Fragen? Antworten! Siehe auch: Alternativlos
Jetzt hat Trump sich das selbst verabreicht.
Er nehme seit etwa eineinhalb Wochen Hydroxychloroquin ein, sagte Trump im Weißen Haus. Er habe "sehr gute Dinge" über das seit langem zugelassene Malaria-Präparat gehört.Man kann ja schon eine Weile beobachten, dass Trump paranoid ist und niemandem traut, und dabei gerne mal den Boden der evidenzbasierten Realitätsinterpretation verlässt.
Ich entwickle mein Forth ja unter Linux, und die Windows-Variante ist unter den Windows-Anhängern nicht so wahnsinnig populär. Ich habe dafür trotzdem so einen Signatur-Voodoo-Key, was einem ganz gut hilft gegen false positives, denn mir sind auch schon Windows-Distributionen weggelöscht worden von diesem Snake-Oil-Zeugs. Das tut anscheinend, jedenfalls ist die gforth.exe nicht verbrannt. Ähnlich bin ich mit bigForth vorgegangen, und das hat auch geklappt (also, derzeit keine false positives, obwohl das mal früher schon ein Problem war).Die Leute, die Win32Forth entwickeln, sind da viel unbedarfter drangegangen, haben sich kein Zertifikat besorgt, und nichts gegen die ersten false positives unternommen. Deren System wird inzwischen von 14 recht populären Snakeoils erkannt, wobei Microsoft dabei ist. Da hat man dann kaum noch Chancen, damit durchzukommen. Die sind jetzt ziemlich verzweifelt, und überlegen sich, ob sie einfach alle auf Linux umsteigen, und ihr Forth unter Wine weiterbetreiben (wobei natürlich die Frage ist, wozu sie das dann noch da dran weiterentwickeln — aber als Windows-Nutzer kommen sie halt mit der GPL sehr grundsätzlich nicht klar, und ich habe auch irgendwie den Eindruck, dass es auch noch andere Gründe gibt, warum die an Windows festgepappt sind, und die hängen an der generellen Kompetenz — die ursprünglichen Entwickler von Win32Forth sind längst nicht mehr dabei).
Ein möglicher Erklärungsversuch wäre, dass die anderen von der Ärztekammer unterstützten Fortbildungsveranstaltungen auch alle Snake Oil sind, wo die Einäugigen die Blinden "fortbilden". Schade, dass man das von außen immer nicht so gut einschätzen kann, ob der Arzt was taugt oder nicht. Das wäre ja schon vor Vorteil für die Bevölkerung, wenn man das mal klären könnte.
Nun, äh, Tavis Ormandy hat sich nochmal Sophos angeguckt. Die Ergebnisse sind branchentypisch. Ich zitiere mal aus der Einleitung:
Many of the vulnerabilities described in this paper could have been severely limited by correct security design, employing modern isolation and exploit mitigation techniques. However, Sophos either disables or opts-out of most major mitigation technologies, even disabling them for other software on the host system.Da bleibt kein Auge trocken. Ich sage das ja seit Jahren, dass die Installation von Antiviren die Angriffsoberfläche erhöht statt sie zu senken. Ich meinte das aber eher im Sinne von "da ist eine Tonne von Parser-Code drin", dass Antiviren tatsächlich für andere Anwendungen ASLR abschalten, das ist selbst für die Snake-Oil-Branche bemerkenswert schlecht.Hier noch ein Zitat vom Ende des Papers.
In response to early access to this report, Sophos did allocate some resources to resolve the issues discussed, however they were clearly ill-equipped to handle the output of one co-operative, non-adversarial security researcher. A sophisticated state-sponsored or highly motivated attacker could devastate the entire Sophos user base with ease. Sophos claim their products are deployed throughout healthcare, government, finance and even the military.
Ein ähnliches Problem gibt es generell auch in Deutschland mit Zertifizierungen. Aus meiner Sicht rangieren Zertifizierungen daher grundsätzlich in der selben Kategorie wie Antiviren: Snake Oil und dazu noch gemeingefährlich. Das ist durchaus auch in Europa in der Industrie üblich, dass zentrale Komponenten nicht geupdated werden können, weil "SAP nur für dieses Service Pack und diese Treiberversion zertifiziert ist" oder ähnliches. Auch von Routern und Telco-Equipment hört man das gerne mal, und sogar für CAD-Programme gibt es Zertifizierungslisten, welche Versionen als Unterbau erlaubt sind.
Sprecht mir also nach: Antiviren sind Snake Oil.
Nun, nehmen wir mal an, Microsoft will euch ein Update schicken. Das hat dann eine digitale Signatur dran. Microsoft unterschreibt das Update, damit der installierende Rechner sicher sein kann, dass ihm da keiner ein Kuckucksei unterschiebt.
Wenn man jetzt eine normale Zertifikats-Validierung macht, dann prüfen die Routinen, dass das Zertifikat von jemandem vertrauenswürdigen kommt. Ich hatte das Problem mit den vertrauenswürdigen CAs hier schon mal thematisiert. In der Liste der vertrauenswürdigen CAs stehen alle möglichen Firmen drin, denen Microsoft natürlich nicht einräumen will, dass sie ihre Updates signieren. Also machen sie noch mehr als bloß das Zertifikat zu validieren — sie prüfen, dass die Root-CA am Ende der Kette Microsoft ist.
Das klingt gut und hat auch immer schön funktioniert — bis heute, wo plötzlich ein Zertifikat auf die Schwarze Liste gesetzt wird, das eine Microsoft-Signatur trägt.
Hier ist, wie es dazu kommen konnte:
What we found is that certificates issued by our Terminal Services licensing certification authority, which are intended to only be used for license server verification, could also be used to sign code as Microsoft. Specifically, when an enterprise customer requests a Terminal Services activation license, the certificate issued by Microsoft in response to the request allows code signing without accessing Microsoft’s internal PKI infrastructure.Das heißt, dass es möglich war, dass jemand von außen eine digitale Signatur erstellen konnte, die zu der Microsoft-Root-CA hoch verkettet ist. Mit so einer Signatur hätte man womöglich automatisiert bösartige Updates verschicken können. Ich kann gar nicht genug betonen, was das für ein Totalschaden ist.Wenn man ein Stück Code lädt, und Windows zeigt einem den "willst du das ausführen"-Dialog, hat der eine beruhigendere Farbe, wenn das "von Microsoft" signiert ist.
