Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2654 Danke!
[Musik]
ähm herzlich willkommen auf der Bühne
von Bits und Bäume
gerne könnt ihr eure Gedanken zu dem
Vortrag und allem anderen unter dem
hashag Bits und Bäume auch auf Mastodon
publizieren noch zwei kleine
organisatorische Ansagen bevor wir mit
dem Vortrag anfangen auf den ihr euch
alle schon so
freut wenn ihr euch gestört fühlt durch
laute Musik bitte klärt das zuerst mit
den Verantwortlichen Wesen und ruft
nicht die Security den Himmel oder das
awareness Team
an zumindest und selbst wenn ihr das mit
versucht mit den zu klären ihr kommt zu
keinem Kompromiss ruft immer noch nicht
den Himmel und das awareness Team an
weil die können euch nicht helfen aber
ihr könnt dann die auf dem Deck die 110
auf jeden Fall wählen bitte nicht auf
mobil
Telefon ansonsten möchte ich auf darf
hinweisen dass am Sonntag keine
müllabholung gibt das bedeutet wenn ihr
Müll habt der heute schon ab also morgen
früh schon abgeholt werden kann dann
schmeißt i doch bitte heute schon weg
das wäre echt
super gut dann freue ich mich total hier
Vikor und Jannick auf der Bühne zu haben
die beiden beschäftigen sich mit IT
forensic victtor arbeitet bei Reporter
ohne Grenzen und janniik ist beschäftigt
sich auch damit und ist Aktivist ich
arbeite da auch ach du arbeitest da auch
WoW
was du alles machst auf jeden Fall
sie machen viele unterschiedliche Dinge
und arbeiten beide bei Reporter ohne
Grenzen ähm ich freue mich sehr auf
ihren Vortrag zivile Forensik gegen
staatliche Überwachung von
Journalistinnen und geb ihnen die Bühne
frei und ihr gebt ihnen einen
wunderbaren
Applaus
danke
ja danke für die Einladung
äh wir erzählen heute mal so ein
bisschen was wir tun wenn wir
arbeiten und ich glaube der Titel von
dem Vortrag war sowas wie zivü Forensik
gegen staatliche Überwachung in der Art
und den Vortrag werden wir in zwei Teile
teilen und zwar zum einen werden wir
euch erstmal einen Überblick geben warum
unsere Erfahrung nach die
Sicherheitslage von Journalisten oft
relativ schlecht ist und dann werden wir
vorstellen was wir dagegen tun und was
man dagegen tun kann
ein kurzer Disclaimer ganz am Anfang
Reporter und Grenzen ist eine NGO und
hat ein relativ präzises Mandat und zwar
Menschen zu unterstützen die wegen ihrer
Tätigkeit in der sie Journalismus machen
von staatlichen Akteuren angegriffen
werden das heißt auch wenn es technisch
große Parallelen gibt können wir z.B
nicht aktiv werden wenn
AktivistInnen Probleme mit digitalen
Angriffen und digitale Sicherheit haben
allerdings sind wir natürlich trotzdem
in diesen Themen drin
und genau vieles davon kann man
übertragen was wir gleich erzählen aber
nur so als Disclaimer das was wir was
Reporter Grenzen macht hat eine klare
Ausrichtung ist nur für Journalistinnen
gedacht ja jetzt fange ich mal an so die
Landschaft zu skizzieren auf die wir da
treffen wenn wir uns die die gener die
global die Sicherheitslage von
Journalistinnen angucken
ähm vor allem könnte man sagen wir
stecken mitten in der Digitalisierung
und da ist manches gut gelaufen und
vieles schlecht und es gibt einfach
viele Sachen die nicht so ganz optimal
sind
und das ist jetzt der erste Teil dass
ich einfach mal so eine Skizze werfe von
was da alles nicht so gut ist ein
Problem ist z.B dass
immer wieder staatliche Akteure auf Zero
days stoßen und dann gibt's ein Loch im
staudarm und das Problem ist dass
staatliche Akteure oder die allermeisten
und die allermeisten Staaten aktuell
anstatt das Loch zu schließen sagen geil
da ist ein Loch suchen wir nach noch
einem nach noch einem und das macht die
ganze Welt eher unsicherer als sicherer
und das ist inherent ein politisches
Problem was man können wir in unserem
Wirken überhaupt nicht beeinflussen und
verändern aber das führt dazu dass die
Situation eher schlechter als besser
wird und dass wir eher uns weiter
Entfernen von einer Situation der wir
besonders gut
Geräten mit dem Quellenschutz vertrauen
kann
dann haben wir das Problem dass
cloudofice Anwendungen immer weiter
verbreitet sind und in vielen Fällen
auch eigentlich ein relativ gutes eine
relativ gute Idee sein können aber
natürlich gibt es immer die Situation
dass deine Daten irgendwo anders legen
auf dem Computer von irgendwelchen
anderen Menschen von dem Unternehmen und
natürlich kann man diesem Unternehmen
nicht vertrauen dass wenn dann
staatliche Akteur wenn der staatliche
Stellen ankommen dass sie sagen nö die
Daten kriegt er nicht weil die machen
den Verdiener mit Geld natürlich werden
die sagen ja klar kriegt ihr und je
nachdem welche staten dann Fragen
entstehen dann schnell Konstrukte in den
das dir doll auf die Füße fallen
kann auf der anderen Seite ist das
natürlich auch nicht
unaufwendig Infrastruktur selber zu
betreiben selber zu hosten da braucht
man irgendwie itteam und bist du
erstmal
selbstgehostete eigene Infrastruktur auf
dem Level hast dass das auch sicher ist
dass das auch gepatcht wird dass das
gewartet wird
brauchst auch wieder relativ viel
Knowhow und Personalkapazitäten und Geld
und das ist glaube ich auch eine Sache
die wir aus unseren unserer ersten Jahr
Beratungserfahrung erzählen können dass
das immer wieder daran scheitert dass
Menschen wissen okay eigentlich wäre das
nicht also eigentlich ist es nicht so
geil dass wir hier Google Docs für alles
benutzen oder irgendwas anderes aber es
geht irgendwie auch nicht so richtig
