Datenschleuder #66

8/9/2019 Datenschleuder #66

1/36

Die Datenschleuder

ISSN 0930-1045

Frhjahr 1999, DM 5,00

Postvertriebsstck C11301F

Das wissenschaftliche Fachblatt fr Datenreisende

Ein Organ des Chaos Computer Club

#66

x AES, der kommende Krypto Standardx Das BKA und die Internet Kriminalitt

x Chaos Communication Congress 1998 Nachlese


2/36

Die Datenschleuder #63 Herbst 1998

Adressen http://www.ccc.de/ChaosTreffs.htmlChaos im Internet: http:/ / w w w.ccc.de & new s:de.org.ccc

Die Datenschleuder Nr. 66

I. Quartal, Frhjahr 1999Herausgeber:(Abos, Adressen etc.)Chaos Computer Club e.V.,Lokstedter Weg 72,D-20251 Hamburg,Tel. +49 (40) 401801-0,Fax +49 (40) 401801-41,EMail: [email protected]:(Artikel, Leserbriefe etc.)Redaktion Datenschleuder,Postfach 640236, D-10048 Berlin,Tel +49 (30) 280 974 70Fax +49 (30) 285 986 56EMail: [email protected]: St. Pauli Druckerei Hamburg

CvD und ViSdP: dieser Ausgabe:Andy Mller-Maguhn([email protected])

Mitarbeiter dieser Ausgabe:Andreas Bogk, Rdiger Weiss,Cornelia Sollfrank, Alexander Eichler,Chris Vogel, Jockel von Niemann,Jens Ohlig, Migri, H. Ottstedt, D.Steinhauser, Jan Manuel Tosses, TimPritlove, u.a.Eigentumsvorbehalt:Diese Zeitschrift ist solange Eigen-tum des Absenders, bis sie dem Ge-fangenen persnlich ausgehndigt

worden ist. Zur-Habe-Nahme istkeine persnliche Aushndigung imSinne des Vorbehalts. Wird die Zeit-schrift dem Gefangenen nicht ausge-hndigt, so ist sie dem Absender mitdem Grund der Nichtaushndigungin Form eines rechtsmittelfhigenBescheides zurckzusenden.Copyright (C) bei den AutorenAbdruck fr nichtgewerbliche

Zwecke bei Quellenangabe erlaubt.

Erfa-Kreise

Hamburg: Lokstedter Weg 72, D-20251 Hamburg, [email protected] Web: http://hamburg.ccc.de Phone: +49 (40) 401801-0 Fax: +49(40)401 801 - 41 Voicemailbox +49 (40) 401801-31. Treffen jedenDienstag ab ca. 20.00 Uhr in den Clubrumen. Der jeweils ersteDienstag im Monat ist Chaos-Orga-Plenum (intern), an allen anderenDienstagen ist jede(r) Interessierte herzlich willkommen. ffentlicheWorkshops im Chaos-Bildungswerk fast jeden Donnerstag. Termineaktuell unter http://www.hamburg.ccc.de/Workshops/index.html

Berlin: Club Discordia alle zwei Wochen Donnerstags zwischen 17und 23 Uhr in den Clubrumen in der Marienstr. 11, Hinterhof inBerlin-Mitte. Nhe U-/S-Friedrichstrasse. Tel. (030) 285986-00, Fax.(030) 285986-56. Briefpost CCC Berlin, Postfach 640236, D-10048Berlin. Aktuelle Termine unter http://www.ccc.de/berlin

Kln: Der Chaos Computer Club Cologne zieht gerade um. AktuelleKoordinaten bitte unter [email protected] bzw. http://www.koeln.ccc.de erfragen. Telefonische Erreichbarkeit erst wieder nach vollstn-digem Bezug neuer Rume.

Ulm: Kontaktperson: Frank Kargl frank.kargl@rz. uni-ulm.deElectronic Mail: [email protected] Web: http://www.uni-ulm.de/ccc Treffen Jeden Montag ab 19.00h im 'Caf Einstein' in derUniversitt Ulm.

Bielefeld: Kontakt Sven Klose Phone: +49 (521) 1365797 EMail:[email protected]. Treffen Donnerstags, ab 19.30 Uhr in derGaststtte 'Pinte', Rohrteichstr. 28, beim Landgericht in Bielefeld.Interessierte sind herzlich eingeladen.

Chaos-Treffs: Aus Platzgrnden knnen wir die Detailsaller Chaos-Treffs hier nicht abdrucken. Es gibt in denfolgenden Stdten Chaos-Treffs, mit Detailinformationenunter http://www.ccc.de/ChaosTreffs.html:Bochum/Essen, Bremen, Burghausen/Obb. und Umgebung, Calw,Dithmarschen/Itzehoe, Dresden, Emden / Ostfriesland, Eisenach,Erlangen/Nrnberg/Frth, Frankfurt a.M., Freiburg, Freudenstadt,Giessen/Marburg, Hanau, Hannover, Ingolstadt, Karlsruhe, Kassel,Lneburg, Mannheim/Ludwigshafen/Heidelberg, Mnchenglad-bach, Mnchen, Mnster/Rheine/Coesfeld/Greeven/Osnabrck,Rosenheim/Bad Endorf, Neunkirchen/Saarland, Wrzburg,

Schweiz/Dreyeckland: Basel, sterreich: Wien

Impressum


3/36

BKA-Tagung Internet-Kriminalitt tsstsCCC98: Wilde Sachen bei Nacht ststsCCC98: MP3-Workshop stsstCCC98: Anonymitt im Netz ssttsCCC98: Einfhrung in Dylan sststCCC98: Funkamateurkurs Klasse 3 sstssCCC98: GSM-Unsicherheit sssttCCC98: Linux Cluster ssstsCCC98: Year 2000 Chaos sssstChaos Communication Camp 1999 sssssTermine im Jahre 1999 33

Bestellfetzen 34

Impressum -1Kontaktadressen -1Editorial tttttIndex tttttLeserbriefe ttttsCRD: Vermittlungsstelle geklaut tttssCRD: Nessus Alpha 2 releast tttssCRD: Terminals der Deutschen BahntttssCRD: Chaos Bildungswerk HamburgtttssErfahrungsbericht Zwangs-https tttssAES - Nachfolge fr DES gesucht ttsts

Wo sind die Hcksen von heute ?!tstss

/ w ork/ todo/ Cha os-Jahr99

Die Datenschleuder #66 Frhjahr 1999

Ausgabe und unter http://www.ccc.de/camp/

Auf diese Datenschleuder habt ihr ein bichenlnger warten mssen; das hat zum einen mit dernotwendigen Erholungspause nach dem Congresszu tun, zum anderen mit den noch zu verbessern-den Strukturen. Im Web-Bereich des CCC und inden Mailinglisten sind wir gut vorangekommen,eine dezentralere Struktur zur Beteiligung auchunregional Ansssiger zu schaffen. Bei anderenDingen, wie den orga-lastigen Besprechungenund der Erarbeitung von Medienerzeugnissenwie diesen auf Papier haben wir noch ein bichendran zu arbeiten.

Insofern haben wir dieses Jahr auch alsKulturgemeinschaft viel zu tun; Open SourceKryptoanstze werden auf einmal vonBundesministerien gefrdert, Ermittlungen imMordfall Tron von der eigentlich zustndigenPolizei und Staatsanwaltschaft dafr berhauptnicht. Chipkarten bleiben ein spannendes Thema

und Entzauberung auf breiter Ebene ist angesagt.Die nchste Datenschleuder erscheint Ende Juniund dann isses nur noch einen Monat bis zumCamp. Bis dahin hoffen wir auf eure RegeMitarbeit auf allen Ebenen. In diesem Sinne:weitermachen.

Andy M.-M.

Der Congress und Jahr 1998 waren kaum vorbei,

schon stehen die nchsten Aktionen an, diedurchgefhrt werden wollen. Der Congress 1998im Haus am Kllnischen Park hat dankBewahrung der Atmosphre bei gleichzeitigerSteigerung von Teilnehmerzahlen auf ber 2500und einer professionelleren Kongressinfrastrukturviel zusammengefhrt. Zum Beispiel Menschen.Und nicht zuletzt Ideen, wie man das Leben aufdiesem Planeten etwas sinnvoller gestaltenknnte, als in der Art und Weise, wie es von denherrschenden Zustnden derzeit demonstriertwird.

Apropos Rstung: Derzeit rsten wir uns fr denBeginn des Chaos Communication Congress alsDauerveranstaltung vom 1.1.2000 bis ca.31.12.2999 (Kaffee- und Kindergeburtstagspauseninklusive). Ein Jahrtausend kunterbunterVernetzung und friedensstiftender Verstndnis-ssteigerung sollte die notwendige Evolutionetwas vorantreiben.

Bevor wir dann also den Jahrtausendplan aufdem diesjhrigen Chaos CommunicationCongress Ende Dezember verabschieden, benwir uns im Aufbau und dem Betriebentsprechender Infrastruktur durch das ChaosCommunication Camp vom 6.-8. August 1999 inder Nhe von Berlin. Erste Details in dieser


4/36

Frhjahr 1999 Die Datenschleuder #66

0000:A2 13 10 91 46 0B 81 15 44 45 4E 5F 49 A2

1C 00

0010:6E 61 08 4F 06 D2 76 00 00 04 00 FF FF FF FF

39

0020:36 37 32 20 20 20 20 20 30 20 20 20 20 20

30 31

0030:31 30 30 30 30 30 30 30 30 30 30 31 30 30

32 30

0040:31 31 39 39 39 32 32 35 33 33 34 31 30 32

31 30

0050:31 39 39 38 31 39 31 37 32 33 30 4D 65 6E

7A 2C

0060:20 53 74 65 66 61 6E 20 20 20 20 20 20 20

20 20

0070:20 20 20 20 20 20 20 20 20 20 30 31 31 30

30 30

0080:20 30 30 30 30 30 30 20 30 30 30 30 30 30

30 30

0090:30 30 30 30 37 34 39 32 20 20 20 20 20 20

30 20

00A0:20 20 20 20 20 20 20 44 20 44 FF FF FF FF FF

FF

00B0:FF FF FF 30 30 30 30 30 30 30 30 30 36 30 30

FF

00C0:FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00D0:FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00E0:FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00F0:FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

Nach Klrung der Rechtslage gips ganz bald dieGeldkartendoku auf ftp.ccc.de im PDF Format.

Aus der Chaos Hotline aufgeschnappt

Wau, Chaos Hotline

Caller: I have a brand new Internet Computerwith toasting processor and...

w: Which color?

C: Strawberry.

w: Then I know your problem

c: ???

w: Each color has one problem. And you have an

Internet Computer without the @ marked on the

[email protected] Leserbriefe (k leine Ausw ahl)

Date: Tue, 12 Jan 1999 23:18:09 +0000

From: acun@To: [email protected]

Subject: Allgemeiner Kommunikator

Ich bin ein 14 jhriger junge mit einem MAC.Ich will mit dir kontakt aufnehmen,falls du einallgemeiner kommunikator bist.Ich wre dir sehrverbunden wenn,du mir allgemeinekommunikation beibringst.

Du dich besser wenden an die nchste Chaos-Treff

Date: Tue, 5 Jan 1999 16:42:46 +0100From: "bfw" To:

Subject: Du arschloch ich brauche die

chaos cd mit der hacker bibel! mail

mir zu [email protected]

u. wehe du sendest mir schlaue wter zu!

Wir werden uns hten.

Date: Mon, 04 Jan 1999 19:57:10 +0100From: Dino To: [email protected]

Subject: Chipkarten

Hi ihr,

Knnt ihr mit diesem Hex Code etwas anfangen,oder mir sagen wo ich die passende Karte dazu

bekomme, meine Chipkarten sind alle zu gro.Wo wird da der Geldbetrag verschlsselt ????

Danke im vorraus - Dino B


5/36


Chaos Realitts Dienst Kurzmeldungen

Telekommunikationsliberalisierung

praktisch erfahren

In Las Vegas elen am 1. Mrz krzlich dieTelefonanschlsse von rund 75.000 Kunden aus.Ursache waren weniger technische Probleme, alsdie Tatsache, da bewaffnete Einbrecher kurzer-hand die in Betrieb bendlichen Vermittlungenmitnahmen. Die Polizei hat zwar noch keinedirekte Spur, ein Vertreter der Firma vermutete

jedoch einen gezielten Diebstahl zum Zwecke desWiederverkaufs an andere vermittelndeUnternehmen. (Quelle: AP 1.3.1999)

Nessus Alpha2 releast

Der mittlerweile etwas in die Jahre gekommeneSicherheitslckenscanner SATAN hat einenwrdigen Nachfolger bekommen. Nessus nimmtes im Funktionsumfang mit kommerziellen Tools

wie ISS auf, ist aber im Gegensatz zu diesen OpenSource. Der Scanner ist in einen Server zur Daten-sammlung und einen Client zur Aufbereitungunterteilt, der auch auf einem anderen Rechnerlaufen kann. Nessus gibts beihttp://www.nessus.org.

