Privatsphäre mit Sicherheit verwechseln: Der fatale Fehler

Auf einem kürzlichen Langstreckenflug habe ich die Gelegenheit genutzt, eine ehrlich gesagt wahnsinnige Menge an Podcast-Episoden zu verschlingen. Da ich bei so vielen verschiedenen Serien auf dem Laufenden bleibe, mangelt es mir nie an etwas, das ich hören kann – fesselnde, wenn auch einseitige Unterhaltungen sind nur einen Fingertipp auf meinem Bildschirm entfernt.

Irgendwann landete ich bei einer Episode des True-Crime-Podcasts Casefile. Diese dramatische, schonungslose Serie (komplett mit einem ominös klingenden, namenlosen Moderator) befasste sich mit einem Thema, das selbst die sachkundigsten und versiertesten Technologen fasziniert: das Deep Web und der katastrophale Aufstieg der Schmuggel-Website Silk Road. Wer mit dem Aufstieg und Fall von Silk Road vertraut ist, wird die Nachrichten über den Fall zweifellos verfolgt haben, aber der Podcast enthüllt jedes noch so kleine Detail in einer köstlichen, nervenaufreibenden Erzählweise.

Silk Road: Lektionen aus dem Verlies des Deep Web

Falls Sie mit den Details von Silk Road nicht vertraut sind: Die Kurzfassung lautet, dass ein Mann eine Handelsplattform im Deep Web errichtete, verborgen vor den neugierigen Augen der Öffentlichkeit und nur mit spezieller Software – dem Tor-Browser – zugänglich. Die Seite bot anfangs nur seine selbst angebauten Zauberpilze an, explodierte aber praktisch über Nacht mit Anbietern, die alles von harten Drogen bis hin zu illegalen Waffen und gestohlenen Kreditkartendaten verkauften. Hier können Sie sich auf den neuesten Stand bringen. Der Schöpfer und Administrator der Seite nutzte das von „Die Braut des Prinzen“ inspirierte Pseudonym Dread Pirate Roberts. Er war jeder und niemand zugleich. Alle Nutzer handelten mit einer wahren Fülle illegaler Waren, und das völlig anonym (wobei Bitcoin den Ruf als bevorzugte Währung von Drogendealern erhielt; ein Etikett, das es erst jetzt langsam wieder loswird).

Doch das staatsfeindliche Experiment von Dread Pirate Roberts entwickelte sich zu einem Eigengewächs. Bald boten Auftragskiller ihre Dienste an. Böse Menschen taten böse Dinge... und er war berauscht von seinem neu gewonnenen, unermesslichen Reichtum. Er versuchte sogar, einen Auftragskiller anzuheuern, um einen ehemaligen Mitarbeiter zu beseitigen. Kurz gesagt: Dies war eine von vielen törichten Entscheidungen, die zu seinem Untergang führten. Er wurde als Ross Ulbricht enttarnt und sitzt derzeit in einem US-Gefängnis, wo er eine doppelte lebenslange Haftstrafe plus vierzig Jahre ohne Aussicht auf Bewährung verbüßt.

Aber wie wurde er gefasst, wenn alles völlig privat und anonym war?

Nun, um es offen zu sagen: Er war ein ziemlich mieser Programmierer. Die Silk-Road-Seite selbst war wie ein leckgeschlagener Kahn, der auf dem Ozean strandete. In Anbetracht der Tatsache, dass es sich um einen Knotenpunkt für illegale Aktivitäten (und alle Daten hinter diesen Aktivitäten) handelte, war sie überhaupt nicht sicher; sie war ein leichtes Ziel, das nur darauf wartete, von einem opportunistischen Hacker ausgenutzt zu werden. Um fair zu sein: Wenn man das Mastermind eines riesigen, illegalen Drogenhandelsunternehmens ist, ist es wahrscheinlich nicht einfach, kompetente Mitarbeiter zu finden, die sich auf das Geschäft einlassen wollen. Er machte auch kein Geheimnis aus seiner mangelnden Kompetenz – er postete sogar unter seinem echten Namen auf Stack Overflow (ja, das ist sein Benutzerkonto) und bat um Hilfe bei der korrekten Konfiguration seines Seitencodes, um sich mit Tor über Curl in PHP zu verbinden. Er änderte seinen echten Namen weniger als eine Minute nach dem Posten in das Pseudonym „frosty“, aber das half natürlich nicht... tatsächlich schadete es wahrscheinlich noch mehr: Der Verschlüsselungsschlüssel auf dem Silk-Road-Server endete mit der Zeichenfolge „frosty@frosty“, was ihn weiter belastete, als das FBI seine Spur aufnahm.