anders weil das Geld und die Ressourcen
halt nicht dafür da sind das sauber
selber zu hosten
und das führt einfach zu Dilemmata die
oft nicht richtig gelöst werden können
natürlich gibt es
geopolitisch kann man dann immer
überlegen ne je nachdem wo das
Unternehmen sitzt und je nachdem wo der
Staat sitzt der da vermeintlich anfragt
werden die eher antworten oder nicht
kann man dann irgendwie Vermutungen
anstellen ob die dann richtig sind ist
natürlich auch nicht klar und dann ist
auch wieder die Frage möchte man
riskieren dass man sich mit diesen
Vermutungen RT aber das macht es auf
jeden Fall kompliziert dann ist merkt
das ist eigentlich alles total Grund
Legend aber das sind die Sachen die in
der Realität die großen Probleme sind
die generelle digitalhygiene ist einfach
weiterhin schlecht also die generellen
Aspekte mit das Menschen wissen sichert
Updates zu installieren starke
Passwörter zu benutzen einfach so was
jetzt niemanden hier irgendwie
überraschen kann aber dass die
Versorgung ich sag mal die
Grundversorgung mit diesem Basiswissen
in der Breite der Gesellschaft
ähm merken wir immer wieder äh tauchen
uns immer wieder sehr alte Handys auf
die schon lange keine Sicherheitsupdates
mehr kriegen oder wieder verwendete
Passwörter und sowas also das ist immer
noch eine Front und das kriegt man
natürlich auch nicht mit der einen guten
technischen Idee gelöst sondern
vermutlich für mehr besseren sicheren
digitalen Journalismus weltweit ist es
mehr eine Sache von auch Training und
awareness und immer weiter daran
arbeiten sind alles keine neuen Probleme
sich zu überlegen wie man es schafft
Menschen das zu erklären dass das
wichtig ist Menschen zu empowern und
auch einfach diese Dilemmata irgendwie
zu navigieren von eigentlich
selbstgostete Infrastruktur aber die
muss dann natürlich auch geil sein aber
die darf nicht zu teuer sein und dann
wird's sehr schnell sehr
kompliziert dann haben wir ein Problem
in der Welt wie sie gerade ist dass
Spyware käuflich ist also man kann
einfach als staatlicher Akteur kann man
so Unternehmen geben und da gibt es auch
viele und sagen hey wir würden gerne aus
Sicherheitsgründen müssen wir hier mal
Leute hacken habt ein paar hab so ein
statreu S Service Angebot für uns und
dann sagen die ja klar kostet x und
verkaufen wir das die bekannteste Firma
ist vielleicht die nSo
Group es gibt aber auch viele andere die
in vielen Fällen auch eigentlich ein
Interesse dran haben dass sie gar nicht
so bekannt sind
weil ja irgendwie die oft in der in der
presseöffentlichkeit gar nicht also die
allergeilsten Jungs gesehen werden
aber das ist halt trotzdem Problem dass
im Prinzip Leute die Geld dafür haben
kommen daran und das die stellen das
eigentlich auch immer sehr blumig auf
ihren Websites da hey hier ne genau
datafow BA so Exploits die sagen dann ja
ja genau kommt zu uns und wir optimieren
eure Exploits machen die richtig sicher
und alles
prima was noch ein größeres Problem ist
das jetzt gar nicht die Remote Situation
dass forensic Tools um Handys
aufzumachen noch leichter verkäuflich
sind also da gibt's wirklich auch gibt's
im Prinzip Listenpreise und Kataloge wo
man sagen kann ja ich hätte gerne hier
einmal irgendwie dieses Handy aufmachen
die sagen dann natürlich ja die die ganz
heißen Exploits gehen nur an staatliche
Akteure und vielleicht an besonders
geprüfte Unternehmen aber letztlich wenn
Menschen Geld haben ist es vermutlich
sehr wahrscheinlich dass Leute da dran
kommen und das heißt spätestens wenn
eine Person physisch verhaftet wird in
der das Gerät abgenommen wird ist es
sehr wahrscheinlich
dass staatliche Akteure das auch machen
können und z.B die Identitäten von den
Quellen erfahren können was dann
wiederum natürlich ein riesiges Problem
ist für Zug üntige Quellen weil die dann
halt denken nö das erzähle ich jetzt
nicht weil ich ne dann nicht dran glaube
dass meine Identität geschützt werden
kann und das einfach also ich glaube
muss man noch kann man noch mal kurz
irgendwie Inhalten was für eine
scheiituation das ist dass wir
eigentlich nicht die Möglichkeit haben
mit normalen Geräten mit dem wir so
rumlaufen da Sachen vor starten die
stark in die Pressefreiheit eingreifen
und auch sonst Regeln überschreiten gut
genug schützen zu können und es auch
keinen easy way out gibt weil einfach so
viel Geld in die Entwicklung von
Exploits gesteckt wird und es so häufig
passiert dass Exploit entwickelt werden
die dann aber nicht gemeldet werden also
Schwachstellen sondern eben weiter
verkauft und das wird zu
Problemen ein weiteres Problem ist wir
haben das das naiv paranoidpektrum
genannt oder naiv übervorsichtig könnte
man es auch diplomatischer
formulieren es gibt ja im Prinzip pro
Sicherheitssituation gibt es ja ein
Spektrum von wie kann man sich jetzt
damit fühlen also das eine ist ja so die
empirische faktische Situation und das
andere ist dann wie fühle ich mich wie
vorsichtig bin ich
und dann gibt es im Prinzip gibt es
eigentlich erstmal zwei Enden und zwar
das eine ist völlig naiv und bläubig zu
sag ach ja warum sollten sie denn mich
angreifen das andere ist mega
übervorsichtig zu sein und dann gibt es
im Prinzip noch so eine Abzweigung das
ist der Fatalismus der uns auch oft
begegnet das sind so ein bisschen
Menschen
wo in vielen Fällen sie selber oder auch
ihr Umfeld alle mit nSo Pegasus
hochgenommen wurden und die sind so was