Ich würde mal vermuten, dass man auch diverse interne Dienste von Microsoft so nachahmen könnte, vielleicht Crash Reporting oder Antimalware-Selbstaktualisierung, wer weiß wie das alles funktioniert. Und solange die kryptographisch prüfen, dass sie "mit Microsoft" reden, wer weiß wie ordentlich die die Protokolle abgesichert haben.
Die Lektion an der Stelle muss sein, dass man auch bei ordentlicher Krypto-Absicherung trotzdem alle Protokolle richtig sichert. Und natürlich dass man in Zukunft besser aufpasst beim Aushändigen von Zertifikaten :-)
Update: Mikko Hypponen kommentiert:
Microsoft CA is the most whitelisted CA in the world. Forging a Microsoft code signing certificate is the holy grail of malware writers.
und:
This is huge. Using Windows Update itself as an infection vector has always been something we've been scared about.
nachdem jemand schrieb, Flame habe ein Man-in-the-Middle-Modul für Windows Update gehabt.
Update: Mir mailt gerade jemand, dass man den Patch nur nach bestandener Genuine Advantage-Prüfung ausführen kann. Was zur Hölle haben die denn da schon wieder verkackt. War die Ansage nicht mal, dass nur nichtessentielle Updates ohne Genuine Advantage blockiert werden? Oh und er schrieb auch, dass das Datum unter der Signatur von dem Patch der letzte Donnerstag ist, d.h. da saßen sie auch schon wieder eine halbe Woche drauf. Seufz.
Update: Ich wurde gerade darauf hingewiesen, dass hier ein wichtiger Satz fehlt.
Sprecht mir also nach: Code Signing ist Snake Oil :-)
“At Sony, we are modifying our programs to deal less with state-sponsored [attacks] and more with socially-motivated hackers. It will be different.” This new strategy will stand on the shoulders of the tried and tested model Wahlin built at McAfee.Wenn ich so einen gequirlten Bullshit lese, frage ich mich ja immer, ob der Spezialexperte das eigentlich selber glaubt, was er da sagt. Für die Internetausdrucker in den Entscheidungsträger-Gremien bei Sony hat es ja offensichtlich gereicht.
Diese Kapitulation hat sich in den letzten Jahren konzeptionell bedrohlich verschlimmert, weil die Hersteller inzwischen dazu übergeben, von dem eh überforderten Bug-Fix-Team Budget abzuziehen und damit Mitigations zu bauen. Sandboxing ist ein Trend, den man gerade bei allen möglichen Browsern sehen kann. Ausgehend von Mobiltelefonen sind jetzt auch schon die regulären Betriebssysteme zusehends Sandbox-Umgebungen für die Anwendungen.
Ich halte das alles für Snake Oil, schlimmer noch, für aktiv sicherheitsreduzierend. Denn mit dem Geld, mit dem hier sinnlose Techniken eingeführt werden, hätte man wunderbar Bugs fixen oder gar den Entwicklungsprozess verbessern können.
Der aktuelle Höhepunkt in diesem Kasperletheater ist der Security-Chef von Adobe (Der Brüller! Adobe hat tatsächlich einen Security-Chef!)
Der hat sich tatsächlich hingestellt (auf einer Kaspersky-Konferenz, das passt auch mal wieder wie Arsch auf Eimer) und dem staunenden Publikum erklärt, dass es Adobe ja gar nicht darum geht, die Bugs zu fixen. Stattdessen sei das Ziel, das Ausnutzen der Bugs teurer zu machen. Und aus diesem Gesichtspunkt verurteilte er die Forscher, die es wagen, Papiere darüber zu veröffentlichen, wie man die sinnlosen Mitigations umgeht.
Kommt jemandem diese Argumentation bekannt vor? Genau so hat die Contentmafia es damals angestellt, dass das Umgehen von (egal wie lächerlich schwachen) Kopierschutz-Vorrichtungen unter Strafe zu stellen.
Wir als Kunden müssen uns gegen diese Leute zur Wehr setzen. Kauft keine Produkte von Firmen, die lieber in Mitigations als in ordentliche Entwickler-Schulungen und Qualitätssicherung investieren.
Falls die grotesken Aussagen von diesem Adobe-Clown demnächst aus dem Internet verschwinden, zitiere ich sie hier mal in Gänze:
“My goal isn’t to find and fix every security bug,” Arkin argued. ”I’d like to drive up the cost of writing exploits. But when researchers go public with techniques and tools to defeat mitigations, they lower that cost.”At Adobe, Arkin’s security teams have been working overtime to stem the flow of zero-day attacks against two of its most widely deployed products — Adobe Reader and Adobe Flash Player — and he made the point that too much attention is being paid these days to responding to vulnerability reports instead of focusing on blocking live exploits.
“We may fix one vulnerability that has a security characteristic but when we change that code, we are creating a path to other vulnerabilities that may cause bigger problems in the future,” he said.
Eigentlich könnte man den ganzen Artikel zitieren. Un-glaub-lich. Der weint da ernsthaft herum, dass Adobe ja soooo viele Bugs gemeldet kriegt, dass sie mit ihren Fixes mehr kaputtmachen als sie reparieren. Plötzlich geht Drucken nicht mehr und so. Das ist eine Selbstanklage von geradezu biblischen Dimensionen. Und der Höhepunkt des Unverständnisses:“We have patched hundreds of CVEs [individual vulnerabilities] over the last year. But, very, very few exploits have been written against those vulnerabilities. Over the past 24 months, we’ve seen about two dozen actual exploits,” Arkin said, making the argument that software vendors are not wisely using their security response resources.Hey, Arkin, DAS IST DER GRUND, WIESO MAN BUGS FIXT. Damit es nicht zu Exploits kommt! Wie konnte denn bitte diese Gestalt jemals Security-Chef werden?!Höhepunkt seiner Selbstzerfleischung ist die folgende Aussage:
Finding a bug is pretty straightforwardAha, soso, es ist also einfach, in Adobe-Software Bugs zu finden? Wieso tut ihr da nicht was gegen?
Apropos Indiens Schnüffelprogamme: diese Dokumente sehen aus, als hätte Indien da Marktzugang für Schnüffelzugänge verkauft.
Ich vergebe einen Gnadenpunkt dafür, dass die Anfragen über IPv6 reinkamen, ansonsten eine bemitleidenswert armselige Nummer.
Das Blog läuft übrigens nach wie vor auf einem "Semprom 2800+" mit 1,6 GHz und 512 MB RAM. Da kann man ja echt richtig stolz auf sich sein, wenn man die Ressourcen überwältigt kriegt.
