel (Beitrag 1129409)

Schauen wir mal, ob sich der Verdacht bestätigt, dass es sich bei dem Programm tatsächlich um das der Behörden handelt.

Ich würde den Behörden glatt zutrauen, den CCC wegen Verstoß gegen Lizenzbedingungen (kein Disassemblieren) verklagen zu wollen.
Oder sich zu beschweren, die würden Verbrechern helfen (vorher war er ja sicher!).

Dann wissen wirs :mrgreen:


EDIT:
Scheint auch ein Video zur Analyse zu geben: via Netzpolitik.org

[cookie22]

Zitat:

Zitat von Daniel (Beitrag 1129403)

Interessant wäre natürlich mal eine Statistik über die Erfolgsquote dieser Software.

Ich weiss nich mehr wo, aber ich meine, vor kurzem gelesen zu haben, dass der Trojaner in ca. 20 Fällen (ein Großteil davon in Bayern) erfolgreich eingesetzt wurde.

[stoxx]

ich verachte den CCC immer mehr, obwohl wohl jeder von diesem Bericht fasziniert ist.
Hätte der CCC lieber sein Wissen dem Staat angeboten, den Trojaner zu verbessern.
Fakt ist, der Staat muss nachrüchten.

Eine Gesellschaft verlangt nun mal gemeinsame Normen, wir sind nicht im wilden Westen.
Und wollen wir auch nicht sein.
Wenn die Verbrecher schwer befaffnet sind, hat es keinen Sinn, wenn die Polizei mit Pfeil und Bogen rumrennt.
Aber auch ein Polizist muss im Umgang mit der Waffe überwacht werden und wenn er von ihr Unrecht Gebrauch macht, auch dafür Rechenschaft ablegen.
Genauso sollte der Bundestrojaner sicher sein, dass ihn niemand zweckentfremdet.

Das was der CCC rausgefunden hat ist gut, aber die Veröffentlichung ist wiedermal amateurhaft unnötig.

naja .. schade ...

[Progman]

Bei aller verständlichen Häme möchte ich aber mal darauf hinweisen, dass nicht erwiesen ist, dass dieser Trojaner von einer Behörde stammt.

Zitat:

Der CCC schreibt auf seiner Internetseite lediglich, dass jene, die das Programm auf ihren Computern gefunden hätten, "begründeten Anlass zu der Vermutung hätten, dass es sich möglicherweise um einen 'Bundestrojaner' handeln könnte".

Vielleicht hat sich ja nur jemand einen schlechten Scherz erlaubt und dieses Ding in Umlauf gebrtacht? 8-)

[stoxx]

Zitat:

Zitat von Progman (Beitrag 1129425)

Bei aller verständlichen Häme möchte ich aber mal darauf hinweisen, dass nicht erwiesen ist, dass dieser Trojaner von einer Behörde stammt.

Zitat:

Der CCC schreibt auf seiner Internetseite lediglich, dass jene, die das Programm auf ihren Computern gefunden hätten, "begründeten Anlass zu der Vermutung hätten, dass es sich möglicherweise um einen 'Bundestrojaner' handeln könnte".

Vielleicht hat sich ja nur jemand einen schlechten Scherz erlaubt und dieses Ding in Umlauf gebrtacht? 8-)

Da hast Du Recht, danke für Deine Aufmerksamkeit !
(wobei ich mich ärger, dass mir das nicht selbst aufgefallen ist :-)

[cookie22]

Zitat:

Zitat von stoxx (Beitrag 1129422)

ich verachte den CCC immer mehr, obwohl wohl jeder von diesem Bericht fasziniert ist.
Hätte der CCC lieber sein Wissen dem Staat angeboten, den Trojaner zu verbessern. ...

Das ist doch sicher nicht dein Ernst, wenn dieser Trojaner dann wirklich von den Behörden stammt, hat man sich bewusst über das Bundesverfassungsgericht hinweggesetzt. Das befürwortest du? :shock: Sowas muss an die Öffentlichkeit.

[haentschman]

Zitat:

Sowas muss an die Öffentlichkeit.

