Datenschutz mit Sicherheit verwechseln: Der fatale Irrtum

Auf einem Langstreckenflug habe ich kürzlich die Gelegenheit genutzt, um eine, offen gesagt, wahnsinnige Menge an Podcast-Episoden zu verschlingen. Mit so vielen verschiedenen Serien auf dem Laufenden zu bleiben, bedeutet, dass ich nie zu wenig zu hören habe, mit fesselnder - wenn auch einseitiger - Konversation, die nur eine Berührung meines Telefondisplays entfernt ist.

Schließlich landete ich bei einer Folge des Podcasts für wahre Verbrechen, Casefile. Diese dramatische, schonungslose Serie (komplett mit einem bedrohlich klingenden und namenlosen Moderator) beschäftigt sich mit einem Thema, das selbst die sachkundigsten und versiertesten Technologen fasziniert: das Deep Web und der katastrophale Aufstieg der Schmuggel-Website Silk Road. Aufgeteilt in zwei Teile, hätten diejenigen, die mit dem Aufstieg und Fall von Silk Road vertraut sind, zweifellos die Nachrichten über den Fall verfolgt, aber der Podcast enthüllt jedes kleine Detail in einer köstlichen, mitreißenden Erzählung.

Die Seidenstraße: Lektionen aus dem Deep-Web-Kerker

Wenn Sie mit den Vorgängen auf der Silk Road nicht vertraut sind, lautet die Kurzfassung, dass ein Mann eine Handelswebsite im Deep Web eingerichtet hat, die vor den neugierigen Augen der Öffentlichkeit verborgen und ohne spezielle Software - den Tor-Browser, um genau zu sein - nicht einsehbar ist. Die Website bot zunächst nur seine selbst gezüchteten Magic Mushrooms an, doch praktisch über Nacht wuchs das Angebot an Verkäufern, die alles von harten Drogen über illegale Waffen bis hin zu gestohlenen Kreditkartendaten anboten. Hier können Sie sich auf den neuesten Stand bringen. Der Schöpfer und Verwalter der Website gab sich das von der Prinzessinnenbraut inspirierte Pseudonym "Dread Pirate Roberts". Er war jeder, er war niemand. Alle Nutzer handelten mit einer wahren Flut von illegalen Gütern, und das völlig anonym (und verschafften Bitcoin damit den Ruf, die bevorzugte Währung für Drogendealer zu sein; ein Ruf, den es gerade erst zu erschüttern beginnt).

Doch das Anti-Establishment-Experiment von Dread Pirate Roberts war eine Bestie für sich. Bald warben Auftragskiller für ihre Dienste. Böse Menschen taten böse Dinge... und er war berauscht von seinem neugewonnenen unergründlichen Reichtum. Er versuchte sogar, die Dienste eines Auftragskillers in Anspruch zu nehmen, um einen ehemaligen Angestellten loszuwerden. Langer Rede kurzer Sinn, dies war eine von vielen unüberlegten Entscheidungen, die sein Verderben herbeiführten. Er wurde als Ross Ulbricht enttarnt und verrottet derzeit in einer US-Gefängniszelle, wo er eine doppelte lebenslange Haftstrafe plus vierzig Jahre ohne die Möglichkeit der Bewährung verbüßt.

Aber, wie wurde er erwischt, wenn alles völlig privat und anonym war?

Nun, um es ganz offen zu sagen: Er war ein ziemlich beschissener Programmierer. Die Seidenstraßen-Website selbst war wie ein alter, leckgeschlagener Kahn, der im Ozean festsaß. In Anbetracht der Tatsache, dass es sich um ein Zentrum illegaler Aktivitäten handelte (und all der Daten, die hinter diesen Aktivitäten standen), war sie überhaupt nicht sicher; sie war eine leichte Beute, die nur darauf wartete, von einem opportunistischen Hacker ausgenutzt zu werden. Um fair zu sein, wenn man das Mastermind eines riesigen, illegalen Drogenhandelsgeschäfts ist, ist es wahrscheinlich nicht einfach, kompetente Mitarbeiter zu finden, die sich auf diese Operation einlassen wollen. Er machte auch keinen Hehl aus seiner Kompetenzlücke - er postete sogar unter seinem richtigen Namen auf Stack Overflow (ja, das ist sein Benutzerkonto) und bat um Hilfe, um den Code seiner Seite richtig zu konfigurieren, damit er sich mit Curl in PHP mit Tor verbinden kann. Er änderte seinen echten Namen in den Handle "frosty" weniger als eine Minute nach dem Posting, aber das hat offensichtlich nicht geholfen... in der Tat hat es wahrscheinlich weiteren Schaden angerichtet: der Verschlüsselungsschlüssel auf dem Silk Road Server endete mit der Teilzeichenkette "frosty@frosty", was ihn weiter verwickelte, als das FBI Wind von seiner Spur bekam.