Bauplankorrekturhinweis

Bei der Platine UniProg, DS 61, S. 01111 ist der

unter dem 7812 angeordnete Kondensator nicht220 nF, sondern eher 100 uF 25 V. Beim MAX232ist bei den fuenf Tantalelkos die Polaritaet zu

beachten; sie ist auf der Platine nicht markiert.

Quellen im Netz

... Unterhaltsames Interview mit einemehemaligen NSA-Mitarbeiter ber

Ausbildungsformen, technische Strukturen und

Zwischenflle beim Betrieb des Echelon-Systems

und der Strukturen drumrumhttp://jya.com/nsa-40k.htm

... der Bundesbeauftragte fr die Unterlagen desehemaligen Ministeriums fr Staatssicherheit derdeutschen demokratischen Republik jetzt unterhttp://www.snafu.de/~bstu

Wissen

...TIP-INFO - Terminals der Deutschen Bahn: -laufen unter Windows NT - Applikation heissttipinf.exe - sind online verbunden (PC Anywherelaeuft im Hintergrund) - und strzenentsprechend oft ab

Bildungsw erk Chaos Hamburg

Der CCC Hamburg erffnet im Mai das Chaos

Bildungswerk. Vortrge und Workshops zu unter-schiedlichsten chaosrelevanten Themen nden inder Regel donnerstags um 19:30 Uhr in denClubrumen in Hamburg-Eppendorf, LokstedterWeg 72, statt, umfangreichere Workshops auchschon einmal am Wochenende.

Eine Anmeldung zu den Workshops ist derzeitnicht erforderlich, wer Zeit und Lust hat (und dieeventuell ntigen Voraussetzungen erfllt) kannkommen. Fr einige Veranstaltungen geben wir

Voraussetzungen an. Dies soll helfen, dentechnischen Level und Schwierigkeitsgradeinzuschtzen (Einsteiger in ein bestimmtesThema oder Details? Technisch odergesellschaftlicher Schwerpunkt?).

Termine und Themen nden sich immer aktuellunter

http://www.hamburg.ccc.de/Workshops/


6/36


Erfahrungsbericht Zwangs-https

Wie in der vorletzten DS verkndet, wurden imHerbst '98 fr drei Monate alle Browser, diestandardmig in der Lage sind, per https zuverbinden, zur Benutzung desselben aufwww.ccc.de gezwungen. Einige interessanteProbleme sind dabei aufgetaucht und einigesHerzleid wurde verursacht.

Zwangsmanahmen sind ja sonst nicht so unsereSache, auch wenn es schon Vorschlge gab,Verste gegen ein RFC mit Windowsbenutzungnicht unter zwei Jahren zu bestrafen. In diesemFall erschien es gerechtfertigt, da Aufklrung zumThema Public Key Cryptography und SSL not tatund immer noch tut, denn auch die neueRegierung scheint am SigG festzuhalten und dientigen Hooks im BGB sollen im Laufe dieses

Jahres beschlossen werden, womit eineelektronische Unterschrift auch ohne materiellesVertragsdokument Beweiskraft erlangt.

Der zweite und nicht weniger wichtige Grund frmglichst viel verschlsselten Trafc zu sorgenist, um es den den Herren und Damen mit dengroen Ohren mglichst schwer zu machen.Allerdings stellt sich die Frage, ob der Kampfgegen Zwang und berwachungZwangsmanahmen rechtfertigt. Nun, es hat mal

jemand gesagt, da das meiste Unrecht, imGlauben das Richtige zu tun, begangen wordenist.

Die Umleitung war als Rewrite der URL inAbhngigkeit zum Browser implementiert, d.h.

jeder, der mit einem sich als Mozilla.*meldenden Browser ankam, wurde auf eine Seitemit Erklrungen und einem Link zum Downloaddes CA-Certs (Certifying Authority) geleitet. Vondieser Seite waren auch noch weitere Hilfetexteangelinkt. Wer dies ausprobieren mchte, gehe zuhttp://www.ccc.de/~pluto/ssl/. Dort gibt es

auch eine sehr bersichtliche Anleitung zum

Einrichten der Umleitung. Weitere SSL-fhige

Browser in die Umleitung mit einzuschlieen wargeplant, wurde aber nicht durchgefhrt. Was esneues gibt, ist ein interner Bereich, der nur mitVollwertkrypto und einem Client-Cert der cccCAerreichbar ist.

Aus den ca. 500-600 Mails, die ich whrend derUmleitung bekommen habe, war herauszulesen,da die meisten Surfer diese Umstellung nicht alsZwangsmanahme empfanden, sondern eher alseine Umstellung vom Default auf eine sinnvollereAlternative. Nur etwa einer von zehn, die dieAktion bewerteten, hat sich beschwert. SelbstUser, die groe Probleme mit https und dem perHand nachzuladenden Server- und/oder CA-Certhatten, waren in der berwiegenden Mehrheitvoll des Lobes und begrten es als positivenBeitrag zum Thema.

An technischen Problemen sind als erstes zweiBugs im Internet Explorer zu nennen: Der erste

betrifft das Abspeichern des CA-Certs, da hier alsDefault Save to disk angegeben ist und diesmanuell vor dem ffnen auf direkt ffnenumgestellt werden mus. Der Zweite ist schon gra-vierender, da der SSL / TLS-Standard regulreAusdrcke im Namen des Servers vorsieht (z.B.*.ccc.de, als DN), der IE aber in manchenVersionen nicht in der Lage ist, diese zuinterpretieren und die Verbindung abbricht. EinBug des Netscape Navigators, welcher nach demLaden des Certs manchmal die Fehlermeldung

Site not Found bringt ist noch unklar, scheintaber in neueren Versionen nicht mehr aufzutreten.

Ein recht weit verbreitetes Problem sind Paket-Filtering-Firewalls, die den standard https Port(443) nicht durchlassen. Als prominentes Beispielsei hier das BSI erwhnt, aber auch andere Firmenund Institutionen sind oder waren davon

betroffen. Im allgemeinen hat eine Mail gereicht,um das Kongurationsproblem zu beheben. Am

rgerlichsten war die Amerika Gedenk-

Erfa hrungen mit der zw a ngsw eisen


7/36

Einfhrung verschlsseltem http


Bibliothek, wo der Zugang von den dort

aufgestellten ffentlichen Terminals nicht mglichwar. Ein anderes Problem sind Internetcafs, dareichte allerdings ein Satz in der Umleitungs-Seitemit dem Hinweis, da es reicht, das Cert desServers ohne vorherigen Download des CA-Certszu akzeptieren.

Ob unsere Seiten auch noch in China gesehenwerden konnten, ist nicht bekannt, aus Singapurgab es eine Fehlermeldung, aber mit dem SecureProxy der stdtischen Firewall konnte dann auchauf https zugegriffen werden. Durch dieUmleitung wurden ca. 20-30% weniger Visitsgezhlt, allerdings lassen sich aus dem Vergleichder Zugriffszahlen nur Schtzungen herleiten, dahier noch zuviele weitere Faktoren mit im Spielsind. Von allen Zugriffen benutzten nur ca. 5%einen Client mit waffenfhiger Krypto, sprich mitin voller Lnge verschlsselt bertragenenSession Keys.

Aus den Erfahrungen mit diesem ersten Versuchlassen sich 2 hoch 4 mgliche Umleitungs-szenarien herleiten, hier die als Komponentendargestellt sind:

1. Cert einer unbekannten CA, will heien dieUser brauchen erst das Cert der CA. Dafr muman einiges erklren, das ist aber auch derVorteil, weil https klicken, ohne was mitzubekom-men, kann man auf jeder eCommerce Site.

2. Cert einer bekannten CA. Keinen rger mitDAU's, keine Hilfe ntig, keine Anforderungen anden Intellekt der Surfer. Aber alles strefreiverschlsselt.

1. Das Cert beachtet bestimmte M$ Bugs (regexpim DN), dann gibt's weniger rger mit MacUsern. Sprich kleinster gemeinsamer Nenner.

2. Das Cert ist standardkonform, aber nicht IE

tauglich.

I. Jede Schlssellnge ist OK, also auch mit

Exportbrowsern klickbar. Die NSA undENFOPOL liest jedes Bit, weil nur 40 Bit desSession Keys verschlsselt sind.

II. Nur Vollwertkrypto wird akzeptiert. Alleschreien, weil man einen Domestic Browser (oderSSL-Proxy) braucht, aber die NSA oderENFOPOL sehen nichts. Und man beugt sichnicht den amerikanischen Exportregulierungen.

O. Alle Seiten knnen nur ber https gesehenwerden.

X. Die Startseite und die FAQ werdenunverschlsselt bertragen.

Variante 2 A I O/X bentigt keinerlei Hilfe zurBenutzung, ist aber langweilig.

Variante 1 B I O war bei uns im Einsatz (ca. 30 Ghttps Trafc, ca. 5-600 Mails) und hat imho gut

funktioniert. Variante 1 B II X ist mein Liebling,allerdings reduziert diese den Trafc wg. nichtKlarkommen der Surfer ganz erheblich. Eignetsich nur fr interne Seiten oder ein Publikum mithohem Niveau / Sicherheitsbedrfnis. Variante 2A I O haben wir gerade diskutiert, denke mal eingangbarer Mittelweg ist 1 A

I X. (Das ist Zufall! :)

Gru

[email protected]


8/36

AES


Eine schw erw iegende Entscheidung wurde von US-

amerikanischen Standardinstitut NIST in die Wegegeleitet. Nachdem der 1976 standardisierte DES-

Algorithmus in die Jahre gekommen ist, wurde mit der

Kr eines Nachfolger begonnen. Das NIST spricht zwar

nur von einer geplanten Lebensdauer von 20-30

Jahren fr den Advanced Encryption Standard (AES), die

Erfahrung mit Standards hat jedoch gezeigt, da sich

w ahrscheinlich noch unsere Urenkel mit AES

auseinandersetzen mssen.

DES ist totJahrelang hatten Kryptographen gewarnt, da derbisherige Verschlsselungsstandard DES mitseiner 56 bit Schlssellnge durch ein komplettesAbsuchen des Schlsselraumes zu knacken ist.Whrend bisher lediglich auf der akademischenEbene Bauanleitungen fr Descracker existiertenund jeder ernstzunehmende Sicherheitsberaterauf die hohe Wahrscheinlichkeit hinwies, dasowohl Geheimdienste, als auch gut organisierte

Konzerne und Verbrecherorganisationen solcheBauplne umsetzten knnten, war am 17. Juli dieStunde der good guys gekommen.

Whrend das unter anderem auf dem HIPFestival vorgestellte CCC Projekt eines DESCrackers leider in der Diskussionsphase stecken

blieb, bauten die amerikanische Kollegen von derElectronic Frontier Foundation (EFF) fr250.000 $ eine Hllenmaschine (AmtsgerichtHannover), welche innerhalb von 56 Stunden DES

endgltig entzauberte. Unterhttp://www.eff.org/descracker/ knnen ambitio-niert Bastler auch gleich eine Bauanleitung

bestellen oder direkt berhttp://www.replay.com/ eine von den Autorenausdrcklich begrte gescannte Versiondownladen.

Besonders dramatisch an der Geschichte ist diekryptoanalytische Einfachheit des Angriffes, da

dieser nur die Bekanntheit des verschlssleten

Textes voraussetzt (known-ciphertext Angriff).

Der Angreifer hrt den Geheimtext ab undprobiert einfach alle Schlssel durch. Falls einfalscher Schlssel gewhlt wurde entsteht beimEntschlsseln ein wunderschn zuflligesRauschen. Sollte das Ergebnis sich von einerZufallsausgabe unterscheiden ist mit hoherWahrscheinlichkeit der richtige Schlsselgefunden.

Advanced Encryption Standard

Aus diesen Grnden schrieb das US-amerikanische National Institute of Standardsand Technologie am 12. September 1997 einenWettbewerb fr den Advanced EncryptionStandard (AES) aus. Im Gegensatz zum DESVerfahren sollten diesmal die Designgrundstzteverffentlicht und von der Kryptogemeindeffentlich analysiert werden knnen. Zudem wur-den die Entwickler verpichtet nachzuweisen,da keinen geheimen Hintertren vorhanden

sind.

Weitere Grundanforderungen waren:

* Blockgre von 128 bit

* Schlssellnge 128, 192 und 256 bit

* Mindestens so schnell und so sicher wieTriple-DES

Die Wahl der Blockgre war wohl eine derschwerwiegensten Entscheidungen. Fr Produkte,welche die von DES als verwendete Blockgrevon 64 bit nutzen, bedeutet dies ein unterUmstnden erheblicher Umstellungsbedarf.Allerdings ist eine Blockgre von 64bitangesichts der heutigen Rechnerleistung nichtmehr zeitgem (matching ciphertext Angriffe).

