Der
AK-Zensur (Arbeitskreis gegen Internetsperren und Zensur)
veröffentlicht ich einer Presseerklärung Ergebnisse einer Aktion bei der Provider (bei denen die Server die auf Internationalen Sperrlisten stehen) gehosted werden automatisiert per Mail angeschrieben wurden.
Ergebnis: Einige Inhalte wurden umgehend entfernt, schnelle Reaktion, große Anzahl von falschen Sperren, die Provider wenden sich selbst an die Ermittlungsbehörden und keiner der Provider gab an in der Sache bereits kontaktiert worden zu sein.
Der
Artikel in der Online Zeit beschreibt schön welche Begehrlichkeiten die Einführung eines Internet Sperrsystems wecken kann.
Ich stehe weiterhin auf dem Standpunkt dass die geplanten Internet Sperren nicht dazu geeignet sind den Missbrauch von Kindern oder die Verbreitung von Kinderpornografie zu verhindern, sehr wohl aber ein einen Eingriff in unsere Grundrechte (Zensurverbot) darstellen. Außerdem ist es ein eklatanter Verstoß gegen die Gewaltenteilung (das BKA entscheidet über rechtswidrige Inhalte ganz ohne richterliche Kontrolle). Ganz zu schweigen von den Problemen dass Gefahrenabwehr Landesrecht ist.
Es ist symptomatisch für die symbolhafte Wahlkampfpolitik die gerade betrieben wird, dass die Politik nahe Deutsche Kinderhilfe (die vom Deutschen Spendenrat
nicht mehr als Spendenwürdig anerkannt ist ) die meisten Spendenflüsse in Projekte reduziert, dafür verstärkt nur noch Lobby Arbeit machen will (wie die
Welt berichtet).
Mit PR trächtigen Gesetzen läßt sich die Lage der Kinder in Deutschland und den Rest der Welt nicht verbessern. Hier ist vielmehr nachhaltige und zähe Arbeit im Bereich Prävention (Unterstützung der Familien und Therapie der potentiellen Täter), Ermittlung (mehr und qualifizierteres Personal) und vor allem auch Strafverfolgung (mehr Richter, härtere Urteile) notwendig. Das ist teuer - aber wenn man irgendwelchen
Zahlen glauben darf - notwendig.
Die
Online Petition gegen Netzsperren kann noch bis zum 16.06.2009 mitgezeichnet werden. Momentan sind es schon über 84.000 Benutzer, die sich das Verstecken von Problemfällen verbitten.
Der
ePetitions-Server des Deutschen Bundestages hat leider ein Sicherheitsloch. Das Eintragen und Austragen aus den Petitionslisten erfolgt durch einen einfachen HTTP GET Request ohne Sicherung durch ein Shared Secret (nonce).
Deswegen ist es sehr trivial auf einer beliebigen Web Seite Bilder oder iFrames einzubauen die bei einem Besuch unbemerkt für den Besucher eine Anfrage an den Petitionsserver absenden. War der Besucher auf dem Petitionsserver angemeldet so wird die Aktion ohne weitere Nachfrage durchgeführt.
Dies geht natürlich nur, wenn der Benutzer auf dem Server bereits angemeldet ist. Aber eine Gültige Login Session beim ePetitionsserver hat jeder der dort schon mal mitdiskutiert hat (das Session cookie läuft solange der Browser nicht geschlossen wird).
Auf folgender Seite habe ich einen Proof of Concept erstellt. Besucher dieser Seite (nach der Vorschaltseite) werden in der Liste gegen das Gendiagnose-Gesetz eintragen.
Sie müssen sich dort selbst wieder austragen. Wenn Sie die Seite besuchen wollen, so kopieren Sie den Link in die Browser Adresszeile.
http://eckenfels.net/w/CompXSRFPetition
Das BSI hat übrigend eine
Studie zum Web2.0 veröffentlicht in der XSRF als eines der größten Sicherheitsprobleme genannt wird. Man kann zwar nicht behaupten dass der E-Petitionsserver sehr Web2.0 ist, aber immerhin hätte der Bund Ressourcen zur Verfügung gehabt dieses Sicherheitsloch selbst zu entdecken.
Übrigens glaube ich nicht, dass die Schwäche in der eingesetzten Foren-Software SMF ist (da diese es an anderer Stelle wie Logout oder Profil richtig macht) sondern eher an der Erweiterung für die Abstimmungen. Über die Firma hinter dem Projekt findet sich einiges im
Artikel von Alvar Freude.
Vielen Dank an
Matthias Bauer für den Hinweis auf dieses Problem.
Thomas Griesbaum (
@tencate) läd zum Twitter User Treffen (#tuka) Karlsruhe am 14.5 19:00 im Badisch Brauhaus in der Stephanienstraße. Zu/Absagen bitte via
twtvite.com/8ieoa5.