Datenschutz mit Sicherheit verwechseln: Der fatale Irrtum

Auf einem Langstreckenflug habe ich kürzlich die Gelegenheit genutzt, um eine, offen gesagt, wahnsinnige Menge an Podcast-Episoden zu verschlingen. Mit so vielen verschiedenen Serien auf dem Laufenden zu bleiben, bedeutet, dass ich nie zu wenig zu hören habe, mit fesselnder - wenn auch einseitiger - Konversation, die nur eine Berührung meines Telefondisplays entfernt ist.

Schließlich landete ich bei einer Folge des Podcasts für wahre Verbrechen, Casefile. Diese dramatische, schonungslose Serie (komplett mit einem bedrohlich klingenden und namenlosen Moderator) beschäftigt sich mit einem Thema, das selbst die sachkundigsten und versiertesten Technologen fasziniert: das Deep Web und der katastrophale Aufstieg der Schmuggel-Website Silk Road. Aufgeteilt in zwei Teile, hätten diejenigen, die mit dem Aufstieg und Fall von Silk Road vertraut sind, zweifellos die Nachrichten über den Fall verfolgt, aber der Podcast enthüllt jedes kleine Detail in einer köstlichen, mitreißenden Erzählung.

Die Seidenstraße: Lektionen aus dem Deep-Web-Kerker

Wenn Sie mit den Vorgängen auf der Silk Road nicht vertraut sind, lautet die Kurzfassung, dass ein Mann eine Handelswebsite im Deep Web aufgebaut hat, die vor den neugierigen Augen der Öffentlichkeit verborgen und ohne den Einsatz spezieller Software - dem Tor-Browser, um genau zu sein - nicht einsehbar ist. Die Seite bot zunächst nur seine selbst gezüchteten Magic Mushrooms an, explodierte aber praktisch über Nacht mit Verkäufern, die alles von Hardcore-Drogen über illegale Waffen bis hin zu gestohlenen Kreditkartendaten anboten. Sie können sich hier auf den neuesten Stand bringen. Der Schöpfer und Administrator der Seite trug das von der Prinzessin Braut inspirierte Pseudonym Dread Pirate Roberts. Er war jeder, er war niemand. Alle Benutzer handelten mit einer wahren Fülle an illegalen Gütern, und sie taten dies völlig anonym (und verschafften Bitcoin damit einen Ruf als bevorzugte Währung für Drogendealer; ein Moniker, den es gerade erst zu erschüttern beginnt).

Doch das Anti-Establishment-Experiment von Dread Pirate Roberts war eine Bestie für sich. Bald warben Auftragskiller für ihre Dienste. Böse Menschen taten böse Dinge... und er war berauscht von seinem neugewonnenen unergründlichen Reichtum. Er versuchte sogar, die Dienste eines Auftragskillers in Anspruch zu nehmen, um einen ehemaligen Angestellten loszuwerden. Langer Rede kurzer Sinn, dies war eine von vielen unüberlegten Entscheidungen, die sein Verderben herbeiführten. Er wurde als Ross Ulbricht enttarnt und verrottet derzeit in einer US-Gefängniszelle, wo er eine doppelte lebenslange Haftstrafe plus vierzig Jahre ohne die Möglichkeit der Bewährung verbüßt.

Aber, wie wurde er erwischt, wenn alles völlig privat und anonym war?

Nun, um es ganz offen zu sagen: Er war ein ziemlich beschissener Programmierer. Die Seidenstraßen-Website selbst war wie ein alter, leckgeschlagener Kahn, der im Ozean festsaß. In Anbetracht der Tatsache, dass es sich um ein Zentrum illegaler Aktivitäten handelte (und all der Daten, die hinter diesen Aktivitäten standen), war sie überhaupt nicht sicher; sie war eine leichte Beute, die nur darauf wartete, von einem opportunistischen Hacker ausgenutzt zu werden. Um fair zu sein, wenn man das Mastermind eines riesigen, illegalen Drogenhandelsgeschäfts ist, ist es wahrscheinlich nicht einfach, kompetente Mitarbeiter zu finden, die sich auf diese Operation einlassen wollen. Er machte auch keinen Hehl aus seiner Kompetenzlücke - er postete sogar unter seinem richtigen Namen auf Stack Overflow (ja, das ist sein Benutzerkonto) und bat um Hilfe, um den Code seiner Seite richtig zu konfigurieren, damit er sich mit Curl in PHP mit Tor verbinden kann. Er änderte seinen echten Namen in den Handle "frosty" weniger als eine Minute nach dem Posting, aber das hat offensichtlich nicht geholfen... in der Tat hat es wahrscheinlich weiteren Schaden angerichtet: der Verschlüsselungsschlüssel auf dem Silk Road Server endete mit der Teilzeichenkette "frosty@frosty", was ihn weiter verwickelte, als das FBI Wind von seiner Spur bekam.