Weswegen als Schlssellngen neben 128 bit auch

192 und 256 bit vorgesehen sind, fhrte selbst auf


9/36

AES


wissenschaftlichen Konferenzen zu nicht immer

ernsthaften Diskussionen. Jedenfalls sollte eine256 bit Schlssellnge auch denQuantencomputer der von der US Regierunggefangengehaltenen Aliens, welche mglicherwei-se die Komplexitt eines Angriffs auf dieQuadratwurzel der herkmmlichenKomplexitt reduzieren knnen, widerstehen!-)

Vom 20.-22. August 1998 fand im kalifornischenVentura die erste AES Konferenz statt. Imfolgenden stellen wir kurz die 15 Kandidaten,welche die Vorauswahl zur ersten AES-Konferenzberstanden haben vor.

Wohl ausgeschiedene Kandiaten

DEAL basiert auf einer Idee von Lars Knudsenund wurde von Richard Outerbridge als AES-Kandidat eingereicht. DEAL verwendet DES als

Rundenfunktion in einem 6 rundigenFeistelnetzwerk fr Schlssellngen von 128 und192 Bit beziehundgsweise 8 Runden fr 256 BitSchlssel.

berraschenderweise unterlief Lars Knudsen, derals einer der fhrenden Experten frKeyscheduling-Verfahren, mit deren Hilfe ausdem Hauptschlssel die einzelnenRundenschlssel berechnet werden, gilt, geradehier ein schwerwiegender Fehler. Stefan Luck, der

dieses Jahr schon den bisher strksten Angriffgegen Triple-DES gefunden hatte, verffentlichteeinen Angriff welcher nur 270 gewhlte Klartexte

bentigt. Outerbridge hat Lucks den ausgesetztenGeldpreis fr die beste Analyse bereits zugesand.

Der DFC Kandidat der franzsischen CentreNational pour la Recherche Scientique EcoleNormale Superieure besitzt eine 8 rndigeFeistelstruktur und basiert auf der sogenannten

Decorrelation Technik von Serge Vaudenay. DFC

ist beweisbar sicher gegen Differentielle und

Lineare Kryptanalyse. Allerdings verwendet ereine sehr aufwendige 32bit Multiplikation, wasseinen Einsatz auf Smartcard-Systemen erheblicherschwert. Zudem fand Dan Coppersmith zahlrei-che schwache Schlssel.

Frog wurde vom fhrenden Kryptografen Cost-Ricas fr die TecApro Internacional S.A.vorgestellt. Er verwendet 8 Feistelrunden und einsehr aufwendiges Keysetup. Wagner, Ferguson,und Schneier verffentlichten eine erfolgreicheKryptoanalyse (Differential: 258 chosen plaintexts.Linear: 256 known plaintexts).

Der 8 rundige Happy Pudding Cipher (HPC) vonRichard Schroeppel drfte trotz des schnenNamens doch nur Aussenseiterchancen besitzten.

LOKI 97 ist der Kandidat von Lawrie Brown,Josef Pieprzyk und Jennifer Seberry. Loki benutzt16 Feistelrunden und ist der Nachfolger von Loki,

Loki 91. Loki wurde von Lars Knudsen gebrochenund darauf hin in Loki89 umbenannt. Auch dasverbesserte Loki 91 hielt einer Analyse von LarsKnudsen nicht stand. Drei mal drft Ihr ratenwelches Schicksal Loki97 ereilte.

Richtig, diesmal dauerte es nur wenige Tage bisKnudsen und Rijmen ihre Analyse mit denWorten:Loki97 is broken schliessenkonnten.(Die Differentielle Kryptanalyse

bentigte 256 chosen plaintexts und die Linear

Kryptanalyse 256 known plaintexts.)

Telekom sorgt fr Heiterkeit

Grndlich blamierte sich die Deutsche TelekomAG. Ihr 6 beziehungsweise 8 rndigeFeistelnetzwerk MAGENTA lt kaum einenAnfngerfehler aus. Biham, Biryukov, Ferguson,

Knudsen, Schneier und Shamir


10/36

verwendet 8x8 S-Boxen, welche gute

Widerstandseigenschaften gegen differentielleund lineare Kryptoanalyse besitzten. DasKeyscheduling soll allerdings noch modiziertwerden. Der Autor Hoon Lim publiziert seit

Jahren auf den besten Krypto-Konferenzen,allerdings berwiegend im Bereiche von DigitalenSignaturverfahren.

E2 ist ein 12 Runden Feistelnetzwerk von NTT Nippon Telegraph and Telephone Corporation. E2verwendet 8x8 S-Boxen, welche gegen dieverschiedenen bekannten Angriffsmethodengehrtet und nach einer verffentlichten Strategieausgewhlt wurden. Bruce Schneier zhlt E2 zuden vier Favoriten.

RC6 ist der von Ron Rivest in Zusammenarbeitmir Robshaw, Sidney und Yin fr die RSALaboratories entwickelte Nachfolger von RC5.RC6 ist ein modiziertes Feistelnetzwerk mit 20Runden (10 Cycles). Die Geschwindigkeit von

RC6 hngt ganz wesentlich davon ab ob derjeweilige Processor variable Rotationen schnelldurchfhren kann. An der Verwendung vondatenabhngigen Rotationen entzndete sichallerdings Kritik. Zum einen ist die Patentlageunklar, zum anderen sind die kryptograschenEigenschaften von derartigen Rotationen nochnicht grndlich genug analysiert.

RIJNDAEL ist der Kandidat von Joan Daemenund Vincent Rijmen. Er ist faktisch die 128bit

Version des bekannten Square Algorithmus.Rijndael ist ein SP-Netzwerk mit 10 , 12 bzw 16Runden. Rijndael gehrt zu den schnellstenAlgorithmen im Feld.

Safer+ ist wie der Namen schon sagt eineWeiterentwicklung von Safer fr die CylinkCorporation. Neben dem Safer-Ernder Masseywerden auch Khachtrian und Kuregian als Co-Autoren genannt. Safer+ ist ein SP-Netzwerk mit

8 , 12 bzw 16 Runden.


AES - Der Kryptoalgorithmus fr die

cryptoanalysiserten Magenta online whrend der

Vorstellung (264 chosen plaintexts, 264 Steps oder233 known plaintexts, 297 Steps). Was allerdingsein wenig ein Flchenbombardement auf einSpatzennest erinnert. Schlielich war der Angriffgegen den unglaublich schlechten Keyscheduleeine einfache bertragung des uraltenMerkle/Hellmann Angriffes auf 2-Key Triple-DESund diente daher schon als Aufgabe in einerAnfngervorlesung fr Kryptographie.(http://th.informatik.uni-mannheim.de/m/lucks/vorl.html, bungsblatt6).

Die einzelnen Schwchen (Sckeweise SchwacheSchlssel,...) aufzulisten wrde den Rahmendieses Artikels sprengen. Erst nachmehrstndigen Analyse gelang es mir berhaupteinen kryptographisch starken Baustein imAlgorithmus zu nden. Als Krnung drfteMagenta allerdings zumindest den Preis alslangsamster Kandidat erhalten. Die ganze Aktion

kommt einem fast so vor, als ob Andy Mller aufeinmal versuchen wrde, um denSchwergewichtstitel zu boxen.

Kandidaten mit guten Chancen fr die

zweite Runde

CAST 256 ist die Weiterentwicklung desbekannten CAST5 Algorithmus von Carlisle

Adams und Stafford Tavares. CAST5 wurde vonEntrust Technologies zur kostenlosenVerwendung freigegeben und bendet sich daherin den Programmen PGP ab Version 5.0 und PGP-Disk. CAST256 verwendet ein modiziertesFeistelnetzwerk mit 48 Runden (12 Zyklen).

Crypton ist ein 12 rundiges SP-Netzwerk derkoreanischen Firma Future Systems, Inc und wur-de von Chae Hoon Lim vorgestellt. Die Struktur

ist von SQUARE Algorithmus beeinusst und


11/36

Hadamard Transformationen (Safer) und feste

Rotationen zum Einsatz. Das Keyschedulingverwendet die selben Konstruktionsverfahren,wie die Rundenfunktion (Blowsh). Durch dieVerwendung von relativ kleinen 8x8-S-Boxen istder Entwurf sehr smartcardfreundlich. Twosh istsehr schnell und exibel an die verwendetenResourcen anpassbar. Das Design ist ausfhrlichdokumentiert und bietet Sicherheit gegen alle

bekannten Angriffe.

Die Beschreibung des Algorithmus ist sehr schnzu lesen und vermittelt einen guten Einblick indie aktuellen Entwicklungen bei der Konstruktionvon Blockchiffrierern. Twosh ist bereits ineinigen Programmen optional integriert z.B. GPG(www.gnupg.org)

\begin {schleichwerbung}

und im pretty Open PGP kompatiblenWhiteboardsystem der Univesitt Mannheim

(http://www.informatik.uni-mannheim.de/~rweis/research/)

\end {Schleichwerbung}.

Fahrplan

Die ffentliche Evaluierung der verbliebenen 15Kandidaten erfolgt bis zum 15. April 1999.

Die zweite AES-Konferenz in Rom 22.-23. Mrz

1999. Dort werden ungefhr fnf Finalistenbestimmt. Nach einer sechs bis neunmoantigenAnalyse wird aus den verbleibenden Kandidatenein Sieger bestimmt.

Tip und Ausblick

Es ist ein unglaublich spannender Wettkampf ent-brannt. Favoriten zu nennen ist relativ schwierig.Beginnen wir mit dem einfachen Teil und tippen

welche Algorithmen ausscheiden. Zunchst

nchsten Jahrzente ?!


Die Favoriten

MARS ist der ofzielle IBM Kandidat. Unter denAutoren ist mit Don Coppersmith auch einer derDES Vter. MARS ist ein modiziertesFeistelnetzwerk mit 32 Runden (16 Cycles). Esverwendet Multiplikationen und datenabhngigeRotationen. Die Konstruktionsgrundstzte fr dieverwendeten S-Boxen sind mit verffentlicht, soda die bei DES geuerte Sorge ber geheimeHintertren stark reduziert werden drfte. VieleExperten sehen MARS als Favoriten. Allerdingswurden Saarien quivalente Schlssel entdeckt,eine kryptographisch unschne Eigenschaft undzudem erscheint die Verwendung vonMultiplikationen besonders fr Smartcards alssehr aufwendig. Weiterhin ist die Verwendungvon Datenabhngigen Rotationen, wie schon beiRC6 diskutiert, nicht unumstritten.

Ross Anderson, Eli Biham und Lars Knudsenschicken SEPENT ins Rennen. Die Autoren zhlen

zu den weltbesten Kryptoanalytikern. Alle dreihaben wohl bereits zahlreiche Algorithmengeknackt und eine Reihe von kryptoanalytischenAngriffsmethoden, unter anderem BihamsDifferentielle Kryptoanalyse, gefunden.

Serpent ist ein SP-Netzwerk mit 32 Runden.Schon nach 16 Runden ist der Algorithmus sichergegen alle bekannten Angriffe. Der Algorithmusnutzt zur Verbesserung der Performance die vonEli Biham entwickelte Bitslicing Technik Durch

die Verwendung von 4x4 S-Boxen ist der Entwurfausgesprochen hardwarefreundlich.

TWOFISH ist der Blowsh-Nachfolger von BruceSchneier, John Kelsey, Doug Whiting, DavidWagner, Chris Hall und Niels Ferguson. Erverwendert Feistel 16 Runden und borgt eineReihe von lange Zeit getesteten und anerkanntenBauelementen. Es kommen unter anderemWithening (DESX), Schlsselabhngige S-Boxen

(CS, Blowsh) , MDS-Matrizen (Square), Pseudo


12/36


AES - Sicher, bis da die DPA uns scheidet

werden wohl die Algorithmen mit

offensichtlichen Schwchen ausgesondert, alsoMagenta, Loki97, DEAL, FROG undwahrscheinlich auch DFC. Von den verbleibendentippe ich noch auf HPC und Crypton alsAusscheidekandidat. Topfavoriten auf Grundihrer Autoren sind wohl Mars, Serpent undTwosh.

Fr Mars sprechen trotz zahlreicher Kritikpunkteinsbesondere die 3 Buchstaben IBM. Allerdingserinnert die Konstruktion eher an einenGemischtwarenladen, als an einen sauberkonstruierten Cipher.

Serpent ist so langweilig konstruiert, dass ereinen hohen Sicherheitsgrad bieten muss. Pimodulo Daumen entsprechen die 32 Runden,welche jeweils den ganzen Block bearbeiten, 64Feistelrunden. DES hat deren 16. Nicht mal Gottwird Serpent brechen knnen meinte einerweltweit fhrender Cryptoanalyiker. (Fr Nicht-

Atheisten fhrt diese Aussage sicherlich zulustigen Logikspielen).

