PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : RiseUp möglicherweise kompromittiert



FLX
26.11.2016, 18:50
Quelle #1 (https://wutimbauch.wordpress.com/2016/11/24/riseup-net-user-aufgepasst/)


Schlechte Nachrichten für riseup.net Benutzer*Innen. Bitte durchlesen und überlegen wie ihr damit umgehen wollt!

Kurz gesagt: Es besteht die Möglichkeit, dass die riseup.net Infrastruktur von staatlicher Seite aus kompromittiert und übernommen wurde. Potentiell ist also das Nutzen von riseup.net Diensten wie Mail, we.riseup.net, vpn, … unsicher und könnte überwacht werden. Nochmal zur Sicherheit: Es besteht die Möglichkeit.

Hier nun die längere Erklärung, welche Indizien es dafür gibt. In der USA. gibt es die Möglichkeit des Staates, Unternehmen/Privatpersonen/Vereine/… zur Herausgabe von Informationen/Zugangsdaten/… zu zwingen. So ein Verfahren wird ein Subpoena genannt.

[…] Mit einer Subpoena wird eine Person unter Androhung einer Erzwingungsstrafe aufgefordert, bestimmte Auskünfte oder Beweismittel zu einem Sachverhalt in bestimmter Weise beizubringen. Die Subpoena dient damit als ein Zwangsmittel, mit dem Beteiligte und Dritte zur Auskunft in oder gelegentlich vor einem Prozess verpflichtet werden können. […]
(wikipedia)

Nun wäre das schon schlimm genug. Jedoch kann so ein Subpoena auch geheim sein. Was bedeutet das? Die staatliche Institution zwingt nicht nur zur Herausgabe von Daten, sondern verbietet auch das publik machen der Herausgabe. Anders formuliert: Wenn riseup.net beispielsweise von solch einem Subpoena betroffen ist, ist es ihnen verboten dies öffentlich zuzugeben. Solche Subpoena werden auch genutzt, beispielsweise gegen den Krypto Messenger Signal.

Wenn nun also nicht öffentlich zugegeben werden darf, dass Behörden Zugang zur (beispielsweise) Serverinfrastruktur besitzen, wie kann mensch sich dann gegen solch einen Zugriff wehren bzw. die eigenen Nutzer*Innen trotzdem darüber informieren? Dabei wird ein Trick genutzt: Anstatt zu versuchen nach einem Subpoena den behördlichen Zugriff offen zulegen – was ja rechtlich verboten ist – wird in regelmäßigen Abständen kommuniziert, dass es keinen behördlichen Zugriff gibt. Warum ist uns das nun eine Hilfe?

Die Idee ist, dass zwar verboten werden kann eine Information zu verbreiten („Unsere Infrastruktur ist kompromittiert!“).
Jedoch scheint es (rechtliche Grauzone!) so zu sein, dass eine betroffene Person/Unternehmen/… nicht dazu gezwungen werden kann, zu lügen.
Wenn also in regelmäßigen und definierten Abständen bekannt gegeben wird : „Alles ok“, so kann davon ausgegangen werden, dass auch wirklich alles ok ist.
Bleiben diese Statusmeldungen jedoch plötzlich aus, ist das ein Indiz auf einen behördlichen Zugriff.

Dieses Vorgehen nennt mensch einen „Canary in a Coalmine„. Solange der Kanarienvogel lebt ist alles in Ordnung, verstirbt er, gibt es ein Problem. Das oben beschriebene Vorgehen wird auch als Warrant Canary bezeichnet.

Zurück zu riseup.net: Auch diese Organisation besitzt so einen Canary. Nämlich auf ihrer Seite https://riseup.net/de/canary. Dort wird auch bekannt gegeben:

As of August 16, 2016, riseup has not received any National Security Letters or FISA court orders, and we have not been subject to any gag order by a FISA court, or any other similar court of any government. […] Riseup intends to update this report approximately once per quarter.[…]

Am 16. August 2016 wurde also klargestellt: „Alles in Ordnung, kein behördlicher Zugriff auf riseup.net“. Das nächste Update sollte ein Quartal später, also 3 Monate später erfolgen. So ein Statusupdate wäre seit einigen Tagen fällig gewesen, erfolgte aber nicht. Ist das nun ein sicheres Zeichen für einen behördlichen Zugriff? Mit Sicherheit ist das nicht zu sagen, da riseup.net von „approximately once per quarter“ spricht. Es kann also ein paar Tage früher oder auch später passieren.