Kann man da was machen? Nein, kann man nicht. Man kann eine Packung Snake Oil auspacken und die Requests pro IP limitieren oder Requests nach 0.5 Sekunden abbrechen oder so, aber das ist alles nur Snake Oil wie bei Virenscannern. Oder wenn man es mit echt schlechten Amateuren zu tun hat wie hier, dann kann man auch den Useragent filtern. Das Problem an sich kriegt man nicht weg.
Also was schreibt er denn da so.
Das BKA hat keinen Verfassungsbruch begangen!Das wird sich zeigen.
In unsere OLD- und Quellen-TKÜ-Software war zu keinem Zeitpunkt eine rechtswidrige Hintertür zum Aufspielen von Ausspähprogrammen eingebaut.Das klingt gut, leider wird es noch im selben Dokument auf Seite 7 der Lüge überführt:
Update selbst wird mit der Updatefunktionalität der Digitask-Aufzeichnungseinheit durchgeführt (Updates werden protokolliert)Das mit dem Protokoll klingt gut, aber leider ist ein Protokoll auf Seiten des Trojaners wertlos, weil es von Dritten manipuliert werden kann, und ein Protokoll auf Seiten des BKA ist auch wertlos, weil über die Schnittstelle auch von Dritten weitere Malware hochgeladen worden sein kann, ohne dass das überhaupt beim BKA vorbeikommt.
Es gibt keinen Zugriff von Dritten auf die Software des BKA.Da bin gespannt auf Ihre Beweisführung, Herr Ziercke!
Die Planung, Durchführung und Nachbereitung von Quellen-TKÜ und Online-Durchsuchung folgen einem detaillierten Phasenkonzept, einschließlich ausdifferenzierter Prüf- und Kontrollmechanismen.Bei dem Satz muss jemand den Inhalt mitzuübertragen vergessen haben. Hier ist jedenfalls keiner angekommen. Auch die ganze Seite 4 ist reiner "Beweis durch Behauptung"-Kinderkram. Damit können sie vielleicht jemanden wie den Uhl überzeugen, aber sonst niemanden. Kein Wunder, dass sie das hinter verschlossenen Türen vor ausgesuchtem Publikum gehalten haben. Sonst wären sie ja aus dem Saal gelacht worden damit.
Dann machen sie noch die Ansage, dass sie in Amtshilfe für Rheinland-Pfalz und Hessen Trojaner verteilt haben. Sehr schön!
Desweiteren verweisen sie auf ihre ISO 9000ff-Zertifizierung (HAHAHAHA, Snake Oil zum Quadrat, das lässt ja tief blicken, dass sie DAS als Beleg für ihre Integrität nehmen!) und ein Phasenkonzept. Wer schonmal in einer WG gewohnt hat, mit Konzept zum gemeinschaftlichen Geschirrspülen und Müllrunterbringen, der wird das ähnlich erheiternd finden wie ich jetzt. Sie zitieren da ab Seite 6 das Phasenmodell. Ich kann das nicht mal pasten hier, ich hab vom Fremdschämen Rheuma gekriegt und kann die Maus nicht mehr schieben. AU DIE SCHMERZEN! Das einzige, was man da mitnehmen kann, ist dass es einen Amtsleitungsvorbehalt gibt. D.h. die Amtsleitung steht jetzt persönlich mit einem Bein im Knast und kann das nicht mehr auf inkompetente Angestellte abwälzen.
Schließlich kommen dann auch noch die Ausflüchte zu dem Proxy, bzw. kommen sie gerade nicht. Da steht nur:
zur Verschleierung der Q-TKÜ gegenüber dem Tatverdächtigen wird die gesamte Kommunikation der Software über mindestens zwei Proxy Server geleitetEin Schelm, wer böses dabei denkt.
auf diesen Proxy Servern werden keinerlei Daten abgelegt, sondern lediglich eine Durchleitung - über nicht-deutsche Server – vorgenommenAch sooo! Das ist nur eine Durchleitung! Na dann kann da ja nichts passieren. Immerhin: Sie geben zu, dass sie durch das Ausland routen. Das macht aber nichts (Seite 11), weil:
Richtig ist vielmehr, das die Daten über einen ausländischen Server lediglich verschlüsselt weitergeleitet und nicht auf dem ausländischen System gespeichert werden.Ich bewundere deren Chuzpe, ihre Pfusch-Verschleierung als "Verschlüsselung" zu bezeichnen. Oh und die scheinen noch nicht verstanden zu haben, dass man mit einem Proxy auch durchfließende Daten manipulieren kann.
Ein schöner Lacher ist noch die "Beendigungsphase":
No shit, Sherlock! Mit forensischen Methoden durch Dritte analysiert, ja? *schenkelklopf*
- Überwachungssoftware wird möglichst im Rahmen operativer Maßnahmen physikalisch gelöscht
- sofern mangels Zugriff auf das überwachte System physikalisches Löschen nicht realisierbar, wird auf die eingebaute Löschfunktion zurückgegriffen
- bei letztgenannter Alternative (sogen. Fernlöschung) besteht ein Restrisiko, dass die Software oder Teile davon zu einem späteren Zeitpunkt mit forensischen Methoden durch Dritte analysiert werden
Die nächste Frage, die sich stellt, ist was es mit der "revisionssicheren Dokumentation" zu tun hat, die gestern alle CDU-Tontauben nachgebetet haben.
Das ist nicht gut, weil "alle gewonnenen Daten" auch den Kernbereich der privaten Lebensgestaltung betrifft und nach Vorgabe des Bundesverfassungsgerichts solche Daten sofort gelöscht werden müssen. Und überhaupt stellt sich natürlich die Frage, was auf ein Protokoll zu geben ist, dass im Fall eines Manipulationsvorwurfes vom Angeklagten selber geführt wurde. Ich sage: gar nichts. Da müsste man schon besondere Maßnahmen ergreifen, um eine Manipulation besonders schwer zu machen, z.B. per Read-Only-Ausleitung der Logdaten in einen physisch separaten Logging-Bereich, bei dem nur hinten angefügt und nichts gelöscht oder überschrieben werden kann nachträglich. Was das BKA aber darunter versteht:
- Sämtliche durchgeführten Aktionen (Updates, Modulaktivierungen und -deaktivierungen) werden protokolliert.
- Des Weiteren sind dort alle gewonnenen Daten (Gespräche, Chatnachrichten, übertragene Dateien) auswertbar vorhanden.