Mein persnlicher Favorit ist jedoch Twosh.Twosh ist schnell und baut auf gut getesteten

Basisbausteinen auf. Schlsselabhngige S-Boxensorgen gegen hohe Resitenz auch gegen bisherunbekannte Angriffsformen.

Twosh . Twosh ist frei und kostenloseinsetzbar. Und least not last gehren die Autoren

denitiv zu den good guys, so dass auchdeshalb nicht mit Hintertren zu rechnen ist.

Alles wird gut!

Schon jetzt kann man erfreut feststellen: DerSiegesalgorithmus wird eine weltweit einsetzbareund fr lange Zeit sichere symmetrischeVerschlsslung gewhren.

[email protected]

URLS:

NIST AES-Seite:http://csrc.nist.gov/encryption/aes/aes_home.htm

The Block Cipher Lounge - AES:http://www.ii.uib.no/~larsr/aes.html

Candidate A E S for Analysis and Reviews:http://www.dice.ucl.ac.be/crypto/CAESAR/caesar.html

(Anmerkung der Redaktion: Mittlerweile gibt esbereits die AES2-Review im Netz. Seitenweise,irgendwo. Bitte selber suchen, URL gerade nicht zurHand. Irgendwo auf jya.)


13/36


Als dieser Artikel geschrieben wurde, war nmap

2.00 gerade erschienen. Beim Druck dieserAusgabe knnte die Version 2.12 schon wiederveraltet sein.

nmap ist in erster Linie ein Portscanner. EinPortscanner ist ein Programm, das dazu dient,herauszunden, welche TCP- oder UDP-Ports aufeinem Rechner offen sind, was wiederum einHinweis darauf ist, welche Dienste von diesemRechner angeboten werden, also z.B. HTTP aufPort 80, SMTP fr Mailtransfer auf Port 25, sshauf Port 22, und so weiter. Der klassische Weg ist,einfach fr jeden Port zu versuchen, eineVerbindung aufzumachen.

strobe von Julian Assange ist der Klassiker, derdiese Methode verwendet. Leider ist ein solcherScan relativ leicht zu entdecken. Eine Mglichkeit,die Entdeckung zu erschweren, ist es, den fr denAufbau einer TCP-Verbindung notwendigen Drei-Wege-Handshake[0] nach dem zweiten Schritt

abzubrechen, so da man zwar wei, da derandere Rechner prinzipiell eine Verbindung aufdiesem Port entgegennimmt, diese aber nichtzustande kommen lt. Dieses Verfahren ist alsStealth-Scan bekannt.

Beide Verfahren werden von nmap implementiert.Zustzlich gibt es noch weitere Scanmethoden,die anhand der Antwort auf ungltige Pakete aufdas Vorhandensein eines offenen Ports schlieen,die allerdings nur bei RFC-konformen Systemen,

also nicht bei Windows oder IRIX, funktionieren.Auch ein UDP-Scanner ist vorhanden, ebenso einMode, der lediglich ein ping absetzt, um dieErreichbarkeit des Hosts zu berprfen, oder einSubnetz nach Rechnern zu durchsuchen.

Als zustzliche Leckerbissen hat der Autor einenfragment-Mode eingebaut, mit dem sich mancheschlecht kongurierte Firewalls durchtunnelnlassen - das TCP-Paket wird mitten im Header

aufgetrennt, und die Firewall lsst es deshalb

N M AP Kurzreview

passieren. Auch gibt es einen OS-Detection-Mode,

der nach der von queso bekannten Methodeanhand von im Standard nicht deniertenAusnahmefllen das Betriebssystem erkennt.

Und um das Scannen noch einfacher zu machen,ist es mglich, eine Liste von Adressen aus einemFile zu lesen, oder ein ganzes Subnet mittelsAngabe der CIDR-Adresse zu scannen. EinigeBeispiele:

Ein klassischer Scan eines einzelnen Rechners:

$ nmap www.ccc.de

Dasselbe, aber mittels Stealth-Scan:

$ nmap -sS www.ccc.de

Durchsuche ein Subnetz nach Rechnern,und ermittle das Betriebssystem:

$ nmap -sP -O 23.23.23.0/24

Finde alle Rechner, die bei Snafu Berlineingewhlt sind, und die Back Orice auf demStandardport installiert haben:

$ host -l berlin.snafu.de|cut -d -f 4|

sudo nmap -sU -v -p31337 -i -

Die nmap-Homepage ist unterhttp://www.insecure.org/nmap zu nden. nmap

ist derzeit sicherlich das vollstndigste Scanning-Tool, aber dadurch auch etwas schwieriger zuhandhaben als zum Beispiel strobe.

[0] Stevens, TCP/IP Illustrated, Addison-

Wesley

[email protected]


14/36


(Anmerkungen zu einem Tag auf der next

Cyberfeminist International, Rotterdam, Mrz 1999)

Gibt es weibliche Hacker? Falls nicht, ist diesesPhnomen wert, es mal genauer zu betrachten.Falls ja: Wo stecken sie? Wieso kennt sieniemand? Und was treiben sie da so imGeheimen?

Hintergrund fr die Fragen war mein Interesse,fr die Konferenz next CyberfeministInternational, einen Tag zu diesem Thema zuorganisieren. Ganz allgemein ist es so, da imCyberfeminismus die Cultural Workers, alsoKnstlerinnen und Theoretikerinnen berwiegen,und die machen sich in der Regel die Finger nichtschmutzig mit hands-on technology. Aber esgengt nicht, in diesem Bereich ber gesell-schaftliche Umwlzungen und Theorien zusprechen. Auch ein wirkliches Interesse an derTechnik selbst gehrt dazu, ein kritischer,neugieriger Umgang damit, um neue Mglichkeit

von Aktivismus und Einunahme zu erproben.Deshalb ist eine intensivere Zusammenarbeit mitTechnikerinnen/ Informatikerinnen/Hackerinnen unerllich, um unseren Horizontund unsere Handlungsspielrume zu erweiternund zum anderen um zu zeigen, da es solcheFrauen tatschlich gibt und damit einzelneFrauen zu ermuntern, sich selbst aktiver, mutigerund engagierter die Finger schmutzig zu machen.

Die Feststellung, da Technikbereiche traditionell

Mnnerdomne sind, ist nicht neu. Auch da diesog. neuen Technologien, die in den 80er und90er Jahren entstanden sind, also in einer Zeit, inder die Frauen in viele Bereiche der Gesellschaftvorgedrungen sind, nicht wesentlich etwas darangendert haben, ist auch bekannt. (Whrend derCebit z.B., der weltgrten Computermesse,

besteht im Vergleich zu anderen Messen einderart erhhter Bedarf an Prostituierten, dadiese ugzeugweise aus dem Ausland

eingeogen werden mssen.) Aber da es in

diesem Technikbereich eine Enklave gibt, in der

sich so gut wie gar keine Frauen tummeln, istdoch erstaunlich. Die Rede ist von den Hackern.

Gemeint ist nicht ein erweiterter Hacking-Begriffwie er in den letzten Jahren in Mode gekommenist. Es geht nicht um Enthusiasten oder Expertenfr was auch immer, nicht um Personen, die Spadaran haben, intellektuelle Herausforderungenkreativ zu meistern, Beschrnkungen zu umgehenoder abstrakte Systeme zu knacken. Gemeint sindComputer-Freaks. Diejenigen, die hinter dieMonitoroberche gehen, die Computersystemeausspionieren, die leidenschaftlichprogrammieren, die basteln und denen eswichtiger ist herauszunden, wie es etwasfunktioniert als zielgerichtet damit zu arbeiten.

Besucht man Hackertreffen, liest die einschlgigeLiteratur oder begibt man sich in Newsgroupsoder auf Mailinglisten dieses Genres wird manleider nicht vom Gegenteil seines Vorurteils

berzeugt, da da so gut wie keine Frauen sind.Das soll nicht gewertet werden. Egal, ob das gutoder schlecht ist, egal ob man das ndern willoder nicht, es ist ein interessantes Phnomen.

Fr die Vorbereitung der Konferenz habe ichmich auf die Suche nach Hackerinnen begeben,

bzw. postuliert, da es keine gibt, um mich vomGegenteil zu berzeugen lassen. MeineRecherchen haben nicht nur ein paar Hackerinnenzu Tage gebracht, sondern auch einige kuriose

Begrndungen dafr, warum es keine gibt. Soschrieb z.B. Bruce Sterling, bekannteramerikanischer Science-Fiction-Autor und Kennerder amerikanischen Hacker-Szene: Es stimmtwirklich, da es keine Hackerinnen gibt, aber daswundert mich nicht. Hacking ist typisch frmnnliche Jugendliche, die voll auf einenvoyeuristischen Power-Trip abfahren. Man ndetnicht mehr Frauen, die in Computer einbrechen,als Frauen, die besessen davon sind einen

verstohlenen Blick auf Mnnerunterwsche zu

Zaubern im Netz


15/36


Wo sind die Hcksen von heute ?!

werfen... Es ist sicher nicht so, da Frauen zum

Hacken physisch oder intellektuell nicht in derLage wren, es ist nur so, da sie berhauptkeinen Grund haben, das zu tun...Ich persnlichkenne zumindest keine einzige Frau, die das tut.Und ich habe auch nicht einmal von einer gehrt,die es gemacht htte, ohne da ihr Freunddaneben gestanden htte und sie immer wiederungeduldig gedrngt htte.

Eine weitere Begrndung wurde mir von GailThackeray geliefert, einer bekanntenamerikanischen Hacker-Jgerin, die in derAbteilung fr Technology Crimes beim ArizonaAttorney Generals Ofce arbeitet. Sie hat mirdirekt auf ein Posting auf der dc-Listegeantwortet: Nein, es gibt keine ernsthaften,technichen Hackerinnen. Hacking ist immer nocheine weitgehend weie, mnnlicheAngelegenheit, zumindest hier in den USA. Ichkenne nur einen schwarzen Hacker in Arizona(der sich inzwischen zur Ruhe gesetzt hat) und

einen in New York...Es gibt(gab) viele weiblichePhone Phreaks, obwohl auch deren Interessenmehr in den sozialen Aspekten lagen als in dentechnischen.

Die wenigen Exemplare der Spezies Hackerindie ich gefunden habe, konnte ich auchglcklicherweise dafr gewinnen, zur Konferenz

beizutragen. Barbara Thoens vom CCC Hamburggab einen berblick ber die Entwicklung vonFree Software und der dahinterstehenden

Philosophie, Rena Tangens von FoeBud Bielefeldgab Hinweise dazu Wie man eine Hackerinwird, Stephanie Wehner von xs4all ausAmsterdam errtete das Problem von Privacyon the Net und gab Tips zur Verschlsselung,zum anonymen Publizieren und Versenden vone-mails, und Corrine Petrus und Marieke vanSanten von Tech-women Rotterdam gaben Praxis-Tips und eine Demonstration zu Hacking,Cracking, Spoong, Snifng und Nuking.

Entgegen anders lautender Meinungen kann man

als Ergebnis des Tages Women Hackerzusammenfassen, da Frauen durchaus Motivehaben knnen, um zu hacken. Berichte ber dieKonferenz gibt es bei www.obn.org. Eine ausfhr-liche Dokumentation mit allen Beitrgen wird im

Juni erscheinen (zu bestellen ebenfalls berwww.obn.org/reader).

Cornelia Sollfrank

Subject: habe gehackt - w as nun?From: Igor X. , Date: 1999/02/21,Newsgroups: de.org.ccc

Hallo habe meinen ersten hack hintermir(www.hamfair.com -> FrontpageWeb -> ist jetzt weg...)knnen die meine IP herausnden??? Wenn ja,was hat das fr Folgen???

Subject: Re: habe gehackt - w as nun?

From: Sabine Y. , Date: 1999/02/21,Newsgroups: de.org.ccc

Igor X. wrote:> Hallo habe meinen ersten hack hinter mir> (www.hamfair.com -> Frontpage> Web -> ist jetzt weg...)

Du bist ein Held. Wir bewundern Dich.Willst Du mich cken?

> knnen die meine IP herausnden???

Wenn der Admin einigermassen Hirn unter derMatte hat, ja.

> Wenn ja, was hat das fr Folgen???

Steht im StGB. S.


16/36

Bekmpfung der Kriminalitt


Tagung beim Bundeskriminalamt

(BKA) vom 14.-15.12.1998

Tagungsbericht mit Anmerkungen

Das Bundeskriminalamt hat ca 170Internetprovider und Onlinedienste (ca 50Anwesend) aus Deutschland sowie Vertreter derStrafverfolgungsbehrden und des

Jugendschutzes zu einer Tagung unter dem TitelBekmpfung der Kriminalitt im Internet einge-laden. Ziel dieser Tagung sollte der Beginn einesDialogs zwischen den ISPs und den Behrdensein, dessen Zweck eine gegenseitige Aufklrungber das technisch und rechtlich mgliche unddie Abstimmung von Vorgehensweisen(Stichworte: Selbstverpichtungserklrung, Codeof Conduct) sein soll.