Ich verfolge die visuellen Medien schon den ganzen Vormittag. Einzig NTV hatte ein paar Worte dafür übrig. Bei N24 war der Erfolg von Vettel im Ticker und minutenlang als Beitrag wichtiger :shock:
Desweiteren vermisse ich die Aufschreie aus verschiedenen Richtungen (Dementies etc.)
Irgendwie viel zu ruhig... :gruebel:

[BUG]

Zitat:

Zitat von stoxx (Beitrag 1129422)

Genauso sollte der Bundestrojaner sicher sein, dass ihn niemand zweckentfremdet.

Nun, das ist er (wenn er der vom CCC untersuchten Malware entspricht) nicht.

Und die Behörde ist informiert:

http://ccc.de/de/updates/2011/staatstrojaner

Gemäß unserer Hackerethik und um eine Enttarnung von laufenden Ermittlungsmaßnahmen auszuschließen, wurde das Bundesinnenministerium rechtzeitig vor dieser Veröffentlichung informiert.

Stell dir vor die Polizeistreifen würde ihre Pistolen in einem Bindfaden 10m hinter sich herziehen. Wäre es fahrlässig öffentlich darauf hinzuweisen, dass die einfach geklaut werden könnten?
Und bei den fehlenden Sicherungen: Ich würde mir auch nicht ohne öffentlichen Druck die Möglichkeit verbauen, beliebigen Code nachzuladen, wenn ich einen Trojaner entwerfen würde.


Vielleicht ist es auch so eine Art Honeypot :stupid:
(Wir brauchen noch einen dämlich guckenden Smiley mit Detektiv-Hut für Verschwörungstheorien.)

[cookie22]

Sonntag Vormittag, was erwartest du?

[himitsu]

Der Staat kann ja nix sagen
- wenn wir keinen großen Wind drum machen, vergessen es alle schnell wieder
- wir können ja nicht zugeben, daß wir Idioten sind

Und selbst wenn, was wollen die sagen?
Nee, das ist nicht unser Zeugs, dann unseres sieht so aus :zeig:


Und wenn das wirklich der Staatstrojaner ist, glaubt ihr wirklich, jemand würde reagieren, wenn die das nur der Regierung verraten würde?
(keiner weiß was ... warum etwas dran ändern)

[Mithrandir]

Zitat:

Zitat von stoxx (Beitrag 1129422)

ich verachte den CCC immer mehr, obwohl wohl jeder von diesem Bericht fasziniert ist.
Hätte der CCC lieber sein Wissen dem Staat angeboten, den Trojaner zu verbessern.
Fakt ist, der Staat muss nachrüchten.

Eine Gesellschaft verlangt nun mal gemeinsame Normen, wir sind nicht im wilden Westen.
Und wollen wir auch nicht sein.
Wenn die Verbrecher schwer befaffnet sind, hat es keinen Sinn, wenn die Polizei mit Pfeil und Bogen rumrennt.
Aber auch ein Polizist muss im Umgang mit der Waffe überwacht werden und wenn er von ihr Unrecht Gebrauch macht, auch dafür Rechenschaft ablegen.
Genauso sollte der Bundestrojaner sicher sein, dass ihn niemand zweckentfremdet.

Das was der CCC rausgefunden hat ist gut, aber die Veröffentlichung ist wiedermal amateurhaft unnötig.

naja .. schade ...

Sehe ich ganz anders. Soetwas gehört an die Öffentlichkeit. Es handelt sich ja hier nicht um irgendwelche Wirtschaftsgeheimnisse eines großen Unternehmens, sondern ein Stück Software, das prinzipiell jeden treffen kann. Finanziert durch unsere Steuergelder, um das auch nochmal klar hervorzuheben.

Zitat:

Zitat von haentschman (Beitrag 1129402)

Moin...

ich bin entsetzt... :shock: Hut ab vor den Personen, die aus einem Bitkauderwelsch herauszaubern was das Ding eigentlich treibt. So tief in die Materie werde ich wohl nie einsteigen...

Alles eine Sache des Trainings. ;)

Zitat:

Zitat von haentschman (Beitrag 1129402)

PS: Habt ihr auch gleich nach der DLL gesucht ? :stupid:

Da brauchste nicht lange suchen, findest du am Ende der Pressemitteilung des CCC. ;)

[haentschman]

Zitat:

Da brauchste nicht lange suchen, findest du am Ende der Pressemitteilung des CCC.