Die operativen Worte hier sind "aus der Bedienoberfläche heraus". Wenn jemand weiß, wie man es außerhalb der Bedienoberfläche manipuliert, ist das Scheunentor offensichtlich offen. Daher dementiert das BKA auch gleich so doll sie können (ein lauer Windhauch würde diese Argumentation wegwehen):
- Das systemtechnische Protokoll ist aus der Bedienoberfläche heraus nicht manipulierbar.
ACH, für das BKA soll die Unschuldsvermutung gelten, wenn sie mit thermonuklearen Trojanern herumhantieren? Aber umgekehrt dürfen unsere Behörden uns trojanisieren, selbst wenn wir nachweislich überhaupt nichts angestellt haben, unter der Maßgabe der Gefahrenabwehr? Im Übrigen ist das mit dem administrativen Zugang nicht glaubwürdig. Wenn das GUI ohne Admin-Zugang in die Datenbank schreiben kann, dann kann das auch der Benutzer des GUIs. Er muss sich nur die Zugangsdaten für die Datenbank aus dem GUI rauspopeln.
- Löschen von Protokolldaten wäre nur mit administrativem Zugang (nicht der Ermittlungsbeamte, nur der Techniker hat Zugang) auf die zugrundeliegende Datenbank und entsprechendem technischen Aufwand bei gleichzeitiger krimineller Energie möglich. Dafür gibt es keinem Fall auch nur die Spur eines Verdachts!
Und ob das BKA kriminelle Energie hat, das ist ja wohl eine Frage des Blickwinkels. Die wollen Trojaner bei den Bürgern installieren! Wenn die Russen das tun, nennt man das "Mafia" und "organisierte Kriminalität" und die Politik nimmt es als Anlass, um noch mehr Trojanereinsätze zu begründen!
Aber hey, ist ja noch nicht fertig. Hier ist noch ein echtes Highlight:
Falsch ist, dass das BKA eine Überwachungssoftware verwendet, die mit einer unsicheren symmetrischen Verschlüsselung arbeitet und nur in eine Kommunikationsrichtung verschlüsselt. Wir verschlüsseln in beide Richtungen!HAHAHAHAHAHAHA, das alleine ist ja schon so ein Brüller, ich lach mich kaputt. Wir verschlüsseln in beide Richtungen mit einem unsicheren symmetrischen Cipher!1!!
Richtig ist, dass ein gemeinsamer Schlüssel zwischen Software und Einsatzservern vergeben wird. Dies dient der Verschlüsselung und der Authentifizierung.OH DIE SCHMERZEN! Sie bestätigen also direkt, was sie im Absatz davor noch dementiert haben. Gut, mit einem symmetrischen Schlüssel kann man sich nicht authentisieren, das weiß schon jeder Informatik-Studienabbrecher, das meinen die bestimmt nicht ernst? Doch, meinen sie!
Der Kommunikationspartner kann sich ohne diesen Schlüssel nicht als gültiger Partner ausgeben.Liebes BKA. IHR LIEFERT DEN SCHLÜSSEL AUS. Der ist im Trojaner drin. Der ist nicht geheim. Und man kann mit ihm nichts authentisieren. Fragt doch mal eure Krypto-Kollegen vom BSI, die haben dem Vernehmen nach Reste von Krypto-Knowhow am Start. Wenn die nicht alle schon dem Herzinfarkt erlegen sind angesichts eurer haarsträubenden Äußerungen hier, dann werden sie euch zumindest bestätigen, wie tief euer Unwissen hier reicht. "Wir haben da auch Experten", dass ich nicht lache. Gut, helfen werden euch die BSIler nicht, das haben sie ja schon angesagt. Aber euch ist ja eh nicht zu helfen.
Weiter im Text. Es fehlt ja noch der Teil, wo sie den CCC als die Bösen hinstellen. Hier ist er:
Seit der Veröffentlichung der Signatur der Verschlüsselung durch den CCC könnten noch laufende Maßnahmen entdeckt werden. Das BKA hat daher in einem aktuellen Verfahren der organisierten Rauschgiftkriminalität die Maßnahme sofort abgebrochen und dies der Staatsanwaltschaft und dem anordnenden Gericht mitgeteilt. Dies ist auch den Bundesländern mitgeteilt worden.ORGANISIERTE RAUSCHGIFTKRIMINALITÄT!!1! Mit anderen Worten: noch eine Online-Apotheke.
Oh, eine Sache möchte ich schon noch ansprechen:
Die Quellen-TKÜ-Software ist auf das Zielsystem und die dort installierte Skypeversion ausgerichtet. Bei einem Skypeupdate muss daher auch die Quellen-TKÜ-Software angepasst werden, da ansonsten die Kommunikation nicht mehr aufgezeichnet wird.Das klingt für mich nach Unsinn. Ich behaupte, dass das auch ohne Updates geht.
Das BKA behauptet weiterhin, das Verfassungsgericht habe nicht gesagt, ein Mehr an Funktionalität sei generell verboten, sondern nur dann,
wenn – und darauf kommt es dem BVerfG an - die durch eine Nachladefunktion eingesetzte Software zum Ausspähen von weiteren Daten genutzt würde.Hier ist, was das Verfassungsgericht tatsächlich urteilte:
Art. 10 Abs. 1 GG ist hingegen der alleinige grundrechtliche Maßstab für die Beurteilung einer Ermächtigung zu einer „Quellen-Telekommunikationsüberwachung“, wenn sich die Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt. Dies muss durch technische Vorkehrungen und rechtliche Vorgaben sichergestellt sein.Es geht also nicht darum, ob die nachgeladene Software tatsächlich benutzt wird, um mehr abzuhören, sondern es müssen technische und rechtliche Vorkehrungen da sein, um zu verhindern, dass das geschehen kann. Das ist hier nicht der Fall, daher handelt es sich um eine klare Verletzung des Urteils.
Gegen eine bloße Aktualisierungsfunktion kann das BVerfG keine Einwände haben, weil sonst die Maßnahme an sich gefährdet wäre.Den Typen, der diese Argumentation gemacht hat, würde ich gerne hinter Gittern sehen. "Ich MUSSTE den Laden ausrauben, Euer Ehren, denn mir ist ja Fahrradfahren erlaubt, und wenn ich denen nicht ein Fahrrad gestohlen hätte, dann wäre ja die Fahrradfahr-Maßnahme an sich gefährdet gewesen!1!!" Dass solche Leute überhaupt frei rum laufen können, irritiert mich maßlos, aber dass sie auch noch für Bundesbehörden der Exekutive Statements formulieren, das schlägt dem Fass den Boden aus. Wenn ihr es unter den Vorgaben nicht hinkriegt, DANN KÖNNT IHR ES HALT NICHT MACHEN. Ganz einfach!