Hintergrund der Tagung ist, da seit Herbst 1998das BKA auch fr Kriminalitt die mit Hilfe von

Onlinediensten und / oder Internet begangenwird zustndig ist und eine eigene Abteilungdafr eingerichtet hat (Bundeskriminalamt, OA 34- 2 IuK - Kriminalitt, Tel.: 0611/55 -5716, Fax.:0611/551-5725).

Zusammenfassender berblick

Der Schwerpunkt der Tagung behandelte Fragen,die sich bei Ermittlungen im Bereich derKinderpornographie ergaben, andere Delikte und

Probleme, die sich bei deren Ermittlung ergeben,sind nur wenig zu Sprache gekommen. EinDialog hat stattgefunden und soll in einerArbeitsgruppe fortgefhrt werden. Von Seiten derISPs wurde angeregt, in dieser Arbeitsgruppe aneinem Beispielsfall die Vorgehensweisen durchzu-spielen und die auftretende Probleme einerLsung zuzufhren.

Unklar ist geblieben, wie sich die Arbeitsgruppe

zusammensetzen soll. Der Vorsitzende des ECO.

e.V. hat in vielen Einzelheiten die Interessen der

Provider vertreten, kann aber nicht als Sprecheraller ISPs auftreten, weil bei weitem nicht alleISPs im ECO e.V. Mitglied sind und geradegreren ISPs dort nicht vertreten sind. Kritischanzumerken ist auch, da kein Vertreter des DE-NIC teilgenommen (geladen?) hat, der einzigenOrganisation in Deutschland, in der wirklich alleISPs Mitglied sind. Gnzlich unbercksichtigtsind die Betreiber von Intranets, d.h. dieIndustrie, geblieben. Ob Teilnehmer des DFN e.V.und des ZKI e.V. anwesend waren, war nichtersichtlich.

Vorzuschlagen wre daher, da die Arbeitsgruppevon Seiten der ISPs zumindestens aus einemoder mehreren Vertretern der groen ISPs, einemVertreter von DE-NIC und Vertretern von kleinenISPs besteht. Hinzukommen sollten Vertreter ausIndustrie und Forschung.

Eine Selbstverpichtungserklrung wurde von

den ISPs nicht unterschrieben. Eine inhaltlicheDiskussion des Textvorschlags des BKA fandnicht statt.

Statistisches zu dem Anteil der Kriminalitt imInternet

Die von Seiten der Ermittlungsbehrdengetroffenen Aussagen zu der Frage, wievielKommunikation im Internet mit kriminellenInhalten oder zu kriminellen Zwecken stattndet

gingen weit auseinander. Die Schtzungenreichten von 40.000 - 80.000kinderpornographischen Bildern ber 1% derGesamtkommunikation zu 1/60 aller Angeboteund news Artikel (letztere beiden Zahlen auf alleDelikte bezogen). Eine Dokumentation derhannoveraner Stelle des Kinderschutzbundeswurde kurz erwhnt, die auf noch erheblichhhere Zahlen kommt (10 - 15kinderpornographische Kanle im IRC mit

mindestens 300 Tauschvorgngen am Tag),


17/36

im Internet


Verbindungsdaten 12 FAG, 6 III TDDSG 7TDSV, 100a, 100b StPO

Bestandsdaten 89 VI, 90 TKG, 100a, 100bStPO

Bezglich 7 TDSV wurde stark bezweifelt obdieser fr eine Datenerhebung herangezogen wer-den knne, denn diese Vorschrift sei auftechnische Strungen und Mibrauch begrenzt.

Ob diesen Bedenken zuzustimmen ist, entscheidetsich u.a. anhand der Frage, ob eine Herausgabeder Daten an die Strafverfolgungsbehrdenvorgesehen ist. Dies ist im Verordnungstext nichtder Fall. Hier knnte versucht werden zuargumentie-ren, da eine Datenerhebung ( 7TDSV) und Datenbermittlung ( 8 TDSV) frprivate Zwecke vorgesehen ist und im Wegeeines ein Erst Recht Schlusses dann eineDatenbermittlung fr staatliche Zwecke umfatsein mu. Eine solche Argumentation verkennt

jedoch, da eine Datenbermittlung an dieStrafverfolgungsbehrden einer ausdrcklichen

gesetzliche Grundlage bedrfen, die hier nichtgegeben ist.

Selbst wenn diese Hrde genommen wrde,bliebe zu prfen, ob eine sonstige rechtswidrigeInanspruchnahme der ffentlichenTelekommunikationsnetze und ihrerEinrichtungen sowie derTelekommunikationsdienstleistungen gem 7Abs. 1 Nr. 2 TDSV dann vorliegt, wenn einBeschuldigter Mitteilungen mit Hilfe von

Telekommunikationsendeinrichtungen vornimmt.Nach der teleologischen Auslegung derVorschrift, ist mit rechtswidrig in diesemZusammenhang insbesondere solche Vorgngegemeint, die rechtswidrig gegenber demAnbieter vonTelekommunikationsdienstleistungen sind(insbesondere Leistungserschleichung).Rechtswidrig gegenber der Allgemeinheit istdaher von der Vorschrift nicht erfat. Den

geuerten Bedenken ist daher zuzustimmen.

ausdrcklich von einem der Autoren aber als

Dokumentation und nicht als Studieverstanden sein wollte, da die Anforderungen aneiner Studie nicht erfllt seien. Die in einemVortrag von Seiten des BKA genannten Zahlenwurden sogleich als nicht sehr aussagekrftigesstatistisches Material eingestuft (der Grund liegtin dem sehr unterschiedlichem Meldeverhaltender einzelnen Polizeidienststellen). Es wurde da-her von einem Sprecher des BKA die Feststellunggetroffen, da man wohl derzeit keine sicherenZahlen habe.

Anerkannt wurde von allen Seiten, da dieMehrzahl der kursierendenkinderpornographischen Abbildungen alt, d.h.aus den 60iger, 70iger Jahren sei und fr diesedas Internet nur eine weitere Verbreitungsformdarstelle, denn all diese Abbildungen seien auchdurch Printmedien etc. schon vorher bekanntgewesen. Durch elektronische Bildmontagenkommt das eine oder andere neue Bild hinzu. Die

wirklich neuen Abbildungen stellten jedoch nureinen sehr kleinen Teil der kursierenden Bilderdar.

Rechtsgrundlagen fr Auskunftsersuchen

Teilweise sehr umstritten war die Diskussion berdie Rechtsgrundlagen fr Auskunftsersuchen derErmittlungsbehrden. Es geht um die Frage,wann und in welchem Umfang dieStrafverfolgungsbehrden von den ISPs Daten

oder Ausknfte verlangen drfen. Es bildetensich zwei Schwerpunkte heraus: Zum einen dieFrage, auf welcher Rechtsgrundlage berhauptDaten erhoben werden knnen und zum anderen,inwieweit eine Datenerhebung im Widerspruchzu verschiedenen Datenschutzgesetzen steht.

Fr die Datenerhebung durch dieStrafverfolgungsbehrden wurden folgendeVorschriften genannt:

Inhaltsdaten 100a, 100b StPO


18/36

Verbindungs-daten zu speichern, so sie diese

nicht fr Abrechnungen bentigen. Der dasTDDSG und die TDSV durchziehendeRechtsgedanke sei, da Datenspeicherungvermieden werden solle (vgl. z.B. 6 Abs. 3 S. 1TDSV). Die sich aus 6 Abs. 3 S. 2 TDSV ergeben-de Frist zur Datenspeicherung von 80 Tagen nachRechnungsversand ist verschiedentlich von denStrafverfolgungsbehrden als problematischangesehen aber als die derzeitige gesetzliche Lageakzeptiert worden.

Davon unabhngig knnen Daten mglicherweiseauch freiwillig an die Strafverfolgungsbehrdengegeben werden - so vertreten von Seiten derBehrden, was allerdings auf star-ke datenschutz-rechtliche Bedenken auf Seiten der ISPs traf.Nach derzeitiger Rechtslage knntemglicherweise 28 II Nr. 1.a) BDSGherangezogen werden. Bei der beabsichtigtenNovelle des BDSG soll dazu explizit eine Normvorgesehen werden.

Hingewiesen wurde darauf, da die in 90 TKGgeregelte Kostentragungspicht durch denTelekommunikationsdiensteanbieter (soweit TKGanwendbar ist) fr Ausknfte nur frautomatisierte Verfahren greife. Bei manuellerteilten Ausknften greift das ZSEG.

Fernmeldeberwachung (FV, TKV, TechnischeRichtlinie zur TKV)

Die Technische Richtlinie zur TKV gehtinsbesondere auf ISPs ein, sei aber nur bindendfr die Verwaltung. Aus nicht ersichtlichenGrnden ist die Technische Richtlinie alsvertraulich eingestuft. Neuer Termin frAnhrung der be-troffenen Kreise zur TKV istvoraussichtlich im 1. Quartal 1999.

Streitig war, ob die FV berhaupt noch gltigsei, weil ihre Rechtsgrundlage weggefallen ist.

Tagungsbericht BKA-Tagung

Soweit 12 FAG anwendbar ist, ist eine

richterliche Anordnung erforderlich, bei Gefahrim Verzug kann auch eine Anordnung derStaatsanwaltschaft ausreichend sein. Gem 28FAG in der Fassung desTelekommunikationsbegleitgesetzes tritt 12FAG am 31.12.1999 auer Kraft. Aus demAuditorium wurde geuert, da eineNachfolgeregelung derzeit noch nicht einmal imVorentwurf vorhanden sei. Beabsichtigt seiallerdings diese Regelung in die StPO einzustellenund an den Vorschlag des 99a StPOanzuknpfen. Dieser war im BegleitGvorgesehen, ist aber in der endgltigen Fassungentfallen, der Wortlaut, des damaligen Vorschlags:

99a

Von denjenigen, die geschftsmigTelekommunikationsdienste erbringen, kannAuskunft ber die nheren Umstnde derTelekommunikation verlangt werden, wennbestimmte Tatsachen den Verdacht begrnden, dajemand als Tter oder Teilnehmer eine Straftatbegangen hat oder in Fllen, in denen der Versuchstrafbar ist, zu begehen versucht oder durch eine

Straftat vorbereitet hat, und insoweit dies fr dieErforschung des Sachverhalts oder die Ermittlungdes Aufenthaltsortes des Beschuldigtenerforderlich ist. Betrifft der Verdacht einerStraftat nicht eine mittels Endeinrichtungen ( 3Nr. 3 TKG) begangene Straftat, kann Auskunftber die nhe-ren Umstnde derTelekommunikation nur verlangt werden, wennGegenstand der Untersuchung eine Straftat vonnicht unerheblicher Bedeutung ist.

Die Auskunft darf nur vom Richter, bei Gefahr imVerzuge auch von der Staatsanwaltschaft verlangtwerden.

Die Anordnung ergeht schriftlich. Sie darf sichnur gegen den Beschuldigten oder solchePersonen richten, von denen auf Grund

bestimmter Tatsachen anzunehmen ist, da sie frden Beschuldigten bestimmt oder von ihmherrhrende Mitteilungen entgegengenommenoder weitergegeben haben oder das derBeschuldigte ihren Anschlu benutzt hat.

Nach einhellig vertretener Meinung gibt es

derzeit keine Verpichtung fr die ISPs



19/36

Folgende - nicht abschlieenden - Kriterien

wurden fr die Zumutbarkeitsprfung imRahmen des 5 TDG, 5 MdStV angefhrt:

a. Wenn der Content Provider angegangenwerden knne, sei der ISP nicht verantwort-lich.

b. Welche Bedeutung hat das Rechtsgut? EineSperrung sei eher zu bejahen, wenn das Rechtsgutinternational geschtzt ist als wenn dies nicht derFall ist.

c. Unzumutbar sei eine tatschlich unwirksameSperrung.

Sperrung gem. 5 TDG, 5 MDStV, Filter

Es wurde die Auffassung geuert, da bei einerSperrung nur eine solche eines ganzen Serverstechnisch mglich sei, die Sperrung einereinzelnen Adresse sei technisch noch nichtmglich.

Sollte dies den Tatsachen entsprechen, wrde diesdie Verhltnismigkeitsprfung (Zumutbarkeit)im Rahmen des 5 TDG, 5 MDStV beeinussen.Es mte bei der Prfung bercksichtigt werden,welche anderen Inhalte auf dem Servervorhanden sind und ob dieser Inhalte eineSperrung mglicherweise aufverfassungrechtliche Bedenken stt.

Das Problem ist praktisch relevant geworden im

Falle eines japanischen Servers, der unteranderem kinderpornographische Inhaltegespeichert hatte. Es wurde versucht dieSperrung dieses Servers u.a. damit zu begrnden,da die brige Inhalte ob der japanischen Sprachenur einer verschwindent geringen Minderheit inDeutschland verstndlich sei. Eine derartigeArgumentation erscheint unterverfassungsrechtlichen Gesichtspunkten uerstproblematisch, wenn nicht gar contra legem.