Laut Informationen im Netz ist das auch in der Vergangenheit öfter passiert, dass das Statusupdate später erfolgte. So machte sich ein User auf Twitter am 16. August 2016 Sorgen um Riseups Integrität.

Wie zu sehen ist, hat sich riseup aber zeitnahe und prompt um das Statusupdate gekümmert. Das ist dieses mal anders. Am 11. November 2016 veröffentlichte riseup auf Twitter folgenden Tweet in Reaktion auf den Tod von Leonard Cohen.

Wer auf den Tweet klickt wird sehen, dass in Reaktion einige Benutzer*Innen das fehlende Statusupdate erwähnen und auch nachfragen wie die Lage ist.

@riseupnet do you think it would have sounded better if he replaced hummingbird with canary?
@libeclipse @a_skylit_empire @riseupnet I know how a quarter works, and they last updated their *quarterly* warrant canary 97 days ago.
@riseupnet Suspicious tweet, along with the canary not being updated since August. – https://riseup.net/en/canary – compromised?
und einige mehr…

Riseup hat jedoch weder auf Twitter reagiert, noch den Canary aktualisiert, sprich: ein Statusupdate auf https://riseup.net/de/canary veröffentlicht. Auch der Inhalt des getweeten Gedichts kann so interpretiert werden, dass Informationen von riseup.net nicht mehr vertraut werden sollten: „don’t listen to me“.

Ähnlich sieht der Fall auch bei diesem Tweet von riseup aus (siehe die Antworten von Twitter Usern und die fehlender Reaktion von riseup).

Fazit: Es spricht einiges dafür, dass riseup.net keine sichere Plattform mehr ist und dort existierende Daten für Behörden einsehbar sind. Sicherheit wird es wohl erst später geben. Je mehr Zeit jedoch vergeht, ohne dass es ein Canary-Statusupdate gibt, umso wahrscheinlicher ist jedoch das Szenario eines behördlichen Zugriffs.

Was tun? Wer riseup.net nutzt, sollte im Moment keine sensiblen Informationen dort austauschen und andere Kanäle zur Kommunikation nutzen. Auch dort gelagerte Daten sollten möglichst schnell gebackupt werden (das kann sowieso nie schaden!).

Nebenbei: Auch Julian Assange besitzt einen Mailaccount bei Riseup. Es gibt auch Gerüchte über fehlende Lebenszeichen seinerseits und einer behördlichen Übernahme der Plattform Wikileaks. Wie vertrauenswürdig diese Gerüchte sind und ob sie mit der Situation mit Riseup zusammenhängen ist jedoch unklar.

Weitere (auch englischssprachige) Links:

Gute englische Zusammenfassung: Riseup’s Canary Has Died
Understanding RiseUp.net’s current status after their Nov 21 announcement, implications https://twitter.com/riseupnet/status/800815181190217729
Assange on the run; Wikileaks platform compromised
Vorsicht mit Riseup, der „Warrant Canary“ ist tot – linksunten.indymedia.org

Update:

Die amerikanischen Behörden haben es wohl nicht in erste Linie auf deutschsprachige Linke abgesehen. Die Wahrscheinlichkeit, dass (falls es wirklich behördlichen Zugriff gibt) sich daraus Probleme für deutsche/österreichische Linke ist wohl eher gering. Aber keine*r will wohl auf ein Plattform, welche von einer amerikanischen Behörde kontrolliert wird, kommunizieren und arbeiten.
Zum Thema verschlüsselte Mails: Behörden haben immer leichten Zugriff auf Mails. Diese werden über das Internet durch viele verschiedene Rechner geschickt und können dadurch leicht wegkopiert werden. E-Mails sind daher wie Postkarten einzustufen – einsehbar durch alle. Anders sieht es jedoch aus, wenn Mails mittels PGP verschlüsselt werden. Die Mails können zwar weiterhin eingesehen werden, de Inhalt ist jedoch nicht entschlüsselbar. Kurz: Eure verschlüsselten Mails sind genauso sicher wie vorher. Solange eure privaten Schlüssel unter eurer Kontrolle sind (diese liegen nicht bei riseup, sondern auf den Rechnern, auf denen ihr entschlüsselt), ist der Inhalt eurer Mails sicher.
Zum Thema Verschlüsselung noch kurz: Wenn Ihr eine an euch verschlüsselte Mail bekommt, dann ist das noch lange keine Sicherheit, dass diese Mail von der Person verschickt wurde, welcher die Addresse gehört (das betrifft nicht nur die aktuelle Situation, sondern ist ne generelle Sache). Die Authentizität der Mail kann nur durch das sogenannte Signieren der Mail erfolgen. Kurz gesagt: Verschlüsseln von Mails an euch bewirkt, dass nur IHR (weil ihr den privaten Key habt) sie entschlüsselt lesen könnt. Signieren bedeutet, dass NUR die Person mit dem privaten Key des Schlüssels, die Mail erstellt haben kann. Verwirrend? Verständlich. Hier gibts was zum weiterlesen (recht verständlich gemacht!).
Wenn ihr Eure riseup Addresse bei Diensten wie Facebook, Twitter, … angegeben habt, könntet ihr jedoch ein Problem bekommen. Warum? Über die Funktionalität „Password per Email zurücksetzen“, können Personen, welche Zugriff auf euren Mailaccount haben (und das könnten Behörden haben) , die Kontrolle über diese anderen Dienste erlangen (wie das gerüchterweise bei dem twitter account von Wikieaks passiert ist).