Immerhin sehen sie auch selber ein, dass ihre Beweise da wertlos sind, und weil sie keine tatsächliche Überprüfung machen können, …
Das BKA hat am 11./12.10.2011 alle Protokolle bisheriger Quellen-TKÜ-Maßnahmen mit der DigiTask-Aufzeichnungseinheit unter Beteiligung der Beauftragten für den Datenschutz sowie für die IT-Sicherheit im BKA auf Plausibilität kontrolliert hat.Äh, auf … Plausibilität?! So Pi mal Daumen oder wie? Geschaut, dass keine Logeinträge von Freitag nachmittag kommen, weil da die Beamten auf dem Heimweg sind? Oder wie habe ich mir das vorzustellen? Wenig überraschend haben sie nichts gefunden:
Im Ergebnis konnten keine Hinweise festgestellt werden, dass im BKA eine Software eingesetzt wird, die über die rechtlich zulässigen Grenzen der Quellen-TKÜ hinausgeht und dass im Rahmen der bisher erfolgreich durchgeführten Quellen-TKÜ-Maßnahmen unzulässige Daten ausgeleitet werden.Natürlich nicht. Anhand einer "Plausibilitätsprüfung" der Logdateien kann man sowas ja auch nicht beurteilen.
Auf Seite 11 gibt es dann noch die Ausrede, wieso der Proxy in den USA steht. Achtung: fest sitzen bei der Lektüre:
Der Grund für diese Verschleierung ist kriminalistischer Natur. Skype selbst nimmt beim Start automatisch Kontakt mit einem Server in den USA auf. Für den versierten User sollte durch die Quellen-TKÜ- Software kein anderer Eindruck entstehen.m(
Halt, einen hab ich noch. Wie das BKA prüft. Ihr sitzt hoffentlich weiterhin fest:
Das BKA testet die bestellte Software mit Hilfe eines sogen. Positivtests, der der Funktionalitäten der Software und die Reaktion der vom Zielsystem eingesetzten Sicherheitssoftware (Virenscanner, Firewall) prüft. Die Maßnahme wird als einsatzfähig betrachtet, wenn die bestellten Funktionalitäten vorhanden sind, und die Sicherheitssoftware keine Warnungen produziert.Selbstverständlich sind so keinerlei Aussagen über eventuell zusätzlich vorhandene Funktionalität treffbar.
Update: Oh und natürlich ist der Paragraph mit den abgebrochenen Einsätzen auch gleichzeitig das Eingeständnis, dass ihre angeblich ganz andere Version des Trojaners das selbe schlechte Protokoll einsetzt und damit so verschieden nicht sein kann.
Update: Weil ich jetzt mehrfach darum gebeten wurde, hier nochmal explizit die letzte Zeile aus dem PDF:
Glauben Sie mir, meine Mitarbeiter verstehen das nicht!
Daran zweifelten wir auch keine Sekunde, Herr Ziercke!
Signature definitions are authenticated using a weak crypto scheme that is trivially defeated, making transport security essential. Sophos do not use transport security.Der wichtige Punkt ist aber, dass selbst wenn sie die ganzen Probleme reparieren, Antiviren immer noch Snake Oil sind, prinzipbedingt. Sie können nur bekannte Viren sicher erkennen und sich ansonsten auf Heuristiken verlassen, was ein Programmierer-Euphemismus für "funktioniert nicht zuverlässig" ist.
Erstaunlicherweise verlinkt das ehemalige Nachrichtenmagazin ihre Originalquelle. Lobenswert! Was soll die NSA denn da genau tun?
The program uses NSA-developed “signatures,” or fingerprints of malicious code, and sequences of suspicious network behavior to filter the Internet traffic flowing to major defense contractors.Mit anderen Worten: ein IDS. Ein verhaltensgesteuertes IDS. Eine der übelsten Formen von Snake Oil in der ganzen Security-Industrie. Insofern geht es da offensichtlich um was anderes, denn IDS funktionieren nicht. Aber was tut so ein IDS? Es liest den gesamten Traffic mit. Das tut die NSA ja an sich sowieso, aber offensichtlich wollen sie da bessere Argumente haben, um die ISPs zur Kooperation zu bewegen.
Na?
Sony Griechenland. Jedenfalls postet jemand Daten im Internet, die behaupten, ein Datenbankdump von denen zu sein.
Ich bitte um Verzeihung zu dem Snake-Oil-Vendor-Link, aber die einzige andere URL, die ich hatte, war zu einem angeblichen SQL-Dump.
Für die Nutzung der AusweisApp, die Anfang Januar zum Dowload zur Verfügung stehen soll, verteilen zwei Computerzeitschriften "Freikarten" in Form von Kartenlesern und Gutscheinen. Für diesen Service erhalten sie nach Auskunft des Bundesinnenministeriums 792.540,00 Euro. Eine Zeitschrift liefert mit ihrer DVD-Ausgabe 400.000 Basiskartenleser von Reiner SCT an den Kiosk. Dafür bekommt Reiner SCT die 35 Euro, die der Kartenleser kostet, was sich auf 14 Millionen Euro addiert. Weitere 1.864.800,00 Euro erhält die Firma für Service und Support.Und es geht noch weiter mit den Millionen.
Was ich an der Stelle mal hervorheben will: der Heise-Verlag legt keine schrottigen Basisleser bei. Das finde ich angesichts der Zahlen, was man da für Geldberge von der Regierung für diese Propagandamaßnahme kriegt, hoch anständig finde. Denn die Geräte, die da verteilt werden, sind Basisleser, d.h. ohne Keypad, d.h. per Trojaner angreifbar. Da hat sich die c't offensichtlich entschieden, lieber das Geld nicht zu nehmen und den Lesern kein Snake Oil reinzudrücken.
Fürs Archiv: Der Hersteller der Äpp, und was sticht mir da sofort ins Auge: die werben da mit Common Criteria EAL4+ Zertifizierung. Da sieht man mal wieder, wie wertlos diese ganze Zertifizierungsscheiße ist. Reines Snake Oil.
