Sicherheitshinweis gegen Adblock Plus bei United Internet

Ich kanns ja nicht ab, wenn Leute Bullshit reden. Im Prinzip ist das klares Luegen, nur, dass sie irgendwie nicht Luegen...

GMX meldet, wenn man es aufruft mit einem Firefox, in dem Adblock-Plus installiert ist, in einem gelben Balken, der unter Windows in einem Internet-Explorer wohl so aussehen soll, als wuerde er zum System gehoeren, und nicht zur Website, dass 'GMX: Die Sicherheit der Seite wird durch ein Firefox Add-on eingeschränkt.', mit einem Knopf 'Sicherheit wiederherstellen'

Was fuer ein Bullshit sondergleichen. Frech sowieso, und durchsichtig auch, aber es ist auch kompletter Duennsinn:

1. JEDE Software, die ich auf dem Rechner habe muss vertrauenswuerdig sein. (Das schliesst zB den Browser, in meinem Fall Firefox, mit ein)
2. Ein Sicherheitsrisiko durch Software erwaechst dadurch (und nur dadurch), dass sich eine Software nicht verhaelt, wie ich es erwarte, oder eine Software an Board ist, die ich nicht erwuensche, die etwas tut, was ich nciht will.
3. Adblock Plus' ZWECK ist die Seitenmanipulation, und nein, solange die Software nichts tut, was ich nciht erwarte, ist sie kein Sicherheitsrisiko.
4. Wenn sie etwas tut, was ich nicht erwarte, zB meine Kontodaten an boese Menschen schicken, ist das natuerlich ein Problem. Aber das koennte genausogut der Firefox sein, der das tut, oder gleich das drunterliegende Betriebssystem, da jetzt Adblock Plus auszumachen ist komplett beliebig und unsinnig.

Arm, United Internet. Einfach nur arm. Enttaeuschend.

Naechstes mal schreibt ihr einfach auf die Seite "Macht doch bitte den Adblock aus, damit wir Geld verdienen koennen um auch weiterhin diesen Dienst anbieten zu koennen" und gut is'


http://www.heise.de/newsticker/meldung/Seitenmanipulierende-Add-ons-United-Internet-startet-Kampagne-gegen-Adblocker-2125592.html

Threema.ch/validation ist Schweizer Kaese.

Also...

Jetzt, wo WhatsApp FaceBook gehoert, und alle zu anderen Diensten abwandern, wo die Zeitungen Threema als Alternative anpreisen, und es tatsaechlich mit dem Versprechen von asymmetrischer Ende zu Ende Verschluesselung lockt, jetzt moechte ich doch nochmal fix zusammenfassen, was ich gerade allen erzaehle, die unbedingt zu Threema umsteigen wollen, und die das nicht hoeren wollen.

Threema behauptet:
1. Sie benutzen Ende zu Ende Verschluesselung, State of the Art.
https://threema.ch/de/faq.html
2. Sie verweisen auf threema.ch/validation , damit sich der, der genug Ahnung von Computern hat, und sich auch mal auf die Shell und an einen Compiler wagt, testen kann, ob die auch tun, was sie behaupten.
... behauptet Threema.

Meine Analyse:
1. Threema benutzt TLS. Damit machen sie es mir unmoeglich, den Traffic zu sniffen, und festzustellen, ob tatsaechlich das ueber die Leitung geht, was sie behaupten ueber die Leitung zu schicken. Sie koennten die verschluesselte Nachricht verschicken UND eine im Klartext an die NSA. Weil Closed-Source und TLS ist das nicht ueberpruefbar.
2. Bei asymmetrischer Verschluesselung hat jeder ein Schluesselpaar aus Privatem und Oeffentlichem Schluessel. Alice schickt eine Nachricht an Bob, verschluesselt mit Bobs Oeffentlichem Schluessel (den hat Alice, weil der Oeffentliche Schluessel, D'uh! oeffentlich ist!), und lesen kann man das nur, wenn man den Privaten, passenden, Schluessel dazu hat. Den hat nur Bob, also kann nur Bob das lesen. So funktioniert das klassische RSA.

2.1 Threema war besonders schlau. Deshalb benutzt Threema nicht RSA, sondern NaCl (http://nacl.cr.yp.to/). Hier wird ein Nachrichtenschluessel generiert aus Alice' Privatem und Bobs Oeffentlichen (die Alice beide hat), und Bob kann denselben Schluessel aus *anderen* Bestandteilen auch zusammensetzen: naemlich aus Bobs Privatem und Alice' Oeffentlichem.
Das tut Threema, um Plausible Deniability in das Programm einzubauen (siehe FAQ). Da Alice Chiffres generieren kann, die aussehen, als kaemen sie von Bob, kann Bob immer behaupten (vor einem Dritten), er haette eine Nachricht nicht verfasst. Alice selbst kann aber feststellen, ob sie von Bob sind, denn nur Alice und Bob koennen dieses Chriffre erstellen, und Alice weiss, ob sie sich selbst verarscht, oder nicht.