Quelle #2: (https://www.heise.de/newsticker/meldung/E-Mail-Provider-RiseUp-Der-Kanarienvogel-ist-verstummt-3505655.html)


RiseUp, ein Anbieter verschlüsselter E-Mail-Kommunikation, hat seinen Warrant Canary nicht aktualisiert – das wird als Hinweis darauf gewertet, dass staatliche Stellen in den USA die Herausgabe von Nutzerdaten gefordert haben könnten.

Sicherheitsexperten machen sich in diesen Tagen Sorgen um den US-amerikanischen E-Mail-Provider RiseUp, der verschlüsselte Kommunikation anbietet. Hintergrund ist ein schon länger nicht mehr aktualisierter Warrant Canary ("Sicherheits-Kanarienvogel") auf der Website des Unternehmens. RiseUp hat stets betont, sich staatlichem Druck zur Herausgabe von Informationen bestmöglich widersetzen und im Zweifelsfalle lieber "den Stecker ziehen" zu wollen. Zu den Kunden von RiseUp zählen unter anderem der Whistleblower Edward Snowden und Wikileaks-Chef Julian Assange.

Das Unternehmen versucht derzeit, argwöhnische Nutzer und Beobachter per Twitter zu beruhigen: Man habe nicht die Absicht, den Stecker zu ziehen; die Systeme seien vollständig unter eigener Kontrolle. Zusätzliche Informationen wolle man zu einem späteren Zeitpunkt bereitstellen. Ein Update des Warrant Canary ist aber weiterhin nicht erfolgt – was wiederum nicht bedeuten muss, dass RiseUp tatsächlich schon Nutzerdaten weitergegeben hat.
Warrant Canary

Ein Warrant Canary ("Sicherheits-Kanarienvogel") ist ein halbverdecktes Konstrukt, um das Vorliegen geheimer Anweisungen von staatlichen Behörden zu signalisieren. Solche geheimen Anweisungen, die etwa die Offenlegung von Nutzerdaten verlangen, erfolgen in den USA beispielsweise als National Security Letter, als Anordnung des Geheimdienstgerichtshofs FISC oder auf Basis des FISA-Gesetzes. Das Pikante: US-Firmen machen sich strafbar, wenn sie die Zustellung einer solcher Anweisung öffentlich bekanntmachen.

Ein Warrant Canary soll dies umgehen. Firmen veröffentlichen etwa regelmäßig die Aussage, dass man bislang keinen National Security Letter, eine FISC-Anordnung oder ähnliches erhalten habe. Verschwindet diese Aussage oder wird sie wie bei RiseUp nicht mehr aktualisiert, so gilt dies dann als Hinweis darauf, dass der Firma mittlerweile eine geheime Anweisung zugestellt wurde. Freilich ist das System nicht perfekt: Es kann auch passieren, dass ein Unternehmen die Aktualisierung eines Warrant Canary schlicht vergisst.