soll ich denn machen so kriegen eh alles
bin sowieso überwacht seit 5 Jahren
keine Chance und die haben es im Prinzip
einfach aufgegeben was auch einfach
gefährlich ist und genau die die
überfüsichtige Seite sieht so aus dass
Leute im Prinzip keine das Handy wird
mal warm und so okay scheiße ich wurde
gehackt das Gefühl haben sie müssen
jetzt was tun und das ähm ist natürlich
auch nicht gut weil erstens geht's der
Person dann nicht gut weil sie sich
Sorgen macht obwohl das Handy nur kurz
mal warm geworden ist plus dass wenn man
z.B jetzt in die Breite sagen würde als
wir falls ihr gehackt wurdet kommt zu
uns dann kommt man in so ein volls
positive Paradoxon dass ich natürlich
viel mehr Menschen melden wo das Handy
mal warm geworden ist als Menschen
melden wo es ein tatsächlich ein Angriff
gehab
das macht so ein bisschen das in die
Breite offen allen alles anbiet macht es
kompliziert die naive Seite sind so
Sachen von ich bin noch gar nicht
wichtig oder die überwachen mich eh
komplett und das Problem ist das ist
alles nicht gut also alle alle Ecken ich
meine im Leben die die der die die
goldene Mitte liegt immer irgendwo
dazwischen das ist führt alles zu
gefährlichen Sicherheitsentscheidungen
könnte man sagen die über in die
Übervorsichtigkeit kommst du irgendwann
in die Arbeits Arbeitsunfähigkeit wirst
du irgendwann
handlungsunfähig in der Naivität wirst
du total ungeschützt im Fatalismus wirst
du ungeschützt und gehst davon aus dass
du ungeschützt bist und das Ideal wäre
irgendwo
dazwischen und das der Idealzustand wäre
vermutlich also über Menschen beibringen
wie man Threat Models sich überlegt und
auch die eigene sicherheitsituation
besser einzuschätzen Menschen zu helfen
eher da in der Mitte zu landen von ihrem
Gefühl also weder in
einem Fatalismus noch in ein
Übervorsichtigkeit sondern einer
möglichst informierten na ja vermutlich
sollte ich da jetzt ein bisschen
aufpassen aber es bringt jetzt auch
nichts mir irgendwie 25 Handys zu kaufen
und nach irgendwelchen komplizierten
Systemen der Simkarten durchzurotieren
und der Sicherheitsgewinn ist Null aber
ne so auch nicht gut und was wir leider
auch sehen ist dass es nicht selten
passiert dass Menschen einfach gefahren
als copingstategie ausblenden also dass
ich weiß nicht wie viele von euch schon
mit Menschen zu tun hatten die richtig
heißen Scheiß gemacht haben ich glaube
das ist in manchen Fällen auch einfach
geht's dir besser damit wenn du einfach
sagst ja was da passiert passiert halt
und um so ein klaren Kopf zu behalten
das so ein bisschen auszublenden was
sicherlich auch gar nicht schlecht ist
wenn Menschen dadurch handlungsfähig
werden und bleiben aber natürlich auch
dazu führen kann dass sie
ja dann entsprechende Schutzmaßnahmen
nicht
treffen die eigentlich angewen
angemessen gewesen
wären dann haben wir noch ein großes
Problem dass ist oft
oh
stimmt ja genau ich mache weiter wir
bleiben aber bei Problemen
und genau gerade im Journalismus ist es
so dass es ganz unterschiedliche
Arbeitsstrukturen gibt wenn ihr so eine
Zeitung aufschlagt denkt ihr eigentlich
im alle die da was schreiben die sind da
bei dieser Zeitung angestellt und haben
ganz normalen Vertrag es ist aber so es
gibt extrem viele Selbständige
JournalistInnen heißen dann ofreie
Journalistinnen und die schreiben mal
hier mal da und die sind ebeno wie auch
it Freiberufler arbeiten die also die
kümmern sich selber um Ihre Hardware und
um Ihre IT Security und wo man woanders
vielleicht ein ganzes Team für so eine
Aufgabe hat muss das alles eine Person
machen und ähm ja das funktioniert dann
oft eher schlecht so und ähm äh genau
wenn man irgendwie wo angestellt ist
dann kriegt man eben z.B dienstlaptop
gestellt ein Diensthandy und das sind
dann schon meistens gute moderne
aktuelle Geräte da werden dann meistens
die Updates
installiert wenn es richtig
professionell ist sind die Geräte in
mobile device management integriert dann
kümmert sich ein Admin darum dass die
Updates installiert werden und eventuell
kann man dann sogar als User gar nicht
weitere Apps installieren die
vielleicht surface area für Exploits
wären und das funktioniert schon ganz
gut das hat auch manchmal Probleme weil
wenn ich keine eigenen Apps installieren
kann und meine Quelle will aber jetzt
unbedingt über Messenger x mit mir
kommunizieren und kann ich nicht
installieren außer ich Frage irgendwie
das itteam und das Ticket zu bearbeiten
dauert dann 3 Wochen dann ist die heiße
Info schon wieder weg und dann passiert
es natürlich oft dass Leute irgendwie
ausweichen ihr Privathandy benutzen und
dann so Sachen vermischen das
funktioniert auch überhaupt nicht gut
aber an sich wäre das gut und die gute
Lösung dafür wä eigentlich da haben wir
auch schon mit IT Teams geredet dass es
spezifische Konzepte gibt für
investigativrechercheeteams die
vielleicht auch extra Geräte kriegen und
da muss dann auch nicht m Windows
installiert sein und weiß ich nicht da
macht man sich einfach mehr Gedanken
m und das wäre natürlich gut
m ja das Problem vor allem bei
Selbstständigen ist wie funktioniert
incidence response
das geht eigentlich gar nicht so die
Leute haben eigentlich fast nie ein
Konzept so sie denken halt so oh scheiße
meine Quelle ist aufgeflogen vielleicht
wurde ich gehackt und ich habe
vielleicht andere Indikatoren zu
Indikatoren dazu kommen wir auch noch
aber was mache ich jetzt
und dann sind das vielleicht wir aber