2.2. Das ist aber ein Problem mit dem Validate: Da die Software closed-source ist, und man den Traffic nicht sniffen kann, sondern die Daten, die man in den Validator eingibt, nur aus Logs der App stammen, deren Glaubwuerdigkeit ich testen will und da in diesem Log Chiffres stehen, die beide Seiten, Alice UND Bob beide generieren koennen, ohne, dass sie ueber die Leitung gegangen sein muessen (weil NaCl und nicht RSA), beweist der Validator... Genau nichts. Er beweist, dass die Firma hinter Threema in der Lage war, eine Crypto-Bibliothek zu verwenden, um Logs zu schreiben. Nichts weiter.

Fazit:
* Ich glaube denen, dass sie die Bibliothek einsetzen, und nur ueber die Leitung schicken, was sie behaupten. Ueberpruefbar ist es nicht.
* Weil es nicht ueberpruefbar ist, kann die NSA euch eine Threema-App unterschieben, die der NSA eine Kopie schickt. Ueberpruefbar ist es nicht. Weil Threema closed-source ist.
* Ich will niemandem davon abraten, es zu benutzen, weil die immerhin behaupten, es richtig zu machen. Dass es nichts weiter als eine Behauptung ist, ist wichtig!
* Ceterum Censeo: Crypto geht nur opensource.

Update: Folgender Artikel hat im Prinzip nochmal die gleichen Argumente. Schoen: Sie haben sich noch ein bisschen mehr Muehe gemacht :)
http://www.golem.de/news/verschluesselung-validation-von-threema-ist-wenig-aussagekraeftig-1403-104992-2.html

redtube/streams vs. downloads

Heute hoere ich also auf NDR-Info, dass Heiko Maaß, unser Bundesinnenminister Bundesjustizminister, Internetuser beruhigt: Aufgrund der Redtube Massenabmahnungen sei die Angst aufgekommen, Streams zu schauen koenne das Urheberrecht verletzen. Das tue es nicht, da bei einem Stream die Daten ja nur kurzzeitig auf dem Rechner des Konsumenten zwischengespeichert werden wuerden, und daher keine Gefahr bestuende, dass sie weitergegeben werden.

Dass es das nicht tut, finde ich gut. Ich halte unser Urheberrecht, bekannterweise, fuer Murks, und es erfreut mich, dass hier eine Verwendung meines Computers nicht davon betroffen ist.

Aber: Die Aussage von Herrn Maaß ist natuerlich auch Murks.
1. Inwiefern kann denn ein Stream oder Download eine Urheberrechtsverletzung sein, wenn er potentiell weitergegeben werden kann?

IANAL, aber in meinem Rechtsverstaendnis koennen Taten illegal sein, nicht aber potentielle Taten. Das hat was von Minority Report. D.h. zu behaupten, etwas sei nicht illegal, weil es keine Potenz eroeffne, ist quatsch. Es besteht keine Kausalbeziehung.

2. Ein Stream und ein Download unterscheiden sich im Allgemeinen und im Speziellen bzgl. Redtube (und auch Youtube, was das angeht) auf Anbieterseite nicht und auf Konsumentenseite nur gering. Technisch gesehen.

Downloads werden gemeinhin als ein Request per HTTP-Protokoll des Browsers auf die entsprechende Resource (zB ein Softwareinstaller, e.g. installfirefox.exe) abgewickelt. Der Browser speichert dann die durch die Leitung laufenden Bits auf die Festplatte.
Manchmal jedoch speichert der Browser die Daten nicht ab. Das ist keine Einschraenkung, gemeinhin moechte der Konsument das nicht. Webseiten sind auch Downloads, werden aber direkt vom Browser interpretiert. Den Dateiinhalt kann man sich in Firefox zB mit STRG-U ansehen. Facebookseiten auf dem Rechner abzuspeichern macht keinen Sinn.
Das heisst aber nicht, dass es nicht moeglich ist. Unter Datei->Seite speichern eroeffnet Firefox diese Moeglichkeit.

Bei einem Stream von Youtube (und auch von Redtube) wird auf der Seite ein Videoplayer eingebettet, der einen normalen HTTP-Request abfeuert, und die einstroemenden Daten auch gleich interpretiert. Dass diese nicht abgespeichert werden koennten (und Potenz ist Herrn Maaß ja wichtig) ist natuerlich Humbug. Es ist und bleibt ein einfacher Download im technischen Sinn, fuer Youtube laesst sich zB das Addon 'Downloadhelper' dafuer verwenden.

Technisch gesehen ist die Unterscheidung zwischen Streams und Downloads komplett haltlos und durch nichts zu begruenden.

Das es rechtlich eine gibt, stoesst mir sauer auf, weil es die Gesetze realitaetsfern macht. Ausserdem ist, da es keinerlei technische Unterscheidung gibt, die Unterscheidung rein auf Basis von Behauptung und Erscheinung. Wenn ein Webseitenanbieter seine Website blau anmalt, einen Videoplayer auf der Seite einbettet und behauptet, er wuerde Streams anbieten, dann ist das halt so. Das ist so, wie wenn rechtlich relevant fuer eine Geschwindigkeitsuebertretung waere, was euer Tacho im Auto zeigt, ihr den aber mit einem Bild eines 30 zeigenden Tachos ueberkleben duerftet.

Insgesamt aber schoen. Kaum verkleidet man sich, darf man machen, was man will :)