Der Begriff "Warrant Canary" geht auf den Kohlebergbau zurück, als Kanarienvögel untertage mitgeführt wurden. Da diese Tiere deutlich schneller auf toxische Gaskonzentrationen reagieren als Menschen, war eine Verhaltensänderung oder der Tod der mitgeführten Vögel ein untrügliches Zeichen dafür, dass etwas nicht stimmt und die Bergleute sich in Sicherheit bringen sollten.

tm42
02.12.2016, 23:17
Micah Lee hat das Ganze am Dienstag auf 'The Intercept' nochmal zusammengefasst, ist von RiseUp hier (https://twitter.com/theintercept/status/803732559486222337) auch retweetet worden. Fazit: ja, ist was im Busch, kompromittiert wohl (noch) nicht. Q: https://theintercept.com/2016/11/29/something-happened-to-activist-email-provider-riseup-but-it-hasnt-been-compromised/

Gestern berichtete dann Kim Zetter auf 'The Intercept' vom 'InternetArchive'. Brewster Kahle hat danach im August diesen Jahres auch einen NSL bekommen, sollte Nutzerdaten herausgeben. Kahle's Antwort: geht nicht, haben wir nicht, kriegen wir auch nicht wieder rein, ach und veröffentlichen würden wir den NSL gern noch, unter John&Jane Doe versteht sich. Q: https://theintercept.com/2016/12/01/internet-archive-fends-off-secret-fbi-order-in-latest-victory-against-nsls/


Kahle told The Intercept that the incident should encourage others to challenge NSLs and gag orders in the interest of transparency.

nach der Timeline dauerts also noch ein bißchen, bis RiseUp geklärt ist.

tm42
17.02.2017, 05:03
Riseup haben am 16. ein signiertes 'canary statement' veröffentlicht:


Nach Ausschöpfung unserer rechtlichen Möglichkeiten entschied sich Riseup vor kurzem, zwei Beschlüssen (sealed warrants) vom FBI nachzugeben, anstatt wegen Mißachtung des Gerichts verklagt zu werden (was zu Gefängnisaufenthalten für Riseup-Vögel und/oder das Ende der Riseup-Organisation geführt hätte). Der Erste betraf die öffentliche Kontaktadresse für einen internationalen DDoS-Erpressungsring. Der Zweite betraf ein Konto mit Ransomware, um Geld zu erpressen.

Die Aktivitäten im Zusammenhang mit Erpressungen verletzen sowohl die Terms of Service, als auch den Geist des Sozialvertrages, den wir mit unseren Nutzern haben: Wir halten Ihnen den Rücken frei, solange Sie nicht ausbeuterische, frauenfeindliche, rassistische oder scheinheilige Agenden verfolgen.

Es gab eine Gag-Order, die uns daran hinderte, die Existenz dieser Beschlüsse bis jetzt zu bestätigen und zu veröffentlichen. Das war auch der Grund, warum wir unseren 'Canary' 2 nicht aktualisieren konnten.

Wir haben Maßnahmen ergriffen, um sicherzustellen, dass Riseup nie wieder Zugriff auf die gespeicherte E-Mail eines Benutzers im Klartext hat. Ab heute werden alle neuen Riseup-E-Mail-Konten, persönlich verschlüsselte Speicher auf unseren Servern, nur von Ihnen zugänglich. In naher Zukunft werden wir damit beginnen, alle vorhandenen Konten zu migrieren, um dieses neue System zu nutzen. (Details s.TREES)

Um klarzustellen, ist diese Verschlüsselung keine End-to-End-Verschlüsselung. Mit dem neuen System von Riseup vertrauen Sie immer noch auf den Server, während Sie angemeldet sind. Für eine vollständige E-Mail-Verschlüsselung müssen Sie wie zuvor einen Client verwenden, der OpenPGP unterstützt und nicht webbasiert ist.

Wir arbeiten daran, im kommenden Jahr ein umfassenderes End-to-End-System rauszubringen, aber bis das fertig ist, werden wir in der Zwischenzeit persönlich verschlüsselte Speichermedien einsetzen.

solidarisch,
Die Riseup-Vögel

https://riseup.net/en/about-us/press/canary-statement
https://riseup.net/canary
https://0xacab.org/riseuplabs/trees

In ein paar Q&As führen sie weiter aus, dass sie zu keiner Zeit kompromittiert waren, dann (wie Lavabit) zugemacht hätten, dass ein früheres canary-update 2016 wg der DDoS Ermittlungen eine Verletzung der gag-order gewesen wäre, und dass das jetzige Statement aus freien Stücken abgegeben wurde.