Schlechte Nachrichten für riseup.net Benutzer*Innen. Bitte durchlesen und überlegen wie ihr damit umgehen wollt!
Kurz gesagt: Es besteht die Möglichkeit, dass die riseup.net Infrastruktur von staatlicher Seite aus kompromittiert und übernommen wurde. Potentiell ist also das Nutzen von riseup.net Diensten wie Mail, we.riseup.net, vpn, … unsicher und könnte überwacht werden. Nochmal zur Sicherheit: Es besteht die Möglichkeit.
Hier nun die längere Erklärung, welche Indizien es dafür gibt. In der USA. gibt es die Möglichkeit des Staates, Unternehmen/Privatpersonen/Vereine/… zur Herausgabe von Informationen/Zugangsdaten/… zu zwingen. So ein Verfahren wird ein Subpoena genannt.
[…] Mit einer Subpoena wird eine Person unter Androhung einer Erzwingungsstrafe aufgefordert, bestimmte Auskünfte oder Beweismittel zu einem Sachverhalt in bestimmter Weise beizubringen. Die Subpoena dient damit als ein Zwangsmittel, mit dem Beteiligte und Dritte zur Auskunft in oder gelegentlich vor einem Prozess verpflichtet werden können. […]
(wikipedia)
Nun wäre das schon schlimm genug. Jedoch kann so ein Subpoena auch geheim sein. Was bedeutet das? Die staatliche Institution zwingt nicht nur zur Herausgabe von Daten, sondern verbietet auch das publik machen der Herausgabe. Anders formuliert: Wenn riseup.net beispielsweise von solch einem Subpoena betroffen ist, ist es ihnen verboten dies öffentlich zuzugeben. Solche Subpoena werden auch genutzt, beispielsweise gegen den Krypto Messenger Signal.
Wenn nun also nicht öffentlich zugegeben werden darf, dass Behörden Zugang zur (beispielsweise) Serverinfrastruktur besitzen, wie kann mensch sich dann gegen solch einen Zugriff wehren bzw. die eigenen Nutzer*Innen trotzdem darüber informieren? Dabei wird ein Trick genutzt: Anstatt zu versuchen nach einem Subpoena den behördlichen Zugriff offen zulegen – was ja rechtlich verboten ist – wird in regelmäßigen Abständen kommuniziert, dass es keinen behördlichen Zugriff gibt. Warum ist uns das nun eine Hilfe?
Die Idee ist, dass zwar verboten werden kann eine Information zu verbreiten („Unsere Infrastruktur ist kompromittiert!“).
Jedoch scheint es (rechtliche Grauzone!) so zu sein, dass eine betroffene Person/Unternehmen/… nicht dazu gezwungen werden kann, zu lügen.
Wenn also in regelmäßigen und definierten Abständen bekannt gegeben wird : „Alles ok“, so kann davon ausgegangen werden, dass auch wirklich alles ok ist.
Bleiben diese Statusmeldungen jedoch plötzlich aus, ist das ein Indiz auf einen behördlichen Zugriff.
Dieses Vorgehen nennt mensch einen „Canary in a Coalmine„. Solange der Kanarienvogel lebt ist alles in Ordnung, verstirbt er, gibt es ein Problem. Das oben beschriebene Vorgehen wird auch als Warrant Canary bezeichnet.
Zurück zu riseup.net: Auch diese Organisation besitzt so einen Canary. Nämlich auf ihrer Seite
https://riseup.net/de/canary. Dort wird auch bekannt gegeben:
As of August 16, 2016, riseup has not received any National Security Letters or FISA court orders, and we have not been subject to any gag order by a FISA court, or any other similar court of any government. […] Riseup intends to update this report approximately once per quarter.[…]
Am 16. August 2016 wurde also klargestellt: „Alles in Ordnung, kein behördlicher Zugriff auf riseup.net“. Das nächste Update sollte ein Quartal später, also 3 Monate später erfolgen. So ein Statusupdate wäre seit einigen Tagen fällig gewesen, erfolgte aber nicht. Ist das nun ein sicheres Zeichen für einen behördlichen Zugriff? Mit Sicherheit ist das nicht zu sagen, da riseup.net von „approximately once per quarter“ spricht. Es kann also ein paar Tage früher oder auch später passieren.
Laut Informationen im Netz ist das auch in der Vergangenheit öfter passiert, dass das Statusupdate später erfolgte. So machte sich ein User auf Twitter am 16. August 2016 Sorgen um Riseups Integrität.
Wie zu sehen ist, hat sich riseup aber zeitnahe und prompt um das Statusupdate gekümmert. Das ist dieses mal anders. Am 11. November 2016 veröffentlichte riseup auf Twitter folgenden Tweet in Reaktion auf den Tod von Leonard Cohen.
Wer auf den Tweet klickt wird sehen, dass in Reaktion einige Benutzer*Innen das fehlende Statusupdate erwähnen und auch nachfragen wie die Lage ist.