ohne das gibt's dann kein System und das
natürlich schlecht und da müsste es
eigentlich bessere Lösungen für geben ja
ein großes Problem da draußen ist wir
haben sehr viele ungepatchte Geräte das
ist jetzt hauptsächlich da in diesem
selbständigen Bereich den ich euch eben
gezeigt habe
und ja ihr seht hier die Verbreitung von
androidvion von Android 4 bis Android 11
ich erinnere mich auch noch an Android 4
das war echt lange her aber da laufen
immer noch Geräte draußen rum die haben
das installiert und rechts seht ihr wann
diese androidvsion keine
Sicherheitsupdates mehr gekriegt haben
also alles ab Android 10 ist end of life
und
potentiell ja einfach exploitable und
von außen übernehmbar und das sind jetzt
so wenn man zusammenrechnet ca 30% aller
Handys ja also das ist auch global sehr
unterschiedlich dann natürlich ist es
schwieriger mit einem
Einkommen weiß ich nicht in im Sudan als
Journalist in sich ein neues Gerät zu
kaufen als in Deutschland und wir
arbeiten mit journalisen in der ganzen
Welt zusammen und
ja aber 30% ist einfach viel zu viel das
ist eine völlige Katastrophe und bitte
bitte verwendet keine Handys die keine
Sicherheitsupdates kriegen und lasst
auch eure Freundinnen bitte nicht solche
Handys verwenden und wir sind bei Bitz
und bäum es geht auch um Nachhaltigkeit
ich finde das auch immer echt furchtbar
aber man kann diese Geräte halt leider
wirklich nur noch verwenden für
irgendwelche anderen Projekte wie z.B
gab's mal so vogelbeobachtungs Projekte
wo man al Smartphones Spenden konnte das
ist eine gute Lösung aber aber sonst
muss man die leider einfach entsorgen
und das ist einfach nicht verantwortlich
m genau hier hatte noch mal jemand
geschätzt es sind sogar 40% das ändert
sich natürlich
Android 11 wird's auch nicht wird auch
nicht ewig unterstützt werden und
genau das Problem sind eben die
Hersteller von den Smartphones die
teilweise nicht lang genug m Updates
bereitstellen ein weiteres Problem ist
weniger ein IT Sicherheitsproblem aber
wollten wir auch einmal drauf hinweisen
ist
digitale Gewalt äh gegen Journalisten
gab hier auch eine Studie der Uni
Leipzig dass H speech im Internet
zunimmt und statt Geräte zu hacken und
Leute damit an ihrer Arbeit zu hindern
ist es auch oft so dass einfach ja so
hetkampagnen hat speeech koordiniert
wird um unliebsame JournalistInnen zu
stören und
genau dann werden vielleicht auch der
Twitter Accounts gesperrt weil Leute
ganz oft auf melden drücken oder
teilweise passiert do
also werden private Informationen
geliegt genau und das führt natürlich
auch dazu dass Leute ihre Arbeit
einstellen oder sich mehr damit
beschäftigen als mit der Arbeit die sie
eigentlich machen wollen und wenn euch
das mehr interessiert dann bleibt i
einfach sitzen um 17 Uhr spricht an rot
zu digitale Gewalt die ist auf jeden
Fall die bessere Expertin als
wir genau aber wir kommen jetzt auch mal
zu unseren Gegenmaßnahmen was wir machen
digital Security Lab haben wir im
letzten Sommer gegründet und man kann
sich einfach an uns wenden wenn man
denkt man wurde einem digitalen Angriff
ausgesetzt hauptsächlich suchen wir eben
nach statsroanern aber teilweise auch
andere Sachen wie mein Account wurde
übernommen und ich weiß nicht wie das
passiert ist ich hatte sichere
Passwörter etc und die Sache warum wir
das machen ist dass ja digitale Angriffe
wie z.B ich hab statstroyana auf dem
Handy das ist eigentlich unsichtbar das
bekommst du ja nicht mit sondern du
merkst dann erst vielleicht so oh
scheiße meine Quelle ist aufgeflogen und
wurde verhaftet oder sowas und ähm weil
das so im Verborgenen geschieht
versuchen wir eben durch it forensic
Berichte zu schreiben das öffentlich zu
machen und nachweisbar um dann eben auch
die Verantwortlichen dafür m ja zur
Verantwortung zu ziehen zu kritisieren
und
das hat man nach dem pegasuspjekt wo wir
jetzt nicht beteiligt waren unds gibt's
erst danach
auch sehr gut gesehen dass die nSo Group
jetzt eigentlich keine gut angesehene
Firma ist also wenn man da jetzt
arbeiten würde und jetzt zum Camp kommt
dann weiß nicht würde man sich schon
schämen und vielleicht rausgeschmissen
werden und darum geht's und deswegen
machen wir das und
natürlich wollen wir auch
schauen dass andere das leichter machen
können und dann suchen wir z.B
sogenannte indicators of compromise also
Datenpunkte die man forensisch auf
Geräten finden kann um dann leichter
nachzuweisen ja das ist ein statsrner
und da gibt's so Beispiele von anderen
z.B gab's mal einen Exploit der hat so
funktioniert dass man kalenderinite
bekommen hat und dann hat äh die die
kalenderapp halt einen BU gehabt und
dadurch konnte man die kalenderapp
übernehmen und dann am Ende irgendwann
stadser aufspielen und alle diese
Kalendereinträge die waren halt zu
irgendeinem Datum weiß ich nicht 1985 1
Mai 18 Uhr und wenn man dann so ein
Kalendereintrag hat dann weiß man oh ich
habe ein statsroana und solche
indicators of compromise teilt man dann
in der IT security Community und dann
muss man vielleicht gar nicht so einem
digital Security Lab gehen sondern kann
das einfach selber machen und
leichter stadzaner finden und noch
besser wäre es natürlich wenn wir dann
solche Zero days also unveröffentlichte
Sicherheitslücken finden und
nachvollziehenbar können wie die
funktionieren können die an die
Hersteller melden und dann werden die
geschlossen und dann ist die IT
landschaftsicherer für alle was wir auch