Oh und wo wir gerade bei Hirnriss waren: aus der BSI-FAQ zur Ausweis-App:
Der Windows7-eigene Screenreader fängt beim Vorlesen die Eingaben über die Tastatur direkt ab. Dadurch wird auch die eingegebene PIN im Klartext vorgelesen. Unter JAWS, NVDA und VoiceOver tritt dieses Problem nicht auf.
Update: So eine Autoupdatefunktion einer Ausweis-Äpp wäre ja auch genau die Infrastruktur, die man für die Installation des Bundestrojaners braucht.
Und wer denkt, das sei eine schlechte Idee, dem Bundestag eine CA zu geben, für den habe ich eine schlechte Nachricht: die Telekom hat auch dem DFN-Verein eine CA gegeben, und die sind damit rumgelaufen haben allen Unis jeweils ein CA-fähiges Zertifikat in die Hand gedrückt. Jede FH Kleinkleckersdorf kann gültige Zertifikate für paypal.com ausstellen. Kein Wunder also, dass Paypal und co sich auf dieses lächerliche Extended Validation Snake Oil haben einschwören lassen. Da muss die CA dann "besondere Audits" überstehen. Nun, so schlimm können die Audits nicht sein, wenn Anbieter wie Godaddy sowas ausstellen dürfen. In erster Linie ist das eine Gelddruckmaschine, weil die bisherige Gelddruckmaschine, die SSL-Zertifikatsausstellung eh schon ist, nicht mehr genug Profit abwirft für die Gier der Herren Anzugträger. (Danke, Marcus und Jan)
Wer sich wundert, wie ausgerechnet Symantec Details zu irgendwas selbständig rausgefunden haben will: keine Sorge, ihr müsst euer Weltbild nicht justieren. Mir hat ein Vögelchen geflüstert, wo "deren Analyse" des Windows-Teils tatsächlich herkam. Ich versuche gerade, denjenigen zum CCC-Congress einzuladen. Mal gucken, ob es klappt.
Ende September ist eine Konferenz der Antivirusindustrie. Das ist zwar alles Snake Oil, aber zwischen den Pfuschern und Kriminellen arbeiten auch ein paar fähige Leute, und ich gehe davon aus, dass so ungefähr jede Bude, die was auf sich hält, das für ein-zwei Papers zu Stuxnet nutzen wird. Oder zumindest hoffe ich, dass mir jemand von den dortigen Kaffeepausenplaudereien zu Stuxnet erzählt :-)
Auf der anderen Seite ist das natürlich ein perfektes Geschäftsmodell für die. Die wissen ja jetzt schon über ihre Kunden, dass die nicht gerade geistige Titanen sind, weil die sich schon Norten SnakeOil 23.0 haben andrehen lassen.
Das unglaublichste für mich ist, dass Heise nicht mit einem Wort erwähnt, dass Symantec so alle Nutzer in Echtzeit beobachten kann. WTF? War da der Chefredakteur gerade pinkeln?
Ihr habt ja sicher mitgekriegt, dass gerade der ach so unabhängig klingende "Deutsche IT-Sicherheitspreis 2008" verliehen wurde. Gewinner war: Bingovoting.
Erst mal zu dem IT-Preis. Ausgeschrieben wird der Preis von der Horst Görtz Stiftung. Die Stiftung kümmert sich neben der IT-Sicherheit auch um Rehabilitation von Komapatienten (?) und um "chinesische Lebenswissenschaften" (?!?!?). Horst Görtz ist der Gründer von Utimaco. Für mich riecht das danach, als hätten sie die Stiftung genommen, um ein unbedenkliches Vehikel für Industrie-Lobbyarbeit in Form des Preises zu haben. Und es ist auch sicher kein Zufall, dass der Preis an das Wahlcomputer-Umfeld vergeben wird, denn da steht ja der Termin beim Verfassungsgericht direkt bevor. Und — was für ein Zufall! — der Erfinder von Bingo Voting, Dr. Jörn Müller-Quade, soll vor dem Verfassungsgericht als Sachverständiger aussagen. Da sah die Industrie offenbar ihre Felle davon schwimmen und wollte dem Herrn Sachverständigen noch kurz ein 100.000 Euro Argument mitgeben, das er vor dem Verfassungsgericht als Hoffnungsschimmer präsentieren kann, damit die Karlsruher computergestützte Wahlen nicht vollständig verbieten. Und da trifft es sich auch gut, dass der Herr Sachverständige auch selber in Karlsruhe arbeitet, Lokalkolorit kommt immer gut.
Aber schauen wir uns doch mal die Jury an:
Dem gegenüber sind vier nicht neutral: Einmal der Common Criterial Mensch, denn das ist ja das Allerheilmittel, um Hardware vertrauenswürdig zu machen, das geht ja gar nicht, wenn das Verfassungsgericht da jetzt das Gegenteil sagt. Dann der Utimaco-CEO und der Utimaco-Krypto-Prof, deren Stiftung verleiht den Preis. Dann der T-Systems Online-Voting-Mensch natürlich. Man kann auch noch argumentieren, dass die Smart Card und TPM-Fraktion ein Interesse daran hat, Hardware grundsätzlich als vertrauenswürdig genug für Wahlen darzustellen, dann wären es noch mehr.
Ich kann mich da natürlich bezüglich der Qualifikationen der Leute auch irren, das basiert jetzt nur auf ein bisschen Rumgoogeln, aber es ist kein guter Anfang.
Es gibt da Leute, die das noch kritischer sehen, und die ganze IT-Uni-Szene für eine korrupte Mischpoke halten. Ich habe auch den Eindruck, kann das aber nicht genug untermauern, um das öffentlich zu sagen.
Kommen wir zu Bingo Voting selber.
Bingo Voting ist ein cooles Verfahren. Ja, ist es. Es ist aus der Tradition der Verfahren, die ich gerne als "Krypto-Hirnwichs" bezeichnen möchte, weil sie intellektuell herausfordernd, spannend und anspruchsvoll sind, und das Denken über kryptologische Verfahren voran treiben.
Andere Verfahren aus der Kategorie sind die Chaum-Protokolle für kryptologische Zahlungsverfahren, und Zero Knowledge Poker. Von diesen ganzen Verfahren sind einige implementiert worden, aber nur eines hat tatsächlich eine Anwendung: Zero Knowledge Skat. Für eine Skat-Runde ist das nämlich nicht so wichtig, ob man da was übersehen hat. Bei elektronischen Wahlverfahren hingegen geht es um ein ganzes Land, im Fall von Deutschland um Billionen von Euros, über die die zu wählende Regierung bestimmen kann, da muss man von einem Angreifer mit quasi unlimitierten Ressourcen ausgehen. Und man kann eben auch keine Einbußen gegenüber unserem bisherigen Wahlverfahren hinnehmen, wo jeder Bürger nach der Wahl das Auszählen der Stimmen begutachten darf. Einfach so. Transparenz ist das Stichwort.