Trotz eines so großen Vorstoßes für die Privatsphäre, mit verschlüsselten Nachrichten, Währung und explizite Anweisungen zur Sicherung der Schmuggelware selbst in Transit und Lieferung, die Website war nicht die undurchdringliche Festung der libertären Fantasie, die Ulbricht vielleicht vorgestellt haben. Diejenigen mit den Fähigkeiten (lesen: Programmierer vom FBI beschäftigt) langsam, aber sicher, entwirrt es alles zu offenbaren ... einschließlich der Identitäten von Tausenden von Menschen, die auf der Website transacted. Es ist möglich, dass diejenigen, die vor vielen Jahren unanständige Waren gekauft haben, irgendwann vom langen Arm des Gesetzes an die Tür geklopft werden, wie dieser Typ in Deutschland. Igitt.

Das FBI veröffentlicht Dokumentation skizziert, wie sie in der Lage waren, Silk Road zu durchdringen, mit der allgemeinen Erklärung, dass der Nutzung einer IP-Adresse Leck. Eine Fehlkonfiguration der Silk-Road-Login-Seite verriet die IP-Adresse und damit den physischen Standort der Server, ohne dass ein heimtückisches Hacken erforderlich war. Ein Anfängerfehler, um sicher zu sein, und eine, die schließlich führte das FBI direkt zu Ross Ulbricht.

Es gibt Spekulationen, dass diese Schwachstelle - wenn es sie denn gäbe - schon lange vor diesem Zeitpunkt von einem der vielen Sicherheitsexperten, die die Seite überwachen, entdeckt worden wäre. Nik Cubrilovic, ein australischer Sicherheitsberater, behauptet in einem Interview mit WIRED, dass er einfach nicht vorhanden war:

"Es ist unmöglich, dass man mit einer Tor-Seite verbunden ist und die Adresse eines Servers sieht, der kein Tor-Knoten ist. Die Art und Weise, wie sie versuchen, eine Jury oder einen Richter glauben zu lassen, dass es passiert ist, macht technisch einfach keinen Sinn."

Cubrilovic deutet dann an, dass die Informationen durch illegale Hacking-Praktiken erlangt worden sein könnten. Diese Praxis scheint SQL-Injektion zu sein, ein unbewiesenes Gerücht, das seitdem auf vielen Seiten als plausible Methode der Extraktion diskutiert wurde.

Die Gesetzmäßigkeiten rund um die Taktik des FBI sind eine völlig separate Diskussion. Die Tatsache, dass die Informationen überhaupt erlangt werden konnten, ist ein Hinweis auf die schlechten Sicherheitspraktiken von Silk Road, trotz des allgemeinen Benutzerverständnisses, dass die Seite "privat" ist. Wenn Privatsphäre mit Sicherheit verwechselt wird, erhöht sich mit Sicherheit die Möglichkeit, Schwachstellen zu entdecken.

Es besteht auch die Möglichkeit, dass die Seite immer noch laufen würde (in ihrer ursprünglichen Form, jedenfalls; sie wurde mehrmals wiederbelebt, und es gibt sogar noch größere Seiten wie sie, die gerade in Betrieb sind), wenn Ross Ulbricht die Unterscheidung zwischen Privatsphäre und Sicherheit gemacht hätte und aktiv daran gearbeitet hätte, beides zu gewährleisten, bevor sie zu einer riesigen Wärmelampe wurde, die jeden widerwärtigen Gauner mit leicht überdurchschnittlichen technischen Kenntnissen auf dem Planeten anlockte. Stattdessen wurden der private Club und all seine Geheimnisse in dem Moment enthüllt, als jemand einen Weg fand, die Tür zu öffnen.

Sie sind kein Drogenbaron, also warum sollte Sie das interessieren?

Der Verlust von Silk Road und die Inhaftierung seines Gründers ist keine traurige, mitfühlende Geschichte, sondern eine faszinierende Fallstudie über die nuancierten Unterschiede zwischen Privatsphäre und echter, robuster Site-Sicherheit. Es gibt viele legitime Vorgänge, bei denen Transaktionen und Informationen vertraulich behandelt werden müssen - man denke nur an digitalisierte Krankenakten oder sogar an die Millionen von Kreditkartennummern, die eine große Bank besitzt -, aber wenn sie nicht auch durch eine eiserne Softwareentwicklung gesichert sind, könnten diese Informationen von einem Angreifer abgegriffen werden (und ironischerweise auf einer Website wie Silk Road landen). Privatsphäre gibt es nicht ohne Sicherheit.

Die Guten, wie Sie, könnten Software haben, die anfällig für SQL-Injection-Angriffe und andere Schwachstellen aus den OWASP Top 10 ist, daher ist es wichtig, dass diese vorbereitet und effizient entschärft werden. Wenn Entwickler von Anfang an in sicherem Code geschult werden, werden diese Schwachstellen nicht das Licht der Welt erblicken. Es ist unerlässlich, dass sich Unternehmen auf die Sicherheit konzentrieren und ihre Entwicklerteams zu sicherem Code befähigen. Wir zeigen Ihnen, wie Sie das auf spielerische und messbare Weise tun können. Sind Sie bereit?