mal eine Sicherheitsberatung für
Redaktion und Einzelpersonen also man
kann sich einfach an uns per E-Mail
wenden und wenn man einfach mal ein
Check braucht so hey ich habe hier ein
heißes Projekt könnt ihr mit mir noch
mal durchgehen ob das was ich tue
angemessen ist für meine Bedrohungslage
und ähm dann vermitteln wir Trainer die
das dann machen oder wir machen das auch
selber direkt ähm ein sehr großes
Problem was wir mal haben hier dieses
meme hängt bei uns im Büro weil es
wirklich auch vorkommt ähm wenn die
journalistinen zu uns kommen dann wollen
die eigentlich meistens hören mein Gerät
ist sicher ich kann weiter arbeiten das
ist auch total nachvollziehbar und
logisch aber das geht natürlich nicht
weil wir können halt durch itforense
keine negativen Befunde ähm produzieren
also wir können uns nicht ein Gerät
anschauen und dann sozusagen sagen ja
wir haben jede eins und jede Null
umgeguckt und da war keine mlwert das
geht nicht
und ja es gibt halt auch einfach immer
neue Methoden neue Exploits die
vielleicht nicht bekannt sind man kann
nicht alles angucken oder vielleicht
versteckt sich die Melber einfach so gut
dass es gar nicht möglich ist weil bei
modernen Handys kann ich auch nicht
einfach den Flash auslöten und auslesen
weil die Daten sind verschlüsselt und da
kommt man nicht
ran im Prinzip geht das nicht können nur
sagen wenn wir was finden da war was und
wie ich gerade erklärt habe wollen wir
ja eben melware finden und dann eben
einen Bericht veröffentlichen die Zero
days patchen IOCs veröffentlichen und
die Journalistin wollen aber genau das
Gegenteil also haben wir eigentlich
kommen wir gar nicht so gut zusammen oft
weil wir gar nicht das liefern was die
von uns wollen
aber natürlich macht das schon Sinn wenn
die zu uns kommen wir haben am Ende
beide was davon
ähm genau aber das Fragen die uns dann
immer so so meine Quelle ist sicher ja
kann ich weiter arbeiten so nee muss
trotzdem vorsichtig sein ja m wie
kontaktiert man uns und wann am besten
natürlich wenn man eine hohe
Bedrohungslage hat z.B recherchiert man
zu weiß ich nicht im Kriegsgebiet in der
Ukraine oder so und macht sich da
unbeliebt z.B wurde man auch
festgenommen wenn man festgenommen wird
wird eigentlich immer alle technischen
Geräte abgenommen oder wenn nur die
technischen Geräte beschlagnammt werden
z.B bei der Hausdurchsuchung
wenn man die dann wieder bekommt können
wir uns die angucken weil wenn man
physischen Zugriff hat ist es für
Sicherheitsbehörden natürlich noch mal
deutlich leichter statsrahne
aufzuspielen als wenn man das Remote
machen muss und die Exploits dafür sind
günstiger also wird das eventuell so
auch häufiger gemacht dann gibt's
natürlich noch technische Indikatoren
m das ist aber schwierig also es gibt
dann ebeno Sachen wie mein Akku wird
warm aber das ist natürlich ein
schlechter Indikator weil ich glaube
unsere Akkus waren alle ziemlich warm
hier und können jetzt nicht von allen
vom Camp die Handys
checken aber es gibt natürlich so Sachen
wie deine E-Mailadresse von deinem
Google Account die
wiederherstellungsadresse wurde geändert
oder von deinem Facebook Account oder so
und dann weiß man natürlich wenn man das
nicht war dann war es wer anders und
dann schreibt man uns mal eine E-Mail
und dann gucken wir uns das
an genau also wenn ihr jemanden kennt
der im Bereich Journalismus arbeitet
äh schreibt uns gerne eine E-Mail
lab@reorterohnegrenzen.de oder
mail@lab.rsf.org wenn es keine
journalistinen sind könnt ihr uns
trotzdem fragen vielleicht kennen wir
eine andere NGO die weiterhilft und da
würden wir uns drüber freuen
ähm wieso geht's nicht weiter
ah ja
ähm genau jetzt zum mitmachpart des
Vortrags unser Auftrag an euch gründet
bitte mehr Security Labs ähm wir machen
nur Journalismus und
äh macht doch z.B mal ein Security Lab
für
klimaschutzaktivismus oder weiß ich
nicht das wäre sicherlich auch gut teilt
bitte eure IOC gibt coole Projekte wie
z.B die misp Plattform äh wo es extra
Software und Datenbanken dafür gibt oder
Post einfach irgendwo ins Internet das
hilft äh und bitte haltet gegen gegen so
stadsberner Marketing also es wird ja
massiv Propaganda betrieben zu sagen wir
brauchen staatstrojana weil wir müssen
irgendwie organisierte Kriminalität
bekämpfen oder sowas und das ist ja
überhaupt kein großer
Grundrechtseingriff weil wir machenur
Telekommunikationsüberwachung und
der Blödsinn mit wir nennen das
irgendwie quellent TKÜ quellent TKÜ Plus
oder auch online dururchsuchung oder
solche Späße und habe auch ein Beispiel
mitgebracht Konstantin Notz ist der
netzpolitische Sprecher der grün hat mal
gesagt ähm staatsginner sein wie ein
Seil also so einfach ein Werkzeug und
damit kann man in Deutschland Schiffe
festmachen und den Saudi-Arabien
Dissidenten aufknüpfen und deswegen ist
das in Deutschland beim BKA gut und in
Saudi-Arabien schlecht das ist natürlich
Blödsinn weil für die staatsrer brauchst
du einfach unveröffentliche
Sicherheitslücken die du zuhalten musst
und wenn Deutschland die nutzt dann kann
Saudiarabien die auch nutzen also
statsaner sind wirklich kein Seil er
sind eigentlich eher wie
Massenvernichtungswaffen die man
völkerrechtlich ächten sollte die sollte
es nicht geben und wir sollten einfach
schauen dass die in der Gesellschaft
nicht
[Applaus]
vorkommen genau weiß gerne auch
Strafverteidiger in
daraufhin wenn sie aus Akten sehen dass
eventuell irgendwo ein staatsgner