Beide Auffassungen (gltig / ungltig) wurden

vertreten, mit einer Tendenz zu gltig.

Von Seiten der Staatsanwaltschaft wurdevertreten, da ISPs nicht berechtigt seien, dierechtlichen Voraussetzungen einer berwachungder Telekommunikation zu prfen, sondern siederen Anordnung Folge zu leisten htten.

Strafrechtliche Verantwortung nach 5 TDG

Eine strafrechtliche Verantwortung kann sichnach einhelliger geuerter Meinung nicht aus 5Abs. 4 TDG ergeben. Dies ergibt sich aus dem kla-ren Willen des Gesetzgebers und dem Wortlaut.Auerdem htte andernfalls 5 Abs. 3 TDGentfallen knnen. Die einzige Stimme die sichgegenteilig uerte ist rechtsirrig.

Vertreten wurde, da es fr Kenntnis im 5TDG alleine auf die Kenntnis der Tatsachenabzustellen sei. Eine juristische Beurteilung

gehre nicht dazu, eine Anwendung des 17StGB sei in der Regel ausgeschlossen.

Problematisiert wurde, ob 9 Abs. 1 StGBhinsichtlich auslndischer Inhalte eineStrafbarkeit in Deutschland begrnden knnehinsichtlich des zur Verfgung stellens oder desVerbreitens. Als streitig wurde angesehen, ob derKlick auf ein Angebot den Taterfolg inDeutschland herbeifhrt oder ob der Taterfolgnur fr solche Angebote gelten knne, die auf

Deutschland gerichtet seien (was nach dieserAuffassung z.B. zu verneinen wre bei einemAngebot in chinesischer Schrift).

Im brigen ergbe sich eine Strafbarkeit frauslndische pornographische Inhalte nach 6Nr. 6 StGB. Zumutbarkeit im Rahmen 5 TDGund 5 MdStV


1 4 .-1 5 . Dezember 1 9 9 8 W iesbaden


20/36



Berichtet wurde von dem Entstehen der Internet

Content Rating Alliance, die auf Basis des PICSVerfahrens Inhalte klassizieren will. DieEinordnung soll durch die Autoren selbervorgenommen werden. Ein sogenanntes ThirdParty Rating sei nicht zu bevorzu-gen. Die

bewute oder fahrlssige Falschklassizierungsoll durch Vereinbarungen mit den Autorenausgeschlossen werden. Der Vorteil diesesAnsatzes sei, da er international wirksam sei.Kritisch wurde geuert, da die Erfahrungen desRSACi einbezogen werden sollen, dessenKlassizierungsystem nach europischenMastben problematisch sei.

Ein weiteres Verfahren stelle die PadGeo Softwaredar, die bekannte, als kinderpornographischeingestufte Abbildungen, mit im Internetaufgefundenen Bildern vergleiche. Mit derartigerSoftware wollen die Strafverfolgungsbehrdenund jugendschutz.net Abbildungen nden undgegen die Verbreiter vorgehen. Derartige Software

ist aber noch so weit in den Anfngen derEntwicklung, da jedes einzelne Bild, da alspornographisch von der Software erkannt wurde,von einem Menschen berprft werden mu.

Wie auf dem Chaos Communication Congre1998 (Berlin) berichtet wurde, wrde andernfallsz.B. die Abbildung eines kahlen Kopfes aufgrundder Rundung als pornographisch eingestuft; eben-solches gelte fr Software, die z.B. Von China oderSaudi Arabien als Filtersoftware eingesetzt wird.

Mit ihr werden Texte nach mathematischenVerfahren analysiert. Dabei kann dann z.B.rauskommen, da Adolf Hilter war ein guterund friedvoller Mensch. nicht beanstandet wird,whrend Adolf Hilter war ein dummesSchwein. beanstandet wird. Bereits an diesemeinfachen Beispielen wird deutlich, da eineautomatische Filterung nach dem derzeitigenStand der Technik nicht mglich ist, ganz davonabgesehen, ob ein solches Vorgehen

rechtspolitisch und gesellschaftlich

wnschenswert ist. Letzteres beides wurde auf

der Veranstaltung des BKA ebenfalls starkbezweifelt bis abgelehnt.

Hyperlinks

Vereinzelt wurde vertreten, da hyperlinks unter 5 Abs. 1 TDG fallen und das ein zugnglichemachen nach den 86, 130, 131, 184, 130e StGB

bei einem hyperlink auf den entsprechendenInhalt gegeben sei. Dieser Auffassung istmehrfach entgegengetreten worden. Im brigenwurde zur Haftung fr Inhalte, auf diehyplerlinks verweisen, die in der Literaturvertretenen Meinungen der Beurteilung nach 5Abs. 2 und 5 Abs. 3 TDG vertreten. Teilweisewurde vorgetragen, es sei eineEinzelfallbetrachtung vorzunehmen. Vereinzeltwurde vertreten, da bei Delikten, fr derenVollendung ein Zugnglichmachen ausreichendist, die Strafbarkeit bereits mit dem Setzen deshyperlinks eintrete, whrend bei

Verbreitungsdelikten dies nicht der Fall sei.

Diskutiert worden ist die Frage, inwieweit eineHaftung fr hyperlinks der zweiten Ebenegegeben ist, d.h. wenn ein link auf einen Text mitweiteren links verweist ist fraglich, ob auch frdiese weiteren hyperlinks gehaftet wird, die ber-wiegende Meinung hat sich dagegenausgesprochen, mit der Tendenz eine Haftungnur fr selber gesetzte hyperlinks zuaktzeptieren, es sei denn es lge ein Fall der

Umgehung vor.

Da die Inhalte, auf die mit hyperlinks verwiesenwird, sich ndern knnen, empehlt es sich, diesein dem Zeitpunkt in dem man erstmalig auf sieverweist, zu dokumentieren.


21/36

1 4 .-1 5 . Dezember 1 9 9 8 W iesbaden


Nationale und Internationale Zustndigkeiten und

Aktivitten

Auf nationaler Ebene besteht ein schwer zudurchschauendes Geecht von Zustndigkeitenund Aktivitten.

Zustndiger Ansprechpartner fr jeden ISP ist dasjeweils zustndige Landeskriminalamt. Beim BKAist eine zentrale Stelle (siehe Einfhrung)eingerichtet worden.

Aktivitten entfalten weiterhin dieBundesprfstelle, die Onlineangebote indiziertund dies in ihrer Zeitschrift verffentlicht(woraufhin diese bei diversen Nutzern kursiertum die interessantesten Angebote gleichsortiert zusammengestellt zu bekommen).

Im Auftrag der Jugendminister der Bundeslnderdurchsucht jugendschutz.net anlaunabhngigdas Internet mit einem crawler. Dabei sollen pro

Nacht ca. 100 Treffer gefunden werden, vondenen ca 50 nach manueller Sichtung relevant sei-en. Bezglich jugendschutz.net kam die bekannteDiskussion Bund - Lnder auf. Als Organisationder Bundeslnder kann jugendschutz.net nur imRahmen des MDStV ttig werden, nicht imRahmen des TDG. Daher interpretieren dieVertreter dieser Stelle den MDStV auch so, daalle Onlinedienste / Internetangebote darunterfallen. Dies wird - zu Recht - vom Bundabgelehnt. Soweit jugendschutz.net sich bei ISPs

meldet, um Gesetzesverste anzumahnen, solltedaher uerst sorgfltig geprft werden, wieweitberhaupt eine Mediendienst im Sinne desMDStV vorliegt, in der Regel wird dies zuverneinen sein. Auf der Tagung wurderichtigerweise darauf hingewiesen, da

jugendschutz.net keinerlei Auskunftsrechte (siehedazu oben) die den Strafverfolgungsbehrdenzustehen in Anspruch nehmen kann. Ausknftean jugendschutz.net sind freiwillig und daher

nicht von Erlaubnistatbestnden, die bei Anfragen

von Strafverfolgungsbehrden eingreifen,

gedeckt. Gesetzesverste z.B. im Rahmen vonDatenschutzrecht (Herausgabepersonenbezogener Daten), sind daher denkbar

bei der Beantwortung von Anfragen vonjugendschutz.net durch ISPs.

Berichtet wurde kursorisch ber eine Reihe voninternationalen Organisationen, die sich mit demProblem der Kinderpornographie beschftigen.

Interpol

UNICEF, How to ban childpornography form the

Internet

ICPO / ECPAT , Ethic Code

G8, High Tech Crime Subgroup

International Champer of Commerce

Council of Europe

UNAFEI

EU

In den USA ist die Zollfahndungsbehrde fr die

Ermittlungen bei strafbaren Inhalten inOnlinemedien zustndig. Berichtet wurde berderen Mglichkeiten bei Ermittlungen.

Probleme der Strafverfolgungsbehrden

Von Seiten der Strafverfolgungsbehrden wurdenu.a. folgende Probleme aufgefhrt:

* Fake Accounts (Zugnge die unter Angabe vonfalschen Personalien eingerichtet wurden).

* Auslandskunden der Online-Dienste.

* langsames Rechtshilfeverfahren.

* Lschungsfrist von 80 Tagen.

* Newsgroup Artikel seien aufgrund des kurzenexpires oft nicht mehr nachvollziehbar und dahernicht verfolgbar.

* Anonyme Remailer wrden eine Rckverfolgungder Nutzer erschweren.

Wnsche der Strafverfolgungsbehrden

Die Vertreter der Strafverfolgungsbehrden haben

eine Reihe von Wnschen geuert:


22/36



* Die Provider mgen Beitrge zur Aufklrungschwerer Straftaten leisten und dieStrafverfolgungsbehrden mit know how undComputern untersttzen. Ntzlich wren indiesem Zusammenhang auch regelmigeGesprche (ohne Anla) zwischen denStrafverfolgungsbehrden und den ISPs. Diesedienten der Information derStraverfolgungsbehrden ber neueEntwicklungen, die technischen Mglichkeiten derProvider, strafbare Inhalte und derbeiderseitigen Vertrauensbildung, damit konkreteManahmen beschleunigt abgefertigt wrden undZwangsmanahmen vermieden wrden.

* Von Seiten jedes ISPs sollten technischeAnsprechpartner und die zustndige

Geschftsleitung benannt werden, die mitentsprechenden Vollmachten ausgestattet sind,damit Manahmen ohne Zeitverzgerungdurchgefhrt werden knnten. Straftaten,insbesondere Kinderpornographie, solle gechtetwerden und Werbung fr ein Sauberes Netzgemacht werden.

* Verantwortliche und deren Praktiken solltenoffengelegt werden, sobald dieStrafverfolgungsbehrden nachfragten.

* Eine schnelle Bearbeitung vonAuskunftsersuchen sei aufgrund derSchnellebigkeit des Internets, in der 1 - 2Stunden schon sehr lange sein knnten,wnschenswert.

* Kundendaten sollten verifiziert werden, bevorein Zugang erffnet wrde.

* ISPs sollten mehr tun als das, was gesetzlichals Minimum gefordert wird. Dies betrifftinsbesondere die Speicherung von Bestands- undVerbindungsdaten. Hierzu sei der 7 TDSVextensiv auszulegen (siehe kritisch dazu obenunter Rechtsgrundlagen fr Auskunftsersuchen).

* Soweit ein ISP kinderpornographischeAbbildungen sperrt oder lscht wurde von Seitender Strafverfolgungsbhrden der Wunschgeuert, eingeschaltet zu werden, um nach

Mglichkeit die Kinder zu ermitteln und dieseSchtzen zu knnen.

An den Gesetzgeber wurden die Forderungengestellt, eine Evaluierung des IuKDGvorzunehmen, einen Ersatz fr 12 FAG zuschaffen und Rufnummern im 11. Teil des TKG,durch Nummern zu ersetzen, da nacheinhelliger Auffassung Rufnummern keine IPNummern oder hnliche Angaben sind, sondernsich ausschlielich auf Rufnummern im Sinne des

Sprachtelefondienstes bezieht. Gewnscht wurde

auch, die Speicherfrist von 80 Tagen zu

verlngern.

Tips fr die ISPs

Um zu vermeiden, da ISPs um die Herausgabevon Bestandsdaten gebeten werden, sollte daraufhingewirkt werden, da alle Kunden, die contentAnbieter sind, in ihrem Angebot eine ArtImpressum mit angeben, in der Ansprechpartnerfr das Angebot genannt werden (vgl. 6 TDG, 6 MDStV).

Die Allgemeinen Geschftsbedingungen oderauch die individualvertraglichen Bedingungenmit den Kunden, die content Anbieter sind,sollten so gestaltet sein, da eine Sperrung vonmglicherweise nicht gesetzeskonformen Inhalten

bereits bei Verdacht mglich ist und insbesondereauch dann, wenn die Prfung, ob einGesetzesversto vorliegt umfangreich ist(Kostenvermeidung).