...ich meinte eher in der eigenen system32 :zwinker:

[Mithrandir]

Ach... lange Leitung, ist noch früh... :oops:

[BUG]

Zitat:

Zitat von haentschman (Beitrag 1129434)

Irgendwie viel zu ruhig... :gruebel:

Laut Zeit gibt es heute noch eine Stellungnahme vom Innnenministerium.

[haentschman]

Zitat:

Ach... lange Leitung, ist noch früh...

...da hilft eindeutig Koffein :lol:

[Luckie]

Also wenn eine Behörde offensichtlich verfassungsfeindlich agiert, gehört das schon an die Öffentlichkeit. Ich glaube kaum, dass es jemand gut heißen würde, wenn Menschen ohne Gerichtsverhandlung abgeurteilt werden würden. Oder würdest du, stoxx, das auch gut heißen? Und wenn es wirklich der Bundestrojaner ist, dann gefährdet er, durch seine stümperhafte Programmierung, extrem die Sicherheit von Computersystemen. Und ich wäre auf deine Reaktion gespannt, wenn es dich als Unschuldigen treffen würde.

[Mithrandir]

Danke Luckie für den Hinweis auf das Bild von der FAZ, herrlich... Einfach mal stumpf den Assemblercode abdrucken. :lol:

http://imageshack.us/photo/my-images/811/1002229j.jpg/

//Edit: Wobei man natürlich auch sagen muss: Es fehlt immernoch eine Bestätigung. Nicht, dass sich nachher jemand einen Scherz erlaubt hat.

[implementation]

Steht das in der ganz normalen Kiosk-Ausgabe der FAZ am Sonntag?

[Luckie]

Also wenn das keine Sonderausgabe ist, denke ich mal schon. Sollte man sich mal kaufen. Mal sehen, was die FAZ kostet. Mehr als fünf Euro zahle ich dafür dann doch nicht.

[jaenicke]

Zitat:

Zitat von cookie22 (Beitrag 1129390)

Die aufgezählten Fehler sprechen eher für die Inkompetenz der Entwickler. Das würde hier im Forum jeder besser machen, glaub ich.

Naja, sowas ist auch eine Frage der Anforderungen, des Pflichtenheftes, der Bezahlung...
Und bei den Kenntnissen, die den meisten der Verantwortlichen zuzutrauen sein dürften, wird wohl eher da das Problem liegen...

Zitat:

Zitat von Luckie (Beitrag 1129472)

Also wenn das keine Sonderausgabe ist, denke ich mal schon. Sollte man sich mal kaufen. Mal sehen, was die FAZ kostet. Mehr als fünf Euro zahle ich dafür dann doch nicht.

So viel kosten die meisten Zeitungen dann doch nicht. :mrgreen:
Die FAS liegt glaube ich bei 3,20€.

[cookie22]

Zitat:

Zitat von jaenicke (Beitrag 1129474)

Zitat:

Zitat von cookie22 (Beitrag 1129390)

Die aufgezählten Fehler sprechen eher für die Inkompetenz der Entwickler. Das würde hier im Forum jeder besser machen, glaub ich.

Naja, sowas ist auch eine Frage der Anforderungen, des Pflichtenheftes, der Bezahlung...

Wenn ich einen solchen Auftrag annehme, würde ich sowas nicht abliefern. Pflichtheft hin oder her. So was ist schlechte Arbeit, nichts anderes.

[Daniel]

Auf mich macht es den Eindruck einer unfertigen Arbeit. Sei es das Selbst-Löschen in den Standard-Papierkorb oder die Steuerung von außen ohne weitere Schutz-Mechanismen. Sieht mir sehr nach Funktionalitäten aus, die noch nicht vollständig ausprogrammiert sind. Möglicherweise ist das Ding gerade in der Beta-Phase.

[himitsu]

Was mögen wohl für Steuergelder für soein High-Tech-Produkt draufgegangn sein?

Doch bestimmt mehr, wie für so ein billiges neues Logo :roll:
http://www.ask1.org/redaktion-58.html