eingesetzt wurde dann leitet das weiter
an Leute die sich das forensisch
angucken vielleicht finden wir
sicherheitslück vielleicht können wir
IOCs produzieren weil natürlich gibt's
meistens eine Anklage wenn man
staatsiner hatte weil das ist ja in den
meisten Ländern die Legitimation dafür
also zumindest in in Deutschland oder
Europa oder
anderen solchen
Ländern ja wenn ihr noch irgendwie
forensic ExpertInnen seid gerade iOS und
Android dann meldet euch gerne bei uns
wir sind immer an Austausch interessiert
oder wenn
ihr Tipps braucht teilen wir gerne unser
Wissen und sprecht uns da gerne einfach
an warum eigentlich Android und iOS das
ist auch eine unserer Beobachtungen
statstroyana auf Computern wieo damals
als der CCC irgendwie ozapft ist
analysiert hat das gibt's eigentlich
kaum noch weil das macht auch Sinn sich
die Smartphones anzuschauen die Leute
lesen ja auch Ihre E-Mails meistens auf
dem Smartphone und auf dem Smartphone
haben sie sonst auch Daten die sie nicht
auf dem Rechner haben aber andersrum ist
das eher selten
geworden bei uns hier vielleicht nicht
aber so bei JournalistInnen ist das auf
jeden Fall unser Eindruck und deswegen
macht's einfach total viel Sinn die
Smartphones
anzugreifen ja ich glaube das war's und
wir haben noch einen Fragenteil ach so
genau Reporter ohne Grenzen ist ein
gemeinnütziger Verein man kann da
Mitglied werden oder förder Mitglied äh
das unterstützt natürlich unsere Arbeit
und die die Arbeit der Kolleginen und
ansonsten
ähm bisher hatten wir keine
Veröffentlichungen wo wir mal was
gefunden oder analysiert haben aber äh
das holen wir nach bleibt
[Applaus]
gespannt
ja habe ich schon wieder ausgemacht nee
ja vielen Dank an euch beide Jannik und
Viktor für euren Talk für eure Fragen
habe ich hier einen wunderbaren Engel
mit einem Mikrofon nachdem es jetzt eine
größere Menge ist durch die es schwierig
ist immer drüber zu stolpern wä es total
lieb wenn ihr zu diesem Engel hingehen
würdet und euch in eine Schlange
anstellt falls ihr es mehr als eine
Person Fragen hat um diese dann in das
Mikrofon zu sprechen damit auch das
Internet was hat von euren
Fragen wie viele Leute seid ihr in dem
Lab und wie viele klientinen hattet ihr
jetzt seit Ihr
existiert also wir sind drei Leute
aktuell und wir haben gerade auch ein
paar Stellen ausgeschrieben für
werkstudierende die uns bei der Arbeit
unterstützen schaut euch die gerne auf
der Website
an genau wie viele Fälle hatten wir das
hast du neulich erst beantwortet ja das
kann wir also das ist immer die Frage
wie man das definiert wir kriegen von
relativ vielen Menschen
Daten das hat sich auch erst so ein
bisschen also wie gesagt wir haben
letzten Sommer hat das alles erst so
langsam angefangen das steigt
dreistellig ist es auf jeden Fall aber
ist halt die Frage wo man an wenigen
Fällen
gucken wir un Sachen dann sehr tief an
und in vielen Fällen guckt man sich
Sachen an und ist so okay da ist jetzt
haben wir keine Indikatoren wir wissen
nicht wonach wir suchen sollen und dann
ist es nicht so spannend davon gibt es
relativ viel
ähm wenn das Android veraltet ist wie
sehr kann man sich auf den Custom R
verlang
verlassen das ist eine sehr gute Frage
ähm die Antwort ist leider wenig
also ne gerade der Nachhaltigkeitsaspekt
man liest auch oft wenn ihr keine
Updates mehr kriegt könnt ihr irgendwie
linage installieren und dadurch das
länger benutzen
das stimmt leider nur bedingt weil du
ähm die Betriebssystem Updates dadurch
kriegst und da werden natürlich auch
Sicherheitslücken geschlossen aber was
du nicht kriegst sind also in fast allen
Fällen sind Updates zu den Treibern weil
da eigentlich z.B wenn du ein soock von
qualcom kaufst dann sagt qualcom halt
wir machen 3 Jahre Updates und danach
ist halt nicht mehr und wenn es dann da
ein Bug gibt dann hast du eigentlich
eher nur das also dann steht da zwar ein
Security Update Level in deinen
Einstellungen aber eigentlich ist es
nicht richtig
da hi ich hätte auch noch eine Frage zu
dem Thema habt ihr Erfahrung mit den
einzelnen Herstellern ob die Updates
zurückhalten oder einzelne Hersteller
Updates länger
ausspielen also du meinst dass ein
iPhone das ein Smartphone herersteller
ein Update zurückhält weil ein
staatlicher Akteur die Sicherheitslücken
ausnutzen will nein also ich meine mehr
dass wenn ich jetzt z.B eher billiges
Smartphone kaufe dass dann der
Hersteller das qualcom Update einfach
nicht ausliefert weil es teuer kostet
Geld muss geportet werden und so weiter
es ist ein sehr diverser Markt und das
läuft in sehr vielen Fällen relativ
schlecht und die Empirie zeigt ich hätte
es nicht gedacht dass ich mal auf einer
bitzen bräumisch Bühne stehe und gutes
über dieses Unternehmen sage aber dass
die google macht das ziemlich gut Google
iPhone Samsung oneplus sind glaube ich
so die Spitzenreiter an wir liefern
lange
Updates so gibt es weitere Fragen
ja eine interessante Frage hätte ich
vielleicht noch ihr habt das Problem mit
den freien JournalistInnen angesprochen
die ja ihrer Hardware selber managen
habt ihr auch mal in Internet Router
geschaut also die sind ja in Deutschland
überall im Einsatz und da gibt's nicht
so viele Modelle die voneinander
abweichen weil ein Hersteller den Markt
ja ganz schön dominiert und das sehe ich
persönlich immer auch als möglichen
Angriffspunkt habt ihr da schon mal
irgendwie Untersuchung
unternommen war bis jetzt kein also bis
