Getürkt?

Ihr Weg durch den Zoll

Wenn Sie nach einer Flugreise aus einem Drittland nach Deutschland zurückkehren, haben Sie die Wahl zwischen zwei Ausgängen: Den grünen Ausgang benutzen Sie dann, wenn Sie Waren für den persönlichen Bedarf innerhalb der Reisefreimengen mitbringen; den roten, wenn Sie darüber hinausgehende Waren anzumelden haben. Mit Ihrer Wahl geben Sie eine Steueranmeldung ab. Wenn Sie den grünen Ausgang benutzen, können Sie in der Regel ungehindert passieren. Allerdings wird auch dort das Gepäck stichprobenweise geprüft. Sollten abgabenpflichtige Waren gefunden werden, behandelt der Zoll diese als geschmuggelte Ware (Steuerhinterziehung).

Damit das nicht passiert, beachten Sie bitte die folgenden Hinweise:

Die Feuerwehr also auch

Es gibt auch positive Todesnachrichten

DAB ist tot, schreibt Telepolis. DAB? Das steht für digitales Radio, Digital Audio Broadcast, für eine Technik, die mit großem Aufwand gefördert wird und bald das gute alte Analogradio ablösen sollte. Eigentlich. Der Telepolis-Artikel erklärt sehr schön, an welchen realen Bedürfnissen vorbei DAB entwickelt wurde.. Deshalb empfehle ich ihn hier, denn wir Security-Nerds haben ja zuweilen dasselbe Problem: unsere Technikwichserei begeistert andere Nerds, geht aber an der Realität vorbei. Normalerweise sorgt der Markt dafür, dass Nischenbedürfnisse von Nischenanbietern befriedigt werden. Das lässt sich durch politisch motivierte Förderung jedoch verhindern, und heraus kommt dann oft so etwas wie DAB. Das übrigens nicht nur an den Bedürfnissen vorbeigeht, sondern auch an der heutigen Technik, denn Musik kommt heute aus dem Internet.

Und was lehrt uns das? Nun, vor allem lehrt es uns Gelassenheit; Vertrauen in uns und unsere Umgebung. Den DAB-Nerds hat man Milliarden in den Hintern geblasen und sie verlieren dennoch. Politische Marktmanipulation ist also offenbar gar nicht so einfach, und das ist eine gute Nachricht.

Da stelle mer uns mal janz dumm

Vor dem Frühstück spontan bei einer unbekannten Website drei T-Shirts bestellt und mit Kreditkarte bezahlt. Lasst mich doch in Ruhe mit Eurer blöden Sicherheit, Fortschritt ist mir lieber. Was Ihr auch baut, ich will es nicht sehen und nicht spüren und nicht darüber nachdenken. Ich will nackig im Bett shoppen und mit Kreditkarte bezahlen. Kennt übrigens jemand einen Online-Shop, der gute persische Pistazien verkauft?

PS: Vor PayPal hatte ich dann doch ein wenig Angst. Die waren zu blöd, Dollar in Euro umzurechnen und ich weiß nicht, wieviele Bestellungen ich jetzt abgeschickt habe.

Misstrauen in Wahlcomputer breitet sich aus

Hessen hat gewählt, der Chaos Computer Club beobachtete, Berichte gibt es bei Holger Klein, im Heise-Ticker – man schaue jeweils auch in die Kommentare und Trackbacks – sowie bei den Beobachtern selbst. Zeit für die erste Interpretation.

Zur Erinnerung: Der wichtigste und am schwersten auszuräumende Einwand gegen Wahlcomputer ist der Einwand der Intransparenz. Auch das herkömmliche Verfahren mit Papier, Stift und Urne lässt vielerlei Möglichkeiten zur Manipulation. Es ist aber für die Mehrzahl der Wähler durchschaubar und lässt sich ohne besonde Kenntnisse und Fähigkeiten prüfen, durch bloße Beobachtung. Das herkömmliche Verfahren ist also unsicher, aber das macht nichts. Wir müssen dem Verfahren und den beteiligten Personen nicht vertrauen, denn wir können prüfen. Wahlcomputer ändern das. Sie verlagern wesentliche Vorgänge in eine Black Box, der wir vertrauen sollen, ob sie nun sicher ist oder nicht. Außerdem wissen wir aus Erfahrung, dass es ziemlich schwer ist, Computer wirklich sicher zu machen.