Die eigene Infrastruktur sollte so installiert sein,da eine sofortige Sperrung rechtswidrigerInhalte in eigenen Speichern mglich ist.

In der Vergangenheit ist es immer wiedervorgekommen, da die Ermittlungsbehrdenganze EDV Anlagen beschlagnahmt haben, soda die betroffenen Privatpersonen oderUnternehmen nicht mehr weiter arbeitenkonnten. Soweit ein solches Vorgehen von den

Strafverfolgungsbehrden angestrebt wird, solltevon Seiten der ISPs darauf hingewirkt werden,da lediglich Sicherungskopieen auf nicht mehrvernderbaren Speichermedien erstellt werden,die den Ermittlungsbehrden bergeben werden.Vertreter der Strafverfolgungsbehrden habengeuert, da sie damit im Regelfall ausreichendarbeiten knnen.

Soweit von den Strafverfolgungsbehrden der

Gedanke einer Selbstverpichtungserklrung


23/36


oder eines Code of Conduct weiter verfolgt wird,

sollten die ISPs darauf achten, da die ihreInteresssen bercksichtigt werden. Der bishervom BKA zur Diskussion vorgelegte Entwurfmte dazu verndert werden. Zu klren wreauch, welche rechtliche Qualitt eine solcheVereinbarung haben wrde und welcheRechtsfolgen sich daraus ergeben knnten. Ob dieUnterzeichnung eines derartigen Papiers sinnvollsein wird, kann erst bei Vorliegen eines neuenEntwurfs beurteilt werden. Bekannt ist, da auchauf internationaler Ebene (z.B. EU) an Codes ofConduct gearbeitet wird. Sinnvoll wird - wennberhaupt - nur die Unterzeichnung eines dieserPapiere sein.

Auerhalb der Veranstaltung ist dasGrundstzliche Vorgehen des BKAs kritisiertworden. Es sei nicht Aufgabe der ISPs imzunehmenden Mae Polizeiaufgaben zubernehmen. Auf dem Chaos CommunicationCongre 98 wurde die Auffassung vertreten, da

die Vorgehensweise Sperrung / Filterunggrundstzlich zu berdenken sei. Aus neuenmedienpdagogischen Untersuchungen ergebesich keinerlei Anhaltspunkt dafr, da Kinderund Jugendliche durch das Ansehen vonerotischen und pornographischen Abbildungenpsychologisch geschdigt wrden. Die Studiendie von den entsprechenden Stellen immerwieder zum Beleg des Gegenteils herangezogenwrden, seien wissenschaftlich veraltet undinzwischen unhaltbar. Wichtig sei dahingegen,

da Kinder und Jugendliche an dem Umgang mitdem Medium herangefhrt wrden. Daher seider Schwerpunkt strker auf pdagogischeManahmen, als auf Sperrung und Filterung zulegen, die erfahrungsgem umgangen werdenknnten oder nicht funktionierten.

RA Alexander Eichler, Wiesbaden


24/36

Einer der Hhepunkte des Hackcentertreibens

endete am frhen Abend in einem Besuch vonBeamten der Computerkriminalittsabteilung desLKA Berlin. Cracker waren in das Netz eines

bremischen Internetproviders eingedrungen,hatten dort smtliche berssige Daten entfernt,das heit, vor allem nutzlose Werbeinformationendiverser Unternehmen gelscht und auf den etwa40 dort betriebenen virtuellen Servern einMusikarchiv fr die Weiterbildung junger Leuteangelegt.

Der Betreiber des unzureichend gesichertenServers zeigte fr diese Manahmen wenigVerstndnis und versprach sich Hilfe vom LKA,

bei dem er Anzeige erstattete. Da die Angriffe voneiner IP-Adresse innerhalb des Hackcenter-Netzeszu kommen schienen, versprachen sich dieStaatsdiener von einem Besuch dort eine Chance,des Crackers habhaft zu werden. Problematischwar allerdings die Frage, ob der Rechner mit derentsprechenden IP dem Cracker gehrte oder obdie Maschine selber nur als Attack-Proxy

verwendet wurde.Der Polizei gelang es allerdings nur, eine einzigeheie Spur sicherzustellen: ein dampfendes chi-nesisches Essen, das an dem Arbeitsplatz stand,der der fraglichen IP zugeordnet war. Ansonstenfand man nur ein Netzwerkkabel und einenleeren Platz, an dem kurz zuvor der Computerentfernt worden war.

Die Polizei bittet den Besitzer des Rechners, sichselbst zu melden - und andere Menschen darum,

diesen Besitzer zu melden. Es gibt auch eineTterbeschreibung: mnnlich, ungefhr 1,80 ground nicht ganz lange und eher dunkelblondeHaare. Nchtlicherdings gab es dann noch einigespannende Probleme mit der Internetanbindung,die damit endeten, da im Hackcenter derInternetzugang nur noch stark eingeschrnktmglich war.

Alles in allem also eine spannende und lehrreicheNacht, die zahlreiche Mglichkeiten zurWeiterbildung bot.

[email protected]

Wilde Sachen bei Nacht

Nachdem abends der Congresstag eigentlichbeendet ist, gibt es eine bemerkenswert groeGruppe von Leuten, die diese Tatsacheschlichtweg ignorieren. Sie sitzen im Hackcenterund scheinen sich vollstndig von den anderswogeltenden Mastben von Zeit und Raumabgekoppelt zu haben.

Beim nchtlichen Streifzug durch das Hackcenterkann man diese Leute die kuriosesten Sachen

machen sehen, die fr den Freund desinnovativen Technologieeinsatzes spannend undlehrreich sind.

Im Untergescho des Hackcenters wurdebeispielsweise die ganze Nacht ber an Lego-und Fischertechnik-Robotern und -Maschinengebastelt. Eine Gruppe verstieg sich durchauserfolgreich in dem Plan, den Prototyp einesComputers, eine Turing-Maschine, zu bauen.Dabei handelt es sich um eine Maschine, die auf

einem Papierstreifen schreiben und lesen kannund auf diesem unendlich langen Band auf- undabfhrt und die darauiegenden Befehle ausfhrt,sowie neue Daten auf den Streifen schreibt undliest.

An anderer Stelle hatte man einige biometrischeDevices zum Testen aufgetrieben und machte sichernsthaft daran, biometrische IDs zu flschen.Whrend man das berlisten eines Infrarot-Durchlicht-Fingerscanners verschieben mute,

gelang es nach zahlreichen Versuchen mitStempelkissenfarbe, Wachs, Klebeband und Folie,mittels eines Zigarettenblttchens und einesBleistifts eine Fingerdublette herzustellen, mitder man ein rein optisches Fingererkennungs-system berlisten konnte.

Andere Spontan-Workshops beschftigten sichmit dem Aufbau und der Technik von Mobilfunk-stationen, der Zahl 23, der untersten Netzwerk-schicht und dem ARP-Protokoll oder dem Aufbauund der Sicherheit von deutschen Universitts-netzwerken.


Berichte vom 15. Chaos Communication


25/36

ARJ oder ZIP) ein, so stellt man fest, da die

Komprimierung nur sehr gering ist. SolcheKomprimierungsverfahren versuchenRegelmigkeiten in den zu komprimierendenDaten zu nden, die in digitalisierten Audiodatenkaum vorkommen.

Die erste Idee knnte nun sein, einfach dieAudioausung zu verringern und somit Dateneinzusparen. Leider fhrt dies zu einemQualittsverlust: Auf je weniger mgliche Wertedie analogen Daten abgebildet werden, um sogrer werden die dabei auftretendenRundungsfehler. Diese Rundungsfehler erhhenmageblich den Rauschanteil. Fr eine mglichstverlustfreie Komprimierung von Audio-Daten istdieses Verfahren damit unbefriedigend.

Biologen gehen davon aus, da vommenschlichen Ohr zum Gehirn ein Datenstromvon ca. 2000-3000 bit/s iet. Die Schtzung gehtzurck auf die Annahme, da Informationen mit

ca. 60-100km/h in den Nerven bertragenwerden und der Nervenstrang vom Ohr zumGehirn keinen grere Datenmengetransportieren kann. Eine CD beinhaltet einenDatenstrom von ca. 1.000.000 bit/s. Im Gehirnkommen von den Informationen, die auf einerAudio-CD gespeichert sind, also nur ca. 0,25% an.

Die Psychoakustik beschftigt sich mit der Frage,welcher Anteil der Informationen, die alsSchallwellen auf unser Ohr treffen, tatschlich im

Gehirn ankommen. Als Antwort auf diese Fragewurde bisher keine einheitliche Formel gefunden.Verschiedene Forschungsinstitutionen haben insehr vielen Versuchsreihen mit Testhrern heraus-gefunden, was in Audiosignalen weggelassenwerden kann, ohne da ein Unterschied fr dieTestpersonen hrbar war.

Das Ohr ist trge, und diese Trgheit sorgt dafr,da leise Tne nach einem lauten Ton nur sehr

schlecht oder gar nicht wahrgenommen werden -


Congress 27.-29.12.1998 in Berlin

M P3 Workshop: All rights reversed?!

Der Workshop fhrte in die Technik derKomprimierung mittels MPEG ein und mndetein eine Diskussion um die Auswirkungen derTechnologie auf die zuknftige Entwicklung derVermarktung von Musik im und auerhalb desInternet.

Die Technik

Musik besteht aus Schallwellen, die mittels einesMikrofons in elektrische Schwingungenumgewandelt werden knnen. Um dieseanalogen Signale, die auf einem Diagramm derSignalstrke, abgetragen gegen die Zeit,komplizierte Wellen ergeben, digital speichern zuknnen, werden die analogen Axen desDiagramms in kleine Abstnde unterteilt(quantisiert).

Die Unterteilung der Zeitachse ergibt einezeitliche Ausung, die mit der Sampling-Rateangegeben wird. Die Sampling-Rate gibt inSamples pro Sekunde an, wie hug ein Mewert(der Signalpegel) pro Sekunde erfat wird.

Die Quantisierung der Amplitude (Signalstrke)ergibt eine maximale Anzahl von Werten, in diedie zu digitalisierenden Signalpegel einsortiertwerden mssen. Diese Anzahl der mglichen

Werte ergibt die Audio-ausung - meistangegeben in Bit.

Auf einer handelsblichen Musik-CD wird z.B.eine Samplingrate von 44kHz (also 44000Mewerte pro Sekunde) und eineAudioausung von 16 Bit (65536 mglicheSignalpegel) verwendet.

Speist man die auf diesem Weg erhaltenen Daten

in ein normales Komprimierungsprogramm (z.B.


26/36

Komprimierung von 1:12 ist die Qualitt fr die

Wiedergabe von Musik mit der Qualitt vonRadio vergleichbar.

In der Weiterentwicklung des umrissenenVerfahrens soll 'guessing' - der Versuch die Werteeines Folge-Samples zu raten - zum Einsatzkommen und die Komprimierungsratenocheinmal erhhen. Auch hierfr werdenVersuchsreihen mit Testhrern durchgefhrt, diezeigen sollen, bis zu welchem Ma das Verfahrengeeignet ist, und an welchen Stellen dieAbweichung in den geratenen Samples durchChecksummen korrigiert werden mu.

Die technischen Verfahren zur Dekomprimierung(!) solcher Datenstrme wurden in ISO-Normenvon der Motion Picture Encoding Group (MPEG)normiert. Zur Norm gehren nicht dieKodierungsverfahren, deren Qualitt mageblichvon der Forschungsarbeit der einzelnen Anbieterauf dem Gebiet der Psychoakustik abhngt. In

den Normen der MPEG wird jedoch - wie derName vermuten lt - nicht nurAudiodekomprimierung festgelegt, sondern auchdie Verfahren zur Videodekomprimierung.Zielsetzung der Gruppe ist es, Normenfestzulegen, nach denen Bild und Ton vondigitalen Datentrgern (CD, DVD) oder ausdigitalen Datenstrmen (Fernsehen, Internet)dekodiert und wiedergegeben werden knnen.

Der erste verabschiedete Standard war MPEG1. In

MPEG1 (ISO11172) wurde festgeschrieben, wievon einer normalen CD mit 1-facherAbspielgeschwindigkeit Video und Audiowiedergegeben werden kann. Die Norm teilt denDatenstrom in drei Layer: Auf Layer 1 werdenDaten fr die Zusammensetzung von Audio undVideo Datenstrom transportiert (System Stream),auf Layer 2 werden die Video-Daten als halbesPAL-Bild bertragen und auf Layer 3 letztendlichdie Audio-Daten.


ebenso wie vorhergehende leise Tne fr einen

krzeren Zeitraum berschattet werden.hnliches gilt fr einen intensiven Ton auf einerFrequenz, der Tne auf unmittelbarenNachbarfrequenzen berdeckt. Hohe Tnewerden eher wahrgenommen als tiefe Tne.

