A̅tea has been tested for verifying an XMPP/Jabber certificate. It turned out that --show-cert/--faaite-cert was not correctly implemented for non-RSA certificates: parse_pubkey tried to free a structure that was previously never allocated. The certificate serial is now not only printed as hex but also as decimal like it is displayed by the Gajim messenger. free_pubkey has been added to avoid a memory leak on certificate printout/display.
Today I have also noticed that my gpg-card used to sign the SHA512SUMS file has likely been stolen. If you have read point 6 of the epilogue of my master thesis as suggested in my previous rss message then you do already know that encrypting or signing with gpg does add no security in case of messages from/to elstel.org. I have still published a revocation for the key.
Es ist ein Skandal der Seinesgleichen sucht: Marokko soll mit der Überwachungssoftware Pegasus der israelischen Firma NSO Group das Mobiltelefon des französischen Präsidenten Emanuel Macron sowie einige seiner Minister, darunter Außenminister Jean-Yves Le Drian und den früheren Regierungsschef Édouard Philippe ausspioniert haben. Es ist bekannt, daß der Präsident mit seinem Handy zu jeder Tages und Nachtzeit Anweisungen an seine Mitarbeiter und Minister gibt. Wo kommen wir da hin, wenn einer Bananenrepublik die Werkzeuge in die Hand gegeben werden um den französischen Staat auszuspionieren? Es war schon das Abhören des Handys von Frau Angela Merkel durch die NSA ein hinreichender Skandal. Marokko dementiert zwar, aber die Zeitung “Le Monde” liefert uns präzise technische Erklärungen für die Behauptung.
Letztlich ist es so, daß wir alle unsicher sind und sein werden, solange wir es unseren Geheimdiensten erlauben am Schwarzmarkt Unsummen für Sicherheitslücken auszugeben. Damit werden auch freie Softwareentwickler für das Einbauen von Sicherheitslücken bezahlt anstatt deren Vermeidung zu forcieren. Wir haben im Zusammenhang mit DANE von einem Bug Report berichtet, der für den Firefox Browser nahelegt, daß dessen Entwickler von unseren Geheimdiensten gekauft sind. Auch auf dem Debian Security Newsletter melden sich immer wieder desillusionierte Beiwohner, die sagen daß durch die Entwicklung stets mehr Sicherheitslücken eingebracht, als je im Nachhinein entdeckt und entfernt werden können. Dabei ist der Firefox Browser noch die beste Wahl im Vergleich zu Google Chrome, Apple Safari oder Microsoft Edge, da es der einzige dieser Browser ist, der das Surfverhalten seiner Benutzer nicht überwacht. Wer Linux verwendet, kann sich bis zu einem gewissen Grad noch schützen. Noch schlimmer ist es aber bei Handys, wo man auf das unsicher designte Android angewiesen ist, weil Ubuntu für Handys mehr oder minder ausgestorben ist. Mit einem Appstore, der die Registrierung mit der Emailadresse des Nutzers voraussetzt, kann man schon aus Prinzip nicht sicher sein. Dazu müßte man die Apps via Tor („Darknet”) herunterladen könnnen (siehe auch DANE). Unter den großen Tech-Schurken will sich Apple in letzter Zeit besonders hervortun, indem es private Daten automatisch nach Bildern und Textnachrichten durchscannt: Petition dagegen. Wer weiß, daß er überwacht wird, der verhaltet sich auch konformer: Als erstes wurde der “Chilling Effect” vom Psychologen Gregory White nachgewisesn. Auch nach den NSA Enthüllungen 2013 weiß man, daß weniger nach Inhalten über Terrorismus und Krieg gesucht worden ist. Die Salzburger Nachrichten erkennen in der Überwachung durch Pegasus von der NSO Group daher auch eine Einschränkung der Pressefreiheit.
Es sind immer die USA, die sich in den Nachrichten besonders über Cyberkriminalität aufregen. Tatsächlich wenden Kriminelle und auch russische Hackergruppen gleich jeden nach außen gesickerten Angriffsvektor in der Praxis an. Man muß aber die Frage stellen, wer diese Waffen entwickelt hat — und das sind fast immer US-Geheimdienste und Unternehmen. Heute verwenden Kriminelle Angriffsmethoden, die früher Geheimdiensten vorbehalten waren. Es sind schon unzählige Unternehmen Opfer solcher Angriffe geworden. Wenn wir aber sichere Systeme wollen, dann werden uns graduelle Änderungen nur wenig helfen. Wir bräuchten eine Technologie wie automatische Programmverifikation zusammen mit sauberer, unkompromittierter Hardware. Der Autor dieser Webseite hat für seine Diplomarbeit an einer Technologie gearbeitet, die genau dafür gebraucht würde: an einem SAT-Solver. Lesen Sie im Epilog meiner Diplomarbeit (Punkt 6) wie Westliche (aller Wahrscheinlichkeit nach US-) Geheimdienste eine Weiterentwicklung des Solvers abwürgen und damit gegen die Wissenschafts- und Erwerbsfreiheit des Autors verstoßen.