Bingo Voting ist ein Krypto-Protokoll, das mit der Annahme operiert, dass derjenige, der die Wahl durchführt, integer ist. Derjenige stellt nämlich einen Zufallsgenerator, der nicht manipuliert sein darf, sonst ist das ganze Verfahren hinfällig. Das mag nicht jedem Leser klar sein, daher will ich mal beschreiben, wie man sowas prüft: gar nicht. Man kann das nicht prüfen. Man kann ein paar statistische Verfahren drauf werfen, um zu gucken, ob es Anzeichen von Bias gibt. Aber damit kann man nur versehentliche Unzufälligkeit nachweisen, nicht absichtliche. Der Fokus auf den Zufallszahlengenerator kommt von den Bingovoting-Leuten selber, nicht von mir. Deren Argumentation geht so: wenn wir den Zufallszahlengenerator rausziehen, dann müssen wir die Wahlcomputer selbst nicht so gut sichern, weil dann wissen wir ja, dass der Zufall richtig zufällig ist. Das stimmt schon mal so allgemein nicht, denn der Wahlcomputer kann ja immer nur die Zufallszahlen nehmen, die einer bestimmten Bedingung genügen, und damit haben wir eine gute Zufallsquelle aber schlechten Zufall am Ende.
Kurz gesagt: erstens ist der Zufallszahlengenerator manipulierbar, und zweitens würde es nicht helfen, wenn er es nicht wäre.
Die stellen sich da eine mechanische Lottomaschine als intuitiv vertrauenswürdigem Zufallsgenerator vor, haben aber selbst bei ihren Feldtests doch lieber einen elektronischen Generator genommen und dem dann halt vertraut.
Für die Wahlcomputer selber kommen natürlich wieder die selben Probleme dazu, die Wahlcomputer generell haben, sie könnten z.B. einfach mitloggen, wer wie gewählt hat, oder elektromagnetische Abstrahlungen haben, etc. Das ist alles kaum bis gar nicht nachzuweisen. Gegen Wahlcomputer-Manipulation ist natürlich auch ansonsten kein Kraut gewachsen. Der manipulierte Wahlcomputer kann z.B. jedem Linkspartei-Wähler den selben Ausdruck mitgeben, und im Hintergrund nur mit einer Stimme tatsächlich für die Linksparteil stimmen. Das würde nur auffallen, wenn jeder seine Ausdrucke mit allen anderen Ausdrucken im Stimmbezirk vergleicht, was rein logistisch ausgeschlossen ist.
Die Bingovoting-Leute halluzinieren sich dann noch folgendes Konstrukt herbei:
We intend therefore a trusted printer, which uses unforgeable paper to allow the voter to prove that she indeed has a valid receipt.Da kann ich ja nur heiser lachen. In der Praxis steht und fällt die Manipulationssicherheit des Systems damit, dass alle Wähler oder zumindest die Mehrzahl von ihnen nach der Wahl ihren Ausdruck prüfen. Das wird nicht geschehen. Das Verfahren selber ist so obskur und unverständlich, dass normale Mathematiker und Informatiker es nicht auf Anhieb verstehen, da braucht man schon Kryptographie-Grundkenntnisse. Dass der Bürger das versteht, und die Signifikanz ihrer Quittungen nachvollzieht, ist völlig ausgeschlossen.
Der Aufwand für das System übersteigt den für die (hoffentlich) gescheiterten Wahlstift- und Nedap-Systeme noch einmal deutlich. Die Angriffe sind so subtil möglich, dass der Wähler sie nicht verstehen kann. Wenn einer der Wahlcomputer die Liste der Dummy-Stimmen weiterleitet, ist das Wahlgeheimnis futsch. Wenn ein Wahlcomputer die Stimmreihenfolge protokolliert oder elektromagnetisch abstrahlt, ist das Wahlgeheimnis futsch. Wenn ein Wahlcomputer manipuliert ist, ist sogar das Wahlergebnis nicht vertrauenswürdig.
Dass die Praktikabilität nicht gegeben ist, sehen auch die Erfinder selber ein, indem sie vorschlagen, 40 Bit Zufallszahlen zu nehmen, damit man nicht so viel vergleichen muss als Bürger. 40 Bit? Das ist natürlich viel zu wenig. Schon aus Gründen des Geburtstagsparadoxon.
Im Übrigen kann der Betreiber der Wahl nach der Wahl auch "Beweise" für eine Manipulation generieren, wenn ihm das Ergebnis nicht gefallen hat.
Kurz gesagt: tolles Verfahren, aber in der Praxis untauglich, ja sogar ein Rückschritt gegenüber dem, was wir jetzt haben.
Und DIESE Leute sind Gutachter vor dem Verfassungsgericht, ob Wahlcomputer abgeschafft werden sollen oder nicht. Na prost Mahlzeit.
Update: Andreas und ich sind noch am diskutieren, ob dieser Danisch-Angriff funktioniert oder nicht. Seit 24 Stunden ist der CCC jetzt damit beschäftigt, dieses Protokoll zu verstehen zu versuchen. Das alleine ist in meinen Augen Aussage genug, ob das vielleicht zu komplex ist, um realistisch nachprüfbar zu sein. Papierwahl versteht auch Oma Frieda vom Bauernhof.
Update: wir sind inzwischen überzeugt, dass der Danisch-Angriff abgewehrt wird. Aber aus dem näheren Nachdenken ergeben sich neue Einsichten. Z.B. ist uns augefallen, dass alle Daten, die man für das Brechen des Wahlgeheimnisses braucht, auch aufgehoben werden müssen, weil man sie für die Beweise der Wahlintegrität später braucht. Der Wahlcomputer muss also gar keine Daten elektromagnetisch abstrahlen und auch nicht manipuliert werden, um einem Insider das Brechen des Wahlgeheimnisses zu erlauben. Ich skizziere das mal. Der Erpresser verlangt von mir, dass ich CSU wähle. Ich gebe ihm nach der Wahl meinen Wahlschein. Damit geht er dann zum Wahlleiter, und der hat die Daten vorliegen, die er für den Beweis braucht, dass mit dieser Stimme die CSU gewählt wurde. Oder natürlich, wie bei Nedap, der Erpresser manipuliert den Wahlcomputer oder hört seine elektromagnetischen Emissionen ab.