jetzt sind uns da keine Fälle
aufgetaucht und das ist natürlich auch
deutlich weniger heiß als das Smartphone
weil das Smartphone ist ja
typischerweise das gesamte digitale
Leben drauf wenn du Router aufmachst
dann hast du in einem langweiligen home
Setup hast halt ein man in the midle
Angriff das ist also ganz andere Skala
an
explosion ist bis jetzt uns nicht
aufgetaucht dass es da irgendwie
Indikatoren für
gab so ich betrachte euch scharf und
zähle in meinem Kopf bis drei ah ah
Bewegung scharfes Anblicken hat
geholfen ich h noch eine Frage wie weiß
ob wir das Sagen dürft gibt's jetzt
gewisse Staaten die was jetzt wo öfters
halt so trjaner findet
also ganz allgemein kann man sagen dass
die staatsrojaner Verteilung der Welt
sehr ungleich ist also das ist das ist
auch so ein bisschen so eine Sache wir
sind ja sitzen ja in Deutschland und was
bei uns oft fällt ist die Phrase
Deutschland ist kein staatstreu Land
weil jetzt im internationalen Vergleich
das doch recht selten in Deutschland
angewendet wird und passiert und in
anderen Ländern sehr sehr viel häufiger
das ist natürlich auch das sind
interessante vorausbedingungen für um
jetzt auf die Jagd nach statstreuanern
zu gehen mit einem riesigen Dunkelfeld
weil du kannst also n kannst immer nur
so von so kleinen Dingen wo du irgendwas
gefunden hast kannst du ein bisschen
hoch schätzen sagen ah ja da haben wir
zehn Fälle gefunden aber ich glaube alle
sind sich eigentlich einig dass das
Dunkelfeld riesig ist sicherlich auch
bei Android
Überwachungssoftware das Dunkelfeld
riesig ist und eigentlich hat niemand
irgendeine Ahnung und es kann auch
niemand irgendeine seriöse Statistik
Aufstellen von welche Länder sind jetzt
hier die dollsten natürlich gibt es dann
Reports und dann kann man zeigen okay
hier wurden Sachen
eingesetzt aber es ist sehr
wahrscheinlich dass es da draußen do
noch deutlich mehr
gibt hi ich habe zwei Fragen und zwar
ähm welcher ihr habt ja verschiedene
Hersteller wahrscheinlich schon auch
untersucht könnt ihr das immer
rausfinden welcher Hersteller sozusagen
Spyware Hersteller ähm ihr untersucht
der ihr quasi findet und die anschließen
Frage welcher m Hersteller also nSo
haben wir jetzt schon gehört m und ein
paar andere welcher ist der böseste wenn
man so
will ja also das
ähm das fällt mir jetzt schwierig die
gegeneinander
aufzustellen der kompetenteste
vielleicht der gefährlichste vielleicht
ja ja ich nee also die die sind
natürlich alle schon mal auf der
äh intern Anti internetfreiheitsskala
schon mal ganz da oben weil sie halten
Hal Sicherheitslücken zurück und die
sollte es einfach nicht geben ich glaube
das macht nicht so viel Sinn und auch
wenn eine Firma geschlossen wird oder
wenn jetzt z.B die USA kauft nicht mehr
bei nSo ein weil gegen usstaatsbürger
benutzt wurde dann kaufen Hal wo anders
ein das ist im Prinzip egal ne also
irgendwer baut das Zeug wenn es Staaten
gibt die das Kaufen und
genau zur Frage ob man das Analysieren
kann von V welchem Hersteller das war
ähm spannend ist ja vielleicht auch
welches Land hat mich gehackt
das eigentlich spannender als der
Hersteller meistens glaube ich aber das
geht halt immer nur bedingt weil
natürlich kann ich ja äh die Spuren die
ich hinterlasse bewusst so äh legen dass
man denkt es sei W anders gewesen also
z.B kann ich ja kürillische Zeichen
irgendwie in meinem Sourcecode verwenden
das heißt dann ja aber natürlich nicht
dass es in Russland war oder man sieht
dann oft in Reports auch ähm ja das
wurde irgendwie zu da war irgendwie 10
Uhr früh in dem Land deswegen war da
Arbeitszeit und nachts wird nicht
gehackt oder so weiß ich nicht muss ich
mich hier nur abends am Camp umgucken
ist Quatsch aber manchmal kann man
educated guest geben
aber manchmal auch nicht also es gibt
manche
Fälle wo dann einfach Leute witzige
Sachen machen z.B ich glaube es gab eine
Situation wo Amnesty ein Report
veröffentlicht hat wo Sie eine Liste an
Domains getrackt haben und am Tag danach
sind die alle offline gegangen so und da
konnten sie dann halt durch diese
Kausalkette relativ gut zeigen okay wir
haben hier diese dieses diese diesen
Satz an Handys die haben alle E-Mails
gekriegt oder SMS gekriegt mit diesem
Link in dieser Domain und wenn die alle
nach unserem Report offline gehen dann
haben wir uns vermutlich nicht geört so
dass da kann man Glück haben aber it
depends ich wollte noch fragen Android
und iOS also Google und Apple brüsten
sich ja auch damit mobil also
Journalistin zu schützen und da zu
unterstützen und geben ja auch forensic
Toolkits raus werdet ihr von denen
direkt unterstützt oder läuft da keine
Kooperation also das Problem ist das ist
eigentlich immer in einem
Kräfteverhältnis zwischen privacy und
forensic weil für uns natürlich
teilweise es interessanter wäre mehr
mehr Daten aus den Geräten rauszukriegen
um besser zu verstehen was da in der
Vergangenheit passiert ist und natürlich
ist auch je mehr Daten ein Gerät
aufzeichnen was in der Vergangenheit
passiert ist desto besser kann Polizei
die da Daten rauskratzt nachvollziehen
für Strafverfolgung was in der
Vergangenheit passiert ist das ist so ne
das wird sich glaube ich nie auflösen
ähm ich würde sagen es ist okay ähm
obwohl wir aktuell schon aus also bei
iOS Geräten deutlich besser in die
Vergangenheit gucken können als bei
Android Geräten und da kann man
natürlich hoffen dass sich das
vielleicht in Zukunft noch mal verändert