In Hinblick auf diese Erkenntnisse wurdenempirische Daten ausgewertet und genauemathematische Regeln erstellt, die beschreiben,welche Informationen im Audiosignal eingespartwerden knnen, ohne da die Qualitt fr denHrer merklich sinkt.

Technisch wird hierfr das Audiosignal in 32Frequenzbnder geteilt (z.B. 100Hz, 200Hz, ... ,2kHz, 4kHz...). Dabei teilt sich ohneKomprimierung die Anzahl der mglichen Werte(Audioausung) durch die Anzahl derFrequenzbnder, und jedes Frequenzband erhlteinen eigenen, entsprechend kleinerenWertebereich.

Fr die Komprimierung nach denpsychoakustischen Kriterien wird nun die Anzahlder mglichen Werte fr durch benachbarte lauteFrequenzen berdeckte Frequenzen gesenkt, dadiese Frequenzen schlechter wahrgenommen wer-den. Dadurch knnen Daten eingespart werden.

Ein hnliches Verfahren wird auf der Zeitachsedes Audiosignals verwendet, um Signalen, dieeinem sehr viel lauterem Signal vorausgehen oder

folgen, ebenfalls einen kleineren Wertebereichzuzuweisen.

Die entstehenden Ungenauigkeiten (Rauschanteil)bei der verlustbehafteten Komprimierung werdensomit auf Signalanteile verteilt, die ber denHrapparat das Gehirn nicht oder nur sehrschwach erreichen. Der

Qualittsverlust ist im Verhltnis zur

eingesparten Datenmenge sehr gering. Bei einer



27/36

mu. Ein Fernsehbild lt sich so komprimiert in

einen 6MBit Datenstrom verpacken.

Konkurrierende Verfahren wie z.B. RealAudio,RealVideo oder LiquidAudio weichen vomtechnischen Verfahren von MPEG2 nur in derUmsetzung ab. Die Grundlagen sind dieselben. Eslt sich nicht feststellen, da eines dieserVerfahren qualitativ besser wre als dienormierten.

Fr die Komprimierung von Audiodaten nachMPEG2 Layer 3 in Echtzeit wird ein PentiumII300MHz bentigt. Eine gnstige Hardwarelsungist von Thomson fr ca. 300,- DM angekndigt.Zum Abspielen reicht hingegen jeder Pentium-PC. Von zwei IC-Herstellern (ITT und Thomson)gibt es Ein-Chip-Lsungen fr dieDekomprimierung, die in entsprechenderStckzahl fr ca. 15$ verkauft wird.

Folgen, Utopien

Weltweit gibt es bisher 15 Hersteller, dieTaschengerte zum Abspielen von MPEG2 Layer3 kodierten Musikdaten anbieten. Der Speicherder Gerte liegt zwischen 32MB und 64MB undreicht somit fr 30-60min Musik in Radioqualitt.

Im Internet werden Dateien mit Musikstckenverteilt und getauscht, die ber eineComputerschnittstelle in die meisten Abspielerberspielt werden knnen. Diese Entwicklung

wird von den groen Musikproduzentengebremst, kann jedoch nicht gestoppt werden.

In Zukunft knnte die Stellung derProduktionsrmen ins Wanken kommen, da derVertrieb ber das Internet theoretisch direkt vonden Knstlern zu den Konsumenten mglich ist.Neben allen damit verbundenen Ideen, Idealenund Utopien wurde jedoch nicht aufgezeigt, daes neben einer Untergrundszene, die illegal Musik

kopiert und tauscht, ernstzunehmende Anstze

Da MPEG1 fr die CD entwickelt wurde, sind

exible Bandbreiten fr die einzelnen Kanlenicht vorgesehen.

Das technische Verfahren zur Dekomprimierungvon Audiodaten im anfnglich beschriebenenFormat ndet sich in der Nachfolgenorm MPEG2Layer 3. Ebenso wie bei MPEG1 ist MPEG2(ISO13848) in drei Layer fr Steuerdaten, Videound Audio getrennt. Mittels der neuen Normknnen Datenstrme mit beliebiger Qualittdekodiert werden und die Verfahren wurdenoptimiert und erweitert um eine bertragung desDatenstroms ber eine verlustbehafteteVerbindung (z.B. einen Fernsehkanal) zuuntersttzen. In einer Erweiterung (MPEG2Layer3 ACR), die bisher noch nicht zum Einsatzkommt, ist schon festgeschrieben, wie mehrereAudiokanle fr z.B. Surround Sound bertragenwerden.

Das Verfahren zur Komprimierung von

Videosignalen funktioniert hnlich wie dieKomprimierung der Audiodaten (jedoch ist in derNorm auch fr Video nur die Dekomprimierungfr Video genormt): Das Videobild wird inQuadrate von 8x8 Pixeln zerteilt. Betrachtet mandie 64 Pixel eines solchen Ausschnitts aneinander-gereiht und fhrt mit einer konstantenGeschwindigkeit an ihnen entlang, so ergibt sicheine Signal aus Helligkeitwerten, das sichgenauso wie ein Audiosignal in Samples zerlegenlt. Diese Samples knnen wieder in

Frequenzbnder geteilt und nach hnlichenKriterien wie das Audiosignal komprimiertwerden. Die Komprimierung der Videobilderentspricht technisch dem JPEG-Verfahren frEinzelbilder.

Zustzlich wird betrachtet, ob sich ein bestimmterAusschnitt aus 8x8 Pixeln im Folgebild an eineranderen Stelle wiedergefunden werden kann undsomit nur dessen Bewegungsvektor und nicht die

vollstndige Bildinformation bertragen werden

Congress 27.-29.12.1998 in Berlin



28/36

Anonymitt im Netz

Welche Daten werden mitgeschickt, wenn eineWebsite abgerufen wird? Schon bei einemeinfachen http-Request werden User- undSystemdaten mitbertragen, die zum einen dazugenutzt werden knnen, sich ein Bild vom Userzu machen (user proling), zum anderen kannder Verlauf whrend des Aufenthaltes im Webnachvollzogen werden (user tracing). Aussagenber den Rechner und seinen Benutzer erhltman z.B. aus Angaben ber den Browser, dieSprache und natrlich ber die IP-Adresse. Dererste Weg zu Anonymitt im Netz ist daher,fremde Logles mit mglichst wenig Angabenber sich zu fttern.

Hierfr wurde neben dem "Janus-Projekt"http://janus.fernuni-hagen.de und "Mixmaster"auf das Programm "Junkbuster" eingegangen.Anonymicer nden sich aufhttp://www.informatik.tu-muenchen.de/cgi-

bin/ucgi/pircher/ssis/anonymicer/index.html.

Am weitesten geht Mixmaster, bei dem die Datenin gleich groe Blcke geteilt werden, so dadurch eine Analyse des Trafcs praktisch keinewertvollen Rckschlsse mglich sind. Auerdemwerden die Daten fr jeden Proxy, ber die dasAnonymizing luft, gesondert verschlsselt.Anonymitt ist nicht nur gegenber denAnbietern der Sites notwendig, sondern kannauch innerhalb eines corporate network sinnvoll

sein. Als Beispiel wurde ein Angestellterangefhrt, der am Arbeitsplatz surft und neueStellenanzeigen studiert. Durch dieDokumentation aller angewhlten Seiten inLogles erfuhr der Arbeitgeber frhzeitig von sei-nen Plnen, sich beruich zu verndern.

Nchster Themenkomplex waren Identifyer wieCookies, durch die z.B. zur Erstellung vonKundenprolen auf der Festplatte des Users

Daten gespeichert und dieser dadurch


fr die Bedienung eines ffentlichen

Massenmarktes gibt.

Den einzige, von den Anwesenden abgelehntenVorsto in den elektronischen Vertrieb vonAudiodaten unternimmt ein Internet-Anbieter inDeutschland: ber WWW-Seiten knnen Titelausgewhlt und gegen eine Gebhr von 0,10DMin Ausschnitten angehrt werden. Wird ein Titelzum Kauf gewhlt, so wird die Verbindung zumInternet-Anbieter getrennt und ein Server ruft viaISDN den Kunden an und liefert die Datei aus.Die Musikdatei ist allerdings verschlsselt undkann nur mit dem Programm der Empfngeringehrt werden. Fr die private Nutzung gibt eskostenlos eine Zweitlizenz fr eine zweiteInstallation. Bei einem Preis von 3-5 DM proMusiktitel wird an der Akzeptanz gegenberdieses Verfahrens zu Recht gezweifelt.

Einigkeit bestand in dem Punkt, da Musik zuteuer ist und nicht nachvollziehbar ist, wo das

Geld bleibt. Der von den Produktionsrmenangestrebte Preis von 50,- DM pro CD drfteangesichts der aktuellen Entwicklungen jedochnicht haltbar bleiben.

Ein philosophischer Ansatz fr die freieVerfgbarkeit von Musik war, da sie - einmalgehrt - in Fragmenten im Gehirn gespeichertwird. Beim erneuten Hren werden lediglichErinnerungen erneuert. Unbeantwortet bliebhierbei jedoch die Frage, warum die

Dienstleistung der Auffrischung vonErinnerungen nicht vergtet werden sollte.

Vortrag: Andreas Bogk

Bericht: Chris Vogel



29/36

verstndlich, da eine solche dynamische

Typisierung nicht sehr performant ist. DerCompiler kann den Code nicht zur Compile-Zeitauf den Datentyp hin optimieren. Ein klassischesDilemma, so scheint es.

Vorhang auf: In diese Problematik hinein kommtDylan (Dynamic Language), eine relativ jungeProgrammiersprache, die ihre Wurzeln bei Applehat. In Dylan kann man problemlos einfach sodrauosprogrammieren und mu sich nicht umTypisierung kmmern. Wenn das Programmdann allerdings auf Geschwindigkeit optimiertwerden soll, benutzt man einfach statischesTyping. Das beste zweier Welten, sozusagen.

hnliche Koniktfelder gibt es bei der Art derSprache: Neben den bekannten imperativenProgrammiersprachen wie Pascal und C gibt esnoch objektorientierte Sprachen wie Smalltalk,C++ oder Java und zu guter letzt funktionaleSprachen, von denen LISP die bekannteste sein

drfte. Dylan ist auch hier wieder hybrid.Komplett objektorientiert hat es trotzdemMglichkeiten zur funktionalen Programmierung.Die Syntax von LISP ist ja so eineGeschmackssache. "Es gibt zwei Arten vonLeuten: Die einen stehen auf viele Klammern unddie anderen hassen es. Die meisten hassen es",fasst Andreas Bogk zusammen. Dylan hat dahereine sehr angenehm zu lesende, Pascal-hnlicheSyntax. Dylan verfgt aber auch noch berandere Features, die man von einer modernen

Programmiersprache erwartet. Garbagecollection, das automatische Entsorgenungenutzter Variablen oder Objekte, kennt manaus Sprachen wie Perl oder Java und natrlichgibt es sie in Dylan auch.

Eine Sache, die man sich bei derobjektorientierten Programmierung immerwnscht, ist die Trennung von Methoden undObjekten. "Wenn ich zwei Objekte 'Frau' und

'Mann' habe und die Methode 'Sex' darauf

wiedererkannt werden kann

http://www.cookiecentral.com/unofcial_cookie_faq.html . Neben dem Aufbau von Cookieswurde auf eine weitere Gefahr hingewiesen, wiedie Mail-Adresse des Users herausgefundenwerden kann: Ist bei der Konguration alsPasswort fr anonymous-ftp die eigene Mail-Adresse eingestellt, mu nur im Hintergrundeiner Website ein anonymous-ftp angestoen wer-den und der Server erhlt die gewnschteAdresse.

Zuletzt wurde auf Crowds eingegangen, einenVerband kooperierender Proxies zumAnonymizing [http://www1.informatik.uni-erlangen.de/crowds/]. Hierbei wird symmetrischund fr alle Proxies mit dem gleichen Keyverschlsselt, wodurch Crowds wesentlichschneller als Mixmaster arbeitet. Als Ausgleichfr die schwchere Verschlsselung tunneltCrowds schnell durch viele Proxies.

Der Vortrag wurde von drei ErlangenerInformatikern vorbereitet und von Matthias Bauervorgetragen.

Bericht: Jockel v. Nieman

Einfhrung in Dylan

So etwas wie eine ideale Programmiersprachescheint es nicht zu geben. Nehmen wir zum

Beispiel die Typisierung von Variablen. Es gibt imGrunde zwei Konzepte: dynamisches Typing undstatisches Typing. Beides hat seine Vor- undNachteile: Bei Sprachen wie C mu ich explizitfestlegen, ob ich Ganzzahl-, Fliekomma- oderZeichendaten verwenden will. In Perl dagegenschreibe ich einfach die Va

Date post:	29-May-2018
Category:	Documents
Upload:	linkezeitschriften
View:	216 times
Download:	0 times

Datenschleuder #66

Documents