Update: Oh wow. Der Bingovoting-Mensch hat vor dem Verfassungsgericht im Wesentlichen die CCC-Position vertreten, meinte zu seinem Verfahren, es bestünde ja schon Hoffnung, aber das sei in weiter Ferne. Das freut mich sehr, dass es doch noch Akademiker mit Rückgrat gibt. Da wird sich die Industrie ärgern, dass sie ausgerechnet den mit dem Preis noch aufgebaut haben vorher.
Update: mir mailt gerade jemand, dass das HGI-Institut nicht mehr von der Stiftung finanziert wird, die hätten nur mal anfangs drei Lehrstühle finanziert. Damit wäre meine "stiftungseigen" Kritik an dem Herrn Schwenk entkernt. Und der Herr Schabhüser, teilt mir gerade jemand anderes mit, ist tatsächlich Mathematiker und sogar Kryptologe. Damit ist der Anteil der Jury-Mitglieder, die das Verfahren auf Anhieb verstehen können, auf immerhin zwei von acht gestiegen.
Beschreibt von staatlicher Seite aus heimlich schwach gemachte Kryptographie.
Wer auf solche Wortspiele steht, der wird auch meinen anderen Liebling mögen: "encraption". Für schwache Kryptographie und Snake Oil.
Und noch einer: "Orwellness" für die Selbstentblößung der Jugend von heute bei myspace, studivz und co.
The Air Force wants a suite of hacker tools, to give it "access" to — and "full control" of — any kind of computer there is. And once the info warriors are in, the Air Force wants them to keep tabs on their "adversaries' information infrastructure completely undetected."The government is growing increasingly interested in waging war online. The Air Force recently put together a "Cyberspace Command," with a charter to rule networks the way its fighter jets rule the skies. The Department of Homeland Security, Darpa, and other agencies are teaming up for a five-year, $30 billion "national cybersecurity initiative." That includes an electronic test range, where federally-funded hackers can test out the latest electronic attacks. "You used to need an army to wage a war," a recent Air Force commercial notes. "Now, all you need is an Internet connection."
On Monday, the Air Force Research Laboratory introduced a two-year, $11 million effort to put together hardware and software tools for "Dominant Cyber Offensive Engagement." "Of interest are any and all techniques to enable user and/or root level access," a request for proposals notes, "to both fixed (PC) or mobile computing platforms… any and all operating systems, patch levels, applications and hardware." This isn't just some computer science study, mind you; "research efforts under this program are expected to result in complete functional capabilities."
Da sitzen echt ein paar 80jährige Emailausdrucker-Sesselfurzer und haben so viel Geld, dass sie da Aladin und die Wunderlampe spielen können. Die schreiben einfach auf, "wir wollen überall on demand Superuser-Zugriff haben". Aber es gibt auch eine positive Seite an dem Ganzen: das ist El Dorado für Snake Oil Verkäufer. Die werden jetzt einmal von jedem unseriösen Knödel-Anbieter verarscht, vermutlich holen sie sich auf dem Wege auch gleich mal schöne China-Trojaner rein, und am Ende können sie genau so viel wie jetzt. :-)
Gut, aus meiner Sicht sind Safari und Paypal beides Geißel der Menschheit, insofern kann ich das nur begrüßen, wenn die sich kloppen. Aber… von ALLEN Gründen, Safari scheiße zu finden (mir ist z.B. völlig unklar, wie man ohne Adblock überleben kann), und — soviel ist unstrittig — da gibt es viele, nehmen die ausgerechnet den fehlenden Snake-Oil-Support? BWAHAHAHAHAHA
Also ich hoffe ja, dass Apple und Paypal sich streiten, und dass Verisign mit hinein gezogen wird, und dass die Saugstärke der drei ein schwarzes Quantenloch bildet und die drei in ein Paralleluniversum wegtunnelt. Bonuspunkte, wenn wir bei der Gelegenheit auch noch Western Union und/oder die katholische Kirche loswerden. (Danke, Gerd)
Eine Webseite, bei der selbst die zynischsten IT-Profis mehrere Minuten brauchen, bis ihnen klar wird, dass es sich nicht um eine Satire handelt.
Eine Webseite mit absolut keinem meßbaren Inhalt, die eine Packung Snake Oil verkauft, von der sie nicht mal beschreiben kann, was es überhaupt leisten soll.
Dazu eine völlig nichtssagende Grafik wie aus den 80ies, der Text am rechten Rand herrlich unprofessionell als Inline-Grafik, und Buzzword Galore, dass es nur so kracht.
Wer noch Zweifel hat, sieht diese durch ".htm" als Dateiendung, "windows-1252" als Charset und "Microsoft FrontPage 6.0" als HTML Generator ausgeräumt.
Ja, liebe Leute, diese Webseite kann man gar nicht oft genug verlinken. Das Zitat am oberen Rand ist auch ein Meilenstein der Satire, so völlig nichtssagend, dass es auch auf Klopapier passen würde.
Aber halt, das wird noch besser. Klickt erst mal auf Executive Overview! Das ist so prototypisches Messe-Marketing-Loser-Gewäsch, da kriegt man Pickel von!
Aber halt, es geht noch schlimmer. Es gibt da tatsächlich einen Link "Success Stories", mit dem Who Is Who der Firmen, von denen man auch direkt gedacht hätte, dass die auf sowas reinfallen. Besonders großartig: "U.S. Government Intelligence Agency".
Von welcher Webseite ich rede? Na klar, von http://www.omg.com/mda/. Kann man sich gar nicht ausdenken, sowas. Ich habe ja mal nachgedacht, ob ich nicht eine Satire auf die ganzen beschissenen Industriestandards machen soll. Dann fiel mir diese Webseite ein, und da hab ich aus dem Stand aufgegeben. Mit diesen Leuten kann ich unmöglich konkurrieren.
Bemerkenswert ist allerdings, daß die GPL in beiden Fällen ihren Dienst gut erfüllt hat. Die können nur zukünftige Versionen nicht mehr unter GPL releasen, und sie können die GPL-Patches der ganzen Internet-Leute nicht einfach übernehmen, ohne das Gesamtdingens unter GPL zu haben. Nur die GPL hat dafür gesorgt, daß man solchen Kommerz-Typen Code schicken kann, ohne von denen bei so einer Gelegenheit verarscht zu werden. Lang lebe die GPL!