Archive können täuschen

Und gleich noch ein Eintrag zum Thema Datenforensik. Im RISKS Digest vom 7. Januar 2008 (Volume 25, Issue 1) weist Fred Cohen auf die geringe Beweiskraft von HTML-Archiven hin. Konkret geht es um archive.org, auch bekannt als WayBack Machine. Das ist ein Dienst, der ab und zu Schnappschüsse von Seiten im Web nimmt und sie archiviert. Seine Nutzer können so einen Blick zurück in die Vergangenheit des Web werfen. Seiten in diesem Archiv kann Cohen nachweislich manipulieren. Seine Demonstration ist überzeugend: in einer archivierten Seite aus dem Jahr 1997 lässt er eine Grafik erscheinen, die damals noch ungeschehene Ereignisse wie 9/11 und Al Gores Nobelpreis nennt.

Der Trick ist so simpel, dass er gar keiner ist. Archiviert ist nämlich nur der HTML-Quelltext von damals. Enthält er Bildreferenzen, so zeigen diese nach wie vor auf die ursprüngliche Adresse. Jedoch garantiert nichts und niemand, dass dort noch dasselbe Bild liegt oder derselbe Server steht. Beim Anzeigen der archivierten Seite aber wird sich der Webbrowser nicht um solche Erwägungen kümmern, sondern die Referenz einfach verwenden und versuchen, von dort ein Bild zu laden. Hat er Erfolg, so zeigt er es auch an. Falls man statt eines Bildes JavaScript-Code in die archivierte Seite injizieren kann, was unter diesen Voraussetzungen nicht allzu schwer ist, dann hat man sogar den kompletten Inhalt unter Kontrolle.

Die Aussage des Archivs hängt also davon ab, unter welchen Randbedingungen man es auswertet. Einfach hinzuschauen genügt nicht. Man wird statt dessen sehr sorgfältig prüfen müssen, auf welche anderen Daten der archivierte HTML-Code verweist, welchen Einfluss diese Daten auf die Präsentation und damit den sinnlich wahrnehmbaren Seiteninhalt haben, und inwieweit sich aus dem archivierten Material eine aussagekräftige Ansicht rekonstruieren lässt. Im schlimmsten Fall, so ein Beispiel lässt sich konstruieren, genügt eine einzelne ungesicherte Referenz, das ganze archivierte Material für Beweiszwecke wertlos zu machen. Juristen dürfte das, je nach Rolle bzw. Mandat, entweder freuen oder ärgern.

Das Problem ist nicht neu, wir kennen es als das Präsentationsproblem von den digitalen Signaturen. Es betrifft viele moderne Datenformate, deren Interpretation von Randbedingungen abhängt.

Vorsicht DachHai!

Die Eigenheimbesitzer unter unseren Leserinnen und Lesern warnt Dexheimer Inside vor den DachHai und erklärt, was im Falle einer Begegnung zu tun ist. Die gute Nachricht daran ist, dass man den DachHai leicht erkennt, die schlechte, dass er trotzdem oft genug sein Fressen findet und nicht ausstirbt.

Vorratsverdacht, Verdachtsvorrat

Schwierigkeiten, Unklarheiten und Denkfallen bei der Interpretation gespeicherter Daten waren schon einmal Thema in unserem Blog. Plastischer wird das Problem vielleicht, wenn man es sich an eigenen Datenspuren veranschaulicht. Bloggerin Ari macht es vor und kommt zu dem Schluss:

»Na bravo: Mit den Augen des Vorratsdatenspeicher-Kriminal-Ermittlers bin ich jetzt also ein rechtradikaler Scientologe mit Kontakten zur russischen Sex-Mafia.

Ob mich das verdächtig macht???«

Man müsste es pro forma vielleicht noch mal empirisch untersuchen, aber als Eindruck kann ich jetzt schon sagen: die ganzen »Sicherheits«maßnahmen der jüngeren Vergangenheit schaffen augenscheinlich genau das Gegenteil. Unsicherheit nämlich, Unsicherheit darüber, welche Folgen ein Handeln heute haben kann, das bis gestern keinen etwas anging.

Vertrauen Sie niemandem

Eine kurze Erinnerung zwischendurch: vertrauen Sie niemandem, auch nicht der Feuerwehr. Vielleicht wollen Ihnen die netten Herren nur teure Rauchmelder andrehen. Bevor Sie Feuerwehrleuten etwas abkaufen, lassen Sie sich entweder ihren Ausweis zeigen, oder das Feuer.

Scareware

Die Masche ist bekannt: irgendwo im Netz stößt man auf eine Website, die einen kostenlosen Sicherheitscheck verspricht. Dazu lädt man sich ein Program herunter und führt es aus. Dieses Programm findet tatsächlich eine Reihe von Sicherheitsproblemen oder behauptet das jedenfalls. Und es hört mit dem Behaupten gar nicht mehr auf, denn das Opfer soll auf jeden Fall die »Vollversion« kaufen, von der es heißt, sie könne die gefundenen Probleme beseitigen.