@riseupnet do you think it would have sounded better if he replaced hummingbird with canary?
@libeclipse @a_skylit_empire @riseupnet I know how a quarter works, and they last updated their *quarterly* warrant canary 97 days ago.
@riseupnet Suspicious tweet, along with the canary not being updated since August. –
https://riseup.net/en/canary – compromised?
und einige mehr…
Riseup hat jedoch weder auf Twitter reagiert, noch den Canary aktualisiert, sprich: ein Statusupdate auf
https://riseup.net/de/canary veröffentlicht. Auch der Inhalt des getweeten Gedichts kann so interpretiert werden, dass Informationen von riseup.net nicht mehr vertraut werden sollten: „don’t listen to me“.
Ähnlich sieht der Fall auch bei diesem Tweet von riseup aus (siehe die Antworten von Twitter Usern und die fehlender Reaktion von riseup).
Fazit: Es spricht einiges dafür, dass riseup.net keine sichere Plattform mehr ist und dort existierende Daten für Behörden einsehbar sind. Sicherheit wird es wohl erst später geben. Je mehr Zeit jedoch vergeht, ohne dass es ein Canary-Statusupdate gibt, umso wahrscheinlicher ist jedoch das Szenario eines behördlichen Zugriffs.
Was tun? Wer riseup.net nutzt, sollte im Moment keine sensiblen Informationen dort austauschen und andere Kanäle zur Kommunikation nutzen. Auch dort gelagerte Daten sollten möglichst schnell gebackupt werden (das kann sowieso nie schaden!).
Nebenbei: Auch Julian Assange besitzt einen Mailaccount bei Riseup. Es gibt auch Gerüchte über fehlende Lebenszeichen seinerseits und einer behördlichen Übernahme der Plattform Wikileaks. Wie vertrauenswürdig diese Gerüchte sind und ob sie mit der Situation mit Riseup zusammenhängen ist jedoch unklar.
Weitere (auch englischssprachige) Links:
Gute englische Zusammenfassung: Riseup’s Canary Has Died
Understanding RiseUp.net’s current status after their Nov 21 announcement, implications
https://twitter.com/riseupnet/status/800815181190217729
Assange on the run; Wikileaks platform compromised
Vorsicht mit Riseup, der „Warrant Canary“ ist tot – linksunten.indymedia.org
Update:
Die amerikanischen Behörden haben es wohl nicht in erste Linie auf deutschsprachige Linke abgesehen. Die Wahrscheinlichkeit, dass (falls es wirklich behördlichen Zugriff gibt) sich daraus Probleme für deutsche/österreichische Linke ist wohl eher gering. Aber keine*r will wohl auf ein Plattform, welche von einer amerikanischen Behörde kontrolliert wird, kommunizieren und arbeiten.
Zum Thema verschlüsselte Mails: Behörden haben immer leichten Zugriff auf Mails. Diese werden über das Internet durch viele verschiedene Rechner geschickt und können dadurch leicht wegkopiert werden. E-Mails sind daher wie Postkarten einzustufen – einsehbar durch alle. Anders sieht es jedoch aus, wenn Mails mittels PGP verschlüsselt werden. Die Mails können zwar weiterhin eingesehen werden, de Inhalt ist jedoch nicht entschlüsselbar. Kurz: Eure verschlüsselten Mails sind genauso sicher wie vorher. Solange eure privaten Schlüssel unter eurer Kontrolle sind (diese liegen nicht bei riseup, sondern auf den Rechnern, auf denen ihr entschlüsselt), ist der Inhalt eurer Mails sicher.
Zum Thema Verschlüsselung noch kurz: Wenn Ihr eine an euch verschlüsselte Mail bekommt, dann ist das noch lange keine Sicherheit, dass diese Mail von der Person verschickt wurde, welcher die Addresse gehört (das betrifft nicht nur die aktuelle Situation, sondern ist ne generelle Sache). Die Authentizität der Mail kann nur durch das sogenannte Signieren der Mail erfolgen. Kurz gesagt: Verschlüsseln von Mails an euch bewirkt, dass nur IHR (weil ihr den privaten Key habt) sie entschlüsselt lesen könnt. Signieren bedeutet, dass NUR die Person mit dem privaten Key des Schlüssels, die Mail erstellt haben kann. Verwirrend? Verständlich. Hier gibts was zum weiterlesen (recht verständlich gemacht!).
Wenn ihr Eure riseup Addresse bei Diensten wie Facebook, Twitter, … angegeben habt, könntet ihr jedoch ein Problem bekommen. Warum? Über die Funktionalität „Password per Email zurücksetzen“, können Personen, welche Zugriff auf euren Mailaccount haben (und das könnten Behörden haben) , die Kontrolle über diese anderen Dienste erlangen (wie das gerüchterweise bei dem twitter account von Wikieaks passiert ist).