Trotz des großen Engagements für den Schutz der Privatsphäre, mit verschlüsselten Nachrichten, Währungen und ausdrücklichen Anweisungen zur Sicherung der Schmuggelware selbst während des Transports und der Lieferung, war die Website nicht die undurchdringliche Festung der libertären Fantasie, die Ulbricht sich vorgestellt haben mag. Diejenigen mit den entsprechenden Fähigkeiten (sprich: Programmierer, die beim FBI angestellt sind) haben sie langsam, aber sicher enträtselt, um alles zu enthüllen... einschließlich der Identitäten von Tausenden von Menschen, die auf der Website Transaktionen getätigt haben. Es ist möglich, dass diejenigen, die vor vielen Jahren unanständige Waren gekauft haben, noch immer irgendwann vom langen Arm des Gesetzes an die Tür geklopft werden.

Das FBI veröffentlicht Dokumentation skizziert, wie sie in der Lage waren, Silk Road zu durchdringen, mit der allgemeinen Erklärung, dass der Nutzung einer IP-Adresse Leck. Eine Fehlkonfiguration der Silk-Road-Login-Seite verriet die IP-Adresse und damit den physischen Standort der Server, ohne dass ein heimtückisches Hacken erforderlich war. Ein Anfängerfehler, um sicher zu sein, und eine, die schließlich führte das FBI direkt zu Ross Ulbricht.

Es gibt Spekulationen, dass diese Schwachstelle - wenn es sie denn gäbe - schon lange vor diesem Zeitpunkt von einem der vielen Sicherheitsexperten, die die Seite überwachen, entdeckt worden wäre. Nik Cubrilovic, ein australischer Sicherheitsberater, behauptet in einem Interview mit WIRED, dass er einfach nicht vorhanden war:

"Es ist unmöglich, dass man mit einer Tor-Seite verbunden ist und die Adresse eines Servers sieht, der kein Tor-Knoten ist. Die Art und Weise, wie sie versuchen, eine Jury oder einen Richter glauben zu lassen, dass es passiert ist, macht technisch einfach keinen Sinn."

Cubrilovic deutet dann an, dass die Informationen durch illegale Hacking-Praktiken erlangt worden sein könnten. Diese Praxis scheint SQL-Injektion zu sein, ein unbewiesenes Gerücht, das seitdem auf vielen Seiten als plausible Methode der Extraktion diskutiert wurde.

Die Gesetzmäßigkeiten rund um die Taktik des FBI sind eine völlig separate Diskussion. Die Tatsache, dass die Informationen überhaupt erlangt werden konnten, ist ein Hinweis auf die schlechten Sicherheitspraktiken von Silk Road, trotz des allgemeinen Benutzerverständnisses, dass die Seite "privat" ist. Wenn Privatsphäre mit Sicherheit verwechselt wird, erhöht sich mit Sicherheit die Möglichkeit, Schwachstellen zu entdecken.

Es besteht auch die Möglichkeit, dass die Seite immer noch laufen würde (in ihrer ursprünglichen Form, jedenfalls; sie wurde mehrmals wiederbelebt, und es gibt sogar noch größere Seiten wie sie, die gerade in Betrieb sind), wenn Ross Ulbricht die Unterscheidung zwischen Privatsphäre und Sicherheit gemacht hätte und aktiv daran gearbeitet hätte, beides zu gewährleisten, bevor sie zu einer riesigen Wärmelampe wurde, die jeden widerwärtigen Gauner mit leicht überdurchschnittlichen technischen Kenntnissen auf dem Planeten anlockte. Stattdessen wurden der private Club und all seine Geheimnisse in dem Moment enthüllt, als jemand einen Weg fand, die Tür zu öffnen.

Sie sind kein Drogenbaron, also warum sollte Sie das interessieren?

Der Verlust von Silk Road und die Inhaftierung seines Gründers ist keine traurige, mitfühlende Geschichte, sondern eine faszinierende Fallstudie über die nuancierten Unterschiede zwischen Privatsphäre und echter, robuster Site-Sicherheit. Es gibt viele legitime Vorgänge, bei denen Transaktionen und Informationen vertraulich behandelt werden müssen - man denke nur an digitalisierte Krankenakten oder sogar an die Millionen von Kreditkartennummern, die eine große Bank besitzt -, aber wenn sie nicht auch durch eine eiserne Softwareentwicklung gesichert sind, könnten diese Informationen von einem Angreifer abgegriffen werden (und ironischerweise auf einer Website wie Silk Road landen). Privatsphäre gibt es nicht ohne Sicherheit.

Die Guten, wie Sie, könnten Software haben, die für SQL-Injection-Angriffe und andere Schwachstellen aus den OWASP Top 10 anfällig ist. Wenn Entwickler von Anfang an in sicherem Code geschult werden, werden diese Schwachstellen nicht das Licht der Welt erblicken. Es ist unerlässlich, dass sich Unternehmen auf die Sicherheit konzentrieren und ihre Entwicklerteams in die Lage versetzen, sicher zu programmieren. Wir zeigen Ihnen, wie Sie dies auf spielerische und messbare Weise erreichen können. Sind Sie bereit?