Seit es diesen Betrug auch für den Mac gibt, hat er sogar einen schönen Namen: Scareware.

Attitude Adjustment Needed?

[Notice for our international readers]

I have no idea what went wrong today when a British Airways jet crashed short of the runway in London Heathrow. Nobody does at this point, we’ll have to wait for the results of a thorough investigation as will undoubtedly be carried out for this crash like for any other. This is the way the aviation community learns from mistakes all around the world.

So there would be not much to say about this accident, hadn’t I tripped over a statement that BBC News quotes prominently in their online coverage of the events, attributed to David Learmount, Air transport expert:

»BA pilots don’t make error of judgements of that type, especially not at the home base, let alone anywhere else«

This is not the appropriate attitude towards safety and the causes of accidents. In reality, pilot or flight crew error is the primary cause of accidents in aviation. At this point, let me repeat myself, we don’t have the slightest idea what caused this crash, but we know for sure that even BA pilots make errors of judgement, perhaps even of this particular type.

To be fair, according to my experience with the media, this sentence is one short snippet selected by a journalist out of a longer conversation. It may not entirely represent what had been said and our air transport expert may be innocent. However, in the particular way in which it appears on the BBC page, emphasized through page layout and ripped out of its possible context, it is just plain wrong.

Update:

• The Man in a Shed points out: »It is worth speculating as to why all BA 777’s and other airline 777s haven’t been grounded given the reported total electrical failure of the aircraft. Perhaps something is known about the cause after all.« I’m afraid he might have wrong expectations about aircraft being grounded. This is not the common reaction to any incident or accident unless it is obvious that there would be a high, immediate danger in not doing so.
• Kevin Anderson criticizes the Times’ coverage of the events.
• Holly of PlaneBuzz discusses the many ways in which this accident is perplexing. This is exactly why it needs to be investigated.
• Juan Antonio Giner of Innovations in Newspapers noticed a BA ad in the middle of a news report on the accident, and has further comments on the reporting.
• Jon, too, complains about the style of reporting and recommends that we wait for the results of the investigation.

Wie übersetzt man »trusted« richtig?

Im Englischen kann man ohne sprachliche Verrenkungen zwischen trusted und trustworthy unterscheiden. Trotzdem kriegen es viele nicht richtig hin. Auf Deutsch ist das noch viel schwerer. Trustworthy lässt sich noch entspannt und korrekt mit vertrauenswürdig übersetzen: das bedeutet, dass etwas Vertrauen verdient, dass Vertrauen – ganz gleich, ob man es tatsächlich hat oder nicht – jedenfalls nicht enttäuscht würde. Ob jemand oder etwas vertrauenswürdig war, wissen wir zuverlässig immer erst hinterher, wenn uns das Ergebnis wovon auch immer gezeigt hat, dass unser Vertrauen gerechtfertigt war. Meine Bank zum Beispiel hat sich in der Vergangenheit als vertrauenswürdig erwiesen. Viel spricht dafür, dass sie es auch in Zukunft bleiben wird, aber hundertprozentig weiß ich das jetzt noch nicht.

Für die Zukunft muss ich meiner Bank vertrauen: ich vermute oder hoffe, dass sie sich als vertrauenswürdig erweisen wird, und handle jetzt schon so, als sei sie es. Ich könnte mich statt dessen auch bei einer anderen Instanz absichern, hätte dort aber dasselbe Problem. Meine Bank, oder die andere Instanz, ist damit trusted. Meine Sicherheit hängt davon ab, dass sie sich wie erhofft verhält. Tut sie es nicht, bricht mein Sicherheitskonzept zusammen. Ein anschauliches Beispiel gibt es hier. Der Übersetzer ist trusted, jemand vertraut ihm. Er ist aber nicht trustworthy, denn er enttäuscht dieses Vertrauen.

Für diese Rolle in der Vertrauensbeziehung hätte ich gern ein deutsches Adjektiv. Vertraut passt nicht. Abhängig ist gerichtet und genau umgekehrt: ich bin abhängig von dem, dem ich vertraue. Im Einzelfall kann man sich vielleicht in Umschreibungen retten, aber darunter leidet die Verständlichkeit. Einfach trusted zu benutzen ist auch nicht besonders schön, das Lesen macht dann keinen Spaß mehr. Betraut oder verantwortlich ginge vielleicht, wenngleich mir beides unüblich scheint. Wie lösen unsere geschätzen Leserinnen und Leser dieses Problem?