aber ähm da ist da sind glaube ich noch
Potenziale das
privacy freundlich
Daten die sehr wenig mit
Nutzungsverhalten zu tun haben aber sehr
interessant sind für eventuelle
Kompromittierung die irgendwie länger
aufzuheben also was es gibt wo man sich
bei Apple für bedanken kann ist der
Lockdown Mode bei iPhones wenn ihr ein
iPhone habt macht das an M das also man
hat oft bei wenn man Apps oder
Betriebssystem entwickelt so eine
Entscheidung die man treffen muss
zwischen Sicherheit und Schnelligkeit
oder oder
komfortablen Sachen und z.B der jtin
time JavaScript Compiler im Browser auf
iPhones wird dann deaktiviert dadurch l
Webseite ein bisschen langsamer aber man
hat deutlich weniger
angriffsoberfläche und was Apple auch
schon gemacht hat ist dass sie bei
iPhones die Lockdown Mode enabled hatten
die Leute informiert haben als sie dann
mitbekommen haben dass jemand versucht
hat einen Exploit einzusetzen der dann
fehlgeschlagen ist und das natürlich
super weil dann können die Leute sagen
oh ich geh zu Reporter ohne Grenzen und
die machen dann eine forensische Analyse
und können mir genau sagen was ist
passiert wissen ja alle man soll nicht
einfach irgendwas aus dem Internet aus
seinem Gerät installieren jetzt ist aber
auch so Dinge die wir jetzt häufig für
besser halten sowas wie der afdroid
Store letztlich was wo irgendjemand
Dinge hochlädt sein wir ehrlich wer
liest schon den ganzen
Quellcode wie sehr ist das ist das etwas
das genutzt wird oder etwas D man also
ich installiere manchmal schon so
fröhlich drauf los aus demore Store und
ich glaube ich bin nicht
alleine ist das etwas wo man vorsichtig
sein muss oder ist keine Ahnung die
offiziellen Stores immer noch
gefährlicher ich würde nur kurz
reingretchen um zu sagen dass wir die
drei Personen die da stehen noch
abarbeiten und ansonsten die Frage Runde
schließen ich glaube da sind wir fast
nicht die ganz richtigen für diese Frage
das ist ja eher so eine sehr allgemeine
Frage die länger diskutiert wird so ähm
äh wer liest wirklich Sourcecode von
Open Source Apps und wenn wir dann gerne
sagen ja da könnte man lesen und finde
die Sicherheitslücken in der Praxis
passiert das ja teilweise dann auch
nicht ich glaube hartbled war so ein
großes Beispiel wo irgendwie der Bug da
eigentlich jahrelang eben im
öffentlichen scode war und dann hat halt
keiner gefunden ähm also du hast
natürlich trotzdem appsandboxes
auf Android z.B und aber ja wenn wir uns
so im Bereich Journalismus umgucken dann
muss man auch sagen es wird wenig Open
Source Software eingesetzt so von
Anwendungssoftware
ja genau es gibt Leute keine Ahnung
benutzen Outlook haben die Adobe Suite
um irgendwie Layout zu machen wie man
sich das so vorstellt
ne ja hallo soweit ich informiert bin
ist Journalismus oder Medien in
Deutschland ja kritisch und damit ab
einer bestimmten Größe reguliert oder
ähm okay ich wollte fragen was aus
regulatorischer Sicht ob das eher das
was bisher läuft ob ihr das für
hilfreich haltet und me es gibt viele
kleine
also über die überwiegende Anzahl an
Medienunternehmen werden irgendwelche
kleinen Zeitungen Radiosender was weiß
ich was sein
oder eben ein Herscharen von äh freien
JournalistInnen äh da greift das
vermutlich nicht
ähm also regulatorisch habt ihr habt ihr
euch damit beschäftigt was es gibt und
was es geben sollte könnte und ob das
hilfreich ist also das ist auch nicht
unser scope also das da da wirst du ein
großes Unternehmen mit einer großen IT
und dann ist ja im Prinzip egal ob du
Journalismus machst oder was anderes ähm
wir sind mehr auf diesem
Einzelgeräte Zero days sowas unterwegs
und
ja es schien vorher so als wenn ihr sagt
freie sind meistens miserabel geschützt
und fest angestellte ziemlich gut ich
habe beide Hüte auf ich bin mal frei und
mal auch festangestellt und mein Gefühl
ist dass ich in meinem Festangestellten
Verhältnis angreifbarer bin weil ich
doch auch abhängig bin von dem
Sicherheitsverhalten meiner Kolleginnen
und Kollegen und auch davon ob die it
also und die Erfahrung ist it in großen
Häusern reagiert halt auch extrem
langsam wenn man sagt hier ist irgendwas
komisch also da muss man schon echt
hinterher
sein habt ihr so was mit berücksichtigt
in dieser Analyse oder also würdet ihr
tatsälich sagen freie sind schlechter
geschützt also das in einer Absolutheit
hier zu sagen würde ich mich niemals
trauen das sind mehr so Erfahrungswerte
von Dinge die häufiger mal passiert
natürlich ist das viel komplexer als so
pruschal zu sagen das ist so das ist so
die IT in einem großen Haus die kann
richtig gut sein die kann auch schlecht
sein Einzelpersonen können richtig gut
wissen was sie tun
Einzelpersonen können 10 Jahre das
Android Handy benutzen oder andersrum
gefragt habt ihr die seh ja auch Fälle
dass eben Angriffe durch ein Netzwerk
von dem Unternehmen kommen und dann bei
einem einzelnen raus es ist wirklich
eher so mein Handy ist im Fokus und egal
ob ich das privat habe oder über ein
Verlag wird halt nur daran
gearbeitet also mir wärden jetzt keine
Fälle und Angriffe der letzten Zeit
bekannt wo über ein Angriff auf das
Gesamtnetzwerk dann Zugriff auf Daten
die eigentlich nur auf einem einzelnen
Geräte liegen
sollten passiert sind okay danke dann
verändert sich mein Gefühl vielleicht
vielen
Dank gut dann vielen Dank unsere Zeit
hier ist abgelaufen bitte noch mal ein
herzlichen Applaus für unsere beide
Speaker Viktor und
[Applaus]
Jann