Trotz des enormen Strebens nach Privatsphäre mit verschlüsselten Nachrichten, Währungen und expliziten Anweisungen zur Sicherung der Schmuggelware während des Transports und der Lieferung war die Seite nicht die undurchdringliche Festung der libertären Fantasie, die sich Ulbricht vielleicht vorgestellt hatte. Diejenigen mit den entsprechenden Fähigkeiten (sprich: vom FBI beschäftigte Programmierer) entlarvten sie langsam, aber sicher, um alles offenzulegen... einschließlich der Identitäten von Tausenden von Personen, die auf der Seite Transaktionen durchführten. Es ist möglich, dass diejenigen, die vor vielen Jahren illegale Waren gekauft haben, irgendwann noch Besuch vom langen Arm des Gesetzes bekommen.

Das FBI veröffentlichte Unterlagen, in denen dargelegt wurde, wie sie Silk Road infiltrieren konnten. Die allgemeine Erklärung war die Ausnutzung eines IP-Adressen-Lecks. Eine Fehlkonfiguration der Silk-Road-Anmeldeseite enthüllte die IP-Adresse und damit den physischen Standort der Server, ohne dass ein hinterhältiger Hack erforderlich war. Ein Anfängerfehler, zweifellos, der das FBI schließlich direkt zu Ross Ulbricht führte.

Es gibt Spekulationen, dass dieser Fehler – falls er existierte – schon lange vor diesem Zeitpunkt von einem der vielen Sicherheitsexperten, die die Seite überwachten, hätte bemerkt werden müssen. Nik Cubrilovic, ein australischer Sicherheitsberater, behauptet in einem Interview mit WIRED, dass er einfach nicht vorhanden war:

„Es gibt keine Möglichkeit, mit einer Tor-Seite verbunden zu sein und die Adresse eines Servers zu sehen, der kein Tor-Knoten ist. Die Art und Weise, wie sie versuchen, einer Jury oder einem Richter glaubhaft zu machen, dass es passiert ist, ergibt technisch einfach keinen Sinn.“

Cubrilovic deutet dann an, dass die Informationen möglicherweise durch illegale Hacking-Praktiken erlangt wurden. Diese Praxis scheint SQL-Injection zu sein, ein unbewiesenes Gerücht, das seitdem auf vielen Seiten als plausible Extraktionsmethode diskutiert wird.

Die Legalität der Taktiken des FBI ist eine völlig separate Diskussion. Die Tatsache, dass die Informationen überhaupt beschafft werden konnten, ist ein Indiz für die mangelhaften Sicherheitspraktiken von Silk Road, obwohl die Nutzer allgemein davon ausgingen, dass die Seite „privat“ sei. Wenn Privatsphäre mit Sicherheit verwechselt wird, steigt die Anfälligkeit für Sicherheitslücken zweifellos an.

Es besteht auch die Möglichkeit, dass die Seite noch laufen würde (zumindest in ihrer ursprünglichen Form; sie wurde mehrmals wiederbelebt, und es gibt derzeit noch größere Seiten, die genauso funktionieren), wenn Ross Ulbricht zwischen Privatsphäre und Sicherheit unterschieden und aktiv daran gearbeitet hätte, beides zu gewährleisten, bevor sie zu einer riesigen Wärmelampe wurde, die jeden zwielichtigen Gauner mit überdurchschnittlichen technischen Kenntnissen auf dem Planeten anzog. Stattdessen wurden der private Club und all seine Geheimnisse enthüllt, sobald jemand einen Weg fand, die Tür zu öffnen.

Sie sind kein Drogenbaron, warum sollte Sie das also interessieren?

Der Verlust von Silk Road und die Inhaftierung seines Gründers ist keine traurige, sympathische Geschichte, aber eine faszinierende Fallstudie über die nuancierten Unterschiede zwischen Privatsphäre und echter, robuster Sicherheit. Es gibt viele legitime Betriebe, die private Transaktionen und Informationen erfordern – denken Sie an digitalisierte Krankenakten oder die Millionen von Kreditkartennummern bei einer Großbank –, aber wenn diese nicht auch durch eine solide Softwareentwicklung geschützt sind, könnten diese Informationen von einem Angreifer abgegriffen werden (und ironischerweise auf einer Seite wie Silk Road landen). Privatsphäre existiert nicht ohne Sicherheit.

Die Guten, wie Sie, könnten Software haben, die anfällig für SQL-Injection-Angriffe und andere Schwachstellen aus den OWASP Top 10 ist. Daher ist es wichtig, diese effizient vorzubereiten und zu entschärfen. Wenn Entwickler von Anfang an darin geschult werden, sicher zu programmieren, werden diese Fehler nie das Licht der Welt erblicken. Es ist zwingend erforderlich, dass Unternehmen eine Sicherheitsmentalität verfolgen und ihre Entwicklerteams befähigen, sicher zu programmieren. Wir zeigen Ihnen, wie das auf unterhaltsame, messbare und spielerische Weise geht. Sind Sie bereit?